1 Garantías de Protección de Datos en la nube José Antonio Pérez Alcaide Jefe de Área - Registro General de Protección de Datos AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS

2 Cloud Computing nube datos protección privacidad seguridad transferencias internacionales responsable encargado SCC BCR confidencialidad

3 Ubicuidad Acceso a los datos desde cualquier lugar Deslocalización de datos y procesos Elasticidad Escalabilidad Flexibilidad Provisión instantánea Automatización Pago por uso CLOUD COMPUTING: paradigma de computación en la nube

4 Suma de la evolución de varias tecnologías (mainframes 60’s + cliente-servidor 70-80’s + arquitecturas colaborativas y distribuidas) Infraestructuras Plataformas Aplicaciones CLOUD COMPUTING: globalización outsourcing

5 Subirse a la nube → datos personales LOPD RLOPD Posición jurídica de los intervinientes Prestador de servicios CC Cliente que contrata servicios CC Seguridad de la información Transferencias internacionales de datos CLOUD COMPUTING: protección de datos

6 Cliente CC: responsable del tratamiento Prestador de servicios CC: encargado del tratamiento Art. 12 LOPD. Acceso a los datos por cuenta de terceros RLOPD Art. 20. Relaciones entre el responsable y el encargado del tratamiento Art. 21. Posibilidad de subcontratación de los servicios. Art. 22. Conservación de los datos por el encargado del tratamiento CLOUD COMPUTING: consecuencias de la posición jurídica

7 Garantías exigibles al prestador del servicio CC: encargado del tratamiento Contrato de prestación de servicios (art. 12 LOPD) El responsable deberá velar porque el encargado del tratamiento reúna las garantías exigibles (art RLOPD) El encargado del tratamiento no utilizará los datos para otra finalidad ni los comunicará, ni siquiera para su conservación a terceros El contrato recogerá las medidas de seguridad que el encargado debe implementar La devolución de los datos al término del servicio (portabilidad) El borrado de datos CLOUD COMPUTING: garantías exigibles al prestador de servicios CC

8 Diligencia exigible al responsable: Obtener información sobre las garantías del contrato Ejercer diligentemente su posición de responsable del tratamiento Diligencia exigible al prestador de servicios de CC (1): Información detallada sobre la tipología de servicios que ofrece Información sobre la modalidad de prestación del servicio (tipología de nube, de participantes en la prestación del servicio y TID) Información sobre las medidas de seguridad que ofrece (en particular sobre la auditoría, en su caso). ¿Cumplimiento de las medidas de seguridad por delegación del responsable? ¿Acceso por parte del responsable a las medidas de seguridad del prestador del servicio? CLOUD COMPUTING: Diligencia exigible

9 Diligencia exigible al prestador de servicios de CC (2): Auditoría externa e independiente Comunicación inmediata de las incidencias de seguridad que afecten al cliente/responsable Información sobre portabilidad Información sobre los procedimientos para el ejercicio de los derechos ARCO por parte del responsable Información sobre responsabilidades por daños CLOUD COMPUTING: Diligencia exigible

10 Intervención de subencargados/subcontratistas Garantías del RLOPD (art y STS de 15 de julio de 2010) Especificación de los servicios que puedan subcontratarse Indicación de la empresa subencargada Autorización del responsable/cliente sobre las empresas subencargadas. (STS 15 DE JULIO DE 2010) Contrato entre encargado y subencargados Alternativa: Indicación de los perfiles de actividades objeto de subcontratación y de los niveles de calidad exigibles Relación actualizada de entidades subencargadas (p.ej. Accesible en sitio web) Decisión sobre si mantiene o rescinde el contrato Garantías. Cláusulas contractuales tipo de la Decisión 2010/87/UE, de 5 de febrero CLOUD COMPUTING: Diligencia exigible

11 Subcontratistas CC Subencargados Prestador servicios CC Encargado de tratamiento Cliente CC Responsable del fichero La prestación de servicios en EEE requiere Contrato de prestación de servicios (art. 12 LOPD) entre el responsable y el prestador de servicios Autorización subcontratación (art. 21 RLOPD) La prestación de servicios fuera EEE Países de nivel adecuado. Contrato en los mismos términos EEE Otros países Contrato de prestación de servicios (SCC Decisión 2010/87/UE) Autorización de la subcontratación por el responsable (SCC Decisión 2010/87/UE) Cláusula 11 SCC CLOUD COMPUTING: Transferencias Internacionales

12 Garantías que ofrece el prestador de servicios CC Diligencia del cliente CC Contrato jurídicamente vinculante CLOUD COMPUTING: Conclusiones

13 Muchas gracias