Inicio / Reglamento UE
Reglamento UE
RGPD y acceso internacional a los datos
El acceso a datos personales europeos desde otro país debe distinguirse de la mera localización del proveedor y de la naturaleza del bien o servicio prestado.
Efecto de esta exigencia
Esta regla no se lee de forma aislada.
- Transferencias
- Relación bilateral
- Fuentes de país revisadas el
Hipótesis, límites y fuentes de esta lectura
Punto de lectura
Un acceso remoto es un flujo que debe gobernarse
País, rol, finalidad, personas y sistemas se examinan de forma conjunta.
- Roles de responsable y encargado del tratamiento
- Rutas de acceso y lugares de tratamiento
- Medidas contractuales y técnicas
- Subcontratistas posteriores y eliminación
Trayecto del dato
Observar el flujo real en lugar de resumir la relación a un país.
Dato y finalidad
¿Qué datos son necesarios, para qué tratamiento y bajo qué responsabilidad?
Personas y sistemas
¿Quién accede, desde qué lugar, con qué medios y qué rastros?
Mecanismo de transferencia
Se distinguen la adecuación, las cláusulas, las normas internas y las medidas complementarias.
Fin del acceso
La salida, el cambio de rol, la restitución, la conservación y la eliminación son demostrables.
Ruta de decisión
Seguir el trayecto real de los datos y de los accesos
El país del prestador no basta: la calificación depende de los roles, las finalidades, las personas y los sistemas realmente accesibles.
01Roles e instrucciones
Identificar al responsable del tratamiento, los subencargados, las finalidades autorizadas y las instrucciones que rigen cada acceso.
02Acceso y transferencia
Cartografiar los datos consultados, su lugar de almacenamiento, los países desde los que se accede a ellos y las operaciones realizadas a distancia.
03Garantías aplicables
Vincular mecanismo de transferencia, cláusulas, medidas complementarias y subcontratistas posteriores al flujo preciso que deben regular.
04Fin del tratamiento
Demostrar la retirada de los accesos, la restitución, la eliminación y el tratamiento de las copias temporales cuando finaliza la finalidad o la relación.
Control de un acceso fuera de la UE
Las preguntas que hacen que el flujo de datos sea comprensible y defendible.
Preguntas por tratar
- Quién accede a los datos europeos, desde dónde, para qué
- Sus mecanismos de transferencia y garantías contractuales
- Su cadena de subcontratistas ulteriores
- Sus capacidades de supresión y restitución
Elementos que sustentan la respuesta
- Cartografía de los accesos y de los lugares de tratamiento
- Cláusulas y medidas técnicas asociadas a las transferencias
- Registro de subcontratistas aprobados
- Pruebas de eliminación y exportación ejecutadas
Confusiones que evitar
- Razonar en términos de «ubicación de los servidores» ignorando los accesos remotos
- Permitir que el soporte acceda a producción sin trazabilidad
- Descubrir un subcontratista ulterior durante la auditoría del cliente
- Tratar la eliminación de fin de contrato como un tema del último mes
Expediente de aseguramiento, TD-034Ejemplo de demostración
Compromiso RGPDAcceso a datos de la UE limitado y registradoHallazgo
Respuesta prevista«Acceso solo desde la UE»Hallazgo
Ruta realEl soporte de nivel 2 accede desde un país terceroHallazgo
Divergencia observadaUna vía de acceso contradice la declaraciónDesviación
ImpactoRespuesta falsa sobre un tema de alta sensibilidadDesviación
AcciónDeclarar la vía, encuadrarla y registrarla — o cerrarlaDecisión
Lectura de los coloresHallazgo factualDesviación o riesgoDecisión o acción
Demostración
Calificar la transferencia a partir de los accesos que realmente tienen lugar.
El caso sigue los datos, las personas, los países y los sistemas para vincular las garantías al flujo exacto y no solo a la sede del prestador.
Comprender la calificación de una evidencia →Aplicar esta lectura
Cartografiar el flujo y los accesos antes de calificar la transferencia.
Las categorías de datos, sus lugares de almacenamiento y los países de acceso permiten reconstruir el trayecto antes de elegir las garantías pertinentes.