Anulado por el Tribunal de Justicia de la Unión Europea

Los riesgos de seguridad tras la anulación del ‘Privacy Shield’

66
ciberseguridad cloud

La compañía de ciberseguridad S2 Grupo ha advertido que tras la anulación del denominado “escudo de privacidad” (Privacy Shield) por parte del Tribunal de Justicia de la Unión Europea (TJUE), que permitía el intercambio de datos personales entre la Unión Europea y EE.UU., es esencial revisar los contratos con los proveedores cloud para garantizar la protección de la información que almacenan o gestionan las empresas.

El “Privacy Shield” es un acuerdo que consideraba a Estados Unidos un país “seguro” para los datos personales de los ciudadanos de la UE y que permitía agilizar las transferencias internacionales entre los países europeos y el norteamericano.

El pasado mes de julio fue invalidado por el TJUE tras la denuncia de un particular austríaco, que estaba en contra de que la información que tenía en la red social Facebook pasara de los servidores de la división de la compañía en Irlanda a los que esta misma compañía tiene en EE.UU.

En su reclamación, el particular argumentaba que, a diferencia de la normativa de la UE sobre protección de datos, la normativa estadounidense no establecía la misma protección ante acciones de vigilancia gubernamentales.

“Esta decisión es consecuencia de una situación que desde diferentes instituciones de la UE se ha venido denunciando en repetidas ocasiones. Debido a la preponderancia de los gigantes tecnológicos norteamericanos, y a la falta de estrategia común desde la UE, se ha perdido el control y gobernanza sobre los datos. La UE no está en disposición de luchar contra el liderazgo tecnológico en cloud y almacenamiento de datos de los EEUU. Aunque para intentar cumplir el GDPR estos gigantes tecnológicos han colocado grandes bancos de datos en suelo europeo, la realidad es que al final el flujo de información termina en servidores ubicados en los EEUU”, ha explicado José Rosell, socio-director de S2 Grupo.

“Ante esta decisión nos adentramos en un periodo de incertidumbre que vislumbra tres tipos de soluciones que pasan por una nueva negociación entre la UE y EE.UU. para definir un nuevo acuerdo que sustituya el Privacy Shield; adaptar la normativa de EE.UU. con controles más acordes al GDPR, o cambios en los controles de las organizaciones (privadas y públicas) de la UE para continuar manteniendo las transferencias a EEUU sin incumplir el GDPR”, ha apuntado Miguel A. Juan, socio-director de S2 Grupo.

Los riesgos que supone para las organizaciones

Desde S2 Grupo se ha destacado que los principales riesgos de esta decisión del TJUE en organizaciones tanto públicas como privadas son:

  1. Proveedores de almacenamiento de datos (ubicados en EEUU o clouds que no podemos asegurar dónde almacenan los datos): normalmente esta relación se regula a través de contratos de adhesión (cláusulas generales) en las webs de los proveedores. Por eso, es necesario revisar dichas condiciones y reclamar al proveedor una actualización de las mismas.
  2. Cláusulas informativas/consentimiento de los titulares de los datos: donde antes informábamos pero no solicitábamos el consentimiento de que los datos podían almacenarse en los EEUU, al considerar que o era un encargo de tratamiento o una transferencia internacional a un país seguro, la nueva situación podría suponer revisar y actualizar dichos consentimientos.
  3. Registros de Tratamiento: donde antes se registraban “transferencias internacionales a países con un nivel de protección adecuado” ahora se debe actualizar dicho registro.

Ante la anulación del “escudo de privacidad” y para regular la situación tras la sentencia, desde S2 Grupo se insta a las empresas a comprobar si sus proveedores cloud están en la lista de empresas asociadas al Privacy Shield y, en caso afirmativo, a verificar las condiciones del acuerdo para comprobar que se han actualizado adecuadamente. Además, la compañía advierte que es importante revisar y actualizar los Registros de Tratamiento, contratos, políticas de privacidad y cláusulas de información.

Artículo
Los riesgos de seguridad tras la anulación del 'Privacy Shield'
Nombre
Los riesgos de seguridad tras la anulación del 'Privacy Shield'
Descripcion
La compañía de ciberseguridad recomienda revisar los contratos con los proveedores cloud para garantizar la protección de los datos personales frente a EE.UU.
Autor
Publico
Escudo Digital
Logo