Un ministerio de un gobierno europeo eligió a un proveedor de almacenamiento en la nube precisamente por su compromiso de soberanía de datos: datos almacenados exclusivamente en infraestructura de la UE, operada por una entidad de la UE, con garantías contractuales de que los datos no se transferirían fuera de la UE sin autorización explícita. El proveedor era una filial europea de una empresa matriz estadounidense. La infraestructura de almacenamiento estaba realmente alojada en la UE. El equipo operativo de la filial era realmente europeo. A los dos años de la relación, la empresa matriz estadounidense recibió una carta de seguridad nacional de una agencia federal de EE. UU. que solicitaba acceso a datos almacenados por su filial europea, entre los que había registros del ministerio. La NSL iba acompañada de una orden de confidencialidad que impedía a la empresa matriz revelar la solicitud a nadie, incluida la filial europea. La empresa matriz tenía acceso administrativo técnico a la infraestructura de su filial a través de herramientas compartidas de gestión operativa. El compromiso de soberanía de datos cubría la ubicación del almacenamiento. No regulaba la estructura societaria a través de la cual un gobierno extranjero podía obligar a dar acceso sin que la entidad europea lo supiera.
¿Qué es realmente el problema de la aplicación de la soberanía de datos?
La soberanía de datos es el principio según el cual los datos están sujetos a las leyes y reglamentos de la jurisdicción en la que se almacenan o tratan, y la organización que los controla está protegida frente al acceso de gobiernos extranjeros, salvo mediante mecanismos jurídicos definidos: tratados de asistencia jurídica mutua, órdenes judiciales formales con las debidas garantías procesales y mecanismos similares que ofrecen transparencia y la posibilidad de impugnación judicial. El desafío práctico de la aplicación de la soberanía de datos es que los mecanismos jurídicos y técnicos mediante los cuales los gobiernos extranjeros pueden acceder a datos almacenados en una jurisdicción soberana van más allá del acceso físico directo a la infraestructura de almacenamiento e incluyen los mecanismos de control societario, la jurisdicción de la empresa matriz y el acceso operativo que proporcionan las herramientas de gestión compartidas.
La dimensión de la estructura societaria es el aspecto más significativo y menos comprendido del riesgo de soberanía de datos. Un proveedor que es filial de propiedad absoluta de una empresa matriz extranjera opera en un contexto jurídico en el que las obligaciones de la matriz conforme a las leyes de su jurisdicción de origen se extienden a los datos de sus filiales, a través de la capacidad de la matriz para dirigir las operaciones de la filial, del acceso técnico de gestión compartido y de las obligaciones jurídicas que se derivan del control societario. La filial de la UE está realmente sujeta al derecho de la UE. La empresa matriz estadounidense está realmente sujeta al derecho de EE. UU., incluida la CLOUD Act, que permite al gobierno de EE. UU. exigir datos que tengan personas y entidades estadounidenses sin importar dónde se almacenen físicamente.
La dimensión del acceso técnico es igual de determinante. Las empresas matrices y sus filiales comparten con frecuencia infraestructura operativa (sistemas compartidos de gestión de identidades, plataformas de monitoreo compartidas, herramientas administrativas compartidas) que da al personal técnico de la matriz acceso operativo a la infraestructura de la filial. Este acceso está justificado desde el punto de vista operativo y no tiene nada de particular desde el punto de vista técnico. También es el mecanismo por el cual un requerimiento de un gobierno extranjero dirigido a la empresa matriz podría dar lugar al acceso a datos que tiene la filial, sin que la filial lo sepa, a través del acceso operativo legítimo de la matriz a las herramientas de gestión compartidas.
- Jurisdicción extranjera de la empresa matriz: empresa matriz sujeta a leyes que permiten el acceso obligatorio a los datos sin importar dónde se almacenen los datos de la filial
- Acceso compartido de gestión operativa: acceso técnico de la empresa matriz a la infraestructura de la filial mediante herramientas de administración compartidas
- Obligaciones jurídicas derivadas del control societario: la capacidad jurídica de la empresa matriz para dirigir las operaciones de la filial en situaciones de acceso obligatorio
- Alcance del compromiso de soberanía: compromisos que cubren la ubicación del almacenamiento sin abordar las vías de acceso a través de la estructura societaria
- CLOUD Act y leyes extraterritoriales equivalentes: jurisdicciones estadounidenses, chinas, rusas y otras con leyes que permiten el acceso extraterritorial a los datos
Por qué es importante
La aplicación de la soberanía de datos es importante para TPRM porque los clientes del sector público, las industrias reguladas y las organizaciones con obligaciones de manejo de datos de seguridad nacional exigen cada vez más una soberanía de datos real, no una soberanía basada en la ubicación del almacenamiento que puede eludirse a través de la estructura societaria y las leyes extraterritoriales. El esquema de certificación de nube EUCS de la Comisión Europea, la certificación francesa SecNumCloud y marcos nacionales similares de seguridad en la nube han abordado explícitamente la jurisdicción de la empresa matriz como factor de riesgo para la soberanía, y exigen que los proveedores de servicios en la nube que se usan para datos gubernamentales sensibles estén libres de obligaciones jurídicas extraterritoriales que podrían permitir el acceso de gobiernos extranjeros.
La dinámica de la CLOUD Act es el mecanismo de acceso extraterritorial más inmediatamente relevante a efectos de TPRM. Las empresas con sede en EE. UU. están sujetas a requerimientos de la CLOUD Act sobre los datos que tienen sus filiales fuera de EE. UU., sin importar dónde se almacenen físicamente esos datos. Un proveedor europeo de servicios en la nube propiedad de una empresa matriz estadounidense puede recibir, a través de su matriz en EE. UU., un requerimiento de la CLOUD Act sobre datos almacenados en la UE. La certificación de soberanía de datos confirma el almacenamiento en la UE. No protege frente al acceso en virtud de la CLOUD Act a través del control societario de la matriz.
Para los profesionales de TPRM, la evaluación de la soberanía requiere examinar la estructura de propiedad societaria y la jurisdicción de la empresa matriz junto con la certificación de la ubicación del almacenamiento. Son preguntas distintas que abordan instrumentos de gobernanza distintos, y confirmar una no responde la otra.
Dónde se equivocan la mayoría de los equipos
La falla más constante es tratar la certificación de la ubicación del almacenamiento como una garantía completa de soberanía de datos. La ubicación del almacenamiento es necesaria, pero no suficiente, para una soberanía de datos real. La estructura societaria, la jurisdicción de la empresa matriz, el acceso técnico compartido y las obligaciones jurídicas extraterritoriales crean riesgos de soberanía que la gobernanza de la ubicación del almacenamiento no aborda.
- Tratar la certificación de la ubicación del almacenamiento como una garantía completa de soberanía
- Jurisdicción de la empresa matriz sin evaluar: propiedad última y exposición a leyes extraterritoriales
- Acceso operativo compartido sin evaluar: acceso técnico de la empresa matriz a la infraestructura de la filial
- La CLOUD Act y las leyes extraterritoriales equivalentes no se evalúan para la jurisdicción de la empresa matriz
- Alcance del compromiso de soberanía sin examinar: qué cubre el compromiso y qué no cubre
Cómo se ve una buena práctica
La gobernanza madura de la soberanía de datos distingue entre la soberanía del almacenamiento (datos almacenados en una jurisdicción específica) y la soberanía operativa (datos accesibles solo a través de entidades sujetas a las leyes de esa jurisdicción, sin vías de acceso extraterritorial). Una soberanía operativa real requiere evaluar la estructura societaria, la jurisdicción de la empresa matriz, el acceso técnico compartido y el marco jurídico específico aplicable a la entidad del proveedor.
- Evaluación de la titularidad real última: cadena de propiedad societaria examinada para determinar la jurisdicción de la empresa matriz
- Evaluación de la exposición a leyes extraterritoriales: la CLOUD Act, la PIPL y leyes equivalentes evaluadas para la jurisdicción de la empresa matriz
- Segregación del acceso operativo: confirmación de que la empresa matriz no tiene acceso técnico a la infraestructura de la filial en la UE
- Revisión del alcance de la certificación de soberanía: qué cubre la certificación y qué riesgos de estructura societaria persisten
- Requisitos de independencia jurisdiccional: criterios de selección de proveedores que exigen entidades libres de obligaciones jurídicas extraterritoriales para los datos de máxima sensibilidad
Herramientas
Certificación de nube de la UE: EUCS, SecNumCloud, BSI C5
Los esquemas europeos de certificación de seguridad en la nube abordan explícitamente la jurisdicción de la empresa matriz como factor de riesgo para la soberanía. SecNumCloud (Francia) y BSI C5 (Alemania) ofrecen certificaciones de seguridad en la nube que incluyen el riesgo de acceso extraterritorial en el alcance de su evaluación. Para los profesionales de TPRM, preguntar si el proveedor tiene una certificación nacional de seguridad en la nube que aborde la jurisdicción de la empresa matriz, más allá de las certificaciones generales ISO 27001 o SOC 2, revela si la soberanía más allá de la ubicación del almacenamiento se ha evaluado formalmente.
Inteligencia sobre estructuras societarias: Companies House, registros mercantiles de la UE, GLEIF
Las bases de datos de registros mercantiles proporcionan información sobre la titularidad real última, lo que permite evaluar la cadena de propiedad completa de un proveedor y las jurisdicciones de todas sus entidades matrices. Para los profesionales de TPRM, revisar la estructura societaria de un proveedor a través de los registros públicos antes de aceptar su compromiso de soberanía proporciona una verificación independiente de la exposición jurisdiccional que el compromiso tal vez no aborde.
Desafíos de gobernanza
El desafío de gobernanza de la aplicación de la soberanía de datos es el problema de la intersección entre lo técnico y lo jurídico. La ubicación del almacenamiento es técnicamente verificable. La jurisdicción de la estructura societaria requiere un análisis jurídico. Las vías de acceso operativo requieren una evaluación técnica de la infraestructura de gestión compartida. Una evaluación completa de la soberanía requiere experiencia en las tres dimensiones (técnica, jurídica y de estructura societaria), que normalmente no se concentra ni en los programas de TPRM ni en los equipos de seguridad de proveedores.
- Revise la estructura de propiedad societaria de todos los proveedores con compromisos de soberanía
- Evalúe la jurisdicción de la empresa matriz en relación con la CLOUD Act y las leyes extraterritoriales equivalentes
- Pregunte por la segregación del acceso de gestión operativa: acceso técnico de la empresa matriz a la infraestructura de la filial
- Exija la divulgación del alcance de la soberanía: qué cubre el compromiso y qué no cubre
- Considere certificaciones nacionales de nube para los requisitos de soberanía de máxima sensibilidad
Si usted forma parte de un equipo pequeño
Para cada proveedor con un compromiso de soberanía de datos, verifique una cosa antes de su próxima evaluación: la empresa matriz última y su jurisdicción de constitución. Los registros mercantiles públicos y las divulgaciones societarias del propio proveedor proporcionan esta información. Si la matriz última está constituida en una jurisdicción sujeta a la CLOUD Act, a la PIPL o a leyes equivalentes de acceso extraterritorial, deje constancia de la brecha entre el compromiso de soberanía del almacenamiento y la vía de acceso a través de la estructura societaria. Luego pregunte directamente al proveedor: ¿cuál es su relación con las operaciones técnicas de su empresa matriz y tiene su empresa matriz algún acceso operativo a su infraestructura en la UE?
- Verifique la jurisdicción de la empresa matriz última de todos los proveedores que declaran soberanía
- Pregunte por el acceso operativo de la empresa matriz a la infraestructura de la filial
- Pregunte si alguna certificación nacional de nube aborda la jurisdicción de la empresa matriz
- Deje constancia de la brecha entre el compromiso de soberanía del almacenamiento y la vía de acceso a través de la estructura societaria
Qué exigir
Pregunte directamente:
“¿Quién es la empresa matriz última de la entidad con la que contratamos, en qué jurisdicción está constituida esa matriz y tiene esa jurisdicción leyes que podrían obligar a su matriz a dar acceso a los datos que tiene su entidad?”
“¿Su empresa matriz tiene algún acceso técnico a la infraestructura que aloja nuestros datos, mediante sistemas compartidos de gestión de identidades, herramientas de monitoreo operativo o acceso administrativo? De ser así, ¿con qué controles de autorización?”
“¿Qué cubre específicamente su compromiso de soberanía de datos y qué no cubre en cuanto al control societario de la empresa matriz y a las obligaciones jurídicas extraterritoriales?”
Evidencia que debe esperar
- Divulgación de la estructura societaria: matriz última y jurisdicción
- Evaluación de la exposición a leyes extraterritoriales para la jurisdicción de la matriz
- Confirmación de la segregación del acceso operativo: acceso de la empresa matriz a la infraestructura
- Divulgación del alcance del compromiso de soberanía: qué cubre y qué no cubre
Un proveedor que responde a la pregunta sobre la empresa matriz con “nuestros datos los almacena en la UE nuestra entidad de la UE” ha confirmado la ubicación del almacenamiento. Pregunte específicamente si la matriz última de la entidad de la UE está sujeta a la CLOUD Act o a leyes equivalentes de acceso extraterritorial a los datos. La ubicación del almacenamiento es el piso. La estructura societaria es el techo. Ambas determinan la soberanía efectiva de los datos.
Cómo demostrarlo
- Registros de evaluación de la estructura societaria de los proveedores que declaran soberanía
- Documentación de la jurisdicción de la empresa matriz y de la exposición a leyes extraterritoriales
- Evaluación de la segregación del acceso operativo
- Documentación del alcance de la soberanía: qué cubren y qué no cubren los compromisos
Conclusión clave
La soberanía de datos es el principio según el cual los datos están protegidos frente al acceso de gobiernos extranjeros, salvo a través de cauces legales legítimos. La ubicación del almacenamiento es un mecanismo para aplicar ese principio. La estructura societaria es la vía por la que se puede eludir: cuando la matriz estadounidense de la filial en la UE recibe una carta de seguridad nacional, los datos almacenados en la UE son accesibles a través del acceso operativo de la matriz a las herramientas de gestión compartidas, sin que la entidad de la UE lo sepa, bajo una orden de confidencialidad que impide que nadie sepa que ocurrió. El compromiso de soberanía del almacenamiento describía con exactitud dónde residen los datos. No decía nada sobre quién puede llegar a ellos a través de la estructura organizativa que está por encima. Ambas preguntas determinan si la soberanía es real.