La protección de datos va más allá de cumplir con requisitos normativos básicos: implica garantizar que tus sistemas puedan funcionar de forma independiente y segura, especialmente cuando dependen de servicios en la nube. El reciente incidente sufrido por un gran proveedor de servicios cloud el 20 de octubre de 2025 ha puesto de manifiesto una verdad fundamental que muchas organizaciones subestiman: no basta con que los datos estén físicamente en Europa si la operativa depende de infraestructuras o servicios situados fuera del Espacio Económico Europeo (EEE).
Muchas empresas confiaban en que alojar datos en centros situados en ciudades europeas como Madrid, París, Frankfurt o Dublín les protegía frente a fallos o riesgos externos. Sin embargo, cuando el proveedor global sufrió un fallo técnico en su región de Estados Unidos, servicios críticos como la autenticación, la gestión de identidades o el DNS dejaron de funcionar, paralizando aplicaciones que, en teoría, estaban “localizadas” en Europa.
Esto dejó claro que la soberanía de datos no es solo geografía, sino también control operativo: es decir, la capacidad de gestionar y operar los sistemas que tratan datos personales sin depender de servicios externos cuya disponibilidad puede verse comprometida por fallos técnicos o decisiones legales en terceros países.
¿Por qué importa esto bajo el RGPD?
El Artículo 32 del Reglamento General de Protección de Datos (RGPD) exige que las organizaciones adopten medidas para garantizar no solo la confidencialidad e integridad de los datos, sino también su disponibilidad y resiliencia frente a incidentes que puedan afectar a los derechos y libertades de las personas.
Cuando un fallo externo deja inaccesibles aplicaciones que ofrecen servicios críticos (por ejemplo, acceder a un historial médico o a un sistema financiero) no se trata simplemente de un problema técnico: puede convertirse en un riesgo para derechos fundamentales.
- Pasar de la soberanía de datos a la soberanía operativa
- Seleccionar una región en la consola de configuración no es suficiente para garantizar soberanía real. La soberanía operativa exige:
- Control autónomo de los sistemas: asegurarse de que los medios de tratamiento (identificación, autenticación, gestión de claves…) pueden funcionar de forma independiente.
- Evitar dependencias críticas de servicios centralizados fuera del EEE que puedan fallar o verse afectados por decisiones normativas de otros países.
Recomendaciones prácticas
Para los responsables del tratamiento de datos personales, la AEPD propone enfoques concretos para reforzar la soberanía operativa en entornos cloud:
- Revisar las evaluaciones de impacto: incluir los riesgos de dependencias transfronterizas en la disponibilidad de servicios clave.
- Exigir transparencia a los proveedores: entender qué partes de la infraestructura son verdaderamente regionales y cuáles están centralizadas globalmente.
- Arquitecturas resilientes: diseñar sistemas capaces de funcionar en “modo isla” o degradado si falla un componente externo crítico.
- Diversificación tecnológica: considerar estrategias múltiples como multi-cloud o soluciones híbridas para evitar un único punto de fallo.
La nube ofrece ventajas indiscutibles en flexibilidad, escalabilidad y eficiencia. Sin embargo, la responsabilidad por el tratamiento de datos personales siempre recae en la organización que decide los fines y medios de ese tratamiento, incluso cuando utiliza servicios de terceros.
¿Qué es la soberanía operativa?
Es la capacidad de una organización para operar y gestionar sus sistemas de tratamiento de datos personales de manera independiente, sin depender de servicios externos que puedan fallar o estar sujetos a normativas de terceros países.
¿Cómo se diferencia de la soberanía de datos?
La soberanía de datos se centra en dónde se almacenan físicamente los datos. La soberanía operativa va más allá: se enfoca en cómo se pueden gestionar y acceder a esos datos de forma segura y continua.
¿Por qué es importante para el RGPD?
El RGPD exige garantizar la disponibilidad, integridad y confidencialidad de los datos personales. Si un fallo externo impide operar sistemas críticos, se pone en riesgo el cumplimiento y los derechos de las personas.
¿Qué medidas pueden tomar las empresas?
Evaluar riesgos de dependencia externa.
Solicitar transparencia a los proveedores de servicios cloud.
Diseñar arquitecturas resilientes y diversificadas (multi-cloud o híbridas).
Revisar periódicamente evaluaciones de impacto y planes de contingencia.
¿La nube es insegura entonces?
No. La nube sigue siendo muy útil y segura si se aplican buenas prácticas de soberanía operativa, incluyendo redundancia, planificación de fallos y control de servicios críticos.
¿Quién es responsable si los datos dejan de estar disponibles?
Siempre el responsable del tratamiento. Aunque se utilicen servicios de terceros, la organización que decide los fines y medios del tratamiento sigue siendo responsable frente al RGPD.
Fuente: AEPD
En Forlopd disponemos de una amplia experiencia ayudando a empresas de diferente índole a mejorar la privacidad de su información. Para ello les guiamos en la adaptación de sus procesos a las exigencias normativas como el Reglamento General de Protección de Datos (RGPD) o la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Puedes solicitarnos más información a través de nuestra sección de contacto y nuestros especialistas te asesorarán.
