{"id":2314,"date":"2026-09-24T12:03:17","date_gmt":"2026-09-24T11:03:17","guid":{"rendered":"https:\/\/sooma.com\/?p=2314"},"modified":"2026-09-24T12:33:14","modified_gmt":"2026-09-24T11:33:14","slug":"ocho-preguntas-que-un-organismo-publico-deberia-hacer-a-su-proveedor-de-correo","status":"publish","type":"post","link":"https:\/\/sooma.com\/es\/oito-perguntas-que-uma-entidade-publica-devia-fazer-ao-seu-fornecedor-de-email\/","title":{"rendered":"Ocho preguntas que un organismo p\u00fablico deber\u00eda hacer a su proveedor de correo electr\u00f3nico"},"content":{"rendered":"

En junio de 2026, la sentencia del Tribunal Supremo de Estados Unidos en el caso Trump v. Slaughter puso fin a la independencia de la Comisi\u00f3n Federal de Comercio. Para la mayor\u00eda de las personas fue una noticia de pol\u00edtica estadounidense. Para quien gestiona sistemas de informaci\u00f3n en un organismo p\u00fablico portugu\u00e9s fue otra cosa: la desaparici\u00f3n de una de las piezas que sostienen el acuerdo que permite transferir los datos de los europeos a Estados Unidos.<\/strong><\/em><\/p>\n

Es el tercer golpe en diez a\u00f1os. Safe Harbor cay\u00f3 en 2015, Privacy Shield cay\u00f3 en 2020, y el acuerdo que los sustituy\u00f3 est\u00e1 ahora impugnado. Ninguno de estos episodios fue fruto de la mala fe de los negociadores. Fueron fruto de una incompatibilidad de fondo entre dos formas de entender la soberan\u00eda, que ning\u00fan acuerdo pol\u00edtico puede resolver.<\/p>\n

Mientras tanto, nuestros hom\u00f3logos europeos han estado actuando. En Francia, la doctrina de la nube reserva los sistemas del Estado con datos sensibles a infraestructuras cualificadas inmunes a la legislaci\u00f3n no europea. En Italia, los datos p\u00fablicos se han clasificado por criticidad y los m\u00e1s sensibles se han concentrado en infraestructuras nacionales cualificadas. En Alemania, un Land migr\u00f3 el correo electr\u00f3nico de toda su administraci\u00f3n, m\u00e1s de cuarenta mil buzones, a soluciones abiertas. En los Pa\u00edses Bajos, el Parlamento aprob\u00f3 mociones para frenar las migraciones innecesarias de la administraci\u00f3n a proveedores de nube estadounidenses.<\/p>\n

Portugal ha aprobado su plan nacional de nube soberana, que se implantar\u00e1 en los pr\u00f3ximos a\u00f1os. Es el reconocimiento oficial de que la dependencia actual es un riesgo. Pero un organismo concreto, con un procedimiento de contrataci\u00f3n que lanzar en los pr\u00f3ximos seis meses, no puede esperar hasta el final de la d\u00e9cada.<\/p>\n

Estas son las ocho preguntas que debe hacer antes de ese procedimiento. No requieren conocimientos t\u00e9cnicos. Requieren respuestas claras.<\/p>\n

1. \u00bfA qu\u00e9 ley est\u00e1 sujeta la entidad que opera el servicio, y qui\u00e9n la controla?<\/h2>\n

Es la pregunta que engloba a todas las dem\u00e1s, y casi nunca se hace. No la confunda con la ubicaci\u00f3n de los servidores. Una empresa constituida en Estados Unidos, o controlada por una empresa estadounidense, sigue sujeta a la ley estadounidense dondequiera que instale sus equipos.<\/p>\n

El caso que lo demostr\u00f3 no fue te\u00f3rico. En 2013, los tribunales estadounidenses exigieron a una empresa tecnol\u00f3gica que entregara el contenido de una cuenta de correo electr\u00f3nico almacenada en un centro de datos de Dubl\u00edn. La empresa se neg\u00f3 y gan\u00f3 en los tribunales. En 2018, el Congreso aprob\u00f3 una ley que obliga a entregar los datos en posesi\u00f3n, custodia o control de estas empresas, independientemente del pa\u00eds en que est\u00e9n almacenados. El caso termin\u00f3 con la entrega.<\/p>\n

Qu\u00e9 solicitar:<\/strong> identificaci\u00f3n de la entidad contratante, su domicilio social, su estructura de propiedad y control, y la ley a la que est\u00e1 sujeta.<\/p>\n

2. \u00bfD\u00f3nde est\u00e1n f\u00edsicamente los datos, y qui\u00e9n tiene acceso a las instalaciones?<\/h2>\n

La ubicaci\u00f3n no zanja la cuesti\u00f3n de la jurisdicci\u00f3n, pero sigue siendo relevante. Es necesario saber en qu\u00e9 pa\u00eds est\u00e1n los equipos, qui\u00e9n opera el espacio f\u00edsico y si ese operador tiene acceso l\u00f3gico a los sistemas.<\/p>\n

Qu\u00e9 solicitar:<\/strong> ubicaci\u00f3n de los centros de datos, identificaci\u00f3n del proveedor de alojamiento f\u00edsico y una declaraci\u00f3n expresa sobre si ese proveedor tiene o no acceso a los datos.<\/p>\n

3. \u00bfHay transferencias a terceros pa\u00edses, aunque sean ocasionales?<\/h2>\n

La pregunta debe abarcarlo todo, no solo el servicio principal. Anal\u00edtica de tr\u00e1fico del sitio web, herramientas de atenci\u00f3n al cliente, procesamiento de pagos, fuentes cargadas desde servidores externos. Cada uno de estos elementos puede constituir una transferencia.<\/p>\n

Qu\u00e9 solicitar:<\/strong> una lista completa de subencargados y destinatarios, con su ubicaci\u00f3n, y una declaraci\u00f3n sobre transferencias a terceros pa\u00edses.<\/p>\n

4. \u00bfCu\u00e1nto tiempo se conservan los registros de tr\u00e1fico, y con qu\u00e9 fundamento?<\/h2>\n

Muchos proveedores conservan los metadatos de las comunicaciones durante meses o a\u00f1os, por inercia t\u00e9cnica. Conviene recordar el marco vigente: el Tribunal Constitucional portugu\u00e9s declar\u00f3 inconstitucionales, con fuerza obligatoria general, las normas que exig\u00edan la conservaci\u00f3n generalizada de los datos de tr\u00e1fico durante un a\u00f1o, y volvi\u00f3 a declarar inconstitucional un intento posterior de conservaci\u00f3n indiscriminada durante tres meses.<\/p>\n

Dicho de otro modo, la conservaci\u00f3n prolongada de metadatos sin una finalidad concreta ya no es hoy una obligaci\u00f3n. Es un riesgo.<\/p>\n

Qu\u00e9 solicitar:<\/strong> plazos de conservaci\u00f3n concretos por tipo de registro, y la finalidad que los justifica.<\/p>\n

5. \u00bfC\u00f3mo se gestionan las solicitudes de las autoridades, incluidas las extranjeras?<\/h2>\n

Un organismo p\u00fablico tiene especial inter\u00e9s en saber qu\u00e9 ocurre si alguien solicita acceso a sus datos, y sobre todo si ese alguien es una autoridad de otro pa\u00eds.<\/p>\n

Qu\u00e9 solicitar:<\/strong> una descripci\u00f3n del procedimiento interno de revisi\u00f3n de solicitudes, y una declaraci\u00f3n sobre c\u00f3mo se gestionan las solicitudes directas de autoridades de terceros pa\u00edses, que deber\u00edan seguir los mecanismos de cooperaci\u00f3n judicial con intervenci\u00f3n de las autoridades portuguesas. Pregunte tambi\u00e9n si el proveedor publica un informe de transparencia.<\/p>\n

6. \u00bfC\u00f3mo se protege el secreto administrativo y profesional?<\/h2>\n

Procedimientos disciplinarios, datos de salud, informaci\u00f3n clasificada, comunicaciones con abogados. Si estos asuntos circulan por infraestructuras sujetas a la jurisdicci\u00f3n de un tercer pa\u00eds, el deber de secreto deja de depender solo del organismo.<\/p>\n

Qu\u00e9 solicitar:<\/strong> una declaraci\u00f3n sobre el acceso del proveedor al contenido de las comunicaciones, y sobre las circunstancias en que ese acceso puede producirse.<\/p>\n

7. \u00bfAsume el proveedor la funci\u00f3n de encargado del tratamiento, y facilita un acuerdo de<\/h2>\n

tratamiento de datos?<\/p>\n

Para los datos almacenados en los buzones, el organismo p\u00fablico es el responsable del tratamiento y el proveedor es el encargado. Esto exige un contrato escrito con el contenido establecido en el art\u00edculo 28 del Reglamento General de Protecci\u00f3n de Datos. Un proveedor que no lo ofrezca no est\u00e1 en condiciones de contratar con un organismo p\u00fablico.<\/p>\n

Qu\u00e9 solicitar:<\/strong> un borrador de acuerdo de tratamiento de datos, con anexos sobre subencargados y medidas de seguridad.<\/p>\n

8. \u00bfQu\u00e9 ocurre al final del contrato?<\/h2>\n

La reversibilidad se olvida a menudo al contratar y resulta dolorosa al rescindir.<\/p>\n

Qu\u00e9 solicitar:<\/strong> formatos y protocolos de exportaci\u00f3n de datos, plazo de conservaci\u00f3n tras la rescisi\u00f3n, plazo y m\u00e9todo de eliminaci\u00f3n, y si se presta apoyo para la transici\u00f3n a otro proveedor.<\/p>\n

Una nota final sobre lo que est\u00e1 en juego<\/h2>\n

Ninguna de estas preguntas trata de tecnolog\u00eda. Todas tratan de responsabilidad.<\/p>\n

Quien decide sobre la infraestructura de comunicaciones de un organismo p\u00fablico no est\u00e1 eligiendo solo un servicio. Est\u00e1 determinando bajo qu\u00e9 ordenamiento jur\u00eddico quedar\u00e1n las comunicaciones entre el Estado y los ciudadanos a los que sirve. Es una decisi\u00f3n de soberan\u00eda, tomada en un pliego de condiciones.<\/p>\n

 <\/p>\n

La buena noticia es que nada de esto requiere esperar a los planes nacionales. Requiere hacer ocho preguntas, y elegir en funci\u00f3n de las respuestas.<\/strong><\/em><\/p>","protected":false},"excerpt":{"rendered":"

Una lista de comprobaci\u00f3n de soberan\u00eda digital, para usar antes del pr\u00f3ximo procedimiento de contrataci\u00f3n.<\/p>","protected":false},"author":5,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_titles_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_fb_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_twitter_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"categories":[35],"tags":[],"class_list":["post-2314","post","type-post","status-publish","format-standard","hentry","category-sector-publico"],"_links":{"self":[{"href":"https:\/\/sooma.com\/es\/wp-json\/wp\/v2\/posts\/2314","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sooma.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sooma.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sooma.com\/es\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/sooma.com\/es\/wp-json\/wp\/v2\/comments?post=2314"}],"version-history":[{"count":0,"href":"https:\/\/sooma.com\/es\/wp-json\/wp\/v2\/posts\/2314\/revisions"}],"wp:attachment":[{"href":"https:\/\/sooma.com\/es\/wp-json\/wp\/v2\/media?parent=2314"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sooma.com\/es\/wp-json\/wp\/v2\/categories?post=2314"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sooma.com\/es\/wp-json\/wp\/v2\/tags?post=2314"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}