25 de septiembre de 2018

Big Data Magazine entrevista a Tomás Serna para hablar de RGPD en el Cloud

Como recordarás acens participó en la 5ª edición de OpenExpo para hablar de lo que un proveedor cloud puede hacer para cumplir el RGPD, de la mano de Tomás Serna. Para ampliar el tema, que sigue siendo de interés, Big Data Magazine ha entrevistado a este abogado especializado en sectores de Internet, media y high-tech.

Big Data Magazine (BgM): ¿Cómo afecta la nueva GRPD que entró en vigor el pasado 25 de mayo al ecommerce?

TFS: Es un momento de transición de un sistema anterior, que era extremadamente rígido y formalista, a un régimen exactamente igual de serio, pero más amable y asequible al gran público. Antes había mucho énfasis en inscribirse en registros públicos, adscribirse a categorías de medidas de seguridad… era todo muy formal y si cumplías unos mínimos en teoría estabas bien.

Ahora con la nueva reglamentación hay que hacer un ejercicio individual serio en cada empresa. Ver qué hacemos, que categorías de datos tratamos, y determinar cuáles son las medidas de seguridad que debemos aplicar. No basta con cumplir unos mínimos, y más o menos estar tranquilos. El sistema, de alguna manera es igualmente serio, pero un pelín más laxo, en el sentido de que: “¿Usted trata datos de carácter personal?”, fenomenal, ¿cómo los trata? Y uno tiene que estar en condiciones de acreditar que ha hecho un análisis serio.

En ese sentido, también hay que estar en condiciones de demostrar que las medidas que has diseñado son adecuadas. Una de las cosas más importantes para todos los players en el sector al que yo me dirijo es contar con un proveedor cloud responsable, solvente, que en un caso de violación de seguridad por ejemplo tenga mecanismos para acceder a copias de respaldo, y aporte seguridad.

BdM: En los últimos días antes de la llegada de la nueva GRPD hubo una avalancha de mails para que los usuarios reconfirmasen su consentimiento ¿era necesario esto en todos casos?

TFS: La verdad que fue una paradoja que la entrada en vigor del reglamento provocase la mayor avalancha de spam de la historia. Yo recibía cantidad de consultas de clientes que me preguntaban: «¿Tenemos que mandar nosotros también?«. La respuesta sería: ¿Tú en su día recabaste el consentimiento informado y estas en condiciones de acreditarlo? Unos decían no, otros que por supuesto que sí y otros que no lo tenían nada claro. Entonces en función de eso, no estaba de más que lo mandaras o no.

Yo creo que se mandaron muchos mails de esos, sin saber lo que se estaba haciendo. Un poco un efecto avalancha a la vista de lo hacían los competidores.

BdM: ¿Cuál es el futuro a corto plazo en este sentido?

TFS: La entrada en vigor de la nueva normativa es algo muy positivo. Hemos pasado de una situación que probablemente fuera muy adecuada para cuando se aprobó hace muchísimos años una situación en la que ahora hay que hacer un análisis individual serio y hay que determinar los riesgos. Hay que sentarse con un profesional, que no tiene porqué ser un abogado, puede ser alguien de tecnología, y qué nos diga cuáles son las medidas adecuadas. No es lo mismo tratar datos médicos o de orientación sexual o política, que tener el nombre y apellidos de un señor y saber que ha comprado un DVD. Cada casuística requerirá una solución individualizada.

Como ciudadanos creo que es una gran noticia. En el año 2007 con el nuevo reglamento de medidas de seguridad, hubo otro momento de cierta confusión. Ahora está habiendo otro revuelo y otro momento de cierta confusión, pero el tema poco a poco se irá normalizando. Y también habrá dos o tres casos ejemplarizantes que nos permitan tener un poco más claro cómo todo esto se va a llevar a la práctica. Pero yo creo que es una grandísima noticia tanto para todos como ciudadanos (se consolida el control sobre tus datos), como para los empresarios (se normaliza y se vuelve más asequible y razonable la gestión de los aspectos legales asociados a esta materia).

BdM: ¿Cuál es el error más frecuente a la hora de adaptar la nueva GRPD o que no deben olvidar los negocios de ecommerce?

TFS: La nueva normativa habla de elegir un proveedor serio, lo que implica que soy responsable de la elección de mi proveedor de servicios cloud, algo esencial en el caso del ecommerce. Si no elijo un partner serio y con medios, la responsabilidad de lo que ocurra será mía. Mi proveedor de servicios cloud como encargado de tratamiento de datos debe seguir las instrucciones que yo le dé documentadas, pero también tomar una serie de medidas concretas de seguridad. Es necesario conocer todo lo que mi proveedor de servicios cloud debe hacer por mí en cumplimiento de la RGPD.

Por último, te dejamos la entrevista que hizo acens.tv a Tomás Serna durante el OpenExpo Europe 2018.