El almacenamiento de datos en nube, como nueva forma de prestación de los servicios de tratamiento de la información, válida tanto para una empresa como para un particular y, también, para la Administración Pública, es una práctica creciente no exenta de riesgos en cuanto a la seguridad. La propia naturaleza del modelo Cloud Computing hace posible que, en principio, los datos almacenados “en la nube” se encuentren físicamente en un servidor ubicado en cualquier punto del planeta.

En esta materia, hay que tener en cuenta que:

1) El prestador de servicios de Cloud Computing tendrá la naturaleza de encargado del tratamiento, pues en definitiva trata datos personales por cuenta del responsable del fichero, en este caso la Universidad de Granada. Por consiguiente, sería exigible, a tenor de lo dispuesto en el art. 12 LOPD, la suscripción de un contrato de prestación de servicios de tratamiento de datos personales por cuenta de terceros con la empresa proveedora de este sistema de almacenamiento.

2) En la mayoría de los casos de “nube” no sabemos dónde están físicamente los datos, y pueden que estén almacenados en países a los que resulte de aplicación la normativa sobre transferencia internacional de datos, por lo que habría que estar a lo dispuesto en los artículos 137 a 140 del Reglamento de desarrollo de la LOPD.

3) En materia de seguridad y confidencialidad, los aspectos esenciales a tener en cuenta durante la selección del proveedor de servicios están contenidos en la guía para clientes que contraten servicios de Cloud Computing, aprobada por la Agencia Española de Protección de Datos.

Cumplidas las prescripciones legales y las recomendaciones de seguridad y confidencialidad, es aconsejable que los datos que se almacenen por este medio sean de nivel básico únicamente.

Entre los proyectos en marcha del CSIRC está la creación de una infraestructura de nube privada en el nuevo centro de procesos del edificio Mecenas que, desde la perspectiva de la seguridad, es preferible a una nube pública (sin comparar costes). Por lo tanto sería recomendable que se comentase con el CSIRC alternativas a este tipo de almacenamiento en las que la UGR pudiese tener mayor control.

La relación que mantenga cada usuario de la UGR con este tipo de prestadores lo será a título individual, sin que la Universidad pueda responder en este caso de su cumplimiento y de cualquier responsabilidad que pudiera derivarse de su ejecución, salvo que se trate de un contrato suscrito entre la UGR y el correspondiente prestador.”

En este sentido la AGPD ( Agencia Española de Proteccion de Datos ) eleboró una guía .