La ley CLOUD, GDPR y la soberanía de los datos

A principios de 2018 se promulgaron dos leyes relacionadas con la protección de los datos de los usuarios y la privacidad de los datos que afectan a las grandes tecnológicas: la Ley estadounidense Clarifying Lawful Overseas Use of Data (CLOUD) y el Reglamento General de Protección de Datos (GDPR) de la UE. Aunque el objetivo de cada ley es diferente, ambas tendrán un impacto en la soberanía, privacidad y protección de los datos. También ejercerán presión sobre la forma en que las empresas recopilan y analizan los datos de los usuarios y, en el caso de GDPR, ofrecerán mayores garantías para la protección de la privacidad de los datos personales.

CLOUD

• La ley CLOUD proporciona un marco legal para que las agencias de aplicación de la ley (LEAs) soliciten y obtengan datos de servidores en el extranjero de compañías tecnológicas, de aquellos usuarios que estén relacionados con investigaciones criminales y permite que los países extranjeros también puedan solicitar los datos almacenados por compañías tecnológicas en EEUU.
• ​La ley aumenta el poder ejecutivo y renueva la Ley de Privacidad de las Comunicaciones Electrónicas de 1989 (ECPA). En la ECPA anterior para poder tener acceso a los datos las agencias tenían que pasar por tratados de asistencia legal y acuerdos entre países que requería la aprobación del Senado.
• La ley ha consternado a los grupos de protección de la privacidad de datos y ha suscitado preocupaciones sobre su posible uso indebido. La comunidad tecnológica está dividida, por un lado surgen grupos de defensa como la Electronic Frontier Foundation, Amnistía Internacional, ACLU y Human Rights Watch que están preocupados por la usurpación y el uso indebido de la ley.  Mientras que algunas corporaciones tecnológicas estadunidenses como Microsoft, Apple, Google y Facebook apoyan la ley CLOUD.
  

GDPR

• El GDPR de la UE, que continúa con la actual Directiva de Protección de Datos, tiene como objetivo permitir la libre circulación de datos personales dentro de la Unión Europea, al tiempo que refuerza la protección de la privacidad (principalmente de las personas físicas) y regula la transferencia internacional de dichos datos.
• El Reglamento se extiende a las empresas extranjeras que realizan actividades comerciales dentro de la Unión Europea y a los datos personales de los no residentes tratados por empresas de la comunidad. Además, las empresas incluidas en el ámbito de aplicación del Reglamento están obligadas a trabajar con empresas que también hayan alcanzado el nivel de protección del GDPR.
• El GDPR incluye siete principios importantes: Legalidad, equidad y transparencia, limitación del fin de los datos, minimización de los datos para la finalidad para la que fuero recogidos, exactitud de los datos, limitación de almacenamiento, integridad y confidencialidad y demostración del cumplimiento de la ley.
• A medida que las empresas adopten los criterios del Reglamento, surgirán nuevos costes asociados al marco legal y a la monitorización de su cumplimiento.

Guidance

• Las leyes de regulación de datos como el CLOUD o el GDPR son necesarias si consideramos que la nube, el análisis de datos y la inteligencia artificial son las tecnologías del futuro. La compartición de datos, dentro de las empresas dentro de las unidades de negocio con los socios, para apoyar la toma de decisiones tiene un valor evidente pero conlleva riesgos.
•  ​Un marco para la soberanía de los datos empresariales es necesario para que las empresas sigan una hoja de ruta en la gestión de las decisiones, solicitudes y preguntas relativas a los datos y en la gestión de los riesgos asociados (como los casos de uso inapropiado de datos o uso de datos personales). Por ello en vez de resistirse al cambio, las empresas deben aceptar las ventajas y adaptarlas para alcanzar sus objetivos.
• Aunque los objetivos de CLOUD Act y GDPR son diferentes ambos dan importancia al desafiante y cambiante entorno regulatorio de la computación en la nube y la privacidad. La ley CLOUD se basa únicamente en la obtención de datos de personas relacionadas con el crimen organizado mientas el GDPR tiene efectos directos en la operativa de los negocios relacionada con la recogida, el análisis y el almacenaje de datos de los usuarios.
• La calidad de los datos es importante para el avance de las nuevas tecnologías como la inteligencia artificial. El aumento de la regulación repercutirá y limitará la recolección, el procesamiento y el intercambio de datos así como el desarrollo de las nuevas tecnologías. Teniendo en cuenta que los datos son el combustible de los nuevos modelos de negocio, la nueva regulación plantea problemas, sin embargo puede dar lugar a ventajas como el progreso hacia una anonimización solida y una mejor gestión del linaje de los datos.

Para saber más

Artículos: Facebook, Google face first GDPR complaints over forced consent;Seizing Data Overseas from Foreign Internet Companies under the CLOUD Act