Más allá de la privacidad: disponibilidad, dependencia y costes

Módulo 1: ¿Por qué una nube europea? · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección podrá explicar que la soberanía digital también tiene que ver con la disponibilidad, la dependencia y la capacidad de decisión, conocerá los nuevos derechos europeos de cambio de proveedor del Reglamento de Datos (Data Act), y podrá sopesar los riesgos de su propia situación.

Conceptos clave: soberanía digital, riesgo de disponibilidad, sanciones, modificación unilateral de condiciones, dependencia del proveedor (vendor lock-in), riesgo de concentración, Reglamento de Datos de la UE (Data Act), derecho de cambio de proveedor, costes de cambio, NIS2, ponderación (probabilidad e impacto)

La soberanía es algo más que "quién puede leer sus datos"

Las lecciones anteriores trataban sobre la confidencialidad: quién puede ver sus datos. Pero hay otras dos preguntas que son igual de importantes para una organización:

1. ¿Puede acceder a ellos cuando los necesita? (disponibilidad)
2. ¿Puede decidir usted mismo, incluso si el proveedor quiere otra cosa? (capacidad de decisión)

En conjunto, esto se denomina soberanía digital: el grado en que usted (o su país, o Europa) mantiene el control sobre sus datos y servicios digitales. La palabra suena grandilocuente, pero para la panadería Bakkerij De Korrel es muy práctica: si Sanne no puede abrir las rutas de reparto el lunes por la mañana a las seis, doce personas se quedan esperando.

Esto es una explicación, no un asesoramiento jurídico.

Riesgo 1: su cuenta puede quedar bloqueada

Un servicio en la nube puede limitar o cerrar su acceso. Normalmente por motivos corrientes: una factura impagada, una sospecha de uso indebido, un sistema automático que valora algo incorrectamente. Quien alguna vez ha tenido una cuenta bloqueada en un servicio grande sabe lo difícil que es conseguir hablar con una persona.

También existe una variante geopolítica. Una empresa debe cumplir las sanciones del país bajo cuya jurisdicción se encuentra. En febrero de 2025, el gobierno estadounidense impuso sanciones al fiscal jefe de la Corte Penal Internacional (CPI) en La Haya. En mayo de 2025, la agencia de noticias AP informó de que había perdido el acceso a su correo de trabajo en Microsoft. Microsoft ha declarado que nunca interrumpió sus servicios a la CPI; según informaciones posteriores, fue la propia CPI, bajo presión de las sanciones, quien dejó de liberar el acceso al buzón. Todavía se discute cómo ocurrió exactamente. Pero el ejemplo demuestra que la disponibilidad de un servicio depende de la política del país del proveedor, no solo de la tecnología.

Es poco probable que una panadería se vea afectada por sanciones. El punto es más amplio: usted depende de normas sobre las que no tiene ninguna influencia.

Riesgo 2: las condiciones y los precios cambian unilateralmente

Los servicios en la nube funcionan con suscripciones y condiciones generales que el proveedor puede modificar. Los paquetes se fusionan, las funciones pasan a un paquete más caro, o se añade una nueva función (como la IA) que aumenta el precio o utiliza sus datos de otra manera. Normalmente solo puede elegir entre aceptar o marcharse. Y marcharse es difícil cuando todo su trabajo está ya allí. Esto es la dependencia del proveedor, en inglés vendor lock-in (lección 2.3).

Riesgo 3: todo con un solo proveedor

Si tiene su correo, agenda, archivos, chat, contraseñas y el inicio de sesión en otros servicios ("iniciar sesión con Google o Microsoft") con un único proveedor, basta con una sola incidencia, una cuenta bloqueada o una contraseña vulnerada para perderlo todo a la vez. Esto se denomina riesgo de concentración. Esto se aplica a cualquier proveedor, también a uno europeo. La distribución entre varios servicios y una copia de seguridad propia (módulo 8) ayudan.

Lo mismo ocurre a nivel de país. En los Países Bajos surgió en 2025 y 2026 un debate sobre Solvinity, la empresa que proporciona la infraestructura para DigiD y MijnOverheid (los servicios públicos digitales neerlandeses). La estadounidense Kyndryl quería adquirirla. Tras el asesoramiento del Bureau Toetsing Investeringen (organismo neerlandés de control de inversiones), el secretario de Estado prohibió la adquisición en mayo de 2026 para proteger el interés público; una de las preocupaciones era que el gobierno estadounidense pudiera obtener acceso a través de la CLOUD Act. El ejemplo demuestra que el propietario de un proveedor europeo también puede cambiar. Un servicio europeo de hoy puede tener mañana una empresa matriz estadounidense. Por eso, un plan de salida (lección 8.2) debe formar parte de cualquier elección.

Nuevas normas europeas: la Data Act

La UE ha creado normas para facilitar el cambio entre servicios en la nube, en el Reglamento de Datos (Data Act) (Reglamento (UE) 2023/2854). El reglamento es aplicable desde el 12 de septiembre de 2025. Para los servicios en la nube (la norma habla de "servicios de tratamiento de datos"), las reglas se encuentran en el capítulo VI (artículos 23 a 31). En resumen:

• Un proveedor no puede impedirle cambiar a otro proveedor o a sus propios servidores, y debe colaborar en ello.
• El contrato debe permitir, entre otras cosas, un plazo de preaviso de como máximo dos meses, un periodo de transición de en principio como máximo treinta días, y un periodo de al menos treinta días para recuperar sus datos.
• Los proveedores deben ser claros de antemano sobre los costes.
• Los costes de cambio, incluidos los costes de salida de sus datos (egress), solo podían cobrarse a precio de coste desde el inicio, y desaparecen por completo a partir del 12 de enero de 2027 (artículo 29). Los costes de suscripción habituales y las penalizaciones por cancelación anticipada de un contrato de duración fija siguen siendo posibles.

Esto ayuda, pero no lo soluciona todo. La norma dice que puede llevarse sus datos, no que vayan a funcionar exactamente igual en el nuevo servicio. Llevarse un documento de Google o un historial de chat de Teams a otro entorno sigue siendo complicado (módulos 5, 6 y 7).

NIS2 en un párrafo

La Directiva NIS2 europea (Directiva (UE) 2022/2555) obliga a las organizaciones medianas y grandes de sectores importantes a tener en orden su ciberseguridad y la de sus proveedores. Una pequeña panadería no está sujeta a ella, pero un proveedor de una organización de este tipo sí puede recibir preguntas sobre sus propios servicios en la nube. La NIS2 no dice nada sobre si un servicio es europeo o no, pero sí que debe conocer los riesgos de su cadena de suministro.

Ponderar: no todo es igual de importante

No tiene que trasladarlo todo mañana. Una ponderación sensata por cada elemento ayuda. Para cada riesgo, fíjese en la probabilidad de que ocurra y el impacto si ocurre:

Una tabla así muestra por dónde empezar. La carpeta de personal es pequeña y sensible: fácil de trasladar con mucho beneficio. El correo es importante, pero requiere un plan cuidadoso (módulo 4). Puede que no se lleve el historial del chat, pero sí lo archive.

Un contrapeso honesto: los grandes servicios estadounidenses son fiables, técnicamente sólidos y conocidos por sus empleados. Un cambio cuesta tiempo y adaptación. La pregunta no es "bien o mal", sino qué riesgos acepta de forma consciente.

En la práctica: así se ve en un proveedor

Pregunte a cualquier proveedor, también a uno europeo: ¿cómo recupero mis datos, en qué formatos, y durante cuánto tiempo después de darme de baja todavía puedo acceder a ellos? En WebOké, por ejemplo, el manual de Nextcloud explica cómo trasladar datos entre instancias de Nextcloud, y Nextcloud funciona con estándares abiertos como WebDAV, CalDAV y CardDAV, de modo que también puede cambiar a otro proveedor. Otros proveedores tienen funciones de exportación similares; compruebe si funcionan sin ayuda del servicio de soporte.

Resumen

• La soberanía digital trata de confidencialidad, disponibilidad y capacidad de decisión.
• Una cuenta puede quedar bloqueada por un error, un pago o sanciones; el caso de la CPI (2025) demuestra que la política influye.
• Las condiciones y los precios pueden cambiar unilateralmente; tenerlo todo con un solo proveedor supone un riesgo de concentración.
• El Reglamento de Datos (Data Act) (aplicable desde el 12 de septiembre de 2025) otorga derechos de cambio de proveedor; los costes de cambio desaparecen a partir del 12 de enero de 2027.
• Pondere la probabilidad y el impacto de cada elemento y empiece por donde el beneficio sea mayor.

Cuestionario

Ejercicio

Ejercicio A1.5: Su propia ponderación de riesgos. Complete para su propia organización, por cada elemento (correo, agenda, contactos, archivos, documentos, chat, contraseñas, copias de seguridad), lo confidencial que es, lo grave que sería su interrupción y lo difícil que sería trasladarlo. El programa comprueba si su ponderación es completa y coherente y ordena los elementos.

Ejercicio E1.5: Su valoración en cinco frases. Escriba por qué su organización quiere o no quiere cambiar (parcialmente), qué riesgos acepta de forma consciente y cuál es el argumento principal para sus compañeros.

Más información

Los pasos de estos artículos se aplican a los servicios de WebOké; en otros proveedores funciona de forma similar.

• Manual de Nextcloud 1.1: ¿Qué es Nextcloud y qué es un WebOké Nextcloud?
• Manual de Nextcloud 13.1: Prepararse: qué llevarse y en qué orden
• Manual de Nextcloud 6.6: Copias de seguridad en WebOké: qué conservamos nosotros y qué puede hacer usted mismo
• Reglamento (UE) 2023/2854 (Data Act), capítulo VI, artículos 23 a 31, en EUR-Lex
• Directiva (UE) 2022/2555 (NIS2), en EUR-Lex