S2 Grupo urge a revisar los contratos con los proveedores cloud para garantizar la protección de los datos personales frente a EE.UU.

La empresa valenciana S2 Grupo, especializada en ciberseguidad y gestión de sistemas críticos, ha advertido que tras la anulación del llamado “escudo de privacidad” (Privacy Shield) por parte del Tribunal de Justicia de la Unión Europea (TJUE), que permitía el intercambio de datos personales entre la UE y EEUU, es fundamental revisar los contratos con los proveedores cloud para garantizar la protección de la información que almacenan o gestionan las empresas.

El llamado “Privacy Shield” es un acuerdo que definía a EEUU como un país “seguro” para los datos personales de los ciudadanos de la UE y permitía agilizar las transferencias internacionales entre los países europeos y el norteamericano. El pasado mes de julio este acuerdo fue invalidado por el TJUE tras la denuncia de un particular austríaco, que estaba en contra de que la información que tenía en la red social Facebook pasara de los servidores de la división de la compañía en Irlanda a los que esta misma compañía tiene en EEUU.

La reclamación presentada argumentaba que, a diferencia de la normativa de la UE sobre protección de datos, la normativa estadounidense no establecía la misma protección ante acciones de vigilancia gubernamentales.

“Esta decisión es consecuencia de una situación que desde diferentes instituciones de la UE se ha venido denunciando en repetidas ocasiones. Debido a la preponderancia de los gigantes tecnológicos norteamericanos, y a la falta de estrategia común desde la UE, se ha perdido el control y gobernanza sobre los datos. La UE no está en disposición de luchar contra el liderazgo tecnológico en cloud y almacenamiento de datos de los EEUU. Aunque para intentar cumplir el GDPR estos gigantes tecnológicos han colocado grandes bancos de datos en suelo europeo, la realidad es que al final el flujo de información termina en servidores ubicados en los EEUU”, ha explicado José Rosell, socio-director de S2 Grupo.

“Ante esta decisión nos adentramos en un periodo de incertidumbre que vislumbra tres tipos de soluciones que pasan por Una nueva negociación entre la UE y EEUU para definir un nuevo acuerdo que sustituya el Privacy Shield, adaptar la normativa de EEUU con controles más acordes al GDPR o cambios en los controles de las organizaciones (privadas y públicas) de la UE para continuar manteniendo las transferencias a EEUU sin incumplir el GDPR”, ha señalado Miguel A. Juan, socio-director de S2 Grupo.

Riesgos en las organizaciones privads y publicas, tras la anulación del “escudo de privacidad”

Desde la compañía de ciberseguridad se ha destacado que los principales riesgos de esta decisión del TJUE en organizaciones tanto públicas como privadas son:

1. proveedores de almacenamiento de datos (ubicados en EEUU o clouds que no podemos asegurar dónde almacenan los datos) .- normalmente esta relación se regula a través de contratos de adhesión (cláusulas generales) en las webs de los proveedores. Por eso, es necesario revisar dichas condiciones y reclamar al proveedor una actualización de las mismas.
2. Cláusulas informativas/consentimiento de los titulares de los datos.- donde antes informábamos pero no solicitábamos el consentimiento de que los datos podían almacenarse en los EEUU, al considerar que o era un encargo de tratamiento o una transferencia internacional a un país seguro, la nueva situación podría suponer revisar y actualizar dichos consentimientos.
3. Registros de Tratamiento.- donde antes se registraban “transferencias internacionales a países con un nivel de protección adecuado” ahora se debe actualizar dicho registro.

Ante esta situación y para regular la situación tras la sentencia, desde S2 Grupo se insta a las empresas a comprobar si sus proveedores cloud están en la lista de empresas asociadas al Privacy Shield y, en caso afirmativo, verificar las condiciones del acuerdo para comprobar que se han actualizado adecuadamente. Además, es importante revisar y actualizar los Registros de Tratamiento, contratos, políticas de privacidad y cláusulas de información.