UE│Primera acción coordinada para analizar los servicios cloud en el sector público

La pandemia provocada por la Covid-19 ha tenido un gran impacto en el futuro y funcionamiento de la mayoría de las empresas. Ante esta realidad, el sector público no ha sido ajeno a dicho impacto, propiciándose un creciente proceso de migración de sus funciones hacia servicios de almacenamiento en la nube (cloud), acelerando así su eventual transformación digital.

En este contexto, el Comité Europeo de Protección de Datos (CEPD) se plantea analizar, de forma preventiva, las posibles dificultades ante las que, tanto los organismos públicos nacionales como europeos, pueden verse inmersos a la hora de obtener productos y servicios TIC y, ante tales dificultades, asegurar un efectivo cumplimiento de la normativa europea de protección de datos.

De esta forma, el CEPD lanzó el 15 de febrero la primera acción coordinada de autoridades europeas de protección de datos, destinada a analizar el uso de servicios cloud por parte del sector público. Esta acción queda enmarcada dentro de la iniciativa del CEPD de crear un Marco de cumplimiento coordinado (CEF, por sus siglas en inglés), cuya finalidad es racionalizar la aplicación de la normativa de Protección de Datos y la cooperación entre las Autoridades de Supervisión. Esta acción coordinada es la primera que se materializa desde el inicio de la aplicación obligatoria del Reglamento General de Protección de Datos (RGPD) en 2018.

En esta primera acción coordinada participarán 22 autoridades nacionales, entre ellas la Agencia Española de Protección de Datos (AEPD), analizando conjuntamente, más de 80 organismos e instituciones públicas europeas que abarcan una amplia gama de sectores tales como la educación, la sanidad o las finanzas, entre otros. En este sentido, también se investigarán a proveedores de servicios de IT así como a prestadores de servicios cloud. En particular, la AEPD ha anunciado que analizará las prácticas de 12 organismos públicos del sector público español.

Los objetivos de esta iniciativa son: (i) identificar y fomentar mejores prácticas; (ii) detectar posibles deficiencias; y (iii) realizar recomendaciones en la contratación y uso de servicios cloud. Por consiguiente, se pretende obtener una visión integral del uso que se hace en el sector público de esta tecnología, con el foco centrado en fomentar mejores prácticas y garantizar la adecuada protección de los datos personales. 

El proceso se iniciará por la remisión por parte de la AEPD a las entidades del sector público de un cuestionario, con tal de identificar los retos a los que se enfrentan a la hora de dar cumplimiento al RGPD cuando hacen uso de los servicios cloud en el desarrollo de sus funciones (desde la contratación de dichos servicios, pasando por la adopción de medidas complementarias, las relaciones entre responsables y encargados del tratamiento, hasta cuestiones relacionadas con transferencias internacionales de datos).

Los organismos deberán remitir sus respuestas a la AEPD antes del próximo 30 de abril. Siguiendo con el procedimiento establecido por la CEPD, este cuestionario servirá para determinar si se justifica una investigación formal, que, dándose los presupuestos para ello, dará comienzo y tendrá su seguimiento.  En el caso español, las respuestas que entreguen los organismos públicos serán analizadas por la AEPD y servirán para elaborar conclusiones y recomendaciones. Asimismo, los resultados presentados por las diferentes agencias nacionales se analizarán de forma coordinada, con tal de obtener una visión más profunda al respecto a nivel europeo.

Por último, se espera que a finales de este año 2022, el CEPD publique un informe con los datos agregados de esta iniciativa, que ayudará a poder realizar un seguimiento de su eficacia y analizar su utilidad práctica. Desde este blog seguiremos informando sobre novedades en la materia.