El RGPD en resumen, para quien usa la nube
Módulo 1: ¿Por qué una nube europea? · Tiempo de lectura: 11 minutos
Objetivo de aprendizaje: Después de esta lección podrá nombrar las funciones y obligaciones del RGPD que entran en juego al usar un servicio en la nube, y explicar por qué usted sigue siendo responsable, incluso si los datos están en manos de otro.
Conceptos clave: RGPD (GDPR), datos personales, tratamiento, responsable del tratamiento, encargado del tratamiento, subencargado, principios (art. 5), principio de responsabilidad proactiva, contrato de encargo del tratamiento (art. 28), seguridad (art. 32), transferencia (capítulo V), Agencia Española de Protección de Datos, multas (art. 83)
Por qué el RGPD entra ahora en juego aquí
El RGPD (Reglamento General de Protección de Datos, en inglés GDPR) es un reglamento europeo: Reglamento (UE) 2016/679. Se aplica desde el 25 de mayo de 2018 directamente en todos los países de la UE. En España, la Agencia Española de Protección de Datos (AEPD) ejerce la supervisión; en cada otro país de la UE hay una autoridad de control propia.
Quizás piense que el RGPD trata sobre grandes empresas con bases de datos de clientes. Pero Panadería De Korrel también queda sujeta a él. En el buzón de correo hay pedidos con nombres, direcciones y números de teléfono. En las carpetas en línea hay horarios, nóminas y una copia del documento de identidad de un nuevo empleado. En el calendario hay nombres de clientes junto a citas de reparto. Todo eso son datos personales: toda información sobre una persona identificada o identificable (art. 4, punto 1). Y almacenar, enviar por correo, compartir y eliminar es todo tratamiento (art. 4, punto 2).
Una excepción: lo que haga de forma puramente privada, como sus propias fotos familiares, queda fuera del RGPD (la "excepción doméstica", art. 2, apartado 2, letra c). En cuanto se trate de su trabajo, su empresa o su asociación, el RGPD sí se aplica.
Esto es una explicación, no un asesoramiento jurídico.
Tres funciones: ¿quién es quién?
| Función | Significado (art. 4) | En la panadería |
|---|---|---|
| Responsable del tratamiento | Determina para qué y cómo se tratan los datos personales (punto 7) | Panadería De Korrel |
| Encargado del tratamiento | Trata los datos por encargo del responsable (punto 8) | El servicio en la nube donde están el correo y los archivos |
| Subencargado | Una parte que el propio encargado contrata (art. 28, apartados 2 y 4) | El centro de datos, un departamento de soporte externo, un proveedor de copias de seguridad |
La idea más importante: la responsabilidad no se traslada junto con los datos. La panadería sigue siendo responsable del tratamiento, aunque los datos estén en un servicio en la nube. Si el servicio en la nube promete algo y las cosas salen mal, la panadería debe poder seguir demostrando que hizo una elección prudente y que dejó constancia de buenos acuerdos. Esto se llama el principio de responsabilidad proactiva (art. 5, apartado 2, y art. 24).
Atención: un servicio en la nube no siempre es únicamente encargado del tratamiento. Si el proveedor también utiliza sus datos para fines propios, como el desarrollo de productos, publicidad o el entrenamiento de sus propios sistemas, entonces es responsable él mismo de esa parte. Esto es una de las cosas que debe comprobar en las condiciones y en el contrato de encargo del tratamiento (lección 9.2).
Los principios que entran en juego en la nube
El artículo 5 enumera los principios que debe cumplir todo tratamiento. Para la elección de un servicio en la nube, estos son los más importantes:
- Limitación de la finalidad: solo utiliza los datos para el fin para el que los obtuvo. Un servicio que use los datos de sus clientes para sus propios fines choca con esto.
- Minimización de datos: no conservar más de lo necesario. Un cambio es un buen momento para hacer limpieza (lección 3.2).
- Limitación del plazo de conservación: no conservar más tiempo del necesario. Piense en cartas de solicitud de empleo antiguas en un buzón de correo.
- Integridad y confidencialidad: seguridad adecuada frente a pérdida, robo y acceso no autorizado. Esto se desarrolla en el artículo 32: se toman medidas acordes al riesgo, como el cifrado, la gestión de accesos, la recuperación tras un incidente y las pruebas periódicas.
Cuatro obligaciones con las que se encontrará al cambiar
- Elegir un encargado que ofrezca garantías suficientes (art. 28, apartado 1). Debe comprobar cómo protege el proveedor los datos y dónde los trata. Esto se hace en el módulo 2.
- Firmar un contrato de encargo del tratamiento (art. 28, apartado 3). En él figuran temas obligatorios: qué se trata, instrucciones, confidencialidad, seguridad, subencargados, ayuda ante brechas de datos, y qué ocurre con los datos cuando deja de usar el servicio. Esto se trata en la lección 9.2.
- Mantener un registro de actividades de tratamiento (art. 30). Una lista de sus tratamientos: qué datos, por qué, con quién se comparten, cuánto tiempo se conservan. Después de un cambio, actualice los destinatarios y el lugar de almacenamiento (lección 9.3).
- Seguir las normas sobre transferencias fuera del EEE (capítulo V, arts. 44 a 49). Si los datos van a un país fuera del Espacio Económico Europeo, esto solo puede hacerse si ese país tiene un nivel de protección adecuado (una decisión de adecuación, art. 45) o mediante garantías adicionales como las cláusulas contractuales tipo (art. 46). De esto trata la lección 1.4.
¿Qué ocurre si algo sale mal?
En caso de una brecha de datos personales (por ejemplo, una cuenta hackeada que contiene datos de clientes), el responsable debe notificarlo en un plazo de 72 horas a la autoridad de control, salvo que sea improbable que suponga un riesgo (art. 33). El encargado debe informar al responsable "sin dilación indebida" (art. 33, apartado 2). Por eso, un buen contrato de encargo del tratamiento especifica con qué rapidez le avisa el proveedor.
La autoridad de control puede imponer multas. El máximo para las infracciones más graves es de 20 millones de euros o el 4 % de la facturación anual mundial, si esta cifra es superior (art. 83, apartado 5). Para las organizaciones pequeñas, la multa rara vez es el mayor riesgo. El riesgo real es el daño a clientes y empleados, y la confianza que se pierde.
Por qué esto afecta a la elección de su nube
El RGPD no prohíbe el uso de servicios en la nube estadounidenses. Sin embargo, debe poder explicar por qué su elección es responsable: qué datos, qué riesgos, qué acuerdos. Cuanto más sensibles sean los datos (salud, menores, finanzas, expedientes de personal), más peso tiene esa valoración. Para una panadería es algo manejable; para una clínica de fisioterapia o un colegio pesa mucho más. Un servicio establecido en el EEE, que trate los datos en el EEE y que no tenga subencargados fuera del EEE, facilita mucho esa valoración, porque entonces las normas sobre transferencias no entran en juego.
En la práctica: así se ve en un proveedor
Un proveedor que se utiliza con fines profesionales debe disponer de un contrato de encargo del tratamiento y de una lista de subencargados. En WebOké, en las preguntas frecuentes del manual de Nextcloud se indica que debe firmar un contrato de encargo del tratamiento si utiliza Nextcloud con fines profesionales y almacena en ella datos personales de terceros. En otros proveedores, esto suele encontrarse bajo "Contrato de encargo del tratamiento", "Data Processing Agreement (DPA)" o en los documentos legales al final del sitio web.
Resumen
- Incluso una organización pequeña trata datos personales en el correo, el calendario y los archivos, y por tanto queda sujeta al RGPD.
- Usted es el responsable del tratamiento; el servicio en la nube es el encargado del tratamiento; sus proveedores son subencargados.
- La responsabilidad no se traslada: debe elegir un encargado con garantías suficientes y poder explicarlo.
- Artículos importantes: 5 (principios), 28 (encargado y contrato de encargo del tratamiento), 30 (registro), 32 (seguridad), 33 (brecha de datos en 72 horas), 44 a 49 (transferencias).
- Los datos que permanecen dentro del EEE simplifican la valoración, porque entonces no se aplican las normas de transferencia.
Cuestionario
Ejercicio
Ejercicio E1.2: Sus funciones y datos. Elabore una breve lista de los datos personales que su organización tiene almacenados en la nube (correo, calendario, archivos, chat). Indique para cada tipo quién es el responsable, quién es el encargado, y si hay datos sensibles entre ellos.
Ejercicio E1.2: Sus funciones y datos
No introduzca nombres ni datos reales de personas, solo tipos de datos.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de estos artículos son válidos para los servicios de WebOké; en otros proveedores funciona de forma parecida.
- Manual de Nextcloud 15.13: Preguntas frecuentes sobre seguridad y privacidad
- Manual de Nextcloud 3.1: ¿Cómo protege WebOké su Nextcloud?
- Reglamento (UE) 2016/679 (RGPD), artículos 4, 5, 24, 28, 30, 32, 33, 44 a 49 y 83, en EUR-Lex
- Agencia Española de Protección de Datos, apartados "Contrato de encargo del tratamiento" y "Notificación de brechas de seguridad": https://www.autoriteitpersoonsgegevens.nl