Quién puede ser obligado a entregar sus datos de autenticación

Qué dice la CLOUD Act

La Clarifying Lawful Overseas Use of Data Act de 2018 añadió a la legislación estadounidense una única frase que importa aquí: un proveedor debe preservar o revelar los registros que estén en su “possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States” (posesión, custodia o control, con independencia de que dicha comunicación, registro u otra información se encuentre dentro o fuera de Estados Unidos). El alcance sigue al control de los datos y a la jurisdicción estadounidense sobre la empresa, no a la ubicación del servidor. El Departamento de Justicia de Estados Unidos afirma que una filial europea de una empresa estadounidense no queda automáticamente fuera de ese alcance.

Las autoridades europeas de protección de datos se pronunciaron en 2019: salvo que un acuerdo internacional haga ejecutable una orden de ese tipo, un proveedor de servicios sujeto al derecho de la UE no puede basar legalmente en ella una revelación de datos. La UE no tiene ningún acuerdo así con Estados Unidos. Un proveedor estadounidense con clientes europeos puede, por tanto, recibir la orden de hacer algo que el derecho de la UE le prohíbe. Preguntado bajo juramento por una comisión del Senado francés en junio de 2025 sobre si podía garantizar que los datos del sector público francés nunca se entregarían a las autoridades estadounidenses sin el consentimiento de Francia, el director jurídico de Microsoft Francia respondió: “Non, je ne peux pas le garantir.” («No, no puedo garantizarlo»).

Qué no hace

La CLOUD Act no crea ningún tipo nuevo de orden judicial ni permite la recopilación masiva de datos. El contenido sigue exigiendo una orden de un juez basada en indicios razonables de un delito concreto, y la ley es explícitamente neutral respecto al cifrado: no añade ninguna facultad para obligar a descifrar. Microsoft declaró en la misma audiencia que ningún cliente europeo, ni empresa ni administración pública, se había visto afectado desde que empezó a publicar informes de transparencia.

Así que el riesgo realista es jurídico, no operativo. La preocupación no es que alguien lea de forma rutinaria sus registros de autenticación. La pregunta que plantea un regulador, un auditor o una evaluación de riesgos de NIS2 es más concreta: quién puede ser obligado, bajo qué ley, y si su proveedor puede darle una garantía. Para un servicio en la nube estadounidense, la respuesta honesta a esa última parte es no.

La mayor parte del MFA es un servicio en la nube estadounidense

Esto no es una queja contra los proveedores; es lo que dice su propia documentación. Cisco Duo es un servicio en la nube alojado en Amazon Web Services, con regiones en la UE disponibles, y su Authentication Proxy on-premise retransmite las solicitudes a esa nube. Su ficha de privacidad enumera nombres de usuario, números de teléfono, identificadores de dispositivo, direcciones IP de los usuarios finales y registros de autenticación como datos que guarda el servicio. Okta solo se ofrece en la nube; su celda de la UE almacena los datos de los clientes en Alemania e Irlanda, mientras que su lista de subencargados nombra a proveedores con sede en Estados Unidos para el envío de SMS y de correo electrónico. La documentación del EU Data Boundary de Microsoft indica que las notificaciones push de Authenticator y los inicios de sesión basados en el teléfono pueden procesarse fuera de ese perímetro, y que las direcciones IP vinculadas a fraudes se publican a escala global.

Un proveedor europeo alojado en un hiperescalador estadounidense tiene una exposición similar una capa más abajo, porque el hiperescalador controla la infraestructura. Eso nos incluye a nosotros cuando usted elige nuestra nube, y por eso lo decimos más abajo.

Notakey on-premise: nada que se nos pueda ordenar entregar

El appliance de Notakey es una máquina virtual que usted ejecuta en su propia infraestructura. El servidor de autenticación, su conexión con su Active Directory, LDAP o RADIUS, los certificados de los dispositivos registrados y cada registro de aprobación residen allí. Notakey no tiene acceso al appliance salvo que usted lo conceda para un caso de soporte, así que no hay nada en nuestra posesión, custodia o control que entregar. Una orden sobre esos datos tendría que dirigirse a usted, con arreglo a la ley que le sea aplicable.

La clave privada de cada usuario se genera dentro del hardware seguro del teléfono y nunca sale de él, de modo que no existe ninguna copia en ningún otro sitio, tampoco en el appliance. El único punto de contacto externo en una aprobación es la notificación push. Contiene el mismo texto legible que la tarjeta de aprobación de la aplicación, por ejemplo el nombre del servicio, la cuenta y la dirección de origen, según una plantilla que controlan sus administradores, y nada más: ninguna clave y ninguna forma de aprobar. Los servicios push de Apple y Google se limitan a transmitir ese texto. Al tocar la notificación se abre la aplicación, que obtiene la solicitud por HTTPS de su appliance, comprueba que coincide con la notificación y solo entonces firma la aprobación.

La nube de Notakey: la versión honesta

Notakey Latvia, SIA es una empresa letona sujeta al derecho letón, sin matriz estadounidense. Nuestro servicio en la nube, notakey.cloud, se ejecuta en Oracle Cloud Infrastructure, en la región de Fráncfort. Oracle es una empresa estadounidense, así que debe asumir que la capa de alojamiento de nuestra nube está al alcance de los procedimientos legales de Estados Unidos, como ocurre con cualquier servicio europeo en AWS, Azure o Google Cloud. No llamamos soberana a nuestra oferta en la nube, porque no lo es.

Qué guarda una instancia en la nube: los nombres de usuario o identificadores que usted elija, las claves públicas y los certificados de los dispositivos registrados, los tokens push y los registros de aprobación firmados. Nunca las claves privadas, y contraseñas solo si crea usuarios locales en el panel en lugar de conectar su propio directorio. Si la exposición de la capa de alojamiento le importa, el appliance on-premise es el mismo producto con la misma aplicación móvil, y cuesta menos por usuario.

Tres preguntas que hacer a cualquier proveedor

La etiqueta «soberano» se está aplicando a muchísimos productos. Las preguntas que permiten ver más allá de ella son las mismas para nosotros y para todos los demás.

• ▪¿Bajo qué ley opera la empresa que guarda los datos, y tiene una matriz en otro país?
• ▪¿Quién opera los servidores, y bajo qué ley opera esa empresa?
• ▪¿Qué llega a Apple y Google cuando interviene un teléfono, e incluye el contenido de la solicitud?