Google Cloud Storage

Que es Google Cloud Storage

Google Cloud Storage es el servicio gestionado de almacenamiento de objetos de Google Cloud Platform. Almacena archivos de cualquier tipo en contenedores llamados buckets, con un espacio de nombres plano, versiones de objetos inmutables y una API HTTP/HTTPS. Se utiliza como capa backend para subidas (contenido de usuario, fotos de perfil, adjuntos de documento), alojamiento de medios (imágenes, video), copias de seguridad, datasets de entrenamiento de ML y como capa de assets estáticos para CDN. El operador elige la ubicación del bucket (single región, dual región, multi región) y la clase de almacenamiento (Standard, Nearline, Coldline, Archive).

Que datos se manejan

Desde el punto de vista de la privacidad importa mas el contenido de los buckets que el servicio en si. Los buckets suelen contener datos personales: archivos subidos por usuarios, fotos de perfil, documentos de cuenta, copias de seguridad de bases de datos, datasets de entrenamiento de modelos. Cloud Storage registra cada acceso API (lectura, escritura, borrado) en Cloud Audit Logs, con identidad del llamante (cuenta de servicio o usuario) y dirección IP. Las IPs de los visitantes se registran cuando los buckets públicos se acceden directamente desde el navegador.

Implicaciones RGPD y ePrivacy

Como servicio de almacenamiento backend, Google Cloud Storage entra en las reglas de RGPD para encargados del tratamiento. Google actúa como encargado bajo el Cloud DPA. La base jurídica del tratamiento subyacente depende del caso de uso. El artículo 5(3) de ePrivacy no se aplica al almacenamiento backend, pero si el operador sirve assets directamente desde storage.googleapis.com al navegador, Google puede colocar cookies en ese dominio que requieren consentimiento. Lo habitual es mitigar sirviendo los assets a través del dominio del operador (URLs firmadas o un CDN que haga proxy del bucket).

Residencia y exposición al CLOUD Act US

Los buckets regionales UE (europe-west1 Bélgica, europe-west3 Frankfurt, europe-west9 París, europe-southwest1 Madrid, europe-north1 Finlandia, europe-central2 Varsovia, etc.) mantienen los datos en la región con replicación incluida. La multi región eu replica entre varias regiones UE. Sin embargo, Google LLC sigue siendo una empresa estadounidense sujeta al CLOUD Act US, que puede obligar a Google a divulgar datos a autoridades estadounidenses independientemente de la ubicación. AEPD, CNIL, BfDI y DSK han expresado preocupación por el uso de hiperscalers US en cargas sensibles. Para casos muy sensibles, Google ofrece Sovereign Controls y alianzas (T Systems en Alemania, S3NS en Francia) que restringen el acceso admin y el KMS a personal y claves UE.

Opciones de configuración que afectan al cumplimiento

Elegir ubicaciones de bucket solo UE para datos personales. Activar Customer Managed Encryption Keys (CMEK) vía Cloud KMS para mantener las claves bajo control del operador. Activar Cloud Audit Logs (Data Access) para trazabilidad, con retención alineada al registro. Usar Object Versioning y Bucket Lock para cumplimiento de retención. Usar Signed URLs para servir assets al navegador a través del dominio del operador en lugar de directamente desde storage.googleapis.com, evitando cookies del dominio de Google. Para cargas muy reguladas, evaluar Sovereign Controls (Assured Workloads), T Systems (Alemania) o S3NS (Francia).

Pasos prácticos

Firmar el DPA de Google Cloud y las CCT. Documentar las ubicaciones de los buckets en el registro de tratamientos. Realizar una Evaluación de Impacto de la Transferencia centrada en la exposición al CLOUD Act US, con mitigaciones (CMEK, audit logs, ubicaciones solo UE y, opcionalmente, Sovereign Controls). Listar a Google como subencargado en la política de privacidad con categorías de datos, ubicación UE y mecanismo de transferencia. Si los buckets públicos se cargan directamente en el navegador, listar las cookies de Google en la política o migrar a entrega por URLs firmadas a través del dominio del operador.