Una pregunta que muy pocos hacen antes de contratar
Llevo más de una década montando y vendiendo software en la nube para clínicas y pymes, primero como cirujano ortopédico que no encontraba herramientas que me convencieran, y después como fundador de Massive Bionics, donde desarrollamos productos como software médico para equipos sanitarios reales. Y puedo deciros algo con total honestidad: en cientos de conversaciones con gerentes de clínicas, dentistas, fisioterapeutas y dueños de despachos, la pregunta sobre la ubicación de los servidores aparece en menos de una de cada diez reuniones. El resto da por sentado que "la nube" es un sitio neutral, seguro y sin fronteras. Eso es un error que puede tener consecuencias muy serias.
No lo digo para asustar. Lo digo porque por experiencia sé que, cuando llega una inspección de la Agencia Española de Protección de Datos, o cuando un paciente ejerce su derecho de supresión, o cuando hay una brecha de seguridad, la primera pregunta que surge es exactamente esa: ¿dónde están los datos?
Qué significa exactamente que los datos estén "en la UE"
Cuando hablo de que los datos viven en la Unión Europea, me refiero a que los servidores físicos donde se almacena la información están situados dentro del territorio de la UE, sujetos a la legislación europea y, en particular, al Reglamento General de Protección de Datos, el RGPD. Eso implica una serie de garantías concretas.
Si los datos de tus pacientes, clientes o expedientes jurídicos están alojados en servidores dentro de la UE, el proveedor está obligado a cumplir con el RGPD del mismo modo que tú. Puedes exigirle un contrato de encargado del tratamiento con cláusulas claras, tienes mecanismos legales europeos para reclamar, y cualquier transferencia de esos datos a terceros está regulada.
Si los datos están fuera de la UE, el escenario cambia. No todos los países tienen un nivel de protección equivalente al europeo. Estados Unidos, por ejemplo, ha tenido una historia complicada en este sentido: el acuerdo Safe Harbor fue anulado en 2015 por el Tribunal de Justicia de la UE, el Privacy Shield corrió la misma suerte en 2020, y el marco actual, el Data Privacy Framework adoptado en 2023, tiene defensores y detractores y podría volver a ser impugnado. No invento nada: todo esto es historial jurídico público y verificable.
Por qué esto afecta directamente a tu responsabilidad como gestor
Aquí es donde muchos gerentes cometen el error más caro. Piensan que si contratan un software externo, la responsabilidad de la protección de datos recae en el proveedor. Falso. Bajo el RGPD, tú eres el responsable del tratamiento. El proveedor de software es el encargado. Si ese encargado tiene los datos en un país sin garantías equivalentes y tú no lo sabías, ni lo habías comprobado, ni tenías un contrato que lo regulase, la multa te llega a ti.
Lo que he visto en clínicas que han pasado por este trance es que el problema no venía de un ciberataque llamativo, sino de una auditoría rutinaria donde el inspector preguntó: ¿tiene usted firmado el contrato de encargado del tratamiento con su proveedor de software? ¿Sabe usted dónde se alojan los datos? En demasiados casos, la respuesta fue un silencio incómodo.
Si gestionas una clínica médica, dental o un despacho de abogados, los datos que manejas son especialmente sensibles. Los datos de salud están en la categoría especialmente protegida del RGPD. Los expedientes jurídicos conllevan secreto profesional. No es lo mismo que una lista de correos de una tienda online.
Las preguntas concretas que debes hacer a tu proveedor
Cuando fundamos Massive Bionics y empezamos a hablar con clínicas de toda España, aprendimos que la mayoría de los gestores no saben qué preguntar. Así que aquí va una lista directa y sin rodeos:
- ¿En qué país están físicamente los servidores donde se almacenan mis datos? No vale "la nube de Amazon" o "Google Cloud". Hay que saber la región concreta.
- ¿Tenéis firmado un contrato de encargado del tratamiento que cumpla con el RGPD? Debe ser un documento específico, no una cláusula enterrada en los términos y condiciones.
- ¿Subcontratáis el almacenamiento a terceros? ¿Dónde están esos terceros? Muchos proveedores pequeños usan infraestructuras de empresas estadounidenses sin decirlo explícitamente.
- ¿Qué protocolo seguís en caso de brecha de seguridad? ¿En qué plazo me notificáis? El RGPD obliga a notificar a la autoridad de control en 72 horas. Tu proveedor debe notificarte a ti antes.
- ¿Puedo auditar vuestro cumplimiento o tenéis una certificación verificable? ISO 27001, ENS o certificaciones equivalentes son señales de seriedad.
Si el proveedor no sabe responder a alguna de estas preguntas, o se pone evasivo, ya tienes una información muy valiosa sobre él.
El argumento práctico más allá del cumplimiento legal
Más allá de multas y regulaciones, hay un argumento puramente práctico que aprendí gestionando mis propios productos. Cuando los datos están en la UE, los tiempos de respuesta del servidor son mejores para usuarios europeos. El soporte técnico suele estar más alineado con tu horario y tu idioma. Y en caso de necesitar recuperar datos de forma urgente, los mecanismos legales que tienes a tu alcance son infinitamente más ágiles que intentar reclamar algo a una empresa en otro continente bajo otra jurisdicción.
Para una clínica dental que necesita acceder a la historia clínica de un paciente en mitad de una urgencia, o para un despacho de abogados que tiene un plazo procesal en 48 horas, la disponibilidad y la localización de los datos no son un tecnicismo: son una cuestión operativa crítica. Si quieres comparar opciones que cumplen con estas garantías, puedes echar un vistazo a nuestra comparativa de software para clínicas dentales o de software médico, donde filtramos precisamente por estos criterios.
Lo que recomiendo hacer esta semana
No hace falta un proyecto de transformación digital para empezar. Esta semana, busca el contrato que tienes firmado con tu proveedor de software principal y busca dos cosas: dónde se menciona la ubicación de los datos y si existe un anexo de encargado del tratamiento. Si no encuentras ninguno de los dos, llama a tu proveedor y pídelos. Si no te los pueden facilitar, tienes un problema real que deberías resolver antes de que lo resuelva una inspección por ti.
En portales como gestionmedica.org puedes encontrar información adicional sobre proveedores de software para el sector sanitario que trabajan con infraestructura europea y documentación RGPD en regla. Es un buen punto de partida si estás evaluando alternativas.
La localización de tus datos no es un detalle técnico que delegas al informático. Es una decisión de negocio y de responsabilidad legal que te afecta directamente a ti como titular o gerente. Cuanto antes lo trates como tal, mejor.
Preguntas frecuentes
¿Puedo usar software de un proveedor estadounidense y seguir cumpliendo el RGPD?
Sí, es posible, pero con condiciones. Debes tener firmadas las cláusulas contractuales tipo aprobadas por la Comisión Europea, comprobar que el proveedor está acogido al Data Privacy Framework vigente y asegurarte de que el contrato de encargado del tratamiento regula explícitamente las transferencias internacionales. Sin esas garantías documentadas, el riesgo legal es tuyo.
¿Qué diferencia hay entre que los datos estén en Europa y que estén en España concretamente?
A efectos del RGPD, cualquier país miembro de la UE ofrece el mismo nivel de protección legal. No hay obligación de que los datos estén en España. Lo que importa es que estén dentro del Espacio Económico Europeo o en un país con una decisión de adecuación reconocida por la Comisión Europea.
¿Cómo sé realmente dónde están mis datos si el proveedor dice que usa "la nube"?
Tienes derecho a saberlo. Pide al proveedor que te indique por escrito la región concreta del centro de datos donde se almacena tu información. Los grandes proveedores de infraestructura como AWS, Azure o Google Cloud permiten elegir la región europea y lo documentan. Si tu proveedor de software no puede o no quiere decírtelo, eso ya es una respuesta en sí misma.
¿Qué ocurre si cambio de software y necesito que los datos pasen de un proveedor a otro?
El RGPD recoge el derecho a la portabilidad de los datos, y como responsable del tratamiento tienes derecho a recuperar tu información en un formato usable. Lo que no garantiza la ley es que el proceso sea cómodo ni gratuito, así que negocia las condiciones de salida antes de firmar cualquier contrato, no cuando ya quieres marcharte.