3.9.2013   

ES

Diario Oficial de la Unión Europea

C 253/3

1.

A la vista de la importancia de la computación en nube en la sociedad de la información en rápida evolución y el debate político en curso dentro de la UE sobre dicho tema, el SEPD ha decidido emitir el presente dictamen por iniciativa propia.

2.

El presente dictamen responde a la Comunicación de la Comisión «Liberar el potencial de la computación en nube en Europa», de 27 de septiembre de 2012, (en adelante, «la Comunicación») (1), que establece las actuaciones clave y las medidas políticas que deben ser adoptadas para acelerar el uso de los servicios de computación en nube en Europa. El SEPD ya había sido consultado de manera informal antes de la adopción de la Comunicación, habiendo emitido observaciones informales. El SEPD señala que algunas de sus observaciones han sido tenidas en cuenta en la Comunicación.

3.

Sin embargo, dado el ámbito de aplicación y la importancia del debate en curso sobre la relación entre la computación en nube y el marco jurídico de protección de datos, el presente dictamen no se limita a las materias tratadas en la Comunicación.

4.

El dictamen se centra en especial en los retos que la computación en nube plantea para la protección de datos y el modo en que el Reglamento de protección de datos (en adelante, la «propuesta de Reglamento») (2) los aborda. También comenta las áreas identificadas que requieren futuras actuaciones en la Comunicación.

5.

En el contexto del debate político general dentro de la UE sobre la computación en nube, las actividades y documentos siguientes poseen una importancia específica:

6.

El SEPD recibe con agrado la Comunicación e identifica tres acciones clave específicas necesarias a nivel europeo para acompañar y promover el uso de la computación en nube en Europa, a saber:

7.

También están previstas medidas políticas, como las destinadas a estimular el uso de la computación en nube promoviendo la investigación y el desarrollo y la sensibilización, así como la necesidad de tratar temas claves relacionados con los servicios en nube — incluidos, entre otros, la protección de datos, el acceso por parte de los órganos policiales, la seguridad, la responsabilidad de los proveedores de servicios intermediarios — mediante un refuerzo del diálogo internacional.

8.

La Comunicación menciona la protección de datos como un componente esencial para garantizar el éxito del despliegue de la computación en nube en Europa. La Comunicación destaca (9) que la propuesta de Reglamento trata muchas de las cuestiones planteadas por los proveedores de servicios en nube y los clientes de la nube (10).

9.

Este dictamen tiene tres objetivos.

10.

El primer objetivo es destacar la relevancia de la intimidad y la protección de datos en los actuales debates en materia de computación en nube. Más concretamente, el dictamen subraya que el nivel de protección de datos en un entorno de computación en nube no debe ser inferior al necesario en cualquier otro contexto de tratamiento de datos. Las prácticas de computación en nube solo pueden ser desarrolladas y aplicadas legalmente si garantizan que respetan dicho nivel de protección de datos (véase el capítulo III.3). El dictamen toma en consideración las orientaciones proporcionadas en el dictamen del Grupo de Trabajo del Artículo 29.

11.

El segundo objetivo es analizar con más detalle los principales retos que la computación en nube plantea en materia de protección de datos en el contexto de la propuesta de Reglamento de protección de datos, en particular, la dificultad de establecer inequívocamente las responsabilidades de los distintos actores y los conceptos de responsable del tratamiento y encargado del tratamiento. El dictamen (principalmente, en el capítulo IV) analiza el modo en que la propuesta de Reglamento ayudaría, tal como está presentada actualmente (11), a garantizar un alto nivel de protección de datos en los servicios de computación en nube. Por lo tanto, está basada en las opiniones desarrolladas por el SEPD en su Dictamen sobre el paquete legislativo de reforma de la protección de datos (en adelante, «el dictamen del SEPD sobre el paquete legislativo de reforma de la protección de datos») (12) al que complementa al considerar de manera específica el entorno de la computación en nube. El SEPD subraya que su dictamen sobre el paquete legislativo de reforma de la protección de datos es de plena aplicación respecto de los servicios de computación en nube y debe considerarse como base para el presente dictamen. Además, algunas de las cuestiones aquí mencionadas — como su análisis de las nuevas disposiciones en materia de derechos de los interesados (13) — son lo suficientemente claras y, por lo tanto, no se desarrollarán con más detalle en el presente dictamen.

12.

El tercer objetivo es identificar las áreas que precisan una mayor actuación a nivel europeo desde la perspectiva de la protección de datos y la intimidad, a la vista de la estrategia en nube presentada por la Comisión en la Comunicación. Incluyen, entre otros, facilitar una mayor orientación, realizar esfuerzos de normalización, llevar a cabo más evaluaciones del riesgo para sectores específicos (como el sector público), desarrollar cláusulas y condiciones contractuales tipo, participar en un diálogo internacional sobre las cuestiones relativas a la computación en nube y garantizar medios eficaces de cooperación internacional (que deben desarrollarse en el capítulo V).

13.

El dictamen está estructurado de la siguiente manera: El apartado II establece un panorama general de las principales características de la computación en nube y los retos en materia de protección de datos asociados. El apartado III revisa los elementos más relevantes del marco jurídico europeo existente y de la propuesta de Reglamento. El apartado IV analiza el modo en que la propuesta de Reglamento ayudaría a solucionar los desafíos en materia de protección de datos que plantea el uso de los servicios de computación en nube. El apartado V analiza las sugerencias de la Comisión para otras medidas políticas e identifica los ámbitos en que podrían ser necesarios esfuerzos adicionales. El apartado VI incluye las conclusiones.

14.

Mientras que muchas de las consideraciones de este dictamen son aplicables a todos los entornos en que se utiliza la computación en nube, el dictamen no trata el uso específico de los servicios de computación en nube por parte de las instituciones y los órganos de la UE, que están sujetos a la supervisión del SEPD, con arreglo al Reglamento (CE) no 45/2001. El SEPD emitirá de manera separada orientaciones sobre esta cuestión para dichas instituciones y órganos.

121.

Tal como se describe en la Comunicación, la computación en nube ofrece muchas oportunidades nuevas a las empresas, los consumidores y el sector público para la gestión de los datos mediante el uso de recursos tecnológicos externos remotos. Al mismo tiempo, presenta muchos desafíos, en particular respecto del nivel adecuado de protección de los datos que se proporciona a los datos tratados.

122.

El uso de los servicios de computación en nube plantea un riesgo importante, que consiste en ver cómo la responsabilidad se diluye respecto de las operaciones de tratamiento llevadas a cabo por los proveedores de servicios en la nube, si los criterios de aplicabilidad de la legislación europea de protección de datos no están lo suficientemente claros y si el papel y la responsabilidad de los proveedores de servicios en la nube están definidos o se entienden de forma demasiado restrictiva, o no se implantan de manera eficaz. El SEPD hace hincapié en que el uso de los servicios de computación en nube no puede justificar un retroceso de las normas en materia de protección de datos, si se comparan con las que resultan aplicables a las operaciones de tratamiento de datos convencionales.

123.

En este sentido, la propuesta de Reglamento de protección de datos, tal como ha sido presentada, proporcionaría muchas aclaraciones e instrumentos que ayudarían a garantizar que los proveedores de servicios de computación en nube cumplen un nivel satisfactorio de protección de datos, cuando prestan sus servicios a los clientes radicados en Europa, en particular:

124.

El SEPD sugiere, sin embargo, que habida cuenta de las especificidades de los servicios de computación en la nube, la propuesta de Reglamento también debería aclarar los siguientes aspectos:

125.

El SEPD subraya asimismo que es necesaria una mayor orientación por parte de la Comisión y/o las autoridades de control (en particular mediante el futuro Consejo Europeo de Protección de Datos) respecto de los siguientes aspectos:

126.

Asimismo, el SEPD reconoce que los códigos de conducta elaborados por parte de la industria y aprobados por las pertinentes autoridades de control podrían ser un instrumento útil para mejorar tanto el cumplimiento, como la confianza entre los diversos actores.

127.

El SEPD apoya el desarrollo por parte de la Comisión, en consulta con las autoridades de control, de condiciones contractuales tipo para la prestación de servicios de computación en nube que respeten los requisitos en materia de protección de datos, en particular:

128.

El SEPD subraya que, en el desarrollo de normas y sistemas de certificación, debe prestarse una consideración adecuada a los requisitos en materia de protección de datos, en particular:

129.

Por último, el SEPD resalta la necesidad de solucionar los desafíos que la computación en nube plantea a escala internacional. Anima a la Comisión a iniciar un diálogo internacional sobre las cuestiones planteadas por la computación en nube, incluida respecto de la jurisdicción y el acceso por parte de los servicios con funciones coercitivas, y sugiere que muchas de estas cuestiones podrían tratarse a través de distintos acuerdos internacionales o bilaterales, como los acuerdos de asistencia mutua y los acuerdos comerciales. Deben desarrollarse normas generales a escala internacional que establezcan condiciones mínimas y principios relativos al acceso a los datos por parte de los cuerpos policiales. Apoya asimismo el desarrollo por parte de las autoridades de control de mecanismos de cooperación internacional eficaces, en particular por lo que a las cuestiones de la computación en nube se refiere.