BITácora
No digo nada nuevo cuando afirmo que para muchas empresas, tener que cumplir con las normas de protección de datos no pasa de ser nada más que de ser una pesada obligación. Esto resulta normal en nuestra economía, donde todavía no hay apenas negocios cuya principal materia prima sean los datos de las personas. Conforme vayamos avanzando, esta percepción cambiará. Primero, hacia una concepción de la protección de datos como algo que es beneficioso para la continuidad del negocio, situación en la que ya se encuentran las grandes empresas, y posteriormente, hacia una concepción donde hasta se convierta el cumplimiento en ventaja competitiva. Sobre todo cuando la competencia no cumple.
En los servicios en la nube, mercado que la consultora Gartner valora para el año 2014 en más de 100.000 millones de dólares, es donde mejor podemos comprobar cómo se está empezando a utilizar la legislación para intentar excluir a la competencia. Ya sabemos que la falta de confianza en la seguridad adoptada en este tipo de servicios es uno de los factores que hacen reticentes a las empresas a adoptar soluciones "cloud". Las diferencias entre las legislaciones de Estados Unidos y las de Europa también se han empezado a esgrimir como argumento. Veamos algunos ejemplos:
- OVH (Francia) comparó su servicio de almacenamiento en línea Hubic con Google Drive, alegando un una mayor confidencialidad de la información almacenada, además de unas mejores y más comprensibles condiciones de uso.
- Deutsche Telekomm (Alemania) intentó que la administración alemana introdujera un certificado para las empresas alemanas y europeas que garanticen que el gobierno de los EE.UU. no accede a la información. Esto proporcionaría una ventaja competitiva a las empresas europeas frente a la competencia norteamericana.
- el Gobierno de Holanda ha excluido a proveedores"cloud" de EE.UU. de sus concursos públicos para acceder a contratos con la administración para prestar servicios en los que sea necesario alojar datos del Gobierno o de ciudadanos, aduciendo el acceso que confiere al gobierno norteamericano a esa información la Patriot Act.
Sin embargo, la más interesante batalla es la que mantienen Google y Microsoft. Desde el lanzamiento de Office 365, en junio del año pasado, llevan varias escaramuzas que nos enseñan bastante de cómo pueden utilizarse la seguridad y la privacidad como argumentos.
El primer disparo lo hace Microsoft con el siguiente vídeo, subido a Youtube el 31 de enero de 2012. Es una magnífica sátira donde un cartero llamado "GMail Man" va abriendo correos electrónicos dejando atónitos a los diversos usuarios que se encuentra. Merece comentario la afirmación con la que termina el vídeo: "Tu correo electrónico es tu negocio. Gmail lo hace el suyo":
El 15 de mayo afirma que su paquete Office 365 cumple con la legislación europea sobre privacidad. El día 28 del mismo mes, Google nos cuenta en su blog de empresa que Google Apps se ha certificado con la ISO 27001. Una verdadera carrera por demostrar qué servicios son los mejores.
Microsoft ha continuado atizándole a Google este mes de septiembre. Recordemos que Google llegó a un acuerdo con la FTC para pagar 22,5 millones de dólares por haber engañado a los usuarios del navegador Safari de Apple. Mientras que el navegador estaba configurado por defecto para no permitir el seguimiento de usuarios con la colocación de "cookies", Google lo puenteó tecnológicamente sin dar información alguna. Usando esta nueva infracción, Microsoft ha estado colocando el siguiente anuncio dirigido a usuarios del navegador Safari para que utilizasen Bing:
Es una exposición de hechos donde deja patente la deslealtad de Google, ofreciendo enlaces a un artículos de prensa sobre los hechos y el millonario acuerdo. Aunque se desconocen los resultados de la campaña, es más que directa, y ataca a Google poniendo de manifiesto que no cuida la privacidad de sus usuarios incumplimendo sus promesas.
Los ejemplos dejan claro de que seguridad y protección de datos se convierten en magníficas armas para atacar al contrario tanto en caso de flagrante incumplimiento, como para intentar destacar sobre el otro mediante la adopción de medidas que permitan cumplir con diversas legislaciones. Cuando los productos y servicios de las empresas son tan similares, hay que buscar la diferenciación en otros elementos, y ya no hablamos de precio. A día de hoy, tenemos la privacidad.
¿Cuánto tiempo nos queda para ver cómo dos empresas españolas compiten en este campo?
Tras las descorazonadoras respuestas anteriores seguro que disfrutaréis con la primera de hoy. El proveedor de servicios en cuestión es de los más antiguos en el mercado español, y además tiene bastante éxito y quizá sea de los que más páginas web tienen alojadas.
Contestó lo siguiente:
Buenos días!
Nosotros somos responsables del tratamiento de los datos de nuestros clientes, con la finalidad contractual que nos une con ellos, y para ello cumplimos con la normativa vigente, teniendo registrados nuestros ficheros en la Agencia de protección de datos.
En cambio, no somos responsables ni tratamos los datos que nuestros clientes puedan o no recoger a través de su página web. El servicio que presta un proveedor de alojamiento web se limita precisamente a esto, brindar un espacio en el que poder alojar una página web, no siendo por tanto, responsables de lo que se hace o recoge a través de ellas, ya que es el propio titular (nuestro cliente) el que administra y gestiona su sitio, todo ello de conformidad con la LLSSI y la Ley de protección de datos.
Dicho esto, seréis vosotros los únicos responsables y encargados del tratamiento de los datos personales que recojáis a través de vuestra página web. Debéis acudir a la oficina más cercana de la agencia de protección de datos para que os especifiquen, en base al tipo de datos que recojáis en vuestra web, el tipo de seguridad requerida y los pasos a seguir.
Ahí queda eso. El tipo se pone a explicar que no, que ellos sólo te brindan el espacio donde alojas la web, y se permite citar hasta la “LLSSI” (sic).
Hale, majetes, a ver si seguís teniendo suerte, y que nunca os visiten los de la única oficina de la Agencia Española de Protección de Datos. Esos sí que os explicarían por escrito la responsabilidad que tenéis.
Como no todo va a ser malo, y para que nos quede al menos una buena impresión, uno de los prestadores contestó algo sensato.
Buenas tardes, Félix.
Te escribo en referencia al e-mail que nos has enviado.
Nosotros, en ese sentido, sólo tendríamos que limitarnos a firmar el contrato que se nos presente, siempre y cuando las estipulaciones sean las adecuadas.
Lo único que podemos hacer en este caso es proporcionaros un modelo de contrato para que el responsable del fichero (el dueño de la base de datos de clientes, la tienda) lo rellene. Pero esto no serviría de mucho si la tienda en cuestión no ha inscrito el fichero en la agencia de protección de datos.
Un ejemplo: <empresa omitida> es el responsable del fichero que contiene la base de datos de facturación en la que estáis incluidos vosotros. <Empresa omitida> tiene registrado ese fichero en la agencia de protección de datos y tiene firmados contratos con diferentes empresas como encargadas de tratamiento; por ejemplo, la empresa que hace la limpieza de la oficina.
Un enlace que puede ayudar mucho más es el de la propia agencia https://www.agpd.es/
Un cordial saludo,
Proporcionan un modelo de contrato de los que llamo de “justificación de minuta”, páginas y páginas para no decir casi nada engordando las previsiones del artículo 12 LOPD. A su favor: disponen de un contrato de acceso a datos por cuenta de terceros, y plantean la alternativa de que se les pueda enviar cualquier otra propuesta. En contra: sólo lo ofrecen a petición del cliente, no se advierte en la web en momento alguno de la contratación del hosting.
Este es el panorama general que tenemos: un alto porcentaje de ignorancia acompañada del riesgo que conlleva tanto para los mismos proveedores como para los clientes. El proveedor que sepa aprovechar esta circunstancia, y la se la cuente a sus potenciales clientes vendiendo bien la cuestión, tendrá una ventaja competitiva importante. El coste adicional al que se enfrentan es nulo, las medidas de seguridad implantadas en los servidores seguro que cumplen de largo con las medidas de seguridad que nos marca el RD 1702/2007.
Miembro de
