RGPD: la respuesta a sus preguntas

RGPD son las siglas de «Reglamento general de protección de datos»,

que es la forma abreviada del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.

La protección de datos personales se rige por varios textos, unos de alcance general y otros más precisos:

• A nivel internacional, el Convenio 108 para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal es un tratado vinculante abierto a todos los países.
• A nivel europeo, existe el Reglamento 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), así como la Directiva 2016/680 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales.
• A nivel nacional, un gran número de países han adoptado reglamentaciones nacionales relativas a la protección de datos personales. Es el caso, por ejemplo, de todos los países miembros de la Unión Europea.

El concepto de datos personales se define en el artículo 4 del RGPD como «toda información sobre una persona física identificada o identificable (…) directa o indirectamente (…)».

Dicho de otra forma, un dato personal es un dato o conjunto de datos que permiten identificar a un individuo por cualquier medio.

La identificación indirecta de una persona mediante un dato se produce cuando su simple lectura no permite identificar a un individuo a priori, pero sí podrían permitirlo averiguaciones complementarias. Ese es el caso, por ejemplo, de las direcciones de correo electrónico.

Sí, hasta cierto punto. Una de las obligaciones del responsable del tratamiento es la elección de encargados que ofrezcan todas las garantías suficientes para que el tratamiento de los datos personales se ajuste al reglamento.
Esto significa que las garantías que OVH ofrece como encargado le permiten a usted cumplir una parte de sus propias obligaciones. Entre estas garantías destacan las medidas de seguridad adoptadas por OVH o los compromisos adquiridos en materia de localización del tratamiento de los datos.

No obstante, las obligaciones de un responsable del tratamiento no se limitan a elegir un encargado que cumpla el reglamento, sino que van más allá del perímetro de intervención de OVH como proveedor de servicios IT. Para lograr el pleno cumplimiento del RGPD no basta con elegir un encargado, sino que usted, como responsable del tratamiento, debe también cumplir con sus propias obligaciones, tales como el respeto del derecho de las personas o la realización de evaluaciones de impacto relativas a la vida privada.

OVH, como proveedor de servicios cloud, actúa en calidad de encargado del tratamiento. A tal efecto, OVH asume los siguientes compromisos:

1. No reutilizar los datos alojados en nuestros servicios: OVH se compromete a tratar los datos personales del cliente con el único fin de la correcta ejecución de sus servicios y únicamente siguiendo sus instrucciones.
2. Permitir la reversibilidad de sus datos: Para permitir la reversibilidad y la interoperabilidad, todas las soluciones cloud de OVH se basan en estándares tecnológicos, entre los que se encuentran diversas tecnologías open source. Así nuestros clientes pueden recuperar sus datos fácilmente.
3. Informar de la ubicación exacta en la que se almacenan y se tratan los datos de nuestros clientes.
4. Garantizar total transparencia en caso de recurrir a encargados del tratamiento.
5. Informar al cliente en caso de violación de la seguridad de los datos.
6. Proporcionar documentación completa sobre nuestros servicios: OVH se compromete a proporcionarle toda la información necesaria, como la descripción de las medidas de seguridad adoptadas en sus servicios, una certificación de la localización del almacenamiento de sus datos, etc.
7. Garantizar contractualmente el cumplimiento de nuestros compromisos: Los compromisos de OVH no son solo bonitas promesas, sino que están incluidos contractualmente en nuestro Contrato de Encargo de Tratamiento (DPA). Este documento es un anexo a nuestros contratos y está disponible bajo petición para todos nuestros clientes.

Al seleccionar un servicio que permita almacenar contenido y, en concreto, datos personales, el sitio web de OVH muestra la localización o la zona geográfica en la que se encuentran los datacenters disponibles. Si existen diversas localizaciones o zonas geográficas, usted puede elegir la que desee al contratar el servicio.

Sin embargo, «almacenamiento de datos» no es sinónimo de «tratamiento de datos». El RGPD establece las normas aplicables en materia de «tratamiento» y no de simple «almacenamiento». Por lo tanto, conviene prestar especial atención al uso de estos dos términos.

Cuando usted elige una zona de almacenamiento situada dentro de la Unión Europea, OVH le garantiza que no trata sus datos fuera de la Unión Europea ni en países que la Comisión Europea considere que no garantizan un nivel de protección suficiente de los datos personales con respecto a la protección de la vida privada y los derechos y libertades fundamentales de las personas, o con respecto al ejercicio de los derechos correspondientes (decisión de adecuación). Por otro lado, nos comprometemos a no tratar nunca sus datos en Estados Unidos.

OVH se compromete a tratar los datos personales del cliente con el único fin de la correcta ejecución de los servicios y únicamente siguiendo sus instrucciones.

Los datos alojados por el cliente en el marco de nuestros servicios son propiedad del cliente.

OVH no revende dichos datos ni los utiliza con fines comerciales (como la elaboración de perfiles o el marketing directo).

Para que los compromisos de OVH le permitan a usted cumplir con una parte de sus obligaciones, dichos compromisos deben reflejarse en un contrato u otro documento jurídico vinculante.

OVH permite dicha oponibilidad doblemente:

• Las Condiciones Generales del Servicio que regulan el uso de los servicios de OVH incluyen cláusulas relativas a la protección de los datos personales.
• OVH propone, previa petición, la firma de una adenda al contrato titulada «Contrato de Encargo de Tratamiento (DPA)», que describe todas las garantías que ofrece OVH en materia de tratamiento de datos personales.