La soberanía del dato en empresas suele entenderse como una cuestión de ubicación.
¿Dónde están los datos?
¿En qué país se almacenan?
¿Qué proveedor presta el servicio?
Son preguntas importantes.
Sin embargo, ninguna responde a la cuestión que realmente determina el nivel de control que conserva una organización.
Porque una empresa puede ser propietaria de su información y, aun así, depender completamente de un tercero para acceder a ella, recuperarla o trasladarla.
Esta situación aparece con más frecuencia de la que parece.
Durante las sesiones de análisis que realizamos en YWEN solemos plantear una pregunta muy sencilla:
¿Qué capacidad conserva vuestra empresa para supervisar, exigir o tomar decisiones si cambia un proveedor crítico?
La respuesta suele repetirse.
«Ellos responderán de su parte.»
Es una afirmación comprensible.
Pero también es una de las creencias que más limita el gobierno de la tecnología dentro de una organización.
Porque contratar un proveedor no significa trasladarle toda la responsabilidad.
La empresa sigue necesitando saber qué información gestiona, quién puede acceder a ella, qué garantías mantiene el proveedor y qué capacidad conserva para cambiar de servicio sin comprometer la continuidad del negocio.
Por ese motivo, hablar de soberanía del dato ya no consiste únicamente en hablar de servidores o de almacenamiento.
Consiste en responder a una pregunta mucho más relevante.
¿Qué capacidad conserva realmente tu empresa para supervisar aquello que otros gestionan en su nombre?
La soberanía del dato en empresas empieza cuando una organización conserva la capacidad de supervisar
La soberanía del dato en empresas no depende únicamente de dónde se almacena la información.
Tampoco consiste en elegir un proveedor conocido o firmar un contrato que reconozca la titularidad de los datos.
El verdadero control aparece cuando la organización mantiene la capacidad de supervisar aquello que otros gestionan en su nombre.
Ese cambio de perspectiva resulta especialmente importante en un entorno donde cada nueva herramienta incorpora nuevos proveedores, nuevos servicios y nuevas dependencias.
La empresa puede externalizar una infraestructura.
También puede contratar una plataforma en la nube o un servicio de inteligencia artificial.
Sin embargo, ninguna de esas decisiones elimina la responsabilidad de seguir gobernando la información y los procesos que sustentan el negocio.
Por ese motivo, la soberanía no debería entenderse únicamente como una cuestión tecnológica.
También representa una capacidad de decisión.
Porque conservar el control implica poder preguntar, exigir evidencias, revisar cambios y actuar cuando las circunstancias dejan de ser las mismas que el día en que se contrató el servicio.
La falsa sensación de que el proveedor responderá de todo
Durante las sesiones de análisis que realizamos en YWEN solemos plantear una pregunta muy sencilla.
Pensando en los proveedores importantes de los que depende vuestro negocio, ¿tenéis claro qué depende de cada uno, qué responsabilidades conserva la empresa y qué capacidad tenéis para supervisar, exigir o tomar decisiones si algo cambia?
La respuesta suele parecer razonable.
«El proveedor responderá de su parte.»
O incluso:
«¿Cómo vamos a controlar lo que hace otra empresa?»
Ese razonamiento es comprensible.
Sin embargo, parte de una idea que puede generar una falsa sensación de control.
Contratar un proveedor significa delegar la ejecución de determinadas tareas.
No significa trasladarle la responsabilidad de supervisar el servicio, revisar que las condiciones siguen siendo adecuadas o comprobar que la organización mantiene la capacidad de decidir si necesita cambiar de estrategia.
Por ese motivo, la relación con un proveedor no termina cuando se firma un contrato.
Empieza cuando la empresa establece cómo va a supervisar aquello que ha decidido externalizar.
La soberanía del dato en empresas significa conservar la capacidad de supervisar a los proveedores, acceder a la información, recuperar los datos, exigir evidencias y cambiar de servicio sin comprometer la continuidad del negocio. La titularidad jurídica de la información no siempre garantiza el control operativo sobre ella.
Delegar un servicio no significa delegar su gobierno
Externalizar un servicio permite aprovechar conocimiento especializado, reducir determinadas cargas operativas o acceder a tecnologías que la organización no gestionaría por sí sola.
Eso no convierte al proveedor en el responsable del gobierno tecnológico de la empresa.
La organización sigue necesitando conocer:
qué información trata cada proveedor;
qué servicios presta realmente;
quién interviene como subencargado;
qué cambios pueden afectar al servicio;
qué evidencias puede solicitar;
qué capacidad conserva para recuperar la información o cambiar de proveedor.
Estas cuestiones no responden únicamente a una buena práctica.
Cada vez forman parte de un modelo de gestión más exigente, en el que supervisar a los proveedores deja de ser una decisión voluntaria para convertirse en un criterio de gobierno.
La supervisión de proveedores ya no es una buena práctica. Es un criterio de gobierno.
Después de externalizar un servicio, muchas organizaciones consideran que el proveedor pasa a ser responsable de todo lo relacionado con esa actividad.
Sin embargo, las principales normas que regulan la gestión tecnológica y la protección de la información siguen atribuyendo a la organización una responsabilidad que no desaparece por contratar a un tercero.
La empresa puede delegar la prestación de un servicio.
Lo que no puede delegar es la obligación de supervisar cómo ese servicio afecta a su actividad.
Por ese motivo, el gobierno de proveedores ya no debería entenderse únicamente como una cuestión contractual.
También forma parte del modelo de dirección de la organización.
El RGPD no exige únicamente elegir un proveedor. Exige poder justificar esa elección.
El artículo 28 del RGPD establece que el responsable del tratamiento debe seleccionar encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas adecuadas.
Esa obligación no termina el día en que se firma el contrato.
También implica mantener la capacidad de comprobar que esas garantías continúan siendo adecuadas durante toda la relación con el proveedor.
Del mismo modo, el artículo 24 introduce el principio de responsabilidad proactiva, recordando que corresponde a la organización aplicar medidas apropiadas y poder demostrar que el tratamiento sigue realizándose conforme al Reglamento.
Por ese motivo, la supervisión no consiste únicamente en conservar un contrato firmado.
También implica revisar cambios relevantes, solicitar evidencias cuando resulte necesario y mantener una visión actualizada de los servicios que el proveedor presta en nombre de la organización.
NIS2 y el ENS amplían esa responsabilidad
El mismo enfoque aparece en otros marcos regulatorios que están transformando la forma en que las organizaciones gobiernan la tecnología.
La Directiva NIS2 incorpora la gestión de riesgos de la cadena de suministro como parte de las responsabilidades de dirección, poniendo el foco en la evaluación y supervisión de los proveedores que participan en servicios esenciales o importantes cuando resulta aplicable.
Por su parte, el Esquema Nacional de Seguridad exige mantener, revisar y actualizar las medidas de seguridad a lo largo del ciclo de vida de los sistemas dentro de su ámbito de aplicación.
Aunque cada norma persigue objetivos diferentes, todas comparten una misma idea.
No basta con implantar una medida.
Tampoco basta con contratar un proveedor.
La organización debe conservar la capacidad de supervisar aquello que resulta crítico para su actividad.
La confianza no sustituye a la supervisión
En muchas empresas la relación con un proveedor se mantiene durante años sin que nadie vuelva a revisar cómo ha evolucionado el servicio.
Mientras tanto, pueden incorporarse nuevos subencargados.
Cambiar la infraestructura.
Añadirse funciones basadas en inteligencia artificial.
Modificarse las condiciones contractuales.
O aparecer nuevas integraciones que no existían cuando comenzó la relación.
Supervisar no significa desconfiar del proveedor.
Significa comprobar que la organización sigue conservando la información, las evidencias y la capacidad de decisión necesarias para gobernar un servicio del que depende su actividad.
Porque una empresa puede confiar plenamente en un proveedor.
Y, al mismo tiempo, necesitar demostrar que esa confianza continúa estando justificada.
La soberanía del dato en empresas se demuestra cuando puedes decidir sin depender del proveedor
La soberanía del dato en empresas no se pone a prueba mientras todo funciona con normalidad.
El verdadero nivel de control aparece cuando la organización necesita tomar una decisión importante.
Cambiar de proveedor.
Recuperar toda la información.
Incorporar una nueva plataforma.
Eliminar un servicio.
O continuar trabajando durante una incidencia.
Es en esos momentos cuando la empresa descubre si conserva capacidad real para decidir o si depende completamente del proveedor que gestiona el servicio.
Porque la titularidad de los datos no siempre garantiza la capacidad para utilizarlos, trasladarlos o recuperarlos en condiciones útiles.
La propiedad jurídica no siempre implica control operativo
Muchas organizaciones afirman que los datos son suyos porque así lo establece el contrato.
Desde un punto de vista jurídico, esa afirmación puede ser correcta.
Sin embargo, la realidad operativa plantea preguntas diferentes.
¿Puede la empresa recuperar toda la información?
¿Se exportarán también los documentos asociados?
¿Las automatizaciones podrán reconstruirse?
¿Los registros conservarán su contexto?
¿Los permisos seguirán siendo válidos en otra plataforma?
¿El formato permitirá reutilizar realmente la información?
Responder afirmativamente a todas estas cuestiones es lo que demuestra que la organización conserva capacidad de decisión.
Porque un dato únicamente mantiene su valor cuando puede seguir utilizándose fuera del entorno en el que fue creado.
La inteligencia artificial también forma parte de la cadena de proveedores
Cada vez resulta más habitual que un CRM, un ERP o una plataforma documental incorporen asistentes basados en inteligencia artificial.
En muchas ocasiones estas funciones llegan como una actualización del propio proveedor.
Sin embargo, esa incorporación también modifica el ecosistema tecnológico de la organización.
Conviene conocer:
qué información recibe el modelo;
qué proveedor presta realmente el servicio;
si intervienen nuevos subencargados;
qué finalidad tiene el tratamiento;
qué registros pueden consultarse;
cómo se eliminan los datos cuando corresponde;
qué ocurrirá si la empresa decide dejar de utilizar esa funcionalidad.
La inteligencia artificial no sustituye al proveedor.
Amplía la cadena de servicios que la organización debe ser capaz de supervisar.
La verdadera soberanía aparece cuando puedes cambiar de proveedor
Toda organización debería poder responder con claridad a una pregunta.
¿Qué ocurriría si mañana necesitáramos abandonar este servicio?
Responderla implica conocer, entre otras cuestiones:
cuánto tiempo llevará la migración;
cómo se exportarán los datos;
qué formato tendrán;
qué ocurrirá con los documentos asociados;
cómo se trasladarán las integraciones;
quién acompañará el proceso;
cómo se eliminarán las copias restantes;
qué impacto tendrá el cambio sobre la continuidad del negocio.
La estrategia de salida no debería improvisarse cuando aparece un problema.
Forma parte del gobierno tecnológico desde el mismo momento en que se incorpora un proveedor crítico.
La dependencia tecnológica rara vez aparece en la factura
La mayoría de las dependencias no se generan el día que se firma un contrato.
Aparecen de forma progresiva mientras la organización incorpora nuevas funciones, automatizaciones e integraciones.
Con el paso del tiempo pueden surgir situaciones como estas:
- formatos propietarios difíciles de reutilizar;
- automatizaciones que solo conoce el proveedor;
- configuraciones sin documentar;
- cuentas administradas por terceros;
- integraciones que nadie recuerda cómo funcionan;
- credenciales que la empresa no controla directamente;
- costes de salida que nunca se evaluaron;
- conocimiento concentrado en una única persona externa.
Cada uno de estos elementos reduce la capacidad de decisión de la organización.
Por ese motivo, la dependencia tecnológica no debería evaluarse únicamente desde una perspectiva económica.
También representa un criterio de gobierno.
Porque cuanto más difícil resulta abandonar un servicio, mayor es el nivel de dependencia que la empresa ha aceptado.
La Matriz YWEN aplicada a la soberanía del dato en empresas
La soberanía del dato en empresas no debería evaluarse únicamente desde una perspectiva jurídica o tecnológica.
También conviene analizar si la organización conserva capacidad real para gobernar aquello que ha decidido externalizar.
Por ese motivo, antes de considerar que un proveedor crítico mantiene un nivel adecuado de control, en YWEN utilizamos una evaluación basada en siete capacidades de gobierno.
No sustituye una auditoría técnica.
Ayuda a comprobar si la empresa continúa conservando el control sobre sus decisiones.
Las siete capacidades que definen la soberanía operativa
- Visibilidad
¿La organización conoce qué proveedores participan realmente en el servicio, qué subencargados intervienen y dónde se trata la información?
- Supervisión
¿Existe capacidad para solicitar evidencias, revisar cambios y comprobar que las garantías siguen siendo adecuadas?
- Acceso
¿La empresa puede recuperar la información completa cuando la necesita y sin depender de decisiones discrecionales del proveedor?
- Movilidad
¿Los datos pueden trasladarse en formatos útiles, conservando documentos, contexto, permisos e históricos?
- Continuidad
¿La actividad podría mantenerse si el proveedor dejara de prestar el servicio o fuera necesario sustituirlo?
- Reversibilidad
¿Existe un procedimiento definido para abandonar el servicio sin comprometer procesos, integraciones o evidencias?
- Gobierno
¿La dirección conserva capacidad real para decidir sobre el servicio o depende completamente del proveedor para hacerlo?
Estas siete capacidades no evalúan únicamente una plataforma.
Permiten comprobar si la organización mantiene el control sobre una decisión tecnológica que probablemente seguirá formando parte del negocio durante muchos años.
La soberanía del dato en empresas se demuestra cuando la organización conserva la capacidad de decidir
La soberanía del dato en empresas no depende únicamente del país donde se almacenan los datos.
Tampoco queda garantizada porque un contrato establezca que la información pertenece a la organización.
El verdadero nivel de control aparece cuando la empresa conserva la capacidad de supervisar a sus proveedores, exigir evidencias, recuperar la información, cambiar de servicio y mantener la continuidad del negocio sin perder capacidad de decisión.
Por ese motivo, delegar un servicio no significa delegar su gobierno.
La responsabilidad continúa perteneciendo a quien decide incorporar esa tecnología a la organización.
Porque los datos pueden seguir siendo jurídicamente tuyos.
Pero solo estarán realmente bajo tu control cuando puedas decidir sobre ellos sin depender del proveedor que los gestiona.
Antes de contratar un proveedor, responde a una última pregunta.
Si mañana necesitaras cambiar de plataforma, recuperar toda la información o demostrar cómo supervisas ese servicio…
¿Conservaría tu empresa la capacidad de decidir o dependería completamente del proveedor?
Si esa respuesta todavía no está clara, probablemente el verdadero reto no sea la tecnología.
Sea la capacidad de gobierno que la organización conserva sobre ella.
La soberanía del dato en empresas consiste en conservar la capacidad de supervisar a los proveedores, acceder a la información, decidir cómo se utiliza, recuperarla cuando resulte necesario y cambiar de servicio sin comprometer la continuidad del negocio.
No. La titularidad de los datos puede seguir perteneciendo a la organización. Sin embargo, la soberanía operativa depende también de la capacidad para supervisar al proveedor, recuperar la información y mantener el control sobre el servicio.
El RGPD exige seleccionar encargados del tratamiento que ofrezcan garantías suficientes (artículo 28) y aplicar el principio de responsabilidad proactiva (artículo 24). Por ese motivo, contratar un proveedor no elimina la necesidad de supervisar cómo presta el servicio.
Cuando resulta aplicable, NIS2 incorpora la gestión de riesgos de la cadena de suministro como parte del gobierno de la organización. Esto implica evaluar y supervisar a los proveedores que participan en servicios esenciales o importantes, además de gestionar los riesgos asociados a esa dependencia.
Conviene comprobar cómo se exportarán los datos, qué ocurrirá con los documentos asociados, las integraciones, los permisos, los históricos, los registros de actividad, los plazos de migración y las condiciones de eliminación de la información una vez finalizado el servicio.
No necesariamente. El derecho a la portabilidad regulado en el artículo 20 del RGPD tiene un alcance específico y no sustituye una estrategia de migración empresarial. La continuidad del negocio puede requerir revisar también configuraciones, documentos, integraciones, históricos y otros elementos que exceden ese derecho.
