Cómo las firmas contables europeas pueden proteger los datos financieros de los clientes durante operaciones transfronterizas
Cuando las firmas de contabilidad europeas realizan auditorías transfronterizas, cada documento financiero circula por una infraestructura que o bien cumple con las obligaciones de secreto profesional o genera responsabilidad penal. El §203 StGB de Alemania contempla penas de prisión. El secret professionnel de Francia implica cárcel y multas de 15.000 €. El Artículo 321 de Suiza se extiende más allá de las fronteras para clientes internacionales. No se trata de riesgos legales abstractos: están directamente vinculados a las decisiones tecnológicas que toman las firmas para almacenar y transmitir datos de clientes.
El problema estructural es que los marcos de secreto profesional se diseñaron antes de que la computación en la nube abriera vías de acceso a gobiernos extranjeros. Si una firma de auditoría alemana almacena papeles de trabajo de clientes en una plataforma con sede en EE. UU., las autoridades estadounidenses pueden obligar a ese proveedor a entregar los datos sin involucrar a ningún tribunal europeo, sin notificar a la firma y sin que importe lo que diga la carta de compromiso. Esta guía analiza cómo debe ser una arquitectura conforme para auditorías transfronterizas y por qué el cifrado gestionado por el cliente es el pilar técnico que satisface simultáneamente el secreto profesional, el RGPD y DORA.
Resumen Ejecutivo
Idea principal: Las firmas de contabilidad europeas enfrentan sanciones penales por divulgación no autorizada de datos de clientes, pero la mayoría almacena información financiera en plataformas con sede en EE. UU. que permiten el acceso de gobiernos extranjeros fuera de los marcos legales europeos—y a diferencia de los abogados, los contadores no pueden apoyarse en el privilegio legal para cerrar esa brecha. El TJUE ha dictaminado que los contadores reciben protecciones más débiles que los abogados, por lo que la arquitectura soberana es el único mecanismo fiable para cumplir con las obligaciones de secreto profesional.
Por qué te interesa: Tres de las Big Four sufrieron el incidente de MOVEit en 2023, el Financial Reporting Council del Reino Unido reportó 127 casos de medidas disciplinarias en 2024, con los fallos tecnológicos como una categoría creciente de mala praxis profesional, y DORA ahora traslada requisitos tecnológicos directamente desde los clientes de instituciones financieras a las firmas de contabilidad que contratan. Las firmas que no pueden demostrar arquitectura soberana se exponen a una mayor presión regulatoria y a la exclusión sistemática de mandatos en sectores regulados.
5 Conclusiones Clave
- El secreto profesional conlleva sanciones penales en toda Europa, y las decisiones tecnológicas afectan directamente el cumplimiento. El §203 StGB de Alemania, el secret professionnel de Francia, el Artículo 321 de Suiza, el Artículo 272 de Países Bajos y los deberes del common law del Reino Unido imponen obligaciones que se extienden a las plataformas en la nube. No son decisiones de TI, sino cuestiones de responsabilidad profesional que afectan la licencia y el riesgo de enjuiciamiento.
- Los contadores carecen de las protecciones de privilegio de los abogados, por lo que requieren una arquitectura soberana más robusta. El TJUE dictaminó que los contadores reciben salvaguardias más débiles que los abogados. Mientras los abogados cuentan con directrices de la CCBE sobre la nube y protecciones de tratados para 2025, los contadores deben apoyarse en controles técnicos y no en privilegios legales para evitar la divulgación forzada—haciendo de la arquitectura la defensa principal y no un complemento de la protección legal.
- DORA traslada obligaciones tecnológicas desde las instituciones financieras a sus proveedores de servicios contables. El Artículo 30 exige contratos que aborden soberanía de datos, gestión de claves de cifrado y estrategias de salida. Cuando los bancos contratan firmas de contabilidad, estas obligaciones tecnológicas se extienden a las plataformas que usan los contadores para los datos de clientes—convirtiendo la arquitectura del proveedor en un asunto regulatorio directo para las firmas que trabajan con clientes del sector financiero.
- Las auditorías transfronterizas generan brechas de cumplimiento cuando los datos de clientes cruzan jurisdicciones. Una firma alemana que audita una filial francesa de una matriz suiza procesa datos bajo tres regímenes de secreto, mientras que la autoridad del CLOUD Act permite el acceso estadounidense sin importar la ubicación del almacenamiento. Las Cláusulas Contractuales Estándar no pueden anular la autoridad legal soberana—solo la arquitectura técnica puede hacerlo.
- Las grandes firmas de contabilidad enfrentan amenazas persistentes a pesar de fuertes inversiones en seguridad. Tres de las Big Four sufrieron el incidente de MOVEit. La brecha de Sax LLP pasó desapercibida durante 16 meses. Deloitte pagó 5 millones de dólares tras cuatro meses de acceso no detectado. Las aseguradoras de responsabilidad profesional ahora examinan la arquitectura tecnológica y exigen opciones de implementación soberana, incluyendo exclusiones en pólizas para brechas donde los proveedores mantienen el control de las claves de cifrado.
Obligaciones de Secreto Profesional que los Contadores Europeos No Pueden Delegar
El secreto profesional para contadores conlleva sanciones penales en toda Europa, pero estos marcos son anteriores a las vías de acceso de gobiernos extranjeros creadas por la nube. El resultado es una tensión estructural: obligaciones pensadas para archivos en papel ahora aplican a infraestructuras donde la firma puede no ser la única con acceso técnico a los datos de clientes.
El §203 StGB y el §43 WPO de Alemania Generan Responsabilidad Penal que se Extiende a las Decisiones sobre Plataformas Tecnológicas
El §43 WPO de Alemania establece el secreto del auditor como obligación profesional, mientras que el §203 StGB convierte la divulgación no autorizada en delito con penas de prisión para los responsables. Más de 15.000 profesionales están sujetos a estas obligaciones. El Institut der Wirtschaftsprüfer ha sido claro: el secreto profesional del §43 WPO se extiende a todos los sistemas tecnológicos, y los auditores no pueden cumplir sus obligaciones usando plataformas donde los proveedores controlan las claves de descifrado. Si las firmas almacenan datos de clientes en infraestructuras controladas por EE. UU., crean vías de divulgación fuera del control legal alemán—vías que existen independientemente de cualquier prohibición contractual de acceso no autorizado.
Francia, Suiza y Países Bajos Imponen Obligaciones Penales Equivalentes de Secreto Profesional a los Contadores
El Artículo L. 822-15 del Código de Comercio de Francia somete a los commissaires aux comptes al secret professionnel, con el Artículo 226-13 del Código Penal imponiendo cárcel y multas de 15.000 €. La CNIL enfatiza que los contadores siguen siendo responsables de la protección de datos de clientes incluso usando proveedores externos—la subcontratación no transfiere la obligación. El Artículo 321 del Código Penal suizo protege el secreto de auditores y asesores fiscales, extendiéndose más allá de las fronteras suizas para clientes internacionales. El Artículo 272 del Código Penal neerlandés establece el secreto profesional para contadores registrados en la NBA, y la autoridad neerlandesa de protección de datos subraya que el secreto profesional se extiende a los sistemas digitales y a la infraestructura en la nube.
El Fallo del TJUE que Otorga Menores Protecciones a los Contadores que a los Abogados Hace de la Arquitectura Técnica la Defensa Principal
La contabilidad en el Reino Unido opera bajo deberes de confidencialidad del common law reforzados por los estándares de la FRC y el ICAEW. Aunque no existen estatutos penales continentales, una brecha genera responsabilidad civil, hallazgos de mala praxis profesional y posible enjuiciamiento bajo el Computer Misuse Act 1990 o la Data Protection Act 2018—con el informe 2024 de la FRC identificando 127 casos disciplinarios y los fallos tecnológicos como una categoría creciente de mala praxis. De forma crítica, el fallo Ordre des barreaux francophones del TJUE aclaró que los contadores reciben protecciones legales menos estrictas que los abogados. Esto significa que las firmas no pueden apoyarse en el privilegio legal para resistir la divulgación forzada y deben implementar una arquitectura técnica que haga imposible el acceso no autorizado a nivel de infraestructura—cifrado gestionado por el cliente donde los proveedores no puedan acceder técnicamente a los datos sin la cooperación de la firma.
Lista Completa de Cumplimiento RGPD
Leer ahora
Requisitos Tecnológicos del RGPD y DORA para Firmas de Contabilidad
El RGPD establece requisitos mínimos de seguridad, mientras que DORA los amplía con mandatos tecnológicos que fluyen desde las instituciones financieras hasta los proveedores de servicios contables. Juntos crean un marco de cumplimiento que los contratos por sí solos no pueden satisfacer.
El Artículo 32 del RGPD Exige Cifrado que Solo Ofrece Protección Adecuada Cuando el Responsable Tiene Control Exclusivo de las Claves
El Artículo 32 del RGPD exige «medidas técnicas y organizativas apropiadas», incluyendo cifrado, confidencialidad, integridad y disponibilidad. El principio de «integridad y confidencialidad» del Artículo 5(1)(f) requiere protección contra el tratamiento no autorizado—lo que entra en conflicto con arquitecturas donde los proveedores pueden acceder a los datos de clientes, ya que estos sistemas no pueden garantizar la protección cuando los proveedores enfrentan órdenes legales fuera de la autoridad del responsable. Las directrices del Grupo de Trabajo del Artículo 29 son explícitas: el cifrado solo ofrece protección adecuada cuando los responsables mantienen el control exclusivo de las claves de descifrado. El cifrado gestionado por el proveedor cumple la forma, pero no el fondo del requisito.
Schrems II Estableció que las SCCs por Sí Solas No Cumplen los Requisitos de Transferencia Cuando Gobiernos Extranjeros Pueden Acceder a los Datos
Schrems II estableció que las SCCs por sí solas no ofrecen protección adecuada cuando los datos fluyen a jurisdicciones con vigilancia gubernamental sin salvaguardias equivalentes a las europeas. El TJUE abordó situaciones en las que las obligaciones de terceros países permiten el acceso de autoridades públicas más allá de lo necesario y proporcionado—precisamente el caso de los proveedores en la nube con sede en EE. UU. sujetos al CLOUD Act. Las directrices del EDPB exigen que los responsables evalúen si la legislación o práctica de terceros países afecta la eficacia de las salvaguardias, e implementen medidas técnicas adicionales cuando sea así. Para las firmas de contabilidad, esto significa que las SCCs deben acompañar al cifrado gestionado por el cliente y no sustituirlo.
El Artículo 30 de DORA Traslada las Obligaciones Tecnológicas Directamente de las Instituciones Financieras a las Firmas de Contabilidad
El Artículo 28(5) de DORA exige que las entidades financieras evalúen a los proveedores TIC, mientras que el Artículo 30 exige contratos que garanticen medidas de seguridad, incluyendo protección de datos y cifrado. Cuando las instituciones financieras contratan firmas de contabilidad, estas obligaciones se extienden a las plataformas que usan los contadores. El Artículo 30(2)(j) exige abordar la ubicación del tratamiento de datos, mientras que el Artículo 30(2)(k) requiere disposiciones sobre acceso, recuperación, devolución y eliminación de datos. Los contratos que solo mencionan almacenamiento en centros de datos de la UE no cumplen si los operadores mantienen acceso técnico desde ubicaciones fuera de la UE sujetas a autoridad extranjera. El Artículo 28(3) exige estrategias de salida que permitan la eliminación completa de datos—obligando a arquitecturas que eviten el vendor lock-in y permitan la migración sin cooperación del proveedor.
Las Auditorías Transfronterizas Amplifican los Riesgos de Soberanía de Datos
Las auditorías transfronterizas generan situaciones en las que datos de clientes sujetos a múltiples regímenes de secreto profesional circulan por infraestructuras sujetas a una autoridad soberana completamente distinta. La brecha de cumplimiento no es teórica—es estructural, y se amplía con cada jurisdicción adicional involucrada.
Los Encargos Multijurisdiccionales Sujetan los Papeles de Trabajo a Regímenes de Secreto Superpuestos de Forma Simultánea
Una firma alemana que audita una filial francesa de una matriz suiza con operaciones en Países Bajos genera papeles de trabajo sujetos al §43 WPO alemán, el Código de Comercio francés, el Artículo 321 suizo y potencialmente el secreto profesional neerlandés. Cada jurisdicción define accesos autorizados que la firma debe garantizar mediante arquitectura técnica—no mediante cartas de compromiso, ni acuerdos de tratamiento de datos, sino controles que hagan técnicamente imposible el acceso no autorizado, sin importar de qué gobierno provenga la orden.
El CLOUD Act Permite el Acceso del Gobierno de EE. UU. a Datos de Clientes Europeos sin Importar Dónde se Almacenen Físicamente
Si las firmas almacenan papeles de trabajo en plataformas con sede en EE. UU., la autoridad del CLOUD Act permite a agencias estadounidenses exigir la entrega de datos sin importar la ubicación física. La ley aplica a personas y entidades estadounidenses aunque «no estén físicamente en Estados Unidos». Incluso con centros de datos en la UE y contratos que especifican almacenamiento europeo, los operadores pueden recibir órdenes estadounidenses que anulan esas disposiciones. El conflicto no es teórico—en United States v. Microsoft el gobierno estadounidense solicitó correos electrónicos almacenados en Irlanda antes del CLOUD Act, y el principio persiste: los datos europeos controlados por empresas estadounidenses quedan sujetos a procesos legales estadounidenses sin importar la ubicación física. Las national security letters y órdenes FISA prohíben informar al sujeto y no pueden impugnarse en procesos legales europeos.
Los Controles de Geolocalización Abordan la Ubicación Física pero No el Control Legal o Técnico de los Datos
Los controles de geolocalización especifican la ubicación física de los datos pero no afectan las obligaciones legales del proveedor ni sus capacidades técnicas de acceso. La ubicación física del servidor es fundamentalmente distinta del control legal y técnico de los datos—solo esto último determina la soberanía. Las directrices del EDPB sobre Schrems II son claras: los responsables no pueden confiar solo en las SCCs cuando las medidas técnicas no pueden garantizar la protección frente al acceso gubernamental. Las Cláusulas Contractuales Estándar establecen obligaciones contractuales entre partes, pero no pueden anular la autoridad soberana que actúa unilateralmente desde la jurisdicción de origen del proveedor. El cifrado gestionado por el cliente con control exclusivo de las claves por parte de la firma es el único mecanismo que elimina el acceso técnico del proveedor sin importar qué gobierno emita la orden, porque hace que el proveedor sea técnicamente incapaz de cumplir, en vez de estar legalmente impedido.
Los Incidentes de Brecha Demuestran los Riesgos de la Infraestructura de Terceros
Las brechas recientes en grandes firmas de contabilidad demuestran que incluso los programas avanzados de ciberseguridad no eliminan los riesgos creados por infraestructuras de terceros donde los proveedores mantienen acceso técnico a los datos.
La Brecha de MOVEit y Otros Incidentes Demuestran que Ni las Big Four Pueden Eliminar la Exposición a Terceros
La vulnerabilidad de MOVEit en 2023 afectó a tres de las Big Four, exponiendo datos de clientes de M&A mediante inyección SQL en software de transferencia de archivos ampliamente usado. Esto ocurrió a pesar de contar con programas avanzados de ciberseguridad y presupuestos dedicados. Sax LLP reveló a finales de 2025 que una brecha en 2024 comprometió la información de 228.000 personas y pasó 16 meses sin ser detectada. Deloitte pagó 5 millones de dólares a Rhode Island por una brecha donde los atacantes accedieron a sistemas durante cuatro meses pese a cientos de alertas de firewall. Si las grandes firmas enfrentan amenazas persistentes en infraestructuras de terceros, las firmas más pequeñas afrontan riesgos proporcionalmente mayores y menos recursos para detectarlos y responder.
Las Aseguradoras de Responsabilidad Profesional y los Reguladores Ahora Analizan la Arquitectura Tecnológica como un Asunto de Cumplimiento
Las aseguradoras de responsabilidad profesional han respondido al patrón de brechas aumentando el escrutinio sobre la arquitectura tecnológica. Varias aseguradoras ahora exigen opciones de implementación soberana para encargos transfronterizos. Algunas pólizas incluyen exclusiones para brechas donde los proveedores mantienen acceso administrativo o control de claves de cifrado—tratando el acceso del proveedor como un riesgo conocido y gestionable que la firma ha decidido no minimizar. La FRC del Reino Unido ahora incluye los fallos de control tecnológico como una categoría específica de medidas disciplinarias. La Wirtschaftsprüferkammer alemana ha subrayado que las obligaciones del §43 WPO se extienden a las decisiones tecnológicas y que las firmas no pueden delegar estas obligaciones en los proveedores. Cuando los datos de clientes residen donde los proveedores mantienen acceso técnico, ese acceso genera vías de divulgación no autorizada tanto por compromiso como por requerimiento gubernamental—y la única arquitectura que elimina ambos riesgos es aquella donde los datos de clientes permanecen cifrados bajo claves controladas exclusivamente por la firma de contabilidad.
La Arquitectura de Cifrado Gestionado por el Cliente Satisface el Secreto Profesional
La arquitectura técnica que cumple con las obligaciones de secreto profesional, los requisitos del RGPD y los mandatos de DORA se basa en un principio: los datos de clientes permanecen cifrados bajo claves controladas exclusivamente por la firma de contabilidad. Todo lo demás parte de ahí.
Los HSM Controlados por la Firma Garantizan que los Proveedores Sean Técnicamente Incapaces de Acceder a los Datos de Clientes en Cualquier Circunstancia
El cifrado gestionado por el cliente comienza con la generación y almacenamiento de claves bajo control exclusivo de la firma. Las claves se generan en módulos de seguridad hardware (HSM) que ofrecen protección resistente a manipulaciones y permanecen físicamente bajo control de la firma o implementados mediante proveedores europeos diseñados para la soberanía de claves. Cuando los datos de clientes ingresan por correo electrónico seguro, uso compartido de archivos o transferencia gestionada, se cifran de inmediato usando las claves HSM de la firma. Los datos cifrados pueden residir en distintas infraestructuras porque los proveedores no pueden descifrarlos—aunque reciban órdenes gubernamentales o sufran incidentes de seguridad, los datos de clientes permanecen protegidos. Esto soluciona directamente el problema estructural que el fallo del TJUE crea para los contadores: el privilegio legal no sustituye la arquitectura técnica, pero una arquitectura que hace imposible el acceso logra el mismo resultado práctico.
La Arquitectura Cumple el Artículo 32 del RGPD, el Artículo 30 de DORA y las Leyes Nacionales de Secreto Profesional con una Única Implementación
El cifrado gestionado por el cliente satisface toda la matriz de cumplimiento de forma simultánea. Cumple el requisito de cifrado del Artículo 32 del RGPD y las directrices del Grupo de Trabajo del Artículo 29, que exigen control exclusivo de las claves de descifrado por parte del responsable. Cumple los requisitos de DORA asegurando que solo la firma accede a la información en claro—satisfaciendo las obligaciones de arquitectura técnica que los clientes del sector financiero deben trasladar contractualmente a sus proveedores. Cumple las obligaciones de secreto profesional en Alemania, Francia, Suiza, Países Bajos y Reino Unido eliminando vías de divulgación no autorizada a nivel criptográfico, en lugar de confiar en prohibiciones contractuales que no pueden vincular a gobiernos extranjeros.
La Flexibilidad de Implementación Permite a las Firmas Adaptar la Arquitectura Soberana a su Escala Operativa y a las Necesidades de sus Clientes
La flexibilidad de implementación equilibra la soberanía de datos con las necesidades operativas. La implementación completamente on-premises ofrece el máximo control para firmas que gestionan mandatos altamente sensibles. La nube privada o dispositivos virtuales reforzados en centros de datos europeos ofrecen soberanía equivalente y reducen la carga de gestión de infraestructura para firmas que requieren la arquitectura pero no cuentan con experiencia on-premises dedicada. En encargos transfronterizos, los datos permanecen cifrados bajo claves de la firma durante todo su ciclo de vida—los controles de acceso determinan qué personas pueden descifrar documentos concretos, pero el control de las claves de cifrado siempre permanece en la firma, sin importar dónde estén los miembros del equipo.
Consideraciones de Implementación
La transición a una arquitectura soberana requiere planificar la migración técnica, la integración de flujos de trabajo y la documentación regulatoria—pero la secuencia es tan importante como las decisiones técnicas.
Mapear los Flujos de Datos Actuales Permite Determinar Qué Sistemas Requieren Arquitectura Soberana y Cuáles No
La evaluación técnica comienza mapeando los flujos de datos actuales. Identifica qué flujos involucran información de clientes sujeta a secreto profesional frente a datos internos de negocio que pueden requerir controles menos estrictos. No todos los datos de la firma requieren cifrado gestionado por el cliente—pero sí toda la información financiera de clientes, papeles de trabajo y comunicaciones que contengan información confidencial de clientes. Este ejercicio de alcance determina la escala de implementación y la arquitectura de gestión de claves necesaria, y evita el error común de aplicar la arquitectura soberana a todos los flujos de datos en vez de solo a aquellos que el secreto profesional y el RGPD exigen.
La Arquitectura de Gestión de Claves es la Decisión Más Crítica y Debe Ajustarse a las Expectativas Regulatorias de Cada Jurisdicción
La arquitectura de gestión de claves es la decisión de implementación más crítica. Determina si usar HSM on-premises, servicios HSM en la nube de proveedores europeos o dispositivos virtuales reforzados. Las firmas grandes suelen preferir HSM on-premises para máximo control y porque los clientes financieros regulados por DORA pueden exigirlo contractualmente. Las firmas pequeñas pueden preferir servicios HSM europeos con menor complejidad operativa. El requisito clave en todas las opciones: las claves permanecen bajo control exclusivo de la firma y nunca son accesibles para los proveedores de la plataforma en ninguna circunstancia—including acceso de soporte de emergencia, procesos de respaldo o órdenes gubernamentales dirigidas al proveedor.
La Documentación Regulatoria Debe Demostrar Cumplimiento de la Arquitectura de Forma Proactiva y No Reactiva
La documentación regulatoria debe demostrar cómo la arquitectura técnica cumple el Artículo 32 del RGPD, los mandatos de DORA y las obligaciones nacionales de secreto profesional. Incluye diagramas de arquitectura técnica, procedimientos de gestión de claves, políticas de control de acceso, procedimientos de respuesta a incidentes y cláusulas contractuales que confirmen que los proveedores no pueden acceder a los datos de clientes. Los clientes sofisticados—especialmente instituciones financieras sujetas a DORA—solicitan cada vez más anexos técnicos detallados sobre la arquitectura de seguridad antes de iniciar el encargo. Las firmas que pueden presentar esta documentación de forma proactiva obtienen ventajas competitivas en mandatos regulados; las que deben armarla de forma reactiva ante cuestionarios de clientes lo tienen más difícil.
Kiteworks Permite a las Firmas de Contabilidad Europeas Cumplir el Secreto Profesional con Arquitectura Soberana
Las firmas de contabilidad europeas enfrentan un requisito de cumplimiento que los contratos no resuelven y el privilegio legal no cubre: obligaciones de secreto profesional que se extienden a las decisiones tecnológicas, junto con requisitos del RGPD y DORA que exigen controles técnicos y no solo compromisos contractuales. El cifrado gestionado por el cliente es la arquitectura que cierra esa brecha—garantizando que los proveedores sean técnicamente incapaces de acceder a los datos de clientes sin importar lo que exija cualquier gobierno, y generando la evidencia documental que reguladores, organismos de supervisión profesional y clientes regulados por DORA exigen cada vez más antes de iniciar el encargo.
Kiteworks ofrece una arquitectura de cifrado gestionado por el cliente que permite a las firmas de contabilidad europeas cumplir las obligaciones de secreto profesional en Alemania, Francia, Suiza, Países Bajos y Reino Unido, cumpliendo a la vez el Artículo 32 del RGPD y los mandatos tecnológicos de DORA. La plataforma utiliza claves de cifrado controladas por el cliente que nunca abandonan la infraestructura de la firma, lo que significa que los datos financieros de clientes permanecen protegidos incluso si Kiteworks recibe órdenes gubernamentales o enfrenta incidentes de seguridad—no poseemos medios técnicos para acceder a los datos de los clientes.
Las opciones de implementación flexibles incluyen instalación on-premises en los centros de datos de la firma, implementación en nube privada en instalaciones europeas bajo control de la firma o dispositivos virtuales reforzados que ofrecen los beneficios de la arquitectura soberana reduciendo la complejidad de gestión de infraestructura. Las firmas pueden implementar en Alemania para cumplir con las directrices de la BfDI, en Francia para satisfacer los requisitos de la CNIL, en Suiza para el cumplimiento de secreto bancario o en otras ubicaciones europeas que se ajusten a las necesidades operativas y expectativas de los clientes.
La plataforma integra correo electrónico seguro, uso compartido de archivos, transferencia gestionada y formularios web en una arquitectura unificada, permitiendo a las firmas de contabilidad gestionar toda la transmisión de datos de clientes en una sola plataforma soberana. Esto simplifica la gestión de claves, reduce la superficie de ataque al eliminar múltiples relaciones con proveedores y ofrece registros de auditoría unificados que cumplen con la FRC, la Wirtschaftsprüferkammer y organismos de supervisión equivalentes.
Para saber más, agenda una demo personalizada hoy mismo.
Preguntas Frecuentes
Los proveedores a hiperescala gestionan ellos mismos las claves de cifrado, manteniendo la capacidad técnica de descifrar los datos del cliente cuando reciben órdenes gubernamentales. El cifrado gestionado por el cliente es distinto: las firmas de contabilidad generan, controlan y almacenan las claves de cifrado exclusivamente usando módulos de seguridad hardware que nunca exponen el material de la clave al proveedor. Esto afecta directamente el cumplimiento porque el §203 StGB de Alemania, el secret professionnel de Francia y el Artículo 321 de Suiza exigen impedir capacidades técnicas de acceso no autorizado, no solo prohibiciones contractuales. Si el proveedor gestiona las claves, una orden gubernamental dirigida a ese proveedor produce datos de clientes legibles. Si la firma gestiona sus claves de cifrado, la misma orden solo produce datos cifrados—cumpliendo técnicamente la obligación de secreto profesional que el marco de privilegio legal no puede proporcionar.
Las cartas de compromiso deben especificar: ubicación de la implementación (on-premises o centros de datos europeos concretos), metodología de cifrado con confirmación explícita de control de claves gestionado por el cliente, restricciones de acceso que determinen qué personal puede acceder a los datos de clientes, procedimientos de retención y eliminación segura de datos, y obligaciones de notificación de incidentes. Para instituciones financieras reguladas por DORA, referencia a los artículos 30 concretos que se cumplen. Incluye declaraciones de que la arquitectura proporciona medidas suplementarias más allá de las cláusulas contractuales estándar según exige Schrems II. Los clientes sofisticados solicitan cada vez más anexos técnicos detallados sobre la arquitectura de seguridad—las firmas que ya cuentan con arquitectura soberana pueden presentarlos proactivamente en vez de tener que armarlos bajo presión del cliente.
Establece una arquitectura soberana para las comunicaciones con clientes mientras mantienes las plataformas actuales para comunicaciones internas durante la transición. Implementa plataformas soberanas para comunicaciones con clientes, papeles de trabajo de auditoría y materiales financieros primero. Configura el enrutamiento de correo para enviar automáticamente los mensajes de clientes por plataformas soberanas. Aplica políticas que exijan que los documentos de clientes usen plataformas soberanas. Migra por fases: comienza con nuevos encargos, transiciona encargos activos en momentos convenientes y luego aborda los datos históricos—garantizando que desde la fecha de transición, todos los datos nuevos de clientes fluyan por infraestructura con control exclusivo de claves de cifrado por parte de la firma, que es donde la obligación de secreto profesional es más crítica.
Cuando el cifrado gestionado por el cliente está correctamente implementado, este escenario se vuelve técnicamente imposible porque los proveedores no pueden acceder a los datos en claro. Sin embargo, si las firmas usan plataformas donde los proveedores gestionan las claves, las obligaciones de secreto profesional siguen vigentes—generando responsabilidad penal bajo el §203 StGB de Alemania, el Artículo 226-13 de Francia o el Artículo 321 de Suiza por la divulgación no autorizada resultante. Las firmas en esta situación deben consultar de inmediato con asesores legales, notificar a los clientes afectados si la ley lo permite y tratar el incidente como motivo urgente para migrar a arquitectura soberana. Las aseguradoras de responsabilidad profesional excluyen cada vez más la cobertura para divulgaciones del proveedor si la firma usó plataformas que permitían acceso del proveedor, tratándolo como un riesgo conocido que la firma decidió no minimizar.
Las cláusulas contractuales estándar establecen obligaciones contractuales entre partes pero no pueden anular la autoridad legal soberana ni impedir la divulgación forzada por gobiernos. Las directrices del EDPB sobre Schrems II subrayan que las SCCs por sí solas no ofrecen protección adecuada cuando las leyes de terceros países permiten acceso de autoridades públicas más allá de lo necesario y proporcionado. Las medidas suplementarias recomendadas se centran en salvaguardas técnicas que hagan los datos ininteligibles para cualquiera sin las claves de descifrado—con el cifrado bajo claves gestionadas por el cliente como ejemplo principal que identifica el EDPB como eficaz. Las SCCs deben acompañar al cifrado gestionado por el cliente y no sustituirlo: el contrato regula lo acordado entre las partes, mientras que la arquitectura de cifrado aborda lo que ningún contrato puede evitar—la divulgación forzada a un gobierno extranjero.
Recursos adicionales
- Artículo del Blog
Soberanía de datos: ¿mejor práctica o requisito regulatorio? - eBook
Soberanía de datos y RGPD - Artículo del Blog
Evita estos errores en soberanía de datos - Artículo del Blog
Mejores prácticas de soberanía de datos - Artículo del Blog
Soberanía de datos y RGPD [Entendiendo la seguridad de los datos]