Reglamento General de Protección de Datos (RGPD) y marco de protección de datos
El Reglamento General de Protección de Datos (RGPD) es una norma de la Unión Europea que se aplica a todas las organizaciones, independientemente de su ubicación, que traten datos personales de personas del Espacio Económico Europeo (EEE; los 27 Estados miembros de la UE, además de Islandia, Noruega y Liechtenstein) en el contexto de ofrecerles bienes o servicios o de supervisar su comportamiento. En virtud del RGPD, las organizaciones deben determinar una base jurídica para el tratamiento de datos personales, informar a las personas sobre qué datos se recopilan y cómo se utilizarán, atender sus solicitudes de acceso, rectificación o supresión de la información que les concierne, aplicar controles de seguridad adecuados para proteger los datos personales frente a accesos no autorizados, notificar las violaciones de datos a las personas y autoridades, designar a un delegado de protección de datos y tener en cuenta la privacidad desde el inicio de una actividad, en lugar de hacerlo a posteriori. El RGPD también restringe la transferencia de datos personales fuera del EEE, salvo que existan garantías que aseguren una protección esencialmente equivalente en la jurisdicción receptora.
F5 cumple el RGPD, tal como se detalla en nuestro Aviso de privacidad. F5 presta servicios en calidad de encargado del tratamiento para sus clientes de la plataforma Distributed Cloud, que actúan como responsables del tratamiento (o como subencargado para aquellos clientes que sean encargados del tratamiento). En consecuencia, F5 cumple el artículo 28 en cada una de sus ofertas de Distributed Cloud. F5 participa en el Marco de Privacidad de Datos UE-EE. UU., que la Comisión Europea ha determinado que ofrece una protección adecuada para las transferencias a las empresas participantes en Estados Unidos, y utiliza las cláusulas contractuales tipo para proteger los datos personales transferidos a centros SOC de todo el mundo con fines de asistencia. Asimismo, F5 cuenta con un sólido programa de privacidad y seguridad para garantizar que los clientes puedan cumplir sus obligaciones en virtud del RGPD. Póngase en contacto con un representante de ventas para solicitar una copia del informe SOC 2 de tipo II que F5 publica anualmente, disponible previa firma de un acuerdo de confidencialidad y que incluye una tabla en la que se relacionan sus controles con los requisitos del RGPD.
Preguntas frecuentes
En muchos servicios, F5 actúa como «encargado del tratamiento» (no como responsable del tratamiento) de los datos personales necesarios para prestar un servicio. Los detalles sobre los datos personales que F5 trata se indican en las declaraciones de privacidad de cada servicio. Encontrará todos los enlaces a las declaraciones de privacidad específicas de cada servicio en la introducción del Aviso de privacidad de F5, disponible en https://www.f5.com/company/policies/privacy-notice.
F5 y sus servicios dan prioridad a la protección de los datos personales y mantienen los más altos estándares de privacidad de los datos.[TJ1] [AC2] Los controles técnicos y organizativos que protegen los datos personales recopilados por F5 se detallan en los contratos de servicios específicos (por ejemplo, los Términos específicos del servicio aplicables a los servicios prestados en virtud de nuestro Acuerdo de servicios para usuarios finales) y en el informe SOC 2 de tipo II de F5. F5 Global Support cuenta con la certificación ISO 27001 y F5 Distributed Cloud Services cuenta con la certificación ISO 27001, ampliada con las normas ISO 27017 e ISO 27018. F5 también cumple con la norma PCI DSS como proveedor de servicios de nivel 1 para F5 Distributed Cloud Services. Algunos servicios y equipos de F5 cuentan con certificaciones de seguridad adicionales. Encontrará información más detallada sobre las prácticas de seguridad de los datos en https://www.f5.com/company/policies/privacy-notice.
Los clientes cuyo centro de actividad principal se encuentra en Europa, Oriente Medio o África (en conjunto, EMEA) reciben servicios mediante contratos con F5 Networks, Ltd. F5 Networks, cuya sede se encuentra en el Reino Unido y que está constituida conforme a la legislación de dicho país, es el centro de las operaciones de F5 en EMEA. Las autoridades de la UE y Suiza han reconocido que la legislación del Reino Unido ofrece protección para los datos personales y cumple plenamente los requisitos del capítulo V del RGPD y de la legislación suiza equivalente.
Los clientes con sede en la región de Asia-Pacífico (APAC) contratan con F5 Networks Singapore Pte Ltd. en Singapur. Todos los demás clientes (incluidos aquellos con sede en Norteamérica) contratan con F5, Inc. en Estados Unidos. Para todos los servicios de F5, el Anexo sobre Protección de Datos (DPA), complementado por los Términos Específicos del Servicio, incluye las cláusulas contractuales tipo y las disposiciones aplicables a todas las transferencias a F5 sujetas legalmente a dichos requisitos. Estas cláusulas contractuales tipo van acompañadas del anexo sobre transferencias internacionales de datos publicado por el Gobierno del Reino Unido para las transferencias desde el Reino Unido, así como de las disposiciones adicionales publicadas por el Comisionado Federal de Protección de Datos y Transparencia de Suiza para las transferencias desde Suiza. Para los servicios pertinentes, F5 también mantiene una certificación conforme al Marco de Privacidad de Datos UE-EE. UU., la extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. y el Marco de Privacidad de Datos Suiza-EE. UU.
Sí. Para los servicios pertinentes, F5 mantiene una certificación conforme al Marco de Privacidad de Datos UE-EE. UU., la extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. y el Marco de Privacidad de Datos Suiza-EE. UU.
No. Estas dos disposiciones legales estadounidenses, que fueron el objeto principal de la sentencia Schrems II, no afectan a F5. En cualquier caso, debido a las mejoras introducidas en la legislación estadounidense tras la sentencia Schrems II, la Comisión Europea determinó, en su Decisión de Ejecución de 10.7.2023 con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativa al nivel adecuado de protección de los datos personales en el marco de privacidad de datos UE-EE. UU., que las inquietudes anteriores sobre dichas disposiciones se habían resuelto. El Comité Europeo de Protección de Datos (CEPD) analizó la decisión de la Comisión Europea y señaló (en su Nota informativa sobre las transferencias de datos en virtud del RGPD a Estados Unidos tras la adopción de la decisión de adecuación el 10 de julio de 2023) que «todas las garantías establecidas por el Gobierno estadounidense en el ámbito de la seguridad nacional (incluido el mecanismo de recurso) se aplican a todos los datos transferidos a Estados Unidos, independientemente del instrumento de transferencia utilizado» (es decir, independientemente de si los datos se transfieren a Estados Unidos mediante el Marco de Privacidad de Datos, las cláusulas contractuales tipo u otro instrumento de transferencia).
F5 nunca ha recibido una solicitud de acceso a datos ni ningún otro tipo de requerimiento en virtud de la sección 702 de la FISA. Muchos de los servicios de F5 no son del tipo que puede ser objeto de un requerimiento conforme a la sección 702 de la FISA. Además, en el caso de casi todos los clientes de los servicios de F5, F5 no trata el tipo de datos que puede ser objeto de un requerimiento conforme a la sección 702 de la FISA, que se aplica a datos sobre la proliferación de armas de destrucción masiva, los planes de potencias extranjeras para atacar a Estados Unidos, información de inteligencia sobre las actividades clandestinas de espías extranjeros u otra «información de inteligencia exterior» en el sentido de la FISA.
F5 tampoco puede recibir una orden para entregar datos de clientes en virtud de la EO 12333, ya que no existen órdenes de ese tipo. La EO 12333 asigna determinadas responsabilidades dentro de la Comunidad de Inteligencia de Estados Unidos, pero no impone obligación alguna al sector privado. F5 cifra los datos en tránsito y aplica medidas de seguridad adicionales para protegerlos frente a las hipotéticas actividades de interceptación que preocuparon al tribunal en el asunto Schrems II antes de la decisión de adecuación de la Comisión Europea de 2023 mencionada anteriormente.
La Ley CLOUD no otorgó al Gobierno de EE. UU. nuevas facultades para exigir datos a las empresas que operan en Estados Unidos. El Gobierno de EE. UU. no emite «órdenes en virtud de la Ley CLOUD» y F5 nunca ha recibido ninguna. La Ley CLOUD aclaró que, cuando el Gobierno de EE. UU. sigue el procedimiento legal vigente correspondiente (por ejemplo, obteniendo una orden de un juez de un tribunal federal de distrito) para exigir a una empresa que facilite determinados datos que obren en su poder, custodia o control, la ubicación de los datos no puede servir de fundamento para que la empresa impugne la orden (aunque sí podría hacerlo un conflicto con la legislación vigente en dicha ubicación). La Ley CLOUD está en vigor desde antes de la sentencia de 2020 del asunto Schrems II. Tras la sentencia del asunto Schrems II, Estados Unidos introdujo diversas mejoras en sus normas y prácticas relativas al acceso de las autoridades públicas a los datos. Posteriormente, la Comisión Europea evaluó estas mejoras y determinó que la legislación estadounidense aplicable a las solicitudes de datos del Gobierno de EE. UU. ofrece ahora un nivel de protección adecuado en el sentido del RGPD. Véase la Decisión de Ejecución de 10.7.2023 con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo relativa al nivel adecuado de protección de los datos personales en el marco de privacidad de datos UE-EE. UU. (https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj). El Comité Europeo de Protección de Datos (CEPD) analizó esta decisión y señaló (en su Nota informativa sobre las transferencias de datos en virtud del RGPD a Estados Unidos tras la adopción de la decisión de adecuación el 10 de julio de 2023) que «todas las salvaguardias establecidas por el Gobierno de EE. UU. en el ámbito de la seguridad nacional (incluido el mecanismo de recurso) se aplican a todos los datos transferidos a EE. UU., independientemente del instrumento de transferencia utilizado» (es decir, con independencia de que los datos se transfieran a Estados Unidos mediante el Marco de Privacidad de Datos, las cláusulas contractuales tipo u otro instrumento de transferencia).
Dada la naturaleza de las relaciones de F5 con sus clientes y la cantidad limitada de datos —normalmente cifrados— que F5 trata por cuenta de estos, este tipo de requerimientos son extremadamente infrecuentes. La política de F5 ante cualquier requerimiento de datos de clientes consiste en (i) notificarlo de inmediato al cliente, siempre que la ley lo permita, y colaborar con él para resolverlo, o (ii) si la notificación al cliente fuera ilegal, intentar que la autoridad solicitante dirija el requerimiento al cliente. Si estas medidas no resolvieran el asunto, F5 evaluaría la legalidad del requerimiento y formularía todas las impugnaciones razonables contra él (por ejemplo, mediante un recurso), incluida la posible vulneración del RGPD u otras leyes pertinentes como consecuencia de su cumplimiento. Durante este proceso, F5 solicitaría la suspensión de los efectos del requerimiento hasta que la autoridad judicial competente se hubiera pronunciado sobre el fondo del asunto, incluido cualquier procedimiento de recurso. En tal situación, F5 no revelaría ningún dato salvo que, y hasta que, estuviera obligada a hacerlo conforme a las normas procesales aplicables. Si se llegara a ese punto, F5 revelaría únicamente los datos mínimos necesarios para cumplir con la parte del requerimiento original que siguiera vigente.
Todos los contratos de clientes relativos a los servicios de F5 (el «Acuerdo de Servicios para Usuarios Finales (EUSA)») incluyen Términos Específicos del Servicio que incorporan y complementan el Anexo de Protección de Datos (DPA) de F5, que incluye las cláusulas contractuales tipo con el texto adicional pertinente para las transferencias sujetas a la legislación del Reino Unido o Suiza. En determinados casos, el cliente y F5 tendrán un contrato diferente que incorpore estas mismas garantías, como el contrato para servicios específicos de soporte de F5. Los clientes también pueden consultar https://www.dataprivacyframework.gov/list, donde se indica que F5 está certificada conforme al Marco de Privacidad de Datos UE-EE. UU., la extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. y el Marco de Privacidad de Datos Suiza-EE. UU.
Para las transferencias a entidades de F5 en «terceros países», incluido el Reino Unido, F5 y sus clientes se basan en la Adenda sobre Transferencias Internacionales de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea, que está disponible en el sitio web de la autoridad británica de protección de datos (Information Commissioner) y se incorpora por referencia al DPA de F5 para las transferencias pertinentes sujetas a la legislación del Reino Unido. Además, para determinados servicios, F5 está certificada conforme a la extensión del Reino Unido del Marco de Privacidad de Datos UE-EE. UU.
