Cinco preguntas que determinan el grado de europeidad de un servicio

Módulo 2: ¿Qué es realmente una nube europea? · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección podrá determinar, mediante cinco preguntas, bajo qué legislación cae un servicio en la nube, y explicar por qué un centro de datos en Europa no basta para ello.

Conceptos clave: domicilio social (sede estatutaria), propietario final, ubicación del centro de datos, subencargado, acceso remoto, gestión de claves, UE, EEE, decisión de adecuación, «sovereign cloud»

«Nuestros datos están en Europa.» ¿Y qué?

Casi todos los grandes servicios en la nube lo dicen hoy en día: sus datos se guardan en un centro de datos en Fráncfort, Ámsterdam o Dublín. Esto suena tranquilizador, pero solo responde a una de las preguntas que realmente importan. En el módulo 1 vio que la CLOUD Act estadounidense no se fija en el lugar donde está el servidor, sino en la empresa que tiene los datos en su posesión, custodia o control («possession, custody, or control»). Por tanto, un servidor en Fráncfort de una empresa que en última instancia es estadounidense puede estar igualmente sujeto a una orden de Estados Unidos.

Por eso no basta con fijarse en una sola característica, sino en cinco. La panadería De Korrel de nuestro ejemplo (12 empleados, dominio example.com) utiliza actualmente un paquete ofimático estadounidense y quiere saber qué alternativas son realmente europeas. Con estas cinco preguntas separa el marketing de los hechos.

Pregunta 1: ¿dónde está domiciliada la empresa?

El domicilio social es el país donde está inscrita jurídicamente la empresa que firma su contrato: la sede estatutaria. Ese país determina en primer lugar qué legislación se aplica a la empresa, qué tribunal es competente y qué autoridad de control la supervisa.

Para averiguarlo no mire la página web, sino la parte contratante: el nombre que figura al pie de las condiciones generales, el contrato de encargo del tratamiento y la factura. Si allí figura «Example Cloud Ireland Ltd.», su parte contratante es irlandesa, aunque la marca sea estadounidense. Es un buen comienzo, pero aún no es una respuesta completa. Para eso necesita la pregunta 2.

Pregunta 2: ¿quién es el propietario final?

El propietario final es la empresa o persona que se encuentra en la cúspide de la cadena de accionistas. Una filial europea de una empresa matriz estadounidense es jurídicamente una empresa europea, pero la matriz tiene el control. Según la CLOUD Act, un tribunal estadounidense puede obligar a la empresa matriz a entregar datos que se encuentran en una filial, si la matriz tiene de hecho «control» sobre ellos. Que esto se dé en un caso concreto depende de cómo esté organizada la empresa. Los juristas no se ponen de acuerdo al respecto. Precisamente por eso es un riesgo y no una certeza.

También puede ocurrir lo contrario: una empresa que hoy es europea puede ser adquirida mañana. En los Países Bajos esto ocurrió en 2025 y 2026 en torno a Solvinity, la empresa que está detrás de la infraestructura de DigiD. La estadounidense Kyndryl quería adquirirla; el gobierno neerlandés prohibió la adquisición en mayo de 2026 tras el informe de la Oficina de Evaluación de Inversiones (Bureau Toetsing Investeringen). Por eso, pregunte también a su proveedor: ¿qué ocurre con mi contrato en caso de una adquisición? ¿Puedo entonces darme de baja sin coste alguno?

¿Dónde encontrar al propietario? En el registro mercantil (en los Países Bajos, la KVK; en Alemania, el Handelsregister), en la memoria anual, o en la página «Quiénes somos» o «Aviso legal». En las empresas cotizadas en bolsa figura en las cuentas anuales.

Pregunta 3: ¿dónde están los datos y las copias de seguridad?

La ubicación del centro de datos sigue siendo importante. Si sus datos están en la UE, no hay transferencia fuera del EEE en el sentido del RGPD, siempre que nadie desde fuera pueda acceder a ellos. Pregunte por todas las ubicaciones: el centro de datos principal, el centro de datos de respaldo y las copias de seguridad. Un proveedor con servidores en los Países Bajos y copias de seguridad en Estados Unidos sí tiene una transferencia.

Preste atención a tres conceptos que a menudo se confunden:

Por tanto, Suiza y Reino Unido no forman parte de la UE, pero bajo el RGPD puede utilizar un servicio allí sin cláusulas contractuales adicionales. La decisión para Suiza data del año 2000 y fue confirmada en enero de 2024 tras una reevaluación. La decisión para Reino Unido se prorrogó el 19 de diciembre de 2025 hasta el 27 de diciembre de 2031. Sin embargo, una decisión de adecuación puede revisarse o ser anulada por el Tribunal de Justicia de la Unión Europea: eso ocurrió dos veces con los acuerdos con Estados Unidos (módulo 1, lección 1.4). Para Estados Unidos rige ahora el Data Privacy Framework, pero solo para las empresas estadounidenses que se hayan adherido a él, y con la incertidumbre que vio en la lección 1.4.

Pregunta 4: ¿quién más tiene acceso? Subencargados y acceso remoto

Un subencargado es otra empresa que el proveedor contrata y que, al hacerlo, trata o puede ver sus datos: el centro de datos, un servicio de copias de seguridad, una empresa de entrega de correo electrónico, un departamento de soporte en otro país, un servicio de IA que resume correos. El RGPD exige que el proveedor le informe de antemano de qué subencargados utiliza y le permita oponerse a otros nuevos (artículo 28 del RGPD, lección 9.2).

Preste especial atención al acceso remoto. Según las autoridades europeas de control, los datos que están almacenados en Ámsterdam pero a los que puede acceder un técnico de soporte en un país fuera del EEE para resolver una incidencia también se consideran transferidos. Por tanto, un centro de datos en Europa con un servicio de asistencia que supervisa de forma remota las 24 horas desde cualquier parte del mundo es menos europeo de lo que parece.

¿Dónde encontrar esa lista? Normalmente como anexo al contrato de encargo del tratamiento o en una página aparte llamada «subencargados» o «sub-processors». Si esa lista falta, o es vaga («trabajamos con socios cuidadosamente seleccionados»), es una señal de alarma.

Pregunta 5: ¿quién tiene la clave?

El cifrado solo protege frente a terceros si estos no tienen la clave. En la mayoría de los servicios en la nube, sus datos están cifrados en tránsito (https) y en reposo (en el disco), pero el proveedor tiene la clave. Si el proveedor debe entregar datos, puede descifrarlos. Con el cifrado de extremo a extremo o un cifrado cuya clave solo usted gestiona, el proveedor no puede hacerlo. Esto protege mejor, pero tiene un precio: la búsqueda, la edición conjunta en el navegador y la recuperación de una contraseña olvidada a menudo no funcionan o lo hacen de forma limitada. Pregunte, por tanto: ¿qué partes están cifradas de extremo a extremo y qué dejo de poder hacer entonces?

«Sovereign cloud» de empresas estadounidenses

Los grandes proveedores estadounidenses responden a la demanda de soberanía. Algunos ejemplos para que reconozca los términos:

• Microsoft EU Data Boundary: Microsoft anunció en febrero de 2025 que los datos de clientes de Microsoft 365, Dynamics 365, Power Platform y la mayoría de los servicios de Azure se almacenan y procesan dentro de la UE y los países del EEE, incluidos los datos de soporte. La propia Microsoft reconoce que en casos limitados aún se procesan datos fuera de la UE, por ejemplo por motivos de seguridad. Microsoft sigue siendo una empresa estadounidense. En junio de 2025, el director jurídico de Microsoft Francia declaró bajo juramento ante el Senado francés que no puede garantizar que los datos nunca se entreguen a las autoridades estadounidenses sin autorización.
• AWS European Sovereign Cloud: disponible de forma general desde el 15 de enero de 2026, con una primera región en Brandeburgo (Alemania). Está gestionado por una sociedad alemana con personal en la UE y está técnicamente separado del resto de AWS. La empresa matriz final sigue siendo Amazon. Los analistas señalan que el riesgo derivado de la CLOUD Act puede ser así menor, pero no desaparece de forma demostrable.
• Modelos de colaboración: en Francia y Alemania hay empresas europeas que operan tecnología estadounidense en la nube bajo licencia, de modo que la empresa europea mantiene el control. Que esto funcione depende de los acuerdos sobre actualizaciones, gestión y acceso.

Este tipo de servicios puede ser una etapa intermedia razonable para algunas organizaciones. Pero hágales las mismas cinco preguntas. La respuesta a la pregunta 2 (propietario) sigue siendo distinta en estos servicios respecto a una empresa plenamente europea.

En la práctica: así se ve en un proveedor

Tomemos como ejemplo un Nextcloud de WebOké. Domicilio social y propietario: una sociedad limitada neerlandesa (bv). Centro de datos: según el manual, dos centros de datos neerlandeses de NorthC. Software: Nextcloud, creado por la alemana Nextcloud GmbH, de código abierto. La clave del cifrado del almacenamiento está en manos del proveedor; el cifrado de extremo a extremo puede activarlo usted mismo por carpeta. En otros proveedores europeos, como otros proveedores de Nextcloud, mailbox.org, Infomaniak o IONOS, busque las mismas cinco respuestas en los mismos lugares: contrato, registro mercantil, contrato de encargo del tratamiento y lista de subencargados.

Resumen

• Un centro de datos en Europa solo responde a una de las cinco preguntas.
• Las cinco preguntas: domicilio social, propietario final, ubicación de los datos y las copias de seguridad, subencargados y acceso remoto, y quién tiene la clave.
• Una filial europea de una empresa estadounidense puede, de todos modos, estar sujeta a la CLOUD Act.
• Suiza y Reino Unido no forman parte de la UE, pero cuentan con una decisión de adecuación; el EEE es la UE más Noruega, Islandia y Liechtenstein.
• Los servicios «sovereign cloud» de empresas estadounidenses reducen riesgos, pero no cambian la respuesta a la pregunta sobre la propiedad.

Cuestionario

Ejercicio

Ejercicio A2.1: ¿Quién recibe y envía correo para su dominio? Introduzca su propio dominio. El programa busca los registros MX y despliega por completo su registro SPF. Usted indica qué organizaciones reciben su correo y cuáles pueden enviarlo en su nombre. Así verá en pocos minutos qué partes ya están implicadas en su correo.

Ejercicio E2.1: Las cinco preguntas para sus propios servicios. Elija dos servicios que utilice actualmente (por ejemplo, su correo y su almacenamiento de archivos) y una posible alternativa europea. Busque las respuestas a las cinco preguntas para los tres, indicando siempre la fuente.

Para saber más

Los pasos de estos artículos corresponden a los servicios de WebOké; en otros proveedores el procedimiento es similar.

• Manual de Nextcloud 1.1: ¿Qué es Nextcloud y qué es un WebOké Nextcloud?
• Manual de Nextcloud 3.1: ¿Cómo protege WebOké su Nextcloud?
• Manual de Nextcloud 15.13: Preguntas frecuentes sobre seguridad y privacidad
• Comisión Europea, resumen de las decisiones de adecuación: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (datos «regardless of whether» se encuentren dentro o fuera de EE. UU.)