Como sobrevivir (legalmente) a la contratación de servicios Cloud

Todo el mundo tiene en mente la nueva panacea, aquello que acaba con los problemas de los departamentos IT. Pago por uso, recursos hardware ilimitados, operación 24x7, backups, monitorización y cualquier requerimiento técnico que se nos ocurra. Pagas y lo tienes

http://sdtheory.s3.amazonaws.com

inmediatamente. ¿Pero donde está el truco? Si compro una infraestructura la amortización es muy corta, y luego no tengo coste, pero no tienes flexibilidad para adaptarte a nuevas demandas, recortas al máximo en servicios, el mantenimiento es reactivo y plazos de proyectos muy largos. 

Ahhh! entonces los SaaS, IaaS, PaaS,  y lo que se te ocurra, como Service no tiene contrapartidas?

Si no pagas se acaba la fiesta, pagas por todos y cada uno de los servicios extra, y muchas veces al tratarse de infraestructura compartida te pueden estrangular el tráfico o verte afectado por problemas de terceros.

Pero lo peor (también te puede pasar en tu infraestructura) son las Transferencias de Datos Internacionales con infracciones punibles y perseguidas por la Agencia Española de Protección de Datos(AEPD). Las multas pueden llegar a 600.000€

¿Que son las TDI?, cualquier tipo de información que viajen fuera de España. Eso incluye desde servicios como gmail, amazon, Office 360, pero también un CPD operado desde India, aunque los datos estén en España. Pero existen excepciones y acuerdos que nos permiten notificar que datos se van a transmitir, pero no es necesario esperar autorizaciones. Os adjunto las principales excepciones:

* Requieren de registro de los ficheros pero no petición de autorización Artículos 26 Directiva 95/46 y 34 LOPD)
*Servicios médicos
*Auxilio judicial
*Tratados o convenios internacionales.
*Transferencias dinerarias de acuerdo a su legislación
* Consentimiento inequívoco. (No confundir con expreso)
*Solo si lo acepta ambas partes.
*Aplicación típica en los empleado propios, que no necesariamente es por escrito.
*Información artículo 5 LOPD articulo 27 LOPD    
*Se debe informar expresamente que se va a ceder a un tercer país que no asegura la protección de sus datos. Artículo 44 del nuevo borrador.
*Se piden por escrito, locución o cualquier soporte duradero.    
*Consentimiento libre y revocable (No confundir con una información cualificada).
* NO PUEDE SER CASILLA PREMARCADA (o equivalente) porque requiere una acción simple por parte del usuario.
*Celebración o ejecución contrato celebrado o por celebrar
*Interés público necesario o legal (Legal o aduanero)
*Reconocimiento, ejercicio o defensa de un derecho en proceso.
*Desde un registro público a petición personas con interés legítimo
*País adecuado a nivel de protección