Cómo las empresas farmacéuticas europeas pueden compartir datos de ensayos clínicos entre países manteniendo la soberanía europea
Las empresas farmacéuticas europeas operan en una de las industrias más intensivas en datos y reguladas del continente. Un solo ensayo clínico multinacional puede generar historiales médicos de pacientes, datos genómicos, informes de eventos adversos, resultados de laboratorio y documentación de investigadores que deben circular entre los sitios del ensayo en varios Estados miembros de la UE, organizaciones de investigación por contrato (CRO), autoridades regulatorias y, en ocasiones, socios o filiales fuera de Europa. Cada uno de estos movimientos de datos implica parte de la información personal más sensible que el GDPR fue diseñado para proteger: datos de salud de categoría especial pertenecientes a participantes que consintieron en la investigación, no en la vigilancia de gobiernos extranjeros.
El entorno regulatorio que rige estos datos se ha vuelto mucho más complejo en los últimos dos años. El Reglamento de Ensayos Clínicos de la UE (536/2014) ya está plenamente en vigor, y desde enero de 2025 todos los ensayos deben operar a través del Sistema de Información de Ensayos Clínicos (CTIS). El Reglamento del Espacio Europeo de Datos Sanitarios (EHDS) entró en vigor en marzo de 2025, creando un marco para el uso secundario de datos de salud, incluidos los datos de ensayos clínicos, que se aplicará a partir de 2031. Además, la tensión fundamental entre los requisitos de transferencia del GDPR y la Ley CLOUD de EE. UU. sigue sin resolverse para cualquier farmacéutica europea que comparta datos de ensayos a través de plataformas operadas por proveedores con sede en EE. UU.
Esta guía analiza cómo las empresas farmacéuticas europeas pueden mantener la soberanía de los datos sobre la información de ensayos clínicos y, al mismo tiempo, cumplir con los requisitos de intercambio transfronterizo que exige la investigación multinacional.
Resumen Ejecutivo
Idea principal: Las empresas farmacéuticas europeas deben compartir datos de ensayos clínicos a nivel internacional con CRO, sitios de ensayo, reguladores y socios de investigación como parte esencial de su actividad. El reto no es si compartir estos datos, sino cómo hacerlo sin perder la soberanía sobre los historiales médicos de los participantes, los hallazgos de investigación propios y los resultados comerciales sensibles. Cuando las plataformas de intercambio de archivos, los sistemas de correo electrónico y los servicios de transferencia de archivos gestionados que transportan estos datos son operados por proveedores sujetos a la Ley CLOUD de EE. UU., cada intercambio de datos transfronterizo crea una posible vía de acceso que ninguna Cláusula Contractual Estándar ni Acuerdo de Procesamiento de Datos puede impedir técnicamente.
Por qué te debe importar: Los datos de ensayos clínicos representan una intersección de alto valor entre obligación regulatoria, privacidad del paciente, sensibilidad comercial y propiedad intelectual. Una sola estructura molecular puede significar años de inversión en I+D. Los datos de eventos adversos a nivel de paciente implican tanto obligaciones de reporte regulatorio como profundas implicaciones de privacidad. Los resultados propios de los ensayos determinan el éxito o fracaso en el mercado. El EHDS exigirá a las farmacéuticas compartir ciertos datos de salud para uso secundario, manteniendo una estricta gobernanza de datos. Las empresas que no puedan demostrar soberanía arquitectónica sobre sus datos clínicos se exponen tanto a riesgos regulatorios bajo el GDPR como a riesgos competitivos por filtraciones de propiedad intelectual a través de vulnerabilidades a nivel de plataforma.
5 puntos clave
- Los flujos de datos de ensayos clínicos son, por naturaleza, transfronterizos y multiparte. Un ensayo multinacional involucra patrocinadores, CRO, sitios de ensayo, comités de ética, reguladores nacionales y la EMA. Cada intercambio de datos entre organizaciones y países requiere controles de soberanía verificables, no solo garantías contractuales.
- La Ley CLOUD crea una brecha estructural que los contratos no pueden cerrar. Cuando los datos de ensayos clínicos circulan por plataformas operadas por proveedores con sede en EE. UU., esos datos están sujetos a solicitudes de acceso del gobierno estadounidense sin importar dónde estén los servidores ni lo que digan los DPA. El cifrado controlado por el cliente es la única medida técnica que elimina esta exposición.
- El EHDS ampliará las obligaciones de intercambio de datos y endurecerá los requisitos de gobernanza. A partir de 2031, los datos de ensayos clínicos estarán sujetos a disposiciones de uso secundario que exigirán a las farmacéuticas compartir datos a través de entornos de procesamiento seguros con controles de acceso estrictos. Las empresas necesitan infraestructura soberana ahora para cumplir estos requisitos cuando entren en vigor.
- Los intercambios de datos con CRO son una vulnerabilidad clave de soberanía. Las farmacéuticas externalizan operaciones clínicas significativas a CRO, generando flujos de datos entre organizaciones donde protocolos de ensayo, datos de pacientes y resultados interinos circulan por plataformas compartidas. La seguridad de estos intercambios determina la soberanía de todo el programa de ensayos.
- Una arquitectura soberana protege simultáneamente la privacidad del paciente y la propiedad intelectual comercial. El cifrado controlado por el cliente, la residencia de datos en Europa y el registro integral de auditoría cubren el cumplimiento del GDPR, la preparación para el EHDS y la protección de la propiedad intelectual con una sola decisión arquitectónica, en vez de flujos de trabajo de cumplimiento separados.
Panorama regulatorio de los datos de ensayos clínicos
Reglamento de Ensayos Clínicos de la UE y CTIS
El Reglamento de Ensayos Clínicos de la UE (536/2014) sustituyó la anterior Directiva de Ensayos Clínicos por un marco armonizado que se aplica directamente en todos los Estados miembros. Desde enero de 2025, todos los ensayos clínicos en la UE deben regirse por el CTR y presentarse a través del Sistema de Información de Ensayos Clínicos (CTIS), el portal centralizado gestionado por la EMA. CTIS permite a los patrocinadores presentar una sola solicitud para ensayos multinacionales y ofrece un proceso de evaluación coordinado, eliminando la necesidad anterior de gestionar hasta 27 procedimientos nacionales distintos.
El CTR introduce importantes requisitos de transparencia. La mayor parte de la información en la base de datos CTIS es de acceso público, salvo que los patrocinadores justifiquen la confidencialidad por motivos de información comercial confidencial o protección de datos personales. Las normas revisadas de transparencia de CTIS, vigentes desde junio de 2024, exigen la publicación de expedientes de solicitud de ensayos clínicos prácticamente completos, permitiendo solo el tachado de elementos realmente confidenciales. Esto implica que las farmacéuticas deben gestionar cuidadosamente qué datos ingresan en CTIS y cómo se preparan los documentos de respaldo, asegurando la protección de los datos personales y el cumplimiento de las obligaciones de transparencia.
Los beneficios de armonización del CTR conllevan implicaciones en la gestión de datos. Un ensayo multinacional ahora genera una evaluación coordinada única para todos los Estados miembros participantes, pero los datos subyacentes (registros de pacientes, informes de seguridad, documentación de investigadores) siguen circulando entre sitios de ensayo, patrocinadores, CRO y reguladores en varias jurisdicciones. La cuestión de qué plataformas transportan estos datos y quién puede acceder a ellas a nivel de infraestructura no la aborda el CTR.
El Espacio Europeo de Datos Sanitarios
El Reglamento EHDS, publicado en marzo de 2025 y en vigor desde el 26 de marzo de 2025, crea el marco más integral para el intercambio de datos de salud en la historia de la UE. Para las farmacéuticas, las disposiciones de uso secundario del EHDS son especialmente relevantes. Desde marzo de 2029, la mayoría de las categorías de datos electrónicos de salud estarán sujetas a reglas de uso secundario. Los datos de ensayos clínicos y los datos genéticos humanos tienen un plazo ampliado, aplicándose las disposiciones de uso secundario a partir de marzo de 2031.
Bajo el EHDS, las farmacéuticas pueden ser tanto poseedoras de datos (obligadas a compartir ciertos datos de salud bajo solicitud a través de los Organismos de Acceso a Datos de Salud) como usuarias de datos (accediendo a datos de otras fuentes para investigación y desarrollo). El reglamento abarca datos de ensayos clínicos, datos genómicos, registros de salud, datos de reclamaciones y reembolsos, y datos de dispositivos médicos. Las empresas que posean estos datos pueden verse obligadas a ponerlos a disposición para usos secundarios aprobados, como investigación científica, actividades regulatorias y desarrollo de IA para dispositivos médicos.
El EHDS exige que los datos se procesen en entornos seguros con controles de acceso estrictos. Las farmacéuticas que no puedan demostrar control soberano sobre su infraestructura de datos clínicos tendrán dificultades para cumplir estos requisitos. Las empresas deben realizar ejercicios de mapeo de datos ya para identificar todos los datos electrónicos de salud en alcance y su ubicación, evaluar qué entidades de su estructura corporativa serán clasificadas como poseedoras de datos, y construir o actualizar infraestructura técnica para cumplir con los estándares de interoperabilidad y seguridad del EHDS.
Retos de transferencia transfronteriza bajo el GDPR
Los datos de ensayos clínicos cruzan fronteras de manera habitual por necesidad operativa. Un patrocinador europeo que realiza un ensayo multinacional puede recopilar datos de pacientes en sitios de Alemania, Francia, Países Bajos y España, procesar esos datos a través de un CRO con sede en Irlanda, enviar informes de seguridad a reguladores nacionales en cada país participante y a la EMA, compartir análisis interinos con una filial o socio en EE. UU., y presentar datos de eficacia y seguridad a la FDA si busca autorización de comercialización en EE. UU.
Dentro de la UE/EEE, el GDPR permite la libre circulación de datos personales. La complejidad surge con las transferencias fuera de esta área y, especialmente, con las plataformas utilizadas para las transferencias internas. Cuando una farmacéutica europea utiliza un proveedor de correo electrónico o colaboración en la nube con sede en EE. UU. para compartir datos de ensayos entre sitios de la UE, los datos pueden no salir de servidores europeos, pero las obligaciones corporativas del proveedor bajo la Ley CLOUD permiten a las autoridades estadounidenses exigir acceso a esos datos sin importar la ubicación geográfica. Las Cláusulas Contractuales Estándar y los Acuerdos de Procesamiento de Datos abordan la relación contractual, pero no pueden anular las obligaciones legales del proveedor bajo la ley estadounidense.
Esto genera un reto particular para la industria farmacéutica porque los datos de los ensayos incluyen datos de categoría especial del GDPR (salud, genética, biometría) sujetos al mayor nivel de protección. La Comisión Europea, en su guía sobre ensayos clínicos y GDPR, confirma expresamente que los requisitos de transferencia internacional se aplican a datos seudonimizados donde sea posible la reidentificación, lo que cubre la gran mayoría de los datos de ensayos clínicos en manos de patrocinadores y CRO.
Dónde está más en riesgo la soberanía de los ensayos clínicos
Intercambios de datos entre patrocinador y CRO
El uso intensivo de la subcontratación en la industria farmacéutica implica que los datos clínicos circulen frecuentemente entre patrocinadores y CRO, a menudo mediante plataformas compartidas que ninguna de las partes controla completamente. Los CRO suelen actuar como encargados de tratamiento bajo el GDPR, operando bajo instrucciones del patrocinador pero usando su propia infraestructura de TI. Cuando un CRO utiliza una plataforma en la nube con sede en EE. UU. para gestionar datos de ensayos, la soberanía del patrocinador sobre esos datos depende totalmente de las decisiones de infraestructura del CRO.
El desarrollo moderno de medicamentos implica alianzas extensas. Las empresas biofarmacéuticas emergentes, que representan el 63% de los inicios de ensayos clínicos, a menudo carecen de infraestructura de TI propia y dependen en gran medida de plataformas de CRO para la gestión y transferencia de datos. Esto genera una cadena de dependencias de plataformas donde los datos de pacientes pueden pasar por varios entornos en la nube, cada uno potencialmente sujeto a jurisdicción extranjera, antes de llegar a los sistemas propios del patrocinador.
Coordinación de ensayos en múltiples sitios
Un ensayo clínico multinacional requiere intercambio continuo de datos entre los sitios del ensayo y el centro coordinador. Los investigadores envían formularios de reporte de casos, suben resultados de laboratorio, reportan eventos adversos y comparten enmiendas de protocolo. El monitoreo de sitios implica acceso remoto a datos del ensayo y visitas de verificación in situ que generan documentación adicional. Todas estas actividades implican intercambio de archivos y comunicación a través de plataformas que transportan datos de salud de los participantes.
El proceso de evaluación armonizado del CTR implica que ahora la coordinación de ensayos ocurre más a menudo entre países que bajo la Directiva anterior. Un Estado Miembro Informante coordina la evaluación para todos los países participantes, lo que requiere agregación e intercambio de datos entre fronteras regulatorias. Este beneficio operativo de la armonización incrementa el volumen y la frecuencia de los flujos de datos clínicos transfronterizos, haciendo que la soberanía de la infraestructura de comunicación sea aún más relevante.
Presentación regulatoria e informes de seguridad
Las farmacéuticas deben presentar datos de seguridad a múltiples autoridades regulatorias simultáneamente. Las Reacciones Adversas Graves e Inesperadas (SUSAR) requieren informes acelerados a autoridades nacionales competentes y a la EMA a través de EudraVigilance. Los informes anuales de seguridad, enmiendas de protocolo y notificaciones de fin de ensayo implican transferencias de datos de salud a nivel de participante o agregados a organismos regulatorios. Cuando estas presentaciones se preparan y transmiten mediante plataformas sin arquitectura soberana, el propio entorno de preparación se convierte en un punto vulnerable, incluso si la presentación final llega a los reguladores por canales seguros.
Propiedad intelectual y sensibilidad comercial
Los datos de ensayos clínicos son, a la vez, datos personales de salud y propiedad intelectual comercialmente valiosa. Estructuras moleculares propias, resultados de eficacia inéditos, datos de procesos de fabricación e inteligencia competitiva sobre resultados de ensayos representan inversiones de millones o miles de millones en I+D. El EHDS reconoce expresamente que los datos de salud pueden estar protegidos por derechos de propiedad intelectual y secretos comerciales, y los Organismos de Acceso a Datos de Salud pueden rechazar solicitudes de acceso que supongan un riesgo serio para la propiedad intelectual. Pero esta protección depende de que la farmacéutica mantenga el control soberano sobre los datos desde el principio. Los datos ya accedidos por vulnerabilidades a nivel de plataforma no pueden protegerse retroactivamente.
Construyendo una arquitectura soberana para datos de ensayos clínicos
Cifrado controlado por el cliente como base
La decisión arquitectónica más relevante para la soberanía de los datos de ensayos clínicos es implementar cifrado controlado por el cliente, donde la farmacéutica genera, gestiona y conserva las claves de cifrado en su propio módulo de seguridad hardware (HSM) o sistema de gestión de claves. Bajo este modelo, el proveedor de la plataforma procesa datos cifrados pero no puede descifrarlos. Así, aunque el proveedor esté sujeto a una solicitud bajo la Ley CLOUD, una orden FISA u otra obligación legal extranjera, no puede entregar datos legibles de ensayos clínicos porque no posee las claves de descifrado.
Para las farmacéuticas, esto cubre varios riesgos a la vez. Los datos de salud de los pacientes quedan protegidos contra accesos no autorizados, sin importar la jurisdicción del proveedor. Los datos de investigación propios y las estructuras moleculares no pueden ser accedidos por vulnerabilidades a nivel de plataforma. Las presentaciones regulatorias y los informes de seguridad están protegidos durante su preparación. Y la empresa puede demostrar a las autoridades supervisoras del GDPR, comités de ética y participantes de ensayos que mantiene un control técnico real sobre la confidencialidad de los datos.
Implementación europea y residencia de datos
Los datos de ensayos clínicos deben residir en infraestructura europea dedicada, con geofencing técnico que impida que los datos salgan de los límites geográficos designados. Para ensayos multinacionales en varios Estados miembros de la UE, esto significa asegurar que las plataformas de comunicación y uso compartido de archivos para la coordinación del ensayo operen dentro de la UE, no solo que los centros de datos estén en Europa.
La implementación de tenencia única, donde la instancia de la plataforma de la farmacéutica corre en infraestructura dedicada y no compartida, brinda garantías adicionales de que los datos de ensayos no se mezclan con los de otras organizaciones. Esto es especialmente relevante para empresas en áreas terapéuticas competitivas, donde la mera existencia y parámetros de ensayos en curso pueden ser información comercialmente sensible.
Registros de auditoría integrales como evidencia regulatoria
Los ensayos clínicos están sujetos a inspección por autoridades nacionales competentes, la EMA y, potencialmente, la FDA para ensayos que respalden la autorización en EE. UU. Los registros de auditoría que documenten cada acceso, modificación y transferencia de datos de ensayos no son opcionales. El CTR exige archivar los datos de ensayos al menos 25 años tras su finalización, y los patrocinadores deben demostrar la integridad de los datos durante todo ese periodo.
Las plataformas de comunicación soberanas deben generar registros de auditoría integrales que documenten quién accedió a qué datos, cuándo, desde dónde y qué acciones realizó. Estos registros cumplen varias funciones: demostrar cumplimiento del GDPR ante autoridades supervisoras, satisfacer los requisitos de Buenas Prácticas Clínicas (GCP) para la integridad de los datos, aportar evidencia en inspecciones regulatorias y permitir a la empresa detectar y responder a intentos de acceso no autorizado.
Preparación para los requisitos de uso secundario del EHDS
Las disposiciones de uso secundario del EHDS no se aplicarán a los datos de ensayos clínicos hasta marzo de 2031, pero las farmacéuticas deben empezar a prepararse ya. El reglamento exige a los poseedores de datos presentar descripciones de sus conjuntos de datos a las autoridades pertinentes y responder a solicitudes de acceso a datos a través de los Organismos de Acceso a Datos de Salud. Los datos deben estar disponibles en entornos de procesamiento seguros que cumplan las especificaciones técnicas del EHDS.
Las empresas que ya operan infraestructura soberana de gobernanza de datos estarán mejor posicionadas para cumplir estos requisitos. Cuando los datos de ensayos clínicos se almacenan en plataformas con cifrado controlado por el cliente, registros de auditoría integrales y controles de acceso granulares, la empresa puede proporcionar acceso estructurado mediante los mecanismos del EHDS, manteniendo el control sobre qué se comparte, con quién y bajo qué condiciones. Las empresas cuyos datos de ensayos estén dispersos entre plataformas de CRO, servicios en la nube operados por EE. UU. y sistemas heredados tendrán un camino de cumplimiento mucho más complejo.
El EHDS también permite a los individuos excluirse del uso secundario de sus datos de salud. Gestionar estas preferencias en conjuntos de datos que abarcan múltiples ensayos, áreas terapéuticas y periodos requiere una gestión centralizada de datos con capacidad técnica para identificar, marcar y excluir los datos de participantes que se hayan excluido en las respuestas de uso secundario. Esto es mucho más sencillo de implementar en plataformas soberanas donde la empresa tiene control arquitectónico total.
Kiteworks ayuda a las farmacéuticas europeas a compartir datos de ensayos clínicos transfronterizos manteniendo la soberanía
La Red de Contenido Privado de Kiteworks ofrece a las farmacéuticas la infraestructura de comunicación soberana que necesitan para compartir datos de ensayos clínicos con CRO, sitios de ensayo, reguladores y socios de investigación, manteniendo la soberanía europea de los datos. Kiteworks opera con un modelo de cifrado gestionado por el cliente, donde la farmacéutica genera y conserva las claves en su propio sistema de gestión. Kiteworks no puede acceder a los datos clínicos descifrados ni cumplir con solicitudes de gobiernos extranjeros para entregar información legible de ensayos.
Kiteworks se implementa como instancia de tenencia única en infraestructura europea dedicada, asegurando que los datos de ensayos no se mezclen con los de otras organizaciones. El geofencing aplicado por políticas impide que los datos de ensayos salgan de los límites designados, y el registro integral de auditoría aporta la trazabilidad que exigen las inspecciones GCP, las autoridades supervisoras del GDPR y el futuro cumplimiento del EHDS.
La plataforma unifica el uso compartido seguro de archivos para documentación de ensayos, correo electrónico protegido para comunicaciones de investigadores, transferencia de archivos gestionada para intercambios automatizados entre sistemas de patrocinador y CRO, y formularios web seguros para la recopilación estructurada de datos, todo bajo un marco de gobernanza de confianza cero. Así, las farmacéuticas pueden proteger todos los canales de intercambio de datos clínicos en una sola plataforma, con cifrado, controles de acceso y evidencia de auditoría consistentes.
Descubre cómo mantener la soberanía sobre los datos de ensayos clínicos y cumplir los requisitos de intercambio transfronterizo: agenda una demo personalizada hoy.
Preguntas frecuentes
Los datos de ensayos clínicos combinan datos de salud de categoría especial bajo el GDPR con propiedad intelectual comercialmente sensible, lo que los convierte en un objetivo valioso tanto para vigilancia como para inteligencia competitiva. Cuando estos datos circulan por plataformas operadas por proveedores con sede en EE. UU., la Ley CLOUD permite a las autoridades estadounidenses exigir al proveedor la entrega de datos sin importar la ubicación del servidor. Las Cláusulas Contractuales Estándar y los Acuerdos de Procesamiento de Datos regulan la relación contractual, pero no pueden anular las obligaciones legales del proveedor bajo la ley estadounidense. El cifrado controlado por el cliente es la única medida que hace técnicamente imposible este acceso, ya que el proveedor no puede descifrar lo que no tiene las claves.
El EHDS, en vigor desde marzo de 2025, crea obligaciones obligatorias de compartir datos electrónicos de salud para usos secundarios como investigación científica y desarrollo de IA. Los datos de ensayos clínicos estarán sujetos a estas disposiciones a partir de marzo de 2031. Las farmacéuticas pueden ser clasificadas como poseedoras de datos obligadas a compartir datos a través de los Organismos de Acceso a Datos de Salud. Las empresas necesitan infraestructura soberana de gobernanza de datos para gestionar estas obligaciones, incluyendo capacidad técnica para ofrecer acceso estructurado, proteger la propiedad intelectual y los secretos comerciales, y aplicar las preferencias de exclusión de los participantes en todos los conjuntos de datos.
Los ensayos clínicos multinacionales generan intercambios continuos de datos transfronterizos, como formularios de reporte de casos entre sitios y patrocinadores, informes de eventos adversos a reguladores nacionales y EudraVigilance, documentos de protocolo compartidos con CRO y comités de ética, resultados de laboratorio de laboratorios centrales y análisis interinos compartidos con juntas de monitoreo de seguridad de datos. Cada intercambio transporta datos de salud de participantes a través de plataformas de comunicación cuya jurisdicción determina la soberanía real de los datos. El proceso de evaluación armonizado del Reglamento de Ensayos Clínicos de la UE incrementa la coordinación transfronteriza, haciendo que la soberanía de las plataformas de uso compartido de archivos y correo electrónico sea aún más crítica que bajo el sistema nacional anterior.
Las farmacéuticas deben evaluar la infraestructura de plataformas de los CRO como parte de la calificación de proveedores, enfocándose en tres preguntas: ¿el CRO utiliza plataformas de comunicación operadas por proveedores sujetos a leyes de acceso gubernamental fuera de la UE? ¿El CRO implementa cifrado controlado por el cliente donde el patrocinador conserva las claves? ¿Y puede el CRO aportar evidencia integral de auditoría de todos los accesos a datos para inspecciones GCP? Como los CRO suelen actuar como encargados de tratamiento usando su propia infraestructura, la soberanía del patrocinador sobre los datos de ensayos depende de las decisiones de plataforma del CRO. Las garantías contractuales son necesarias pero insuficientes sin verificación arquitectónica.
Las empresas deben comenzar con un ejercicio de mapeo de datos para identificar todos los datos electrónicos de salud en alcance, incluidos datos de ensayos clínicos, registros y datos genómicos, y evaluar dónde residen actualmente. Deben analizar qué entidades de su estructura corporativa serán clasificadas como poseedoras de datos y comenzar a construir o actualizar infraestructura técnica para cumplir con los estándares de interoperabilidad y seguridad del EHDS. Implementar ahora una arquitectura soberana de gobernanza de datos, con cifrado controlado por el cliente, controles de acceso granulares y registros de auditoría integrales, posicionará a las empresas para cumplir el plazo de cumplimiento de 2031 para datos de ensayos clínicos y cubrir los requisitos actuales del GDPR y regulatorios al mismo tiempo.
Recursos adicionales
- Artículo del Blog
Soberanía de datos: ¿mejor práctica o requisito regulatorio? - eBook
Soberanía de datos y GDPR - Artículo del Blog
Evita estos errores comunes en la soberanía de datos - Artículo del Blog
Mejores prácticas de soberanía de datos - Artículo del Blog
Soberanía de datos y GDPR [Comprendiendo la seguridad de los datos]