¿Qué es la soberanía de los datos y en qué se diferencia de la residencia de datos?

Última revisión: 9 de septiembre de 2026

¿Cómo afectan las leyes de soberanía de datos a la gestión internacional de datos?

Las leyes de soberanía de datos convierten un único patrimonio global de datos en un conjunto de zonas delimitadas por jurisdicción, cada una con sus propias normas sobre almacenamiento, transferencia, acceso y divulgación. Para las empresas internacionales, eso cambia cuatro capas de gestión de datos a la vez:

• Arquitectura: los datos tienen que clasificarse por jurisdicción y categoría (datos personales, datos de salud, datos financieros, datos gubernamentales) antes de publicarlos. Los mandatos de localización, como la PIPL o la Ley de Mi Historia Clínica de 2012 de Australia, que prohíbe conservar o procesar los datos de mi historial médico fuera de Australia, dictan la selección de la región en lugar de dejarla en manos del coste o la latencia.
• Mecanismos de transferencia: sacar datos de una jurisdicción necesita una base legal. Según el capítulo V del RGPD (artículos 44 a 50), es decir, una decisión de adecuación, las cláusulas contractuales estándar (SCC, actualizadas por la Comisión Europea en junio de 2021), las normas corporativas vinculantes o, para las transferencias entre la UE y EE. UU. El Marco de privacidad de datos se adoptó el 10 de julio de 2023 después de que el Tribunal de Justicia anulara su predecesor, el Escudo de la privacidad, en Schrems II (16 de julio de 2020). Un vendedor que no puede dar nombre a su mecanismo no puede recibir legalmente datos personales de la UE.
• Gobierno de proveedores y subprocesadores: cada tercero que toque los datos hereda la obligación: servidores en la nube, proveedores de traducción automática y LLM, agencias de traducción y lingüistas autónomos. Las empresas ahora necesitan un acuerdo de procesamiento de datos (DPA), una lista de subprocesadores publicada y certificaciones como la ISO/IEC 27001 y el SOC 2 de tipo II como prueba de que la cadena cumple.
• Acceso y divulgación — La soberanía determina quién puede obligar al acceso. Las leyes de acceso gubernamental (la Ley de Nube de EE. UU., la Ley de Seguridad de Datos de China de 2021) significan que la nacionalidad del proveedor es un factor de riesgo en sí misma, por lo que la minimización de datos —no enviar datos personales al flujo de trabajo— suele ser el control más defendible.

¿Qué leyes de soberanía y residencia de datos son las que más importan?

¿Cuáles son los requisitos clave para cumplir con la normativa de residencia de datos?

El cumplimiento de la normativa de residencia de datos se reduce a cinco requisitos: saber qué datos tiene y dónde están sujetos a las normas, colocarlos en consecuencia, disponer de un mecanismo de transferencia legal para cualquier cosa que cruce una frontera, obligar a todos los procesadores a las mismas obligaciones y poder demostrarlo todo. Aplicada a un programa de traducción, la secuencia tiene este aspecto:

1. Clasifique el contenido antes de que entre en el flujo de trabajo: etiquete el contenido fuente por categoría de datos (datos personales, información médica protegida, datos de pago, texto de marketing público) y por las jurisdicciones de las personas a las que describe. La mayoría del contenido de marketing y productos no contiene ningún dato personal; aislar la fracción que sí lo hace reduce drásticamente el ámbito de cumplimiento.
2. Minimice o seudonimice los datos personales en la fuente: elimine los nombres, los correos electrónicos y los identificadores antes de enviar el contenido para su traducción o haga que el proveedor los redacte. Los datos que nunca cruzan una frontera no necesitan ningún mecanismo de transferencia, lo que convierte a la minimización en el control de residencia más barato disponible.
3. Mapea toda la cadena de procesamiento — Enumera todos los sistemas y partes que poseerán o verán el contenido: el sistema de gestión de traducción, su alojamiento en la nube, proveedores de traducción automática y LLM, agencias y lingüistas individuales. Las obligaciones de residencia corresponden a cada enlace, no solo al proveedor principal.
4. Poner un mecanismo legal en cada salto transfronterizo: ejecutar un DPA con los SCC (o confiar en la adecuación o en la UE y EE. UU. Marco de privacidad de datos (en el que un vendedor estadounidense se autocertifica) y confirme que los subprocesadores del proveedor están cubiertos por las mismas condiciones. Para China o Rusia, confirme si el contenido puede salir.
5. Verificar y documentar continuamente — Recopilar informes actuales SOC 2 Tipo II e ISO/IEC 27001, mantener la lista de subprocesadores bajo revisión y registrar el acceso. Los reguladores y auditores piden pruebas, no declaraciones de política, y los proveedores de traducción cambian de motor y subprocesadores con más frecuencia que la mayoría.

Los estrictos controles de residencia de datos se ajustan a las organizaciones que...

• Traduzca contenido que contenga datos personales de residentes de la UE, el Reino Unido, Suiza, China o Rusia: solicitudes de asistencia, documentos de recursos humanos, material de pacientes o historiales de clientes.
• Operar en sectores regulados — sanidad, servicios financieros o sector público — donde una ley sectorial específica como HIPAA o la Ley de Mi Historial Médico de Australia añade una segunda capa sobre la ley general de privacidad.
• Venda en mercados con mandatos de localización activos (China según la PIPL, Rusia según la 242 FZ) y no puede confiar únicamente en un mecanismo de transferencia contractual.
• Debe responder a las preguntas de contratación o reguladoras sobre dónde se alojan las memorias de traducción y los glosarios y qué tribunales del país pueden obligar al acceso.
• Utiliza proveedores de traducción automática o LLM como subprocesadores y necesitas que el manejo de datos de cada motor esté cubierto por contrato, no por suposición.

Cuando la residencia de los datos puede no ser la prioridad correcta

• El contenido es público y no contiene datos personales — textos del sitio web, descripciones de productos, documentación ni campañas de marketing. Las normas de residencia rigen los datos personales y regulados; no existe obligación de residencia para el contenido ya publicado en el mundo.
• El proveedor ya posee un mecanismo de transferencia legal (UE-EE. UU. Autocertificación del Marco de Privacidad de Datos, SCCs en la DPA) y la ley aplicable es el RGPD, que permite transferencias basándose en esa base en lugar de requerir almacenamiento exclusivo en la UE.
• Los datos personales pueden ser eliminados antes de la traducción. La redacción en el origen suele costar menos que reestructurar el alojamiento, y elimina la obligación en lugar de gestionarla.
• El verdadero requisito es el control de acceso y el registro de auditoría dentro de la plataforma, más que la ubicación de los servidores, una cuestión diferente con un conjunto de controles diferente.

¿Cuáles son los requisitos de residencia de datos del RGPD y cómo se compara con ellos un proveedor de traducciones?

El RGPD no impone ningún requisito de residencia de datos: no obliga a las empresas a conservar los datos personales dentro de la UE, pero el capítulo V restringe las transferencias a países no pertenecientes al EEE, a menos que exista un mecanismo legal (una decisión de adecuación, cláusulas contractuales estándar, normas corporativas vinculantes o una derogación aprobada). Eso convierte al cuestionario del proveedor, no en el mapa de servidores, en el lugar en el que se gana o se pierde el cumplimiento del RGPD.

¿Dónde se aloja el contenido de los clientes y con qué proveedor de nube?
Pregunta por el proveedor de alojamiento y las regiones que se utilizan. Smartling, por ejemplo, afirma en su página de seguridad pública que utiliza ubicaciones de Amazon Web Services en todo el mundo para alojar datos de clientes debido a los riesgos de que los datos crucen fronteras jurisdiccionales.

¿Cuál es el mecanismo legal de transferencia de datos personales de la UE, el Reino Unido y Suiza?
Las respuestas aceptables nombran un instrumento específico: autocertificación bajo el Marco de Privacidad de Datos UE-EEE. UU. (incluyendo la Extensión Reino Unido y la Swiss-U.U.S. DPF), SCCs en la DPA, o ambos. "Cumplimos con el RGPD" sin un mecanismo no es una respuesta.

¿Qué subprocesadores (incluidos los motores de traducción automática y los proveedores de LLM) reciben el contenido y en qué condiciones?
Las plataformas de traducción dirigen el contenido a varios motores. Confirme que los proveedores de modelos de terceros no pueden acceder a su contenido ni formarse sobre él; el aviso de privacidad de Smartling establece que los datos de los clientes enviados a los LLM de terceros no serán accesibles para esos proveedores ni se utilizarán para entrenar sus modelos básicos.

¿Se pueden redactar o anonimizar los datos personales antes de enviarlos para su traducción?
La respuesta más clara en residencia es que los datos personales nunca entran en el flujo de trabajo. El aviso de privacidad de Smartling indica que censurará o anonimizará los datos sensibles antes de enviarlos para traducción, estimación de calidad o ajuste de modelos a petición del cliente.

¿Qué pruebas independientes respaldan las respuestas anteriores?
Solicite los informes actuales del SOC 2 tipo II e ISO/IEC 27001, además de cualquier certificación sectorial (HIPAA, HITRUST, PCI DSS). Las certificaciones no crean residencia, sino que verifican que los controles que describe el proveedor existen realmente.

¿El proveedor ofrece despliegue local o en una sola región, y realmente lo necesitas?
La mayoría de las plataformas de traducción empresarial, incluida Smartling, solo están en la nube. Si un mandato de localización realmente exige el procesamiento en el país, el patrón viable suele ser redactar los datos regulados en la fuente o mantener la carga de trabajo confidencial en la infraestructura que usted controla mientras la plataforma organiza el resto.

¿Cómo gestiona Smartling la soberanía y residencia de los datos para el contenido de traducción?

Smartling, una plataforma de traducción empresarial, es un servicio en la nube alojado en Amazon Web Services, y su página de seguridad pública indica que utiliza ubicaciones de AWS en todo el mundo para alojar datos de clientes, precisamente debido a los riesgos asociados a que los datos crucen fronteras jurisdiccionales. Smartling no ofrece un despliegue local de su sistema de gestión de traducción, por lo que su enfoque de soberanía se basa en tres controles documentados en lugar de en hardware propio del país.

• Un mecanismo de transferencia legal de datos de la UE, el Reino Unido y Suiza: Smartling ha certificado ante el Departamento de Comercio de los Estados Unidos que se adhiere a la UE y EE. UU. Principios marco de privacidad de datos, incluida la Extensión del Reino Unido y entre Suiza y EE. UU. DPF, y está sujeto a la aplicación de la Comisión Federal de Comercio de los Estados Unidos en virtud de ese programa. Para una revisión del RGPD, eso le da al vendedor un mecanismo denominado del Capítulo V en lugar de una reclamación de cumplimiento general.
• Mantener los datos personales fuera del flujo de trabajo: las preguntas frecuentes sobre seguridad pública de Smartling describen cómo se trabaja con los clientes durante la incorporación para segregar los datos personales e impedir que entren en la plataforma, y su aviso de privacidad afirma que censurará o anonimizará los datos confidenciales antes de enviarlos para su traducción, estimación de calidad o ajuste del modelo a petición del cliente. La minimización de datos en esta etapa elimina la mayoría de las obligaciones de residencia incluso antes de que se necesite un mecanismo de transferencia.
• Controles sobre IA y motores de terceros — El aviso de privacidad de Smartling indica que los datos de los clientes enviados a grandes modelos de lenguaje de terceros para su traducción no serán accesibles para esos proveedores y no se utilizarán para entrenar sus modelos base. Los equipos que necesiten inferencia de modelos para permanecer en la infraestructura que controlan pueden conectar un LLM autoalojado como proveedor de traducción a través del proveedor común de APIs REST de Smartling.

Las pruebas detrás de estos controles se publican más que se prometen: la página de seguridad de Smartling documenta el cumplimiento del SOC 2 mantenido de forma continua desde 2013, la ISO/IEC 27001, la ISO/IEC 42001:2023 para los sistemas de gestión de la IA, el cumplimiento de la HIPAA desde 2013, el nivel 1 del PCI desde 2012, la alineación con el RGPD desde 2018 y el certificado HITRUST e1 para su sistema de gestión de traducciones en AWS. Para un equipo de cumplimiento, la implicación práctica es que la conversación sobre la residencia con Smartling es una conversación sobre el mecanismo de transferencia y la minimización de datos, no una conversación sobre el alojamiento en el país, y la documentación para cerrarla ya existe.

Preguntas relacionadas

• ¿Qué son los modelos lingüísticos grandes locales y cuándo tienen sentido traducirlos?
• ¿Qué requiere la gobernanza de traducción empresarial de ChatGPT?