Residencia de datos: dónde vive el dato cuando se va a la nube

Residencia de datos es dónde se almacena físicamente la información. Ni Colombia ni México prohíben que salga del país, pero ambos condicionan la transferencia internacional a garantías sobre quién la recibe. La decisión de región, por tanto, es de cumplimiento antes que de latencia.

A continuación: qué distingue residencia de soberanía, qué exige cada país, cuándo la región importa de verdad y cómo se decide antes de migrar.

La pregunta llega casi siempre en la misma reunión y casi siempre tarde: «¿los datos pueden salir del país?». Para entonces la arquitectura ya está definida y cambiarla tiene costo.

La respuesta corta es que sí, con condiciones. La respuesta útil requiere separar tres conceptos que suelen mezclarse.

Residencia, soberanía y transferencia

Residencia es dónde está almacenado el dato físicamente. Es una propiedad técnica y se elige al escoger la región.

Soberanía es a qué jurisdicción responde ese dato, que puede no coincidir con dónde está: influye quién opera la infraestructura y bajo qué leyes está constituido.

Transferencia internacional es el acto de enviar datos personales fuera del país, y es lo que la norma regula. No está prohibida; está condicionada.

Qué exige cada país

En Colombia, el régimen de Habeas Data permite la transferencia hacia países que ofrezcan niveles adecuados de protección, y cuando no es el caso existen mecanismos para habilitarla, típicamente mediante autorización del titular o cláusulas contractuales. La autoridad puede pedir que se demuestre cuál se aplicó.

En México, la LFPDPPP admite la transferencia informando al titular y obteniendo su consentimiento salvo en los supuestos que la propia ley exceptúa, y exige que quien recibe asuma las mismas obligaciones que el responsable original.

El punto común es que la responsabilidad no se transfiere con el dato. Quien lo recogió sigue respondiendo, y por eso el contrato con el proveedor importa tanto como la región elegida.

Cuándo la región importa de verdad

Hay tres situaciones donde la elección deja de ser indiferente. La primera es un requisito contractual: clientes del sector financiero o público que exigen residencia local por su propia regulación.

La segunda es la latencia con lo que se queda en casa. Si la aplicación conversa constantemente con sistemas locales, la distancia se nota en el comportamiento, no solo en la métrica.

La tercera es el costo de sacar datos. Mover información entre regiones tiene precio, y una arquitectura que cruza fronteras repetidamente lo paga cada vez.

El contrato importa tanto como la región

Elegir una región local resuelve dónde está el dato y no resuelve quién puede acceder a él. Esa segunda pregunta la contesta el contrato con el proveedor: qué compromisos asume sobre confidencialidad, qué hace si recibe un requerimiento de una autoridad extranjera, y qué obligaciones traslada a sus propios subcontratistas.

Conviene revisar tres puntos concretos. Subencargados: quién más toca el dato y bajo qué condiciones. Notificación: en qué plazo avisa de un incidente, porque de ese plazo depende poder cumplir el propio. Salida: en qué formato y en cuánto tiempo devuelve la información si se termina la relación.

Ese último punto se negocia bien al principio y muy mal al final, que es exactamente cuando suele hacerse falta.

Cómo se decide antes de migrar

Con una clasificación previa: qué información es personal, cuál es sensible, cuál está sujeta a un requisito contractual y cuál no tiene restricción. Esa clasificación es trabajo de negocio y no de infraestructura, y es la que determina las opciones reales.

Después se contrasta con lo disponible: qué regiones existen para la plataforma elegida, qué servicios están presentes en cada una —no todos lo están— y qué compromisos ofrece el proveedor por escrito.

Un assessment de preparación para la nube hace esa evaluación antes de comprometer una ruta, incluidas las regiones disponibles para Colombia y México y el costo real en cada destino.

Lo que conviene dejar documentado

Qué datos residen dónde, bajo qué base legal se transfieren y qué garantías se pactaron con el proveedor. Es lo que se pide en una auditoría y lo que rara vez existe cuando se pide.

Esa documentación se construye una vez y se mantiene, y forma parte del mismo criterio con el que se diseña la arquitectura de nube y se define la postura de ciberseguridad.

Mantenerla es menos trabajo de lo que parece si se actualiza cuando cambia algo y no cuando alguien la pide. La versión que se arma a las corridas para responder una auditoría es la que siempre tiene huecos, porque reconstruye decisiones que se tomaron hace años y cuyos responsables ya no están.

Preguntas frecuentes

¿Los datos personales pueden salir de Colombia o de México?

Sí. Ninguno de los dos países lo prohíbe, pero ambos condicionan la transferencia internacional a garantías sobre quién recibe la información. La responsabilidad no se transfiere con el dato: quien lo recogió sigue respondiendo.

¿Qué diferencia hay entre residencia y soberanía de datos?

Residencia es dónde está almacenado físicamente el dato. Soberanía es a qué jurisdicción responde, que puede no coincidir con su ubicación según quién opere la infraestructura y bajo qué leyes esté constituido.

¿Cuándo conviene elegir una región local?

Cuando un cliente o un regulador lo exige por contrato, cuando la aplicación conversa constantemente con sistemas que se quedan en casa, o cuando el volumen de datos que sale encarece la operación.

¿Qué hay que documentar?

Qué datos residen dónde, bajo qué base legal se transfieren y qué garantías ofrece el proveedor por escrito. Es lo que se solicita en una auditoría y lo que normalmente no existe cuando se solicita.