CLOUD Act, FISA 702 y otras leyes estadounidenses

Módulo 1: ¿Por qué una nube europea? · Tiempo de lectura: 12 minutos

Objetivo de aprendizaje: Después de esta lección podrá explicar qué leyes estadounidenses dan acceso a datos en poder de empresas de EE. UU., por qué eso también se aplica cuando los datos están en Europa, y cuál es la situación en noviembre de 2026.

Conceptos clave: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", proveedor de un servicio de comunicación electrónica, FISA Section 702, tribunal FISA (FISC), certificación, Executive Order 12333, orden de confidencialidad, derecho penal frente a trabajo de inteligencia

Por qué las leyes estadounidenses afectan a servidores europeos

En la lección 1.1 vio que una empresa está sujeta al derecho del país donde está establecida. Para la mayoría de los grandes servicios en la nube, ese país son los Estados Unidos. Dos leyes estadounidenses aparecen en cualquier debate sobre la nube europea: la CLOUD Act y la Section 702 de la FISA. Tienen un objetivo distinto y funcionan de forma diferente, por lo que conviene distinguirlas bien.

Esto es una explicación, no asesoramiento jurídico. La legislación estadounidense y su interpretación cambian; la situación descrita en esta lección corresponde a noviembre de 2026.

La CLOUD Act: investigación en causas penales

La CLOUD Act son las siglas de Clarifying Lawful Overseas Use of Data Act. La ley se aprobó el 23 de marzo de 2018, como parte de una gran ley de presupuestos. El origen fue un litigio entre Microsoft y el gobierno estadounidense: el FBI quería correos electrónicos de un sospechoso que estaban almacenados en un servidor en Irlanda, y Microsoft se negó porque los datos se encontraban fuera de EE. UU. Antes de que el Tribunal Supremo se pronunciara, el Congreso aprobó la CLOUD Act, con lo que el caso quedó zanjado.

El núcleo de la ley se resume en una frase, hoy recogida en 18 U.S.C. 2713. En términos sencillos: un proveedor de un servicio de comunicación electrónica o de un servicio de almacenamiento remoto debe conservar o entregar los datos que estén en su "possession, custody, or control" (posesión, custodia o control), independientemente de si esos datos se encuentran dentro o fuera de los Estados Unidos.

¿Qué significa esto en la práctica?

• Se trata de una investigación penal. La autoridad debe contar con una orden de un juez, como un warrant, igual que ocurre con los datos ubicados en EE. UU.
• Se refiere a datos que la empresa tiene bajo su control. Si su correo está en una filial europea, pero la matriz estadounidense puede acceder a él, la matriz puede ser requerida.
• El proveedor puede oponerse si la entrega entra en conflicto con el derecho de otro país, pero solo en determinados casos (sobre todo con países con los que EE. UU. tiene un tratado especial, como el Reino Unido y Australia). Todavía no existe un tratado general entre la UE y EE. UU. sobre este tipo de pruebas.
• El cliente no siempre se entera. Un juez puede imponer al proveedor una orden de confidencialidad, de modo que no pueda avisarle a usted.

Frente a esto, el RGPD (art. 48) establece que una resolución o una orden extranjera de entrega de datos solo se reconoce si existe un tratado, como un tratado de asistencia judicial. Un proveedor estadounidense puede quedar así atrapado entre dos leyes. Ese es precisamente el problema: usted, como cliente, no puede elegir qué ley prevalece.

Un momento revelador: en junio de 2025, una comisión de investigación del Senado francés preguntó al director de asuntos jurídicos de Microsoft Francia si podía garantizar, bajo juramento, que los datos de ciudadanos franceses nunca se entregarían a las autoridades estadounidenses sin autorización de Francia. Su respuesta fue: "No, no puedo garantizarlo." Añadió que la empresa impugna las solicitudes indebidas y que, en la práctica, una solicitud así todavía no se había producido. Ambas partes de esa respuesta son importantes: el riesgo es pequeño, pero existe, y la empresa no puede descartarlo.

FISA Section 702: inteligencia sobre extranjeros

La FISA es la Foreign Intelligence Surveillance Act. La Section 702 se añadió en 2008. Su finalidad no es la investigación de delitos, sino la recopilación de inteligencia extranjera. Ahí radica la gran diferencia con la CLOUD Act:

En virtud de la Section 702, los servicios estadounidenses pueden obligar a los proveedores de servicios de comunicación electrónica a colaborar en la recopilación de comunicaciones de "targets" extranjeros. Para un europeo, el derecho estadounidense ofrece aquí poca protección: la protección constitucional contra registros (la Cuarta Enmienda) se aplica principalmente a los ciudadanos de EE. UU. Este programa tuvo un papel central en la sentencia Schrems II del Tribunal de Justicia de la Unión Europea (lección 1.4).

Situación en noviembre de 2026

La Section 702 debe ser renovada periódicamente por el Congreso. En abril de 2024, la ley RISAA la prorrogó dos años, hasta abril de 2026. En abril de 2026 no se logró una prórroga larga; se aprobaron dos prórrogas cortas. El 12 de junio de 2026 la ley expiró, por primera vez desde 2008. Según informaciones de prensa, la recopilación continúa en la práctica, porque el tribunal FISA ya había aprobado en marzo de 2026 las certificaciones anuales, que son válidas aproximadamente hasta marzo de 2027. El Congreso sigue debatiendo una nueva prórroga durante el periodo de sesiones de transición (lame duck) que comenzó el 9 de noviembre de 2026.

Para su decisión, esto significa lo siguiente: tanto si la ley ha expirado momentáneamente como si no, el problema de fondo no desaparece. Es muy probable que se apruebe una nueva prórroga, y las facultades pueden reaparecer bajo otra forma.

Executive Order 12333: sin juez

Además de estas leyes, existe la Executive Order 12333 de 1981, un decreto presidencial sobre trabajo de inteligencia. Bajo esta norma se incluyen, por ejemplo, la intervención de cables de internet y la recopilación de datos fuera de EE. UU., sin intervención judicial y sin que una empresa tenga que colaborar. Para los datos que viajan cifrados, esto supone un problema menor; para los datos en poder de una empresa estadounidense, la CLOUD Act y la Section 702 son las vías relevantes.

¿Qué tan grande es realmente el riesgo?

Siendo honestos: para la mayoría de las organizaciones pequeñas, la probabilidad de que los servicios estadounidenses se interesen precisamente por su correo es pequeña. Aun así, hay razones para tomárselo en serio:

• Usted no lo sabría. Debido a las órdenes de confidencialidad, es posible que nunca se entere.
• Usted no es el único interesado. En su correo hay datos de clientes, proveedores y empleados. Usted debe proteger sus datos (lección 1.2).
• Algunos datos son sensibles. Un bufete de abogados, un médico de familia, un periodista o un colegio tienen una valoración distinta a la de una panadería.
• Las normas pueden cambiar sin que usted tenga nada que decir al respecto.

Bakkerij De Korrel tiene poco que temer de un servicio de inteligencia. Pero Sanne piensa que en su buzón de correo también están las bajas por enfermedad de su personal. Se trata de datos de salud, y con ellos debe ser especialmente cuidadosa.

En la práctica: así se ve en un proveedor

Un proveedor europeo sin matriz estadounidense y sin subencargados estadounidenses no está sujeto a la CLOUD Act y no es un "provider" en el sentido de la Section 702. Aun así, puede verse obligado a colaborar con la policía y la justicia europeas, pero entonces conforme al derecho europeo y nacional, con un juez europeo como control. En WebOké, el manual de Nextcloud indica que sus archivos no se envían a empresas de nube estadounidenses. En otros proveedores, busque una lista de subencargados y al propietario jurídico (lección 2.1).

Resumen

• La CLOUD Act (2018) obliga a los proveedores estadounidenses a entregar los datos que están bajo su control ante una orden penal, incluso si se encuentran en el extranjero.
• La FISA Section 702 da a los servicios estadounidenses acceso a las comunicaciones de no estadounidenses fuera de EE. UU., con fines de inteligencia, sin orden por persona.
• La Section 702 expiró el 12 de junio de 2026, pero según informaciones de prensa la recopilación continúa sobre la base de certificaciones de marzo de 2026; se está debatiendo una nueva prórroga.
• Un servidor en Europa no protege si la empresa que está detrás está sujeta al derecho estadounidense.
• El riesgo es pequeño para la mayoría de las organizaciones, pero no se puede descartar ni controlar.

Cuestionario

Ejercicio

Ejercicio E1.3: ¿Bajo qué jurisdicción cae su servicio? Elija su servicio en la nube más importante. Averigüe qué empresa firma el contrato con usted (figura en las condiciones), dónde está establecida y cuál es la matriz final. Responda: ¿puede aplicarse la CLOUD Act a este servicio, y por qué?

Para saber más

Los pasos de estos artículos se aplican a los servicios de WebOké; en otros proveedores funciona de forma similar.

• Manual de Nextcloud 15.13: Preguntas frecuentes sobre seguridad y privacidad
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) y el informe del CRS "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Reglamento (UE) 2016/679 (RGPD), artículo 48 (resoluciones extranjeras de entrega de datos)