| Informe | 2016-0313 |
| Enlace | 📋 |
Resumen del Informe Jurídico de la AEPD sobre el proyecto PRISMA CLOUD
Contexto y objetivo del proyecto PRISMA CLOUD
El proyecto PRISMA CLOUD, financiado por el programa Horizonte 2020 de la UE, tiene como finalidad desarrollar técnicas criptográficas para proteger la seguridad y privacidad de los datos en entornos de cloud computing, cubriendo todo su ciclo de vida (reposo, movimiento y uso). Su ejecución incluye talleres, demostraciones y pilotajes en áreas como Smart Cities, E-Government y E-Health, aunque utilizando datos ficticios o no reales. No obstante, podrían recopilarse o tratarse datos personales de participantes en pruebas o actores involucrados.
Aplicación temporal de la normativa
El informe analiza la transición entre marcos normativos:
Hasta el 25 de mayo de 2018: Se aplica la Directiva 95/46/CE y en España, la Ley Orgánica 15/1999 (LOPD) y su Reglamento (RD 1720/2007).
A partir del 25 de mayo de 2018: Entrará en vigor el Reglamento (UE) 2016/679 (RGPD), que sustituirá a la LOPD y reforzará principios como la responsabilidad proactiva (accountability) y derechos de los interesados.
Dada la duración del proyecto, se recomienda anticipar el cumplimiento con el RGPD, especialmente en medidas de seguridad y notificación de violaciones.
Dato personal y tratamiento
Dato personal: Según la LOPD y el Grupo de Trabajo del Artículo 29 de la UE, incluye cualquier información (numérica, gráfica, acústica, etc.) sobre personas identificadas o identificables (incluyendo voz, imagen o perfiles en línea).
Tratamiento: Cualquier operación automatizada o no sobre datos personales (recogida, conservación, modificación, cesión, etc.).
En PRISMA CLOUD, cualquier tratamiento (aunque sea en pilotajes) deberá ajustarse a la normativa, requiriendo:
Legitimación: Consentimiento libre, inequívoco, específico e informado de los participantes (art. 6 LOPD), salvo que exista otra base legal (ej. interés público).
Información a los afectados: Deben conocer la finalidad del tratamiento, derechos (acceso, rectificación, cancelación, oposición) y medidas de seguridad aplicables (art. 5 LOPD).
Responsables y encargados del tratamiento
Responsable: Entidad que decide los fines y medios del tratamiento (ej. entidades europeas que gestionen datos por su cuenta).
Encargado: Tercera parte que trata datos por cuenta del responsable (ej. proveedores de servicios), con obligaciones estrictas (art. 17 Directiva 95/46/CE y art. 12 LOPD):
Contrato por escrito que defina: instrucciones del responsable, prohibición de usar datos para otros fines, destrucción o devolución de datos al finalizar el servicio.
Medidas de seguridad equivalentes a las del responsable (salvo cuando el encargado esté en otro Estado miembro de la UE, aplicándose entonces las medidas locales).
En PRISMA CLOUD, si una entidad española actúa como encargada de otra europea, deberá:
Cumplir el contrato con cláusulas de confidencialidad y limitación de fines.
Aplicar las medidas de seguridad previstas en el RD 1720/2007 (hasta 2018) y luego adaptarse al RGPD (arts. 32 y 33).
Notificar al responsable cualquier violación de seguridad (art. 33 RGPD).
Cesión y transferencias internacionales
Cesión de datos: Solo permitida si el afectado prestó consentimiento específico y previo (art. 11 LOPD). No aplica en relaciones responsable-encargado.
Transferencias internacionales: Prohibidas a países sin nivel adecuado de protección (ej. fuera del Espacio Económico Europeo) sin autorización de la AEPD, salvo excepciones como decisiones de la Comisión Europea (Israel está incluido en estas excepciones).
Principios clave para PRISMA CLOUD
Finalidad: Los datos solo podrán usarse para los fines declarados (art. 4.2 LOPD). Usos incompatibles requerirían nuevo consentimiento.
Minimización y conservación: Los datos deberán cancelarse cuando dejen de ser necesarios (plazo sugerido: 1-2 años post-proyecto). El RGPD refuerza este principio con obligaciones de transparencia sobre plazos (art. 5.1.e).
Seguridad:
Hasta 2018: Medidas de seguridad escalonadas según nivel de datos (básico, medio, alto) establecidas en el RD 1720/2007.
Post-2018: Adopción de medidas técnicas como seudonimización, cifrado, y evaluación periódica de riesgos (art. 32 RGPD).
Notificación de violaciones de seguridad a la AEPD en 72 horas (art. 33 RGPD).
Recomendaciones de la AEPD
Consentimiento: Asegurar que se recabe de forma explícita y detallada, informando sobre la finalidad y derechos de los participantes.
Documentación: Formalizar contratos entre responsables y encargados, registrando las actividades en el Registro General de Protección de Datos (hasta 2018) y adaptándose al RGPD después.
Privacidad por diseño: Incorporar medidas técnicas (ej. cifrado) desde el desarrollo del proyecto para garantizar la protección de datos.
Evaluación de impacto: Realizar un Análisis de Riesgo y, si procede, un Evaluación de Impacto (EIPD) conforme al RGPD (art. 35), especialmente en tratamientos con alto riesgo (ej. datos biométricos o de salud).
Delegado de Protección de Datos (DPD): Nombrar un DPD en el proyecto (obligatorio para autoridades públicas o tratamientos masivos bajo el RGPD).
Conclusión
El proyecto PRISMA CLOUD debe alinearse con los principios de protección de datos, garantizando la seguridad de la información y los derechos de los participantes. Se recomienda anticipar el cumplimiento con el RGPD (vigente desde mayo de 2018), especialmente en transparencia, consentimiento, conservación y notificación de brechas de seguridad. La AEPD destaca la importancia de adoptar un enfoque de privacidad desde el diseño y de documentar todas las operaciones de tratamiento para demostrar el cumplimiento normativo.