Soberanía de datos en la UE: pregunte quién puede acceder a las evidencias

Las evidencias de cumplimiento pueden revelar la arquitectura, debilidades sin resolver, información del personal, dependencias de proveedores e historial de incidentes. Elegir dónde residen esas evidencias merece el mismo cuidado que elegir dónde residen los datos de los clientes. En algunos casos, un repositorio de evidencias ofrece una imagen del negocio más concentrada que cualquier sistema de producción por separado.

Para la dirección, la soberanía de datos en la UE es, por tanto, una cuestión de compras y de rendición de cuentas: ¿quién puede acceder a esta información, bajo qué autoridad y qué ocurre si tenemos que irnos?

Una región de alojamiento europea es información útil. No es una respuesta completa. La decisión debe abarcar la cadena de servicio, la exposición jurídica, el acceso técnico y la capacidad de conservar registros utilizables fuera de la plataforma.

Empiece por la información que va a confiar

Una plataforma de cumplimiento puede contener diagramas de red, revisiones de accesos, informes de vulnerabilidades, registros de actividades de tratamiento, evaluaciones de riesgos e investigaciones de incidentes. En conjunto, estos registros describen tanto el funcionamiento de la organización como los puntos en los que sus defensas necesitan mejorar.

También tienen distintos tipos de sensibilidad. Una revisión de accesos de empleados implica datos personales. Un informe de prueba de penetración puede revelar debilidades explotables. Una decisión de la dirección puede recoger una dependencia comercial o un riesgo aceptado. Estas categorías requieren un tratamiento diferente aunque estén en el mismo espacio de trabajo.

Antes de comparar proveedores, elabore un pequeño inventario de evidencias. Para cada categoría, registre su finalidad, sensibilidad, responsable, destinatarios previstos, requisito de conservación y si es necesario subir el documento original.

Por ejemplo, una revisión de controles puede requerir la prueba de que se completó la corrección, no el informe técnico completo que describe cada vulnerabilidad. Un extracto con datos ocultados puede a veces acreditar el hecho necesario reduciendo la exposición. La ocultación no debe eliminar el contexto necesario para valorar la evidencia.

Se trata de una recomendación práctica, no de un requisito universal de sustituir los originales por resúmenes. El objetivo es que el tratamiento de las evidencias sea deliberado, en lugar de permitir que cada solicitud de auditoría amplíe el repositorio indefinidamente.

Distinga residencia, control y cumplimiento legal

La residencia de los datos se refiere a la ubicación. La soberanía abarca también el control, el acceso, la exposición jurídica y la capacidad de trasladar la información o seguir utilizándola. Ninguno de los dos términos debe tratarse como un certificado de cumplimiento.

Estas dimensiones interactúan, pero no son intercambiables. Un servicio alojado en la UE puede implicar personal de soporte o tratamientos fuera de la UE. Un proveedor de propiedad europea puede depender de infraestructura, monitorización o servicios de IA operados por otras entidades. La propiedad por sí sola no garantiza que todas las vías de acceso sean aceptables.

Del mismo modo, la exposición a otra jurisdicción no significa que la revelación sea inevitable ni que el servicio sea automáticamente ilícito. Evalúe las entidades pertinentes, la legislación aplicable, el acceso en la práctica y las garantías. Cuando la revelación obligatoria sea relevante para la decisión, obtenga asesoramiento jurídico en lugar de basarse en una etiqueta de nacionalidad o en una garantía comercial.

Entienda qué normas se aplican realmente

El RGPD no impone una regla general según la cual todos los datos personales deban permanecer en la UE. Exige una base jurídica adecuada y un tratamiento conforme, incluidos la seguridad, los acuerdos con encargados y, cuando proceda, los requisitos de transferencias internacionales.

En un repositorio de cumplimiento que contenga datos personales, determine las funciones de las partes y examine las condiciones del tratamiento del artículo 28 cuando exista una relación de encargo. Evalúe por separado las condiciones de transferencia del capítulo V. Firmar un contrato de encargo del tratamiento no resuelve la cuestión de las transferencias, y elegir una región de almacenamiento en la UE no elimina la necesidad de examinar el acceso desde el extranjero o los tratamientos ulteriores.

El artículo 32 exige una seguridad adecuada al riesgo. El cifrado puede ser una medida importante, pero el RGPD no prescribe un único diseño de cifrado para todos los repositorios. El artículo 48 aborda además las resoluciones judiciales o administrativas de terceros países que exigen la transferencia o comunicación de datos; no debe interpretarse como un escudo universal frente al acceso extranjero.

Otras obligaciones dependen de la organización. NIS2, aplicada mediante legislación nacional, incluye la supervisión por parte de la dirección y medidas de seguridad de la cadena de suministro para las entidades incluidas en su ámbito. DORA establece obligaciones sobre el riesgo de terceros proveedores de TIC para las entidades financieras incluidas. Ninguna de las dos debe reducirse a una instrucción genérica de comprar software europeo.

La política europea de soberanía y los debates sobre contratación también requieren una interpretación cuidadosa. Distinga las obligaciones ya adoptadas de las propuestas, las declaraciones políticas, los criterios de contratación y los esquemas de certificación. Los requisitos de Francia y Alemania no deben tratarse como intercambiables ni como aplicables automáticamente a todas las empresas privadas de Europa.

Pida a los asesores jurídicos y al departamento de compras que documenten los requisitos nacionales, sectoriales y de clientes concretos que afectan a su compra. Un informe de aseguramiento de la nube puede aportar evidencias, pero no resuelve la cuestión de la soberanía. Por ejemplo, el catálogo BSI C5 se refiere a controles y atestación en la nube; no es una certificación general de soberanía.

Trace la cadena de servicio completa

El documento de compra más útil es un mapa del tratamiento de las evidencias. Muestra cómo entra la información en el servicio, qué sistemas la tratan, quién puede acceder a ella y cómo sale.

Solicite respuestas sobre el almacenamiento de producción, las réplicas, las copias de seguridad, la recuperación ante desastres, los registros de aplicación, la monitorización, los tickets de soporte y las copias temporales para resolver incidencias. Incluya las exportaciones y las notificaciones por correo electrónico: un hallazgo sensible puede salir del perímetro previsto a través de una notificación aunque su archivo adjunto permanezca dentro de la plataforma.

Para cada componente, registre:

• La entidad que lo opera y su función.
• Las categorías de datos que recibe y la finalidad del tratamiento.
• Las ubicaciones de almacenamiento y tratamiento, incluidas las de acceso remoto.
• Los grupos de acceso autorizados y cualquier otro proveedor implicado.
• La conservación, la supresión y el tratamiento en las copias de seguridad.
• Las condiciones contractuales que rigen la actividad.

Distinga al proveedor de infraestructura del proveedor de un contratista de soporte o de un encargado de IA. Sus funciones y accesos pueden diferir considerablemente. Una lista de logotipos de proveedores no sustituye a este mapa.

Examine también la gestión de cambios. ¿Cómo se enterará de un nuevo subencargado, de un cambio en la ubicación del tratamiento o de un acuerdo de soporte modificado? ¿Qué derechos de revisión u oposición existen y qué ocurre si el cambio propuesto entra en conflicto con sus requisitos? Una evaluación satisfactoria hoy necesita un mecanismo para detectar los cambios de mañana.

Trate el procesamiento con IA como una vía de revelación independiente

La revisión de evidencias asistida por IA puede introducir otro proveedor y otra política de conservación. Una función que resume un informe de incidente puede transmitir el informe, el texto extraído, los prompts, los metadatos o información de diagnóstico más allá de la aplicación principal.

Pregunte qué llega al proveedor de IA, con qué finalidad y en qué condiciones contractuales. Confirme en el contrato vigente el uso para entrenar modelos, la conservación, el acceso humano, las ubicaciones de tratamiento y los tratamientos ulteriores. No dé por hecho que una cuenta empresarial o una declaración de «sin entrenamiento» signifiquen también que no hay conservación ni acceso del soporte.

Aclare si las funciones de IA son opcionales y si pueden aplicarse restricciones al material sensible. Si la plataforma no puede imponer el límite necesario, una instrucción interna de no subir documentos restringidos puede ser demasiado frágil para el uso diario.

Una revisión práctica debe seguir un documento representativo a través de la función. Identifique la fuente, el contenido transmitido, el resultado, los registros conservados y los revisores. Los resúmenes generados pueden contener a su vez información sensible, por lo que forman parte del mapa de tratamiento.

La revisión humana sigue siendo necesaria para las conclusiones sobre las evidencias. Es una garantía distinta de las restricciones al tratamiento: aprobar un resumen generado por IA no autoriza retroactivamente una revelación inaceptable de su fuente.

Pregunte quién puede realmente descifrar y administrar

El cifrado protege la información solo dentro de los límites de su diseño y su funcionamiento. El cifrado en tránsito protege las conexiones; el cifrado en reposo protege los datos almacenados frente a determinadas amenazas. Ninguno impide automáticamente que una aplicación autorizada o un operador privilegiado lea el contenido.

Pregunte quién controla las claves, quién puede invocar el descifrado y si los administradores pueden cambiar los permisos que rigen ese acceso. Un esquema de claves gestionadas por el cliente puede mejorar el control, pero su efecto depende de la arquitectura. Si el servicio recibe habitualmente texto en claro, la titularidad de las claves no elimina por sí sola el acceso del proveedor.

Pida al equipo técnico que examine la separación de claves, la rotación, la revocación, la recuperación y las consecuencias de perder una clave. La dirección debe entender cualquier compromiso con la disponibilidad antes de aprobarlo. Un límite de acceso más fuerte que además hace irrecuperables evidencias esenciales no es una solución de continuidad completa.

El acceso del soporte merece una atención especial. Busque identidades nominativas, privilegios limitados, autorizaciones con límite temporal, aprobación del cliente cuando proceda y acciones auditables. Pregunte cómo funciona el acceso de emergencia y cómo se revisa después.

La pregunta de compra no es simplemente si el acceso queda registrado. Es si la organización puede obtener información suficiente para investigar un evento: quién accedió a qué registros, cuándo, por qué motivo y con qué autorización. Acuerde qué evidencias estarán disponibles antes de que un incidente convierta la pregunta en urgente.

Haga de la portabilidad un requisito probado

La portabilidad forma parte de la soberanía, porque el control se debilita cuando irse significa perder el significado de las evidencias.

Pruebe una exportación representativa antes de comprometerse. Los archivos por sí solos pueden no conservar las relaciones entre controles, evidencias, hallazgos, responsables, aprobaciones y decisiones. Una carpeta de PDF puede conservar los documentos y perder el registro de lo que demostraban y de quién aceptó la conclusión.

Elija una muestra que contenga un archivo adjunto, su control vinculado, un comentario de revisión, una aprobación, un hallazgo abierto y las marcas de tiempo pertinentes. Pida a alguien ajeno al equipo de implantación que reconstruya la decisión a partir de la exportación. Así se prueba la utilidad, no la mera existencia de un botón de exportación.

OSCAL ofrece modelos útiles para la información de seguridad portable. Sus especificaciones publicadas pueden facilitar un intercambio estructurado, pero utilizar un formato abierto no garantiza automáticamente la completitud ni la compatibilidad. Compruebe las versiones de los modelos, los identificadores, los archivos adjuntos, las extensiones y si el sistema receptor puede interpretar la estructura exportada.

Las condiciones contractuales de salida importan tanto como los formatos. Determine cuándo están disponibles las exportaciones, qué asistencia se presta, si hay costes y cuánto tiempo se mantiene el acceso tras la terminación. Trate por separado la supresión de los registros activos y el tratamiento de las copias de seguridad.

Ejemplo práctico: decidir qué puede entrar en un repositorio

Pensemos, a modo ilustrativo, en una empresa de software con sede en la UE que selecciona una plataforma de evidencias. Supongamos que su alcance inicial incluye revisiones de accesos de empleados, hallazgos de pruebas de seguridad con datos ocultados y registros de decisiones sobre incidentes. Su política interna exige el almacenamiento en la UE para este alcance y una evaluación explícita de cualquier acceso desde fuera de la UE. Son supuestos de ejemplo, no requisitos legales universales.

El proveedor confirma el almacenamiento de producción en la UE. Una revisión más detallada identifica un servicio independiente de tickets de soporte y un proveedor opcional de resúmenes con IA. El equipo no declara la plataforma aceptable o inaceptable basándose solo en la respuesta sobre el alojamiento.

En su lugar, documenta tres decisiones:

A continuación, el equipo comprueba si los archivos adjuntos sensibles acaban en los tickets de soporte, verifica las restricciones de acceso propuestas y exporta un registro de revisión completo.

Supongamos que las condiciones del procesamiento con IA siguen sin estar claras. La dirección puede aprobar un despliegue más restringido solo si la exclusión de ese procesamiento es fiable. Si no puede imponerse, el material afectado queda fuera del despliegue. La cuestión pendiente recibe un responsable y una fecha límite de decisión, en lugar de diluirse en una puntuación general de riesgo del proveedor.

El resultado es una aprobación acotada: categorías de evidencias definidas, tratamientos permitidos, restricciones, cuestiones pendientes y desencadenantes de revisión. Es más útil que una declaración sin matices de que el proveedor es «soberano».

Ponga la decisión bajo la responsabilidad de la dirección

Compras puede reunir documentos, seguridad puede evaluar los controles de acceso y el área jurídica puede valorar las obligaciones. La dirección es la responsable de la decisión de negocio sobre la exposición y la dependencia aceptables. Cuando intervenga un DPD, preserve sus funciones independientes de asesoramiento y supervisión en lugar de convertirlo en responsable de las decisiones de tratamiento.

Utilice criterios de aceptación explícitos. Un acceso privilegiado poco claro, ubicaciones de tratamiento sin explicar o una vía de salida inutilizable pueden ser motivo de descarte para un alcance sensible. Otras carencias pueden permitir un despliegue restringido con condiciones documentadas. Registre quién puede aceptar cada riesgo residual y qué obligaría a una nueva evaluación.

Los errores habituales son aceptar «alojado en la UE» sin un mapa de la cadena de servicio, tratar el cifrado como prueba de que nadie más puede leer los datos y aplazar la prueba de exportación hasta la terminación. Otro es suponer que una certificación o un informe de auditoría cubre exactamente el servicio, la vía de tratamiento y las categorías de evidencias que se compran. Compruebe el alcance y las limitaciones.

Convierta la evaluación en un flujo de trabajo repetible

Secani conecta las evidencias con requisitos, controles, objetos y decisiones revisadas, utilizando modelos abiertos de controles de seguridad como base del producto. Un flujo de trabajo centrado puede empezar con un servicio, responsables designados, sus dependencias de proveedores externos y los documentos que respaldan la decisión de compra. Las respuestas que faltan se convierten en tareas; las sugerencias asistidas por IA siguen siendo borradores sujetos a revisión humana y trazabilidad de las fuentes.

Mantenga las condiciones de alojamiento, tratamiento, acceso y exportación del servicio seleccionado junto con la decisión de compra. Revise ese registro cuando cambien las configuraciones, los subencargados o las condiciones contractuales. Así, el siguiente revisor tendrá una base clara para comprobar si el acuerdo sigue cumpliendo los requisitos de la organización.

El siguiente paso práctico es seleccionar una categoría de evidencias sensible y trazar todo su recorrido. Lleve a la decisión de compra el mapa resultante, una exportación probada y las cuestiones de acceso pendientes. Eso proporciona a la dirección una base revisable para decidir quién puede custodiar las evidencias y en qué condiciones.