¿Qué es la soberanía de datos?
La soberanía de datos es el principio según el cual los datos están sujetos a las leyes del país o la jurisdicción que los rige. En la práctica significa saber —y poder controlar— qué gobierno podría obligar a facilitar el acceso a tus datos, qué tribunales podrían pronunciarse sobre ellos y qué regulador te exige responsabilidades por ellos.
La distinción decisiva es esta: la soberanía es una cuestión de jurisdicción legal, no solo de geografía. Almacenar datos en un centro de datos situado en tu propio país no los sitúa por sí solo fuera del alcance de un gobierno extranjero, porque la jurisdicción que cuenta suele ser la que rige al operador del servicio, no el suelo donde están los servidores. Los requisitos varían mucho según el sector y el país, así que lo que sigue es orientación, no asesoramiento jurídico.
Soberanía, residencia y localización de datos
Estos tres términos se usan como sinónimos en el marketing de proveedores, pero describen cosas distintas, y confundirlos es la forma más habitual de acabar con una falsa sensación de seguridad.
- La residencia de datos es dónde se encuentran físicamente los datos. Es una decisión técnica y contractual: eliges una región y tu proveedor almacena allí tus datos.
- La localización de datos es una exigencia legal de que ciertos datos permanezcan dentro de las fronteras de un país. La impone la normativa, no se elige.
- La soberanía de datos es qué ley se aplica y quién puede, en última instancia, obligar a dar acceso. Depende de la jurisdicción del operador y de quién custodia las claves, tanto como de la ubicación.
La residencia es, por tanto, un componente de la soberanía, no un sustituto. Puedes cumplir íntegramente un compromiso de residencia y una ley de localización y seguir sin tener soberanía si la empresa que opera el almacenamiento responde ante un tribunal extranjero.
Por qué la ubicación no basta para lograr soberanía
El ejemplo más claro es la CLOUD Act estadounidense. Permite a las autoridades de EE. UU. obligar a un proveedor sujeto a su jurisdicción a entregar datos que estén en su posesión o bajo su control, con independencia del país en el que se almacenen. Una filial europea que opere un centro de datos europeo no queda necesariamente al margen de ese alcance si su matriz está en Estados Unidos.
Esto genera un conflicto real para el proveedor, no una simple elección. Atender un requerimiento de la CLOUD Act puede situarlo en incumplimiento del derecho de la UE; negarse puede exponerlo a consecuencias en EE. UU. La organización propietaria de los datos hereda las consecuencias de ese conflicto sin controlar su resolución.
Dos factores cambian el panorama de forma sustancial. El primero es quién opera el servicio: una infraestructura que gestionas tú, o que opera una entidad sujeta únicamente a tu propia jurisdicción, elimina la vía de coerción extranjera. El segundo es quién custodia las claves de cifrado: si el operador no puede descifrar tus datos, un requerimiento produce texto cifrado en lugar de información legible.
Las normativas que impulsan la soberanía de datos
La soberanía pasó de ser un debate político a un requisito de compra a través de una serie de hitos legales concretos.
El RGPD y la cuestión de las transferencias. El RGPD restringe las transferencias de datos personales fuera de la UE salvo que se garantice una protección equivalente. En 2020, el Tribunal de Justicia de la UE anuló el Escudo de Privacidad UE-EE. UU. en la sentencia conocida como Schrems II, al considerar que la legislación estadounidense de vigilancia no ofrecía esa equivalencia. Su sustituto, el Marco de Privacidad de Datos UE-EE. UU., se adoptó en 2023 y fue confirmado por el Tribunal General de la UE en septiembre de 2025; un recurso ante el Tribunal de Justicia sigue pendiente a mediados de 2026. La transferencia transatlántica sigue siendo viable jurídicamente, pero no está zanjada, y por eso muchas organizaciones han optado por reducir estructuralmente su exposición.
El Reglamento de Datos de la UE (Data Act). Aplicable desde el 12 de septiembre de 2025, otorga a los clientes de servicios de nube y de tratamiento de datos derechos legales para cambiar de proveedor y recibir cooperación técnica en la portabilidad de sus datos, y aborda el acceso ilícito de gobiernos de terceros países a datos no personales. Las tarifas por cambio de proveedor quedan prohibidas por completo desde el 12 de enero de 2027. El efecto práctico es que la dependencia de un proveedor pasa a ser un asunto de cumplimiento, no solo comercial.
Regímenes sectoriales. Los servicios financieros afrontan DORA, las infraestructuras críticas NIS2, los datos sanitarios en EE. UU. se rigen por HIPAA, y los organismos del sector público de muchos países operan con políticas nacionales de nube que especifican las jurisdicciones permitidas.
Cómo se logra la soberanía de datos
La soberanía es un resultado arquitectónico más que un certificado, y suele construirse con cuatro controles.
- Elige la jurisdicción del operador, no solo la región. Pregunta qué entidad jurídica controla la infraestructura y ante qué tribunales responde. Es la pregunta que los compromisos de residencia no responden.
- Custodia tus propias claves de cifrado. El cifrado en reposo solo aporta soberanía si las claves residen fuera de la plataforma de almacenamiento, bajo tu control, en un sistema de gestión de claves que tú operas. De lo contrario, el operador puede producir texto en claro.
- Mantén los datos en infraestructura que controlas. El almacenamiento autogestionado o local en tus propias instalaciones elimina por completo la coerción de terceros, y por eso las organizaciones reguladas y del sector público siguen eligiéndolo para sus datos más sensibles.
- Asegura una salida real. Una soberanía de la que no puedes marcharte es frágil. Comprueba que los datos pueden exportarse en un formato abierto y utilizable, y que la portabilidad es contractual y no una aspiración.
Estos controles se combinan con las medidas de protección de datos —no las sustituyen—, como S3 Object Lock y la retención WORM, que determinan si los datos pueden alterarse, no quién puede verlos.
La soberanía de datos y ARTESCA
Scality ARTESCA es software que despliegas en tus propios servidores estándar, en tu centro de datos y tu jurisdicción. No hay un operador externo que custodie tus datos ni una matriz extranjera a la que se pueda obligar a entregarlos, porque la entidad que controla la infraestructura eres tú.
Los datos en reposo se cifran con AES-256 y las claves se gestionan mediante un servidor externo de gestión de claves compatible con KMIP, en lugar de almacenarse en el propio sistema de almacenamiento. Esa separación es lo que hace que el cifrado sea significativo para la soberanía: la plataforma guarda texto cifrado y tú conservas el medio para leerlo.
Como ARTESCA ofrece una interfaz estándar compatible con S3, las aplicaciones y el software de copia de seguridad escritos para el almacenamiento de objetos en la nube pública funcionan sin cambios. Las organizaciones pueden sacar cargas de trabajo sensibles de una nube operada por terceros extranjeros sin reescribirlas, y combinarlo con la inmutabilidad de S3 Object Lock, de modo que los mismos datos sean a la vez soberanos y estén protegidos frente al ransomware.
Preguntas frecuentes sobre soberanía de datos
¿Es lo mismo la soberanía de datos que la residencia de datos?
No. La residencia describe dónde se almacenan físicamente los datos; la soberanía, qué leyes los rigen y quién puede obligar a dar acceso. Puedes cumplir íntegramente un requisito de residencia y seguir sin tener soberanía si el operador del servicio está sujeto a una jurisdicción extranjera.
¿Almacenar datos en la UE los protege del acceso del gobierno de EE. UU.?
No por sí solo. Con la CLOUD Act estadounidense, un proveedor sujeto a la jurisdicción de EE. UU. puede ser obligado a entregar datos que controla, allí donde estén almacenados. Reducir esa exposición depende de la jurisdicción del operador y de quién custodia las claves de cifrado.
¿El cifrado resuelve la soberanía de datos?
Solo cuando tú controlas las claves. Si el proveedor de almacenamiento puede descifrar tus datos, se le puede obligar a entregarlos en claro. Si las claves residen en un sistema de gestión de claves que tú operas, el requerimiento produce texto cifrado.
¿Qué es una nube soberana?
Un despliegue diseñado para que la infraestructura, su operador y su personal de soporte estén todos dentro de una única jurisdicción elegida, sin dependencia de proveedores extranjeros. La infraestructura autogestionada logra el mismo resultado de forma directa.
¿Qué normativas impulsan los requisitos de soberanía de datos?
Sobre todo el RGPD y sus restricciones a las transferencias internacionales, las disposiciones del Data Act de la UE sobre cambio de proveedor y acceso, y regímenes sectoriales como DORA para servicios financieros, NIS2 para infraestructuras críticas y HIPAA para datos sanitarios en EE. UU.