Datos personales en la Nube y la protección de datos ¿qué debo saber?
Una cuestión importante que debemos tener en cuenta a la hora de declarar nuestros ficheros con datos de carácter personal es la denominada transferencia internacional de datos (tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo).
La AGPD ( Agencia Española de Protección de Datos) considera que, cuando utilizamos servicios en la nube cuyos servidores no se encuentren dentro de las listas de países declaradas con nivel adecuado de protección o aún estando dentro de la lista, se desconoce su ubicación física, se trata de una transferencia internacional de datos y por tanto requiere Autorización previa de la agencia para su uso.
Este es el caso concreto de servicios como Google, Dropbox, Mail Chimp,… Utilizar formularios para recabar información de los usuarios a través de servicios de Google, implica que debemos realizar una solicitud de autorización previa. El uso de estos servicios no está perseguido por la AEPD, es decir; si tu entidad utiliza Google Apps y Dropbox para compartir archivos propios sin intercambiar datos de usuarios, no tienes de qué preocuparte. Solo deberás tenerlo en cuenta cuando se trate de datos de carácter personal, por ejemplo encuesta ciudadana a través de Formularios de Google en la que se recaben datos como el DNI o el Nombre, intercambio de listas de empadronados a través de Dropbox o envío de correos con datos de carácter personal a través de Gmail.
Para más información podéis acudir a la AGPD y en concreto a los siguientes enlaces:
Explicación de qué es una transferencia internacional de datos y la Guía para clientes que contraten servicios de Cloud Computing de la AGPD (ver el capítulo de El cloud computing en las administraciones públicas).
Os recordamos que de acuerdo con lo dispuesto en el artículo 44.4.d) de la LOPD, constituye falta muy grave, “la transferencia internacional de datos de carácter personal con destino a países que no proporcionen un nivel de protección equiparable sin autorización del Director de la Agencia Española de Protección de Datos salvo en los supuestos en los que conforme a esta Ley y sus disposiciones de desarrollo dicha autorización no resulta necesaria”.