LOPD - almacenar datos en EEUU

[freegirl]

Buenas,

qué apartado se debe reflejar qué se van almacenar datos fuera de España, y será en EEUU?

¿Alguien ya ha inscrito un fichero así (con datos almacenados fuera de españa)? Por ejemplo, si alguien tiene una tienda onlien alojada en un servidor fuera de españa debe tener el fichero inscrito y haciendo constar eso, no? pero como?

saludos

[consultoring]

Debes leerte la instrucción 1/2000 de la Agencia sobre estos temas ( descargala aqui ).......te resumo un poco

1. Debes notificar la transferencia indicando el pais de destino para lo cual debes rellenar el formulario NOTA como si una modificación del fichero se tratase (si ya tienes el fichero registrado, claro)
2. La Agencia te requerira para pedirte documentación sobre la transferencia.
3. Para que la transferencia no requiera de la autorización previa del director de la agencia la empresa de hosting tiene que estar adherida al "acuerdo de puerto seguro de EEUU" más conocido como "Safe Harbor" ( te lo diran ellos ).
4. Tienes que tener firmado un contrato con la empresa de hosting como "encargada del tratamiento" ( en la mayoria de las ocasiones las clausulas necesarias ya estan incluidas en el contrato de servicio que tendras formalizado).

No es tan complicado, tu notifica la transferencia y la Agencia te solicitará lo que necesites ( lo que si es importante es que la empresa de hosting forme parte del acuerdo de puerto seguro para evitar la autorizacion previa)

Puedes leer un interesante articulo aqui

Suerte FREEGIRL

[Dr.Insano]

Hola,

Yo he inscrito varios ficheros así. Tienes que indicarlo en el formulario NOTA en el apartado 10 - Transferencias internacionales. Como dice consultoring lo ideal es contratar el hosting con una empresa adherida al puerto seguro, entonces en el apartado 10 seleccionarías EEUU PUERTO SEGURO.

El inconveniente es que no hay ningún campo donde puedas indicar el nombre de la empresa, así que te lo requerirán posteriormente, pero una vez se lo notifiques ya te inscribirán el fichero.

Saludos.

[freegirl]

Gracias por las respuestas.

pero como las cosas de palacio van despacio....Si quiero hacer un proyecto a corto plazo, más vale que coja un hosting en españa o europa, no? Temporalmente hasta que no tenga el visto bueno por la AEPD, teniendo en cuenta que el Host que me interesa ni está inscrito en la lista esa.

Porque hasta que no esté el fichero inscrito con lo de las transf. internacional no se puede alojar nada, no?


Dr.Insano:

tu primero inscribías el fichero, y luego alojabas, o lo hacías a la vez?


Si el hosting está en europa también se debe notificar como transferencia internacional?

leyendo la web de consultoring ,, entiendo que se consideraría transf. internacional si se hace fuera de las fronteras del espacio económico europeo. Por ejemplo, si quiero alojar en UK, entiendo que no haría falta tocar nado del fichero que ya tengo isncrito, no?


saludos

[Dr.Insano]

En algún caso primero he alojado y luego he inscrito el fichero, en concreto en el caso de webs que ya llevaban años funcionando y aún no estaban adaptadas a la LOPD. Ahora solicito la inscripción con suficiente tiempo para tener el fichero antes de poner en funcionamiento la web. La última vez tardaron un mes y medio en inscribirlo.

Porque hasta que no esté el fichero inscrito con lo de las transf. internacional no se puede alojar nada, no?

Siendo puntillosos yo creo que hasta que no esté el fichero inscrito no puedes alojar datos personales en ningún sitio, ni siquiera en España. Si sabes positivamente que te lo van a inscribir supongo que tiene el mismo "riesgo" iniciar las operaciones de una web alojada en España, Francia, o EE.UU Puerto Seguro antes de que te notifiquen la inscripción.

[freegirl]

sip está lenta la cosa, hace un mes casi notifiqué un cambio de dirección de la empresa, y aún no está registrada ni la entrada...O sea que irá por largo. Y eso que es una pequeña cosilla.

Si ya tengo un fichero inscrito diciendo que trato datos básicos. Si cogiera un hosting de UK, no tendría que notificar ningún cambio ¿no? porque UK al estar dentro del espacio económico europeo,...A ver si alguien me orienta, porque estoy hecha un lío y eso me pasa cada vez que leo más info al respecto.


saludos

EDITO:

buscano en el fichero NOTA, apartado 10:

"Este apartado únicamente ha de cumplimentarse en el caso de que se realice o esté previsto realizar un tratamiento de datos fuera del territorio del
Espacio Económico Europeo. En el caso de que la transferencia internacional tenga como destino un país que no preste un nivel de protección
adecuado al que presta la LOPD, deberá tener en cuenta que la LOPD establece que las previsiones para realizar transferencias internacionales son
diferentes, dependiendo de que los países destinatarios tengan un nivel de protección adecuado o no. Para más información consulte la ayuda de
este formulario.!

O sea, que si transfiero datos, por ejemplo al Regno Unido, no haría falta cumplimentar el apartado 10. Entiendo yo. Es más, tampoco sale en el combo.

Es decir, si uno tiene un hosting dentro de la comunidad europea, y quiere almacenar datos básicos ahí, ¿sólo tendría que cumplimentar el apartado 9? (claro, referente a la transferencia de datos)

Y según dice "realice o esté previsto realizar" ...realice es presente por lo cual se admitiría que se tuviera alojando datos en eeuu a la par que tramitas la modificación / inscripción del fichero...

saludos

[consultoring]

Hoola de nuevo, efectivamente tienes razon en todo estimada freegirl
1. La Lopd dice que cuando se va a crear un fichero de datos de caracter personal hay que notificarlo "previamente" a la Agencia para su inscripción en el Registro General de Protección de Datos. Articulo 26.1
2. Los paises que forman el Espacio Economico Europeo (EEE) ofrecen el mismo nivel de protección de los datos y por eso solo se considera transferencia internacional el envio de datos fuera de sus fronteras y por lo tanto no hay que notificarlas, es lo mismo enviar datos a una gestoria en Valencia que a Alemania (habra que cumplir con las condiciones del articulo 11 -comunicación de datos- o del articulo 12 - acceso a los datos por cuenta de terceros- pero no hay que notificarlo ni solicitar autorización previa ). Además, como bien has visto, ni siquiera se encuentran los paises del EEE entre las posiblidades del despleglable del formulario.

Graciassssss por recomendar mi web ( estoy a tu entera disposición.....)

[consultoring]

Por cierto, soy de la opinión que un proyecto "serio" en Internet debe ser alojado en un servidor español que de la cara, y es que tenemos que comunicarnos con ellos para unas cuantas cuestiones legales y no creo que sea sencillo que un hosting aleman te aporte información para el documento de seguridad ni te facilite un contrato de "acceso a los datos por terceros" para cumplir con el artículo 12 de la Lopd.....

Por ejemplo, yo no tengo nada contratado con ellos, pero he visto proveedores de hosting como acens que te facilitan las cosas en los temas legales.... mira aqui

[freegirl]

sip, al final voy a optar por empresa española con centro de datos en españa. Sio Acens está muy bien, pero me dispara el presupuesto...
Al final opto por españa, ya que lo estoy pensando mucho y el tipo de proyecto que quiero, pues prefiero que la cosa quede en el mismo país...

Otra cosa, los servidores de fuera de españa son competitivos en transferencia y precio, si tienes un hosting dónde sólo almacenaría archivos, para que tus usuarios se los puedan descargar. En ningún momento se tratan datos....¿También se debería notificar eso? o eso ya sería muy papista?

Por ejemplo, tengo un fichero de 100 megas y lo subo a un host de eeuu. El usuario pica el enlace y se descargaría el fichero. Para eso también se tiene que notificar? Eso lo veo ya un poco exagerado....en el caso que se tuviera que notificar.

Por ejemplo muchos portales de software españoles que tienen demos, enlazan directamente a la url del fabricante, y dudo que tengan notificado los 1001 destinos de dónde están alojados los enlaces.


saludos

[Dr.Insano]

Siento discrepar pero no estoy de acuerdo en que un proyecto vaya a ser menos serio por el hecho de estar alojado en el extranjero. Si hablamos de alojarlo en EEUU, Alemania o Reino Unido, no en un país subdesarrollado, en pleno siglo XXI esto debería ser algo de lo más natural y no un contratiempo legal (aunque lo sea en algunos casos).

Por no hablar de precios y nivel tecnológico. Por la mitad de lo que cuesta un servidor privado en la empresa que has mencionado puedes tener uno en EEUU con 40 veces más espacio y 80 veces más ancho de banda y no tiene porque ser una empresa menos seria que una española. Para mi que una empresa estadounidense se adhiera al puerto seguro para cumplir la normativa europea es una buena muestra de seriedad en materia de protección de datos.

Yo desde luego no me puedo permitir un servidor privado en España

[freegirl]

En eso coincido, los precios y características de fuera son muy buenas...Aquí hay bueno, pero carito...A mi me pasa como Insano, que no me lo puedo permitir.

En mi caso, el host que me interesaba no estaba adherido..por lo cual, te echa pa atrás. No por mal hosting, sino por el tema de notificar eso. Si de estos temas legales entiendo lo justo en español, imagina en inglés....

Estaba pensando que si regno unido es como si fuera españa (en temas de LOPD), pues podré contratar un host de ahí sin tener que tocar nada del fichero que ya tengo inscrito ¿correcto? Por ejemplo, he visto discountasp.net en el que puedes escoger tu centro de datos (por ej: UK)

saludos

[consultoring]

Perdón........cuando dije "proyecto serio" me referia a proyectos web con muchas implicaciones jurídicas ( tiendas online, apuestas etc etc) y lo decia porque por experiencia les digo que es muy complicado comunicarse legalmente en otros idiomas y aun más imponerles contratos y clausulas que provienen de una normativa que no se aplica en su pais.

En cuanto a la duda de freegirl, decirte que la Lopd solo protege los datos de caracter personal de personas físicas, es decir, toda la información que puedas obtener a través de la web relativa a personas fisicas identificadas o indentificables ( correos, login, datos de facturacion, tarjetas de credito etc ).....la lopd no protege el resto de información por lo que no tienes problemas con la descarga de archivos y esas cosas....SIEMPRE QUE NO CONTENGAN DATOS PERSONALESSSSS.

Un saludo

[ICEF]

Bueos días,

Yo creo que estías sacando las cosas de contexto. Es bueno que si se acude a EE.UU. la empresa esté adherida al protocolo de seguridad de safe harbor, pero auqnue no esté adherido, podéis contratar el hosting simplemente aduciendo que es necesario para llevar a cabo la relación contractual con el afectado y/o cliente. Simplemente os amparáis en las excepciones del artículo 34 f) a h) LOPD, aportáis las condiciones generales de contratación que dáis al cliente en el que se especifique eso y listo.

A la hora de notificarlo lo señaláis, lo aportáis y completais en el apartado encargado de tratamiento la empresa americana. Yo he hecho muchas y nunca me han puesto ningún inconveniente, y la verdad es que muy rápido.

Un saludo.

[freegirl]

Pero primero deberemos tener inscrito ese fichero antes de contratar, no? O bien el fichero modificado.

O sea según entiendo, en las condiciones de contratación debemos decirle al cliente o usuario que sus datos son almacenados en EEUU. Luego en el NOTA, en el apartado 4 ponemos los datos de la empresa de hosting ....

¿Alguien tiene un ejemplo de alguna empresa española que en sus condiciones web haya puesto esto?

Otra cosa, si el hosting está dentro de la UE no se tiene que especificar nada,no? ¿Cuando tienes datos de usuarios en un hosting se tiene poner algo en especial en el fichero?

saludos

[consultoring]

hola de nuevo....llevo un par de dias sin conectarme y tengo que ponerme al dia

En cuanto a "sacar las cosas de contexto" entiendo que se "sacan de contexto" cuando se dan respuestas sin conocer exactamente las condiciones de la transferencia, yo he entendido que freegirl no tiene ningun contrato con clientes y que se refiere a los datos que recoge a través de su web (formularios de contacto, email etc) mientras que "icef" ha considerado que se trata de un tratamiento de datos basado en un vinculo contractual o en una relación laboral (ambas soluciones validas en distintos contextos)........por lo tanto, mejor irse a lo que dice la Lopd en terminos generales para que freegirl decida lo que aplica, al caso concreto,

Norma general (art 33): No podrán realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente Ley, salvo que, además de haberse observado lo dispuesto en ésta, se obtenga autorización previa del Director de la Agencia Española de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas.

Excepciones (art.34). Lo dispuesto en el artículo anterior no será de aplicación, es decir, no hara falta la "autorización previa" (aunque si la notificación y lo demas) en los siguientes supuestos:
[LIST=1][*]Cuando la transferencia internacional de datos de carácter personal resulte de la aplicación de tratados o convenios en los que sea parte España.
[*]Cuando la transferencia se haga a efectos de prestar o solicitar auxilio judicial internacional.
[*]Cuando la transferencia sea necesaria para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamiento médicos o la gestión de servicios sanitarios.
[*]Cuando se refiera a transferencias dinerarias conforme a su legislación específica.
[*]Cuando el afectado haya dado su consentimiento inequívoco a la transferencia prevista.
[*]Cuando la transferencia sea necesaria para la ejecución de un contrato entre el afectado y el responsable del fichero o para la adopción de medidas precontractuales adoptadas a petición del afectado.
[*]Cuando la transferencia sea necesaria para la celebración o ejecución de un contrato celebrado o por celebrar, en interés del afectado, por el responsable del fichero y un tercero.
[*]Cuando la transferencia sea necesaria o legalmente exigida para la salvaguarda de un interés público. Tendrá esta consideración la transferencia solicitada por una Administración fiscal o aduanera para el cumplimiento de sus competencias.
[*]Cuando la transferencia sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
[*]Cuando la transferencia se efectúe, a petición de persona con interés legítimo, desde un Registro público y aquélla sea acorde con la finalidad del mismo.
[*]Cuando la transferencia tenga como destino un Estado miembro de la Unión Europea, o un Estado respecto del cual la Comisión de las Comunidades Europeas, en el ejercicio de sus competencias, haya declarado que garantiza un nivel de protección adecuado. (nota)


(nota) uno de los paises que ha sido declarado como país que garantiza un nivel de protección adecuado es EEUU únicamente en cuanto a las entidades adheridas al acuerdo de puerto seguro "safe harbour"....por eso te decia que te buscaras un hosting adherido para evitar precisamente la "autorización previa"....[/LIST]

[freegirl]

Retomando el hilo....

Me refería que serían datos recogidos del formulario del website. Luego había pensado en tener una aplicación online para gestiones varias con los clientes. En lo primero sólo son simples usuarios, y lo segundo clientes.

resumiendo ¿que debería hacer?

Ya tengo un fichero inscrito en la Agencia, pero si me quiero cambiar a un Host de EEUU, debería modificarlo. ¿qué apartado debería rellenar? y debo aportar documentación adicional?

Gracias de antemano.

Saludos

[ICEF]

Buenas tardes,

Hablo por mi expreiencia y no sé si te refieres al ejemplo que voy a darte. Hay empresas que tienen a usuarios y a clientes, y éstos a la vez pueden acceder a su panel de control, el cual, al igual que los datos e información está en un hosting en EE.UU.

Si esto es así, si en el contrato que condiciones generales que te firman o te suscriben esos usuarios o clientes, estableces que sus datos estarán en un prestador de servicios de hosting en EE.UU. con la finalidad de gestionar el servicio y poder prestarles el servicio contratado, pudiendo tener acceso a los mismos para determinadas finalidades que establezcas, sería suficiente.

En caso que ya tengas declarado el fichero, lo modificas, pones en el apartado de encargado de tratamiento al hosting de EE.UU. y remites las condiciones del contrato a la AEPD, con eso es suficiente, diciendo que te han dado consentimiento en virtud del artículo 34 f) a h) LOPD.

Un saludo.

[freegirl]

ICEF,

una pregunta sobre esto

¿es normal que tarden 2 meses en registrar una modificación de un fichero? mi empresa cambió de domicilio y de denominación y aún está "pendiente" de registro....Anteriormente en 1 mes siempre estaba liquidado.

Ya me he puesto en contacto, pero aún no me ha contestado.

Visto lo visto, que se demora un poco cuando hay una modificación...Se puede comenzar a almacenar datos fuera de españa aunque no esté registrada la modif. o se debe esperar a que esté registrada?

saludos

[ICEF]

Buenas tardes freegirl,

El procedimiento de inscripción, modificación y/o supresión de ficheros ante la AEPD, tiene como plazo máximo un mes. En caso de que no te contesten, como es el caso, el silencio se considera positivo, por lo que se entiende que la modificación surte efectos desde la finalización del mes.

Esto que te he comentado antes viene en el artículo 134.2 RD 1720/2007 al decir que "si en dicho plazo -un mes- no se hubiese dictado y notificado la resolución expresa, se entenderá modificado el fichero a todos lo efectos".

Por tanto, puede operar ya porque está aceptada la modificación.

Un saludo

[freegirl]

Buenas,

Sip, eso había oído y leído. Es que en su Web hay una sección para consultar el estado de una tramitación. Lo he consultado y dice "Estado: Pendiente de enviar o registrar la hoja de solicitud". Y como es tan ambiguo, ¿tu como entiendes eso? yo mandé la hoja por fax. Presupongo que ha llegado....

saludos

[ICEF]

Hola de nuevo,

El problema no es de la AEPD es tuyo. La solicitud de modificación no se considera presentada, hasta en tanto no presentes la hoja de solicitud con los puntos creados en .pdf, bien en la propia Agencia, bien por correo certificado adminsitrativo. A día de hoy, la solicitud ni siquiera ha sido registrada.

Yo te recomiendo que la hoja de solicitud, bien la remitas por correo certificado adminsitrativo con acuse de recibo, bien te acerques al Registro de la AEPD con original y fotocopia para que te firmen la fotocopia y se queden ellos con el original y tu con el sellado de la fotocopia. Ah! en caso que los hgas por correo que te sellen, al menos, la primera hoja de solicitud, no la original sino la copia que hagas de la primera página de la original.

Un saludo.

[freegirl]

No, el problema no es mío porque yo lo mandé tal y como indican ellos. Primero mandé la hoja por internet, luego imprimí la hoja que indican para mandar a laAEPD, la firmé y la mandé por fax. Como siempre. Esta es una de las formas válidas para inscribir.

El fax se mandó. Yo no estoy ahí para ver si el fax les ha llegado o si alguien lo ha traspapelado. El fax origen dió OK al envío y Tengo el resguardo del envío (con la hora y nº fax enviado) porque ya sé como van estas cosas.

Yo he seguido los pasos indicados....Si alguien ha fallado, no he sido yo.

¿Si se ha enviado la hoja de solicitud por fax ha de volver a enviarse el original por otros medios (correo, presentación física del documento en la Agencia, etc)?
El envío vía fax a los números 91-445 25 29 o 91-448 36 80 de la hoja de solicitud de inscripción, debidamente cumplimentada y firmada, tendrá la misma validez jurídica que la presentación del original de la hoja de solicitud, no siendo necesaria la presentación física de dicha hoja en la Agencia Española de Protección de Datos, ya que ello implicaría la duplicidad en la presentación, dando lugar a errores de registro y tramitación.

fuente

saludos

edito:

ya esta solucionado

[DataCopi]

Yo tengo un negocio de Copias de Seguridad Online. Al principio alquilé unos servidores en EEUU, mas adelante pude comprar mis propios servidores y alojarlos en dos locales míos, ambos en la UE.

El hecho de que la empresa que te vende el hosting esté adherida al convenio de Puerto Seguro (o Safe Harbour, como quieras) lo convierte en legal y no vas a tener problemas con la AEPD.

Ahora, no pienses ni por un momento que es una garantía de privacidad de los datos que tienes almacenados.

Mi consejo, si lo quieres, freegirl, es que busques la manera de alojar los datos de tus clientes en la UE.

[freegirl]

Si, al final descarto totalmente fuera de la EU, incluso fuera de España. Prefiero un Host de aquí y menos problemas (a priori). Aunque fuera Safe Harbor, ya me da igual...

Estuve leyendo, y si el Host no es del Safe Harbor ese, los usuarios y clientes deberían dar un consetimiento expreso de que sus datos se alojen ahí. Pero leí que no valía el típico checkbox que se pone en las Web "he leído los términos y condicones". El cliente o usuario debe leer y firmar que sí acepta. Eso es una utopía....Si algunos usuarios les mandas un mail con unas instrucciones de 10 palabras y ya no se las leen, imagina un contrato...

Saludos

[interneting]

Pues lo mejor que has hecho, porque mucha historia con la autorización previa, con las excepciones, con el "safe harbour" pero a la hora de la verdad tendrias que estar argumentando y justificando tus decisiones en caso de problemas. Al final tu eres la responsable de tus ficheros y necesitas la tranquilidad de hacer las cosas todo lo bien que está en tu mano sin dejar "flecos", y aunqe el hosting es algo más caro en la union europea te aseguras de que no te multen con importes estratosfericos...........MUY BUENA DECISIÓN