La AGPD anunció que el 29 de enrero empezará a poner sanciones a empresas por utilización de servicios muy habituales de Internet. Vea a continuación si le afecta y qué hacer con su Dropbox, su Google o su Facebook antes de la ofensiva de la AGPD en 10 días

De donde viene el ‘Ultimátum’

La culpa de todo la tiene un señor austriaco que denunció a Facebook ante la autoridad de protección de datos de Irlanda -donde Facebook tiene su sede en Europa- por el tratamiento que Facebook daba a sus datos personales. En concreto por ceder tales datos a la NSA estadounidense.

Para tratar datos fuera de la UE -y los servidores de Facebook están en EEUU- es necesaria de forma previa la firma de un contrato específico con el prestador del servicio fuera y  la autorización expresa del director de la AGPD. Pero para simplificar tan engorrosos trámites, la Comisión Europea adoptó la Decisión de la Comisión 2000/520 que establecía la peculiar presunción de que servicios autorizados por la Comisión Federal de Comercio de EEUU disponían del mismo nivel de protección de que disfrutamos en Europa. Lo que simplificando la idea se conocía como Safe Harbor y era en lo que se amparaban servicios de Internet para evitar engorrosos trámites.

Pero el asunto llegó al Tribunal Europeo (TJUE) que decidió que la Comisión se había excedido en sus competencias y, montando una revolución en el Cloud, decide de forma expresa que Facebook no cumple con los estándares mínimos de seguridad y acaba con el Safe Harbor declarando que las distintas Agencias de protección de Datos de Europa tienen que empezar a valorar si todos esos prestadores de servicios de fuera de Europa cumplen como los de aquí.

Y con esta Sentencia, la AGPD emitió el 29 de octubre una comunicación en que fijaba como plazo máximo el 29 de Enero de 2016 para regularizar la situación de empresas y entidades con servicios online con servidores fuera de la UE y que reitera en una  segunda comunicación posterior en que reitera que adoptará medidas pasada esa fecha.

A quién afecta

El ultimátum de la AGPD va dirigido a empresas o entidades que utilicen servicios que trasladen o traten datos fuera de la UE, lo que quiere decir que quien quiera compartir las fotos de las vacaciones de los niños con los abuelos en Dropbox o colgarlas en Facebook podrá seguir haciéndolo siempre que cuente con la autorización del otro progenitor, pero claro, ese es otro tema.

Por el contrario, quien utilice servicios y desarrolle cualquier actividad fuera de su esfera estricta y exclusivamente personal deberá cumplir con las exigencias que para la transferencia internacional de datos fija la LOPD.

Si almaceno datos de mis clientes en la nube, o las facturas, u ofrezco un servicio de vía chat, o incluso si tengo algo tan poco Online como un bar con página en Facebook y fotos de mis clientes en la barra, la AGPD quiere que regularice.

Qué hacer

Si utiliza servicios de Intenet con servidores fuera de la UE está haciendo pues una transferencia internacional de datos y ello incluye servicios que van desde el almacenamiento en la nube, el uso de redes sociales, servicios de correo, servicios de chat, etc. Por ello, para seguir usando tales servicios será necesario:

• Cumplir con el deber de información a los usuarios
• Incluirlo en el Documento de Seguridad
• Disponer de un contrato firmado: la Comisión también ha aprobado Decisiones con Cláusulas contractuales tipo para estos casos
• Solicitar autorización al Director de la Agencia de Protección de Datos

En unos días se acaba el plazo que dio la AGPD, habrá que cambiar los documentos de protección de datos, buscar un contrato -algunos servicios ya disponen de ellos- y ponerse en la cola de las autorizaciones de la AGPD y de no hacerlo, enfrentarse a las sanciones.