Cloud computing y Protección de Datos en despachos jurídicos

el .

cloud-computing-Con carácter previo es necesario resaltar que el cumplimento de la legislación de protección de datos es un aspecto esencial a la hora de contratar servicios Cloud por parte de un despacho de abogados, puesto que en cualquier caso, la posición jurídica de los despachos de abogados que contraten servicios de Cloud Computing es la de responsables del tratamiento (art. 3.d) de la LOPD y art. 5.1.q) del RLOPD), pues a ellos les corresponde la decisión sobre la finalidad, el contenido y el uso del tratamiento, así como la decisión sobre optar por la computación en la nube y sobre su modalidad.

Por su parte, el prestador de servicios de Cloud Computing tendrá la naturaleza de encargado del tratamiento (art. 3.g) de la LOPD y (art. 5.1.i) del RLOPD, pues en definitiva trata datos personales por cuenta del responsable.

En este marco, el contrato de prestación de servicios de tratamiento de datos personales por cuenta de terceros tiene una gran importancia.

En cualquier caso, la dinámica del Cloud Computing exige buscar soluciones que, siendo plenamente respetuosas con la LOPD y su Reglamento, permitan que los despachos de abogados puedan contratar tales servicios con garantías jurídicas y de seguridad en el tratamiento de los datos de carácter personal. En este sentido, y sin perjuicio del cumplimiento de las previsiones que contiene la legislación, y en particular las relativas al respeto a los principios de protección de datos y a la garantía de los derechos de los afectados (derechos de acceso, rectificación, cancelación y oposición), los artículos 20 a 22 del Reglamento, referentes al encargado del tratamiento, pueden ofrecer soluciones adaptadas a esta nueva realidad.

Aspectos esenciales del contrato de servicios que debe firmarse, tanto desde el punto de vista técnico como jurídico:

La LOPD establece en su art. 12.2 que “La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas”. Por tanto, el contrato de prestación de servicios entre el despacho y su proveedor de servicios Cloud ha de incorporar las previsiones necesarias para garantizar el adecuado cumplimiento de la normativa relativa a la protección de datos. En este sentido, el encargado está obligado a seguir las instrucciones del responsable del fichero en el tratamiento de los datos.

Una forma de que el cliente indique estas instrucciones puede ser la de adoptar decisiones sobre el tipo de nube con la que se le prestarán los servicios y sobre las modalidades de servicios que contrata.

Para ello, deberá haber solicitado y obtenido previamente información suficiente sobre ambos aspectos.

De modo que la extralimitación por parte del proveedor de Cloud en su calidad de encargado del tratamiento tendrá las consecuencias previstas en el art. 12.4 LOPD, en virtud de las cuales el encargado del tratamiento pasa a asumir la condición de responsable del fichero.

Es importante destacar que el responsable del tratamiento, en nuestro caso el despacho de abogados, es responsable de seleccionar como encargado del tratamiento a alguien que cumpla los requisitos legalmente establecidos. Así, el artículo 20.2 RLOPD establece que “Cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en este Reglamento”. Esta responsabilidad se extiende a la subcontratación de servicios. Así, cuando el encargado del tratamiento subcontrate alguna actividad propia del tratamiento de los ficheros, dicha subcontratación habrá de recogerse en el contrato de prestación de servicios entre el responsable y el encargado, siendo necesaria una autorización del primero en los casos de subcontratación sobrevenida no prevista en el contrato (art. 21 RLOPD).

Una fórmula que puede utilizarse a tal efecto es que el cliente autorice los servicios susceptibles de subcontratación (p.ej. servicios de “hosting”) y tenga permanentemente a su disposición una relación actualizada de las entidades subcontratadas y de los países donde operan, (por ejemplo en una página web a la que tenga acceso o a través de otras alternativas que le permitan estar informado).

Por otra parte, existen otros aspectos relevantes que van más allá de normativa de protección de datos de carácter personal y que conviene traer a colación. Son temas que encontrarán su mejor acomodo y resolución en el propio contrato de prestación de servicios entre el proveedor y el cliente, el despacho de abogados en nuestro caso. Por la novedad de este tipo de contratos, resulta conveniente tratarlos a continuación.

En definitiva, para garantizar la seguridad jurídica del servicio Cloud contratado, el contrato de prestación de servicios suscrito entre el despacho y el proveedor ha de recoger, un conjunto mínimo de cláusulas, entre las que cabe destacar las siguientes:

• Régimen de los datos. Es esencial que el contrato especifique que el proveedor no puede disponer de los datos personales ni hacer uso de los mismos para ningún fin que no esté expresamente autorizado por el abogado o despacho (y cuente, en su caso, con el consentimiento del titular).

• Cumplimiento de legislación de protección de datos de carácter personal. El proveedor ha de asumir expresamente el papel de encargado del tratamiento de los ficheros de datos de carácter personal que el despacho decida trasladar “a la nube”, con todas las obligaciones propias de tal figura tal y como se recogen en la legislación española y europea. Además si el proveedor almacena la información de carácter personal en sistemas ubicados fuera de la Unión Europea, ha de asumir las obligaciones que al encargado del tratamiento de los ficheros de datos de carácter personal impone la legislación española, con independencia de la jurisdicción aplicable al territorio en el que se localizan los centros de proceso de datos. En particular, si la localización no se encuentra entre las aceptadas por la AEPD, es preciso recabar autorización de la misma, y es aconsejable incluir en el contrato de servicios las cláusulas tipo propuestas por la Unión Europea.

• Seguridad en el acceso. El proveedor ha de garantizar que la información solo será accesible al despacho de abogados que contrata sus servicios, y a quienes el despacho determine con los perfiles de acceso correspondientes. En caso de que el abogado o despacho trate datos especialmente protegidos, se incluirán cláusulas que garanticen su tratamiento con las medidas de seguridad que sean exigibles.

• Integridad y conservación. El proveedor ha de disponer de los mecanismos de recuperación ante desastres, continuidad en el servicio y copia de seguridad necesarios para garantizar la integridad y conservación de la información.

• Disponibilidad. El proveedor ha de garantizar una elevada disponibilidad del servicio, así como comprometerse a organizar las paradas programadas para mantenimiento con la suficiente antelación y dando aviso de las mismas al despacho.

• Portabilidad. El proveedor ha de obligarse, a la terminación del servicio, a entregar toda la información al despacho en el formato que se acuerde, para que éste pueda almacenarla en sus propios sistemas o bien trasladarla a los de un nuevo proveedor, en el plazo más breve posible y con total garantía de la integridad de la información.

• Consecuencias para el caso de incumplimiento del proveedor de servicios Cloud de las obligaciones anteriormente recogidas

• El cumplimento diligente de las garantías para la protección de datos personales que se han expuesto permitirá excluir la responsabilidad del cliente que contrate los servicios de Cloud Computing.

Un modelo Cloud es plenamente factible para un despacho de abogados, y muy aconsejable desde un punto de vista operativo y financiero. Sin embargo, es necesario que el contrato de prestación de servicios suscrito con el proveedor contemple los aspectos esenciales que se han expuesto en este documento, para garantizar que el servicio se recibe con todas las garantías técnicas y legales y con pleno respeto al derecho a la protección de datos de carácter personal.

fuente: AGPD

Desde Talento Consulting y su división TalentoPROTEC, especializada en seguridad de la información, colaboramos con diversos Colegios Profesionales y Despachos (Abogados, Procuradores, Registradores, Notarias, …) asesorando en  materia de Protección de Datos y realizando una rápida adaptación a la LOPD.

Si necesitas servicios en la implantación de la normativa referente a la ley Orgánica de Protección de Datos (LOPD) en tu despacho profesional, no dudes en ponerte en contacto con nosotros.

Aquí podemos asesorarte. Consúltamos sin compromiso

Puedes descargar el informe completo aquí

CONTACTO

  • Dirección: Autovía Sevilla-Málaga A92,  Polig.La Red Norte c/la red doce nº1
    Alcalá de Guadaira, 41500 Sevilla
  • Teléfono: 955 268 956 / 617 387 074
  • Esta dirección de correo electrónico está protegida contra spambots. Usted necesita tener Javascript activado para poder verla.
TalentoProtec La nueva leyeuropeadeprotecciondatos, verdadero reto para las empresas en 2018 #congresoAPDmkt @mktalento #lopdsevilla #mktlegal
TalentoProtec RT @Infoempleo: ¿Pueden las #empresas grabarte📹 en el trabajo sin tu consentimiento?🤔 ¡Aquí tienes todos los detalles! https://t.co/nhIHTYI
TalentoProtec RT @eshowesp: ¡Vuelven los eAwards: Premiamos a los mejores negocios B2B! Inscripción gratuita https://t.co/g0bxMP9tt3 https://t.co/NIc1vX