Amazon S3

Qué es Amazon S3

Amazon Simple Storage Service (S3) es el servicio insignia de almacenamiento de objetos de Amazon Web Services. Ofrece buckets capaces de contener un número ilimitado de archivos (imágenes, vídeos, documentos, copias, datos de aplicación, conjuntos ML) y los sirve a través de endpoints HTTPS, URL prefirmadas, API REST o como origen tras Amazon CloudFront. S3 es un componente fundamental del web moderno: bibliotecas multimedia, copias de seguridad, sitios estáticos y subidas de CMS suelen acabar en un bucket S3. Desde el punto de vista de privacidad, S3 es interesante porque almacena o sirve datos personales sin fijar cookies de cliente.

Qué datos trata S3

S3 procesa los objetos almacenados y los metadatos de cada petición: dirección IP, método HTTP, clave de objeto, tamaño de respuesta, latencia y cabeceras personalizadas. Si se activan los Server Access Logs de S3 o AWS CloudTrail, esas trazas se guardan en otro bucket y pueden contener IPs consideradas datos personales. S3 no fija cookies en el navegador. Si el bucket está detrás de CloudFront, AWS conserva además registros de borde para seguridad y rendimiento.

Implicaciones RGPD y ePrivacy

S3 es un encargado en el sentido del artículo 28 RGPD cuando sirve contenido de un responsable. El AWS Data Processing Addendum es el contrato estándar, complementado con las cláusulas tipo UE incluidas en el GDPR DPA de AWS y la certificación de Amazon Web Services Inc. en el Marco de Privacidad de Datos UE EE. UU. La directiva ePrivacy no suele activarse porque S3 no escribe ni lee en el dispositivo más allá del caché HTTP estándar. Los puntos clave son la ubicación del almacenamiento, el régimen de acceso legal de la región y los logs con IPs.

Se requiere consentimiento

No, el simple hecho de servir un archivo desde S3 no exige consentimiento. El almacenamiento se ampara en interés legítimo o ejecución del contrato. El consentimiento entra en juego si el bucket aloja píxeles de rastreo, activos de marketing acoplados a analítica o scripts que requieren consentimiento por sí mismos. La discusión Schrems II pesa más cuando los buckets están en una región estadounidense: en ese caso el destinatario está en EE. UU. aunque no haya uso comercial, y la política debe reflejarlo.

Transferencias y acceso por autoridades de EE. UU.

AWS permite seleccionar la región para cada bucket. Una región de la UE sin replicación ni acceso cross región mantiene el almacenamiento en Europa. Sin embargo, Amazon Web Services Inc. es un responsable estadounidense y ciertas tareas de soporte o seguridad pueden realizarse desde EE. UU. Conforme a las recomendaciones del EDPB tras Schrems II, AWS publica una evaluación de impacto de transferencias para clientes europeos y ofrece el Marco de Privacidad de Datos como mecanismo de transferencia. El cifrado con claves gestionadas por el cliente (SSE C o KMS) añade una capa adicional de protección.

Pasos prácticos de cumplimiento

Elija una región UE para los buckets con datos personales, firme el DPA de AWS, active el cifrado en servidor (KMS para mayor control), restrinja accesos mediante IAM y S3 Block Public Access y reduzca la retención de los Server Access Logs. Documente el papel de Amazon Web Services EMEA SARL como entidad contractual UE. Mencione Amazon S3 y AWS en la política de privacidad con la región y el mecanismo de transferencia. Si necesita un bucket en EE. UU., realice y documente una evaluación de impacto de transferencias y valore cifrado en cliente.