Protección de datos en la web y en los proyectos

El RGPD (artículo 4) define al responsable como quien, solo o junto con otros, determina los fines y medios del tratamiento, y al encargado como quien trata datos personales por cuenta del responsable. En un proyecto de software, el cliente suele ser el responsable de los datos de su sistema y el proveedor que lo desarrolla, aloja o mantiene suele actuar como encargado. No siempre es así: el papel de cada parte depende de quién decide realmente y debe analizarse en cada caso.

Según el artículo 28 del RGPD, el tratamiento por un encargado se rige por un contrato u otro acto jurídico que le vincule con el responsable. Entre otros aspectos, ese contrato recoge el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados, y prevé que, al terminar la prestación, el encargado suprima o devuelva los datos a elección del responsable, salvo que la ley exija conservarlos.

• El proveedor trata los datos siguiendo instrucciones documentadas del cliente.
• Se acuerda dónde se alojan los datos, quién accede y qué ocurre al terminar el servicio.
• Los entornos de desarrollo y pruebas utilizan, siempre que sea posible, datos ficticios o anonimizados.

El mismo artículo 28 establece que el encargado no puede recurrir a otro encargado sin autorización previa por escrito del responsable, específica o general; si es general, debe informar de los cambios previstos para que el responsable pueda oponerse. Al subencargado se le imponen las mismas obligaciones de protección de datos, y el encargado inicial sigue respondiendo ante el responsable si aquel incumple. En la práctica, proveedores de alojamiento, correo, copias de seguridad o servicios de IA pueden ser subencargados, por lo que conviene identificarlos desde el principio.

Si los datos se tratan fuera del Espacio Económico Europeo, por ejemplo porque un proveedor de nube o de IA los procesa en otro país, entran en juego las reglas de transferencias del capítulo V del RGPD. El artículo 45 regula las transferencias basadas en una decisión de adecuación de la Comisión y el artículo 46 las que se apoyan en garantías adecuadas, entre ellas las cláusulas tipo de protección de datos adoptadas por la Comisión. Antes de elegir un proveedor conviene saber dónde trata los datos y con qué base.

El artículo 32 del RGPD pide medidas técnicas y organizativas apropiadas al riesgo, teniendo en cuenta el estado de la técnica, los costes y la naturaleza, el alcance, el contexto y los fines del tratamiento. Menciona, entre otras, la seudonimización y el cifrado, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, la de restaurar el acceso a los datos tras un incidente y la verificación periódica de la eficacia de las medidas. Qué medidas concretas se aplican en un proyecto se decide según su riesgo y se documenta en el encargo.

Los textos contractuales definitivos (responsable, bases jurídicas, proveedores, plazos de conservación y derechos aplicables a cada proyecto) dependen de información real de cada encargo y se validan antes de firmarse. Cualquier dato legal de empresa, delegado de protección de datos o contacto específico se confirmará antes de publicarse; mientras tanto, la referencia es la política de privacidad del sitio.

• Reglamento (UE) 2016/679 (RGPD), texto en español en EUR-Lex: https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32016R0679. Artículos citados: 4, 28, 32, 45 y 46.