AWS y el Reglamento general de protección de datos (GDPR)

Hace poco más de un año, la Comisión Europea aprobó y adoptó el nuevo Reglamento General de Protección de Datos (GDPR). El RGPD es el mayor cambio en las leyes de protección de datos en Europa desde la introducción en 1995 de la Directiva de Protección de Datos de la Unión Europea (UE), también conocida como Directiva 95/46 / EC. El GDPR tiene como objetivo fortalecer la seguridad y protección de los datos personales en la UE y reemplazará la Directiva y todas las leyes locales relacionadas con ella.
AWS da la bienvenida a la llegada del GDPR. Los nuevos y sólidos requisitos elevan el nivel de protección de datos, seguridad y cumplimiento, e impulsarán a la industria a seguir los controles más estrictos, lo que ayudará a que todos estén más seguros. Me complace anunciar hoy que todos los servicios de AWS cumplirán con el GDPR cuando sea aplicable el 25 de mayo de 2018.
En esta publicación de blog, explico el trabajo que está haciendo AWS para ayudar a los clientes con el GDPR como parte de nuestro compromiso continuo de ayudar a garantizar que puedan cumplir con los requisitos de protección de datos de la UE.
¿Qué ha estado haciendo AWS?
AWS mantiene continuamente un alto nivel de seguridad y cumplimiento en todas nuestras regiones del mundo. Ésta ha sido siempre nuestra máxima prioridad: verdaderamente «trabajo cero». La infraestructura de AWS Cloud se diseñó para ofrecer a los clientes el entorno de computación en la nube más potente, flexible y seguro disponible en la actualidad. AWS también le ofrece una serie de servicios y herramientas que le permiten crear una infraestructura compatible con GDPR sobre AWS.
Una herramienta que le brindamos es un Acuerdo de procesamiento de datos (DPA). Me complace anunciar hoy que tenemos un DPA que cumplirá con los requisitos del GDPR. Este DPA de GDPR está disponible ahora para todos los clientes de AWS para ayudarlo a prepararse para el 25 de mayo de 2018, cuando el GDPR se vuelva aplicable. Para obtener información adicional sobre el nuevo GDPR DPA o para obtener una copia, comuníquese con su administrador de cuentas de AWS.
Además de los administradores de cuentas, contamos con equipos de expertos en cumplimiento, especialistas en protección de datos y expertos en seguridad que trabajan con clientes en toda Europa para responder sus preguntas y ayudarlos a prepararse para ejecutar cargas de trabajo en la nube de AWS después de que el GDPR entre en vigor. Para responder más a las preguntas de los clientes, hemos actualizado nuestro sitio web de protección de datos de la UE. Este sitio web incluye información sobre qué es el GDPR, los cambios que trae a las organizaciones que operan en la UE, los servicios que ofrece AWS para ayudarlo a cumplir con el GDPR y consejos sobre cómo puede prepararse.
Otro tema que cubrimos en el sitio web de protección de datos de la UE es el cumplimiento de AWS con el Código de conducta CISPE. El Código de conducta de CISPE ayuda a los clientes de la nube a garantizar que su proveedor de infraestructura en la nube esté utilizando los estándares de protección de datos adecuados para proteger sus datos de manera coherente con el RGPD. AWS ha declarado que Amazon EC2, Amazon S3, Amazon RDS, AWS Identity and Access Management (IAM), AWS CloudTrail y Amazon Elastic Block Storage (Amazon EBS) cumplen totalmente con el Código de conducta CISPE. Esta declaración ofrece a los clientes garantías de que controlan completamente sus datos en un entorno seguro y compatible cuando utilizan AWS. Para obtener más información sobre el cumplimiento de AWS con el Código de conducta de CISPE, visite el sitio web de CISPE.
Además de brindar a los clientes una serie de herramientas y servicios para crear entornos que cumplan con el RGPD, AWS ha obtenido varias certificaciones y acreditaciones reconocidas internacionalmente. En el proceso, AWS ha demostrado el cumplimiento de los marcos de garantía de terceros, como ISO 27017 para seguridad en la nube, ISO 27018 para privacidad en la nube, PCI DSS Nivel 1 y SOC 1, SOC 2 y SOC 3. AWS también ayuda a los clientes a cumplir estándares de seguridad como el Catálogo Común de Controles de Computación en la Nube (C5) de BSI que es importante en Alemania. Continuaremos buscando certificaciones y acreditaciones que son importantes para los clientes de AWS.
¿Qué puedes hacer?
Aunque el RGPD no se hará cumplir hasta el 25 de mayo de 2018, alentamos a nuestros clientes y socios a comenzar a prepararse ahora. Si ya ha implementado una barra alta para el cumplimiento, la seguridad y la privacidad de los datos, el cambio a GDPR debería ser simple. Sin embargo, si aún no ha comenzado su viaje hacia el cumplimiento de GDPR, lo instamos a que comience a revisar sus procesos de seguridad, cumplimiento y protección de datos ahora para garantizar una transición sin problemas en mayo de 2018.
Debe considerar los siguientes puntos clave en preparación para el cumplimiento de GDPR:

• Alcance territorial: determinar si el GDPR se aplica a las actividades de su organización es esencial para garantizar la capacidad de su organización para satisfacer sus obligaciones de cumplimiento.
• Derechos de los interesados: el RGPD mejora los derechos de los interesados ​​de diversas formas. Deberá asegurarse de que puede adaptarse a los derechos de los interesados ​​si está procesando sus datos personales.
• Notificaciones de violación de datos: si usted es un controlador de datos, debe informar las violaciones de datos a las autoridades de protección de datos sin demoras indebidas y, en cualquier caso, dentro de las 72 horas posteriores a su conocimiento de la violación de datos.
• Oficial de protección de datos (DPO): es posible que deba designar un DPO que gestionará la seguridad de los datos y otras cuestiones relacionadas con el procesamiento de datos personales.
• Evaluación de impacto de protección de datos (DPIA): es posible que deba realizar y, en algunas circunstancias, es posible que deba presentar ante la autoridad supervisora ​​una DPIA para sus actividades de procesamiento.
• Acuerdo de procesamiento de datos (DPA): es posible que necesite un DPA que cumpla con los requisitos del GDPR, especialmente si los datos personales se transfieren fuera del Espacio Económico Europeo.

Por Stephen Schmidt, vicepresidente y director de seguridad de la información, Amazon Web Services