Cuando una empresa mueve sus sistemas a la nube, tarde o temprano aparece la pregunta: ¿dónde están físicamente nuestros datos, y eso cumple con el RGPD?
La respuesta corta es que se puede cumplir perfectamente usando la nube, pero conviene entender qué decisiones influyen y no dar por hecho que basta con elegir una región europea.
Este artículo es una orientación técnica, no asesoramiento jurídico. Para casos concretos, consulta con tu delegado de protección de datos o con tu asesoría legal.
Lo que dice el RGPD, en lo que afecta a la nube
El Reglamento General de Protección de Datos no prohíbe usar servicios cloud ni exige que los datos estén en España. Lo que exige es, entre otras cosas:
- Un contrato de encargo del tratamiento con el proveedor cloud (artículo 28), que fije qué puede hacer con los datos y qué garantías ofrece. Los grandes proveedores lo incluyen en sus condiciones, normalmente como un anexo de protección de datos.
- Medidas de seguridad adecuadas al riesgo: cifrado, control de accesos, copias de seguridad y capacidad de recuperación.
- Garantías para las transferencias internacionales si los datos salen del Espacio Económico Europeo o son accesibles desde fuera.
- Saber qué datos tienes y dónde están, para poder responder a los derechos de los interesados y notificar una brecha si se produce.
Elegir región: necesario, pero no suficiente
AWS tiene región en España (en Aragón), Google Cloud la tiene en Madrid y OVHcloud opera centros de datos propios en Europa. Elegir una región europea hace que los datos se almacenen y procesen aquí, lo que simplifica mucho el cumplimiento.
Pero hay matices que conviene revisar:
- Servicios globales. Algunos servicios (determinadas herramientas de soporte, de registro o de analítica) pueden procesar datos fuera de la región elegida. Hay que comprobarlo servicio a servicio.
- Copias y replicación. Si las copias de seguridad o las réplicas se configuran en otra región, los datos viajan con ellas.
- Soporte técnico. El personal de soporte del proveedor puede estar en otros países y, en determinadas circunstancias, acceder a los sistemas.
- Terceros conectados. Herramientas de correo, CRM, analítica web o chat integradas en tu web o aplicación también tratan datos y tienen sus propias ubicaciones.
Soberanía de datos: la jurisdicción también cuenta
Más allá de dónde están los servidores, importa qué leyes se aplican al proveedor. Las empresas con sede en Estados Unidos están sujetas a normas como la CLOUD Act, que permite a las autoridades de ese país solicitar datos bajo su control, incluso si están almacenados en Europa.
Para la mayoría de pymes, este riesgo se gestiona con las garantías contractuales de los proveedores, el marco de privacidad de datos entre la UE y EE. UU. y medidas técnicas como el cifrado. Aun así, la estabilidad jurídica de estos marcos ha sido cuestionada en el pasado y conviene seguir su evolución.
Para algunas organizaciones (sector público, salud, defensa o empresas con clientes que lo exigen por contrato), la jurisdicción es un criterio decisivo. En esos casos, un proveedor europeo como OVHcloud, o las ofertas específicas de “nube soberana” de los grandes proveedores, pueden ser la opción adecuada. Lo comparamos en AWS, Google Cloud u OVHcloud: cuál elegir.
Medidas técnicas que marcan la diferencia
Independientemente del proveedor, estas medidas reducen el riesgo de forma notable:
- Cifrado en reposo y en tránsito, activado por defecto en todos los servicios que lo permitan.
- Gestión de claves: para datos especialmente sensibles, valorar claves de cifrado gestionadas por tu empresa en lugar de por el proveedor.
- Permisos mínimos: cada persona y cada aplicación, con acceso solo a lo que necesita, y con autenticación multifactor en todas las cuentas de administración.
- Registro de accesos a los datos y a la configuración, conservado el tiempo necesario.
- Copias de seguridad cifradas, en la ubicación que hayas decidido, y probadas. Lo detallamos en la regla 3-2-1.
- Infraestructura documentada, idealmente definida como código, para saber en todo momento qué existe y dónde.
Una revisión rápida de tu situación
Si no tienes claras las respuestas a estas preguntas, merece la pena revisarlas:
- ¿En qué regiones están tus datos de producción y tus copias de seguridad?
- ¿Tienes aceptado el contrato de encargo del tratamiento de tu proveedor cloud?
- ¿Qué servicios de terceros conectados a tu web o aplicación tratan datos personales, y dónde?
- ¿Está activado el cifrado en todos los servicios que almacenan datos?
- ¿Quién tiene acceso de administración, y con qué protección?
En Alenia Systems configuramos la infraestructura en AWS, Google Cloud u OVHcloud con la región, el cifrado y los permisos adecuados desde el principio. Si quieres revisar cómo está tu entorno, pide una revisión gratuita o consulta nuestros servicios cloud.