En 2007, algunos bancos estonios cerraron temporalmente el acceso desde el extranjero para mantener el servicio dentro del país durante los ciberataques. Para seguir atendiendo dentro, tuvieron que cerrar fuera. [1]
Las embajadas de datos son la respuesta jurídica más seria a una pregunta que todo Estado, y toda empresa, debería hacerse: ¿desde dónde sigo funcionando si mi territorio cae? Su fuerza está en la inmunidad pactada, con protecciones concretas frente al anfitrión. Atribuir en bloque la jurisdicción al «dueño de los datos» oculta esa innovación.
Estonia firmó su acuerdo con Luxemburgo el 20 de junio de 2017. Entró en vigor el 16 de mayo de 2018. La apuesta fue conservar datos y capacidad operativa fuera de las fronteras, con garantías jurídicas negociadas de antemano. Esa es una política de continuidad que merece tomarse en serio. [2][3]
Poner a salvo funciones, no acumular copias
Una embajada de datos aloja registros estatales en otro país con garantías especiales del anfitrión. La estonia forma parte de la nube del Estado y permite respaldo y ejecución de sistemas. Importa dónde están los datos y qué pueden hacer las autoridades con ellos. [2][4]
Propiedad, población, justicia y pensiones figuran entre los registros identificados en la ficha europea de Estonia de 2022. Custodiarlos significa preservar funciones públicas. Riigi IT Keskus (RIT), el centro estatal de tecnologías de la información, exige que cada titular respalde su base y pruebe anualmente la restauración. La continuidad se demuestra recuperando. [4][5]
Luxemburgo aporta espacio en infraestructura de LuxConnect. RIT asume fiabilidad, seguridad y soporte de la plataforma. El reparto de responsabilidades vale más que cualquier promesa genérica de seguridad. [4][6]
La soberanía se protege mediante obligaciones concretas
Los artículos 22 y 24 de la Convención de Viena protegen locales y archivos diplomáticos. El tratado estonio reconoce que esa Convención resulta insuficiente para este alojamiento y establece garantías propias. Ahí está el avance: convertir una aspiración de control en obligaciones para el anfitrión. [2][7]
La inviolabilidad impide entradas, registros o incautaciones en los términos pactados. Las autoridades luxemburguesas necesitan autorización estonia para acceder a los locales protegidos. Se presume el consentimiento ante incendio u otra emergencia urgente peligrosa. La inmunidad protege los equipos y licencias estonios instalados allí frente a procesos jurídicos. Datos y sistemas quedan protegidos como archivos estonios; las comunicaciones reciben garantías específicas. [2]
Luxemburgo acepta así límites a sus potestades. El artículo 8 conserva el derecho internacional, el de la Unión Europea y, como complemento cuando proceda, el luxemburgués. Los privilegios protegen cosas y archivos, sin inmunidad personal general para los trabajadores. Estonia conserva control mediante un acuerdo, sin adquirir territorio ni sustituir todas las leyes del anfitrión. [2][8]
Tres vías para buscar continuidad
Mónaco firmó con Luxemburgo otro acuerdo en 2021, con aprobaciones nacionales documentadas después. Protege locales, datos y sistemas. Refuerza el valor del modelo: negociar protección entre Estados. [10]
Baréin eligió otra técnica. Su Decreto-ley 56/2018 reconoce jurisdicción y leyes del país donde el cliente extranjero esté domiciliado, constituido o establecido sobre determinados contenidos. Incluye clientes públicos y privados, exige designación del país y del centro y contempla intervención local para ejecutar determinadas órdenes extranjeras. Es una atribución jurídica condicionada, sin inmunidad diplomática general para edificios o trabajadores. [11]
Ucrania ofrece la vía de la evacuación. En diciembre de 2022, su Gobierno declaró haber migrado unos cien registros y bases críticas con apoyo de Amazon Web Services (AWS). La nube extranjera sirve para separar riesgos; las inmunidades exigen protección adicional del anfitrión. [12]
La elección exige precisión. Una copia exterior separa ubicaciones; la localización obligatoria fija dónde deben permanecer ciertos datos. Una «nube soberana» promete controles sobre infraestructura, accesos, claves y dependencias. Esos controles merecen revisión concreta. El contrato privado reparte obligaciones y elige ley y foro; la inmunidad frente a autoridades requiere otro fundamento jurídico. [2][9][11]
El Golfo recuerda que el derecho no sostiene un servidor
Reuters informó en septiembre de 2026 de que AWS no podía restaurar recursos y datos que no se habían migrado antes de la indisponibilidad en Baréin. La lección es severa: reconocer jurisdicción extranjera sobre contenidos y mantener viva la infraestructura resuelven problemas distintos. [11][14]
Luxemburgo debe proteger los locales estonios frente a intrusiones y daños. El tratado contempla emergencias y terminación. La protección jurídica no garantiza supervivencia física: hacen falta electricidad, conectividad y copias recuperables. La restauración, los fallos y la salida del servicio merecen tanta atención contractual como las inmunidades. [2]
La incertidumbre es concreta: las fuentes no acreditan un caso que pruebe la eficacia de estas inmunidades bajo guerra ni frente a una orden extranjera. [2][14][15]
CLOUD Act: el proveedor también importa
La extraterritorialidad es la pretensión de una ley de alcanzar situaciones fuera de su Estado. El CLOUD Act estadounidense exige a los sujetos a su régimen preservar o entregar información bajo su posesión, custodia o control, aunque esté almacenada fuera de Estados Unidos. Opera mediante el procedimiento legal correspondiente. [15]
Elegir país sin revisar proveedor deja incompleta la decisión. Importan la entidad contratante, la matriz, los accesos remotos y el control efectivo. La ley china de inteligencia también impone deberes de cooperación a organizaciones y ciudadanos; ejecutarlos en Luxemburgo exige un fundamento distinto de esa obligación nacional. El análisis debe seguir a los actores que controlan los datos. [16]
Los ciudadanos conservan sus derechos
La protección estatal de los archivos debe preservar los derechos de las personas. El Reglamento General de Protección de Datos (RGPD) sigue rigiendo los tratamientos comprendidos en su ámbito. El alojamiento Estonia–Luxemburgo ocurre dentro de la Unión Europea. Para destinos terceros se añaden las reglas de transferencias internacionales. Base jurídica, responsabilidades y seguridad siguen siendo exigibles. [9]
Para datos no personales, el Reglamento 2018/1807 limita las exigencias nacionales de localización dentro de la Unión, con excepciones por seguridad pública. El Reglamento de Datos añade medidas frente a determinados accesos gubernamentales de terceros países incompatibles con el derecho aplicable. La circulación y la protección tienen sus reglas; el estatuto diplomático necesita las suyas. [17][18]
España: demostrar que la copia puede recuperarse
La prioridad española debería ser demostrar la restauración dentro de las ubicaciones permitidas. El Esquema Nacional de Seguridad exige copias y continuidad ante la pérdida de medios habituales. Para disponibilidad alta, el refuerzo correspondiente requiere separación suficiente para evitar que un incidente alcance original y respaldo. La copia puede estar dentro del país. [19]
El artículo 46 bis de la Ley 40/2015 exige ubicación y prestación en la Unión Europea para los sistemas y tratamientos públicos que enumera. Establece reglas y excepciones para transferencias a terceros países. Su alcance es específico, sin imponer residencia española a todos los datos públicos. [20]
El convenio de NubeSARA publicado en 2025 describe almacenamiento y computación híbridos con redundancia y tolerancia a fallos. Es infraestructura pública para sostener servicios. Su valor debe medirse en capacidad de recuperación. [21]
Noruega: concretar el control y respetar los archivos
Noruega necesita traducir el control nacional en decisiones comprobables. La sikkerhetsloven, su ley de seguridad, protege información cuya pérdida, alteración, divulgación o indisponibilidad perjudique intereses nacionales. La ley no exige residencia noruega para todos los datos. La circular de digitalización de 2025 exige evaluar riesgos tecnológicos y considerar la nube junto con otras alternativas. [22][23]
El Gobierno anunció planes para una nube nacional destinada a controlar infraestructura y funciones críticas. Digdir, la agencia de digitalización, recuerda que las condiciones estándar del proveedor mantienen la responsabilidad del cliente de conocer la seguridad y su reparto. Aceptar esas condiciones sin conocer las responsabilidades deja el control en manos del proveedor. [24][25]
La transición a la nueva ley de archivos en 2026 mantuvo la regla anterior de exportación. Nasjonalarkivet interpreta que caben copias digitales fuera si el archivo completo permanece almacenado continuamente en Noruega. Esa distinción debe decidir el diseño del respaldo. [26]
A 7 de noviembre de 2026, el Reglamento de Datos figuraba bajo examen de incorporación al Espacio Económico Europeo. Su aplicación en Noruega requiere verificar esa incorporación. [27]
Cuatro respuestas que ya deberían existir
La lección para empresas y despachos es decidir qué debe sobrevivir y demostrar cómo recuperarlo. País, proveedor, accesos, claves, restauración y salida forman parte de esa decisión. En un despacho, la confidencialidad profesional debe guiar cualquier traslado de expedientes o apertura de accesos. [9][19][25]
Estas cuatro preguntas deberían tener respuesta hoy:
- ¿Desde dónde seguimos funcionando si nuestra sede queda inutilizada?
- ¿Qué datos debemos recuperar, en cuánto tiempo y con qué pérdida tolerable?
- ¿Quién puede acceder a los expedientes, con qué fundamento y bajo qué garantías de confidencialidad?
- ¿Cuándo probamos por última vez la restauración y cómo salimos del proveedor con una copia utilizable?
Fuentes
[1] EST12 · Analysis of the 2007 Cyber Attacks Against Estonia from the Information Warfare Perspective · Rain Ottis / Cooperative Cyber Defence Centre of Excellence · 2008.
[2] EST01 · Agreement between the Republic of Estonia and the Grand Duchy of Luxembourg on the hosting of data and information systems · República de Estonia y Gran Ducado de Luxemburgo · 2017-06-20 / EST05 · Estonia to establish the world’s first data embassy in Luxembourg · Gobierno de Estonia · 2017-06-20.
[3] EST02 · UN Treaty 55178: Agreement on the hosting of data and information systems · Secretaría de Naciones Unidas; registro presentado por Luxemburgo · 2018-05-16.
[4] EST06 · Andmesaatkond: turvaline hoiustamine [kriitiliselt] olulistele andmekogudele · Riigi IT Keskus (RIT) · s.f. / EST07 · Data Embassy · e-Estonia / Estonian Business and Innovation Agency · s.f.
[5] EST09 · Digital Public Administration factsheet 2022: Estonia · Comisión Europea / NIFO · 2022.
[6] EST08 · E-embassies in Luxembourg · Gobierno del Gran Ducado de Luxemburgo · s.f.
[7] EST15 · Vienna Convention on Diplomatic Relations, 1961 · Naciones Unidas · 1961-04-18.
[8] EST03 · Dossier parlementaire 7185 y Mémorial A n.º 1029, loi du 1er décembre 2017 · Chambre des Députés y Journal officiel du Grand-Duché de Luxembourg · 2017-12-06.
[9] MAR01 · RGPD — Reglamento (UE) 2016/679 · Parlamento Europeo y Consejo · 2016-05-04.
[10] CAS01 · Acuerdo Luxemburgo–Mónaco sobre alojamiento de datos y sistemas de información, 15-7-2021; Ley 28-11-2022 y publicación Mémorial A-614 · Gobiernos de Luxemburgo y Mónaco; Chambre des Députés · 2022-12-08 / CAS02 · Ley 1.545 de20-4-2023 que aprueba ratificación del Acuerdo de alojamiento Luxemburgo–Mónaco · Principado de Mónaco; Journal de Monaco8640 · 2023-04-28.
[11] CAS05 · Legislative Decree No.56 of2018 In Respect of Providing Cloud Computing Services to Foreign Parties · Reino de Baréin; reproducción inglesa Bahrain Economic Development Board · 2018.
[12] CAS14 · AWS supports Ukraine with USD75million for cloud technologies · Ministerio Transformación Digital de Ucrania; Cabinet of Ministers · 2022-12-01.
[14] CAS16 · Amazon’s AWS unable to restore access to Bahrain, one UAE cloud data zone after war damage · Reuters; Feras Delatey; sindicación WHBL · 2026-09-15.
[15] MAR04 · 18 USC 2713 — Required preservation and disclosure · Cámara de Representantes de EEUU · 2018-03-23 / MAR05 · CLOUD Act — texto legislativo · Congreso de EEUU / DOJ · 2018-03-23.
[16] MAR06 · 中华人民共和国国家情报法 · Asamblea Popular Nacional / MIIT Qinghai · 2022-04-17.
[17] MAR02 · Reglamento (UE) 2018/1807 · Parlamento Europeo y Consejo · 2018-11-28.
[18] MAR03 · Reglamento de Datos (UE) 2023/2854 · Parlamento Europeo y Consejo · 2023-12-22.
[19] MAR07 · RD 311/2022 Esquema Nacional de Seguridad · Gobierno de España / BOE · 2022-05-04.
[20] MAR08 · Ley40/2015 art46bis · Jefatura del Estado / BOE · 2015-10-02 / MAR09 · RDL14/2019 art4 · Gobierno de España / BOE · 2019-11-05.
[21] MAR10 · Convenio AEAD–AESIA NubeSARA · Secretaría de Estado Función Pública / BOE · 2025-09-08.
[22] MAR11 · Sikkerhetsloven · Stortinget / Lovdata · 2018-06-01.
[23] MAR15 · Digitaliseringsrundskrivet · Gobierno de Noruega · 2025-05-27.
[24] MAR12 · Totalberedskapsmeldingen Meld.St.9 2024–2025 · Gobierno de Noruega · 2025-01-10.
[25] MAR16 · Vurdering av risiko · Digitaliseringsdirektoratet · 2025-08-21 / MAR23 · Økning i løsepengevirus · NSM · 2022-01-06.
[26] MAR17 · Endringar i lovar og forskrifter frå1januar2026 · Gobierno de Noruega · 2025-12-22 / MAR18 · Skylagring og skanning i utlandet · Nasjonalarkivet · s.f.
[27] MAR19 · Factsheet32023R2854 · EFTA · s.f. / MAR20 · Oversikt over EU-regelverk om deling og bruk av data · Digdir · s.f.
Texto de Roberto Ortega, elaborado con asistencia editorial de IA. Las versiones noruega e inglesa son adaptaciones editoriales del original español.