LOPD y datos en francia

[freegirl]

Hola:

si tu contratas a un hosting español, pero éste tiene el centro de datos en Francia (o cualquier otro país del Espacio Económico Europeo):

¿debemos poner por algún lado (por ej.: fichero AEPD, contrato de política protección de datos, etc. ) que el centro de datos está en Francia?

Yo entiendo que no porque Francia equivaldría como si estuvieran en españa. Pero a ver si alguien me lo puede confirmar.

Es que hice una pregunta similar en la AEPD , pero era para otro país del EEE y el prestador de servicio era el mismo datacenter, y me dijeron que modificara el fichero que tenía inscrito e insertar (o modificar) el nuevo encargado de tratamiento de datos.

PEro en este caso, el prestador de servicios de alojamientos es distinto al datacenter, por lo que entiendo que sólo debo poner como encargado al prestador de servicios español y ya está ¿correcto?

[proteziona]

Iniciado por freegirl

...en este caso, el prestador de servicios de alojamientos es distinto al datacenter, por lo que entiendo que sólo debo poner como encargado al prestador de servicios español y ya está ¿correcto?

Si te entiendo bien, ¿tú has contratado al hosting y el hosting ha subcontratado al datacenter?. Si es así, estamos ante una subcontratación y debes indicar contractualmente lo que te marca el artículo 21, y yo (en mi caso) indicaría ahí esa información (la de Francia)
saludos

[freegirl]

si. La contratación sería así (porque aún no he contratado):

1.- mi empresa (ubicada en españa) contrata a Pepe Hosting (por decir algo jeje) que está ubicado en España
2.- Pepe Hosting contrata un datacenter ubicado en Francia

Pero cuando dices indicarlo contractualmente ¿te refieres al contrato que ofrece mi empresa a mis clientes (contrato online)? ¿o en mi documento de seguridad?

Porque en el contrato que tendría con Pepe Hosting (spain), así como la información anexa, ya se dice claramente que el datacenter está en francia, qe Pepe Hosting es el encargado de tratamiento y mi empresa la responsable de fichero, así como las características de su infrasetructura, etc etc.

Me he leído el art.21 y yo entiendo que se debería indicar en el contrato que se efectúa entre mi empresa y el hosting español ¿correcto?

PD:

art. 21

Posibilidad de subcontratación de los servicios.

1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento.

2. No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos:

1. Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar.
Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación.
2. Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero.
3. Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el artículo anterior.

En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 de este reglamento.

3. Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deberán someterse al responsable del tratamiento los extremos señalados en el apartado anterior.

http://noticias.juridicas.com/base_d...007.t2.html#c3

[proteziona]

Iniciado por freegirl

Pero cuando dices indicarlo contractualmente ¿te refieres al contrato que ofrece mi empresa a mis clientes (contrato online)? ¿o en mi documento de seguridad?

Me refiero al contrato entre tu empresa y el hosting ya que el encargado subcontrata en tu nombre (obviamente en lo que a datos personales se refiere). Aunque es algo muy "etéreo", en teoría tienes responsabilidad en que el hosting y el datacenter cumplan el reglamento.

Yo lo indicaría en el contrato on line con tus clientes y lo pondría en el DS ( pero esa es mi opinión)

saludos

[freegirl]

Por cierto, el ítem "PRESTACIÓN DE SERVICIOS DE COMUNICACIONES ELECTRÓNICAS" para
la tipificación correspondiente a la finalidad y usos previstos (Apartado 5):

¿cualquier empresa que ofrezca servicios de envío de emails o similares, debe seleccionar ese ítem? Yo lo relacionaba más con las actividades de las operadoras, pero lo he visto en algunos ficheros de empresas cuando envían correo electrónico,sms, etc.

[proteziona]

Iniciado por freegirl

¿cualquier empresa que ofrezca servicios de envío de emails o similares, debe seleccionar ese ítem? Yo lo relacionaba más con las actividades de las operadoras, pero lo he visto en algunos ficheros de empresas cuando envían correo electrónico,sms, etc.

Parece el más adecuado ¿no? De momento (que yo sepa) la Agencia no ha entrado a valorar cómo se han respondido esas cuestiones en el formulario.
Harina de otro costal es la CMT, que la mayoría de empresas no están registradas
saludos

[freegirl]

una duda:

Si con antelación envías la solicitud de inscripción de un nuevo fichero (llamémosle "XXX") en la AEPD, pero luego por x motivos hay cambios en el proyecto que originó esa solicitud (como el nombre del fichero, finalidad y el encargado de tratamiento), y esa solicitud de inscripción aún esta pendiente de registro. Que sería más apropiado:

A- ¿registrar un nuevo fichero y cuando el fichero XXX esté inscrito suprimirlo?
B- ¿modificar el fichero XXX cuando esté inscrito?

Yo había pensado en la opción A. Ya que al final tanta previsión me va resulto más lento y todo, ya que si tengo que esperar que se inscriba y luego volverlo a modificar.....¿tu qué harías?

Pero en el caso de suprimirlo, en el NOTA debes poner dónde van a parar los datos ¿qué pongo si no se ha recogido ningún dato ni se a puesto el proyecto en marcha? ¿esto mismo?

[proteziona]

asumo que lo haces con correopostal no con certificado... si lo haces con certificado te da lo mismo, un par de minutos más de escribir
saludos

[proteziona]

Iniciado por freegirl

Que sería más apropiado:

A- ¿registrar un nuevo fichero y cuando el fichero XXX esté inscrito suprimirlo?
B- ¿modificar el fichero XXX cuando esté inscrito?

C las dos anteriores son correctas

pero si suprimes y después das de alta otro, son dos papeles a rellenar, si modificas es sólo uno, pero vamos la diferencia es escasa.
Tu otra opción sería que si no lo has enviado firmado, no está registrado ergo... no tienes que modificarlo, aunque entiendo que lo has enviado ya.

Iniciado por freegirl

Pero en el caso de suprimirlo, en el NOTA debes poner dónde van a parar los datos ¿qué pongo si no se ha recogido ningún dato ni se a puesto el proyecto en marcha? ¿esto mismo?

eso mismo

saludos

[freegirl]

sí, ya está firmado (certificado digital) y está registrada la entrada pero aún no inscrito.

Posiblemente espere esta semana (tampoco me es de vida o muerte) para así ahorrarme volver a cumplimentarlo todo . Si veo que la cosa demora, pues haré la opción A.

[freegirl]

pues al final ha valido la pena esperar. Hoy he consultado a través de la web el estado de la solicitud y ya está inscrito. Así que ya puedo modificar el fichero sin necesidad de tanto embrollo de altas y bajas.