| Informe | 2016-0187 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre «Microsoft Office 365 Exchange» (Expediente 2016-0187)
La Agencia Española de Protección de Datos (AEPD) emitió un informe jurídico en 2016 para evaluar si el uso de Microsoft Office 365 Exchange como solución de mensajería electrónica en la Administración Pública cumple con la normativa de protección de datos. Aunque la AEPD no aprueba ni desaprueba servicios concretos, analiza los riesgos y garantías asociados al cloud computing y ofrece recomendaciones para garantizar el cumplimiento legal.
Aspectos clave del informe
Responsabilidad del responsable del tratamiento
La Administración Pública (responsable del fichero) no delega su responsabilidad en el proveedor (encargado del tratamiento), aunque sea una gran multinacional como Microsoft.
Debe evaluar los riesgos asociados al almacenamiento de datos en la nube y garantizar que el acceso a los datos personales cumpla con la normativa.
Riesgos del cloud computing
La AEPD se basa en el Dictamen 5/2012 del Grupo de Trabajo del Artículo 29 de la UE, que identifica dos categorías de riesgos:
Falta de control sobre los datos:
Dependencia del proveedor (portabilidad e interoperabilidad limitada).
Compartición de infraestructuras (posibles conflictos de intereses).
Riesgo de accesos legales desde terceros países (ej.: EE.UU.).
Dificultad para garantizar derechos como supresión o rectificación.
Falta de transparencia:
Cadena de subcontratación opaca.
Tratamiento de datos en múltiples localizaciones geográficas.
Transferencias a terceros países sin garantías adecuadas.
Requisitos legales para la contratación de servicios en la nube
El informe recuerda que las Administraciones Públicas deben:
Firmar un contrato con el proveedor (encargado del tratamiento) que cumpla con el artículo 12 de la LOPD (y su Reglamento de desarrollo). Este contrato debe:
Establecer que el proveedor solo procesará datos según las instrucciones del responsable.
Incluir cláusulas de confidencialidad y seguridad.
Garantizar la devolución o destrucción de los datos al finalizar el contrato (artículo 12.3 LOPD).
Garantizar la subcontratación (artículo 21 del Reglamento de la LOPD y disposición adicional vigesimoquinta de la Ley de Contratos del Sector Público):
El responsable debe conocer la identidad de los subcontratistas.
Los subcontratistas deben firmar contratos que cumplan con las instrucciones del responsable.
Se debe notificar cualquier cambio en la subcontratación.
Transferencias internacionales de datos
El cloud computing suele implicar almacenamiento en servidores fuera de la UE (ej.: EE.UU.), lo que requiere:
Evaluar si el país destino tiene un nivel de protección adecuado (según la LOPD y el Privacy Shield en el caso de EE.UU.).
Solicitar autorización previa a la AEPD si no hay garantías suficientes (artículo 33 LOPD).
Notificar las transferencias al Registro General de Protección de Datos (artículo 66 del Reglamento de la LOPD).
La AEPD ya había emitido una resolución en 2014 (TI/32/2014) que autorizaba transferencias de datos a Microsoft en EE.UU. con ciertas garantías, lo que facilita su uso por Administraciones Públicas.
Medidas de seguridad
Deben aplicarse medidas técnicas y organizativas (artículo 9 LOPD y Reglamento de desarrollo).
Ha de cumplirse el Esquema Nacional de Seguridad (Real Decreto 3/2010), que complementa la normativa de protección de datos.
El proveedor debe:
Informar de incidencias de seguridad que afecten a los datos.
Garantizar la portabilidad de los datos (formatos interoperables según el Esquema Nacional de Interoperabilidad).
Eliminar los datos al finalizar el contrato (salvo que deban conservarse por obligaciones legales).
Recomendaciones adicionales
Incluir cláusulas en el contrato sobre:
Portabilidad de datos (evitar dependencia del proveedor).
Destrucción certificada de datos al finalizar el servicio.
Auditorías periódicas de cumplimiento.
Localización geográfica de los servidores donde se almacenan los datos.
Conclusión
La AEPD no prohíbe el uso de Microsoft Office 365 Exchange, pero exige a las Administraciones Públicas que:
Evalúen los riesgos asociados al cloud computing.
Firmen contratos detallados con Microsoft (o cualquier proveedor) que garanticen el cumplimiento de la LOPD.
Cumplan con las transferencias internacionales (autorizaciones y notificaciones).
Implementen medidas de seguridad conforme al Esquema Nacional de Seguridad.
El informe subraya que, si se adoptan las cautelas necesarias, el sistema puede ser compatible con la normativa de protección de datos, alineándose incluso con resoluciones anteriores de la AEPD sobre transferencias a Microsoft.
Este resumen sintetiza los puntos esenciales del informe, que sirve como guía para que las Administraciones Públicas adopten soluciones de cloud computing de manera segura y legal.