AWS, GCP, Azure en la UE: ¿protegidos del CLOUD Act?

La Ley CLOUD (Ley de Aclaración del Uso Legal de Datos en el Extranjero, 2018) autoriza a las autoridades federales de EE. UU. a solicitar datos que sean propiedad o estén controlados por una empresa sujeta a su jurisdicción, independientemente de dónde estén almacenados físicamente los datos. La ley apunta a la empresa, no al país del centro de datos.

Una filial europea de un grupo americano queda, en última instancia, bajo el control del capital de su empresa matriz. Es este enlace de control el que desencadena la exposición teórica, no la dirección del centro de datos elegido en la consola.

Los detalles del texto y su articulación con el RGPD se tratan en nuestra guía Compatible con el RGPD y backend soberano de la UE, y el efecto preciso de la nacionalidad de un proveedor en nuestro artículo nacionalidad del proveedor y exposición a la Ley CLOUD. Esta sección se limita a lo que distingue a los tres hiperescaladores estudiados aquí.

AWS opera en varias regiones de la Unión Europea, incluidas Irlanda (eu-west-1), Frankfurt (eu-central-1) y París (eu-west-3). Cada uno cumple con los requisitos de residencia y latencia de datos, sin cambiar la entidad legal que firma el contrato.

A finales de 2023, AWS anunció laNube soberana europea, una infraestructura distinta diseñada para la gobernanza operativa basada en la UE: personal y toma de decisiones operativas ubicadas en Europa, con la primera región planificada en Brandeburgo, Alemania. El programa responde directamente a los requerimientos expresados ​​por los clientes públicos y sectores regulados.

Esta gobernanza operativa no cambia la estructura accionarial. La Nube Soberana Europea sigue siendo una oferta de Amazon Web Services, Inc., una subsidiaria de Amazon.com Inc., una compañía constituida bajo la ley estadounidense. La exposición a la CLOUD Act está vinculada a este vínculo de control, independientemente de la pretendida independencia operativa.

Google Cloud ofrece regiones europeas en Bruselas (europe-west1), Frankfurt (europe-west3) y varias otras ciudades del continente. Su enfoque de la soberanía se basa menos en una entidad jurídica distinta que en controles técnicos aplicados al nivel de datos.

Dos mecanismos concretos ilustran este enfoque. El cifrado del lado del cliente garantiza que los datos se cifren antes de llegar a la infraestructura de Google, sin que Google tenga las claves. Las Justificaciones de acceso clave muestran al cliente cada solicitud de acceso a sus datos, incluida una solicitud gubernamental, antes de que se cumpla.

Google Cloud también ha establecido asociaciones locales, como la empresa conjunta S3NS con Thales en Francia, para ofrecer una oferta de nube confiable evaluada según puntos de referencia de seguridad nacionales. Sin embargo, la infraestructura subyacente sigue siendo operada por Google LLC, una filial de Alphabet Inc., una empresa constituida según la ley estadounidense: se aplica el mismo vínculo de control de capital.

Microsoft Azure ofrece muchas regiones europeas: Francia Central, Alemania Central Occidental, Europa Occidental (Países Bajos) y Europa del Norte (Irlanda). La elección de una región de Azure UE cumple principalmente con los requisitos de latencia y residencia de datos contractuales.

Desde 2021, Microsoft ha ido desplegando por fases un compromiso denominado EU Data Boundary: los datos procesados por sus principales servicios en la nube, Azure, Microsoft 365, Dynamics 365 y Power Platform, se almacenan y procesan dentro del perímetro europeo. El objetivo declarado es reducir las transferencias fuera de la UE que se han vuelto superfluas, no crear una entidad jurídica separada de Microsoft Corporation.

Microsoft también publica un informe de transparencia que detalla el volumen de solicitudes gubernamentales recibidas y la proporción a la que ha respondido la empresa. Esta transparencia documenta la exposición real sin eliminarla: Microsoft Corporation sigue siendo una empresa según la legislación estadounidense, independientemente de dónde se almacenen los datos.

Tres columnas de hechos, una constante: la nacionalidad de la empresa operadora no cambia de un hiperescalador a otro, independientemente de la gravedad del programa de soberanía asociado.

Las tres líneas de la columna "nacionalidad" son idénticas. Este es precisamente el punto que documenta esta comparación: un programa de soberanía no modifica esta columna.

Estos tres programas mejoran cosas reales: la residencia de los datos, la transparencia del acceso, la reducción de las transferencias fuera de la UE que ya no son necesarias y, para AWS, la gobernanza operativa garantizada por personal con base en Europa. Se trata de avances mensurables, no de efectos de anuncios vacíos.

Ninguno de los tres, sin embargo, cambia el vínculo de control accionario entre la filial o división europea y su empresa matriz estadounidense. Una solicitud dirigida a la sociedad matriz, o que ésta puede obligar a satisfacer a su filial, sigue siendo, en teoría, ejecutable independientemente de la independencia operativa demostrada.

Cuatro preguntas que hay que hacerse antes de considerar que un programa de soberanía a hiperescala es suficiente para un proyecto sensible.

1. ¿El contrato que usted firma está vinculado a la entidad del programa de soberanía o permanece vinculado a la entidad estadounidense estándar del proveedor?
2. ¿El programa cubre precisamente los servicios que utiliza (informática, almacenamiento, base de datos administrada) o solo una parte del catálogo?
3. ¿El proveedor documenta públicamente su posición sobre la Ley CLOUD, no solo sobre el RGPD?
4. ¿Existe alguna cláusula contractual sobre la tramitación de solicitudes gubernamentales: notificación, disputa, transparencia?

Un enfoque estructuralmente diferente consiste en elegir un proveedor cuya empresa matriz esté constituida bajo la jurisdicción de la UE, lo que elimina el vínculo de control con una empresa estadounidense en lugar de regularla.

Este es el caso de Aurabase SAS, sociedad francesa, cuya infraestructura de producción verificada opera en Alemania y Finlandia. La soberanía de la UE depende de estas dos condiciones acumulativas, el alojamiento y la empresa operadora, y no sólo de una de las dos. Los detalles técnicos y legales de esta comparación con un proveedor comparable se tratan en Aurabase vs Supabase, y la postura de cumplimiento completa en el centro de cumplimiento de Aurabase.