# La CLOUD Act y los proveedores estadounidenses: qué significa para tus datos

> La CLOUD Act obliga a los proveedores sujetos a EE. UU. a entregar datos con orden judicial aunque estén fuera del país. Qué dice la ley y qué responde la UE.

La **CLOUD Act** es una ley estadounidense de marzo de 2018 que obliga a los proveedores sujetos a la jurisdicción de Estados Unidos a conservar y entregar, cuando lo exige una orden válida, los datos de clientes que tengan bajo su posesión, custodia o control, estén guardados dentro o fuera del país. Para una pyme de España o de América Latina, significa que la ubicación del servidor no basta para saber qué leyes pueden alcanzar sus archivos en la nube.

**En resumen**

1. La CLOUD Act forma parte de la ley federal de presupuestos firmada el 23 de marzo de 2018 y añadió al Código de Estados Unidos la obligación de entregar datos guardados en el extranjero.
2. El Departamento de Justicia de Estados Unidos sostiene que la ley no crea nuevas facultades de investigación, no obliga a descifrar y exige una orden judicial para obtener contenidos.
3. El Comité Europeo de Protección de Datos y el Supervisor Europeo concluyeron en 2019 que, sin un acuerdo internacional, una orden de la CLOUD Act no basta para justificar una transferencia de datos personales según el RGPD.


## La CLOUD Act: qué es y qué cambia para tus datos en la nube

Si los archivos de tu negocio están en un servicio de una empresa estadounidense, tarde o temprano aparece la pregunta: ¿puede el Gobierno de Estados Unidos pedirlos aunque estén en un servidor de Madrid, de Fráncfort o de Querétaro? Puede, con una orden judicial y dentro de una investigación penal, y la ley que lo aclara es la CLOUD Act. Es uno de los motivos para estudiar [otras opciones de nube](/guias/almacenamiento-en-la-nube/alternativas/). El Departamento de Justicia de Estados Unidos (DOJ) reúne en una página el texto, los acuerdos firmados y sus explicaciones oficiales ([DOJ, CLOUD Act Resources](https://www.justice.gov/criminal/cloud-act-resources), en inglés).

La respuesta completa tiene matices: la ley no da acceso libre a la nube, no obliga a descifrar y no deja de aplicarse porque el servidor esté en Europa. Tampoco es una rareza estadounidense, como muestra la tabla de más abajo.

### Lo que dice el texto de la ley

La Clarifying Lawful Overseas Use of Data Act es la división V de la ley de presupuestos firmada el 23 de marzo de 2018 ([Public Law 115-141](https://www.congress.gov/115/plaws/publ141/PLAW-115publ141.pdf), en inglés). Hace dos cosas.

**Aclara el alcance de las órdenes.** Añadió al Código de Estados Unidos una sección (18 U.S.C. § 2713) según la cual un proveedor de comunicaciones o de almacenamiento remoto debe conservar y entregar los datos de un cliente que estén «en su posesión, custodia o control», se encuentren dentro o fuera del país. La ley dejó sin objeto un litigio, entonces en el Tribunal Supremo, sobre unos correos que Microsoft guardaba en Irlanda.

**Permite acuerdos con otros países.** Estados Unidos puede firmar acuerdos ejecutivos para que las autoridades de un país socio pidan datos directamente a proveedores estadounidenses, y al revés. Según el DOJ, existen acuerdos con el Reino Unido (firmado en 2019) y con Australia (2021); con la Unión Europea, las negociaciones se reanudaron en marzo de 2023.

La ley prevé también una defensa: el proveedor dispone de 14 días para pedir al juez que anule o modifique la orden si el cliente no es estadounidense ni reside en Estados Unidos y la entrega le haría incumplir la ley de un país con acuerdo ejecutivo en vigor (18 U.S.C. § 2703(h)). España y los países de América Latina no tienen ese acuerdo, así que esa vía concreta no protege a sus clientes. Para los demás conflictos de leyes, el DOJ explica que los tribunales ponderan los intereses de los dos países.

### Lo que se suele decir y lo que dicen las fuentes

| Afirmación habitual | Lo que dicen las fuentes |
|---|---|
| «Con la CLOUD Act, Estados Unidos puede leer cualquier dato de la nube» | Para obtener contenidos hace falta una orden de un juez basada en «causa probable» de un delito concreto. El DOJ indica que la ley no permite la recogida masiva ni crea nuevas facultades de investigación. |
| «Si el servidor está en Europa, la ley no se aplica» | Lo que cuenta es que el proveedor esté sujeto a la jurisdicción estadounidense y controle los datos, no el lugar del disco. Para las filiales extranjeras, el DOJ dice que depende de los hechos de cada caso. |
| «La ley obliga al proveedor a descifrar» | El DOJ la describe como «neutral respecto al cifrado»: no crea la obligación de descifrar. Si solo tú tienes las claves, lo que el proveedor puede entregar es el archivo cifrado. |
| «Europa no tiene nada parecido» | El Reglamento (UE) 2023/1543, aplicable desde el 18 de agosto de 2026, permite a un juez o fiscal de un Estado miembro ordenar a un proveedor que entregue pruebas electrónicas «con independencia de la ubicación de los datos» ([texto en el DOUE](https://www.boe.es/doue/2023/191/L00118-00180.pdf)). |

*Fuentes: Public Law 115-141, libro blanco del DOJ (abril de 2019) y Reglamento (UE) 2023/1543, consultados el 13 de octubre de 2026.*

### La lectura europea: el artículo 48 del RGPD

En julio de 2019, el Comité Europeo de Protección de Datos (CEPD) y el Supervisor Europeo de Protección de Datos analizaron la ley a petición del Parlamento Europeo. Su conclusión: mientras una orden de la CLOUD Act no esté reconocida por un acuerdo internacional, no puede darse por lícita una transferencia de datos personales hecha solo para cumplirla, salvo situaciones excepcionales como proteger la vida de una persona ([respuesta conjunta del CEPD y el SEPD](https://www.edpb.europa.eu/our-work-tools/our-documents/letters/edpb-edps-joint-response-libe-committee-impact-us-cloud-act_en), en inglés). Se apoyan en el artículo 48 del RGPD, que solo reconoce las órdenes de un tribunal extranjero si se basan en un acuerdo, como un tratado de asistencia judicial.

Mientras no exista un acuerdo entre la UE y Estados Unidos, que ambas autoridades reclamaron, un proveedor estadounidense con clientes europeos puede quedar entre dos obligaciones contradictorias. En sus directrices de 2023 sobre transferencias, el CEPD añadió que, si eliges un encargado sometido a la legislación de un tercer país, debes valorar si ofrece «garantías suficientes» de cumplir el RGPD.

### Con qué frecuencia ocurre, según un proveedor

Microsoft publica cada semestre las peticiones de las fuerzas de seguridad que recibe. Entre julio y diciembre de 2025 contabilizó 190 peticiones de todo el mundo sobre cuentas de clientes empresariales; en 45 casos tuvo que entregar contenido, 31 de ellos a autoridades estadounidenses. En el mismo periodo entregó a autoridades de Estados Unidos contenido de 3 clientes empresariales no estadounidenses cuyos datos estaban fuera del país, uno de ellos en la UE o la AELC ([informe de Microsoft](https://www.microsoft.com/en-us/corporate-responsibility/reports/government-requests/customer-data), en inglés).

Son cifras declaradas por la propia empresa y limitadas a investigaciones penales; las peticiones de inteligencia se rigen por otras normas. No miden tu riesgo, pero muestran que el mecanismo existe y se aplica.

### Cuando quieres que tus datos dependan del derecho europeo

Para una gestoría de Valencia con expedientes fiscales de cientos de clientes, lo que pesa es el derecho al que está sometido el proveedor. Según el DOJ, cuanto menos dirige una empresa su actividad hacia Estados Unidos, menos probable es que un tribunal la considere bajo su jurisdicción; un proveedor europeo o suizo sigue sometido, eso sí, a las autoridades de su país. Lo que gana y lo que no gana una empresa con [servidores dentro de la UE](/guias/almacenamiento-en-la-nube/alternativas/nube-europea/) merece un análisis aparte.

### Cuando prefieres tener tú las llaves del servidor

Otra respuesta es alojar tú mismo los archivos, o encargarlo a un proveedor local de confianza. Es la lógica de [instalar Nextcloud en un servidor propio](/guias/almacenamiento-en-la-nube/alternativas/nextcloud/), con más control y también más trabajo de mantenimiento.

### Si tu negocio está en América Latina

La CLOUD Act alcanza igual los datos de una consultora de Monterrey guardados por un proveedor estadounidense en un centro de datos de Querétaro. Las opciones de [alojar los datos en la región](/guias/almacenamiento-en-la-nube/alternativas/datos-en-latinoamerica/) resuelven la latencia o algunos requisitos de clientes, pero la jurisdicción sigue dependiendo de quién es el proveedor.

Antes de mudarte, pregunta a tu proveedor actual: ¿su empresa matriz está sujeta a la jurisdicción de Estados Unidos?, ¿publica un informe de transparencia con cifras de clientes empresariales? y ¿se compromete por contrato a impugnar las órdenes que considere ilegítimas y a avisarte cuando la ley lo permita?