Soberanía de datos y RGPD: dónde están los datos de tu empresa en la nube

Qué es la soberanía de datos

Es la idea de que los datos están sujetos a las leyes del lugar donde se tratan y de quien los trata. La confusión habitual es creer que solo cuenta lo primero: elegir la región europea de un hiperescalar reduce la latencia y ayuda con el RGPD, pero no cambia quién es la matriz del proveedor ni qué legislación le obliga.

Qué cambia y qué no al contratar un proveedor europeo

• Cambia la exposición a requerimientos de autoridades de fuera de la UE y la necesidad de justificar transferencias internacionales en tu registro de tratamientos.
• No cambia ninguna de tus obligaciones: seguir necesitas el registro de actividades, el contrato de encargado del tratamiento con cada proveedor, la evaluación de impacto cuando proceda, y medidas de seguridad proporcionadas.

Preguntas que conviene hacerle a cualquier proveedor

1. ¿Dónde se tratan los datos, y dónde se replican las copias?
2. ¿Quién es la matriz de la empresa y a qué legislación responde?
3. ¿Hay subencargados? ¿Quiénes y dónde están?
4. ¿Qué pasa con mis datos cuando termina el contrato, y en cuánto tiempo se borran?
5. ¿Puedo exportar todo en un formato estándar sin coste?
6. ¿Se usan mis datos para entrenar modelos? ¿Puedo negarme por contrato?

Qué puedes hacer de forma realista

Clasificar primero: no todo necesita la misma protección. Lo sensible —nóminas, historiales, datos de clientes— es lo que merece la pena mover primero a infraestructura que controlas. El resto puede esperar. Cifrar lo que esté en manos de terceros con claves tuyas, y tener una copia que no dependa del proveedor principal, cubre la mayor parte del riesgo real.

Esto es orientación técnica, no asesoramiento jurídico. La parte legal del cumplimiento la tiene que revisar tu asesoría.