Actualidad

Soberanía de los datos: por qué importa dónde están

Dónde se alojan los datos decide qué ley se aplica y quién puede acceder a ellos. Criterios para pymes de Andorra y Cataluña con el RGPD y la Llei 29/2021.

Publicado el Por BDR Group11 min de lectura

El lugar donde se alojan los datos de una empresa determina qué ley se les aplica, quién puede obligar al proveedor a entregarlos y cómo se recuperan si el servicio falla. Para una pyme de Andorra o de Cataluña, conocerlo es parte de cumplir la normativa de protección de datos y de no depender de un solo proveedor sin saberlo.

Qué significa soberanía de los datos para una pyme

Hablar de soberanía de los datos es contestar con nombres concretos a tres preguntas: en qué país están físicamente, a qué jurisdicción está sometida la empresa que los custodia y quién puede acceder a ellos técnicamente. Muchos contratos solo resuelven la primera.

La segunda es la que más se olvida. La ley estadounidense obliga a los proveedores de comunicaciones electrónicas y de computación remota a conservar o entregar, si reciben un requerimiento amparado en ella, los datos bajo su posesión, custodia o control, estén dentro o fuera del país (título 18 del Código de Estados Unidos, sección 2713, de 2018). Un servidor en Fráncfort de una empresa estadounidense sigue dependiendo, en ese punto, de una ley estadounidense.

Eso no hace ilegal trabajar con un proveedor estadounidense, pero la ubicación del servidor no explica, por sí sola, quién puede llegar a la información.

Andorra: fuera de la UE, con un nivel de protección reconocido

Andorra no está en la UE, pero la Comisión Europea decidió el 19 de octubre de 2010 que garantiza un nivel adecuado de protección de los datos personales transferidos desde la Unión (Decisión 2010/625/UE). El RGPD mantiene en vigor esas decisiones mientras la Comisión no las modifique (artículo 45.9) y, a 25 de octubre de 2026, Andorra sigue en la lista de países con decisión de adecuación. Una transferencia basada en esa decisión no requiere ninguna autorización específica (artículo 45.1).

La decisión se ha revisado: el 15 de enero de 2024 la Comisión concluyó, en la primera revisión de las once decisiones anteriores al RGPD, que Andorra sigue ofreciendo un nivel adecuado, y destacó que la Llei 29/2021 está muy alineada con el RGPD.

Desde Andorra, la norma de referencia es la Llei 29/2021, de 28 de octubre, cualificada de protección de datos personales (BOPA núm. 119, de 17 de noviembre de 2021). Prohíbe las comunicaciones internacionales de datos hacia países sin un nivel de protección equivalente (artículo 42), que determinan la lista de la Unión Europea o la adhesión efectiva al Convenio 108+ del Consejo de Europa; las transferencias a Estados miembros de la UE están previstas expresamente (artículo 43). En el resto de casos hacen falta garantías adecuadas (artículo 44).

Enviar datos de clientes a un servicio alojado en un país que no es de la UE ni tiene decisión de adecuación es, para una empresa andorrana, una transferencia internacional que debe poder justificarse. Y si ofrece bienes o servicios a residentes en la Unión, el RGPD también le puede resultar aplicable (artículo 3.2).

En Cataluña y el resto de España, el RGPD pone condiciones al proveedor

Para una empresa de Barcelona, Girona o Zaragoza, el marco es el Reglamento (UE) 2016/679. Quien contrata un servicio que trata datos personales por su cuenta debe elegir un encargado con garantías suficientes y regular la relación mediante contrato (artículo 28). El contrato debe fijar que el proveedor solo trata los datos según instrucciones documentadas, también sobre transferencias a terceros países, y que los suprime o devuelve al terminar. Tampoco puede subcontratar a otro encargado sin autorización previa por escrito.

Es frecuente que una asesoría o una clínica haya ido sumando herramientas en línea (correo, almacenamiento, CRM, firma) sin revisar ninguno de sus contratos, y que nadie sepa decir dónde están los datos.

Cómo hacer el inventario de datos y proveedores

Una hoja de cálculo basta para empezar. El RGPD (artículo 30) y la Llei 29/2021 (artículo 34) regulan el registro de actividades de tratamiento, con excepciones según la organización y el tratamiento; aunque no te obliguen, es el punto de partida natural.

Para cada sistema que guarda datos (correo, ERP, CRM, ficheros, contabilidad, firma, copias) anota:

  • Quién lo usa y qué datos contiene: de clientes, de empleados, de salud, financieros, sujetos a secreto profesional.
  • Qué proveedor lo presta, en qué país está establecido y a qué grupo pertenece.
  • En qué país están los datos y las copias, y qué subencargados intervienen.
  • Quién custodia las claves de cifrado.
  • Qué contrato de encargado existe y cuándo se revisó.
  • Cómo se exportan los datos y si la exportación se ha probado alguna vez.

Qué cambia según el tipo de dato

La soberanía no pesa igual para todos los datos, y conviene decidirlo por categorías.

Tipo de datoQué dice la normaConsecuencia práctica
Contacto de clientesContrato de encargado y seguridad adecuada al riesgo (RGPD arts. 28 y 32; Llei 29/2021 arts. 31 y 35)Contrato, subencargados y copias son el mínimo
SaludTratamiento prohibido con excepciones (RGPD art. 9; Llei 29/2021 art. 9); evaluación de impacto si es a gran escala (RGPD art. 35.3.b; Llei 29/2021 art. 32.3.b)Pesan más la ubicación, los accesos y la salida del proveedor
Financieros de clientesNo son categoría especial (art. 9), pero se exige seguridad adecuada al riesgo (art. 32)Cifrado, copias probadas y control de accesos
Sujetos a secreto profesionalLa Llei 48/2014 lo define como deber del abogado y derecho del cliente (art. 13)El despacho responde de él; elegir proveedor forma parte de esa responsabilidad

Banca y despachos en Andorra

Las entidades operativas del sistema financiero andorrano tienen una regla de externalización en la Llei 7/2024, de 27 de mayo (artículo 8). Para externalizar funciones operativas relevantes, incluidos los sistemas informáticos, deben informar a la Autoridad Financiera Andorrana (AFA) y obtener su autorización previa, tras analizar el proveedor, los riesgos y las cláusulas del contrato. La externalización no libera a la alta dirección ni altera las obligaciones frente a los clientes, y la entidad sigue siendo plenamente responsable del proveedor.

Una entidad financiera catalana o española tiene el Reglamento (UE) 2022/2554 (DORA), aplicable desde el 17 de enero de 2025: los contratos con proveedores TIC deben indicar los países donde se prestan los servicios y se tratan los datos, incluido el almacenamiento, y garantizar su recuperación si el proveedor quiebra o termina el contrato (artículo 30.2).

Para los despachos, la Llei 48/2014, de 18 de diciembre, solo permite levantar el secreto profesional en los casos previstos por la ley, con autorización expresa del cliente o, excepcionalmente, por decisión motivada de la Junta de Gobierno del Colegio de Abogados. La ley no habla de nubes. Nuestra lectura es que un despacho que guarda los expedientes en un servicio externo debe poder justificar dónde están y quién accede a ellos.

Preguntas que hay que hacer al proveedor

Antes de firmar o renovar, pide por escrito:

  1. ¿A qué legislación está sometida la empresa, incluidas matrices y filiales?
  2. ¿En qué países se tratan y almacenan los datos y las copias, y cómo se avisa de un cambio?
  3. ¿Qué subencargados intervienen y cómo puedes oponerte a un cambio (RGPD, artículo 28)?
  4. ¿Quién custodia las claves de cifrado? ¿Pueden usarse claves propias?
  5. ¿Qué hace si recibe un requerimiento de una autoridad de un tercer país? El Reglamento (UE) 2023/2854 (Reglamento de Datos), aplicable desde el 12 de septiembre de 2025, obliga a los proveedores de servicios de tratamiento de datos a evitar el acceso y la transferencia ilegítimos de datos no personales situados en la Unión (artículo 32).
  6. ¿Cómo se sale? El mismo reglamento exige un contrato con preaviso máximo de dos meses, transición de hasta treinta días y al menos treinta días para extraer los datos (artículo 25); desde el 12 de enero de 2027 no podrán cobrarse costes por el cambio (artículo 29).
  7. ¿Dónde están las copias y cuándo se probó la última restauración?
  8. ¿En cuánto tiempo te avisa de un incidente? El responsable dispone de setenta y dos horas para notificarlo si afecta a datos personales (RGPD, artículo 33; Llei 29/2021, artículo 36).

La ubicación no lo resuelve todo: copias, claves y salida

Nuestra posición es que la soberanía se comprueba en tres momentos. El día a día: dónde están los datos y bajo qué ley. El incidente: si las copias están en el mismo proveedor y en la misma cuenta que los originales, un error o un acceso indebido puede afectar a ambos. La salida: poder recuperar la información en un formato útil y en un plazo razonable si se cambia de proveedor.

Un hotel de Andorra con las reservas en una plataforma extranjera, las copias en esa misma plataforma y ninguna exportación probada depende por completo de un tercero, y eso no figura en ninguna cláusula. Tener los datos cerca ayuda, pero no sustituye a una copia separada y comprobada. Y si las claves de cifrado las guarda el proveedor que aloja los datos, protegen poco frente a un requerimiento dirigido a él.

Dónde tenemos interés, y dónde no

Lo decimos: en BDR Group ofrecemos servicios cloud gestionados de la mano de Andorra Cloud, con datacenter propio en Andorra y equipo técnico en el Principado, así que tenemos interés en este debate. Eso no convierte el alojamiento local en la respuesta para todo: hay cargas que funcionan bien en una nube pública y un entorno híbrido suele ser la opción más razonable. El criterio debería ser el tipo de dato y el riesgo de perder su control, no el importe de la primera factura.

Qué hacer ahora

  1. Haz el inventario de los sistemas con datos personales o críticos, con el país de los datos y el de cada proveedor.
  2. Clasifica los datos por sensibilidad y decide dónde va cada grupo, en lugar de una sola decisión para toda la empresa.
  3. Revisa los contratos de encargado: instrucciones, subencargados, transferencias y qué ocurre con los datos al terminar el servicio.
  4. Identifica las transferencias fuera de la UE (o fuera de Andorra y de la UE, si tu empresa es andorrana) y la base legal que las ampara.
  5. Comprueba que las copias están fuera del sistema principal y haz una prueba de recuperación real.

Preguntas frecuentes

Si mi proveedor tiene los servidores en la UE, ¿es suficiente?

No siempre. Si la empresa proveedora está sometida a la ley de otro país, como la estadounidense citada, esa ley también puede tener efectos. Hay que revisar el contrato y la jurisdicción.

¿Puede una empresa española alojar datos personales en Andorra?

Sí. La Comisión Europea considera que Andorra garantiza un nivel adecuado de protección, y una transferencia basada en una decisión de adecuación no requiere autorización específica. El contrato de encargado del tratamiento sigue siendo obligatorio.

¿Puede una empresa andorrana usar una nube de un país de la UE?

Sí, la Llei 29/2021 contempla las transferencias a Estados miembros de la UE. Hay que revisar los servicios que, aunque se contraten en Europa, envían datos a terceros países.

Fuentes

¿Quieres saber dónde están los datos de tu empresa?

Si quieres revisar dónde se aloja tu información y qué opciones tienes en Andorra, empieza por la ficha del servicio: Cloud empresarial gestionado en Andorra

Volver a Actualidad

Actualidad

Artículos relacionados