La Consulta Pública de la Agencia Española de Protección de Datos en relación con el Cloud Computing

Por Rafael García del Poyo – Abogado. Socio Director del Departamento de Derecho de las Tecnologías de la Información de “CREMADES & CALVO-SOTELO”

La Agencia Española de Protección de Datos ha puesto en marcha una Consulta Pública sobre protección de datos personales en el entorno de “Cloud Computing”. En una nota informativa publicada en su página web el pasado día de los Santos Inocentes, la Agencia invita a todas las entidades públicas y privadas que utilizan o mantienen intereses en los sistemas de Computación en Nube a aportar opiniones y experiencias referidas a la aplicación práctica de estos servicios en España.

La aplicación y la adecuación al entorno Cloud de la normativa sobre protección de datos personales actualmente vigente en España se ha convertido en una materia de estudio de especial importancia. En paralelo, también está siendo analizada por parte de diversas autoridades e instituciones nacionales e internacionales. Es en este contexto en el que se enmarca esta iniciativa de la Agencia, la cual no cuenta con antecedentes similares pero que está siendo valorada muy positivamente por parte de los operadores y usuarios de estos servicios.

Resulta evidente que en el marco de la prestación de estos “servicios de computación en nube” o de Cloud se suscitan importantes interrogantes en materia de protección de datos personales, en especial, sobre qué garantías resultan aplicables y cuáles son jurídicamente exigibles.

Para que se produzca una adecuada prestación de servicios en la nube, resulta imprescindible que el prestador de los mismos no sólo tenga acceso a determinada información de la compañía, sino que normalmente conlleva el encargo de su almacenamiento. En ese caso, la ubicación física de la información (incluidos los datos personales) se traslada desde las instalaciones de la empresa a los servidores del prestador de servicios de Cloud. En cualquier caso, el prestador de servicios de Cloud será el encargado de velar por la seguridad de la información, por lo que toda empresa que se halle en la tesitura de decidir acerca de contratar unos u otros servicios prestados en la nube y en qué condiciones hacerlo, habrá de tener muy en cuenta un aspecto fundamental: ¿de qué modo se preservará la privacidad de los datos personales y la información de la compañía?

La pérdida de control directo sobre tal información por parte del responsable del fichero comporta en todo caso un riesgo, cuya cobertura debe asegurarse por vía contractual, particularmente, mediante la negociación del contrato que fije las condiciones en que debe prestarse el servicio de Cloud Computing.

Como decimos, la forma de entrega de información empresarial a un tercero dependerá del alcance o de las funcionalidades Cloud contratadas. Sin embargo, el acceso por parte de un tercero a esa parte de la información de la empresa que constituyen los datos de carácter personal, a nuestro juicio, se enmarca en el supuesto de “Acceso a los datos por cuenta de tercero”, contemplado en el artículo 12 de la Ley Orgánica de Protección de Datos de Carácter Personal. Un acceso a los datos en estas circunstancias no requerirá el consentimiento del afectado (esto es, de la persona cuyos datos fueron recabados) para que el acceso en cuestión se produzca en condiciones de perfecto cumplimiento de la normativa aplicable, pues tal acceso resulta necesario para la prestación de un servicio al responsable del fichero de datos (en este caso, la compañía beneficiaria de los servicios de Cloud).

Sin embargo, el hecho de que tal acceso no requiera el consentimiento del afectado no exime de la obligación de firmar un contrato de encargo de tratamiento en el que se establecerán las condiciones en que el tratamiento de los datos tendrá lugar y la finalidad para la que se destinarán los mismos, o alternativamente, se deberán contemplar con detalle las condiciones del encargo en el propio contrato de prestación de servicios de Cloud. Del mismo modo, deviene fundamental asegurarse de que el prestador de servicios de Cloud pondrá en funcionamiento las medidas de seguridad necesarias para proteger el acceso a los datos en cuestión; medidas de índole técnica y organizativa tendentes a garantizar la seguridad e integridad de los datos, que impidan su alteración, pérdida, tratamiento o acceso no autorizado y que deben ser en todo caso acordes con la naturaleza de los datos que son objeto de tratamiento.

Finalmente, conviene tener presente que los servicios Cloud se prestan a menudo mediante el traslado de datos personales a servidores que pueden estar ubicados en el extranjero. He aquí otro aspecto importante que debe considerarse en el momento de negociar un contrato de servicios de Cloud pues, en función de las condiciones en que tal movimiento internacional de datos vaya a producirse, las implicaciones para las partes serán variadas. Así, en aquellos casos en los que la transferencia internacional de datos tenga como destino un Estado Miembro de la Unión Europea, o un Estado respecto del cual la Comisión Europea haya declarado que garantiza un nivel de protección adecuado, no será necesaria la expresa autorización del Director de la AEPD (sin perjuicio de la notificación preceptiva a la misma por la cual se ponga en su conocimiento que se va a producir esa transferencia internacional de datos). En otros supuestos, resultará preceptiva la autorización del Director de la Agencia de Protección de Datos y la comunicación a la Agencia respecto de tal transferencia de datos.

FUENTE:diariojurídico.com

MÁLAGA
La Agencia de Protección de Datos expedienta al Ayuntamiento por sus cámaras de vigilancia
Un peatón denunció al Consistorio porque los objetivos captan imágenes de los jardines y calles cercanas al edificio

Las cámaras colocadas por el Ayuntamiento para vigilar su sede central, ubicada en la avenida de Cervantes, junto al paseo del Parque, se exceden en su cometido. Así lo considera la Agencia Estatal de Protección de Datos (AEPD), que ha abierto un expediente sancionador al Consistorio a raíz de la denuncia de un peatón que ha visto vulnerada su intimidad por la captación de imágenes que realizan estos visores, colocados tanto en el edificio de la Casona del Parque como en unos postes situados frente a su fachada. El expediente está en curso, si bien el equipo de gobierno confía en que no termine en una sanción económica porque se están tomando las medidas oportunas para corregir lo que captan las cámaras, de tal forma que su campo de visión se limite únicamente al edificio consistorial y sus accesos, no a los viales y zonas públicas que lo rodean, para lo que el Ayuntamiento tendría que recabar un permiso especial de la Subdelegación del Gobierno.
Según una respuesta del equipo de gobierno al grupo municipal de IU, la AEPD argumenta que, pese a la existencia de carteles que advierten a los viandantes de que se trata de una zona vigilada por la Policía Local mediante cámaras, ello supone un tratamiento «excesivo y no adecuado de las imágenes en relación con el ámbito y las finalidades que podrían justificar su recogida, toda vez que la seguridad demandada podría igualmente obtenerse por medios menos intrusivos para la intimidad de las personas afectadas».
La Agencia de Protección de Datos también apunta que el tratamiento de las imágenes captadas tiene que contar con el consentimiento del afectado, cuestión que no se ha acreditado, o estar prevista por una ley que no es la esgrimida por el Ayuntamiento para justificar la labor de estas cámaras, sino otra que exige una autorización gubernamental previa.
Recurso
La resolución sancionadora de la AEPD fue notificada al Consistorio el pasado 31 de octubre y el 31 de diciembre venció el plazo para que éste interpusiera un recurso contencioso-administrativo contra el expediente. Sin embargo, el concejal de Seguridad, Julio Andrade, señaló a este periódico que este recurso no se ha presentado finalmente porque se ha asumido el dictamen de la agencia estatal y se están tomando las medidas oportunas para dar cumplimiento a sus observaciones sobre la captación de imágenes por las cámaras situadas en torno a la Casona del Parque, que son controladas por agentes de la Policía Local que forman parte del retén de guardia del edificio.
«Es cierto que, al ser cámaras de moderna tecnología, tienen un mayor alcance que lo que es el perímetro del edificio en sí, por lo que estamos tomando las medidas necesarias para corregir esta situación», expuso Andrade, quien confió en que el expediente abierto no derive en una multa, «porque lo que la agencia pide es que se retiren o se reorienten las cámaras», añadió.
En ese sentido, informó de que ya se han tomando medidas provisionales para limitar en la medida de lo posible su campo de visión y que en los próximos días quedará terminado un informe para concretar las acciones definitivas que sirvan para dar respuesta a las apreciaciones de la AEPD. «Podríamos haber recurrido el expediente y contradecir a la agencia, pero creemos que es mejor tomar medidas técnicas para corregir el problema», dijo el edil. En ese sentido, apuntó que esas medidas pueden pasar por la reubicación de algunas cámaras, lo que podría implicar la realización de obras para variar el recorrido de los cables a los que están conectadas.
Demostración
«Una vez que tengamos el informe y tomemos las medidas necesarias, demostraremos técnicamente a la Agencia de Protección de Datos que ya no existe el problema que denunció el peatón y solicitaremos que se levante el expediente sancionador», aclaró Andrade. Esa demostración tendrá que hacerse con pruebas sobre lo que captan las cámaras una vez que sean modificadas.
Por su lado, el portavoz del grupo municipal de Izquierda Unida, Pedro Moreno Brenes, criticó la actuación del equipo de gobierno en este asunto y apuntó que «las cosas hay que hacerlas conforme a la legislación vigente». «¿Es que no han pedido un asesoramiento adecuado para ver que eso no podía ser así? El gobierno del PP ha demostrado muy poco rigor en este caso. No conocer la ley no exime de su cumplimiento», dijo.

FUENTE:Sur Digital (Andalucía)

Vigilancia
El Ayuntamiento cambiará sus cámaras por incumplir la ley
La Agencia de Protección de Datos obliga a ello ya que captan imágenes de la vía pública

Las cámaras captan imágenes de los jardines de Pedro Luis Alonso o del Paseo del Parque, lo que no es legal.

Las cámaras que el Ayuntamiento de Málaga tiene colocadas en el entorno de la casa consistorial, en la avenida de Cervantes, para vigilar los accesos al edificio infringen la ley, por lo que el equipo de gobierno del Ayuntamiento de Málaga va a proceder en los próximos días a la reubicación y adaptación de las mismas, en cumplimiento del requerimiento exigido por la Agencia Española de Protección de Datos (AEPD), según reconoció ayer lunes el concejal de Seguridad, Julio Andrade.

El Ayuntamiento tiene colocadas varias cámaras junto a las esquinas del edificio consistorial en unas torres de gran altura que tienen como misión vigilar los movimientos de entrada y salida del edificio. La Agencia de Protección de Datos, en una resolución del año pasado, requiere a las autoridades municipales para que «sustituyan o reubiquen» dichas cámaras. La AEPD entiende que la instalación de las cámaras infringe la Ley de Protección de Datos al abarcar más allá de lo que es el propio edificio y captar la vía pública y las zonas aledañas, lo que no está permitido, ya que las cámaras no pueden captar imágenes de la vía pública.

Algunas de las cámaras instaladas alcanzan incluso los jardines de Pedro Luis Alonso, mientras que otras captarían el paso de viandantes por el paseo del Parque e incluso por algunas de las calles laterales que rodean el edificio del Ayuntamiento.

Reubicar las cámaras

La ubicación y captación de imágenes de las cámaras están incumpliendo, según el organismo, el artículo 6 de la Ley de Protección de Datos, que señala que «el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa».

El concejal de Seguridad reconoció la irregularidad, «ya que el ángulo de visión de nuestras cámaras iba más allá del edificio».
Andrade explicó que el Ayuntamiento cumplirá en los próximos días el requerimiento de la Agencia de Protección de Datos, antes de que acabe el plazo instado por ésta, ya que de lo contrario se enfrentaría a una sanción económica por falta muy grave que podría llegar a los 300.000 euros.

En estos momentos los responsables del área de Seguridad están a la espera de un dictamen de la empresa encargada de la instalación y mantenimiento de las cámaras para «adoptar la solución que, dentro del respeto a la ley, sea más factible y, sobre todo, más económica».
Con todo, los técnicos ya han avanzado que lo más factible es la reubicación de las cámaras que sean necesarias, ya que su colocación en otros lugares sería más costosa.

FUENTE:La Opinión de Málaga

Protección de Datos abre una consulta pública sobre la nube

La Agencia Española de Protección de Datos (AEPD) ha iniciado una consulta pública que podría cambiar la forma en la que las empresas almacenan en Internet la información que les facilitan sus usuarios. La iniciativa convoca tanto a prestadores de servicios como a clientes, académicos y expertos a dar su opinión sobre el cloud computing o almacenamiento de datos en la nube.

El ahorro de costes que implica para las empresas y la disponibilidad de la información desde cualquier lugar son algunas de las ventajas de un mercado que se prevé que mueva 70.000 millones de euros anuales en 2015. Las excelencias del sistema han provocado que cada vez más entidades públicas y privadas ofrezcan a sus usuarios diversos sistemas de almacenamiento online, ya sea en sus propios servidores o alquilándolos a un tercero. Pero esta opción no está exenta de riesgos, y ya son varias las compañías que se han escudado en alojar esa información fuera de Europa (en algún país con una legislación diferente sobre protección de datos) para no tener que hacer frente a una indemnización ante filtraciones o robo de datos.

La AEPD no es la única que se está planteando las implicaciones en materia de protección de datos que tiene el almacenamiento de información en la nube. La Comisión Europea también lanzó su propia consulta pública, cuyo análisis puso de manifiesto la necesidad de crear un marco legal para estos servicios.

En paralelo, la autoridad francesa de protección de datos (CNIL) también ha abierto su propia consulta y las autoridades europeas de este área (englobadas en el denominado Grupo Europeo de Protección de Datos del Artículo 29) están trabajando en un dictamen sobre la adecuación a las normas europeas de estos servicios.

La consulta pública de la AEPD estará disponible en su web hasta el 27 de enero. Algunas de las preguntas más espinosas están centradas en la legislación o las garantías que asisten al usuario.

Fuente: Público

Noticias relacionadas:

1.La nube pública de Oracle
2.Trend Micro prevé una seguridad centrada en los datos y más inteligente para la era post-PC
3.CEPIS emite una declaración sobre los problemas de seguridad y privacidad que plantea la Computación en la Nube
4.NTT América elige a Trend Micro para proteger los datos de las plataformas cloud privadas
5.Protección desde la nube: Una tecnología vanguardista

FUENTE:Revista Cloud Computing