Durante demasiado tiempo, la protección de los datos en Europa se ha reducido a una cuestión aparentemente sencilla: si la información está alojada en un centro de datos situado en territorio europeo, se presupone que está protegida frente a injerencias externas. Sin embargo, esa visión ya no responde a la realidad tecnológica, jurídica y geopolítica en la que operan las organizaciones.
La soberanía digital no depende únicamente de dónde están los servidores. También importa quién posee, administra y opera la infraestructura; qué legislación resulta aplicable al proveedor y a su cadena de suministro; quién puede acceder a la información y qué garantías existen sobre su tratamiento. La ubicación sigue siendo relevante, pero la jurisdicción y el control efectivo son, como mínimo, igual de importantes.
Las decisiones Schrems del Tribunal de Justicia de la Unión Europea, en 2015 y 2020, marcaron un punto de inflexión al poner de manifiesto que la protección de los datos europeos transferidos a Estados Unidos no puede basarse únicamente en declaraciones genéricas de cumplimiento. El hecho de que una compañía opere en Europa tampoco elimina necesariamente los efectos de una legislación extranjera. En este debate aparecen, entre otras, normas como el Cloud Act o determinadas disposiciones de la Foreign Intelligence Surveillance Act (FISA), que pueden afectar a compañías sujetas a jurisdicción estadounidense y, bajo determinadas condiciones, permitir requerimientos de acceso a información.
Esto no significa adoptar una visión alarmista del Cloud ni cuestionar el valor de los grandes proveedores tecnológicos internacionales. La nube seguirá siendo una herramienta esencial para acelerar la digitalización, ganar flexibilidad y operar a escala. El riesgo aparece cuando confundimos comodidad con control o cumplimiento formal con soberanía efectiva.
Por eso, las empresas españolas y europeas deben ampliar sus criterios de compra y gestión del riesgo tecnológico. No basta con saber dónde se almacenan los datos. Es necesario conocer quién los procesa, quién controla la infraestructura, dónde se encuentran los equipos que administran el servicio, qué subcontratistas intervienen, qué medidas de cifrado y control de acceso se aplican y, especialmente, qué jurisdicciones pueden afectar al proveedor y a su cadena de suministro.
La soberanía digital tampoco significa aislamiento. No consiste en levantar una frontera tecnológica ni en renunciar a la cooperación internacional, sino en conservar capacidad de decisión: poder elegir, cambiar, auditar y proteger los servicios esenciales sin depender de forma desproporcionada de una única empresa, región o jurisdicción. También implica reducir los puntos únicos de fallo y disponer de alternativas cuando cambian las condiciones políticas, económicas o regulatorias.
La relevancia de esta cuestión ha aumentado con las actuales tensiones geopolíticas, las interrupciones de las cadenas de suministro y el crecimiento de los ciberataques. La infraestructura digital se ha convertido en un activo estratégico. Una interrupción, alteración o exposición de los datos puede comprometer la continuidad de negocio, la reputación y la competitividad y, en determinados sectores, incluso afectar a la seguridad nacional.
Por ello, la soberanía debe abordarse desde una perspectiva más amplia que la mera protección de los datos personales. También engloba la propiedad intelectual, la resiliencia de las comunicaciones, la autonomía operativa y el control de los costes. Una dependencia excesiva de un único proveedor puede dejar a una organización sin margen de maniobra ante una subida de precios, un cambio contractual, una interrupción del servicio o una modificación regulatoria. Muchas veces, esa dependencia solo se hace visible cuando ya se ha convertido en un problema.
Las nuevas regulaciones europeas refuerzan esta necesidad. NIS2, DORA y el Cyber Resilience Act elevan las exigencias en gestión de riesgos, seguridad de la cadena de suministro, notificación de incidentes, continuidad y protección de productos digitales. Su cumplimiento exige gobernanza, inversión, auditorías y, sobre todo, capacidad para demostrar que los controles funcionan. Al mismo tiempo, representan una oportunidad para elevar el estándar de seguridad y confianza del mercado.
Las organizaciones capaces de demostrar de forma transparente cómo protegen la información, dónde procesan los datos, qué dependencias tecnológicas mantienen y cómo garantizan la continuidad estarán mejor posicionadas. En sectores regulados o especialmente sensibles, afirmar que un servicio es seguro ya no será suficiente: habrá que demostrarlo con controles, evidencias y una arquitectura coherente con los riesgos reales.
Para avanzar en esta dirección, las empresas deberían actuar en cinco frentes:
- Mapear datos y dependencias críticas, identificando qué información manejan, dónde se procesa y qué terceros intervienen.
- Evaluar a los proveedores también por su jurisdicción, además de por coste, funcionalidad y localización.
- Garantizar la reversibilidad y portabilidad, evitando dependencias tecnológicas difíciles de deshacer.
- Exigir transparencia sobre subcontratación, operaciones y medidas de seguridad.
- Elevar la soberanía digital al nivel de dirección, porque no es solo una cuestión técnica o legal, sino una decisión estratégica de negocio.
Europa cuenta con talento, empresas especializadas, conocimiento regulatorio y una demanda creciente de servicios confiables. Para convertir ese potencial en autonomía estratégica hacen falta, sin embargo, decisiones concretas. La contratación pública puede contribuir a fortalecer las capacidades tecnológicas europeas, especialmente en sectores críticos. Y las empresas privadas pueden favorecer un ecosistema competitivo de proveedores europeos como una vía para diversificar riesgos, aumentar la resiliencia y conservar capacidad de elección.
La soberanía digital no es una meta que se alcance una vez y quede resuelta. Es un proceso continuo de evaluación, reducción de riesgos y desarrollo de capacidades. Y comienza con una pregunta sencilla, aunque incómoda: cuando confiamos nuestros datos a un proveedor, ¿sabemos realmente quién puede acceder a ellos, bajo qué condiciones y con qué garantías?
Responderla adecuadamente será determinante para la resiliencia y la autonomía de las organizaciones europeas durante los próximos años.
Yeray Fraga, Director General de Retarus España
