En el “Cloud Computing” los usuarios pueden acceder a los servicios disponibles en la nube de Internet sin ser expertos en la gestión de los recursos que usan. En este esquema de servicios informáticos la información se almacena de manera permanente en servidores en Internet. Los ejemplos más simples de cómputo en la nube son: GoogleDocs, Dropbox, Picasa, etc. Los usuarios almacenan todo tipo de documentos y archivos (y acceden a ellos) en internet. Desde luego que existen aplicaciones profesionales para un uso corporativo o de negocios de estos servicios informáticos.

Con este fenómeno informático surgen muchas dudas y riesgos en el ámbito legal. Algunos de ellos son los siguientes:

• —Sub-contrantes (outsourcing en la nube). ¿Bajo qué condiciones el proveedor puede subcontratar partes del servicio de computación en nube? Puede usted estar negociando con “súper empresas”, con una extraordinaria reputación en el mercado… de esas que usted no podría concebir una falla sustancial en el servicio. ¿Pero qué pasa si esas empresas sub-contratan parte de los servicios en la nube? ¿Los sub-contratistas se obligarán con el contratista en los mismos términos y condiciones en que lo hizo con usted? ¿Tendrán los sub-contratistas los mismos niveles de seguridad, confidencialidad y de servicio (SLA) que la empresa con quien usted está contratando?
• Transferencia y/o Borrado de la información. Durante el noviazgo todo es color de rosa, pero… ¿qué pasa si te divorcias de tu proveedor de cómputo en la nube? ¿Cómo operará la transferencia de tu información… en el plano físico, electrónico o en ambos? ¿Estará tu proveedor actual obligado a colaborar en el proceso de transferencia con otro proveedor? Sabemos que es práctica común en la industria de IT el hacer respaldos de la información. Una vez que termines la relación con tu proveedor, ¿qué garantías tienes de que realmente no se quedó con una copia de tu información? ¿Presenciaste o auditaste el proceso de eliminado electrónico (confiable) de tu información?
• Ubicación de la información. Una de las características principales de los servicios de cómputo en la nube, es la flexibilidad con que se pueden brindar (“bajo demanda”), diseñando casi un traje a la medida para cada cliente. Parte de esa flexibilidad implica que el proveedor podrá decidir en cualquier momento dónde o en qué servidores podrá estar tratando y almacenando su información. ¿Qué sucede si su proveedor hoy tiene su información en servidores mexicanos, pero mañana decide moverlos a un servidor estadounidense, europeo o asiático? En el terreno legal, un lugar físico significa jurisdicción. Si su información está en un servidor Alemán, probablemente estará sujeta a las leyes alemanas. Autoridades extranjeras podrían no solo auditar, sino eventualmente “confiscar” su información, ante un incumplimiento de leyes locales. El proveedor debe obligarse a no transferir la información a otros países, sin el previo consentimiento del cliente.
• Protección de datos personales. Este es un tema íntimamente ligado al anterior. Solo como ejemplo, la Unión Europea tiene los más altos estándares en materia de protección de datos personales, mientras los Estados Unidos tiene un modelo sectorial flexible y poco riguroso (comparado con el estándar europeo). México ya cuenta con una Ley Federal de Protección de Datos Personales en Posesión de Particulares. El tratamiento de datos personales en bases de datos es cada vez más sensible y está tremendamente fiscalizado en muchos países. Si usted no adopta las medidas contractuales necesarias, podría toparse con un serio problema no deseado.
• Pérdida de la información. Ante un escenario trágico de pérdida de su información por negligencia, culpa o dolo de su proveedor, ¿cuáles son los recursos legales que usted dispone? ¿Hay penas convencionales o pago daños y perjuicios? ¿Existe en el contrato algún límite de responsabilidad para el proveedor?
• Medidas de seguridad de la información. ¿Está encriptada? ¿Libre de virus / spyware? ¿Es segura la transferencia o solo el almacenamiento? ¿Tiene su proveedor un Plan de Recuperación en Caso de Desastre (DRP) o BCP? No olvide obligar a su proveedor a revelarle cualquier incidente de seguridad que involucre sus datos, particularmente aquellos en que su información haya podido ser vulnerada, copiada o alterada por terceros no autorizados.
• Auditorias. El usuario debe poder verificar que el proveedor está cumpliendo con lo pactado. Pudiere haber auditorias gubernamentales, en las que ambas partes deberán cooperar para salir bien librados de ellas.

Algunas leyes, como la de protección de datos personales, ya empiezan a regular el tema de cómputo en la nube. Por ahora, la manera más segura de hacer frente a este fenómeno es por la vía contractual. Lea bien los contratos de sus proveedores, y asegúrese de que su abogado entienda el tema.