Cloud Act, FISA y soberanía de los datos

El empleado no tiene que juzgar cuál es el derecho aplicable: su papel es no eludir las herramientas elegidas por la empresa. Un servicio en la nube personal o gratuito, usado para un documento de trabajo, queda fuera de la elección de proveedor, de la clasificación de los datos y del contrato que la dirección haya podido negociar.

El CERT-FR recuerda también que, en la nube, los clientes de los servicios tienen responsabilidades importantes en la gestión de los datos y de las identidades¹. Un empleado que comparte un archivo o sube un documento actúa sobre datos de la empresa.

De ahí se derivan dos hábitos: usar las herramientas proporcionadas o validadas y comunicar al departamento de informática cualquier uso de la nube que no haya sido validado; consultar antes de subir grandes bases de datos de salud, de infracciones o de menores, que la CNIL incluye entre los datos sensibles⁵.

La elección del proveedor de alojamiento pasa a ser una decisión jurídica tanto como técnica. El CERT-FR escribe que es indispensable evaluar estos riesgos caso por caso¹.

Para los tratamientos más sensibles, la CNIL recomienda recurrir a un proveedor sometido exclusivamente al derecho europeo y que ofrezca el nivel de protección adecuado⁵. El CERT-FR señala un segundo riesgo. Un servicio prestado por un proveedor extranjero puede estar sujeto a restricciones a la exportación o a sanciones, que pueden cambiar con el tiempo, lo que afecta a la disponibilidad de los datos y de las aplicaciones¹.

El capítulo V del RGPD regula las transferencias de datos personales a países terceros. El artículo 44 establece el principio: una transferencia solo se realiza si se cumplen las condiciones del capítulo, de modo que no se menoscabe el nivel de protección que garantiza el reglamento³.

El capítulo prevé varias vías. La decisión de adecuación de la Comisión no requiere autorización específica (artículo 45)³. A falta de ella, son posibles garantías adecuadas: normas corporativas vinculantes o cláusulas tipo de protección de datos, entre otras (artículo 46)³. Existen excepciones para situaciones particulares, como el consentimiento explícito de la persona interesada (artículo 49)³.

El artículo 48 trata el caso concreto de un requerimiento extranjero: una decisión de un órgano jurisdiccional o de una autoridad administrativa de un país tercero que exija una transferencia o una divulgación de datos solo puede reconocerse o declararse ejecutiva si se basa en un acuerdo internacional, como un tratado de asistencia judicial mutua³.

En el lado estadounidense, la Comisión explica que la adecuación siguió a una orden ejecutiva presidencial del 7 de octubre y a un reglamento del fiscal general de Estados Unidos. Estos textos introdujeron garantías vinculantes para responder a la sentencia Schrems II del Tribunal de Justicia de la Unión Europea de julio de 2020: acceso de las agencias de inteligencia limitado a lo necesario y proporcionado, y un mecanismo de recurso independiente para las reclamaciones de los europeos⁴. Estas garantías se aplican a todas las transferencias hacia empresas estadounidenses, sea cual sea el instrumento de transferencia utilizado⁴.

En el lado francés, la versión 3.2 del referencial SecNumCloud de la ANSSI incorpora requisitos de protección frente a la aplicación de estas leyes extraterritoriales¹. La CNIL precisa que esta certificación permite una protección contra los accesos de autoridades extranjeras⁵.

La decisión de adecuación sobre el Data Privacy Framework está adoptada y vale para las empresas estadounidenses participantes⁴. El RGPD prevé un examen periódico de una decisión de adecuación al menos cada cuatro años, y la Comisión puede derogarla, modificarla o suspenderla si el nivel de protección deja de ser adecuado³.

La certificación europea EUCS seguía siendo un proyecto en julio de 2024. En esa fecha, la CNIL señalaba que el proyecto dirigido por la ENISA ya no permitía asegurar que el proveedor de alojamiento no está sujeto a una legislación extraeuropea, ni siquiera en los niveles más altos ni con carácter opcional⁵. Pedía reintroducir criterios de inmunidad frente a las leyes extraeuropeas, inspirados en SecNumCloud⁵. Esta cuestión debía volver a debatirse en cuanto se constituyera la nueva Comisión Europea⁵. En Francia, la ley del 21 de mayo citada por la CNIL, conocida como ley SREN, prevé que, para datos de una sensibilidad particular para el Estado, el servicio en la nube debe aplicar criterios de seguridad y de protección de datos que impidan todo acceso de autoridades públicas de Estados terceros no autorizado por el derecho de la Unión o de un Estado miembro⁵. La doctrina « Cloud au centre » pide, por su parte, a las autoridades públicas que se aseguren de que los datos « d'une sensibilité particulière » alojados en la nube no estén sometidos a leyes extraeuropeas⁵.