Código de conducta de la UE para la nube

El Código de Conducta de la UE para la Nube (abreviado como « EU Cloud CoC », también conocido por su título completo « Código de Conducta de la UE para la Protección de Datos para Proveedores de Servicios en la Nube ») es un Código de Conducta transnacional conforme al artículo 40 del Reglamento General de Protección de Datos ( RGPD ) europeo. ^{[ 1 ]}

El código define requisitos claros para que los proveedores de servicios en la nube (CSP) implementen el Artículo 28 del RGPD ^{[ 2 ]} y todos sus artículos relacionados, que abarca las actividades de procesamiento de todo tipo de datos personales. ^{[ 3 ]}

El código , que abarca todas las capas de servicios en la nube (incluidas, entre otras, IaaS , PaaS y SaaS ), ^{[ 4 ]} permite a los proveedores de servicios en la nube demostrar el cumplimiento del RGPD en su función de encargados del tratamiento, supervisada por un organismo de control acreditado, ^{[ 5 ]} tal como exige el artículo 41 del RGPD. ^{[ 6 ]}

El trabajo en el código comenzó en 2012 cuando la ex vicepresidenta de la Comisión Europea , Neelie Kroes , lanzó la Estrategia Europea de la Nube. ^{[ 7 ] [ 8 ]} En ese contexto, se creó un grupo de trabajo específico con la tarea de redactar un código de conducta de la nube en el marco de la Directiva de Protección de Datos .

Uno de los objetivos principales de la elaboración de dicho código era aumentar la confianza y ampliar la adopción de la computación en la nube en toda la Unión Europea . ^{[ 9 ]} El primer borrador elaborado por el grupo de trabajo se presentó a su primera evaluación en enero de 2015, que luego fue realizada por el Grupo de Trabajo del Artículo 29. ^{[ 10 ]}

Con la introducción del RGPD , el código tuvo que adaptarse en consecuencia y en 2017, ^{[ 11 ]} la Comisión Europea transfirió completamente el proyecto a la industria. ^{[ 12 ]}

Todavía en 2017, seis empresas provenientes de ese grupo de trabajo ( Alibaba Cloud , Fabasoft , IBM , Oracle , Salesforce y SAP ) fundaron la Asamblea General del EU Cloud CoC y designaron a SCOPE Europe como su organismo de supervisión y secretaría. ^{[ 13 ] [ 14 ]}

Después de varios intercambios con las autoridades de supervisión y las revisiones correspondientes, ^{[ 15 ]} la versión final del Código de Conducta de la UE en la Nube se presentó a la Autoridad Belga de Protección de Datos para su aprobación en 2019. ^{[ 15 ]} Según las marcas de tiempo de las versiones del código publicadas en el sitio web de la iniciativa, ^{[ 15 ]} el código siguió evolucionando después de su presentación y hasta su aprobación en mayo de 2021. Se espera que este desarrollo continuo de los códigos de conducta siga las Directrices 1/2019 del Comité Europeo de Protección de Datos sobre códigos de conducta y órganos de control en virtud del Reglamento 2016/679. ^{[ 16 ]}

El código fue aprobado ^{[ 17 ]} por la Autoridad Belga de Protección de Datos el 20 de mayo de 2021, ^{[ 18 ]} tras una opinión favorable emitida por el Comité Europeo de Protección de Datos. ^{[ 19 ] [ 20 ]}

El Código de Conducta de la UE para la Nube permite a los proveedores de servicios en la nube (CSP) demostrar el cumplimiento del artículo 28 del RGPD y sus artículos relacionados. Por lo tanto, el Código de Conducta de la UE para la Nube abarca las obligaciones de protección de datos de los CSP al procesar cualquier tipo de datos personales, y sus requisitos son aplicables a todas las ofertas en la nube (incluidas, entre otras, IaaS , PaaS y SaaS ). ^{[ 21 ] [ 22 ]}

Hay cinco secciones que en conjunto componen la estructura central del código, a saber: Alcance, Protección de datos, Requisitos de seguridad, Monitoreo y cumplimiento y Gobernanza interna. ^{[ 23 ] [ 24 ]}

Además del texto principal, el código se acompaña de un catálogo de controles, diseñado para vincular los requisitos del código con los elementos auditables, los “Controles”, y con todas las disposiciones correspondientes del RGPD . Adicionalmente, el catálogo de controles también proporciona una correspondencia con las normas internacionales pertinentes (como ISO 27001 , ISO 27017, SOC 2 y BSI C5). ^{[ 25 ]}

El RGPD exige un organismo de control independiente ^{[ 27 ]} para garantizar la correcta aplicación de sus disposiciones.

En mayo de 2021, SCOPE Europe fue acreditada oficialmente por la Autoridad Belga de Protección de Datos como organismo de supervisión especializado del Código de Conducta de la UE en la Nube. ^{[ 28 ]}

Según el RGPD , el organismo de control es responsable de realizar una debida diligencia continua . Conforme al Código de Conducta de la UE para la Nube, además de someterse a una evaluación inicial para adherirse al código, los proveedores de servicios en la nube son reevaluados anualmente.

Asimismo, pueden darse evaluaciones adicionales a raíz de quejas justificadas, informes de los medios de comunicación, nuevas leyes, publicaciones y directrices de las autoridades de protección de datos, así como cualquier otro acontecimiento relevante que pueda afectar al cumplimiento del código.

Un proveedor de servicios en la nube (CSP) puede optar por tres niveles de cumplimiento ^{[ 29 ]} tras declarar su adhesión al Código de Conducta de la UE para la nube. Estos niveles se refieren exclusivamente al tipo de evidencia que se somete a la revisión del organismo de control. No obstante, cada uno de estos niveles exige el cumplimiento de todos los requisitos del código.

La adhesión al código está abierta a cualquier proveedor de servicios en la nube (CSP) que esté de acuerdo con el enfoque y los principios establecidos en el mismo. En este sentido, el Código de Conducta de la UE sobre la Nube ofrece dos opciones principales de adhesión: la primera, dedicada a los CSP, y la segunda, que abarca a cualquier entidad que no sea un CSP y desee unirse a la iniciativa como colaborador.

Dentro del paraguas de membresía de CSP, existe un esquema de precios personalizado ^{[ 30 ]} , que toma en consideración las necesidades de empresas de diferentes tamaños, lo que permite el acceso a las pequeñas y medianas empresas (PYME).

Hoy, la Asamblea General de EU Cloud CoC representa una parte significativa del mercado europeo de la industria de la nube y, a agosto de 2021, su membresía incluye a Alibaba Cloud , ^{[ 31 ] [ 32 ] [ 33 ]} Alight , Arcules , ^{[ 34 ] [ 35 ]} Cisco , ^{[ 36 ]} Dropbox , ^{[ 37 ]} Epignosis, ^{[ 38 ]} Fabasoft , ^{[ 39 ]} Google Cloud , ^{[ 40 ]} IBM , ^{[ 41 ] [ 42 ]} K&L Gates , ^{[ 43 ]} Microsoft , ^{[ 44 ] [ 45 ]} Okta , Oracle , ^{[ 46 ]} Qompium (Extra Horizon), ^{[ 47 ]} Salesforce , ^{[ 48} ] SAP , ^{[ 49 ]} Schellman, ^{[ 50 ]} SecureAppbox, ^{[ 51 ]} Timelex, TrustArc ^{[ 52 ] ] [ 53 ]} y Workday . ^{[ 54 ]}

Tras la sentencia Schrems II del TJUE , ^{[ 55 ]} la Asamblea General del Código de Conducta de la Nube de la UE comenzó a trabajar en una salvaguarda eficaz y accesible para las transferencias a terceros países en forma de un módulo adicional al código. ^{[ 56 ] [ 57 ]}

El denominado Módulo de Transferencia a Terceros Países cubrirá los requisitos legales para las transferencias a terceros países, tal como se describe en el Capítulo V del RGPD y, como cualquier módulo adicional, no es una iniciativa independiente, lo que implica que el cumplimiento previo del Código de Conducta de la UE para la Nube es un requisito previo. ^{[ 58 ]}

• Sitio web del EU Cloud CoC
• Lista de servicios en la nube compatibles, incluidos informes públicos.
• Órgano de supervisión del Código de Conducta de la UE en la Nube