Almacenar datos en Europa no es lo mismo que controlarlos
La soberanía de los datos se trata a menudo como una cuestión de geografía. En la práctica, tiene tanto que ver con el alcance jurídico como con el control operativo.
Eurojust, la agencia de la UE que apoya la cooperación judicial en materia penal, ha explicado que la Ley CLOUD estadounidense explicitó que se puede exigir a los proveedores de servicios estadounidenses que conserven y presenten los datos que controlan, independientemente de dónde estén almacenados.
En lenguaje llano: El alojamiento en la UE no elimina automáticamente la exposición legal estadounidense cuando el proveedor sigue sujeto a la jurisdicción estadounidense.
Para las organizaciones que manejan vídeo corporal, esa distinción es importante. Estos sistemas suelen procesar grabaciones delicadas, implican incidentes de cara al público y se sitúan en entornos en los que la responsabilidad y la cadena de custodia son importantes.
El riesgo se agrava cuando
- el proveedor está sujeto a la jurisdicción de EE.UU. por propiedad, control o nexo operativo
- apoyo o administración pueden acceder a los datos desde fuera del EEE (Espacio Económico Europeo)
- los subprocesadores se encuentran en terceros países, o los servicios clave dependen de entidades de fuera del EEE
La sentencia Schrems II del TJUE subrayó por qué esto es importante. La legislación de la UE exige una protección esencialmente equivalente cuando los datos personales están expuestos al acceso de autoridades públicas de terceros países.
Dónde empieza la tensión: El acceso legal estadounidense frente a las normas de protección de datos de la UE
El GDPR no es el origen del problema. El verdadero problema es que la legislación estadounidense puede obligar a determinados proveedores a revelar datos bajo su control, mientras que la ley de protección de datos de la UE establece límites estrictos sobre cuándo se pueden revelar o transferir datos personales.
Esto crea una tensión directa para las organizaciones que manejan vídeo corporal sensible. Aunque los datos se almacenen en la UE, la exposición a un proveedor bajo jurisdicción estadounidense puede plantear cuestiones de soberanía y cumplimiento.
El Consejo Europeo de Protección de Datos ha aclarado que una orden de un gobierno extranjero no crea automáticamente una base legal conforme al RGPD para la divulgación o transferencia. En otras palabras, recibir una orden no es lo mismo que estar autorizado a cumplirla en virtud de la legislación de la UE.
Para los equipos jurídicos y los responsables de adquisiciones, eso significa que la evaluación de los proveedores debe ir más allá de la mera ubicación del almacenamiento.
Una lista de control para Asuntos Jurídicos y contratación
Al evaluar a un proveedor, las preguntas clave son sencillas:
- ¿Quién es la contraparte legal y qué jurisdicción la rige?
- ¿Quién puede acceder técnicamente a los datos, incluido el soporte y la respuesta a incidentes?
- ¿Cuál es el proceso documentado para las solicitudes de terceros países, incluida la impugnación, la notificación y el informe de transparencia?
- ¿Quién controla las claves de encriptación y puede acceder a ellas el proveedor?
Las Recomendaciones 01/2020 del EDPB también explican por qué pueden ser necesarias medidas complementarias, como un cifrado fuerte y controles organizativos, cuando las herramientas de transferencia por sí solas no proporcionan una protección equivalente a la de la UE.
Qué significa esto en la práctica
Para muchas organizaciones, la lección práctica es sencilla: El almacenamiento de datos en la UE por sí solo no es suficiente. Si los datos de vídeo sensibles pueden seguir llegando a través de la jurisdicción estadounidense, entonces la evaluación real tiene que incluir la estructura del proveedor, el acceso operativo, los subprocesadores y la gobernanza.
Esto es especialmente relevante para la policía, los cuerpos de seguridad, la inspección y otros contextos del sector público en los que las grabaciones pueden contener datos personales, pruebas o material legalmente sensible.
Dónde encaja ZEPCAM
Para las organizaciones que deseen reducir la exposición potencial a la jurisdicción estadounidense, una mitigación más estructural es elegir un proveedor de vídeo corporal cuya propiedad, modelo de alojamiento y configuración operativa estén diseñados para minimizar esa exposición en la medida de lo posible.
ZEPCAM es un proveedor europeo de vídeo corporal con sede en Holanda, con una base legal y operativa holandesa. Ofrece opciones de despliegue que pueden respaldar un mayor control local sobre los datos de vídeo sensibles, incluido el alojamiento gestionado por ZEPCAM en determinadas jurisdicciones y la infraestructura controlada por el cliente cuando proceda. e instalación in situ.
ZEPCAM también destaca las certificaciones reconocidas de seguridad de la información, seguridad en la nube y controles de privacidad, incluidas ISO 27001, ISO 27017 e ISO 27018, cuando son aplicables dentro de su modelo de servicio.
Esto no elimina todas las obligaciones de cumplimiento, pero puede ayudar a las organizaciones a reducir la exposición legal y operativa en comparación con los modelos de proveedores que siguen más estrechamente vinculados a la jurisdicción de fuera de la UE.
Reflexión final
Si el vídeo corporal forma parte de tu flujo de trabajo operativo o legal, la pregunta correcta no es sólo dónde se almacenan los datos. La pregunta más importante es quién puede ser obligado en última instancia a acceder a ellos.
Ahí es donde la diferencia entre almacenamiento y soberanía se hace muy real.