CLOUD Act: la nacionalidad importa más que la región

El texto de la CLOUD Act no menciona en ningún momento la ubicación física de un servidor. 18 U.S.C. § 2713 exige que cualquier proveedor de servicios electrónicos presente datos que tenga “en su posesión, custodia o control”, ya sea almacenados en los Estados Unidos o en el extranjero. Es esta formulación, y no una tarjeta de alojamiento, la que define el alcance real de la ley.

Este caso se originó en una disputa entre Microsoft y el gobierno estadounidense, ya detallada en nuestro artículo sobre la elección de un BaaS. El Congreso decidió por ley en lugar de esperar una decisión de la Corte Suprema. El resultado práctico sigue siendo el mismo hoy: la nacionalidad de la entidad que controla los datos importa más que el país donde están físicamente alojados.

De esta formulación se desprende una consecuencia directa. Un proveedor puede ser una empresa constituida según la legislación estadounidense y seguir sujeta a la Ley CLOUD incluso si alquila servidores de un host europeo para atender a sus clientes de la UE. El contrato de hosting no cambia la nacionalidad de la empresa que firma su contrato de servicio, ni su obligación legal ante las autoridades federales de Estados Unidos.

La CLOUD Act tampoco es la única palanca de este tipo. La sección 702 de la Ley de Vigilancia de Inteligencia Extranjera (FISA) autoriza la vigilancia selectiva de las comunicaciones electrónicas por parte de los servicios de inteligencia estadounidenses. Su régimen sigue siendo distinto, orientado hacia la seguridad nacional más que hacia el procedimiento judicial ordinario. Los dos textos comparten un punto común que es útil recordar. Es la calificación jurídica del proveedor, una empresa estadounidense o sujeta a jurisdicción estadounidense, lo que genera la obligación, no la geografía de su infraestructura.

Una empresa matriz estadounidense que tiene una filial europea no queda automáticamente fuera del alcance de la Ley CLOUD sólo porque la filial esté registrada en la UE. La prueba legal se refiere a quién en la cadena tiene realmente la posesión, custodia o control de los datos, no el nombre registrado en el registro mercantil local.

Tomemos un caso concreto. Un holding americano posee el 100% de una filial alemana que aloja y gestiona técnicamente el servicio para sus clientes europeos. Si los equipos de la empresa matriz estadounidense tienen acceso de administrador a la base de datos de producción, incluso para fines de soporte técnico, este acceso puede ser suficiente. Puede caracterizar el control en el sentido de la ley, y la nacionalidad de la filial local no lo neutraliza.

En la práctica, la mayoría de los grupos tecnológicos centralizan su infraestructura: acceso de administrador, copias de seguridad, sistemas de autenticación internos. Por lo tanto, comprobar únicamente el registro de una entidad sólo responde a una parte de la pregunta. Hay que remontarse a la cadena completa: quién posee el capital de esta filial, quién controla su consejo de administración, quién conserva el acceso técnico real a los datos una vez firmado el contrato.

Esta es la misma lógica que la verificación del beneficiario final, aplicada en el cumplimiento de las normas contra el blanqueo de capitales. Transpuesto a la elección de un proveedor backend, cambia la pregunta formulada. No es el nombre de la marca o la entidad de facturación lo que importa, sino la entidad que tiene el control final sobre los datos.

Dos ejes independientes determinan la exposición real de un backend a la CLOUD Act: dónde se alojan los datos y qué empresa, con qué nacionalidad, controla este servicio. Al cruzar estos dos ejes se obtiene una matriz con cuatro casillas, más útil que una casilla de “región de la UE” marcada sola en una comparación. Detallamos por qué una región de la UE por sí sola sigue siendo insuficiente en nuestro artículo dedicado, Región de la UE y cumplimiento, qué una casilla marcada no garantiza.

Una comparación de BaaS que solo llena una columna de esta matriz, generalmente la de la región del servidor, deja fuera del alcance la mitad del riesgo legal. Este es el punto ciego cubierto en detalle en nuestra guía completa compatible con GDPR y backend soberano de la UE. Lo exploramos específicamente para los hiperescaladores estadounidenses en nuestro análisis dedicado a los hiperescaladores en la región de la UE.

Un proveedor puede pasar de un cuadro a otro en esta matriz de la noche a la mañana, sin cambiar ninguna infraestructura. Una adquisición por parte de una empresa estadounidense es suficiente para cambiar la nacionalidad efectiva de una empresa, incluso si sus servidores permanecen físicamente en la misma ubicación. Una adquisición de capital durante una ronda de financiación o una reestructuración de un holding produce el mismo efecto.

Este riesgo no se limita a un reembolso total. Una ronda de financiación que dé a los inversores estadounidenses una mayoría en el consejo de administración produce el mismo efecto. Un acuerdo de licencia de tecnología que transfiere el control operativo a una entidad estadounidense resulta en la misma situación, sin pasar por una adquisición tradicional. La estructura jurídica visible en el momento de la firma del contrato no constituye una garantía fijada en el tiempo.

El desfase entre un cambio de control y su detección por parte del cliente agrava este riesgo. Un cambio de accionista no siempre se anuncia públicamente cuando se produce, especialmente en una empresa que no cotiza en bolsa. En el momento en que se activó una cláusula de notificación contractual, podrían haber transcurrido varios meses de procesamiento de datos bajo la nueva estructura sin que el cliente fuera informado.

El cuadro de decisiones de nuestro artículo sobre la elección de un BaaS ya sugiere exigir un derecho de rescisión sin penalización en caso de un cambio en la estructura accionarial. Esta cláusula merece ser aclarada. Debe cubrir cualquier cambio de control de capital, no sólo un cambio de nombre de la empresa. También debe prever un plazo de notificación contractual, no una simple mención en letra pequeña en una actualización de las condiciones generales.

Nuestro artículo sobre cómo elegir un BaaS ya detalla cómo leer la política de privacidad de un proveedor y la cláusula de la ley aplicable. Este método sigue siendo el primer paso; No basta por sí solo con trazar una cadena de propiedad que pueda incluir varias sociedades holding.

1. Consulte el registro mercantil del país de registro: Infogreffe en Francia, Handelsregister en Alemania, Companies House en el Reino Unido, SEC EDGAR para una empresa estadounidense que cotiza en bolsa o financiada con capital riesgo. Objetivo: identificar la sociedad matriz última declarada.
2. Busque una mención de la estructura del grupo, o un compromiso de notificación en caso de un cambio de control, en un informe SOC 2 Tipo II o una declaración de aplicabilidad de ISO 27001. Este documento no siempre existe, pero vale la pena solicitarlo cuando el proveedor lo publique.
3. Compruebe la composición de la última ronda de financiación mediante anuncios públicos: una mayoría de inversores estadounidenses en la capital es una señal para cuestionarse, incluso para una empresa registrada en la UE.
4. Solicitar explícitamente, en la negociación del DPA, un compromiso escrito de notificación en caso de cambio de control de capital.
5. Si el proveedor ya comunica su independencia de capital, solicite confirmación escrita y fechada. Una declaración oral en una demostración comercial no tiene el mismo valor que un compromiso contractual.

Ninguno de estos controles reemplaza el asesoramiento legal para un proyecto de alto riesgo. Sin embargo, son suficientes para identificar, en una hora, un proveedor cuya estructura de propiedad merece una pregunta directa antes de firmar.