¿Dónde se almacenan sus datos de visitantes? Una checklist de residencia de datos para organizaciones europeas

Cuando los visitantes se registran en su organización a través de un sistema de registro de visitantes, se tratan datos personales. A menudo no se trata solo de su nombre y su hora de llegada: también comparten, por ejemplo, datos de contacto, una firma, una matrícula o una foto.

Pero ¿dónde se almacenan esos datos? ¿Dónde se encuentra exactamente la información cuando está “en la nube”? ¿Quién tiene acceso? ¿Y pueden consultarla proveedores, subencargados del tratamiento o empleados de soporte fuera del Espacio Económico Europeo (EEE)? Desde que el RGPD empezó a aplicarse en 2018, estas preguntas se han vuelto aún más acuciantes.

La residencia de datos, es decir, la ubicación geográfica donde los datos se almacenan físicamente, es un aspecto importante del tratamiento de datos de visitantes conforme a la legislación europea de privacidad. Para directivos, responsables de TI y delegados de protección de datos es, por tanto, un criterio de selección relevante a la hora de elegir un sistema de gestión de visitantes (VMS).

La ubicación del centro de datos principal es solo una parte de la historia. El almacenamiento dentro de la UE, por ejemplo, no significa automáticamente que un sistema cumpla plenamente el RGPD. La ubicación de las copias de seguridad, las transferencias internacionales de datos, los derechos de acceso y los plazos de conservación también influyen.

Nuestra checklist práctica le ayuda a comprobar dónde almacena y trata los datos un sistema de gestión de visitantes, quién tiene acceso y si se producen transferencias internacionales. Así puede evaluar con espíritu crítico las afirmaciones de marketing y comparar proveedores a partir de información concreta.

En este artículo:

• Por qué importa la ubicación de los datos de visitantes
• ¿Exige el RGPD que los datos de visitantes permanezcan en la UE?
• Checklist: así evalúa la residencia de datos de un sistema de gestión de visitantes
• Señales de alerta al comparar proveedores
• Cómo Vizito almacena, trata y elimina los datos de visitantes
• Conclusión

Por qué importa la ubicación de los datos de visitantes

Durante las demos, en Vizito nos preguntan con frecuencia dónde se almacenan los datos de visitantes. No es de extrañar. Para muchas organizaciones, la residencia de datos es, con razón, un criterio de selección importante.

Al fin y al cabo, en el registro de visitantes se tratan datos personales, como nombres, datos de contacto, fotos, firmas y horas de llegada y salida. Dónde se almacenan y tratan esos datos es relevante para el cumplimiento de la legislación de privacidad y para la gestión de riesgos de su organización. Además, la transparencia sobre la ubicación de almacenamiento puede reforzar la confianza de los visitantes.

Legislación de privacidad

Si su organización trata datos personales de visitantes en la UE, ese tratamiento debe cumplir el RGPD. La ubicación donde se almacenan y tratan los datos determina en parte qué normas y garantías jurídicas se aplican. Cuando los datos se tratan fuera del EEE o son accesibles desde allí, se aplican requisitos adicionales para las transferencias internacionales.

La legislación extranjera también puede influir. Un ejemplo conocido es la CLOUD Act estadounidense, en virtud de la cual los proveedores de servicios estadounidenses pueden verse obligados, bajo determinadas condiciones, a entregar datos.

Gestión de riesgos

Una organización es responsable de los datos de visitantes que recopila. Por eso debe saber dónde se almacenan los datos originales, las copias de seguridad y cualquier otra copia, y quién tiene acceso a ellos. Cuanta menos incertidumbre haya al respecto, mejor podrá limitar los riesgos. Por eso muchas organizaciones establecen en sus políticas de privacidad y seguridad dónde pueden almacenarse y tratarse los datos personales.

Lea también: Política de visitantes: cómo crearla (plantilla gratuita)

Confianza de los visitantes

Cada vez más personas son conscientes de la importancia de la privacidad y la protección de datos. El almacenamiento dentro del EEE puede reforzar la confianza de los visitantes preocupados por su privacidad, sobre todo si comunica con transparencia dónde, por qué y durante cuánto tiempo conserva los datos personales de los visitantes y cómo los protege.

¿Exige el RGPD que los datos de visitantes permanezcan en la UE?

La respuesta corta sorprende a muchos: no.

El RGPD no establece que los datos personales, incluidos los datos de visitantes, deban permanecer físicamente dentro de la UE. Lo que sí hace el reglamento es imponer condiciones adicionales cuando los datos personales se transfieren fuera del Espacio Económico Europeo (EEE).

Dentro del EEE

Dentro de la Unión Europea, el RGPD es directamente aplicable. Las normas también rigen en los demás países del EEE: Noruega, Islandia y Liechtenstein. Si su organización almacena o trata datos de visitantes en otro país del EEE, no se aplican condiciones adicionales para las transferencias internacionales.

Fuera del EEE

Todos los países fuera del EEE se denominan terceros países. Cuando los datos personales salen del EEE, se produce una transferencia internacional de datos (también: international data transfer). Eso ocurre, por ejemplo, cuando se almacenan en un servidor de un tercer país, pero también cuando un proveedor o subencargado del tratamiento accede desde uno de esos países a datos que están dentro del EEE.

La transferencia internacional está permitida, pero solo si se cumplen las condiciones del capítulo V, artículos 44 a 50, del RGPD. Para ello existen varios mecanismos:

1. Decisión de adecuación

La Comisión Europea puede determinar que un país, un territorio o un sector concreto ofrece un nivel adecuado de protección de datos. Algunos ejemplos son el Reino Unido, Suiza, Japón, Corea del Sur y Nueva Zelanda. En el caso de Canadá, la decisión solo se aplica a las organizaciones comerciales sujetas a la ley de privacidad PIPEDA.

En una transferencia basada en una decisión de adecuación no se necesitan garantías adecuadas adicionales. Como las decisiones de adecuación se revisan periódicamente, lo mejor es consultar siempre la lista actualizada de la Comisión Europea.

2. Garantías adecuadas

Si no existe una decisión de adecuación, hace falta una acción adicional para proteger los datos. Puede hacerse sobre la base de garantías adecuadas. Algunos ejemplos son las cláusulas contractuales tipo de la Comisión Europea, también conocidas como Standard Contractual Clauses (SCC), y las normas corporativas vinculantes o Binding Corporate Rules (BCR).

Un contrato por sí solo no siempre basta. Las organizaciones implicadas también deben evaluar si la legislación del país receptor permite que los acuerdos se cumplan realmente. En función del riesgo, pueden ser necesarias medidas adicionales.

3. Excepciones

El RGPD también prevé algunas excepciones. Una transferencia puede ser posible, por ejemplo, con el consentimiento explícito del interesado o cuando sea necesaria para un contrato o por razones de interés público. Estas excepciones están pensadas para situaciones concretas, no para tratar datos de visitantes fuera del EEE de forma habitual.

¿Qué ocurre con Estados Unidos?

Es una historia complicada. La Comisión Europea ha aprobado hasta ahora tres regímenes para la transferencia de datos personales a organizaciones estadounidenses. El primero, Safe Harbor, fue invalidado en 2015 por el Tribunal de Justicia de la Unión Europea. Su sucesor, el EU-US Privacy Shield, corrió la misma suerte en 2020.

Desde julio de 2023 está en vigor el EU-US Data Privacy Framework. Gracias a él, los datos personales pueden volver a almacenarse en Estados Unidos sin garantías adicionales para la transferencia internacional, pero solo en organizaciones estadounidenses certificadas que figuren en la lista oficial de participantes. En los demás casos se necesitan garantías adecuadas.

Como los dos regímenes anteriores fueron invalidados, la transferencia a Estados Unidos sigue siendo un punto de atención. Compruebe siempre, por tanto, que la decisión sigue vigente y que la organización en cuestión está certificada.

En resumen: el RGPD no obliga de forma general a las organizaciones a mantener los datos de visitantes dentro de Europa. Sin embargo, el almacenamiento y el tratamiento dentro del EEE suelen simplificar la evaluación jurídica, porque entonces no se aplican las normas adicionales para las transferencias a terceros países. Compruebe no solo la ubicación de almacenamiento principal, sino también dónde están las copias de seguridad y otras copias y desde qué países tienen acceso los proveedores y subencargados del tratamiento.

Lea también: RGPD y gestión de visitantes: guía práctica

Checklist: así evalúa la residencia de datos de un sistema de gestión de visitantes

Utilice esta checklist para comprobar dónde se almacenan y tratan realmente los datos de visitantes.

1. Compruebe todas las ubicaciones de almacenamiento

• ¿En qué país o región de nube se encuentra la base de datos principal?
• ¿Dónde se almacenan las copias de seguridad y las copias para la recuperación del sistema?
• ¿Dónde se guardan las fotos y los documentos firmados?
• ¿Dónde acaban los archivos de log y las copias temporales?
• ¿Se almacenan datos personales fuera del EEE? En caso afirmativo, ¿cuáles y dónde?

2. Compruebe quién tiene acceso

• ¿Quién es el proveedor del sistema de gestión de visitantes y en qué país tiene su sede?
• ¿Qué proveedor de nube utiliza y dónde tienen su sede ese proveedor y su empresa matriz?
• ¿Qué subencargados del tratamiento tratan datos de visitantes y desde qué países lo hacen?
• ¿Pueden los empleados de soporte o de ingeniería consultar los datos de visitantes? En caso afirmativo, ¿cuándo y desde qué países?
• ¿Está ese acceso limitado a empleados autorizados, debidamente protegido y registrado?
• ¿Puede alguien fuera del EEE acceder a los datos?

3. Compruebe las transferencias internacionales

• ¿Se almacenan, tratan o hacen accesibles los datos de visitantes fuera del EEE?
• ¿A qué países y organizaciones se transfieren?
• ¿Existe una decisión de adecuación para el país receptor?
• ¿Se trata de una organización estadounidense? ¿Está certificada bajo el EU-US Data Privacy Framework?
• Si no existe una decisión de adecuación: ¿se han utilizado garantías adecuadas, como cláusulas contractuales tipo?
• ¿Se han evaluado los riesgos de la transferencia y se han adoptado, si era necesario, medidas técnicas u organizativas adicionales?
• ¿Puede el proveedor acreditar estos acuerdos por escrito?

Atención: la residencia de datos es solo una parte de la protección de datos y, por sí sola, no garantiza el cumplimiento del RGPD. Compruebe también que solo recopila los datos personales necesarios para la finalidad del registro de visitantes (minimización de datos) y evalúe los plazos de conservación, los procedimientos de eliminación, el cifrado y la seguridad de acceso del sistema.

Señales de alerta al comparar proveedores

La checklist anterior le ayuda a evaluar a los proveedores de forma específica. Fíjese en lo concretas y completas que son sus respuestas. Desconfíe cuando un proveedor:

• solo indica que los datos están “en la nube” o “en Europa”;
• facilita únicamente la ubicación de la base de datos principal;
• no aclara nada sobre copias de seguridad, copias y archivos de log;
• no puede entregar una lista actualizada de subencargados del tratamiento;
• no especifica desde qué países tienen acceso sus empleados;
• no menciona una base jurídica clara para las transferencias fuera del EEE;
• no puede confirmar por escrito sus afirmaciones sobre residencia de datos.

Cómo Vizito almacena, trata y elimina los datos de visitantes

Si utiliza Vizito, sus datos de visitantes permanecen dentro de la Unión Europea. Vizito los aloja en servidores de Ámsterdam y Fráncfort. Para el alojamiento, Vizito colabora con Leaseweb Global B.V. Los demás subencargados del tratamiento y sus ubicaciones figuran en el contrato de encargado del tratamiento.

Como cliente, decide qué datos de visitantes recopila y durante cuánto tiempo los conserva. En cuanto vence el plazo de conservación configurado, el registro se elimina automáticamente. Vizito trata los datos de visitantes exclusivamente para prestar el servicio y no los utiliza para publicidad, elaboración de perfiles ni otros fines comerciales propios.

Los datos de visitantes se cifran tanto en tránsito como en reposo. Además, Vizito cuenta con la certificación ISO 27001, lo que significa que su sistema de gestión de la seguridad de la información ha sido auditado de forma independiente.

Para más información, puede consultar nuestra página sobre Vizito y el RGPD.

Conclusión

Dónde se almacenan los datos de visitantes no es una simple cuestión técnica. La ubicación determina en parte qué normas de privacidad y qué condiciones para la transferencia internacional se aplican, y cuánta visibilidad tiene su organización sobre el tratamiento de esos datos.

No se trata solo de la base de datos principal, sino también de las copias de seguridad y otras copias, de qué subencargados del tratamiento intervienen y desde qué países pueden acceder los empleados.

El RGPD no obliga a que los datos de visitantes permanezcan dentro del EEE. Sin embargo, el almacenamiento y el tratamiento dentro del EEE suelen facilitar el cumplimiento de la ley. Pero la residencia de datos es solo una parte de la protección de datos: la minimización de datos, la seguridad, los plazos de conservación y la eliminación a tiempo siguen siendo esenciales.

¿Quiere ver en la práctica cómo Vizito le ayuda a gestionar los datos de visitantes de forma segura y ordenada? Pruebe Vizito gratis durante 14 días o reserve una demo.