Introducción

Un DPIA es un proceso documentado que realiza un responsable del tratamiento de datos para describir, evaluar y administrar los riesgos relacionados con la protección de datos de un proyecto y para demostrar el cumplimiento de las obligaciones de protección de datos. En este contexto, un “proyecto” podría ser, p. ej., una subcontratación por parte de una organización que implique el uso de Google o el uso de Google Workspace for Education para respaldar la enseñanza, el aprendizaje y la colaboración.

Las organizaciones solo deben completar una DPIA en relación con los datos personales que traten como “responsables del tratamiento de datos”. Este término se define en el RGPD y, básicamente, significa que tu organización determina cómo y con qué fines tratará los datos personales. Reconocemos que es posible que algunos de nuestros clientes también sean encargados del tratamiento de datos. Sin embargo, este Centro de recursos está destinado principalmente a aquellas organizaciones que usan los Servicios de Cloud como responsable del tratamiento de datos.

Una DPIA debe describir lo siguiente:

• Cómo y por qué tratará los datos personales, además de identificar su base legal según el RGPD para dicho tratamiento

• Tu evaluación de la necesidad y proporcionalidad del tratamiento (por qué necesitas procesar los datos personales para lograr tu objetivo). Esto incluye qué encargados del tratamiento de datos, como Google, utilizas para respaldar el tratamiento.

• Cualquier riesgo potencial que hayas identificado y las medidas que tomarás para abordar y mitigar esos riesgos Una DPIA puede ser una forma eficaz de evaluar y demostrar el cumplimiento de los principios de protección de datos de tu proyecto.

Si estás comenzando un nuevo proyecto que implica el tratamiento de datos personales, es importante que decidas desde el principio si necesitas una DPIA y que te familiarices con el proceso. Realizar una DPIA anticipadamente también puede ayudarte a identificar mejor cualquier cambio que puedas necesitar (o elegir) hacer en tu proyecto. Si determinas que necesitas una DPIA, el RGPD exige que la completes antes de comenzar el tratamiento de datos personales. Consulta el artículo ¿Necesitas una DPIA?.

Las DPIA también se deben revisar de manera continua. Si hay cambios significativos en la forma en que se tratan los datos personales (p. ej., si decides usar los Servicios de Cloud para cargas de trabajo nuevas o tratar diferentes conjuntos de datos), debes volver a evaluar los riesgos y determinar si es posible que se necesiten medidas adicionales para abordarlos.

Como responsable del tratamiento de datos, tu organización es responsable de determinar si se requiere un DPIA y de prepararlo.

Si tu organización tiene un Oficial de Protección de Datos, es importante que busques su asesoramiento cuando lleves a cabo una DPIA. Es posible que también desees involucrar a otros equipos o personas de tu organización con habilidades y experiencia pertinentes para respaldar el proceso (como los equipos de TI, cumplimiento o legal).

Una DPIA se puede completar de manera interna o se puede subcontratar a un asesor externo, pero tú serás responsable de ella.

Como responsable del tratamiento de datos, deberás llevar a cabo una DPIA si es probable que el tratamiento de datos personales involucrado en tu proyecto suponga un “alto riesgo” para los derechos y las libertades de las personas. Algunos tipos de tratamiento siempre se consideran de “alto riesgo” y siempre requerirán una DPIA. Para otros tipos de tratamiento, deberás realizar una evaluación objetiva de los riesgos involucrados.

El Comité Europeo de Protección de Datos destacó el uso de nuevas tecnologías como uno de los factores que pueden indicar un “alto riesgo” y emitió lineamientos para informar que muchas operaciones de procesamiento del sector público que dependen de los servicios en la nube probablemente necesite un DPIA.

Para obtener más información, consulta la sección “¿Cómo decides si el tratamiento cumple con el activador de una DPIA?” a continuación.

La información que se incluye abajo debería ser útil para realizar una evaluación inicial sobre la necesidad de realizar una DPIA. Sin embargo, te recomendamos que revises todos los lineamientos de la agencia de protección de datos de tu país y busques asesoramiento legal independiente.  

Si solo actúas como encargado del tratamiento de datos, no necesitas completar un DPIA, aunque aún puede ser un ejercicio útil de cumplimiento. 

Según el RGPD, algunas actividades de tratamiento siempre requerirán una DPIA. Este será el caso en el que tu proyecto implique una de las siguientes opciones:

• Procesamiento automatizado de datos personales que involucre una evaluación sistemática y extensa de los aspectos personales de las personas (incluida cualquier creación de perfiles), en la que ese procesamiento fundamenta las decisiones que producen efectos legales (o de importancia similar) sobre esas personas

Por ejemplo, si usas los Servicios de Cloud para analizar de forma automática (p. ej., sin intervención humana) datos personales relacionados con sus empleados (p. ej., su rendimiento laboral), y esto podría afectar sus condiciones laborales individuales o su salario, es probable que necesites una DPIA.

• Tratamiento a gran escala de categorías especiales de datos o datos relacionados con condenas o delitos penales 

Por ejemplo, si usas el almacenamiento en la nube para almacenar grandes conjuntos de datos de salud de personas, como historias clínicas o resultados de pruebas clínicas, es probable que necesites una DPIA.

• Supervisión sistemática de las áreas de acceso público a gran escala. En este contexto, un área de acceso público sería cualquier área abierta a cualquier miembro del público

Por ejemplo, si tienes la intención de integrar tu sistema de CCTV en los Servicios de Cloud, como almacenar en la nube videos de CCTV de las instalaciones de tu oficina, es probable que necesites una DPIA.

Nota: Cada agencia europea de protección de datos estableció tipos adicionales de tratamiento que siempre requerirán una DPIA. Por lo tanto, debes verificar los requisitos adicionales de tu país.

El tratamiento descrito en la sección anterior siempre necesitará una DPIA. Sin embargo, incluso si tu procesamiento no pertenece a esas categorías, debe decidir si es probable que genere un “alto riesgo” para los derechos y las libertades de las personas.

Para tomar esa decisión, debes evaluar objetivamente los riesgos del tratamiento. Tu evaluación debe tener en cuenta la naturaleza, el alcance, el contexto y los propósitos del tratamiento. En otras palabras, qué estás haciendo con los datos personales y por qué, y todas las circunstancias que lo rodean.

Es más probable que se requiera una DPIA cuando el tratamiento implique el uso de nuevas tecnologías. Esto no significa necesariamente que todo tratamiento que involucre nuevas tecnologías requerirán una DPIA de forma predeterminada. Sin embargo, si tu organización usa tecnología innovadora o aplicaciones novedosas de la tecnología existente, ese uso se debe considerar como parte de tu evaluación. Recomendamos que los clientes de los Servicios de Cloud presten especial atención al papel que juega la tecnología de Google Cloud en su tratamiento cuando se preparan para la evaluación de riesgos.

El Comité Europeo de Protección de Datos (EDPB) proporcionó orientación para determinar si tu procesamiento puede generar un “riesgo alto”. Esta guía incluye nueve factores que son indicadores de un “alto riesgo”:

1. El tratamiento implica la generación de perfiles, la evaluación o la puntuación de personas (p. ej., la puntuación de la referencia crediticia).

2. Tomas decisiones automatizadas con datos personales que tienen efectos legales o similares sobre las personas físicas (p. ej., reclutamiento electrónico o rechazo de una solicitud de crédito en línea).

3. Supervisas a las personas de manera sistemática (p. ej., con CCTV o seguimiento de la ubicación).

4. Tratas datos de categorías especiales o datos personales muy personales (p. ej., historias clínicas).

5. Procesas datos personales a gran escala. Debido a que la “gran escala” no se define en la guía, esto será un asunto de tu criterio.

6. Haces coincidir o combinas diferentes conjuntos de datos (p. ej., si obtuviste un conjunto de datos separado de un tercero para enriquecer un conjunto de datos existente).

7. Procesas datos sobre personas vulnerables (p. ej., niños o pacientes).

8. Aplicas soluciones organizacionales o tecnológicas nuevas o haces un uso innovador de las tecnologías (p. ej., Inteligencia Artificial).

9. Tu procesamiento impide que las personas ejerzan un derecho o utilicen un servicio o contrato (p.ej., el rechazo de un préstamo a una persona).

Por lo general, si tu tratamiento cumple con dos o más de estos factores de riesgo, es probable que debas realizar una DPIA.

Otro factor pertinente para tu decisión es si tu organización es un organismo público o si participa en el tratamiento de datos personales dentro del sector público (p. ej., departamentos gubernamentales, consejos locales o municipios). El CEPD emitió orientación que indica que muchas operaciones de tratamiento de datos del sector público que dependen de los servicios en la nube probablemente generarán un “alto riesgo”, p. ej., debido a la naturaleza sensible de los datos o la escala del tratamiento.

Algunas agencias de protección de datos desarrollaron herramientas de evaluación de riesgos para ayudarte a decidir si necesitas un DPIA, por lo que te recomendamos que consultes el sitio web de la autoridad para obtener orientación.

Como responsable del tratamiento de datos, es responsabilidad de tu organización determinar si es necesario un DPIA y prepararlo. Google no puede llevar a cabo DPIA en nombre de nuestros clientes, pero proporcionamos asistencia poniendo a disposición la información y otros recursos que pueden ayudarte a completar el DPIA para el uso que hagas de los Servicios de Cloud.

En general, una DPIA consta de varias fases clave, que se analizan con más detalle en esta sección:

1. Descripción del tratamiento de datos

2. Evaluación de la necesidad y la proporcionalidad

3. Describir los riesgos y cómo los administrarás

4. Recopilación de información adicional

5. Documentación de tus conclusiones

No hay un formato establecido para una DPIA. Algunas agencias de protección de datos publicaron plantillas que puedes usar, o bien puedes utilizar las plantillas proporcionadas por Google Cloud (consulta Cómo Google admite tus DPIA).

Ya sea que uses una plantilla o crees tu propio formato de DPIA, estos deben incluir lo siguiente:

• Cómo y por qué tu organización tratará los datos personales y determinará tu base legal en el RGPD (p. ej., consentimiento, cumplimiento de un contrato o intereses legítimos).

• Tu evaluación de la necesidad y proporcionalidad del tratamiento (por qué necesitas procesar los datos personales para lograr tu objetivo).

• Cualquier riesgo potencial que hayas identificado y las medidas que tomarás para abordar y mitigar esos riesgos. Esta puede ser una forma eficaz de evaluar y demostrar el cumplimiento de los principios de protección de datos por parte de tu proyecto.

Además, supervisar regularmente las actividades de tratamiento de datos para las que se lleva a cabo la DPIA, así como incorporar actualizaciones cuando sea necesario, es una parte clave del ciclo de vida general de la DPIA. Cuando ocurra un cambio significativo que afecte las actividades de tratamiento de datos, quizás es recomendable revisar y actualizar las partes pertinentes de la DPIA según corresponda.

1. Describir el procesamiento de datos

Se espera que ofrezcas una descripción funcional del tratamiento de datos. Cuando lo hagas, puede ser útil que te hagas las siguientes preguntas:

• ¿Qué tipos de datos personales se usarán en tu proyecto (por ejemplo, nombres, información de contacto, detalles financieros, correos electrónicos)?

• ¿De quién son los datos personales (también conocidos como sujetos) (p. ej., tus empleados, clientes, estudiantes)?

• ¿Cuál es la fuente de los datos personales? ¿Los recopilarás directamente de las personas o a través de un tercero?

• ¿Con qué fines utilizarás los datos? En otras palabras, ¿por qué los tratas?

• ¿Cómo utilizarás los datos? ¿Cómo los almacenarás? ¿Por cuánto tiempo los conservarás?

• ¿Quién tendrá acceso a los datos personales dentro de tu organización?

• ¿Compartirás los datos con alguien ajeno a tu organización?

También puedes incluir un diagrama, diagrama de flujo, o bien otros recursos visuales como parte de la descripción.

2. Evaluación de la necesidad y la proporcionalidad

La necesidad y la proporcionalidad son principios clave en la ley de protección de datos europea. Para demostrar la necesidad y proporcionalidad de tu tratamiento, se espera que demuestres cómo pretendes satisfacer tus obligaciones de protección de datos en virtud del RGPD. Tu evaluación debe demostrar que pensaste en lo siguiente:

• ¿Cuál es tu base legal en relación con el artículo 6 del RGPD para el tratamiento de estos datos (p. ej., consentimiento, cumplimiento de un contrato, intereses legítimos u otros)? Si confías en tus intereses legítimos, debes describirlos.

• ¿El tratamiento es necesario para lograr tu propósito? ¿Te satisface que no puedas lograr este propósito sin tratar los datos personales?

• ¿Cómo garantizarás que no se traten más datos personales de los necesarios? ¿Consideraste seudonimizar o anonimizar los datos?

• ¿Cómo les informarás a las personas afectadas que estás tratando sus datos personales y les proporcionarás la información requerida en virtud del RGPD (p. ej., políticas o avisos de privacidad)?

• ¿Estás informando a los sujetos sobre sus derechos en relación con el uso de sus datos personales, p. ej., con respecto a acceder a ellos o a objetar tu tratamiento? Para obtener más información sobre cómo los Servicios de Cloud respaldan los derechos de los sujetos, consulta Cómo Google respalda tu DPIA.

• ¿Estableciste períodos de retención máximos para los datos personales? ¿Cómo se justifican y qué medidas puedes tomar para asegurarte de que los datos se borren cuando corresponda?

• ¿Qué procesadores de datos usas para respaldar tu procesamiento? Google Cloud será uno de tus encargados del tratamiento de datos, y debes documentar esto en tu DPIA. Para obtener más información sobre Google y sus subencargados del tratamiento de datos, consulta el artículo Cómo Google respalda tu DPIA.

• Si compartes datos con alguien (p. ej., empresas externas o tus propias subsidiarias) que se encuentran fuera del Espacio Económico Europeo (o países con decisiones de adecuación, como el Reino Unido), ¿qué medidas de protección tienes implementadas para proteger los datos en esos terceros países? Para obtener más información sobre las protecciones de Google Cloud para las transferencias de datos, consulta Cómo Google respalda tu DPIA.

• Si el procesamiento cumple con un Código de Conducta aprobado por una agencia de protección de datos, debe tenerlo en cuenta. Para obtener información sobre el cumplimiento del Código de Conducta de la Nube para la UE, consulta Cómo Google respalda tu DPIA.

3. Descripción de los riesgos y cómo los administrarás

Tu DPIA debe identificar los riesgos para los derechos y las libertades de las personas que podrían dar como resultado el tratamiento de datos.

Identificar estos riesgos es una parte fundamental de la DPIA: tu evaluación del impacto real de la actividad de tratamiento de datos. Es probable que el impacto y los riesgos varíen en función de las actividades de tu organización, la naturaleza de los datos personales y las personas involucradas.

Existen muchas formas de evaluar el impacto y los riesgos de la protección de datos, y el RGPD no requiere ningún enfoque en particular. Algunas agencias de protección de datos publicaron materiales y herramientas para ayudar a las organizaciones a realizar esta evaluación, lo que puede resultarte útil.

Estos son algunos de los elementos que probablemente formen parte de tu evaluación.

A) ¿Qué riesgos potenciales deberías tener en cuenta?

Tu DPIA debe tener en cuenta los impactos negativos que podrían ocurrir como resultado de tu proyecto. Podría ser útil ponerse en el lugar de las personas cuyos datos personales se tratarán y considerar qué podría causarles preocupación.

Estos son algunos ejemplos de riesgos potenciales:

• Uso sorprendente o inesperado de datos personales para los individuos

• Pérdida de control sobre sus datos personales por parte de los individuos

• Discriminación o sesgo

• Mayor riesgo de robo de identidad o fraude

• Invasión a la vida personal de otras personas

• Pérdida de confidencialidad

• Reidentificación de datos seudonimizados

• Contenido que revele información sensible o datos sobre personas vulnerables (p. ej., niños)

• Recopilar información imprecisa o hacer suposiciones imprecisas sobre las personas

En tu evaluación, es posible que también quieras incluir tus propios riesgos como organización, como cualquier riesgo de daño a la reputación, acción regulatoria o pérdida de la confianza pública.

También considera el nivel de riesgo, teniendo en cuenta tanto la probabilidad como la gravedad del daño potencial. Por ejemplo, un riesgo puede ser muy grave, pero también muy improbable en la práctica; por otro lado, un riesgo puede ser relativamente menor, pero tiene una alta probabilidad de ocurrir. Puede ser útil asignar una puntuación de riesgo numérica o usar un enfoque de “semáforo” rojo/ámbar/verde.

B) ¿Qué medidas puedes tomar para mitigar los riesgos?

Una vez que hayas evaluado el nivel de riesgo, debes identificar las medidas que puedes tomar para mitigar esos riesgos. Estos son algunos ejemplos de pasos de mitigación:

• Decidir no recopilar algunos de los datos personales

• Seudonimizar los datos

• Excluir a las personas vulnerables del conjunto de datos, cuando sea posible

• Implementar medidas para garantizar un nivel de seguridad que sea apropiado para el riesgo

• Implementar políticas internas de manejo de datos para el personal

• Capacitar al personal en el uso de datos personales

• Tomar medidas adicionales para informar a las personas sobre cómo la organización manejará sus datos personales

• Dar a las personas la posibilidad de elegir cómo se usarán sus datos personales

No es necesario que elimines todos los riesgos por completo. Sin embargo, debes ser capaz de reducir los riesgos generales a un nivel aceptable, de acuerdo con tus obligaciones en virtud del RGPD. Cuando evalúas los riesgos residuales, puedes tener en cuenta los beneficios de tu proyecto, incluidos los beneficios para las personas. Si los riesgos residuales siguen siendo “altos”, puedes decidir no continuar con el proyecto o consultar con la agencia de protección de datos antes de continuar.

4. Recopila información adicional

Si tu organización tiene un oficial de protección de datos, es obligatorio que busques asesoramiento cuando prepares una DPIA, en virtud del RGPD. También puede resultarte útil hablar con otras partes interesadas de tu organización, p. ej., con los equipos de TI, cumplimiento o legal.

Según la naturaleza de tu proyecto y los riesgos involucrados, es posible que también desees recabar información de las personas cuyos datos tratarás. Esta información puede tomar muchas formas, según sea apropiado para tu proyecto y ubicación, p. ej., hablar con tus empleados para responder cualquier pregunta o inquietud que puedan tener; consultar con los representantes de los empleados de tu organización (p. ej., un consejo o comité de trabajo, si tienes uno) o realizar una investigación de mercado para conocer las opiniones de tus usuarios finales (p. ej., tus clientes si representas a una organización minorista).

5. Documentación de tus conclusiones

Una vez que hayas completado la evaluación, debes registrar lo siguiente en la DPIA:

• Los riesgos del procesamiento de datos personales planificado que hayas identificado

• Las medidas que tomarás para mitigar esos riesgos

• En qué medida permanecen los riesgos residuales y su nivel de riesgo residual

• Si debes realizar pasos adicionales, como consultar a tu agencia de protección de datos

Si en la DPIA se concluye que pudiste mitigar de forma suficiente los riesgos que identificaste, puedes proceder sin consultar a la agencia de protección de datos de tu organización.

Sin embargo, si decides que no puedes reducir los riesgos residuales a un nivel aceptable y, según tu evaluación, el tratamiento sigue representando un “alto riesgo”, debes consultar con tu agencia de protección de datos antes de comenzar el tratamiento. Como alternativa, puedes decidir no continuar con el proyecto.

Ofrecemos dos plantillas de DPIA: una para Google Workspace (incluido Google Workspace for Education) y otra para Google Cloud:

• Plantilla de DPIA para Google Workspace

• Plantilla de DPIA para Google Cloud

Estas plantillas pueden ser una herramienta útil para ayudarte a pensar en tus DPIA, planificarlas y llevarlas a cabo. Si bien se diseñaron para su uso en relación con los Servicios de Cloud, no anticipan (y no pueden) anticipar todos los casos de uso posibles que nuestros clientes puedan tener para los Servicios de Cloud. Por lo tanto, son genéricas y deben tratarse como un punto de partida sugerido. Además, la información que contienen no constituye asesoramiento legal. Recuerda que completar una DPIA es tu responsabilidad como responsable del tratamiento de datos y que debe ser específica de tus casos de uso planificados para los Servicios de Cloud.

No hay un formato establecido para una DPIA y puedes usar el enfoque que elijas, siempre que cumpla con los requisitos normativos. Algunas agencias de protección de datos publicaron sus propias plantillas de DPIA, por lo que es posible que también desees consultar sus formatos sugeridos.

Para ayudar a nuestros clientes a describir el tratamiento de datos pertinente, aquí tienes información sobre los Servicios de Cloud. También puedes encontrar vínculos a materiales adicionales sobre los Servicios de Cloud que podrían resultar útiles para completar esta sección de la DPIA.

¿Qué datos personales debe abarcar la DPIA?

Tu DPIA debe abarcar todos los datos personales que trates como responsable del tratamiento de datos y que estén comprendidos en la definición de “Datos Personales del Cliente” en nuestro Anexo de Tratamiento de Datos de Cloud (“CDPA”).

Como se establece en el Apéndice 1 del CDPA, las categorías de datos personales procesados a través de los Servicios de Cloud abarcarán todos los datos relacionados con las personas físicas que el Cliente o su Final proporcione a Google a través de los Servicios de Cloud, por el cliente o sus Usuarios finales (o por instrucción de este).

En la práctica, esto podría incluir:

• Datos personales, incluida cualquier información que identifique al sujeto y sus características personales, como nombre, dirección, detalles del contacto, edad, fecha de nacimiento, sexo y descripción física

• Detalles laborales, incluida la información relacionada con el empleo del sujeto, como los antecedentes laborales y profesionales, los detalles de reclutamiento y despido, los registros de asistencia, las evaluaciones de rendimiento, los registros de capacitación y los registros de seguridad

• Detalles financieros, incluida la información relacionada con los asuntos financieros del sujeto, incluidos los ingresos, el salario, los activos e inversiones, los pagos, la solvencia crediticia, los préstamos, los beneficios, los subsidios, los detalles del seguro y la información sobre pensión

• Detalles sobre educación y capacitación, incluida la información relacionada con la educación y cualquier capacitación profesional del sujeto, como registros académicos, calificaciones, habilidades, registros de capacitación, experiencia profesional y registros de estudiantes y alumnos

• Datos personales emitidos como identificador por una autoridad pública, incluidos los detalles del pasaporte, los números de seguro nacional, los números de tarjetas de identidad y los detalles de la licencia de conducir

• Circunstancias familiares, de estilo de vida y sociales, incluida cualquier información relacionada con la familia del sujeto y el estilo de vida y las circunstancias sociales del sujeto, como los detalles de la familia y otros miembros del grupo familiar, hábitos, vivienda, detalles de viajes, actividades de ocio y pertenencia a organizaciones benéficas o voluntarias

• Cualquier otro dato personal que controle tu organización

Según tu uso previsto de los Servicios de Cloud, los datos personales pueden incluir categorías especiales de datos personales, es decir, datos que revelan el origen étnico, las opiniones políticas, las creencias religiosas o filosóficas, o la afiliación sindical; datos genéticos; datos biométricos (cuando se utilizan con fines de identificación) o datos relacionados con la salud, la vida sexual o la orientación sexual.

Información adicional si Google trata los Datos del Servicio como tu encargado del tratamiento de datos

Además del tratamiento que hace Google de los Datos Personales del Cliente, Google también trata los Datos del Servicio cuando proporciona los Servicios de Cloud. En virtud del Aviso de Privacidad de Google Cloud, los Datos del Servicio corresponden a la información personal que Google recopila o genera durante el aprovisionamiento o la administración de los Servicios de Cloud, excepto los Datos del Cliente.

Los clientes de Google Workspace for Education pueden suscribir condiciones contractuales con Google (denominadas Anexo de Datos del Servicio de Google Workspace for Education) según las cuales serán responsables del tratamiento de los Datos del Servicio, lo que indicará a Google como encargado del tratamiento de los Datos del Servicio, a excepción del tratamiento limitado de los Datos del Servicio que Google seguirá realizando como responsable del tratamiento de datos. Es posible que esos clientes deseen usar las partes de este Centro de recursos que tienen el mismo encabezado que este subartículo para abordar el uso de los Datos del Servicio en sus DPIA.

¿Cómo puedes describir el tratamiento involucrado en el uso de los Servicios de Cloud?

Es posible que sea útil leer nuestra descripción de los servicios y las funciones disponibles como parte de los Servicios de Cloud cuando describas las actividades de tratamiento.

• Google Workspace y Google Workspace for Education son herramientas de productividad y colaboración. Los servicios se describen en el Resumen de servicios de Google Workspace (navega a la edición o los SKU que sean pertinentes para ti). Si necesitas más información sobre estos servicios, haz clic aquí para acceder a Google Workspace y aquí para Google Workspace for Education.

• Google Cloud consta de más de 150 productos de computación en la nube, análisis de datos y aprendizaje automático. Los servicios disponibles para los clientes de Google Cloud se describen en el Resumen de servicios de Google Cloud. Si necesitas más información sobre esos servicios, consulta este vínculo.

¿Qué significa el uso de los Servicios de Cloud para tus fines de tratamiento de datos?

En la DPIA, se deben describir los fines para los cuales tú (como responsable del tratamiento de datos) instruyes a tus encargados del tratamiento de datos personales en tu nombre.

Sin importar cuáles sean tus fines, cuando usas los Servicios de Cloud, le encargas a Google Cloud tratar los Datos Personales del Cliente en tu nombre (en favor de uno o más de sus fines). Como responsable del tratamiento de esos datos, le indicas a Google Cloud (como encargado del tratamiento de datos) que los trate en virtud del Acuerdo de Servicios de Cloud aplicable (incluido el CDPA) y la ley aplicable, solo para los siguientes fines:

• Proporcionar, proteger y supervisar los Servicios de Cloud y los servicios de asistencia técnica incluidos en el Acuerdo de Servicios de Cloud

• Como se especifica con más detalle a través de tu uso de los Servicios de Cloud pertinentes y los servicios de asistencia técnica, o a través de cualquier otra instrucción por escrito que proporciones de conformidad con el CDPA y que Google reconozca como tal

Google cumplirá con tus instrucciones en virtud del CDPA (a menos que lo prohíba la legislación europea) con respecto a dicho tratamiento.

Información adicional si Google trata los Datos del Servicio como tu encargado del tratamiento de datos

Si eres cliente de Google Workspace for Education y elegiste aceptar el Anexo de Datos del Servicio de Google Workspace for Education, las instrucciones que Google Cloud (como encargado del tratamiento de datos) seguirá con respecto a los Datos del Servicio se establecen en ese Anexo.

¿Qué terceros tendrán acceso a los datos personales en los Servicios de Cloud?

La DPIA debe indicar a los terceros con los que compartirás datos personales:

• Cuando uses los Servicios de Cloud, compartirás los Datos Personales del Cliente con la entidad de contratación de Google indicada en el CDPA, que será la encargada del tratamiento de esos datos. Puedes verificar la entidad correcta aquí.

• Google Cloud también usa subencargados del tratamiento de datos para realizar actividades limitadas en relación con los Servicios de Cloud, como servicios de asistencia técnica, operaciones de centros de datos o mantenimiento de servicios. Si aceptas nuestro CDPA, autoriza la designación de esos terceros.

Nota: Puedes encontrar una lista de los subencargados del tratamiento de datos (y también información sobre las actividades que realizan) para Google Workspace (incluido Google Workspace for Education) aquí y para Google Cloud aquí.

Cuando se usan subencargados del tratamiento de datos, Google se compromete a garantizar lo siguiente:

• Cada subencargado del tratamiento de datos solo tiene acceso a los Datos del Cliente (incluidos los Datos Personales del Cliente) dentro del alcance de las actividades limitadas subcontratadas y lo hace de conformidad con el acuerdo de Servicios de Cloud entre Google y el cliente (incluido el CDPA).

• Si el tratamiento de los Datos Personales del Cliente está sujeto al RGPD (o a cualquier otra ley europea de protección de datos), se imponen a los subencargados del tratamiento de datos las obligaciones de protección de datos que se describen en el CDPA.

• Nuestros clientes reciben un aviso anticipado antes de que un nuevo subencargado del tratamiento de datos comience a tratar los Datos del cliente (incluidos los Datos Personales del Cliente), incluso el nombre y la ubicación del subencargado del tratamiento de datos, y las actividades que llevará a cabo.

Información adicional si Google trata los Datos del Servicio como tu encargado del tratamiento de datos

Si eres cliente de Google Workspace for Education y elegiste aceptar el Anexo de Datos del Servicio de Google Workspace for Education, entonces los Subencargados del Tratamiento de Datos de Google para Personal del Cliente Los Datos también serán Subencargados del Tratamiento de Datos de los Datos del Servicio y estarán sujetos a compromisos similares para los Datos del Servicio que se establecen en ese Anexo.

¿Dónde se almacenan y tratan los datos?

Dada la naturaleza global de nuestros servicios de nube pública, mantenemos instalaciones en todas las regiones (a nivel mundial) para almacenar y tratar los Datos del Cliente (incluidos los Datos Personales del Cliente).

Puedes obtener más información sobre las ubicaciones donde Google y sus subencargados del tratamiento de datos mantienen instalaciones:

Para Google Workspace (incluido Google Workspace for Education):

• Instalaciones de Google

• Instalaciones de los subencargados del tratamiento de datos

Para Google Cloud:

• Instalaciones de Google

• Instalaciones de los subencargados del tratamiento de datos

Consulta nuestra Descripción general del diseño de la infraestructura de seguridad para obtener más información sobre la infraestructura (p. ej., el hardware y las redes) que se utiliza para tratar los Datos del Cliente (incluidos los Datos Personales del Cliente), así como la siguiente información:

• Para Google Workspace (incluido Google Workspace for Education), en el informe de seguridad de Google Workspace.

• Para Google Cloud, en la Descripción general de seguridad de Google.

También reconocemos que algunos clientes desean más opciones y control sobre la ubicación de sus Datos del Cliente:

• Para Google Cloud: Los clientes pueden configurar los servicios que se indican aquí para almacenar Datos del Cliente en reposo en una región o multirregión específica, como se indica en la página Ubicaciones de Cloud. Este compromiso se refleja en el artículo “Ubicación de los datos” de las Condiciones Específicas del Servicio de Google Cloud. Además, los clientes pueden configurar una Política de la Organización que restrinja la ubicación física de los recursos nuevos para los servicios admitidos.

• Para Google Workspace (incluido Google Workspace for Education): Los clientes de ediciones aptas pueden elegir usar nuestra función Regiones de datos, que les permite seleccionar una región de datos (p. ej., Europa) para almacenar sus Datos del Cliente cubiertos (incluidas las copias de seguridad) en reposo. Actualmente, esta función se aplica a los servicios principales y a los datos de Google Workspace que se establecen aquí (lo que se refleja en el artículo “Regiones de Datos” de las Condiciones Específicas del Servicio de Google Workspace).

Información adicional si Google trata los Datos del Servicio como tu encargado del tratamiento de datos

En el caso de los clientes de Google Workspace for Education que hayan elegido aceptar el Anexo de Datos del Servicio de Google Workspace for Education, se puede encontrar la información aplicable sobre nuestras instalaciones de “Subencargados del tratamiento de datos” en el vínculo correspondiente del Anexo.

¿Cuánto tiempo conserva Google Cloud los Datos del Cliente?

A menos que nuestro cliente los borre antes, Google Cloud tratará los Datos del cliente de las siguientes maneras:

• Durante el Período del CDPA (que finalizará cuando termine la prestación de los Servicios de Cloud).

• Durante un período posterior al final del Período de Vigencia hasta que se borren los datos. Después de un período de recuperación de hasta 30 días, Google borrará los datos en cuanto sea razonablemente posible y en un plazo máximo de 180 días, a menos que la ley requiera almacenamiento. Si deseas conservar los datos después de que finalice el Período de Vigencia, puedes indicarle a Google que te los devuelva antes de que finalice el Período con funciones integradas, como herramientas de exportación de datos.

También puedes borrar los Datos del Cliente en cualquier momento durante el Período de Vigencia con la funcionalidad integrada de los Servicios de Cloud que usas. Cuando uses la funcionalidad de los Servicios de Cloud para borrar los Datos del Cliente, Google borrará los datos en cuanto sea razonablemente posible y en un plazo máximo de 180 días, a menos que la ley requiera almacenamiento.

Para obtener más información sobre la retención y la eliminación, consulta los siguientes vínculos:

• Para Google Workspace (incluido Google Workspace for Education), consulta los artículos de nuestro Centro de ayuda sobre cómo borrar o quitar a un usuario de tu organización y cómo borrar la Cuenta de Google de tu organización.

• Para Google Cloud, consulta nuestra página Eliminación de datos en Google Cloud.

Ten en cuenta que eres responsable de las copias de los datos que decidas almacenar fuera de los sistemas de Google o de sus subencargados del tratamiento de datos.

Información adicional si Google trata los Datos del Servicio como tu encargado del tratamiento de datos

Para los clientes de Google Workspace for Education que hayan elegido aceptar el Anexo de Datos del Servicio de Google Workspace for Education, los compromisos de retención y eliminación de Google relacionados con los Datos del Servicio se estipulan en ese Anexo.

Cuando evalúes la necesidad y la proporcionalidad del tratamiento, tu DPIA deberá cubrir varios aspectos de tu cumplimiento de los principios de protección de datos.

Si bien es tu responsabilidad como controlador demostrar el cumplimiento, las protecciones, características y funcionalidad integradas en los servicios de Cloud pueden respaldar tu evaluación.

¿Cómo puede Google respaldar tus iniciativas de minimización de datos?

Además de las medidas técnicas y organizacionales que hayas implementado para garantizar que solo proceses la cantidad mínima de datos personales necesaria para lograr los propósitos indicados, Google Cloud puede poner a disposición ciertas funciones, funcionalidades y recursos que pueden ayudar a reducir la cantidad de datos personales procesados en los Servicios de Cloud. Consulta, por ejemplo, la documentación de Google Cloud sobre desidentificación de datos sensibles y seudonimización.

¿Cómo puede Google ayudarte a cumplir con los derechos de los sujetos?

Como responsable del tratamiento de datos personales, eres responsable de informar a los individuos sobre sus derechos en relación con sus datos personales (p. ej., los derechos de acceso, eliminación y portabilidad), y de responder cualquier solicitud que reciba de las personas que ejercen esos derechos.

Para ayudarte a cumplir con tus obligaciones, Google te permitirá, de acuerdo con la funcionalidad de los Servicios de Cloud, borrar, acceder, exportar, rectificar o restringir el procesamiento de los Datos del Cliente (incluidos los Datos Personales del Cliente).

Si el equipo de Protección de Datos de Cloud de Google recibe una solicitud de una persona física relacionada con los Datos Personales del Cliente y, además, identifica a su organización, Google te recomendará a esa persona que te envíe la solicitud. Google le notificará de inmediato que ha recibido la solicitud y no responderá a ella sin tu autorización. 

Para Google Workspace (incluido Google Workspace for Education), la Guía de Solicitudes de Sujetos (DSR) de Google Workspace proporciona más información sobre cómo puedes usar esos servicios para responder a las solicitudes de los sujetos.

Información adicional si Google trata los Datos del Servicio como tu encargado del tratamiento de datos

En el caso de los clientes de Google Workspace for Education que eligieron aceptar el Anexo de Datos del Servicio de Google Workspace for Education, Google también ofrece los compromisos descritos en esta sección para los Datos del Servicio que Google trata como encargado del tratamiento de datos.

¿Qué protecciones existen para las transferencias internacionales de datos?

Google (como encargado del tratamiento de datos) y tú (como responsable del tratamiento de datos) son responsables de garantizar que las transferencias de los Datos Personales del Cliente (y los Datos del Servicio de los clientes de Google Workspace for Education que hayan elegido aceptar el Anexo de Datos del Servicio de Google Workspace for Education) a países fuera del Espacio Económico Europeo (que no tengan decisiones de adecuación) satisfagan los requisitos del RGPD sobre las transferencias de datos. Por lo general, estos se denominan “terceros países”.

A menos que Google haya adoptado una Solución Alternativa de Transferencia (por ejemplo, el Marco de Privacidad de Datos UE-EE.UU., o "DPF"), cuando los datos se transfieran a un tercer país, nos basamos en las Cláusulas de Contrato Estándar aprobadas por la Comisión de la UE. (SCC), tal como se describe en nuestro informe Google Cloud's Approach to European Standard Contractual Clauses. En particular, es posible que desees revisar la sección del informe titulado “Enfoque actualizado de Google Cloud para las SCC” para comprender qué módulos de las SCC son aplicables con respecto a las transferencias pertinentes de los Datos Personales del Cliente. Nuestros compromisos contractuales con respecto a las transferencias de Datos Personales del Cliente a países externos se establecen en el Artículo “Ubicaciones de Tratamiento de Datos” del CDPA.

También proporcionamos información adicional sobre las protecciones técnicas, legales y organizativas que implementó Google para proteger las transferencias de datos internacionales:

• Para Google Workspace (incluido Google Workspace for Education), consulta nuestro informe Protecciones para las transferencias internacionales de datos con Google Workspace y Google Workspace for Education.

• Para Google Cloud, consulta nuestro informe Protección para transferencias internacionales de datos con Google Cloud.

Estos informes incluyen información sobre la ley de Estados Unidos y su aplicabilidad a los servicios de Cloud, para ayudar a los clientes con cualquier evaluación de riesgos que puedan tener que completar a la luz del fallo del Tribunal de Justicia de la Unión Europea conocido como “Schrems II”.

En lo que respecta a las Soluciones Alternativas de Transferencia, le damos la bienvenida al DPF y estamos trabajando para adoptarlo para las transferencias de datos personales de la UE a EE.UU. Les informaremos a nuestros clientes, según lo exige el CDPA, cuando adoptemos el DPF como una Solución Alternativa de Transferencia, y esperamos hacerlo en un futuro cercano. Una vez que hayamos adoptado el DPF como una Solución Alternativa de Transferencia, nos aseguraremos de que las transferencias de datos internacionales relevantes se realicen de acuerdo con lo establecido. 

¿Google cumple con un Código de Conducta aprobado?

Google cumple con el Código de Conducta de Cloud del RGPD de la UE con respecto a los Servicios de Cloud.

El Código de Conducta de la Nube es un mecanismo para que los proveedores de servicios en la nube demuestren cómo ofrecen garantías suficientes para implementar las medidas técnicas y organizacionales adecuadas como encargados del tratamiento de datos en virtud del RGPD. Consulta aquí para averiguar qué Servicios de Cloud están dentro del alcance.

El 20 de mayo de 2021, la Agencia de Protección de Datos de Bélgica aprobó el Código de Conducta de la nube según una opinión positiva del Comité Europeo de Protección de Datos. 

Una vez que hayas evaluado los riesgos del procesamiento, en la DPIA se debe explicar cómo planeas mitigar esos riesgos. Por lo general, esto significa mostrar que implementaste medidas técnicas y organizacionales adecuadas para los riesgos involucrados, incluidas medidas de seguridad de datos.

Cuando usas los Servicios de Cloud, el procesamiento de los Datos del Cliente se beneficia de lo siguiente:

• Medidas de seguridad líderes en la industria implementadas y mantenidas por Google

• Recursos, características, funciones o controles de seguridad adicionales disponibles para los usuarios de los Servicios de Cloud, que puedes utilizar a tu discreción

• Compromisos contractuales de Google en cuanto a las medidas técnicas, organizacionales y físicas

Información adicional si Google trata los Datos del Servicio como tu encargado del tratamiento de datos

En el caso de los clientes de Google Workspace for Education que hayan elegido aceptar el Anexo de Datos del Servicio de Google Workspace for Education, esto también incluye compromisos contractuales equivalentes sobre las medidas de seguridad de los Datos del Servicio que Google trata como encargado del tratamiento de datos.

Cuando aceptas el CDPA, aceptas que estas medidas proporcionan un nivel adecuado de seguridad a la luz de los riesgos involucrados en tu tratamiento.

¿Qué medidas de seguridad mantiene Google para los Servicios de Cloud?

Como innovadores de la nube, Google comprende la seguridad en ella. La seguridad es la prioridad principal en nuestras operaciones, y los Servicios de Cloud están diseñados para brindar una mejor seguridad que muchos enfoques locales.

La seguridad es la base de la estructura organizativa, la cultura, las prioridades de capacitación y los procesos de contratación de Google. Define el diseño de nuestros centros de datos y la tecnología que alojan. Es fundamental para nuestras operaciones diarias y se ve priorizada en la forma en que manejamos los Datos del Cliente y los Datos del Servicio. También influyen en las certificaciones y los informes de auditoría que mantenemos.

Puedes consultar la Descripción general del diseño de infraestructura de seguridad de Google para obtener más información sobre cómo nuestra infraestructura técnica a escala global está diseñada para ofrecer una implementación segura de los Servicios de Cloud, comunicaciones seguras entre servicios, comunicación segura y privada con los clientes en Internet y la operación segura realizada por los administradores.

También puedes encontrar información más específica sobre las medidas técnicas y organizacionales que mantiene Google:

• Para obtener información sobre Google Workspace (incluido Google Workspace for Education), consulta el Informe de seguridad de Google Workspace.

• Para Google Cloud, consulta la Descripción general de seguridad de Google y los informes de seguridad de Google Cloud.

En nuestro Centro de prácticas recomendadas de seguridad y Centro de recursos de privacidad, puedes encontrar recursos adicionales sobre las medidas de seguridad técnica y organizacional de Google para los Servicios de Cloud.

¿Qué controles de seguridad opcionales puede aplicar al uso que haga de los Servicios de Cloud?

Google también ofrece controles de seguridad adicionales opcionales para ayudar a los clientes de Servicios de Cloud a satisfacer sus necesidades de seguridad y cumplimiento. Estos son recursos, características, funciones y controles de seguridad que los clientes pueden usar a su discreción, incluida la Consola del administrador, las soluciones de encriptación, las herramientas de registro y supervisión, y la administración de identidades y accesos.

Puedes encontrar más información sobre cómo tu organización puede configurar los servicios, características y funcionalidad de Cloud:

• En el caso de Google Workspace (incluido Google Workspace for Education), nuestras Guías de implementación de protección de datos para Google Workspace y Google Workspace for Education proporcionan información sobre cómo los clientes pueden usar y configurar los servicios y parámetros de configuración pertinentes.

• En el caso de Google Cloud, nuestro framework de la arquitectura de Google Cloud establece prácticas recomendadas y recomendaciones de implementación, y puede ayudar a los clientes a diseñar su implementación de Google Cloud para que se adapte a sus necesidades empresariales.

Tenemos otros recursos disponibles para ayudarte a satisfacer tus necesidades de seguridad y cumplimiento en nuestro Centro de prácticas recomendadas de seguridad y Centro de recursos de privacidad.

¿Qué compromisos contractuales y de otro tipo proporciona Google?

El CDPA establece los compromisos contractuales de Google con respecto a los Datos del Cliente, incluidos los Datos Personales del Cliente. Google se compromete (entre otros aspectos) a implementar y mantener medidas técnicas, organizacionales y físicas para proteger los Datos del Cliente contra la destrucción, pérdida, alteración, divulgación o acceso no autorizados, ya sean accidentales o ilegales.

Estas medidas, que se describen con más detalle en el Apéndice 2 del CDPA, incluyen compromisos relacionados con la seguridad de los centros de datos y de redes, los controles de acceso y de sitios, la seguridad de los datos, la seguridad del personal y la seguridad del subencargado del tratamiento de datos.

Además, nuestros Compromisos de Privacidad Empresarial de Google Cloud describen, en términos más generales, cómo ayudamos a proteger los datos de los clientes que usan nuestros Servicios de Cloud:

1. Tú controlas tus datos: Los Datos del Cliente son tuyos, no de Google. Solo procesamos tus datos en función de tus acuerdos.

2. Nunca usamos tus datos para la segmentación de anuncios: No tratamos tus Datos del Cliente para crear perfiles de anuncios ni mejorar los productos de Google Ads.

3. Somos transparentes con respecto a la recopilación y el uso de los datos: Nos comprometemos a ofrecer transparencia, el cumplimiento de reglamentaciones como el RGPD y las prácticas recomendadas de privacidad.

4. No vendemos los Datos del Cliente ni los Datos del Servicio: Nunca vendemos los Datos del Cliente ni los Datos del Servicio a terceros.

5. La seguridad y la privacidad son criterios de diseño primordiales para todos nuestros productos: Priorizar la privacidad de nuestros clientes significa proteger los datos que nos confías. Compilamos las mejores tecnologías de seguridad en nuestros productos.

Información adicional si Google trata los Datos del Servicio como tu encargado del tratamiento de datos

Si eres cliente de Google Workspace for Education y elegiste aceptar el Anexo de Datos del Servicio de Google Workspace for Education, los compromisos contractuales de Google relacionados con los Datos del Servicio que trata como encargado del tratamiento de datos se establecen en ese Anexo.

¿Cómo maneja Google las solicitudes de los organismos de orden público?

Google desarrolló un proceso transparente y exhaustivo que cumple con las prácticas recomendadas internacionales en lo que respecta a las solicitudes de acceso a los datos por parte de organismos de orden público y gobiernos. Google Cloud brinda respuestas caso por caso, teniendo en cuenta diferentes circunstancias y según los requisitos legales, los acuerdos con los clientes y las políticas de privacidad.

El proceso que seguirá Google Cloud con respecto a cualquiera de esas solicitudes se describe en nuestro informe Solicitudes gubernamentales de datos de clientes de Cloud.

Además, nuestro Informe de Transparencia divulga, cuando lo permita la ley aplicable, la cantidad de solicitudes de información de clientes de Enterprise Cloud realizadas por organismos de orden público y organismos gubernamentales.

¿Cómo demuestra el cumplimiento Google Cloud?

Los Servicios de Cloud se someten regularmente a una verificación independiente de sus controles de seguridad, privacidad y cumplimiento, lo que permite obtener informes de auditoría y certificaciones para demostrar el cumplimiento. Los clientes pueden acceder directamente a varias certificaciones (incluidas las normas ISO 27001, 27017, 27018 y 27701), y descargarlas, a los informes de auditoría (como SOC 1, 2 y 3) y otros recursos pertinentes a través de nuestro Administrador de informes de cumplimiento.

Además, como demostración de nuestro compromiso continuo con la protección de los Datos del Servicio, ampliamos el alcance de nuestras certificaciones ISO 27001, 27017, 27018 y 27701 para incluir también los Datos del Servicio (cuando actuamos como encargados del tratamiento de dichos datos) para los servicios relevantes de Google Workspace. 

Además, como se mencionó anteriormente, Google cumple con el Código de Conducta de la Nube del RGPD de la UE, un mecanismo para que los proveedores de servicios en la nube demuestren cómo ofrecen garantías suficientes para implementar las medidas técnicas y organizacionales adecuadas como encargados del tratamiento de datos en virtud del RGPD.