Cada vez más organizaciones trasladan su información a la nube para ganar flexibilidad, reducir costos y mejorar la productividad. Pero almacenar datos personales fuera de los servidores propios también implica nuevas responsabilidades en materia de seguridad, privacidad y cumplimiento normativo.
Protección de datos y computación en la nube: ¿está realmente segura su información?
Cada vez más organizaciones trasladan su información a la nube para ganar flexibilidad, reducir costos y mejorar la productividad. Pero almacenar datos personales fuera de los servidores propios también implica nuevas responsabilidades en materia de seguridad, privacidad y cumplimiento normativo.
Hace apenas unos años, la mayoría de las organizaciones almacenaban su información en servidores ubicados dentro de sus propias instalaciones. Hoy esa realidad ha cambiado.
Cada vez es más común que empresas de todos los tamaños utilicen servicios como Microsoft 365, Google Workspace, Amazon Web Services (AWS), Microsoft Azure, Google Cloud Platform, Dropbox, OneDrive o sistemas ERP y CRM alojados en la nube.
La computación en la nube ha revolucionado la forma de trabajar: permite acceder a la información desde cualquier lugar, facilita el trabajo remoto, mejora la colaboración entre equipos y reduce considerablemente los costos de infraestructura tecnológica.
Pero esta transformación también plantea una pregunta fundamental: ¿quién protege realmente los datos personales cuando la información ya no se encuentra dentro de la empresa?
Muchas organizaciones creen que, por almacenar sus datos en plataformas de proveedores internacionales, la responsabilidad sobre esa información pasa automáticamente a dichos proveedores. Nada más lejos de la realidad: la nube proporciona infraestructura y servicios tecnológicos, pero la responsabilidad sobre los datos personales continúa siendo de la organización que decide recopilarlos y tratarlos.
¿Qué es realmente la computación en la nube?
Consiste en utilizar recursos tecnológicos proporcionados por terceros a través de Internet. En lugar de mantener servidores propios, las organizaciones pueden acceder a:
- Almacenamiento de información
- Correo electrónico corporativo
- Bases de datos
- Aplicaciones empresariales
- Plataformas de respaldo
- Sistemas de videoconferencia
- Herramientas colaborativas
- Servicios de Inteligencia Artificial
Todo ello sin necesidad de administrar físicamente la infraestructura. La nube ofrece enormes ventajas, pero también requiere una adecuada gestión de los riesgos asociados al tratamiento de la información.
La nube no elimina la responsabilidad
Un error habitual es pensar: «Nuestros datos están en AWS, Microsoft o Google; por lo tanto, ellos son responsables de todo.» En realidad, estos proveedores protegen la infraestructura tecnológica donde se almacenan los datos.
Protege la infraestructura
Servidores, redes, disponibilidad de la plataforma y las certificaciones técnicas que sostienen el servicio.
Gestiona el tratamiento
Quién accede a la información, qué datos se almacenan, cuánto tiempo se conservan, quién puede descargarlos y cómo se eliminan.
La seguridad compartida significa que cada parte tiene responsabilidades diferentes.
| Área | A cargo de | Qué implica |
|---|---|---|
| Infraestructura física | Proveedor | Servidores, redes y centros de datos. |
| Disponibilidad de la plataforma | Proveedor | Continuidad del servicio contratado. |
| Gestión de accesos y permisos | Empresa | Quién entra, con qué privilegios y por cuánto tiempo. |
| Retención y eliminación de datos | Empresa | Cuánto tiempo se conservan los datos y cómo se eliminan. |
| Terceros con acceso | Empresa | Qué encargados o proveedores adicionales tratan la información. |
| Cumplimiento de la Ley N.º 7593/2025 | Empresa | La obligación legal no se transfiere por migrar a la nube. |
¿Qué riesgos existen al almacenar información en la nube?
La nube no es insegura. Pero un uso inadecuado puede generar incidentes importantes.
En la mayoría de los casos, los incidentes no ocurren porque falle la nube, sino porque fallan los controles implementados por la organización.
La Ley N.º 7593/2025 y la información en la nube
La Ley N.º 7593/2025 de Protección de Datos Personales establece que toda organización responsable del tratamiento debe adoptar medidas apropiadas para proteger los datos personales durante todo su ciclo de vida. Esto incluye la información almacenada en servicios de computación en la nube.
La ley exige que las organizaciones garanticen, entre otros aspectos: confidencialidad, integridad, disponibilidad, tratamiento lícito, protección frente a accesos no autorizados y responsabilidad sobre los datos personales.
El hecho de utilizar un proveedor internacional no exime a la empresa de cumplir con estas obligaciones. La responsabilidad continúa recayendo sobre quien decide tratar la información.
¿Qué debería evaluar una empresa antes de migrar a la nube?
- ¿Dónde estarán almacenados los datos?
- ¿Qué certificaciones posee el proveedor?
- ¿Qué medidas de seguridad implementa?
- ¿Existe cifrado de la información?
- ¿Cómo se realizan los respaldos?
- ¿Qué sucede si finaliza el contrato?
- ¿Cómo se recuperarán los datos?
- ¿Quién puede acceder a ellos?
- ¿Qué nivel de disponibilidad garantiza el proveedor?
Responder estas preguntas permite reducir riesgos y seleccionar soluciones más seguras.
Checklist mínimo antes de firmar
Ubicación y jurisdicción de los datosConfirmar en qué país se almacenan y qué ley aplica.
Certificaciones vigentes del proveedorISO/IEC 27001, ISO/IEC 27701 u otras equivalentes.
Cifrado en tránsito y en reposoVerificar que esté activo por defecto, no como opción extra.
Cláusula de salida y portabilidadQué ocurre con los datos si finaliza el contrato.
Registro de accesos y actividadPoder auditar quién entró, cuándo y a qué información.
La importancia de gestionar correctamente los accesos
No basta con elegir un proveedor confiable. También es necesario administrar adecuadamente quién puede utilizar la información. Las organizaciones deberían aplicar controles como:
- Autenticación multifactor
- Principio del mínimo privilegio
- Revisión periódica de permisos
- Eliminación inmediata de accesos innecesarios
- Monitoreo de actividades
- Registro de eventos
Muchas filtraciones ocurren porque un usuario conserva permisos que ya no necesita.
Normas que sostienen una gestión responsable
Seguridad de la información
Ayuda a identificar activos de información, evaluar riesgos, gestionar proveedores, controlar accesos y responder ante incidentes. La nube no elimina la necesidad de un Sistema de Gestión de Seguridad de la Información: la hace aún más relevante.
Gestión de la privacidad
Incorpora controles específicos para identificar tratamientos de datos personales, asignar responsabilidades, gestionar encargados del tratamiento y documentar procesos de privacidad.
Gestión de riesgos
Invita a evaluar riesgos tecnológicos, legales, de continuidad del negocio, dependencia del proveedor y recuperación ante desastres antes de adoptar una plataforma.
Gestionar no es evitar
Gestionar riesgos no significa evitar la nube. Significa comprender los riesgos antes de tomar decisiones.
La nube proporciona infraestructura. La organización sigue siendo dueña de la responsabilidad.
Seguridad compartida, dos roles distintosLa nube es una oportunidad, no una excusa
La computación en la nube representa una de las mayores transformaciones tecnológicas de las últimas décadas. Bien utilizada, permite mejorar la productividad, fortalecer la continuidad del negocio y facilitar la innovación. Pero la tecnología, por sí sola, nunca garantiza la protección de los datos personales.
La verdadera seguridad depende de las decisiones que adopta la organización. Elegir un proveedor confiable es importante. Gestionar correctamente la información lo es aún más.
La nube no hace que una organización pierda el control sobre sus datos personales, pero tampoco la libera de su responsabilidad.
Las plataformas tecnológicas pueden ofrecer altos niveles de seguridad, certificaciones internacionales y una infraestructura robusta. Sin embargo, ninguna tecnología puede reemplazar una adecuada gestión de la información. La Ley N.º 7593/2025, junto con normas como ISO/IEC 27001, ISO/IEC 27701 e ISO 31000, recuerda que proteger los datos personales no depende del lugar donde se almacenan, sino de la forma en que son gestionados. En la era de la nube, la confianza sigue siendo el activo más importante que una organización puede ofrecer a sus clientes.
