¿Qué es la soberanía de datos y por qué importa para tus fotos?
La soberanía de datos aparece en casi todas las políticas de privacidad y páginas de marketing que leas. Los proveedores en la nube la mencionan. Los gobiernos la utilizan en la legislación. Startups enteras construyen su marca alrededor de ella. Pero si preguntas a tres personas qué significa, sueles obtener cuatro respuestas distintas.
Eso es un problema, porque el término sí tiene un significado específico, y la diferencia entre la definición técnica y la versión de marketing es la diferencia entre una protección real y un resquicio legal.
Qué significa realmente la soberanía de datos
La soberanía de datos es el principio de que los datos están sujetos a las leyes del país en el que se encuentran físicamente. Si tus fotos están en servidores en Alemania, se aplica la ley alemana. Si están en Irlanda, se aplica la ley irlandesa. Y como Irlanda y Alemania son ambos estados miembros de la UE, reglamentos como el GDPR gobiernan cómo se pueden recopilar, procesar y compartir los datos.
El concepto suena sencillo. En la práctica se complica por tres cosas que la mayoría de las páginas de privacidad no explican.
Las tres capas de la soberanía
Para entender si un servicio realmente ofrece soberanía de datos, necesitas hacer tres preguntas distintas.
¿Dónde residen físicamente los datos? Esta es la capa en la que la mayoría se centra. Cuando un servicio dice “datos almacenados en la UE”, normalmente significa que sus servidores están en un centro de datos europeo. Es necesario, pero no suficiente.
¿Quién opera la infraestructura? El servidor físico puede estar en Frankfurt, pero si lo opera un proveedor cloud estadounidense, ese operador está sujeto a la ley estadounidense. Cuando el gobierno de EE. UU. emite una solicitud, el operador responde, independientemente de dónde esté la máquina.
¿Dónde está registrada la empresa? Esta es la capa que determina qué leyes debe seguir la empresa. Una empresa registrada en California está sujeta a la ley estadounidense, incluida la CLOUD Act, sin importar dónde estén sus servidores o sus clientes.
Para que la soberanía de datos se mantenga, las tres capas deben alinearse. El servidor debe estar en la jurisdicción relevante, el operador debe estar sujeto a la ley de esa jurisdicción, y la empresa no debe estar legalmente obligada a cumplir con las solicitudes de un gobierno extranjero.
Por qué “almacenado en la UE” no es suficiente
La brecha entre la promesa de marketing y la realidad legal se hizo evidente con una sentencia del Tribunal de Justicia de la Unión Europea en 2020, conocida como Schrems II. El tribunal determinó que la transferencia de datos personales de la UE a EE. UU. no protegía adecuadamente a los europeos frente a las leyes de vigilancia estadounidenses, incluso cuando los datos nunca cruzaban el Atlántico.
El razonamiento del tribunal fue directo. Si una empresa estadounidense posee los datos, la ley de EE. UU. los alcanza, sin importar dónde estén los servidores. La ubicación de almacenamiento por sí sola no determina qué leyes se aplican.
Por eso “alojado en la UE” es una frase habitual y una afirmación débil. Solo cubre la primera de las tres capas. Sin las otras dos, la protección que implica no se sostiene.
Qué cambia la CLOUD Act
La CLOUD Act estadounidense se aprobó en 2018. Otorga a las autoridades de EE. UU. el poder de obligar a las empresas con sede en EE. UU. a entregar datos que posean o controlen, independientemente de dónde estén almacenados físicamente esos datos.
Esto significa que un proveedor cloud estadounidense que opere servidores en los Países Bajos puede ser legalmente requerido a entregar datos almacenados en esos servidores a las autoridades estadounidenses. El gobierno neerlandés no necesita ser informado. El usuario afectado no necesita ser notificado. Las garantías de protección de datos del GDPR no anulan la solicitud.
El GDPR limita lo que las empresas hacen con tus datos por iniciativa propia. La CLOUD Act permite a un actor externo específico anular esa limitación. Ambas leyes están en vigor al mismo tiempo, y apuntan en direcciones opuestas.
Nuestro colega ha escrito una explicación más detallada sobre cómo funciona la CLOUD Act y qué significa para el almacenamiento de fotos.
Qué exige la verdadera soberanía europea de datos
Para que un servicio ofrezca verdadera soberanía europea de datos, deben cumplirse tres condiciones.
Los datos deben estar almacenados en servidores ubicados dentro de la UE. El operador de la infraestructura debe estar sujeto al derecho de la UE. La empresa propietaria del servicio debe estar registrada en la UE y libre de control por parte de una matriz estadounidense.
Cuando las tres se cumplen, el servicio se rige por el derecho de la UE, y solo por el derecho de la UE. Una solicitud del gobierno de EE. UU. no tiene ningún camino legal hacia los datos.
Cuando falta cualquiera de las tres, la afirmación de soberanía es parcial. Aún puede ofrecer mejoras respecto a otras opciones, pero no ofrece la protección que el término sugiere.
Por qué esto importa para tus fotos
Las fotos son una de las categorías de datos más personales que subes a cualquier lugar. Contienen tu cara, las caras de las personas cercanas a ti, los lugares a los que vas y las marcas temporales de tu vida diaria. El artículo sobre metadatos muestra cuánta información contiene un solo archivo de foto.
Cuando eliges dónde almacenar esa biblioteca, la cuestión de la soberanía no es abstracta. Determina quién puede exigir acceso a esas fotos, bajo qué marco legal y con qué recurso.
Qué hace PixelUnion
PixelUnion está registrada en la UE. Nuestros servidores están en la UE. Nuestra infraestructura se opera bajo derecho de la UE. No hay empresa matriz estadounidense, y no hay ningún camino legal por el que la CLOUD Act alcance los datos de nuestros clientes.
No es una decisión de marketing. Es una decisión estructural sobre lo que “almacenado en la UE” tiene que significar para que la frase sea honesta.
El artículo sobre el GDPR cubre los derechos que el reglamento te otorga y cómo se aplican en la práctica. La soberanía de datos es la condición subyacente que hace que esos derechos sean exigibles en primer lugar.
¿Quieres ver cómo se traduce la soberanía europea en una alternativa real a los servicios estadounidenses? Nuestro colega ha preparado una guía práctica para dejar completamente las Big Tech, con alternativas concretas para cada servicio.