Soberanía de datos en la UE para documentos de cumplimiento: por qué importa la jurisdicción cuando no puedes borrar el archivo
La soberanía de datos es uno de esos temas que generan más ruido que claridad. A veces se presenta como proteccionismo disfrazado de lenguaje jurídico, y a veces como una preocupación genuina de gobernanza. En el contexto de los datos de aplicación del día a día, la distinción suele ser académica.
Para los documentos sensibles desde el punto de vista del cumplimiento (facturas con requisitos de retención de 7 años, contratos sujetos a bloqueo legal, presentaciones regulatorias que no pueden alterarse ni borrarse), la distinción no es académica. Tiene consecuencias jurídicas.
Este artículo plantea un argumento concreto: cuando no puedes borrar un documento, el lugar donde reside importa más de lo habitual, y “dónde” significa jurisdicción, no solo geografía.
El argumento habitual de la residencia de datos
El argumento más común a favor de una infraestructura alojada en la UE es el cumplimiento del RGPD: los datos personales no deben salir del Espacio Económico Europeo sin garantías adecuadas. Es un requisito real y, para las aplicaciones que tratan datos personales, es importante.
Pero no es el argumento más sólido para mantener los documentos de cumplimiento en Europa. El argumento del RGPD se aplica a datos que pueden contener o no datos personales. Los documentos de cumplimiento a menudo sí contienen datos personales, pero eso es casi secundario respecto a la cuestión central.
El argumento más sólido trata de lo que ocurre con los documentos que estás legalmente obligado a conservar y que legalmente no puedes borrar.
La legislación de retención y el problema del acceso a la infraestructura
Los requisitos de retención de facturas en la UE suelen ser de 7 años. Los registros del sector público neerlandés sujetos a la Archiefwet pueden exigir una retención de 20 años. No son directrices orientativas. No conservar los registros exigidos expone a las organizaciones a sanciones fiscales, a la pérdida del derecho a deducir el IVA y a sanciones regulatorias.
La otra cara de los requisitos de retención es que los documentos conservados no pueden borrarse durante el período de retención. Los documentos sujetos a bloqueo legal no pueden borrarse en absoluto hasta que se levante el bloqueo.
Esto crea una situación inusual desde el punto de vista de la infraestructura: tienes datos que estás legalmente obligado a conservar, que quizá tengas legalmente prohibido borrar, almacenados en una infraestructura controlada por un tercero. La pregunta es: ¿quién más tiene acceso a esos datos, con qué autoridad legal y qué puede hacer con ellos?
La cuestión de la Ley CLOUD
La Clarifying Lawful Overseas Use of Data Act (Ley CLOUD) es una ley federal estadounidense, promulgada en 2018, que permite a las fuerzas del orden de EE. UU. obligar a las empresas estadounidenses (incluidos los proveedores de nube) a entregar los datos almacenados en sus servidores, con independencia de dónde estén ubicados físicamente esos servidores.
El efecto práctico: las fuerzas del orden de EE. UU. pueden, en principio, acceder a los datos de una empresa europea almacenados en la infraestructura de un hiperescalador estadounidense sin notificarlo a la empresa europea, con sujeción a los requisitos procesales de la Ley CLOUD.
Para la mayoría de los datos, esta es una preocupación teórica. El volumen de datos empresariales rutinarios que llega a ser objeto de solicitudes al amparo de la Ley CLOUD es pequeño, y los procedimientos para obtener esos datos no son triviales.
Para los documentos de cumplimiento, el cálculo es distinto por dos razones.
En primer lugar, los documentos de cumplimiento suelen referirse a los aspectos comercialmente más sensibles de una empresa: precios de proveedores, condiciones de clientes, valores de contratos, presentaciones regulatorias. Son documentos a los que competidores y gobiernos con intereses comerciales podrían querer acceder activamente.
En segundo lugar, los requisitos de retención hacen que los datos existan durante largos períodos. Una solicitud al amparo de la Ley CLOUD en el año 5 de un período de retención de 7 años afecta a datos que, por definición, son relevantes para las operaciones empresariales en curso.
La Ley CLOUD no significa que usar la infraestructura de un hiperescalador estadounidense sea ilegal ni que se vaya a acceder a los datos de forma rutinaria. Significa que se aplica el marco jurídico que crea esa posibilidad, y que el proveedor de nube tiene una capacidad limitada para oponerse a una orden legal válida. El perfil de riesgo es distinto del de una infraestructura exclusivamente de la UE.
Qué significa “soberano en la UE” en la práctica
“Soberano en la UE” se usa con ligereza en el marketing, y conviene ser preciso sobre lo que exige.
Como mínimo, una infraestructura soberana en la UE significa:
Todos los datos permanecen dentro del Espacio Económico Europeo. No solo la región principal: las copias de seguridad, la recuperación ante desastres y cualquier replicación también deben quedarse dentro del EEE. Las transferencias transfronterizas de datos a jurisdicciones de fuera del EEE requieren o bien una decisión de adecuación (que puede revocarse) o bien garantías adecuadas vinculantes.
El operador de la infraestructura no está sujeto, respecto de los datos en cuestión, a leyes de acceso a datos de fuera de la UE. Esto significa que el operador no es una empresa estadounidense ni una filial que estaría sujeta a las obligaciones de la Ley CLOUD respecto de los datos que almacenas con ella. Las empresas con sede en la UE sin estructura societaria estadounidense no están sujetas a la Ley CLOUD.
Los controles de acceso físico están bajo jurisdicción de la UE. Las operaciones del centro de datos están sujetas al Derecho de la UE, no al de la jurisdicción donde está constituido el hiperescalador.
No hay dependencia de infraestructura de origen estadounidense que pueda usarse para acceder a los datos. Usar un centro de datos europeo para el almacenamiento principal mientras todo el tráfico pasa por una CDN de origen estadounidense, o depender de una infraestructura de gestión de claves de origen estadounidense, reintroduce dependencias jurisdiccionales por la puerta de atrás.
La verdadera soberanía no tiene que ver con la bandera que ondea en el edificio. Tiene que ver con el marco jurídico que determina quién puede acceder a los datos y en qué circunstancias.
Por qué esto importa específicamente para los documentos que no puedes borrar
Volvamos a la observación inicial: los documentos de cumplimiento tienen requisitos de retención. No pueden borrarse durante el período de retención.
Ahora combina esto con la cuestión de la infraestructura soberana. Un documento almacenado en infraestructura de fuera de la UE, bajo un marco jurídico de fuera de la UE, que no puedes borrar durante 7 años, es un documento cuyo perfil de acceso no puedes controlar plenamente durante 7 años.
Para una factura con requisitos de retención estándar, esto puede ser un riesgo aceptable. Para un contrato con una estructura de precios sensible, una presentación regulatoria o documentos sujetos a bloqueo legal en un litigio en curso, el perfil de riesgo es distinto.
La imposibilidad de borrar el documento también significa que no puedes mitigar la exposición eliminando los datos. Con un almacenamiento de objetos en la nube que funciona con bloqueo de objetos (object lock) en modo COMPLIANCE, te comprometes por diseño a la existencia del documento durante el período de retención. Por tanto, la elección de jurisdicción no es fácilmente reversible una vez aplicado el bloqueo.
La opción on-premises
Para las organizaciones en las que la soberanía de datos es un requisito estricto (no una preferencia, sino una obligación legal o contractual), el despliegue on-premises es la solución más completa.
El despliegue on-premises sitúa los datos íntegramente dentro de la propia infraestructura de la organización, bajo sus propios controles de seguridad, sin dependencia de proveedores de nube externos. La cuestión jurisdiccional pasa a ser: ¿qué leyes se aplican a la propia infraestructura de la organización? Para las organizaciones de la UE que operan dentro de la UE, la respuesta es el Derecho de la UE.
El despliegue on-premises conlleva costes operativos: la organización es responsable de la disponibilidad, las copias de seguridad, la recuperación ante desastres y la planificación de capacidad. Pero para las entidades reguladas en las que la residencia de datos es un requisito de cumplimiento, estos costes suelen estar ya asumidos como parte de la arquitectura de seguridad de base.
BYOS (bring your own storage: aportar tu propio almacenamiento compatible con S3) es una opción intermedia. La capa de aplicación sigue siendo un servicio, pero los datos los guarda el propio bucket de almacenamiento de la organización, que funciona dentro de la propia cuenta en la nube de la organización y bajo la jurisdicción que la organización elija. El proveedor de la aplicación no guarda los documentos; los procesa y los escribe en el bucket de la organización.
La pregunta práctica para los equipos de cumplimiento
La pregunta para los equipos de cumplimiento que evalúan una infraestructura documental no es si la soberanía en la UE es algo deseable. Es si la exigen los requisitos legales y de riesgo de los documentos almacenados: obligaciones de retención, procedimientos de bloqueo legal, sensibilidad regulatoria.
Para los documentos rutinarios con la retención estándar de 7 años, el riesgo de depender de un hiperescalador estadounidense puede ser aceptable. Muchas organizaciones aceptan esa contrapartida y rara vez les causa problemas.
Para los documentos sujetos a bloqueo legal, a períodos de retención largos, a una alta sensibilidad comercial o a requisitos explícitos de residencia de datos en marcos normativos de sectores regulados, merece la pena plantearse la pregunta en serio antes de que la decisión de infraestructura quede cerrada.
Una vez aplicado el bloqueo de objetos y en marcha el reloj de retención, la cuestión de la jurisdicción se vuelve más difícil de replantear.
SealDoc funciona sobre infraestructura de la UE, en centros de datos europeos con certificación ISO 27001 y sin dependencia de ningún hiperescalador estadounidense. En Enterprise, BYOS permite a las organizaciones aportar su propio almacenamiento compatible con S3 y decidir por sí mismas dónde se almacenan sus documentos y bajo qué jurisdicción.