Algunas cuestiones clave de protección de datos en la nube. Hacia una «regulación nebulosa»

El desarrollo de los sistemas informáticos ha evolucionado, se puede decir que de manera natural,⁶hacia la nube, la computación en la nube (cloud computing). En un lustro, buena parte de la información mundial estará en la nube, ya se trate de información pública o de sujetos privados, ya se trate de información privada o reservada o información de libre acceso. Pese a algunos escépticos sobre su importancia,⁷estamos ante una

Page 88

de las mayores revoluciones tecnológicas de los últimos tiempos. Y, como cualquier proceso evolutivo, el avance de la computación en la nube como paradigma tecnológico mundial representa un desafío en todos los órdenes.

La nube supone⁸una nueva forma de prestación de los servicios de tratamiento de la información que permite al usuario no hacer inversiones de infraestructura, sino que utiliza la que pone a su disposición el prestador del servicio. Como avanzara Carr en el 2005, para las corporaciones, las TIC dejan de ser una propiedad, para pasar a ser un servicio que adquieren como usuarios.⁹El usuario dispone virtualmente de sus bases de datos, correo electrónico, nóminas o gestión de recursos humanos, etc., a través de internet; mientras que físicamente dicha información puede estar localizada en cualquier lugar del mundo. El mismo prestador de servicios de nube puede, a su vez, variar constantemente la ubicación de dicha información, compartiendo o subcontratando servicios en otra escala y de forma dinámica, esto es, según las necesidades. De este modo, se proporciona un servicio a demanda. Uno de los caracteres básicos de la computación en la nube es la optimización de la asignación y coste de los recursos a las necesidades, lo mismo que la elasticidad de los servicios de la nube y su adaptación a las necesidades específicas. El usuario externaliza sus servicios y no tiene que gestionar la infraestructura, el sistema informático, sino que lo hace el prestador de servicios de nube. Además de reducir costes (locales, equipos y conocimientos informáticos, personal especializado, etc.), la eficacia del servicio está más garantizada, así como la seguridad, que quedan en manos de proveedores especializados. Los prestadores, por lo general, son grandes proveedores con infraestructuras complejas, si bien también hay lugar para prestadores intermedios con servicios añadidos y personalizados.

Los servicios de la nube pueden ser variados según diversos criterios. Interesa en este sentido recordar lo que implica la nube privada, pública o híbrida. Cuando se trata de nube privada, hay una infraestructura informática dedicada exclusiva e individualmente para su usuario. La información queda bajo el control de dicho individuo, que es el responsable. La infraestructura puede ser del mismo usuario o puede tratarse de un servicio que le prestan de manera exclusiva, de modo que no participan terceros en esta relación ni se comparten los servicios de información. Es como un centro de datos convencional a distancia, si bien con la referida característica de la optimización de los recursos a las necesidades. Por el contrario, la nube pública implica que la infraestructura es del prestador de servicios. El prestador presta sus servicios de forma abierta a los distintos usuarios, entidades heterogéneas, que comparten dicha infraestructura a través de internet. Los usuarios no tienen otra relación que la de ser usuarios del servicio. El usuario transfiere, en buena medida, el control sobre sus datos. Hay soluciones intermedias: así, se considera nube híbrida cuando determinados servicios se ofrecen de forma pública y otros de forma privada; y también se habla de nubes comunitarias cuando la infraestructura informática es compartida por varias organizaciones en beneficio de una comunidad de usuarios específica. Ningún proveedor de nube pública puede garantizar siempre una calidad de servicio (sobre la base de acuerdos de nivel de servicio) capaz de responder a la naturaleza crítica del servicio, por lo que organizaciones grandes o medias siempre necesitarán nube privada. Ahora bien, basarse sólo en una nube privada, aunque puede ser factible y aconsejable desde una perspectiva de seguridad y eficacia, puede no ser viable a largo plazo por razón de los costes.

Cabe también hacer referencia a los tres modelos de servicios que suelen aplicarse a las soluciones en la nube, tanto públicas como privadas: infraestructura como servicio (IaaS, del ingés infrastructure as a service), nube de software como servicio (SaaS, del inglés software as a service), y plataforma como servicio (PaaS, del inglés platform as a service).

Page 89

La infraestructura como servicio (IaaS) es como el servicio en bruto de dar almacenamiento y alojamiento masivo en servidores remotos, sustituyendo a los sistemas informáticos de empresa. El usuario ha de tener sus aplicaciones. En la nube del tipo software como servicio (SaaS) el usuario cuenta con aplicaciones en la nube, como una aplicación de contabilidad, de correo electrónico, un workflow, un programa para la gestión documental de su empresa, hojas de cálculo, herramientas de tratamiento de textos, agendas y registros informatizados, calendarios compartidos, etc. Así, el prestador proporciona en línea distintos servicios de aplicaciones y los pone a disposición de los usuarios finales, de modo que el usuario ya no necesita contar con ellos en la organización. Una opción intermedia es la plataforma como servicio (PaaS), en la que se proporcionan herramientas para construir aplicaciones, como bases de datos o entornos de programación, sobre las que el usuario puede desarrollar sus propias soluciones. El usuario desarrolla y aloja aplicaciones que destina a su organización o a terceros y, en todo caso, no necesita equipos o programas específicos o adicionales a nivel interno.

Se pueden señalar características esenciales de los servicios de la nube:¹⁰- Autoservicio a la carta: el usuario se abastece unilateralmente de sus necesidades informáticas sin interacción humana.

- Amplio acceso a la red a través de diversos terminales.

- Posible uso común de recursos, asignados y reasignados dinámicamente según necesidades.

- Rapidez y elasticidad a escala de suministro de capacidades según necesidades, con redimensionamiento inmediato que lleva a que aparezcan como ilimitadas para el usuario, que las puede adquirir al momento.

- Deslocalización, por cuanto se cuenta con el servicio a distancia con independencia material de dónde este se preste.

- Servicio supervisado por el prestador de servicios, que controla y optimiza el uso de recursos. El uso de recursos puede seguirse, controlarse y notificarse, lo que aporta transparencia tanto para el proveedor como para el consumidor del servicio utilizado.

- Costes reducidos, convirtiendo gastos de capital (habitualmente inversiones grandes) en gastos de funcionamiento, de servicios, con barreras de entrada reducidas.

- Seguridad, en principio aumenta por la centralización de datos y concentración de las medidas de seguridad, a cargo de proveedores especializados.

La nube implica cambios sociales y económicos muy trascendentes. Las empresas, desde la más grande hasta la más pequeña, actúan en mercados abiertos y globales y lo hacen en buena medida utilizando los servicios online descritos. La mayor parte de los usuarios acceden a contenidos y aplicaciones que están o se ejecutan en la nube. El trabajo online y el bring your own device (BYOD, «trae tu propio dispositivo») se está generalizando. Alrededor de un 90 % de los empleados (en los países desarrollados) utilizan sus propios dispositivos para el trabajo o para acceder a distancia a la información de la empresa, con los peligros y fisuras de seguridad que ello puede generar.¹¹Desde la perspectiva económica y como se recuerda desde Europa,¹²el sector de las TIC es directamente responsable del 5 % del PIB europeo, con 660 000 millones de euros. Y más allá de esta cantidad, contribuye especialmente al crecimiento de la productividad general, al elevado grado de dinamismo e innovación inherente al sector y a su capacidad para transformar el modo de funcionamiento de otros sectores. Así, implica un 20 % directamente del sector de las TIC y un 30 % de

Page 90

las inversiones en TIC). Un estudio para Microsoft¹³afirma que el la computación en la nube creará cerca de 14 millones de nuevos empleos en todo el mundo en el 2015; de ellos, 134 000 corresponderían a España.¹⁴

En nuestro país hay algunas agrupaciones sectoriales, vinculadas al ámbito europeo.¹⁵Otros estudios afirman que se crearán hasta 800 000 empleos en Europa para el mismo periodo.¹⁶Los beneficios de la nube se estiman en 1,1 billones (europeos) de dólares.¹⁷Ello, y el ya comentado ahorro de costes y el aumento de la productividad que proporciona la computación en la nube, provocará una importante reinversión por parte de las organizaciones y, por consiguiente, el crecimiento del empleo. Los poderes públicos son conscientes del potencial de la nube, y así se aprecia con claridad en los objetivos en las agendas digitales europeas,¹⁸y especialmente en la española.¹⁹Es más, se tiene en cuenta que una mejora del marco jurídico de protección de datos puede contribuir al desarrollo del sector.²⁰

Sin perjuicio de las muchas posibles ventajas, también el uso de la nube presenta diferentes inconvenientes generales, a saber: la disponibilidad de las aplicaciones está sujeta a la disponibilidad de acceso a internet; puede darse un ambiente propicio para el monopolio y el crecimiento exagerado en los servicios; hay un avance continuo en las aplicaciones y servicios, lo cual conlleva cierto lastre para el aprendizaje en empresas de orientación no tecnológica; hay riesgos de sobrecarga en los servidores de los proveedores; y la centralización de las aplicaciones y el almacenamiento de los datos origina una interdependencia de los proveedores de servicios.²¹

No obstante, y por lo que aquí más interesa, un riesgo esencial es la seguridad y la privacidad. Es cierto que —como se dijo— lo servicios de la nube mejoran la seguridad y privacidad: la información no queda diluida en los numerosos usuarios responsables de ficheros no familiarizados con lo informático, la seguridad y la legalidad, sino concentrada en manos de especialistas en seguridad con grandes equipos, formación e infraestructura. No obstante, la información del usuario ya no queda localizada en la organización y bajo su control, sino que queda más o menos expuesta a terceros, ya por su acceso a la infraestructura de los prestadores de servicios de nube, ya por los riesgos de seguridad en las continuas conexiones entre el usuario y el prestador.

Page 91

Los informes mundiales sobre seguridad en la nube²²han descrito los riesgos más importantes. Las preocupaciones que derivan de estos informes se centran en aspectos de la gestión de los datos, fundamentalmente en la propiedad de los mismos y la forma de operarlos y tratarlos por parte de los proveedores, así como en la identificación y el control de acceso a los recursos. El Grupo de Trabajo del artículo 29, por ejemplo, divide los riesgos, de un lado, en la falta de control de los datos, esto es: falta de disponibilidad, de portabilidad, de integridad, de confidencialidad de los datos, así como la complejidad y la dinámica de la cadena de subcontratación. De igual modo, la falta de aislamiento de datos de los distintos usuarios. Del otro lado se destaca el riesgo de la falta de transparencia: los usuarios no son conscientes de las amenazas y riesgos de los servicios, ni de la existencia de múltiples encargados del tratamiento y subcontratistas, así como de la ubicación de su información y si está fuera o dentro de la Unión Europea.²³

La Cloud Security Alliance (CSA) señala como amenazas el abuso y mal uso de la computación en la nube (especialmente en servicios IaaS y PaaS —infraestructura y plataforma como servicio, respectivamente—); el uso de interfaces y API (application programming interface) poco seguros, que son los que sirven para que el usuario controle e interactúe con los recursos contratados. Recuerda la CSA que la autenticación, acceso, cifrado de datos, etc., del usuario se realiza a través de estas herramientas, y pueden generar problemas de seguridad tanto intencionados como accidentales. En cualquier caso, se insiste en que la amenaza interna es una de las más importantes; esto es, el riesgo que procede del prestador de servicios de la nube, puesto que tiene acceso de forma natural a los datos y aplicaciones de la empresa. También se insiste en los problemas derivados de las tecnologías compartidas, dado que los componentes físicos, el hardware, no fueron diseñados para una arquitectura de aplicaciones compartidas. Asimismo, en la nube, aumenta el riesgo de la fuga de información; debido a la propia arquitectura de la misma, el número de interacciones se multiplica. De igual modo, se destacan los riesgos por desconocimiento de con quién se comparte la infraestructura, así como que los intentos de acceso no autorizados pueden resultar muy importantes a la hora de decidir la estrategia de seguridad.²⁴A los anteriores riesgos y problemas, Gartner añade otros riesgos de la nube, como es el teletrabajo y el acceso a datos fuera de las instalaciones de la empresa (BYOD) supra referidos; la deslocalización de la información y el desconocimiento de dónde y en qué país están alojados los datos. También, respecto de la nube pública, se señala el riesgo que implica que varios clientes compartan la misma infraestructura; por ello, el proveedor debe garantizar el aislamiento de los datos de los respectivos clientes. De igual modo, se han señalado las dificultades que entraña la nube para la investigación de actividades ilegales, porque en estos entornos puede ser una investigación casi imposible dado que los datos y logs (registros de actividad) de múltiples clientes pueden estar juntos e incluso desperdigados. Por último, se indica el riesgo de la viabilidad a largo plazo, puesto que el mercado es cambiante y cabe la posibilidad de que el proveedor sea comprado o absorbido por alguno con mayores recursos.²⁵En España y a la vista de estos problemas, INTECO ha insistido en las claves de garantizar que los datos están almacenados de forma segura y aislados, pese a que se comparta la infraestructura y sistemas con otros clientes del servicio de la nube. De ahí la importancia de la autenticación de identidad de los usuarios y la eficaz eliminación o saneamiento de datos cuando corresponde, por el riesgo también de los recursos compartidos. Asimismo se recuerdan las amenazas de ataques de denegación de servicio, fallos del equipamiento y desastres naturales que ponen en riesgo la disponibilidad de la información por parte del usuario. Y para ello es esencial que el prestador de servicios dé respuesta a los incidentes de seguridad, esto es, la verificación, el análisis del ataque, la contención, la recolección de evidencias, la aplicación de remedios y la restauración del servicio.²⁶

Como recuerda la CSA, el objetivo, al fin y al cabo, es garantizar el ciclo de vida de la seguridad de la información, que consiste en seis fases: creación, almacenamiento, uso, compartición (hacer accesible la

Page 92

información a otros), archivo a largo plazo y, por último, destrucción. Y, en la nube, los retos clave al respecto se centran en:²⁷(1) la geolocalización de los datos —debe existir una garantía de que los datos estén donde legalmente sea posible—; (2) la eliminación efectiva y completa de los datos cuando se considere que son «destruidos»—debe existir una garantía de que los datos se eliminan adecuadamente—; (3) la diferenciación de los datos, especialmente los datos sensibles, respecto a los datos de otros clientes en su uso, almacenamiento o tránsito —debe existir una garantía de que los datos no se mezclan—; y (4) las garantías de recuperación y restauración de datos con planes efectivos de backup frente reescritura de datos o destrucción. Pues bien, lo que aquí se sostiene es que el ámbito de la legalidad y privacidad se inserte en el ciclo de vida de la seguridad de la información. Como recientemente ha señalado Martínez,²⁸tras la primera fase de expansión y generalización de los servicios de la nube y su significativa reducción de costes, hay que esperar la madurez de un mercado que debe exigir seguridad, privacidad y cumplimiento de la legalidad, cuestión a la que ahora se dedica la atención.

A los efectos de la normativa de protección de datos, es bien relevante determinar quién es quién en la prestación de servicios de la nube. Se trata de una cuestión inicialmente compleja,²⁹sobre la que hoy hay bastante claridad. Pues bien, como ha recordado el Grupo de Trabajo del artículo 29³⁰y la Agencia Española de Protección de Datos (AEPD),³¹el prestador de servicios de nube es, en términos del artículo 11 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), un «encargado» del tratamiento de datos, que actúa para la organización cliente del servicio en la nube contratado. Y el usuario o cliente es, en términos de legislación de datos, el «responsable» de dicho tratamiento (quien decide sobre la finalidad, contenido y uso del tratamiento). El «responsable», al fin y al cabo, es quien decide la contratación de dichos servicios, el mantenimiento o no de sus propios sistemas de información, la modalidad de nube y la tipología de servicios que contrata, y la elección del proveedor. Y esta responsabilidad de quien utiliza servicios de la nube, al derivarse de la aplicación de la ley, no puede alterarse contractualmente.³²No obstante, y como luego se aprecia, el marco contractual es clave para la definición de papeles y es prueba objetiva de la diligencia de las partes, así como juega un papel básico para la legalidad de las transferencias de datos internacionales.

Aunque no necesariamente en todos los casos, el encargado, esto es, la empresa que presta servicios de la nube, normalmente será una gran corporación que cuente con una posición prevalente en la contratación. De ahí que quien contrata servicios de la nube queda en una posición compleja por cuanto es «responsable», y la posición prevalente del prestador de servicios —encargado del tratamiento— puede ser un obstáculo para cumplir sus obligaciones. El futuro reglamento europeo de protección de datos en la línea de lo afirmado por el Grupo de Trabajo del artículo 29 de la UE, busca equilibrar la asimetría que puede producirse por esta preeminencia de los prestadores de servicios de la nube y sus usuarios.³³

Page 93

Como desde sus inicios puso en evidencia la Declaración de Independencia del Ciberespacio de 1996,³⁴no son pocos los problemas que implica en general la regulación de internet. Se hace especialmente necesario un derecho en red con intervención más horizontal de todos los operadores; de igual modo, el derecho y las finalidades que con él pretenden los poderes públicos, para tener algún sentido, deben adecuarse en buena medida a un código interno que aúna el funcionamiento técnico y la realidad y usos de la red.³⁵Aunque no es, en modo alguno, un fenómeno exclusivo de internet, en la red sí que se aprecia muy intensamente que hoy día la gobernación vertical y la heterorregulación por los poderes públicos queda en general obsoleta. La regulación que pretenda tener alguna eficacia debe ser el resultado de fórmulas de gobernanza en las que participe activamente el sector afectado sobre el que tienen que aplicarse las normas.³⁶Pues bien, la regulación de la nube no es, en modo alguno, ajena a estos problemas. Fenómenos más recientes como el del big data evidencian, aún más si cabe, estos problemas y hacen inclinarse hacia formas de regulación suaves.³⁷En el ámbito de la nube, Reed³⁸ha insistido recientemente en modelos de corregulación trasnacional, en especial se insiste en que es necesario reforzar la legitimación de las normas. Y, frente a los esquemas clásicos de legitimación normativa, esto es, a partir de la heterorregulación del sector por parte del Estado, la legitimación que se reclama procede precisamente del propio sector afectado. Se afirma así que la regulación no debe venir únicamente de normas institucionales de poderes públicos, sino de la mano de un regulador nebuloso (cloud-regulator). Esta regulación nebulosa resulta de la que genera las normas con la participación de la comunidad afectada (instituciones, individuos y las entidades empresariales implicadas), y tal regulación tiene necesariamente que ser aceptada y hacerse propia por los Estados e instituciones, que tienen que hacer valer tales normas. Esta regulación nebulosa de la nube, como infra se concreta, parece que va tomando cuerpo en razón de la acción no normativa de autoridades de protección de datos, al mismo tiempo que la consolidación de regulación técnica de origen privado por parte del sector. Y sobre esta base ya preexistente van a aprobarse normas propiamente dichas por la Unión Europea, sus instituciones y los Estados. Estas normas contendrán disposiciones básicas más generales que, a su vez, reenviarán al desarrollo de futuras normativas técnicas. Y esta normativa más concreta que en su día se apruebe por instituciones europeas o por Estados, sin duda, tendrá bien en cuenta la normativa técnica privada preexistente.

Para asentar lo anterior, cabe tener en cuenta que, aunque no de manera exclusiva, el fenómeno de la nube atrae la cuestión de la protección de datos,³⁹que es la que centra mayormente aquí el interés. Y en materia

Page 94

de protección de datos, la ley aplicable es la del lugar del cliente de servicios de la nube,⁴⁰quien, como se ha expuesto supra, es el responsable del tratamiento. Así pues, al usuario de servicios de la nube se le aplicará su ley nacional y, en consecuencia, el centro de atención es la Directiva 95/46/CE sobre protección de datos y, obviamente, para España su transposición a través de la LOPD y su desarrollo reglamentario. También habrá que seguir la Directiva 2002/58/CE (modificada por la Directiva 2009/136/CE).⁴¹

Miralles⁴²ha sintetizado los aspectos más relevantes del nexo de la protección de datos y la computación en la nube: 1) la pérdida de control sobre el tratamiento de la información, tanto por parte de las personas afectadas como por parte del responsable del tratamiento, y las consecuencias que se puedan derivar de ello (seguridad, confidencialidad, ejercicio de derechos, etc.); 2) las dificultades de encajar, jurídicamente y con suficiente agilidad, las situaciones de tratamiento de los datos por cuenta de terceros: el encargado del tratamiento en la nube y las posibles subcontrataciones; 3) las problemáticas derivadas del movimiento internacional de datos; 4) y, por último, la resolución efectiva de los incidentes relacionados con la vulneración del derecho fundamental en la protección de datos personales en situaciones de multiterritorialidad.

Frente a estos retos principales, que con más detalle se analizan infra, no son pocas las disparidades y posibles choques entre normativa americana y europea de protección de datos para la nube.⁴³Como especialmente recuerda Marzo, la Directiva 95/46/CE está muy desfasada y se ha convertido en una traba para las relaciones entre Europa y los terceros países. Y, como luego se concreta, el Grupo de Trabajo del Artículo 29 y la AEPD han sido proactivos en los últimos años para, a través de dictámenes, guías, orientaciones, cláusulas contractuales generales, etc., colmar las lagunas e incertidumbres de una normativa no concebida para la nube. Este soft law ha pasado a ser el marco de certidumbre en el sector a la espera de una normativa que no acaba de llegar. En todo caso, dado que las empresas y Administraciones públicas españolas no pueden abandonar el barco del «progreso tecnológico»,⁴⁴necesariamente tienen que arriesgarse a contratar servicios de computación en la nube sin un marco jurídico adecuado. La rigidez normativa sitúa a Europa y a su industria en una posición de clara desventaja competitiva frente al desarrollo de modelos de negocio de nube por la industria de los terceros países. La alternativa, obviamente, es desarrollar grandes plataformas de computación en la nube europeas respetuosas de las garantías europeas. Y no parece que pueda aventurarse este futuro.

Como es sabido, desde enero del 2012 se maneja el texto de un futuro Reglamento europeo de protección de datos, del que hay diversas versiones: de la Comisión (2012),⁴⁵del Parlamento (marzo del 2014),⁴⁶y del Consejo (junio del 2015)⁴⁷y parece ser que se aprobará en el 2016. Aunque lamentablemente no hay referencia expresa a los servicios de la nube, obviamente la regulación proyectada se proyecta para la computación en la nube.⁴⁸Entre otros aspectos, el Reglamento destaca por la figura del delegado de protección de datos

Page 95

(DPO, del inglés data protection officer, arts. 35-37). Dicha persona —en nuestro caso, la empresa cliente que contrata servicios de la nube— habrá de asumir el conocimiento y decisiones en la materia. A este respecto, la empresa que provee servicios de la nube también deberá generar todas unas buenas prácticas y transparencia sobre su actuación para facilitar la actividad y carga de responsabilidad del DPO.

También y especialmente, en razón del futuro Reglamento europeo puede tener mucha proyección, en el ámbito de la nube, la exigencia de la privacidad por diseño y por defecto:⁴⁹«El principio de protección de datos desde el diseño requiere la integración de la protección de datos en todo el ciclo de vida de la tecnología, desde la primera fase de diseño hasta su despliegue final, su utilización y su eliminación definitiva. Debe abarcar asimismo la responsabilidad por los productos y servicios utilizados por el responsable o el encargado del tratamiento. El principio de protección de datos por defecto exige que la configuración de la privacidad de los servicios y productos cumpla por defecto los principios generales de protección de datos, como la minimización de los datos y la limitación de los fines».⁵⁰Y, además de la regulación ya contenida en el futuro artículo 23, puede pensarse que esta se concretará y de manera mucho más precisa a través actos delegados y normas técnicas por parte de la Comisión Europea que están previstos (art. 23. 2.º y 3.º y art. 86). Podría así esperarse que, en unos años, diversos servicios de la nube pasen a ser un sector bastante regulado de manera concreta y homogénea y para toda la Unión Europea por la Comisión. Todo ello, sin perjuicio de que dicha regulación quizá llegue tarde pare remover usos, prácticas y autorregulación ya consolidados en el sector. También y para estimular el cumplimiento, se prevé que estas exigencias de privacidad por defecto y en el diseño pasen a ser «un requisito previo para las licitaciones de contratos públicos» (art. 23. 1 bis, versión Parlamento marzo 2014). No obstante, tras casi cuatro años desde el primer texto conocido, habrá que ver la regulación final que en su caso se apruebe, puesto que los cambios parecen muy sustanciales. No en vano, en junio del 2015 se conoció la versión del Reglamento del Consejo de la Unión Europea.⁵¹Por lo que ahora interesa, se refuerza mucho el papel de los Estados miembros, puesto que se elimina toda remisión o delegación de atribuciones a la Comisión para hacer el papel de regulador técnico homogéneo. En esta versión, se quita muchísimo poder a la Comisión y se deja la futura regulación técnica en manos de cada uno de los 28 Estados miembros. De así ser, se incrementa el riesgo de falta de regulación y, sobre todo, de falta de homogeneidad de la regulación técnica. De seguirse esta vía, la regulación de la nube puede hacerse mucho más nebulosa si cabe.

Según se ha señalado, el cliente de servicios de la nube es «responsable» de la protección de datos; y la empresa proveedora de servicios, «encargado». El usuario de nube como responsable tiene obligación legal de diligencia para «velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto» en la normativa de protección de datos personales (art. 20.2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, RLOPD). El usuario de nube —responsable LOPD— debe hacer una ponderación de riesgos a partir de toda la información que sea posible. La AEPD ha adoptado un papel activo para difundir el conocimiento de esta responsabilidad y de los

Page 96

elementos de juicio para tomar decisiones.⁵²Así, por ejemplo, ha señalado las preguntas que debe formularse la empresa o Administración (a través del futuro delegado de protección de datos) antes de contratar servicios de nube:

1. -¿Qué debo analizar y tener en cuenta antes de contratar servicios de ‘cloud computing’?; 2.- Desde la perspectiva de la normativa de protección de datos, ¿cuál es mi papel como cliente de un servicio de ‘cloud’?;
   3.- ¿Cuál es la legislación aplicable?; 4.- ¿Cuáles son mis obligaciones como cliente?; 5.- ¿Dónde pueden estar ubicados los datos personales? ¿Es relevante su ubicación?; 6.- ¿Qué garantías se consideran adecuadas para las transferencias internacionales de datos?; 7.- ¿Qué medidas de seguridad son exigibles?; 8.- ¿Cómo puedo garantizar o asegurarme de que se cumplen las medidas de seguridad?; 9.- ¿Qué compromisos de confidencialidad de los datos personales debo exigir?; 10.- ¿Cómo garantizo que puedo recuperar los datos personales de los que soy responsable (portabilidad)? 11. ¿Cómo puedo asegurarme de que el proveedor de cloud no conserva los datos personales si se extingue el contrato? ; 12.- ¿Cómo puedo garantizar el ejercicio de los derechos de acceso, rectificación, cancelación y oposición (derechos ARCO)?

Y para poder desarrollar esta labor por el responsable, es esencial la transparencia por parte de la empresa prestadora de servicios de la nube. Como han señalado las instituciones y autoridades de protección de datos, la transparencia es «un principio esencial que debe presidir las relaciones entre las partes, especialmente en los casos en que el proveedor de servicios ocupa una posición preeminente sobre los clientes»⁵³(especialmente pymes, microempresas, profesionales o Administraciones públicas sin gran estructura orgánica). Esta diligencia se traduce en exigencias importantes de transparencia al prestador de servicios para conocer sus garantías y si cumple lo exigible por la normativa y tomar las decisiones. El prestador de servicios de nube debe informar a los clientes de todos los subcontratistas de los respectivos servicios de nube y de todos los lugares donde los datos puedan ser almacenados, en especial, los lugares fuera del Espacio Económico Europeo (EEE). También el cliente deberá disponer de información significativa sobre las medidas técnicas y de organización aplicadas por el proveedor.⁵⁴

Como señala el Grupo de Trabajo del Artículo 29 de la UE,⁵⁵respecto del futuro Reglamento europeo, la empresa de servicios de nube (encargado del tratamiento) que no se atenga a las instrucciones del responsable del tratamiento, será considerado responsable del tratamiento y estará sujeto a las normas específicas en materia de control conjunto. Ello se realiza precisamente para equilibrar la situación habitual de preeminencia del prestador de servicios de la nube respecto del usuario, responsable del tratamiento, especialmente si se trata de una pyme.

A estas obligaciones de la empresa que presta servicios de nube,⁵⁶hay que sumar tradicionales exigencias a un encargado que aloja datos.⁵⁷Y cabe recordar en este sentido que han de venir recogidas en contrato (art. 12 LOPD). Entre tales obligaciones, una vez acabe la relación contractual, está la destrucción, devolución de los datos al responsable o su transferencia a la nueva empresa contratada (art. 12.2 y 3 LOPD y art. 22 RLOPD). En la versión inicial del Reglamento europeo de la Comisión, en su artículo 18 se incluyó un novedoso «derecho a la portabilidad», que desaparece en la versión del Parlamento, del 2014, y reaparece en la versión del Consejo, de 2015 (art. 18). Y en cuanto a las medidas de seguridad que ha de cumplir la empresa de la nube, serán «las mismas que las impuestas al responsable del fichero» (arts. 9 y 12.2 de la LOPD).⁵⁸En este sentido cabe recordar que el artículo 81.8 RLOPD permite aplicar diferentes niveles de

Page 97

seguridad a un fichero. Asimismo, el encargado del tratamiento debe elaborar el correspondiente documento de seguridad (art. 82. 2 RLOPD).

Por lo expuesto y en la práctica, tendrá un especial interés comprobar las relaciones reales de la empresa de servicios de la nube con los clientes según sus perfiles. En este sentido cabrá prestar atención al papel activo de empresa y clientes en la definición del lugar que les corresponde como encargado y responsable de tratamiento. Asimismo, será de especial interés para la potenciación de los servicios de la nube descubrir las mejores prácticas para que la relación sea equilibrada entre uno y otro y tendente a la confianza y al mejor cumplimiento de las exigencias de seguridad y legales. Sin duda y en la práctica, es clave el papel pedagógico de la empresa de servicios de la nube y su proactividad en la difusión de información en incluso formación para sus clientes.

El contrato es la expresión de la relación jurídica entre el cliente —responsable— y el proveedor de servicios de la nube —encargado—, y su existencia y unos contenidos mínimos se derivan del artículo 12 LOPD. Más allá de la exigencia formal, el contrato entre el encargado y el responsable es un indicador de la diligencia y responsabilidad del usuario de la nube (responsable). Pese a ser una responsabilidad del cliente, el «responsable», en la práctica y realidad de la nube, la empresa de servicios de la nube (encargado) debe tener preparado un cuerpo contractual fuerte para dar toda la confianza y seguridad jurídica a sus clientes (responsables). Dicho cuerpo contractual normalmente se instrumenta por el contrato particular, que remite a unas condiciones generales de contratación que, a su vez, habitualmente remiten a un documento técnico de «acuerdo de nivel de servicio». También en los casos de consumidores, pueden ser relevantes jurídicamente los folletos o información comercial a que haya accedido el cliente. Todo este conjunto contractual juega un papel clave en los servicios de la nube como garantía no solo de las partes, sino del cumplimiento de la legalidad y la seguridad jurídica.

Además, y como es más que habitual en los servicios de nube, intervendrán empresas subcontratadas;⁵⁹es decir, el proveedor de nube empleará, a su vez, otros servicios de nube para realizar su prestación, como socios, partners, resellers, cloud builders, etc. Y, en este caso, la normativa (en especial el artículo 21.2 RLOPD) exige mayores garantías, como ha ratificado la STS de 15 de julio de 2010, FJ 10.⁶⁰Así, las garantías deben darlas los socios de prestadores de nube —en cualquiera de las figuras de reseller, agregadores de servicios de nube, cloud builders, proveedores de aplicaciones, etc.—, y los que proporcionan servicios contratando directamente con los clientes.

El Grupo de Trabajo del artículo 29 ha recordado diversos contenidos y garantías en el contrato de servicios de nube,⁶¹los mismos tienen su reflejo en la guía de la AEPD para los clientes de servicios.⁶²Y hay que buscar un cuerpo contractual equilibrado entre las responsabilidades de cliente (responsable del tratamiento) y empresa de nube (encargada del tratamiento).⁶³

Page 98

Entre estos contenidos y garantías está la mencionada garantía de la portabilidad; esto es, que, al concluir el servicio, los datos se devuelvan al cliente o se transfieran a un nuevo proveedor de nube tras el contrato. También debe recogerse claramente la obligación que tiene el proveedor de nombrar a todos los subcontratistas contratados.⁶⁴Se recogerá que el proveedor hará públicos todos sus subcontratistas, por ejemplo, a través de un registro digital público. Y a este respecto debe garantizarse que el cliente conozca cualquier cambio por si quiere oponerse al mismo o rescindir el contrato.⁶⁵Asimismo ha de tener garantías efectivas frente a una posible infracción del contrato por el proveedor.⁶⁶

El contrato debe determinar medidas de seguridad técnica y de organización (en virtud del artículo 17, apartado 2, de la Directiva). De igual modo,⁶⁷debe especificar las instrucciones del cliente al proveedor e incluir el objeto y el calendario del servicio, niveles de servicio objetivos y mensurables y las sanciones correspondientes (financieras o de otro tipo). Deberá asimismo precisar las medidas de seguridad que deben respetarse, en función de los riesgos del tratamiento y de la naturaleza de los datos, en consonancia con los requisitos correspondientes y con sujeción a las medidas más estrictas previstas en la legislación nacional de los clientes. Habrá que indicarse que solo las personas autorizadas deberán tener acceso a los datos, con una cláusula de confidencialidad por lo que respecta al proveedor y sus empleados.

El contrato también deberá exigir al proveedor que notifique toda solicitud jurídicamente vinculante de divulgar datos personales presentada por las autoridades policiales o judiciales a menos que dicha divulgación esté prohibida por otras razones. El cliente deberá garantizar que el proveedor rechazará cualquier solicitud de divulgación jurídicamente no vinculante. También se recomienda que contractualmente el proveedor de servicios coopere con el responsable del fichero, el cliente, para controlar el tratamiento y facilitar el ejercicio por los interesados de sus derechos a acceder, corregir o suprimir sus datos (ARCO).

De igual modo, contractualmente debe reforzarse la obligación del proveedor de que se notifique al cliente toda violación de seguridad, para que este, a su vez, cumpla con la obligación legal de notificar violaciones a sus clientes. El contrato deberá reflejar que el cliente pueda auditar y solicitar el registro de las operaciones de tratamiento realizadas por el proveedor y sus subcontratistas. Para ello, no obstante, la mejor práctica es que contractualmente se acepten certificaciones y auditorías de terceros con plena transparencia. Así, el contrato puede reflejar la validez de tales auditorías y la facilitación de copia de la misma al cliente.

El contrato siempre remitirá a garantías del nivel de prestación de servicios que impliquen el estándar de garantía de la disponibilidad, integridad, confidencialidad, aislamiento, posibilidad de intervención y portabilidad.⁶⁸

No hay que olvidar que no solo están en juego los derechos e intereses de las partes, sino la garantía de un derecho fundamental de muchos sujetos que pueden quedar afectados por estar sus datos personales e información en juego.

Casi por defecto, el uso de la nube implica el trasiego internacional de datos,⁶⁹bien porque el prestador de servicios esté en el extranjero, bien porque, como se ha indicado, lo natural en la nube es la subcontratación

Page 99

de servicios por los prestadores de servicios. El marco normativo y las instituciones deben adaptarse a esta realidad y, al mismo tiempo, garantizar la seguridad, privacidad y el cumplimiento de la legalidad, permitiendo tales las transferencias internacionales de datos. Y deben permitirse las mismas asegurando que el responsable, esto es, el cliente, sigue manteniendo la capacidad de tomar decisiones.

Los datos fácilmente no estarán en España ni en territorio europeo, y es posible que los datos o el prestador estén en países terceros que no cuenten con un nivel adecuado de protección de datos (Suiza, Canadá, Argentina, isla de Guernsey, isla de Jersey, Islas Feroe, Andorra, Israel, Uruguay, Nueva Zelanda y ciertas compañías estadounidenses).⁷⁰En tales casos, por principio es requisito una autorización del director de la AEPD para permitir la transferencia internacional de datos (art. 33 LOPD). Y el incumplimiento de esta obligación es falta muy grave (artículo 44.4.d LOPD).

Ahora bien, tal autorización resultará automática si se siguen las cláusulas contractuales tipo de la Comisión Europea (artículo 26.2 de la Directiva 95/46/CE de protección de datos).⁷¹Así, cabe seguir especialmente la Decisión 2010/87/UE (DOUE L 39 de 12 de febrero de 2010), centrada en la subcontratación por un encargado del tratamiento establecido en un tercer país, de sus servicios de tratamiento a un subencargado establecido en un tercer país. Como se dijo respecto del contrato, este debe estipular de modo concreto cómo el prestador de servicios ha de aplicar los principios de la protección de datos y, al mismo tiempo, ofrecer un nivel de cumplimiento de las normas, facilitar su cumplimiento a las partes y dar vías de recurso y garantías a los perjudicados para ello.

Por su parte y de forma paralela, la AEPD elaboró en el año 2012 un nuevo conjunto de cláusulas contractuales para facilitar la subcontratación que ha de preverse en el contrato.⁷²Se necesitan determinadas adaptaciones del entorno de la nube (para evitar tener diferentes contratos por cliente entre un proveedor y sus subencargados), lo que podría implicar la necesidad de una autorización previa de la autoridad de protección de datos competente. La ventaja para las empresas de servicios de nube españolas es que, si se logra la autorización de transferencia de datos siguiendo estas cláusulas contractuales, no se precisa en general una ulterior si se mantiene lo establecido en el contrato. Solo tendrán que notificar —no pedir autorización— cada nueva transferencia internacional para que esta quede registrada.⁷³

Page 100

Otra vía para legalizar la transferencia internacional de datos es la adopción de reglas corporativas vinculantes. Se trata de dar respuesta a las sociedades multinacionales que deben realizar trasiego internacional de datos dentro del grupo. Así, se adoptan las normas de funcionamiento y buenas prácticas (binding corporate rules), son aprobadas por autoridades de protección de datos y han de ser efectivamente asumidas y cumplidas por las empresa multinacional.⁷⁴Ello puede permitir que empresas de nube puedan prestar sus servicios aprovechando la natural participación de otras empresas subcontratadas de fuera de la Unión Europea.