Soberanía de datos: El nuevo campo de batalla geopolítico

El control sobre los datos se ha vuelto inseparable de la seguridad nacional, la competitividad económica y la resiliencia democrática. Aquí explicamos de dónde surgió el problema, por qué importa ahora y qué pueden hacer las organizaciones al respecto.

¿Qué es la soberanía de datos y de dónde viene?

La soberanía de datos es el principio según el cual los datos están sujetos a las leyes y la jurisdicción legal del país en el que se recopilan, almacenan o controlan. En esencia, plantea dos preguntas: ¿las leyes de qué país rigen los datos, y qué entidades pueden exigir legalmente acceso a ellos?

El problema viene gestándose desde que la computación en la nube hizo irrelevante la ubicación física del servidor para el control de los datos. Cuando un municipio canadiense almacena registros en una plataforma propiedad de una corporación estadounidense, esos registros son accesibles por el gobierno de EE. UU. en virtud del Clarifying Lawful Overseas Use of Data Act (Ley CLOUD), promulgada en 2018. El alcance de la Ley CLOUD va más allá de las empresas con sede en Estados Unidos y llega a cualquier proveedor sujeto a la jurisdicción estadounidense, incluidas empresas extranjeras con operaciones, oficinas o contratos con clientes en EE. UU. Los datos en manos de un proveedor así tienen esa exposición, dondequiera que estén sus servidores.

Durante años, esto se trató como una preocupación legal de nicho. Lo que cambió es el entorno geopolítico. Las tensiones comerciales entre EE. UU. y China, las dudas sobre la fiabilidad de los socios tecnológicos estadounidenses y una oleada de filtraciones de datos de alto perfil llevaron a los gobiernos a tratar la infraestructura digital como la infraestructura física: como algo que debe controlarse a nivel nacional o no controlarse en absoluto.

Europa actuó primero y de manera más decidida. El RGPD de la UE, en vigor desde 2018, estableció el modelo. Desde entonces, la UE ha añadido la Ley de Datos, la Ley de Resiliencia Operativa Digital (DORA) y una serie de regulaciones adicionales. Para 2026, la UE había adoptado formalmente una Declaración por la Soberanía Digital Europea y comprometido decenas de miles de millones en capacidad nacional de nube y semiconductores. El enfoque allí se ha vuelto explícitamente geopolítico: Europa se ve atrapada entre un ecosistema digital americano orientado al mercado y uno chino controlado por el Estado, y ha concluido que la dependencia de cualquiera de los dos es una vulnerabilidad estratégica.

Canadá sigue la misma trayectoria. El primer ministro Mark Carney hizo de la soberanía de datos una prioridad política declarada en noviembre de 2025. Se espera una nueva ley federal de privacidad para el sector privado en 2026. La Ley 25 de Quebec ya impone requisitos comparables al RGPD a nivel provincial, con sanciones de hasta 25 millones de dólares o el 4 % de la facturación mundial. El patrón es claro y se está acelerando globalmente, con Brasil, Singapur y otras jurisdicciones desarrollando marcos comparables.

Por qué importa ahora

La brecha entre residencia de datos y soberanía de datos es el problema práctico central. Una organización puede configurar sus herramientas para almacenar datos en centros de datos canadienses y aun así estar completamente expuesta a procesos legales extranjeros si el proveedor de software cae bajo la jurisdicción de EE. UU. En junio de 2025, un testimonio ante una comisión del Senado francés confirmó que los datos almacenados en Francia pueden seguir al alcance de solicitudes judiciales estadounidenses. Ese testimonio clarificó el problema para los legisladores europeos, y Canadá retomó el mismo debate poco después.

Para los operadores de infraestructuras críticas, como empresas de suministros, municipios y proveedores de telecomunicaciones, las apuestas son especialmente altas. Los datos de activos de campo, la topología de la red eléctrica, los historiales de órdenes de trabajo y los registros de inventario se clasifican cada vez más como infraestructura nacional sensible en los marcos regulatorios emergentes. Un gobierno extranjero puede acceder a esos datos a través de las obligaciones legales de un proveedor de nube. Ese riesgo es estructural, y está en cada relación con un proveedor sujeto a una jurisdicción extranjera.

Más allá de la seguridad nacional, existe una consecuencia inmediata en la contratación pública. Las licitaciones federales y provinciales en Canadá exigen cada vez más una posición documentada sobre soberanía de datos. La carga de cumplimiento se traslada desde los gobiernos hacia sus proveedores de tecnología.

Un enfoque multicapa para los controles de soberanía

La soberanía de datos requiere controles simultáneos a nivel jurisdiccional, arquitectónico, contractual, operativo y de gobernanza. Las siguientes capas representan el estándar de práctica actual.

Capa 1: Arquitectura jurisdiccional

Esta es la base. Utilice proveedores de nube con filiales nacionales legalmente aisladas. Implemente claves de cifrado gestionadas por el cliente. El proveedor entrega entonces datos legibles solo con su participación directa. Mapee cada ruta de datos, incluidas las copias de seguridad, las réplicas de recuperación ante desastres y los canales de acceso de soporte de los proveedores. Los fallos de soberanía ocurren con mayor frecuencia a través de estas rutas secundarias.

Capa 2: Controles de auditoría y evidencia

Los reguladores y los responsables de contratación piden pruebas documentadas. Implemente un registro continuo de dónde residen los datos y quién accedió a ellos. Automatice las alertas cuando los datos crucen una frontera jurisdiccional. Mantenga los registros de auditoría en un formato inmutable. El registro de evidencia queda entonces tal como se escribió. Estos controles sirven tanto para el cumplimiento como para el posicionamiento competitivo en las ventas al sector público.

Capa 3: Gobernanza contractual y de proveedores

Cada herramienta de terceros en su entorno es una posible brecha de soberanía. Exija acuerdos de procesamiento de datos con cláusulas de jurisdicción explícitas. Prohíba las transferencias de datos a subencargados sin consentimiento previo. Exija transparencia en la cadena de suministro que nombre a los proveedores de sus proveedores. Clasifique las cargas de trabajo según su criticidad para la soberanía y aplique controles proporcionales a la sensibilidad de cada una.

Capa 4: Evaluaciones de impacto sobre la privacidad y evaluaciones de transferencia

Esta es la capa de prueba documental y se está volviendo obligatoria en más jurisdicciones. Quebec exige una Evaluación de Impacto de la Transferencia antes de que los datos personales salgan de la provincia, con acuerdos escritos detallados requeridos para todos los proveedores de servicios que procesen esa información. Incorpore plantillas de PIA y TIA en su proceso de contratación e incorporación de proveedores.

Capa 5: Cifrado y gestión soberana de claves

El cifrado en reposo y en tránsito es el punto de partida. El control real reside en quién tiene las claves. Si su organización posee las claves de cifrado, una orden judicial extranjera dirigida a su proveedor de nube no produce nada utilizable. Esto también proporciona resiliencia futura: la computación cuántica eventualmente desafiará los estándares de cifrado actuales, y las organizaciones con prácticas maduras de gestión de claves estarán mejor posicionadas para adaptarse.

Capa 6: Controles de acceso operativo

Un ingeniero de soporte ubicado en un país extranjero que accede a sus datos para solucionar problemas puede generar exposición bajo la Ley CLOUD, incluso si los datos en sí nunca se movieron. Restrinja el acceso operativo y de soporte a jurisdicciones aprobadas. Aplique permisos de duración limitada para cualquier acceso elevado. Registre todos los eventos de acceso con suficiente detalle para reconstruir qué ocurrió y por qué. Esta capa se pasa por alto con frecuencia y es una fuente común de brechas de cumplimiento.

Capa 7: Gobernanza y responsabilidad a nivel de junta directiva

La soberanía es una disciplina continua. Designe un Delegado de Protección de Datos. La Ley 25 de Quebec ya lo exige, y se espera que la ley federal también lo haga. Establezca una función de gobernanza de datos con autoridad real y un ciclo de auditoría regular. Asegúrese de que la junta directiva comprenda sus obligaciones de soberanía. La soberanía integrada en la gobernanza resiste el escrutinio regulatorio.

Resumen

La soberanía de datos significa que los datos están regidos por las leyes de la jurisdicción que los controla, dondequiera que estén físicamente almacenados.
La Ley CLOUD puede alcanzar a cualquier proveedor sujeto a la jurisdicción de EE. UU., incluidas empresas extranjeras con operaciones o contratos en ese país.
Europa y Canadá están acelerando en 2026 sus marcos de datos soberanos, impulsados por la presión geopolítica y el riesgo para las infraestructuras críticas.
La Ley 25 de Quebec ya está aplicando requisitos de nivel soberano a nivel provincial, con legislación federal que se espera que siga.
La distinción entre residencia y soberanía es el concepto más importante a interiorizar: dónde están almacenados los datos y qué leyes los rigen son dos preguntas diferentes.
Los controles efectivos abarcan siete capas: arquitectura jurisdiccional, registros de auditoría, contratos con proveedores, evaluaciones de impacto sobre la privacidad, cifrado y gestión de claves, restricciones de acceso operativo y gobernanza a nivel de junta directiva.
Los fallos de soberanía ocurren con mayor frecuencia a través de rutas secundarias como copias de seguridad y accesos de soporte.
Las respuestas escritas sobre soberanía tienen peso en la contratación pública.