Residencia y soberanía de datos de salud
En pocas palabras
La residencia de datos se refiere al lugar físico donde se almacenan; la soberanía, a qué leyes y qué autoridades pueden decidir sobre ellos. Para los datos de salud la distinción importa, porque guardar datos en un país no impide que la ley de otro alcance a quien los custodia. Las normas responden de forma distinta: algunas exigen almacenar en un territorio y otras permiten transferir con garantías.
- Tipo
- Concepto
- Responsable
- Sin responsable único: concepto o tecnología genérica
- Revisado
- 25 de octubre de 2026
Explicación
Qué es
En este glosario usamos tres nociones relacionadas:
- Residencia: dónde están almacenados y se procesan los datos.
- Localización: una obligación legal de mantener los datos, o una copia, dentro de un territorio.
- Soberanía: qué leyes y autoridades pueden decidir sobre los datos, incluido el acceso de gobiernos extranjeros. En un sentido más amplio, también la capacidad de una comunidad de gobernar los datos que la describen.
No hay una definición oficial única; cada norma regula alguna de estas piezas.
Cómo lo regulan distintas jurisdicciones
| Jurisdicción | Norma | Enfoque |
|---|---|---|
| Unión Europea | RGPD, cap. V | Sin obligación general de localización: permite transferir fuera de la UE con decisión de adecuación (art. 45) u otras garantías (art. 46) |
| Unión Europea | EEDS, arts. 86 y 87 | Admite que la ley nacional exija almacenar en la UE los datos de categorías prioritarias para uso primario; obliga a los organismos de acceso a datos de salud a almacenar y tratar en la UE, salvo en países con adecuación |
| Brasil | LGPD y Resolución CD/ANPD 19/2024 | Transferencia internacional con mecanismos como las cláusulas contractuales estándar |
| Canadá | PIPEDA | Según el OPC, no prohíbe transferir información a otra jurisdicción para su procesamiento; la organización sigue siendo responsable |
| Estados Unidos | CLOUD Act (18 U.S.C. 2713) | Los proveedores deben preservar o revelar datos bajo su posesión, custodia o control, estén dentro o fuera del país |
La perspectiva indígena
Los principios CARE para la gobernanza de datos indígenas, de la Global Indigenous Data Alliance, complementan los principios FAIR con una orientación centrada en las personas y en los fines. Se redactaron en un taller celebrado en Gaborone (Botsuana) el 8 de noviembre de 2018.
Implicaciones para proyectos de salud
- Documentar dónde se almacena y se procesa cada conjunto de datos, incluidas las copias de respaldo.
- Verificar qué ley rige al proveedor, además de la ubicación de sus servidores.
- Revisar las bases para transferir: adecuación, cláusulas contractuales u otras garantías.
Errores frecuentes
- Confundir residencia con soberanía. La CLOUD Act alcanza datos fuera de Estados Unidos si el proveedor los tiene bajo su control.
- Creer que el RGPD exige que los datos se queden en la UE. Permite transferencias con las garantías del capítulo V.
- Generalizar el EEDS. La obligación del art. 87 se dirige a los organismos de acceso a datos de salud y a quienes trabajan por ellos.
Ejemplos de uso
El art. 87 del EEDS obliga a los organismos de acceso a datos de salud a almacenar y tratar los datos personales en la Unión, salvo en países con decisión de adecuación del RGPD.
El art. 86 del EEDS permite que un Estado miembro exija por ley que los resúmenes de pacientes, recetas y otras categorías prioritarias para uso primario se almacenen en la Unión.
La Resolución CD/ANPD 19/2024 aprobó en Brasil el reglamento de transferencia internacional de datos y las cláusulas contractuales estándar.
Según las pautas del OPC de Canadá sobre el procesamiento transfronterizo, PIPEDA no prohíbe transferir datos a otra jurisdicción para su procesamiento, pero la organización sigue siendo responsable.
La CLOUD Act de Estados Unidos (2018) exige a los proveedores revelar datos bajo su control aunque estén almacenados fuera del país.
Los principios CARE de la Global Indigenous Data Alliance complementan los principios FAIR con una orientación centrada en las personas y en los fines de los datos indígenas.
Relación con otros términos
Se apoya en1
- Protección de datos de saludMediana
Las reglas de residencia y de transferencia internacional forman parte de las leyes de protección de datos, como el capítulo V del RGPD.
Dependen de este0
Ningún término del glosario depende de este.
Fuentes
- EUR-Lex — Regulation (EU) 2016/679 (GDPR), Chapter Veur-lex.europa.eu
- EUR-Lex — Regulation (EU) 2025/327 on the European Health Data Space (Arts. 86–88)eur-lex.europa.eu
- ANPD — Regulamentações da ANPD (Resoluções CD/ANPD 19/2024 e 32/2026)gov.br
- Office of the Privacy Commissioner of Canada — Guidelines for processing personal data across borderspriv.gc.ca
- 18 U.S.C. 2713 — Required preservation and disclosure of communications and records (CLOUD Act, govinfo)govinfo.gov
- Global Indigenous Data Alliance — CARE Principles for Indigenous Data Governancegida-global.org