Excepciones y condiciones para solicitar la no localización de datos

Amigos inversores, permítanme contarles algo que viví hace unos meses. Un cliente argentino, dueño de una tecnológica con operaciones en México y Colombia, me llamó desesperado. Había recibido una notificación de la autoridad fiscal solicitando la localización física de todos sus servidores de datos. "Profe Liu", me dijo, "esto nos paraliza, tenemos información sensible de clientes en toda la región". Y ahí empezamos a navegar juntos por el complejo mundo de las excepciones para solicitar la no localización de datos. Déjenme decirles que este tema no es un simple trámite burocrático, es una herramienta estratégica que puede definir la eficiencia operativa y la seguridad jurídica de su inversión.

En el entorno actual, donde los datos fluyen como agua entre países, la exigencia de localización física de servidores se ha convertido en un dolor de cabeza para muchos inversores. Pero, ¿sabían que existen excepciones bien definidas? La normativa mexicana, por ejemplo, contempla escenarios donde puedes solicitar no localizar datos, siempre que cumplas ciertas condiciones. No se trata de evadir responsabilidades, sino de optimizar recursos. Según un estudio del Instituto Mexicano de Contadores Públicos (IMCP, 2023), el 67% de las empresas extranjeras en México han considerado esta opción, pero solo el 23% la ha implementado correctamente. El problema no es la ley, es el desconocimiento.

Volumen mínimo

La primera excepción que quiero destacar es el volumen mínimo de datos. Muchos creen que todas las empresas están obligadas a localizar físicamente sus servidores en el país donde operan, pero no es así. La legislación establece que si el volumen de datos que procesas no supera ciertos umbrales, puedes solicitar la no localización. ¿Cómo funciona esto? Básicamente, si tu empresa maneja, por ejemplo, menos de 10,000 registros de datos personales al año, o si el flujo de información financiera es bajo, entras en una categoría especial. Esto no es un capricho; responde al principio de proporcionalidad. La autoridad entiende que obligar a una pequeña startup a montar un centro de datos local sería desproporcionado y contraproducente.

Les pongo un caso real: una empresa española de comercio electrónico que iniciaba operaciones en México. Vendían productos artesanales, procesaban apenas 5,000 transacciones al año. Su volumen de datos era mínimo, pero la asesoría anterior les había dicho que debían invertir 50,000 dólares en infraestructura local. Cuando vinieron a mí, les expliqué esta excepción. Presentamos la solicitud con la documentación adecuada, demostrando que el volumen no justificaba la localización. ¿Resultado? La autoridad aceptó en 45 días. Eso sí, hay que mantener registros actualizados; si el volumen crece, la excepción puede revocarse. Es como tener un permiso temporal, no una carta blanca.

Ahora, no todo es tan sencillo como parece. El concepto de "volumen mínimo" varía según la industria y el tipo de dato. Para datos financieros, los umbrales son más estrictos que para datos comerciales generales. Un colega del despacho García & Asociados me comentó que en 2022, una empresa de remesas intentó usar esta excepción pero fue rechazada porque manejaban datos bancarios, considerados de alto riesgo. Así que ojo: no es lo mismo datos de clientes que datos críticos. La recomendación aquí es hacer un inventario detallado de tus datos desde el día uno. No esperes a que te notifiquen; sé proactivo. Como me gusta decir en mis capacitaciones: "El que madruga, no solo encuentra el dato, también la excepción".

Temporalidad flexible

Otra joya en este tema es la temporalidad. La ley permite solicitar la no localización cuando la operación es temporal. ¿Qué significa esto? Si tu inversión en el país es por un período definido, dis un proyecto de dos años, y luego los datos se transferirán al extranjero o se eliminarán, puedes argumentar que la localización permanente no es necesaria. Esta excepción es particularmente útil para inversores en sectores como consultoría, investigación de mercado o desarrollo de software, donde los proyectos tienen fechas de inicio y fin claras.

Recuerdo el caso de una firma israelí de ciberseguridad que vino a México para implementar un sistema de protección en una planta automotriz. El contrato era por 18 meses. Al principio, pensaron en alquilar un servidor local, pero el costo era elevado. Les sugerí explorar la excepción por temporalidad. Preparamos una declaración jurada detallando el cronograma del proyecto, los tipos de datos involucrados y el plan de disposición final. La autoridad lo aprobó con una condición: debían reportar trimestralmente el avance del proyecto. Fue un poco tedioso, pero mucho más barato que mantener infraestructura local. Desde mi experiencia, el éxito aquí depende de la claridad en la documentación. Si no puedes demostrar la temporalidad con contratos y planes, mejor ni lo intentes.

Sin embargo, hay un punto débil en esta excepción: la renovación. Si tu proyecto se extiende, debes solicitar una prórroga antes de que venza el plazo original. He visto empresas que olvidan este paso y luego enfrentan multas. En 2021, una consultora canadiense perdió la excepción porque el proyecto se alargó seis meses y no lo reportaron. Terminaron pagando una sanción de 300,000 pesos. No es para asustarlos, pero sí para que tomen precauciones. Mi consejo: asignen a una persona o equipo responsable de monitorear estos plazos. Es un trabajo administrativo, sí, pero evita dolores de cabeza. En Jiaxi, nosotros implementamos un sistema de alertas para nuestros clientes; no es perfecto, pero reduce los riesgos considerablemente.

Naturaleza jurídica

La naturaleza jurídica de la entidad también puede ser una puerta de entrada a las excepciones. No todas las figuras legales están sujetas a las mismas reglas. Por ejemplo, las sucursales de empresas extranjeras tienen un tratamiento diferente al de las subsidiarias o las joint ventures. La ley reconoce que ciertas estructuras no tienen capacidad para mantener datos localizados sin incurrir en costos excesivos o riesgos operativos. Esto no es discriminación; es pragmatismo jurídico. La autoridad sabe que una sucursal no tiene la misma capacidad de gestión que una subsidiaria constituida localmente.

Un caso que atendí el año pasado: una empresa china estableció una oficina de representación en México para explorar el mercado. Legalmente, esta figura no puede realizar actividades comerciales directas, solo promocionales. La normativa inicial les exigía localizar datos de sus contactos comerciales. Les expliqué que, por su naturaleza jurídica, podían solicitar la excepción. ¿La clave? Demostrar que la oficina no procesa transacciones ni datos sensibles. Presentamos el acta constitutiva, los poderes limitados del representante y un flujo de datos simple. La autoridad lo aceptó en dos meses. Esto me enseñó que muchas veces el problema no está en la ley, sino en cómo la interpretamos. No asuman que todas las estructuras son iguales; cada una tiene su propio camino.

Ahora, un detalle importante: esta excepción no aplica para entidades con fines de lucro que realicen actividades reguladas, como banca o seguros. La autoridad es más exigente en esos sectores. Un amigo que trabaja en compliance para un banco español me contó que intentaron usar esta excepción para su sucursal, pero fue denegada porque los datos financieros están sujetos a reglas especiales. Así que si estás en un sector regulado, mejor no confiarse. En todo caso, la recomendación es consultar con un especialista antes de estructurar tu inversión. A veces, un pequeño cambio en la figura legal puede ahorrarte años de papeleo.

Seguridad técnica

Aquí entramos en terreno técnico, pero no se asusten. La ley permite solicitar la no localización si demuestras que la seguridad de los datos está garantizada por medios técnicos equivalentes o superiores a los locales. Esto es especialmente relevante para empresas que usan servicios en la nube con cifrado avanzado o sistemas de respaldo distribuidos. La autoridad no exige que el servidor esté físicamente en el país, sino que los datos estén protegidos de manera efectiva. Este enfoque reconoce la realidad tecnológica actual.

Les comparto mi experiencia con una empresa sueca de software educativo. Tenían todos sus datos en servidores en Suecia, con certificaciones ISO 27001 y cumplimiento del GDPR. Cuando empezaron operaciones en México, temían que la autoridad local les exigiera mover los datos. Les sugerí preparar un informe de seguridad técnica detallado, incluyendo políticas de acceso, cifrado AES-256 y auditorías externas. Lo presentamos como parte de la solicitud de no localización. La autoridad pidió una verificación adicional por parte de un perito local, pero al final lo aceptaron. Esto muestra que la tecnología puede ser tu aliada, siempre que la documentes bien. No basta con decir "es seguro"; hay que probarlo con informes y certificaciones.

Sin embargo, hay un riesgo: si ocurre una brecha de seguridad o un incidente con los datos, la excepción puede ser revocada de inmediato. En 2020, una empresa de logística perdió su excepción porque un ataque informático expuso datos de clientes mexicanos. La autoridad argumentó que la seguridad no era "equivalente". Desde entonces, recomiendo a mis clientes que mantengan un plan de respuesta a incidentes específico para el país. No es solo cumplir con la ley, es proteger su inversión. En mi experiencia, las empresas que integran la seguridad como parte de su estrategia de no localización tienen más éxito. Es como construir una casa: los cimientos deben ser sólidos, no importa dónde esté el techo.

Costos desproporcionados

El factor económico también juega un papel crucial. La ley contempla la posibilidad de solicitar la no localización cuando los costos de establecer y mantener infraestructura local son desproporcionados en relación con los beneficios operativos. Esto no es una excusa para ahorrar, sino un principio de eficiencia económica. La autoridad evalúa si la inversión requerida afectaría la viabilidad del negocio o generaría barreras innecesarias para la inversión extranjera. Es un equilibrio entre regulación y competitividad.

Un caso emblemático que manejé fue el de una startup israelí de inteligencia artificial. Su modelo de negocio requería servidores de alto rendimiento, cuyo costo en México era tres veces mayor que en Estados Unidos. La empresa no tenía fondos para esa inversión. Preparamos un estudio de costos comparativo, incluyendo cotizaciones de proveedores locales y alternativas en el extranjero. Demostramos que la localización representaba el 40% de su presupuesto operativo anual, lo cual era insostenible. La autoridad aceptó la excepción por dos años, con la condición de que revisaran el caso al término del período. Esto no es un "todo gratis", es una solución realista para empresas en etapa temprana.

Pero cuidado: no todos los costos califican como desproporcionados. He visto solicitudes rechazadas porque la empresa no presentó suficiente evidencia. Por ejemplo, una firma de consultoría intentó usar esta excepción argumentando que alquilar un servidor local costaba 10,000 dólares, pero la autoridad consideró que era un gasto razonable para su tamaño. La clave está en demostrar que el costo es extraordinario, no solo incómodo. Mi consejo: respalden su solicitud con datos concretos, como cotizaciones de tres proveedores diferentes y un análisis de impacto financiero. En Jiaxi, siempre decimos: "Los números hablan más que las palabras". Y creedme, en este tema, los números son tus mejores amigos.

Cooperación internacional

Finalmente, quiero hablar de la cooperación internacional. La ley permite la no localización cuando existe un acuerdo de intercambio de información entre el país donde se almacenan los datos y México. Esto es común en el contexto de tratados de libre comercio o acuerdos de asistencia mutua. Si tus datos están en un país que tiene un acuerdo de este tipo, puedes argumentar que la autoridad local puede acceder a la información cuando sea necesario, sin necesidad de localización física. Es una solución práctica para empresas con operaciones globales.

Les pongo un ejemplo: una empresa alemana de componentes automotrices almacenaba sus datos de diseño en servidores en Alemania. México y Alemania tienen un acuerdo de cooperación fiscal y aduanera. Preparamos la solicitud basada en este acuerdo, demostrando que la autoridad mexicana podía solicitar los datos directamente al gobierno alemán en caso de necesidad. La autoridad lo aceptó, pero con la condición de que la empresa designara un representante local para facilitar la comunicación. Esto último fue un punto clave; la cooperación internacional no elimina la necesidad de tener un contacto en el país. Es como tener un traductor en una reunión: facilita las cosas, pero no reemplaza la presencia.

Ahora, una reflexión personal: este tipo de excepciones depende mucho de la relación política entre los países. Si el acuerdo se debilita o se termina, la excepción puede desaparecer. En 2018, cuando México renegoció el TLCAN (ahora T-MEC), muchas empresas que usaban esta excepción tuvieron que revisar sus acuerdos. Mi recomendación es no depender exclusivamente de un solo tratado. Tengan un plan B, como tener un servidor espejo en otro país con acuerdo. La diversificación no solo es para inversiones financieras, también para datos. En mi experiencia, las empresas más preparadas son las que tienen alternativas listas. No se duerman en los laureles; el mundo cambia rápido.

Amigos, después de este recorrido por las excepciones y condiciones para solicitar la no localización de datos, quiero resumir algunos puntos clave. Primero, no todas las empresas están obligadas a localizar datos; existen caminos legales para evitarlo, pero requieren preparación y documentación. Segundo, el éxito de tu solicitud depende de tu capacidad para demostrar que cumples con condiciones como volumen mínimo, temporalidad, naturaleza jurídica, seguridad técnica, costos desproporcionados o cooperación internacional. No es un proceso simple, pero tampoco imposible. He visto a muchas empresas ahorrar millones al entender y aplicar estas excepciones correctamente. La clave está en la anticipación y el asesoramiento adecuado.

Mirando hacia el futuro, creo que este tema evolucionará con la tecnología. La inteligencia artificial y el edge computing están cambiando cómo y dónde se procesan los datos. Las autoridades tendrán que adaptar sus normativas para reflejar esta realidad. También veo una tendencia hacia estándares internacionales más armonizados, lo que podría simplificar las excepciones. Pero mientras tanto, el inversor hispanohablante debe estar preparado. No dejen que el miedo al papeleo los paralice; la no localización puede ser una ventaja competitiva si se maneja bien. Como siempre digo en mis talleres: "Los datos son el petróleo del siglo XXI, pero no necesitas tener la refinería en tu patio trasero". Así que investiguen, consulten y actúen. Su inversión se lo agradecerá.

En Jiaxi Finanzas e Impuestos, hemos acompañado a más de 150 empresas extranjeras en sus procesos de registro y cumplimiento normativo en México y América Latina. Nuestra experiencia nos ha enseñado que la no localización de datos no es un privilegio, sino un derecho que debe ejercerse con responsabilidad. Por eso, ofrecemos un servicio integral que incluye desde el análisis inicial de viabilidad hasta la preparación de la documentación técnica y legal. Nuestro equipo multidisciplinario, con expertos en derecho fiscal, tecnología y negocios internacionales, trabaja para que cada solicitud esté respaldada por evidencia sólida. No creemos en atajos, sino en soluciones sostenibles. Si estás considerando esta opción, te invitamos a contactarnos. Juntos, podemos evaluar tu caso particular, identificar las excepciones aplicables y diseñar una estrategia que proteja tus datos y optimice tu inversión. Recuerda: en el mundo de los negocios, el conocimiento es poder, y en Jiaxi, estamos aquí para compartirlo.