En un mundo alterado por la COVID-19, las políticas que respaldan las transacciones internacionales de datos cobran más importancia que nunca.
Las leyes de residencia de datos pueden tener amplios efectos en diversos ámbitos, como la privacidad personal, la seguridad nacional e incluso el comercio.
La crisis actual de la COVID-19 demuestra la importancia de tomar decisiones informadas, pero las normativas obsoletas de protección de datos y las leyes adicionales de residencia de datos amenazan con obstaculizar la capacidad de las empresas para hacer negocios y, en consecuencia, para impulsar la seguridad económica y el crecimiento en este nuevo mundo. Las leyes de residencia de datos pueden tener amplios efectos en diversos ámbitos, como la privacidad personal, la seguridad nacional e incluso el comercio. Fomentar alternativas a estas leyes puede ser clave para eludir sus desventajas para el comercio y la innovación.
Comprender las leyes de residencia de datos
Con las leyes de residencia de datos, los gobiernos exigen a las empresas almacenar los datos en su territorio nacional. Lo más habitual es que estas leyes se centren en los datos personales, aunque algunas jurisdicciones también incluyen la geolocalización y otros datos. En otras palabras, las leyes abarcan datos que probablemente son fundamentales para las necesidades empresariales.
Con arreglo a las leyes de residencia de datos, las empresas deben tratar los datos principalmente en un territorio; también pueden transferir copias de los datos al extranjero siempre que conserven una copia local a disposición del gobierno local para su inspección. Las leyes de residencia de datos están diseñadas para proteger los intereses gubernamentales.
Las leyes de protección de datos y privacidad restringen las transferencias de datos y, por lo general, no exigen conservarlos en ningún lugar. Según estas leyes, las empresas no tienen que conservar copias, pero no deben transferir datos a otro país salvo que puedan garantizar salvaguardas adecuadas para los datos transferidos al extranjero; si las empresas cumplen los requisitos de una excepción, pueden transferir los datos y no están obligadas a conservar una copia local. (De hecho, las leyes de protección de datos preferirían que no se conservara ninguna copia en ningún lugar).
Las leyes de residencia de datos son un fenómeno relativamente nuevo, que a veces también se denomina «soberanía de datos» o «leyes de localización de datos». En el pasado, existían requisitos limitados de residencia de datos derivados de leyes redactadas para la era de los registros en papel, en virtud de las cuales las empresas estaban obligadas a garantizar que sus registros no salieran del país de origen correspondiente para que pudieran ser accesibles, por ejemplo, por las autoridades fiscales. Sin embargo, en un mundo en el que el acceso a los datos es esencial para el desarrollo de una economía de datos local y en el que surgen preocupaciones por las filtraciones de datos y la ciberseguridad, los países muestran cada vez más interés en asegurar el acceso local a los datos y restringir las transferencias internacionales de datos.
Impacto en la privacidad, la seguridad y el comercio
Las leyes de residencia de datos pueden tener amplios efectos en diversos ámbitos, como la privacidad personal, la seguridad nacional y el comercio.
Privacidad
Los países suelen citar la protección de la privacidad individual como objetivo político, pero en realidad los requisitos de residencia de datos no pretenden ni favorecen la protección de la privacidad. Al contrario: un acceso más fácil de los países a los datos perjudica los intereses de privacidad. Por ejemplo, la policía, los servicios secretos y otras autoridades gubernamentales pueden exigir el acceso a los datos con mayor facilidad cuando los documentos y los soportes de almacenamiento que contienen dichos datos se encuentran en territorio local y pueden ser incautados en una redada. En otras palabras, las leyes de residencia de datos son leyes contrarias a la privacidad.
Seguridad nacional
Algunos países intentan garantizar que la información de geolocalización se almacene localmente por consideraciones de seguridad nacional, ya que disponer localmente de información importante puede marcar la diferencia en un conflicto. Sin embargo, las empresas de países con requisitos rígidos de residencia y acceso a los datos obtendrán menos información crucial en tiempos de emergencia, porque no son de confianza para los socios comerciales y los gobiernos extranjeros.
Control regulatorio de las empresas críticas
Si un gobierno necesita tomar el control de un banco, una empresa energética o un proveedor de infraestructuras críticas en una situación de emergencia (potencialmente en conflicto con otros países o empresas extranjeras), puede ser importante que todos los datos relevantes estén almacenados localmente y disponibles sin cooperación extranjera. Pero, hasta que sea necesaria tal toma de control, cualquier empresa crítica estará lastrada por los requisitos de residencia de datos, ya que no podrá acceder a la computación en la nube de vanguardia, al aprendizaje automático y a otras tecnologías desarrolladas y alojadas en el extranjero. Las empresas sujetas a leyes de residencia de datos acaban con costes más elevados, tecnologías menos eficientes y un mayor riesgo de tener que ser intervenidas en una crisis.
Seguridad de los datos
Algunos países parecen creer que la información crucial estará más segura en casa. Sin embargo, los países con tecnologías aisladas o obsoletas son menos capaces de proteger los datos almacenados localmente frente a amenazas militares y delictivas extranjeras. Además, mentalidad aislacionista en torno a la ciberseguridad puede socavar el acceso a soluciones internacionales punteras y de primer nivel.
Comercio
Las leyes de residencia de datos afectan de forma fundamental al comercio, favoreciendo a las empresas locales frente a los competidores extranjeros. Las empresas locales pueden cumplir los requisitos de residencia de datos con más facilidad que los competidores extranjeros, porque de forma natural mantienen los datos en sus sedes centrales. Aunque a corto plazo esto pueda parecer ventajoso para las empresas autóctonas, a largo plazo, este proteccionismo tiende a perjudicar a las empresas protegidas, al apartarlas de la competencia global que tanto necesitan. Además, los países extranjeros acabarán respondiendo en la misma medida, y las empresas extranjeras pueden evitar entrar en mercados donde se aplican leyes de residencia de datos para no asumir costes e impuestos adicionales. En consecuencia, las empresas autóctonas pueden tener dificultades para crecer y triunfar internacionalmente. Acabarán convirtiéndose en un pasivo local. Imponer el uso de centros de datos locales o de tecnología de fabricación local parece menos útil si las instalaciones locales terminan sin ser competitivas a nivel global y ralentizan el progreso local.
Las leyes de residencia de datos podrían obligar a las multinacionales a invertir en infraestructuras y centros de datos locales. Pero es más probable el efecto contrario y negativo: muchas multinacionales pueden preferir operar sin el acceso del gobierno local a los datos y sin los riesgos conexos de corrupción y de deficiencias de cumplimiento asociados al establecimiento de presencias locales.
Alternativas
La mayoría de los países prefieren, por defecto, sistemas abiertos con libertades económicas. Aplican leyes de conservación de registros, secreto y lucha contra la traición de alcance restringido, suficientes para proteger los intereses de seguridad nacional. Pero muy pocos países han promulgado hasta ahora leyes amplias de residencia de datos, y tratados internacionales como el Acuerdo de Asociación Transpacífico (TPPA) comprometen expresamente a los países miembros a abstenerse de promulgar leyes de residencia de datos o requisitos de centros de datos locales. La cooperación internacional entre los servicios de inteligencia y las fuerzas policiales, por ejemplo mediante tratados de asistencia multilateral, acuerdos ejecutivos en virtud de la U.S. Cloud Act, Interpol y acuerdos de cooperación regional, también hace que la residencia de datos sea menos relevante.
"Los países deberían abstenerse de promulgar leyes de residencia de datos, dadas las desventajas predominantes para los consumidores locales, las industrias, el desarrollo tecnológico y los mercados laborales."
Lothar Determann, socio, Baker McKenzie
La mayoría de los datos personales que recogen las empresas no son cruciales para fines de seguridad nacional y los gobiernos no acceden a ellos por respeto a la privacidad y las libertades individuales. Por lo tanto, no es necesario ni proporcionado exigir a las empresas que almacenen todos los datos personales a nivel local. Además, a efectos de garantizar el acceso del gobierno a los datos, bastaría con exigir a las empresas que garanticen el acceso remoto a los datos (dondequiera que se almacenen) o que mantengan copias de seguridad locales, que las empresas podrían crear a diario o semanalmente a un coste mucho menor que duplicar localmente los sistemas primarios.
Aun así, dado el impacto que pueden tener las leyes de residencia de datos, fomentar alternativas puede ser clave. Para apoyar a las industrias locales de tecnologías de la información y favorecer la inversión extranjera directa, los países pueden hacer lo siguiente: ofrecer leyes sólidas de protección de datos, cuidadosamente diseñadas para prevenir daños concretos a la privacidad individual (en lugar de una regulación general del tratamiento de datos); priorizar la ciberseguridad; generar responsabilidad y confianza con otros países; limitar el acceso del gobierno a los datos en manos privadas; invertir en conectividad de alta velocidad; facilitar las normas técnicas; mantener a raya la burocracia; y situar la innovación en el centro de la elaboración de políticas.
Los países deberían abstenerse de promulgar leyes de residencia de datos, dadas las desventajas predominantes para los consumidores locales, las industrias, el desarrollo tecnológico y los mercados laborales. Los tratados internacionales deberían prohibir las leyes nacionales que obliguen de forma generalizada a las organizaciones a almacenar o tratar datos en un territorio determinado. Podrían permitirse excepciones limitadas por razones de seguridad nacional imperiosas, restringidas a requisitos de copias de seguridad de tipos específicos de registros o información, pero no de todos los datos personales ni de los sistemas primarios de tecnologías de la información que deban mantenerse localmente.
El Hoja de ruta para los flujos de datos transfronterizos libro blanco ofrece soluciones progresivas que capacitan a los gobiernos para adoptar políticas que permiten a las empresas participar en una economía de datos orientada al exterior, al tiempo que abordan las preocupaciones más apremiantes de los gobiernos en materia de seguridad, equidad e interés soberano. Al implementar mecanismos para generar confianza, la necesidad de leyes de residencia de datos se reduce considerablemente y los beneficios de la economía de datos pueden aprovecharse plenamente.
En última instancia, los países tienen dos opciones: participar en un sistema internacional abierto, que puede ofrecer soluciones más progresivas que atiendan sus preocupaciones, o replegarse y frenar el progreso de sus economías de datos locales.
