La compañía de ciberseguridad S2 Grupo ha advertido que tras la anulación del denominado "escudo de privacidad" (Privacy Shield) por parte del Tribunal de Justicia de la Unión Europea (TJUE), que permitía el intercambio de datos personales entre la Unión Europea y EE.UU., es esencial revisar los contratos con los proveedores cloud para garantizar la protección de la información que almacenan o gestionan las empresas.
El "Privacy Shield" es un acuerdo que consideraba a Estados Unidos un país "seguro" para los datos personales de los ciudadanos de la UE y que permitía agilizar las transferencias internacionales entre los países europeos y el norteamericano.
El pasado mes de julio fue invalidado por el TJUE tras la denuncia de un particular austríaco, que estaba en contra de que la información que tenía en la red social Facebook pasara de los servidores de la división de la compañía en Irlanda a los que esta misma compañía tiene en EE.UU.
En su reclamación, el particular argumentaba que, adiferencia de la normativa de la UE sobre protección de datos, la normativaestadounidense no establecía la misma protección ante acciones de vigilanciagubernamentales.
"Esta decisión es consecuencia de una situación que desde diferentes instituciones de la UE se ha venido denunciando en repetidas ocasiones. Debido a la preponderancia de los gigantes tecnológicos norteamericanos, y a la falta de estrategia común desde la UE, se ha perdido el control y gobernanza sobre los datos. La UE no está en disposición de luchar contra el liderazgo tecnológico en cloud y almacenamiento de datos de los EEUU. Aunque para intentar cumplir el GDPR estos gigantes tecnológicos han colocado grandes bancos de datos en suelo europeo, la realidad es que al final el flujo de información termina en servidores ubicados en los EEUU", ha explicado José Rosell, socio-director de S2 Grupo.
"Ante esta decisión nos adentramos en un periodo de incertidumbre que vislumbra tres tipos de soluciones que pasan por una nueva negociación entre la UE y EE.UU. para definir un nuevo acuerdo que sustituya el Privacy Shield; adaptar la normativa de EE.UU. con controles más acordes al GDPR, o cambios en los controles de las organizaciones (privadas y públicas) de la UE para continuar manteniendo las transferencias a EEUU sin incumplir el GDPR", ha apuntado Miguel A. Juan, socio-director de S2 Grupo.
Los riesgos que supone para las organizaciones
Desde S2 Grupo se ha destacado que los principales riesgosde esta decisión del TJUE en organizaciones tanto públicas como privadas son:
- Proveedores de almacenamiento de datos (ubicados en EEUU o clouds que no podemos asegurar dónde almacenan los datos): normalmente esta relación se regula a través de contratos de adhesión (cláusulas generales) en las webs de los proveedores. Por eso, es necesario revisar dichas condiciones y reclamar al proveedor una actualización de las mismas.
- Cláusulas informativas/consentimiento de los titulares de los datos: donde antes informábamos pero no solicitábamos el consentimiento de que los datos podían almacenarse en los EEUU, al considerar que o era un encargo de tratamiento o una transferencia internacional a un país seguro, la nueva situación podría suponer revisar y actualizar dichos consentimientos.
- Registros de Tratamiento: donde antes se registraban "transferencias internacionales a países con un nivel de protección adecuado" ahora se debe actualizar dicho registro.
Ante la anulación del "escudo de privacidad" ypara regular la situación tras la sentencia, desde S2 Grupo se insta a lasempresas a comprobar si sus proveedores cloud están en la lista de empresasasociadas al Privacy Shield y, en caso afirmativo, a verificar las condicionesdel acuerdo para comprobar que se han actualizado adecuadamente. Además, lacompañía advierte que es importante revisar y actualizar los Registros deTratamiento, contratos, políticas de privacidad y cláusulas de información.