Tabla de contenidos
- Qué significa realmente la soberanía de datos
- Soberanía, residencia y localización de datos: tres conceptos distintos
- El panorama legal: CLOUD Act, FISA 702 y RGPD
- Por qué la jurisdicción importa más que la ubicación de servidores
- Cómo lograr la soberanía de datos
- Soberanía de datos para individuos
- Soberanía de datos para organizaciones
Qué significa realmente la soberanía de datos
La soberanía de datos es sencilla de enunciar y sorprendentemente difícil de lograr. El principio fundamental: los datos están sujetos a las leyes y marcos de gobernanza del país donde reside la entidad controladora. No donde están los servidores. No donde se crearon los datos. Donde está incorporada y opera la organización que los controla.
Esta distinción tiene enormes consecuencias prácticas. Una empresa estadounidense que almacena datos en servidores de Ámsterdam sigue siendo una empresa estadounidense. El gobierno de EE. UU. puede obligarla a producir esos datos bajo la ley estadounidense — específicamente, bajo el CLOUD Act, una ley de 2018 que extendió explícitamente el alcance legal de EE. UU. a datos mantenidos en el extranjero por proveedores basados allí. El centro de datos de Ámsterdam es irrelevante para este cálculo.
La verdadera soberanía de datos requiere que tres cosas estén alineadas:
1. Jurisdicción legal. La organización que mantiene tus datos está incorporada en un país con sólidas protecciones de privacidad nacionales y sin acuerdos de acceso extraterritorial a datos con la jurisdicción que deseas evitar.
2. Control físico. Los servidores son operados por esa organización, no subcontratados a un proveedor cloud estadounidense o chino que puede ser independientemente requerido con una orden legal.
3. Arquitectura criptográfica. La organización no puede leer tus datos incluso si se le ordena hacerlo, porque el cifrado de extremo a extremo significa que solo tiene texto cifrado, no claves.
La mayoría de las soluciones cloud "soberanas" satisfacen uno o dos de estos criterios, rara vez los tres simultáneamente.
Soberanía, residencia y localización de datos
Estos tres términos se confunden frecuentemente, incluso en contextos de adquisición empresarial. Son distintos:
Residencia de datos se refiere a la ubicación física del almacenamiento. Una organización con una política de residencia de datos mantiene los datos de clientes europeos en servidores basados en Europa. Es principalmente una postura de cumplimiento — satisface los requisitos del RGPD sobre transferencias de datos personales de la UE al exterior. No cambia qué entidad legal controla esos datos ni qué sistema legal los rige.
Localización de datos es la versión regulatoria impuesta. Países como Rusia (Ley Federal 242-FZ), China (PIPL, Ley de Seguridad de Datos) e India (DPDP Act 2023) exigen que ciertas categorías de datos sobre sus ciudadanos se almacenen y procesen dentro de sus fronteras nacionales.
Soberanía de datos es la capa de gobernanza por encima de ambas. Pregunta: ¿quién controla legalmente estos datos en última instancia? ¿Qué sistema judicial puede exigir acceso? La residencia de datos es necesaria pero insuficiente para la soberanía de datos.
El panorama legal
CLOUD Act (EE. UU., 2018). Permite a las fuerzas del orden estadounidenses emitir órdenes judiciales para datos mantenidos en el extranjero por proveedores basados en EE. UU., sin pasar por los procedimientos de Tratado de Asistencia Legal Mutua (MLAT). Cualquier proveedor cloud con sede en EE. UU. — AWS, Microsoft Azure, Google Cloud, Salesforce, Dropbox — puede ser obligado a producir datos alojados en servidores europeos sin notificar al estado miembro de la UE donde están los servidores.
FISA Sección 702 (EE. UU.). Autoriza a la NSA a recopilar comunicaciones de personas no estadounidenses de proveedores basados en EE. UU., sin órdenes individuales, bajo un marco de recopilación masiva renovado hasta 2026. Cualquier servicio que use infraestructura estadounidense para usuarios no estadounidenses cae dentro de este marco.
RGPD (UE, 2018). Restringe las transferencias de datos personales de la UE a países sin niveles de protección "adecuados". Sin embargo, el RGPD no previene las órdenes gubernamentales de acceso a datos. El Marco de Privacidad de Datos UE-EE. UU. de 2023 intenta abordar la sentencia Schrems II, pero su durabilidad bajo futuros desafíos legales sigue siendo incierta.
nFADP suiza (2023). La Ley Federal revisada de Protección de Datos proporciona protecciones procedimentales contra solicitudes extranjeras de datos — los tribunales suizos pueden revisar las solicitudes antes de cualquier producción.
Por qué la jurisdicción importa más que la ubicación de servidores
La compulsión legal sigue la estructura corporativa, no la geografía del centro de datos.
Ejemplo concreto: Proton AG está incorporada en Ginebra, Suiza. Una agencia de aplicación de la ley de EE. UU. no puede notificar a Proton con una orden del CLOUD Act porque Proton no es una persona o proveedor basado en EE. UU. Debe usar canales legales suizos — MLAT con Suiza, que involucra tribunales y fiscales suizos. Los tratados MLAT suizos requieren que la conducta solicitada constituya un delito según la ley suiza (doble incriminación), lo que filtra muchas solicitudes estadounidenses.
Para los individuos, la decisión equivalente es el proveedor de correo electrónico y almacenamiento en la nube. Tus archivos de Google Drive, independientemente del centro de datos donde estén, están en manos de una empresa estadounidense sujeta a la ley de vigilancia de EE. UU.
Cómo lograr la soberanía de datos
Lograr una soberanía de datos significativa requiere actuar en tres capas simultáneamente.
Capa 1: Selección de jurisdicción legal. Elegir proveedores de servicios, plataformas en la nube y estructuras organizativas incorporadas en jurisdicciones con sólidas leyes de privacidad nacionales y sin intercambio obligatorio de inteligencia con los Five Eyes. Suiza, Islandia y Noruega son las opciones más sólidas para organizaciones europeas.
Capa 2: Controles criptográficos. La protección basada en jurisdicción tiene límites. Los procesos legales evolucionan, los gobiernos llegan a acuerdos, las empresas son adquiridas. La única protección que sobrevive a la compulsión legal es el cifrado de extremo a extremo donde el proveedor nunca tiene el texto plano.
La arquitectura de conocimiento cero significa que el operador del servicio no puede proporcionar nada útil a ninguna solicitud legal excepto texto cifrado. Proton Mail implementa esto para correos entre usuarios de Proton. Proton Drive lo implementa para todos los archivos almacenados.
Capa 3: Independencia de infraestructura. Evitar la subcontratación a hyperscalers cloud estadounidenses para cargas de trabajo sensibles. AWS, Azure y Google Cloud son todas empresas estadounidenses con exposición directa a las órdenes FISA 702 y CLOUD Act.
Para individuos
Correo electrónico. Abandona Gmail, Outlook y Yahoo — todas empresas estadounidenses sujetas a vigilancia CLOUD Act y FISA 702. Proton Mail es la alternativa más creíble: jurisdicción suiza, cifrado de extremo a extremo, clientes de código abierto.
Divulgación: el enlace a continuación es un enlace de afiliado. Si te suscribes a través de él, ganamos una comisión sin costo adicional para ti.
Cambiar a Proton Mail → Proton Mail (Plan gratuito disponible — jurisdicción suiza, cifrado de extremo a extremo)
Almacenamiento en la nube. Google Drive, Dropbox y OneDrive son todas empresas estadounidenses. Proton Drive ofrece almacenamiento cifrado de extremo a extremo bajo jurisdicción suiza.
Almacenar archivos bajo ley suiza → Proton Drive (Almacenamiento gratuito, cifrado de extremo a extremo, jurisdicción suiza)
Búsqueda y productividad. Nuestra guía de alternativas a Google cubre la migración completa servicio por servicio. Para la protección de privacidad a nivel de navegador y VPN, consulta nuestra guía de VPN y privacidad del navegador.
Para organizaciones
Infraestructura cloud. ¿Dónde está incorporado tu proveedor cloud? El CLOUD Act se aplica a cualquier proveedor con nexo en EE. UU., independientemente de la estructura corporativa. Evalúa OVHcloud (francés), Hetzner (alemán) e Infomaniak (suizo) como alternativas a AWS/Azure/GCP para cargas de trabajo sensibles.
Acuerdos de procesamiento de datos (DPA). Asegúrate de que tus DPA especifiquen no solo la residencia de datos, sino también la entidad legal que controla el procesamiento y la jurisdicción que rige el acuerdo. Un DPA con una filial europea de una empresa estadounidense no previene una orden del CLOUD Act dirigida a la empresa matriz.
Respuesta a incidentes. Un proveedor bajo jurisdicción estadounidense puede tener obligaciones de respuesta a incidentes que requieren notificar a las autoridades estadounidenses antes que a ti o a los reguladores europeos, creando conflictos con los plazos de notificación de brechas del RGPD.
Para la capa técnica que complementa las decisiones jurisdiccionales, consulta nuestra guía de modelado de amenazas para usuarios tech-aware — detalla cómo construir un modelo de adversario estructurado que mapea tus riesgos reales con los controles que los abordan.
