En junio de 2026, la sentencia del Tribunal Supremo de Estados Unidos en el caso Trump v. Slaughter puso fin a la independencia de la Comisión Federal de Comercio. Para la mayoría de las personas fue una noticia de política estadounidense. Para quien gestiona sistemas de información en un organismo público portugués fue otra cosa: la desaparición de una de las piezas que sostienen el acuerdo que permite transferir los datos de los europeos a Estados Unidos.
Es el tercer golpe en diez años. Safe Harbor cayó en 2015, Privacy Shield cayó en 2020, y el acuerdo que los sustituyó está ahora impugnado. Ninguno de estos episodios fue fruto de la mala fe de los negociadores. Fueron fruto de una incompatibilidad de fondo entre dos formas de entender la soberanía, que ningún acuerdo político puede resolver.
Mientras tanto, nuestros homólogos europeos han estado actuando. En Francia, la doctrina de la nube reserva los sistemas del Estado con datos sensibles a infraestructuras cualificadas inmunes a la legislación no europea. En Italia, los datos públicos se han clasificado por criticidad y los más sensibles se han concentrado en infraestructuras nacionales cualificadas. En Alemania, un Land migró el correo electrónico de toda su administración, más de cuarenta mil buzones, a soluciones abiertas. En los Países Bajos, el Parlamento aprobó mociones para frenar las migraciones innecesarias de la administración a proveedores de nube estadounidenses.
Portugal ha aprobado su plan nacional de nube soberana, que se implantará en los próximos años. Es el reconocimiento oficial de que la dependencia actual es un riesgo. Pero un organismo concreto, con un procedimiento de contratación que lanzar en los próximos seis meses, no puede esperar hasta el final de la década.
Estas son las ocho preguntas que debe hacer antes de ese procedimiento. No requieren conocimientos técnicos. Requieren respuestas claras.
1. ¿A qué ley está sujeta la entidad que opera el servicio, y quién la controla?
Es la pregunta que engloba a todas las demás, y casi nunca se hace. No la confunda con la ubicación de los servidores. Una empresa constituida en Estados Unidos, o controlada por una empresa estadounidense, sigue sujeta a la ley estadounidense dondequiera que instale sus equipos.
El caso que lo demostró no fue teórico. En 2013, los tribunales estadounidenses exigieron a una empresa tecnológica que entregara el contenido de una cuenta de correo electrónico almacenada en un centro de datos de Dublín. La empresa se negó y ganó en los tribunales. En 2018, el Congreso aprobó una ley que obliga a entregar los datos en posesión, custodia o control de estas empresas, independientemente del país en que estén almacenados. El caso terminó con la entrega.
Qué solicitar: identificación de la entidad contratante, su domicilio social, su estructura de propiedad y control, y la ley a la que está sujeta.
2. ¿Dónde están físicamente los datos, y quién tiene acceso a las instalaciones?
La ubicación no zanja la cuestión de la jurisdicción, pero sigue siendo relevante. Es necesario saber en qué país están los equipos, quién opera el espacio físico y si ese operador tiene acceso lógico a los sistemas.
Qué solicitar: ubicación de los centros de datos, identificación del proveedor de alojamiento físico y una declaración expresa sobre si ese proveedor tiene o no acceso a los datos.
3. ¿Hay transferencias a terceros países, aunque sean ocasionales?
La pregunta debe abarcarlo todo, no solo el servicio principal. Analítica de tráfico del sitio web, herramientas de atención al cliente, procesamiento de pagos, fuentes cargadas desde servidores externos. Cada uno de estos elementos puede constituir una transferencia.
Qué solicitar: una lista completa de subencargados y destinatarios, con su ubicación, y una declaración sobre transferencias a terceros países.
4. ¿Cuánto tiempo se conservan los registros de tráfico, y con qué fundamento?
Muchos proveedores conservan los metadatos de las comunicaciones durante meses o años, por inercia técnica. Conviene recordar el marco vigente: el Tribunal Constitucional portugués declaró inconstitucionales, con fuerza obligatoria general, las normas que exigían la conservación generalizada de los datos de tráfico durante un año, y volvió a declarar inconstitucional un intento posterior de conservación indiscriminada durante tres meses.
Dicho de otro modo, la conservación prolongada de metadatos sin una finalidad concreta ya no es hoy una obligación. Es un riesgo.
Qué solicitar: plazos de conservación concretos por tipo de registro, y la finalidad que los justifica.
5. ¿Cómo se gestionan las solicitudes de las autoridades, incluidas las extranjeras?
Un organismo público tiene especial interés en saber qué ocurre si alguien solicita acceso a sus datos, y sobre todo si ese alguien es una autoridad de otro país.
Qué solicitar: una descripción del procedimiento interno de revisión de solicitudes, y una declaración sobre cómo se gestionan las solicitudes directas de autoridades de terceros países, que deberían seguir los mecanismos de cooperación judicial con intervención de las autoridades portuguesas. Pregunte también si el proveedor publica un informe de transparencia.
6. ¿Cómo se protege el secreto administrativo y profesional?
Procedimientos disciplinarios, datos de salud, información clasificada, comunicaciones con abogados. Si estos asuntos circulan por infraestructuras sujetas a la jurisdicción de un tercer país, el deber de secreto deja de depender solo del organismo.
Qué solicitar: una declaración sobre el acceso del proveedor al contenido de las comunicaciones, y sobre las circunstancias en que ese acceso puede producirse.
7. ¿Asume el proveedor la función de encargado del tratamiento, y facilita un acuerdo de
tratamiento de datos?
Para los datos almacenados en los buzones, el organismo público es el responsable del tratamiento y el proveedor es el encargado. Esto exige un contrato escrito con el contenido establecido en el artículo 28 del Reglamento General de Protección de Datos. Un proveedor que no lo ofrezca no está en condiciones de contratar con un organismo público.
Qué solicitar: un borrador de acuerdo de tratamiento de datos, con anexos sobre subencargados y medidas de seguridad.
8. ¿Qué ocurre al final del contrato?
La reversibilidad se olvida a menudo al contratar y resulta dolorosa al rescindir.
Qué solicitar: formatos y protocolos de exportación de datos, plazo de conservación tras la rescisión, plazo y método de eliminación, y si se presta apoyo para la transición a otro proveedor.
Una nota final sobre lo que está en juego
Ninguna de estas preguntas trata de tecnología. Todas tratan de responsabilidad.
Quien decide sobre la infraestructura de comunicaciones de un organismo público no está eligiendo solo un servicio. Está determinando bajo qué ordenamiento jurídico quedarán las comunicaciones entre el Estado y los ciudadanos a los que sirve. Es una decisión de soberanía, tomada en un pliego de condiciones.
La buena noticia es que nada de esto requiere esperar a los planes nacionales. Requiere hacer ocho preguntas, y elegir en función de las respuestas.