Cómo almacenar datos de usuarios de la UE en servidores en la nube que alquilo en los EE. UU. Ahora que el puerto seguro fue declarado no válido

Respuesta corta: consulte a abogados en las jurisdicciones de las cuales se derivan los datos.

Algunos de los temas más interesantes incluyen:

  • El procesamiento de datos personales es, por regla general, ilegal por defecto y debe justificarse positivamente por una o más de las seis “vías”.
  • Una vez que el procesamiento (interno) es legal, transferirlo a un tercero generalmente es ilegal por defecto a menos que sea necesario objetivamente por los propósitos del procesamiento interno, una prueba muy difícil.
  • Una vez que el procesamiento y la transferencia son legales, enviarlo fuera del EEE sigue siendo ilegal, a menos que pueda cumplir con pruebas adicionales o la equivalencia esencial adecuada, por ejemplo:
    • consentimiento de aceptación (que para algunos supervisores debe estar escrito físicamente en papel)
    • Decisión de la Comisión Europea (por ejemplo, Safe Harbor antes de que fuera derribado)
    • Reglas corporativas vinculantes
    • Cláusulas contractuales estándar
  • Algunas de las leyes de protección de datos de los Estados miembros europeos difieren en las penas privativas de libertad para los ejecutivos (por ejemplo, del Reino Unido, cero hasta que el nuevo Comisionado de Información se salga con la suya) a los diez años de Grecia, aunque los estados más celosos como Italia y Francia caen en Entre)
  • Algunas de las opiniones de los Supervisores difieren sobre cuáles de las “vías” hacia la legalidad son válidas en ciertos escenarios, por ejemplo, si aceptarán el consentimiento como una vía para los datos de los empleados

El GDPR, al armonizar las reglas en todos los Estados miembros de la UE y los 40 o más supervisores, simplificará gran parte de esto. Del mismo modo, puede aliviar las dificultades para los tribunales extranjeros, por lo que las tendencias hacia la explotación por parte de estados corruptos y casos difíciles como Aerospatiale o US v Microsoft pueden revertirse. La otra cara es la vulnerabilidad enormemente incrementada a las acciones de clase (sin mencionar multas existenciales).

Las reglas y regulaciones están evolucionando rápidamente en este espacio y no soy un experto. Tengo entendido que la respuesta es no. Definitivamente, sugeriría que cualquier método potencial que esté estrictamente aprobado hoy en día probablemente no lo sea. Si hay alguna forma de diseñar a su alrededor, lo haría ahora para evitar costosas penalizaciones futuras o reprocesos.

Dicho esto, hay definiciones específicas de lo que constituyen datos de usuario protegidos. Es muy posible emplear las ofertas de SaaS o la arquitectura de la aplicación que permite que los “datos del usuario” permanezcan en las jurisdicciones adecuadas mientras se permite un procesamiento centralizado eficiente para la mayoría de las funciones de la aplicación.