RIPD-Recomendaciones para el tratamiento de datos personales mediante servicios de computación en la nube

Abril de 2021 Tabla de contenido

01. Introducción 03

02. Precisiones y limitaciones 06

03. Neutralidad tecnológica en el tratamiento de datos personales 08

04. Principales actores en el tratamiento de datos personales a través de servicios de computación en la nube (CEN) 10

05. Recomendaciones 13 • Respetar las normas locales sobre Tratamiento de Datos Personales (TDP) 14 • Formalizar un acuerdo con el PSCEN que contenga aspectos mínimos sobre tratamiento de datos personales. 14 • Respetar las reglas sobre transferencias internacionales de datos 15 • Efectuar estudios de impacto a la protección de datos personales 16 • Incorporar la privacidad, la ética y la seguridad desde el diseño y por defecto 17 • Materializar el principio de responsabilidad proactiva 18 • Adoptar medidas para garantizar los principios sobre TDP mediante los servicios de CEN 19 • Garantizar los derechos de los titulares de los datos e implementar mecanismos efectivos para su ejercicio 19 • Incrementar confianza y la transparencia con los titulares de los datos personales 20

06. Glosario 21

07. Siglas 23

08. Documentos consultados 25 • Textos emitidos por autoridades de países miembros de la RIPD 26 • Textos emitidos por otras autoridades u organizaciones 26 / 01. Introducción

4 /01. Introducción La computación en la nube o “cloud computing” es • La computación en la nube no debe generar una alternativa mediante la cual las organizaciones una reducción de la privacidad ni de la pueden obtener a través de Internet diversos protección de datos en relación con otras recursos y servicios informáticos. El uso de dichos formas de Tratamiento de esa información.

servicios implica que se realicen tratamientos de datos personales porque, según el caso, • Los Responsables del Tratamiento deben podría efectuarse, entre otras, almacenamiento, efectuar análisis de riesgos y evaluaciones de circulación (nacional o transfronteriza) o uso de esa impacto sobre protección de datos necesarias información. antes de contratar servicios o realizar proyectos de computación en la nube. El Instituto Nacional de Estándares y Tecnología (NIST-National Institute of Standards and • Los proveedores de servicios en la nube Technology. U.S. Department of Commerce) deben garantizar transparencia adecuada, ha establecido que la computación en la seguridad, responsabilidad y confianza en nube es un “modelo que permite, cuando sea las soluciones de computación en la nube, solicitado, el acceso ubicuo y conveniente en particular con respecto a la información a la red, a un grupo compartido de recursos sobre violaciones de seguridad de los datos y informáticos configurables (Ej. redes, servidores, cláusulas contractuales que promuevan, en su almacenamiento, aplicaciones y servicios) que caso, portabilidad de datos y control de datos se pueden aprovisionar y liberar rápidamente por parte de los usuarios de los servicios de con un mínimo esfuerzo de administración o computación en la nube. interacción por parte del proveedor de servicios. “.1 Dentro de los servicios de cloud computing se • Para generar más confianza y garantizar un destacan , entre otras, las siguientes categorías: adecuado tratamiento de datos a través de (1) software como servicio (software as a service los servicios de computación en la nube se - SaaS); (2) plataforma como servicio (platform deben adoptar medidas desde el diseño de as a service –PaaS-), y (3) Infraestructura como la arquitectura tecnológica de dichos servicios

servicio (infraestructure as a service –IaaS-). Estos (privacidad desde el diseño). los podemos obtener en un escenario de nube pública, privada, híbrida o comunitaria. • Todas las partes interesadas o involucradas (proveedores y clientes de servicios de En el año 2012, durante la 34a Conferencia computación en la nube y los reguladores) Internacional de Autoridades de Protección de deberían cooperar para garantizar un alto Datos y Privacidad (hoy Global Privacy Assembly nivel de privacidad, protección de datos y -GPA-2), se recomendó lo siguiente en la resolución seguridad. sobre computación en la nube3: 1 Cfr. NIST Cloud Computing Program (NCCP). En: https://www.nist.gov/programs-projects/nist-cloud-computing-program-nccp . The NIST Definition of Cloud Computing (2011). En: https://csrc.nist.gov/publications/detail/sp/800-145/final 2 https://globalprivacyassembly.org/ 3 Cfr. AUTORIDADES DE PROTECCIÓN DE DATOS Y PRIVACIDAD. 2012. Resolution on cloud computing. 34a Conferencia internacional de Autoridades de Protección de Datos y Privacidad. Punta del Este, Uruguay. En: https://edps.europa.eu/sites/edp/files/publication/12-10-26_uruguay_resolutionon_cloud_computing_en.pdf 5 /01. Introducción Esta guía pretende establecer los principales aspectos que deben tenerse presente cuando se utilizan servicios de computación en la nube desde la perspectiva de la regulación sobre tratamiento de datos personales. Como tal, presenta algunas orientaciones para que sean tenidas en cuenta por quienes contratan los servicios de computación en la nube y por quienes prestan este tipo de servicios. /02. Precisiones y

limitaciones 7 /02. Precisiones y limitaciones Esta guía es complementaria de las recomendaciones y documentos que han emitido algunas autoridades de protección de datos y otras organizaciones4. Se centrará en los aspectos jurídicos que involucra el tratamiento de datos a través de servicios de computación en la nube y no en elementos o conceptos tecnológicos. Para la elaboración5 de este documento se adoptaron los Estándares de protección de datos personales para los Estados Iberoamericanos de la RIPD6 como el referente para establecer los principios, términos, definiciones, etc. No obstante, no se transcriben todos los aspectos de los mismos sino que se hace alusión a algunos de ellos. Por lo tanto, este documento debe leerse de manera conjunta e integral con los citados estándares. Este texto no es un concepto legal, ni un artículo académico, ni constituye asesoría jurídica. Tampoco pretende ser un listado exhaustivo de recomendaciones específicas porque ello es un asunto interno que corresponde decidir a cada organización a la luz de los objetivos y la magnitud de cada proyecto que implique el uso de servicios de computación en la nube. 4 - Por ejemplo, ver las mencionadas en la sección de documentos consultados. En caso de contradicción manifiesta entre este documento y alguna recomendación o guía de la autoridad local, se sugiere seguir la recomendación de dicha autoridad en el entendido que corresponde a la entidad pública encargada de velar por la protección de datos en determinada jurisdicción. En cualquier caso, la aplicación de estas recomendaciones deberá hacerse en armonía con las recomendaciones de las autoridades de protección de datos y, sobre todo, la legislación local aplicable.

5 - La Red Iberoamericana de Protección de Datos (RIPD) publicó la versión previa del presente documento para comentarios de la opinión pública. Se recibieron y analizaron las observaciones y sugerencias de las siguientes personas y organizaciones cuya participación agradecemos: (1) Rafael Pérez Colón (HISKEN VENTURES SL); (2) La Asociación Latinoamericana de Internet (ALAI) y (3) la Cámara de Industria Digital y Servicios de la Asociación Nacional de Empresarios de Colombia (ANDI). 6 - Cfr. Red Iberoamericana de Protección de Datos -RIPD- (2017). Estándares de protección de datos personales para los Estados Iberoamericanos. Disponibles en: https://www.redipd.org/sites/default/files/inline-files/Estandares_Esp_Con_logo_RIPD.pdf / 03. Neutralidad tecnológica en el tratamiento de datos personales 9 / 03. Neutralidad tecnológica en el tratamiento de datos personales La regulación sobre tratamiento de datos respetuoso de los derechos de las personas y de las personales es neutral tecnológica y temáticamente. regulaciones pertinentes con independencia de las Ello significa que aplica a cualquier tratamiento técnicas, tecnologías, o herramientas que se utilicen. de datos, con independencia de las técnicas, procesos o tecnologías –actuales o futurasEn suma, la regulación sobre Tratamiento de que se utilicen para dicho efecto. En este Datos Personales debe aplicarse al margen de los sentido, el artículo 4.1. de los Estándares dice procedimientos, metodologías o mecanismos que que los mismos son “aplicables al tratamiento se utilicen para recolectar, usar o tratar ese tipo

de datos personales que obren en soportes de información. Por ende, debe ser cumplida por físicos, automatizados total o parcialmente, o quien realice Tratamiento de datos mediante el uso en ambos soportes, con independencia de la de técnicas, herramientas como, entre otros, en forma o modalidad de su creación, tipo de internet de las cosas, las App, la inteligencia artificial, soporte, procesamiento, almacenamiento y la robótica y la computación en la nube. El uso de organización” (Destacamos) esas innovaciones tecnológicas no desaparece la protección de datos ni debe convertirse en un Los Estándares definen Tratamiento como instrumento para disminuir el nivel de protección de “cualquier operación o conjunto de operaciones los derechos de las personas que es exigido por la efectuadas mediante procedimientos regulación en comento. físicos o automatizados realizadas sobre datos personales, relacionadas, de manera enunciativa más no limitativa, con la obtención, acceso, registro, organización, estructuración, adaptación, indexación, modificación, extracción, consulta, almacenamiento, conservación, elaboración, transferencia, difusión, posesión, aprovechamiento y en general cualquier uso o disposición de datos personales”.7 Este término es de enorme importancia porque cualquier actividad que se realice con datos personales, a través de medios manuales o automatizados, con o sin intervención humana, debe observar las reglas establecidas en las normas sobre protección de datos personales. Dato Personal, por su parte, es “cualquier información concerniente a una persona física identificada o identificable, expresada en forma numérica,

alfabética, gráfica, fotográfica, alfanumérica, acústica o de cualquier otro tipo“.8 En este orden de ideas, cualquier tratamiento de esa información debe ser 7 - Cfr. Literal i) del artículo 2.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017). 8 - Cfr. Literal c) del artículo 2.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017). / 04. Principales actores en el tratamiento de datos personales a través de servicios de computación en la nube (CEN) 11 / 04. Principales actores en el tratamiento de datos personales a través de servicios de computación en la nube (CEN) A continuación, se presentan los principales responsable y el encargado -como la prestación actores involucrados no sólo en el tratamiento de servicios de computación en la nubedebe de datos personales a través de servicios de formalizarse mediante un contrato o instrumento computación en la nube sino en la supervisición jurídico que contenga, por lo menos, lo que se o control para que dicha actividad se realice indica en los artículos 34.2 y 34.3. a que nos respetando las regulaciones pertinentes y referiremos posteriormente. garantizando los derechos de las personas: Adicionalmente, el artículo 35 establece unos • Proveedor de servicios de computación en requisitos que debe cumplir el encargado (por la nube (PSCEN) ejemplo, un PSCEN) cuando subcontrata servicios Desde la perspectiva de la regulación sobre que implican tratamiento de datos personales. tratamiento de datos, las empresas Proveedoras de servicios de computación en la nube (PSCEN) • Empresa o entidad pública que contrata los

usualmente obran como Encargados del servicios de computación en la nube Tratamiento definidos por los Estándares como Estas empresas y organizaciones pueden ser, “prestador de servicios, que con el carácter de según el caso, Responsables o Encargados persona física o jurídica o autoridad pública, del Tratamiento. Como tales, deben cumplir las ajena a la organización del responsable, trata obligaciones jurídicas establecidas en la regulación datos personales a nombre y por cuenta de que les sea aplicables. El Responsable, según los éste”9 Estándares, es la “persona física o jurídica de carácter privado, autoridad pública, servicios u De conformidad con el artículo 34 de los organismo que, solo o en conjunto con otros, Estándares la prestación de los servicios entre el determina los fines, medios, alcance y demás 9 - Cfr. Literal e) del artículo 2.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017) . 12 / 04. Principales actores en el tratamiento de datos personales a través de servicios de computación en la nube (CEN) cuestiones relacionadas con un tratamiento de datos personales” 10 El Responsable y el Encargado deben adoptar medidas para cumplir la regulación de protección de datos cuando realice el tratamiento a través de los servicios de CEN. Al mismo tiempo, deben estar en capacidad de responder por sus acciones u omisiones ante el Titular del dato y la Autoridad de protección de datos.11 • Titular del dato personal El Titular es la “persona física a quien le conciernen los datos personales” 12 cuya información debe ser tratada debidamente. Todos los derechos del Titular deben garantizarse cuando el tratamiento se efectúe mediante servicios

de computación en la nube. En el caso de los Estándares Iberoamericanos los derechos se encuentran mencionados en los artículos 24 a 32. • Autoridad de protección de datos (APD) La Autoridad de protección de datos (APD) o la Autoridad de Control13 debe vigilar que los Responsables y Encargados que utilizan servicios de computación en la nube realicen dicha actividad observando lo que dispone la regulación sobre dicho tema. 10 - Cfr. Literal g) del artículo 2.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017) 11 - Señala lo siguiente el numeral 34.4 de los Estandares: “Cuando el encargado incumpla las instrucciones del responsable y decida por si mismos sobre el alcance, contenido, medios y demás cuestiones del tratamiento de los datos personales asumirá la calidad de responsable (…)” 12 - Cfr. Literal h) del artículo 2.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017) 13 - En el capítulo VII de los Estándares se establecen los principales aspectos sobre las autoridades de control y supervisión en materia de protección de datos / 05.Recomendaciones 14 / 05. Recomendaciones En virtud de lo anterior, la Red Iberoamericana de Los PSCEN, por su parte, deberían establecer Protección de Datos recomienda lo siguiente: términos y condiciones de sus contratos teniendo en cuenta las regulaciones locales sobre • Respetar las normas locales sobre tratamiento de datos de manera que sus clientes Tratamiento de Datos Personales (TDP) (contratantes de servicios de CEN) no asuman Los PSCEN deben cumplir las normas nacionales riesgos legales por eventuales infracciones a las

de tratamiento de datos en aquellos países que leyes que deben cumplir. presten servicios. Los Responsables o Encargados que contraten lo servicios de CEN (contratantes • Formalizar un acuerdo con el PSCEN que de servicios de CEN) deben tener presente que contenga aspectos mínimos sobre tratamiento están obligados a cumplir las normas nacionales de datos personales. sobre tratamiento de datos personales. Por ende, Como se mencionó, el PSCEN obra como un los contratos de CEN deben ser consistentes con Encargado del tratamiento que presta servicios de lo que ordenan dichas regulaciones y no deben computación en la nube a una empresa o entidad desconocer los mandatos legales. pública. Los Estándares señalan que el encargado debe realizar el “tratamiento de los datos Usualmente, los PSCEN utilizan proformas personales sin ostentar poder alguno de decisión estandarizadas de los términos y condiciones de sobre el alcance y contenido del mismo, así como la prestación de sus servicios. Dichos textos son limitará sus actuaciones a los términos fijados por redactados teniendo en cuenta las características el responsable” 14. de los servicios y los intereses de los PSCEN y la regulación de su país de origen que con frecuencia Adicionalmente, los Estándares establecen la es un país distinto al de los contratantes de necesidad de suscribir un contrato mediante servicios de CEN. Por eso, para que el tratamiento el cual se acuerden los términos concretos de de datos mediante servicios de CEN no sea la prestación de los servicios –en este caso objetado o cuestionado jurídicamente es muy de computación en la nubeentre el PSCEN y relevante que antes de suscribir los contratos, quien lo contrata. Según el artículo 34.2. ese

dichos contratantes realicen un estudio de riesgos contrato o instrumento jurídico “establecerá, al legales que puede implicar la suscripción de menos, el objeto, alcance, contenido, duración, dichos contratos. naturaleza y finalidad del tratamiento; el tipo de datos personales; las categorías de titulares, así Lo anterior le permitirá a los contratantes de como las obligaciones y responsabilidades del servicios de CEN definir una estrategia para, entre responsable y encargado”. otros: (i) mitigar dichos riesgos; (ii) ganar y mantener la confianza de los Titulares de los datos; (iii) no Particularmente y sin perjuicio de lo que afectar la buena reputación de su organización establezcan las regulaciones locales, el artículo y (iv) evitar reclamaciones por parte de los 34.3. ordena que ese acuerdo debe establecer, interesados que puedan derivar en investigaciones entre otras, cláusulas generales que establezcan y posibles sanciones por parte de las autoridades las siguientes obligaciones al encargado (en este de protección de datos o de otras entidades. caso el PSCEN): 14 - Cfr. Artículo 33.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017) 15 / 05. Recomendaciones a. “Realizar el tratamiento de los datos Todo lo anterior y otros aspectos se deben personales conforme a las instrucciones del incorporar en los Acuerdos de Nivel de Servicio responsable. (Service Level Agreement – SLA). b. Abstenerse de tratar los datos personales para finalidades distintas a las instruidas por Adicionalmente, los Estándares permiten que el responsable. el PSCEN “pueda subcontratar servicios que c. Implementar las medidas de seguridad impliquen el tratamiento de datos personales,

conforme a los instrumentos jurídicos siempre y cuando exista una autorización previa aplicables. por escrito, específica o general del responsable, d. Informar al responsable cuando ocurra una o bien, se estipule expresamente en el contrato vulneración a los datos personales que trata o instrumento jurídico suscrito entre este último y por sus instrucciones. el encargado” 15. Para el efecto, el PSCEN deberá e. Guardar confidencialidad respecto de los suscribir un acuerdo con el subcontratado sobre datos personales tratados. el alcance de la prestación de sus servicios. f. Suprimir, devolver o comunicar a un El prestador del servicio debe ser diligente y nuevo encargado designado por el transparente en orden a facilitar información sobre responsable los datos personales objeto los servicios subcontratados de tratamiento, una vez cumplida la relación jurídica con el responsable o por • Respetar las reglas sobre transferencias instrucciones de éste, excepto que una internacionales de datos disposición legal exija la conservación Si los “data center” o los equipos de de los datos personales, o bien, que el almacenamiento de los PSCEN están ubicados fuera responsable autorice la comunicación de del país en donde se encuentra el contratante de éstos a otro encargado. los servicios de CEN, los datos personales serán g. Abstenerse de transferir los datos remitidos o exportados desde un país a empresas personales, salvo en el caso de que y organizaciones PSCEN ubicadas en un territorio el responsable así lo determine, diferente al del país de envío. Se trata de un o la comunicación derive de una proceso de exportación de datos personales. subcontratación, o por mandato expreso de En este caso, la empresa contratante de los servicios

la autoridad de control. de CEN será el exportador y el PSCEN obrará h. Permitir al responsable o autoridad de control como el destinatario de dicha exportación de inspecciones y verificaciones en sitio. datos. Los Estándares definen al exportador como

1. Generar, actualizar y conservar la la “persona física o jurídica de carácter privado, documentación que sea necesaria y que le autoridad pública, servicios, organismo o prestador permita acreditar sus obligaciones. de servicios situado en territorio de un Estado que

j. Colaborar con el responsable en todo lo efectúe transferencias internacionales de datos relativo al cumplimiento de la legislación personales, conforme a lo dispuesto en los presentes nacional del Estado Iberoamericano que Estándares” 16. Así las cosas, el contratante de los resulte aplicable en la materia.” servicios de CEN debe observar las reglas locales de la transferencia internacional de datos. 15 - Cfr. Artículo 35.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017) 16 - Cfr. Literal f) del artículo 2.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017) 16 / 05. Recomendaciones Es importante que el contratante de los servicios de afectación del derecho a la protección de CEN sea plenamente consciente y en su caso, pueda datos personales de los titulares, realizará, de aceptar o limitar, los países en los que van a estar manera previa, a la implementación del mismo alojados los servidores, además de estar informado una evaluación del impacto a la protección de de las garantías adecuadas que se adopten. los datos personales.”17. Por ende, según el caso y siempre y cuando se cumplan los anteriores

Las regulaciones sobre transferencia internacional requerimientos, se debe efectuar una evaluación de datos o “flujo transfronterizo de datos” procuran de impacto a la protección de datos (Data garantizar que el nivel de protección de los datos Protection Impact Assessment - DPIA por sus siglas personales de los ciudadanos de un país no en inglés), con el fin de poner en funcionamiento disminuya o desaparezca cuando estos deben un sistema efectivo de manejo de riesgos y ser exportados o transferidos a otro u otros controles internos, para garantizar que los datos países. Esta regla se conoce como el principio de se tratarán debidamente y conforme a la a la continuidad de la protección de datos, el cual se regulación existente. fundamenta en que la transferencia internacional de datos no debe afectar la protección de los Dicha evaluación debería incluir, como mínimo, lo interesados por lo que respecta al tratamiento de siguiente: sus datos personales. • Una descripción detallada de las La exportación de información personal no puede operaciones de tratamiento de datos convertirse en un escenario reductor del nivel de personales que involucra la CEN; protección que se le confiere al titular del dato en • Una evaluación de los riesgos específicos el país desde donde se exportan datos personales. para los derechos y libertades de los Dichas actividades no deben facilitar, permitir titulares de los datos personales, así como ni tolerar la vulneración de los derechos de las los riesgos asociados a los pedidos o personas ni la disminución de las garantías con que requerimientos de autoridades públicas cuentan en el país exportador. de el/los países donde se alojaría la información en ocasión de la aplicación En ese sentido, se deben cumplir las reglas de de normas de derecho público.

transferencias internacionales que rigen en el país • Una evaluación de los riesgos de afectación del contratante de los servicios de CEN. En el caso de derechos de los titulares derivados de de los Estándares, en el artículo 36 se prevén las la regulación aplicable en el país donde se alternativas permitidas para exportar los datos. estén almacenando los datos personales • Las medidas previstas para afrontar los • Efectuar estudios de impacto a la riesgos, incluidas garantías, medidas de protección de datos personales seguridad, diseño de software, tecnologías Los Estándares disponen que “cuando el y mecanismos que garanticen la protección responsable pretenda llevar a cabo un tipo de datos personales, teniendo en cuenta de tratamiento de datos personales que, por los derechos e intereses legítimos de los su naturaleza, alcance, contexto o finalidades, titulares de los datos y de otras personas sea probable que entrañe un alto riesgo de eventualmente afectadas. 17 - Red Iberoamericana de Protección de Datos (2017), Artículo 41.1 17 / 05. Recomendaciones Los resultados de este estudio, junto con las Lo anterior también debe predicarse en la medidas para mitigar los riesgos, hacen parte de seguridad del tratamiento de datos mediante la la aplicación de la medida proactiva de privacidad CEN. Sin seguridad no habrá debido tratamiento desde el diseño y por defecto.18 de los datos personales. Es fundamental adoptar medidas tecnológicas, humanas, administrativas, • Incorporar la privacidad, la ética y la físicas, contractuales y de cualquier otra índole seguridad desde el diseño y por defecto para garantizar la confidencialidad, integridad y La privacidad desde el diseño y por defecto disponibilidad de los datos personales y que, entre (Privacy by Design and by Default) es otras, cumplan los siguientes objetivos:

considerada una medida proactiva para cumplir con el Principio de Accountability,19 como se • Evitar accesos indebidos o no autorizados a observa en los numerales 1 y 2 del artículo 38 la información de los Estándares de la RIPD. Al incrustar la • Evitar la manipulación accidental o no privacidad desde el diseño, se está buscando autorizada de la información garantizar el correcto tratamiento de los datos a • Evitar la destrucción accidental o no través de los servicios de CEN, incluso antes de autorizada de la información la materialización de los riesgos. • Evitar usos indebidos o no autorización de la información La Privacidad por Diseño "promueve la visión • Evitar circular o suministrar la información a de que el futuro de la privacidad no puede personas no autorizadas ser garantizada sólo por cumplir con los marcos regulatorios; más bien, idealmente el Las medidas de seguridad deben ser apropiadas aseguramiento de la privacidad debe convertirse considerando varios factores como entre en el modo de operación predeterminado de otros, los siguientes: (i) los niveles de riesgos una organización”.20 Por eso, desde antes que se del tratamiento; (ii) la naturaleza o sensibilidad recolecte información y durante todo el ciclo de de los datos; (iii) la magnitud del daño que se vida de la misma, se deberían adoptar medidas puede causar a los titulares y al responsable; preventivas de diversa naturaleza (tecnológica, (iv) la cantidad de información; (v) el tamaño de organizacional, humana, procedimental, entre otras) la organización; (vi) los recursos disponibles y con el objeto de garantizar el debido tratamiento (vii) el monitoreo y seguimiento a la confiabilidad de los datos personales. los servicios de CEN; (vii) el origen de los datos

personales, las operaciones de tratamiento que La ética desde el diseño y por defecto debe se ejecutarán, y las categorías de datos que irradiar el esquema, desarrollo y uso de los serán objeto del tratamiento. Todas estas, deben productos o procesos de computación en la ser objeto de revisión, evaluación y mejoras nube, debiendo ser parte del ADN de cualquier permanentes. aspecto relacionado con la prestación de dichos servicios. Adicionalmente debe garantizarse la obligación por 18 - “Privacidad por diseño y privacida por defecto” es considerada en los Estándares como una medida proactiva en el tratamiento de datos personales (Artículo 38) 19 - Cavoukian (2011). 20 - Cfr. Cavoukia, Ann. Privacidad por Diseño: Los 7 principios fundamentales. Disponible en: https://www.mediascope.es/wp-content/uploads/2016/10/privacidad-por-disen%CC%83o-1.pdf 18 / 05. Recomendaciones parte del prestador de servicios CEN de comunicar protección de datos personales. al responsable que lo contrató las brechas de e. Revisar periódicamente las políticas seguridad que puedan producirse y las medidas y programas de seguridad de datos adoptadas para resolverlas personales para determinar las Con el fin de poder disponer de información modificaciones que se requieran. actualizada sobre las medidas de seguridad el f. Establecer un sistema de supervisión y contratante de servicios de cloud podrá requerir la vigilancia interna y/o externa, incluyendo realización de auditorías de seguridad por parte de auditorías, para comprobar el cumplimiento un tercero independiente. de las políticas de protección de datos personales.

• Materializar el principio de responsabilidad g. Establecer procedimientos para recibir y proactiva responder dudas y quejas de los titulares.”21

Los diseñadores y creadores de productos de CEN y las organizaciones contratantes de los servicios El reto de las organizaciones frente al Principio de de CEN deben adoptar medidas útiles, apropiadas Responsabilidad Proactiva va mucho más allá de la y efectivas para cumplir sus obligaciones legales. mera expedición de documentos o redacción de Adicionalmente, tendrán que evidenciar y políticas. Se trata de una actividad de supervisión demostrar el correcto cumplimiento de sus deberes. continua que exige demostrar un cumplimiento real Dichas herramientas, deben ser objeto de revisión y y efectivo en la práctica de sus funciones. No basta evaluación permanente, a fin de determinar su nivel hacer meras declaracion