Un servicio en la nube en el extranjero también es una transferencia de datos

Al elegir la infraestructura de un software, dónde está el servidor suele discutirse en términos de precio y velocidad. Esta elección también tiene una parte de transferencia de datos, y no es fácil cambiarla después.

Si se pregunta a una organización si transfiere datos al extranjero, la respuesta suele ser que no. Si a continuación se pregunta qué servicios utiliza, aparece una lista: alojamiento en la nube, correo electrónico, software de atención al cliente, una herramienta de análisis, un proveedor de pagos, un servicio de copias de seguridad.

La mayoría de los servicios de esa lista no tienen sus servidores en Türkiye. Es decir, la respuesta real era sí, y la organización no lo sabía.

Este malentendido viene de la propia palabra "transferencia", que sugiere un acto deliberado: coger un archivo y enviarlo. Pero mantener datos en un sistema en el extranjero, o hacer que se procesen allí, también es una transferencia. No hace falta buscar un acto de envío por separado.

Ver dónde empieza realmente una transferencia

El artículo 9 de la Ley turca 6698 regula las transferencias al extranjero. La dificultad en la práctica no está en la norma en sí, sino en determinar cuándo se ha producido realmente una transferencia.

Las tres situaciones siguientes dan lugar a una transferencia: que los datos estén alojados en un servidor en el extranjero; que un equipo en el extranjero pueda acceder al sistema con fines de soporte; y que los datos se procesen en el extranjero y el resultado se devuelva. La tercera es la que más se pasa por alto. Si utiliza un servicio de análisis de texto y ese servicio está en el extranjero, el texto que envía se procesa allí. Que le devuelvan el resultado no significa que no haya habido transferencia.

Nuestro propio sitio tiene exactamente esta característica. El campo de texto libre de la página de inicio envía el texto introducido a un proveedor en el extranjero para su análisis. Por eso nuestro aviso de protección de datos dedica un apartado a esto, y un visitante puede recorrer el resto del sitio entero sin usar nunca ese campo. Que no se produzca ninguna transferencia cuando la función no se usa fue una decisión de diseño tanto como la propia función.

La columna que falta en el inventario

La mayoría de los inventarios de datos recogen la categoría, la finalidad y el plazo de conservación. La columna que falta es esta: ¿en qué país se encuentran físicamente estos datos?

Al añadir esa columna, el panorama cambia. Parte de los datos que la organización creía guardar en su propio centro de datos resultan estar en el extranjero. Las copias de seguridad son lo que más se pasa por alto, porque el servicio de copias de seguridad suele contratarse a un proveedor aparte y nadie comprueba dónde está.

Al elaborar el inventario hay que preguntar directamente al proveedor. Si el contrato incluye un compromiso sobre la residencia de los datos, hay que obtenerlo por escrito. Si no lo incluye, el proveedor puede cambiar esa disposición unilateralmente sin que usted se entere.

La cadena de subencargados

La segunda capa es aún menos visible. El proveedor que usted utiliza puede depender a su vez de otros proveedores para su propia infraestructura.

Usa un programa de atención al cliente; ese programa funciona sobre un proveedor de nube; ese proveedor usa otro servicio distinto para la búsqueda; y se conecta a un tercero para enviar notificaciones. Sus datos circulan por toda esa cadena.

No es posible controlar esa cadena por completo, pero sí hacerla visible. El contrato debe exigir que se notifique el uso de subencargados y dar derecho a oponerse a un cambio. La mayoría de los proveedores empresariales ya ofrecen esto, solo hay que pedirlo.

Qué hacer

El primer paso es elaborar un inventario de servicios: el nombre de cada servicio externo utilizado, para qué se usa, a qué categorías de datos personales puede acceder y dónde están sus servidores.

Una vez hecha esa tabla, hay tres opciones: sustituir el servicio por una alternativa alojada en Türkiye, trasladarlo a la región turca del proveedor si la tiene, o dar a la transferencia una base jurídica adecuada mediante uno de los mecanismos que prevé la ley.

Las tres tienen un coste, y la elección correcta depende de la naturaleza del trabajo. Pero no elegir ninguna, es decir, no haberse dado cuenta de la situación, es la opción más cara, porque además significa que su aviso de protección de datos está dando información inexacta, y una sola omisión acaba incumpliendo dos obligaciones a la vez.

La normativa en esta materia sigue evolucionando, y las resoluciones del Consejo redibujan el marco de vez en cuando. Conviene revisar la situación actual antes de elegir un mecanismo de transferencia.