¿Alojar datos fuera de la UE es un riesgo para el RGPD? Qué significa realmente y cómo limitarlo

Si tu empresa guarda archivos de clientes, carpetas de proyectos o notas de equipo en la nube, es muy probable que parte de esos datos ya esté fuera de la Unión Europea, a menudo sin que nadie lo haya decidido a propósito. Una región de servidor por defecto, un proveedor de propiedad estadounidense, un bucket de copias de seguridad en otro país: los datos cruzan una frontera sin hacer ruido, y la responsabilidad sigue siendo tuya. Para un freelance, una pequeña empresa o una compañía sin equipo jurídico propio, la pregunta honesta no es «¿está prohibido?», sino «¿cuánto riesgo estoy asumiendo y qué puedo hacer realmente al respecto?».

Este artículo responde a eso. No es asesoramiento jurídico, y ninguna herramienta, por sí sola, hace que cumplas el RGPD. Pero puedes entender las reglas lo bastante bien como para tomar decisiones sensatas, y puedes poner en marcha controles concretos hoy mismo.

Respuesta rápida

Alojar datos personales fuera de la UE no es ilegal de por sí según el RGPD, pero es una «transferencia» regulada que debes poder justificar. La transferencia necesita una base jurídica del capítulo V del RGPD: una decisión de adecuación para el país de destino, o garantías adecuadas como las cláusulas contractuales tipo, normalmente respaldadas por una evaluación de impacto de la transferencia. El riesgo práctico más serio es el acceso de gobiernos extranjeros, por ejemplo en virtud de la CLOUD Act estadounidense, que puede alcanzar los datos en manos de proveedores bajo control estadounidense aunque los servidores estén en Europa. La forma más eficaz de limitar ese riesgo es reducir lo que un proveedor puede leer de verdad: un cifrado sólido del lado del cliente en el que solo tú tienes las claves y, cuando puedas, un alojamiento con sede en la UE o bajo control de la UE.

¿Por qué preocupa esto especialmente a las pequeñas empresas?

Las grandes organizaciones tienen un delegado de protección de datos, un departamento jurídico y contratos con sus proveedores negociados línea por línea. Un freelance, un estudio de dos personas o un pequeño despacho no tienen nada de eso y, sin embargo, cargan con las mismas obligaciones como responsables del tratamiento. Cuando guardas los documentos, las facturas, los contratos, los datos de salud o los documentos de identidad de un cliente, tratas datos personales por cuenta de otra persona, y respondes de dónde acaban.

Tres cosas lo hacen incómodo:

Las transferencias ocurren por defecto. Muchas herramientas populares guardan los datos en EE. UU. o los reparten entre regiones de todo el mundo salvo que elijas otra cosa de forma explícita. Puedes estar «transfiriendo» sin haber pulsado nunca un botón de exportar.
«Región UE» no es lo mismo que «fuera del alcance extranjero». Un proveedor puede guardar tus archivos en Fráncfort y, aun así, estar legalmente obligado a atender a un gobierno de fuera de la UE por quién es el propietario de la empresa y quién la controla.
La responsabilidad es tuya. Según el RGPD, poder demostrar por qué tu configuración es lícita es en sí mismo una obligación. «No sabía dónde estaban los servidores» no es una defensa.

La buena noticia: no necesitas convertirte en abogado especialista en privacidad. Necesitas un modelo mental claro y una lista de comprobación breve.

¿Qué dice realmente el RGPD sobre las transferencias internacionales?

Las reglas sobre el envío de datos personales fuera de la UE (más exactamente, del Espacio Económico Europeo) están en el capítulo V del RGPD, artículos 44 a 50. El principio de fondo es sencillo: solo puedes transferir datos fuera del EEE si la protección que viaja con ellos sigue siendo esencialmente equivalente a la de la UE. Hay unas cuantas vías reconocidas para lograrlo.

¿Qué es una decisión de adecuación?

La Comisión Europea puede decidir que un país ofrece un nivel de protección adecuado. Las transferencias a esos países se tratan entonces casi como transferencias dentro de la UE, sin ningún mecanismo adicional. Varios países tienen esa condición de adecuación y, para Estados Unidos, existe el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), que cubre a las empresas estadounidenses que se autocertifican en él. Las decisiones de adecuación pueden impugnarse y pueden cambiar, así que son una base que hay que documentar, no una casilla que se marca una vez y se olvida.

Garantías adecuadas: ¿qué son las cláusulas contractuales tipo?

Cuando no hay decisión de adecuación, la vía más habitual son las garantías adecuadas del artículo 46, casi siempre las cláusulas contractuales tipo (CCT) de la Comisión. Son cláusulas que firma tu proveedor y que lo comprometen a una protección de nivel europeo. Los proveedores de nube serios publican sus CCT en sus contratos de encargo del tratamiento (DPA).

¿Qué cambió con Schrems II?

Esta es la parte que se suele pasar por alto. En su sentencia Schrems II de 2020, el Tribunal de Justicia de la UE anuló el anterior marco de transferencias con EE. UU. y dejó claro que firmar las CCT no basta por sí solo. También tienes que evaluar si la legislación del país de destino podría socavar esas protecciones contractuales, por ejemplo mediante los poderes de vigilancia del gobierno. Esa evaluación se conoce habitualmente como evaluación de impacto de la transferencia. Cuando el entorno jurídico es arriesgado, se espera que añadas «medidas complementarias», y un cifrado sólido que el proveedor no pueda descifrar es el ejemplo de manual que señalan los reguladores europeos.

¿Puede un gobierno extranjero acceder a tus datos? El riesgo que los contratos no resuelven del todo

Si el cifrado sale una y otra vez, es por una laguna concreta que el papeleo cuesta cerrar. Leyes como la CLOUD Act estadounidense pueden obligar a las empresas con sede en EE. UU. o bajo control estadounidense a revelar los datos que conservan, sea cual sea el país donde estén los servidores. Así que un centro de datos europeo operado por un proveedor estadounidense no pone, por sí solo, los datos fuera de ese alcance.

Esto importa porque cambia el planteamiento de toda la pregunta. La cuestión no es tanto «en qué ciudad están los discos» como «quién puede ser obligado legalmente a leer mis datos y, si se le obliga, si de verdad puede leerlos». Si el proveedor tiene las claves, una solicitud de una autoridad, aunque sea perfectamente legal, puede traducirse en archivos de clientes legibles. Si el proveedor nunca tiene las claves, esa misma solicitud solo produce ruido ilegible.

Esa es justo la diferencia que se explica en qué cambia realmente cuando se filtran datos cifrados frente a datos en claro, y es la razón por la que las etiquetas importan: tener clara la diferencia concreta entre cifrado en reposo, de extremo a extremo y de conocimiento cero (zero-knowledge) es lo más útil que puedes aprender antes de elegir un proveedor.

¿Qué opciones tienes realmente? Comparativa

La mayoría de las organizaciones pequeñas acaban eligiendo entre cuatro configuraciones. Ninguna es perfecta. Esta es una comparativa honesta según los aspectos que influyen en el riesgo de transferencia del RGPD.

Configuración	Dónde están los datos	Quién puede leerlos	Principal problema RGPD	Nivel de riesgo de transferencia
Nube estadounidense (claves en manos del proveedor)	A menudo en EE. UU. o repartidos por todo el mundo	El proveedor, y quien pueda obligarle legalmente	La base de la transferencia y que el proveedor pueda leer los datos	Alto
Región UE de un proveedor bajo control estadounidense	Centro de datos en la UE	El proveedor, que sigue al alcance de la ley extranjera	La propiedad y el control, no solo la ubicación	Medio a alto
Proveedor con sede en la UE, claves en manos del proveedor	UE	El proveedor	Que el proveedor pueda leer los datos ante una brecha o una solicitud de una autoridad	Medio
Cualquier proveedor, cifrado del lado del cliente, tú tienes las claves	En cualquier sitio	Solo tú	Resuelto en gran parte para el contenido; los metadatos y la base jurídica siguen importando	Bajo para el contenido

Dos advertencias honestas. Primera: el cifrado del lado del cliente protege el contenido de tus archivos, pero no borra por arte de magia todas las obligaciones: sigues necesitando una base jurídica para el tratamiento en sí, sigues manejando metadatos y sigues debiendo a tus clientes transparencia sobre quiénes son tus subencargados del tratamiento. Segunda: mantener los datos solo en local, en tus propios equipos, elimina por completo la cuestión de la transferencia para esa copia, pero desplaza el riesgo a tus propias copias de seguridad, al robo de dispositivos y a la pérdida. No hay ninguna opción sin contrapartidas, solo opciones cuyas contrapartidas entiendes.

¿Qué hacer en la práctica? Una lista de comprobación breve

No necesitas un departamento de cumplimiento para actuar. Necesitas unas cuantas decisiones deliberadas.

Haz un mapa de adónde van tus datos. Enumera las herramientas que guardan datos de clientes o datos personales y averigua, para cada una, la región de almacenamiento y el país desde el que se controla la empresa. Si no consigues averiguarlo, tómalo como una señal de alarma.
Elige alojamiento en la UE cuando puedas. Reduce, aunque no elimina, la exposición al acceso extranjero, y simplifica tu documentación.
Cifra antes de subir siempre que los datos sean sensibles. Si el proveedor no puede leer tus archivos, una transferencia o una solicitud de una autoridad solo deja escapar datos cifrados, no documentos de clientes. Es la medida complementaria que los reguladores favorecen de forma explícita.
Guarda tú las claves. «El proveedor cifra tus datos» significa poco si el proveedor también tiene la clave. Busca diseños de conocimiento cero, en los que la clave nunca llega al proveedor sin cifrar.
Documenta tu razonamiento. Anota la base de la transferencia (adecuación o CCT) y conserva una breve evaluación por escrito del riesgo y de las medidas que tomaste. Poder demostrarlo es en sí un requisito del RGPD.
Planifica la recuperación. Un cifrado que solo tú puedes deshacer significa que, si pierdes tu clave o tu frase de recuperación, nadie podrá ayudarte. Guarda tu material de recuperación en un lugar seguro y sin conexión.

Para enfoques por sector, dos de nuestras guías profundizan justo en esta tensión: cómo las asesorías contables gestionan el almacenamiento de documentos de clientes según el RGPD, y cómo los freelance y los consultores protegen los datos de sus clientes sin departamento de TI.

¿En qué puede ayudarte Filarr y en qué no?

Filarr es un espacio de trabajo cifrado local-first (primero en local): notas, archivos y un grafo que los enlaza, guardados cifrados en tu propio disco. Es relevante para esta cuestión por una razón concreta, así que seamos precisos sobre lo que resuelve y lo que no.

En qué ayuda. Cada archivo se cifra en tu dispositivo con AES-256-GCM, con la clave de tu cuenta (la FEK) y un valor aleatorio nuevo para cada archivo, antes de que nada salga de tu equipo. La sincronización en la nube, opcional, solo sube blobs ya cifrados y opacos: según el código, el servidor guarda datos cifrados que no puede leer, los nombres de archivo se sustituyen por identificadores opacos y tu clave de cifrado nunca llega al servidor en claro. Eso significa que, aunque el backend de sincronización por defecto funcione sobre Cloudflare R2 (un proveedor bajo control estadounidense), el proveedor guarda datos ilegibles, que es precisamente el tipo de medida complementaria al que apuntan las directrices posteriores a Schrems II. Puedes ver cómo funciona en este recorrido por dentro de la sincronización de conocimiento cero de Filarr. Desde el 16 de octubre de 2026, al iniciar sesión se envía una clave derivada en tu dispositivo, no tu contraseña; durante una transición de unos dos meses, una cuenta que aún no ha vuelto a iniciar sesión, o una versión antigua de la app, todavía envía la contraseña por HTTPS, y un servidor comprometido podría capturarla en ese momento. Si quieres elegir dónde se guardan los archivos cifrados, Filarr también permite usar tu propio almacenamiento (bring-your-own-storage) con el plan Pro: puedes dirigir la sincronización a un bucket compatible con S3 en la UE que tú elijas, mientras tu cuenta y el inicio de sesión siguen funcionando en la infraestructura de Filarr; la guía de configuración del almacenamiento propio S3 te explica el proceso paso a paso.

Lo que no resuelve. Filarr es una herramienta de cifrado y almacenamiento, no una certificación RGPD ni asesoramiento jurídico. No elige por ti la base jurídica del tratamiento, no redacta tus contratos de encargo del tratamiento, no gestiona el consentimiento de tus clientes ni atiende por ti las solicitudes de los interesados. El cifrado es un control entre varios. Si tu tratamiento en conjunto no cumple, cifrar los archivos no lo arregla. Y como solo tú tienes las claves, la recuperación es responsabilidad tuya: si pierdes la frase de recuperación, los datos se pierden.

En resumen, Filarr puede reducir la parte más difícil de resolver del problema de alojar fuera de la UE, que es que el proveedor pueda leer los datos, y puede dejarte elegir dónde se guardan los blobs cifrados. El resto del cumplimiento sigue siendo cosa tuya.

Preguntas frecuentes

¿Es ilegal guardar datos de clientes fuera de la UE? No. Es una transferencia regulada, no una prohibición. Es lícita si tienes una base válida según el capítulo V del RGPD, normalmente una decisión de adecuación o cláusulas contractuales tipo y, desde Schrems II, una evaluación razonada de los riesgos del país de destino, con medidas complementarias cuando haga falta.

Mi proveedor guarda los datos en una región de la UE. ¿Estoy a salvo del acceso extranjero? No necesariamente. Si el proveedor pertenece a una empresa de fuera de la UE o está controlado por ella, leyes como la CLOUD Act estadounidense pueden alcanzar los datos incluso en un centro de datos de la UE. La ubicación ayuda, pero la propiedad de la empresa, y el hecho de que el proveedor pueda o no leer tus datos, importan igual.

¿El cifrado hace que cumpla el RGPD? No, pero es uno de los controles individuales más sólidos que puedes añadir. Un cifrado en el que solo tú tienes las claves es la medida complementaria que los reguladores europeos favorecen de forma explícita para las transferencias de riesgo, porque una revelación exigida por una autoridad o una brecha solo expone entonces datos cifrados ilegibles. El cumplimiento sigue dependiendo de todo tu tratamiento, no de una sola herramienta.

¿Cuál es el cambio más sencillo y con más impacto que puedo hacer? Deja de permitir que el proveedor tenga tus claves para los datos sensibles. Usa un cifrado de conocimiento cero del lado del cliente, para que los archivos sean ilegibles en el servidor, y elige un almacenamiento con sede en la UE o elegido por ti. Esa combinación aborda a la vez el riesgo de brecha y el riesgo de acceso extranjero.

¿Guardarlo todo en local en lugar de en la nube es una opción válida? Sí, y elimina la cuestión de la transferencia para esa copia, por eso muchos usuarios preocupados por la privacidad la prefieren. La contrapartida pasa a tus propias copias de seguridad y a la seguridad de tus dispositivos, así que combina el almacenamiento local con copias de seguridad cifradas y una clave de recuperación guardada en un lugar seguro.

Este artículo es información general, no asesoramiento jurídico. Para decisiones sobre tus obligaciones concretas, consulta a un profesional cualificado en protección de datos.