Soberanía de datos y la CLOUD Act: por qué importa la UE
¿Qué es la CLOUD Act y qué significa para tu correo?
La CLOUD Act (Clarifying Lawful Overseas Use of Data Act) es una ley estadounidense de 2018. En pocas palabras, puede obligar a los proveedores sujetos al derecho de EE. UU. a entregar datos a las autoridades estadounidenses, con independencia de que esos datos estén almacenados en EE. UU. o fuera.
Para el correo, lo esencial es esto: la ubicación física de los servidores no es decisiva. Si tu proveedor está sujeto al derecho de EE. UU., esa legislación puede, en teoría, entrar en juego, también si los datos están en un centro de datos europeo. Por eso «dónde están mis datos» y «a qué derecho está sujeto mi proveedor» son dos preguntas distintas.
Por qué importa
Para quien trabaja con datos confidenciales, esto no es teoría. Un médico, un abogado o un contable suelen tener un deber de secreto y de diligencia. Si un gobierno extranjero puede, en teoría, pedir acceso a datos que tú gestionas, eso choca con la promesa que haces a tus clientes o pacientes.
La soberanía de datos es la idea de que tus datos están sujetos al derecho de la jurisdicción que tú eliges, y no al de un país con el que no tienes nada que ver. Para las organizaciones europeas eso significa: bajo el RGPD, con las garantías que conlleva. En cuanto otra jurisdicción puede entrar en juego, pierdes parte de esa seguridad.
También hay un lado práctico. Los clientes y las autoridades de control preguntan cada vez más dónde están tus datos y a qué derecho están sujetos. «En un proveedor europeo, bajo el RGPD» es una respuesta que genera confianza. «La verdad es que no lo sé» no lo es.
Cómo funciona
Imagina una caja fuerte que está en Róterdam, pero que pertenece a una empresa de Nueva York. La caja fuerte está físicamente en los Países Bajos, pero el propietario está sujeto a normas estadounidenses. Si un organismo estadounidense pide el contenido al propietario, entra en juego el derecho de EE. UU., a pesar de dónde esté la caja fuerte. Así funciona, más o menos, con los datos en un proveedor sujeto al derecho de EE. UU.
La situación contraria da tranquilidad. Si tu correo está en un proveedor sujeto por completo al derecho europeo, con servidores en Europa, el marco aplicable es el RGPD. Los gobiernos extranjeros no tienen entonces una vía sencilla a través del proveedor; el acceso pasa por los marcos jurídicos europeos y la cooperación entre países. Eso hace que el panorama sea mucho más previsible para ti.
Si quieres ver con más amplitud la diferencia entre ambos mundos, lee hosting de correo europeo frente a estadounidense.
Eso sí: esto trata de lo que es posible en teoría, no de lo que ocurre a diario. La mayoría de las personas nunca se encuentra con una solicitud concreta. Lo importante es la seguridad de antemano: con un proveedor sujeto al derecho europeo sabes qué normas se te aplican y qué garantías rigen. Para quien debe garantizar el secreto profesional, esa previsibilidad suele importar más que la probabilidad de que algún día algo salga mal. Al fin y al cabo, basas tus compromisos en lo que es posible, no en la suerte.
Lo que debes tener en cuenta
Algunos puntos de atención y malentendidos:
- «Mis datos están en Europa, así que estoy bien.» No necesariamente. La ubicación de los datos cuenta, pero si el proveedor está sujeto al derecho de EE. UU., una legislación como la CLOUD Act puede entrar en juego igualmente. Pregunta también por la jurisdicción del proveedor, no solo por la ubicación de los servidores.
- «Esto es solo cosa de grandes empresas.» Las normas sobre diligencia y confidencialidad se aplican a todos los que trabajan con datos de otras personas, también a una pequeña consulta o asociación.
- No preguntar al proveedor. Un proveedor fiable responde con claridad a la pregunta de dónde están tus datos y a qué derecho están sujetos. Si no obtienes una respuesta clara, eso ya es una señal en sí.
- Pensar que es un detalle técnico. Es una elección sobre derecho y control. Para datos sensibles, esa elección pesa tanto como la técnica.
Estos son puntos de atención generales, no una valoración jurídica definitiva de tu situación. Si tienes dudas, consulta a un especialista.
Y en Mailflux
Mailflux aloja tu correo en Europa, conforme al RGPD, con tu propio dominio. Eso significa que tus mensajes están sujetos a las normas europeas de privacidad y que puedes explicar sin rodeos dónde están tus datos. Si no tienes claro dónde acaba ahora mismo tu correo, dónde está mi correo te ayuda a averiguarlo.
Cada plan incluye conexiones cifradas, filtrado contra spam, phishing y malware, copias de seguridad automáticas y verificación en dos pasos opcional. Tu contenido no se analiza con fines publicitarios. Así mantienes tú el control sobre tu correspondencia y la seguridad sobre el derecho que se le aplica. Más información en hosting de correo europeo con tu propio dominio.
FAQ
Preguntas frecuentes
¿Me afecta la CLOUD Act como usuario europeo?
De forma indirecta, puede. Si usas un proveedor sujeto al derecho de EE. UU., la CLOUD Act puede intervenir en solicitudes de las autoridades estadounidenses, también si tus datos están en Europa. Con un proveedor sujeto por completo al derecho europeo, ese riesgo es menor. Si tienes dudas, consulta a un especialista.
¿Están siempre a salvo del acceso extranjero los datos en un centro de datos europeo?
La ubicación ayuda, pero no lo es todo. También cuenta bajo qué jurisdicción está el proveedor. Una ubicación de servidores europea en un proveedor sujeto al derecho de EE. UU. ofrece menos seguridad que un proveedor que opera por completo bajo el derecho europeo.
¿Qué significa exactamente soberanía de datos?
Soberanía de datos significa que tus datos están sujetos al derecho de la jurisdicción que tú eliges, en lugar de a una legislación extranjera. Para las organizaciones europeas, eso se traduce en el RGPD, con las garantías que conlleva sobre cómo se tratan los datos personales.