¿Qué es la residencia de datos?

La residencia de los datos es la ubicación geográfica o física de los datos. Puede identificarse por el país o región que alberga los centros de datos, servidores u otra infraestructura que procesa y almacena datos.

Planificar y rastrear la residencia de los datos es una tarea importante que ayuda a garantizar el cumplimiento de las leyes de seguridad de datos y protección de datos en evolución en todo el mundo. Dado que las leyes de protección de datos suelen variar según la jurisdicción, la ubicación geográfica de los activos de datos de una organización puede determinar qué requisitos legales se aplican.

Los requisitos legales van desde reglas sobre la obtención del consentimiento para la recopilación de datos hasta límites de tiempo para el almacenamiento de datos. Además, algunos países tienen requisitos de residencia de datos para las organizaciones que operan dentro de sus fronteras: exigen la localización de datos: que los datos residan en una ubicación específica, con transferencias de datos limitadas o nulas permitidas.

Las empresas recurren cada vez más a soluciones de software para determinar y rastrear la residencia de los datos y ayudar a garantizar el cumplimiento de la normativa. Estas soluciones monitorizan los flujos de datos entre diferentes ubicaciones, incluso a través de las fronteras nacionales, para garantizar que los datos no infrinjan los requisitos normativos en sus distintos destinos.

Para comprender la importancia de la residencia de datos hoy en día, es útil revisar la evolución tanto del almacenamiento de datos como de la protección de datos en todo el mundo.

A principios de los años 2000, la infraestructura moderna en la nube y los proveedores de servicios en la nube transformaron el panorama de gestión de datos y procesamiento de datos. El acceso bajo demanda a servidores remotos significaba que las empresas ya no estaban limitadas a la potencia informática y el almacenamiento disponibles en las instalaciones. En su lugar, las empresas podrían beneficiarse de los centros de datos en diferentes países operados por proveedores de servicios en la nube como Amazon Web Services (AWS), Microsoft Azure y Google Cloud.

Esta infraestructura basada en la nube ofrece escalabilidad y flexibilidad rápidas, así como menor latencia para casos de uso como el edge computing (donde los recursos informáticos deben estar localizados cerca del lugar de creación de datos). A medida que más empresas incorporen cargas de trabajo de IA, el uso de los centros de datos no hará sino crecer, y se prevé que la demanda de capacidad de los centros de datos casi se triplique para 2030, según una investigación de McKinsey de 2025.¹

A medida que los avances tecnológicos permitieron a las empresas recopilar, procesar y almacenar más datos de clientes, los gobiernos comenzaron a elaborar leyes de protección de datos para proteger a los consumidores. La Unión Europea lideró la normativa en la recogida y protección de datos, con la Directiva de Protección de Datos de 1995 y posteriormente el histórico Reglamento General de Protección de Datos (RGPD), que entró en vigor en 2018. El RGPD establece requisitos sobre cómo las organizaciones protegen los datos personales y establece los derechos de los residentes de la UE, también conocidos como "interesados", sobre la recopilación, el uso y la posesión de datos personales.

Los países fuera de la UE, como Australia, Brasil, Canadá, China, India, Japón, Sudáfrica y los Emiratos Árabes Unidos, finalmente promulgaron sus propias protecciones de datos. Hoy en día, casi el 80 % de los países cuentan con leyes de protección y protección de datos.²

En muchos casos, los esfuerzos de protección de datos de los legisladores también incluyeron leyes de localización de datos, medidas que dificultan que las organizaciones transfieran datos fuera de una región específica y les exigen mantener la residencia de datos en esa región. Además de las preocupaciones relativas a los derechos de privacidad, los defensores de la localización de datos citaron preocupaciones sobre seguridad y ciberseguridad: los datos sensibles almacenados fuera de su país de origen podrían ser más difíciles de acceder para las agencias de seguridad de ese país, a la vez que podrían ser vulnerables a la vigilancia extranjera y a las vulneraciones de datos por parte de organizaciones delictivas internacionales.

Los requisitos de localización van desde la prohibición total de las transferencias transfronterizas de datos personales (como en Rusia) hasta los límites de las transferencias de ciertos tipos de datos, como los datos sanitarios (como en Australia).³ Según McKinsey, tres cuartas partes de los países han implementado normas de localización de datos.⁴

La convergencia de estas tendencias (el auge del cloud computing y el desarrollo de la legislación sobre privacidad de datos y localización en distintos países) hizo que resultara crítico para las empresas saber exactamente dónde se encuentran sus datos en todo momento. Hoy en día, las organizaciones tienen la tarea de determinar si sus ecosistemas de datos en crecimiento, distribuidos entre centros de datos de todo el mundo, cumplen con los requisitos de cumplimiento en las jurisdicciones correspondientes. Y determinar qué leyes se aplican a qué activos de datos significa determinar y rastrear la residencia de los datos regulados.

La residencia de datos y la soberanía de datos son términos distintos pero estrechamente relacionados. Mientras que la residencia de datos se refiere a la ubicación específica de los datos, la soberanía de los datos es el principio que establece que las naciones tienen autoridad legal y regulatoria sobre los datos generados o procesados dentro de sus fronteras. En esencia, la residencia de los datos es un concepto geográfico, mientras que la soberanía de los datos es legal.

La residencia de los datos suele ser clave para determinar en qué país se aplican las leyes de soberanía de datos y, según el flujo de datos, tanto la residencia como la soberanía de los datos pueden extenderse a más de un país.

Por ejemplo, una empresa con sede en EE. UU. debe cumplir con los requisitos del RGPD si se dedica a la recopilación y almacenamiento de datos dentro de un estado miembro de la UE. Porque en este escenario, los datos tendrían residencia en ese estado, lo que significa que la UE tendría soberanía de datos. Si esa empresa transfiere los datos para que los procese una aplicación SaaS en Canadá, los datos también tendrían residencia en ese país. Esto, a su vez, extendería la soberanía de los datos a Canadá y probablemente requeriría el cumplimiento de su Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA).

El panorama mundial de leyes y normativas relacionadas con la residencia y la localización de datos es complejo y en evolución, con algunas normas más restrictivas que otras. Los investigadores de McKinsey clasifican las medidas de localización en cuatro categorías.⁵

• Mandatos que requieren que los datos se almacenen y procesen en una región geográfica específica, lo que en última instancia requiere que las empresas construyan o utilicen infraestructura local en esas jurisdicciones.
  
  
• Normas que permiten la replicación de los datos fuera de su región geográfica original, mientras exigen que una copia permanezca en la región original.
  
  
• Regulaciones que requieren que las organizaciones obtengan el consentimiento de las personas para transferir datos personales fuera de su jurisdicción original.
  
  
• Regulaciones que permiten transferencias de datos fuera de la jurisdicción pero exigen que se implementen medidas para proteger la protección de datos.

Las diferentes jurisdicciones pueden incluir requisitos diferentes, y algunos se aplican solo a ciertos tipos de datos confidenciales.

Las empresas corren el riesgo de enfrentarse a una serie de consecuencias si no logran rastrear ni gestionar la residencia de datos en sus almacenes.

Las empresas, especialmente aquellas en sectores regulados con flujos de datos transfronterizos, están utilizando software para rastrear la residencia de datos y garantizar el cumplimiento normativo en diferentes jurisdicciones. El tipo más común de solución es la gestión de la posición de seguridad de datos (DSPM).

Las plataformas DSPM localizan datos y rastrean los flujos de datos a través de recursos en local y en la nube. Pueden encontrar y clasificar datos confidenciales e identificar riesgos de incumplimiento de los marcos normativos aplicables. En otras palabras, una DSPM puede alertar a las organizaciones cuando los datos almacenados o procesados en un determinado país no se manejan de acuerdo con las leyes de ese país.

Muchas soluciones DSPM también proporcionan instrucciones de corrección paso a paso para resolver riesgos potenciales, permitiendo a las empresas abordar problemas de residencia de datos y soberanía antes de que se conviertan en problemas costosos.