Nube europea: qué gana una empresa con servidores en la UE

Almacenamiento en la nube europeo: lo que gana tu empresa con servidores en la UE

Guardar los archivos en un centro de datos de la Unión Europea tiene un efecto jurídico concreto para una empresa establecida en España: si nadie accede a ellos desde fuera, no hay transferencia internacional de datos personales y no se aplican las reglas especiales del capítulo V del RGPD. Por eso aparece en casi todas las listas de alternativas europeas y abiertas a los grandes servicios. El texto del Reglamento General de Protección de Datos puede consultarse en el BOE (Reglamento (UE) 2016/679).

Lo que el servidor en la UE no hace es cambiar quién es tu proveedor ni qué ley se aplica a tu empresa. Ahí nace la confusión más frecuente, porque «nube europea» puede significar tres cosas distintas.

Dónde, quién y con qué contrato

• Dónde están los discos. Es la región del centro de datos. Muchos proveedores estadounidenses ofrecen regiones europeas: Microsoft 365 tiene centros de datos en Madrid, y Google Workspace permite elegir «Europa» como región en algunas ediciones.
• Quién es el proveedor. El país de su sede, y el de su empresa matriz, decide a qué autoridades debe obedecer.
• Con qué contrato. El contrato de encargado del tratamiento (artículo 28 del RGPD), la lista de subencargados y el país desde el que se presta el soporte técnico.

Una nube es europea en sentido pleno cuando las tres respuestas apuntan a Europa. Muchas ofertas cumplen solo la primera, y eso ya tiene valor, siempre que sepas cuál de las tres estás comprando.

Lo que gana una empresa española con los datos en la UE

La Agencia Española de Protección de Datos define la transferencia internacional como un flujo de datos personales desde España hacia destinatarios establecidos fuera del Espacio Económico Europeo (AEPD, transferencias internacionales). Si el proveedor y todos sus subencargados trabajan dentro del EEE, ese flujo no existe. Te ahorras elegir un mecanismo de transferencia, como las cláusulas contractuales tipo, y analizar si la ley del país de destino permite cumplirlas.

También se simplifica la respuesta cuando un cliente te pregunta dónde están sus datos, por ejemplo en un cuestionario de homologación de proveedores.

Conviene no exagerar la ventaja: guardar los datos en la UE no es obligatorio para una pyme española. La Comisión Europea reconoce un nivel de protección adecuado a países como Suiza, Argentina o Uruguay, y a las empresas estadounidenses adheridas al Marco de Privacidad de Datos UE-EE. UU. (decisiones de adecuación). La región europea ahorra trabajo, no obligaciones.

Lo que no cambia, aunque el servidor esté en Fráncfort o en Madrid

El RGPD se aplica al tratamiento hecho en el contexto de un establecimiento en la Unión, «independientemente de que el tratamiento tenga lugar en la Unión o no» (artículo 3). Tus obligaciones son las mismas con el disco en Madrid que en Virginia.

El Comité Europeo de Protección de Datos (CEPD) precisa dos situaciones en sus directrices 05/2021 (CEPD, directrices 05/2021, en inglés). Si un encargado situado fuera del EEE accede en remoto a datos guardados en la UE, por ejemplo para dar soporte, hay transferencia. Y si el encargado está en la UE pero sometido a la legislación de un tercer país, debes valorar si ofrece «garantías suficientes» de cumplir el RGPD. Es el terreno de la ley estadounidense sobre datos en el extranjero, que alcanza a los proveedores de ese país aunque sus discos estén en Europa.

El Reglamento de Datos: cambiar de proveedor también es un derecho

El Reglamento (UE) 2023/2854, conocido como Reglamento de Datos o Data Act, se aplica desde el 12 de septiembre de 2025 a los proveedores de servicios en la nube que trabajan para clientes de la Unión, estén donde estén establecidos (texto en el DOUE). Para una pyme, lo práctico está en su capítulo VI:

• el contrato debe recoger por escrito cómo se cambia de proveedor, con un preaviso máximo de dos meses y un periodo de transición de hasta 30 días naturales;
• hasta el 12 de enero de 2027, el proveedor solo puede cobrar costes de cambio reducidos, limitados a lo que le cuesta el proceso, y desde esa fecha no puede cobrar ninguno;
• para los datos no personales guardados en la UE, el proveedor debe tomar medidas para impedir accesos de autoridades de terceros países contrarios al Derecho europeo (artículo 32).

Estos derechos no dependen de que el servidor esté en Europa, sino de que el cliente lo esté.

Seis preguntas para saber si una nube es europea de verdad

1. ¿En qué país tiene su sede la empresa, y su matriz?
2. ¿En qué países están los centros de datos, y puedes elegir uno?
3. ¿Publica la lista de subencargados y el país de cada uno?
4. ¿Desde qué países accede a tus datos el soporte técnico?
5. ¿Firma un contrato de encargado del tratamiento conforme al artículo 28 del RGPD?
6. ¿Cómo exportas todos tus archivos y cuánto cuesta salir?

Una agencia de diseño de Sevilla puede hacer este ejercicio en una tarde con la documentación pública de dos o tres proveedores. Fíjate sobre todo en las preguntas 1 y 4: son las que el argumento de «servidores en Europa» no responde por sí solo.

Suiza, fuera de la UE y con la misma tranquilidad jurídica

Suiza no forma parte de la Unión, pero tiene una decisión de adecuación, así que enviar allí datos personales no exige garantías adicionales. Varios proveedores suizos se presentan como alternativa a los gigantes; uno de ellos, con planes pensados para equipos, es la nube suiza de Infomaniak, alojada en centros de datos propios en el país.

Cuando quieres elegir tú el centro de datos

Si ningún servicio te convence, puedes alojar un software de nube en el centro de datos europeo que prefieras, propio o alquilado. Es lo que permite montar Nextcloud con un proveedor de tu elección: las tres preguntas de dónde, quién y con qué contrato pasan a tener una respuesta que decides tú.