Protección de datos en la nube: obligaciones de una pyme según el país
La protección de datos en la nube obliga a cualquier pyme que guarde datos personales de clientes, empleados o pacientes en un servicio online, aunque los servidores pertenezcan al proveedor. En España se aplican el RGPD y la LOPDGDD, con la AEPD como autoridad; en México, Colombia, Argentina y Chile rigen leyes nacionales distintas, con autoridades y calendarios propios. En los cinco países, la empresa sigue siendo responsable de los datos, necesita un acuerdo escrito con el proveedor y debe vigilar dónde acaban y cómo se protegen.
Protección de datos en la nube: lo que exige la ley según dónde trabajes
Cuando una pyme sube a la nube la lista de clientes, las nóminas o los historiales de sus pacientes, el proveedor guarda los archivos, pero la responsabilidad legal sigue siendo de la empresa. Esta parte de la guía sobre el almacenamiento en la nube de tu empresa reúne lo que exige la ley de protección de datos en España y en cuatro países de América Latina. En España, el punto de partida es el Reglamento General de Protección de Datos, aplicable en toda la Unión Europea; al otro lado del Atlántico, cada país tiene su propia ley.
Las cinco leyes comparten una lógica, aunque usen palabras distintas: quien decide para qué se usan los datos responde de ellos, y quien los guarda por su cuenta, como un servicio de nube, solo puede hacerlo según sus instrucciones y con un acuerdo escrito. A partir de ahí, las diferencias son grandes: autoridades, plazos para avisar de un incidente, países a los que se pueden enviar los datos, registros obligatorios. Ninguna regla de un país vale automáticamente en otro.
Esta guía ofrece información general, no asesoría jurídica. Antes de cerrar un contrato o una política de privacidad, valídalos con un profesional de la protección de datos que ejerza en tu país.
Cinco países, cinco marcos legales
La tabla resume, a 13 de octubre de 2026, la norma en vigor, la autoridad y el punto que más pesa cuando los datos están en la nube. Cada fila se desarrolla en su propia página.
| País | Ley en vigor | Autoridad | Punto clave para la nube |
|---|---|---|---|
| España | RGPD (Reglamento UE 2016/679) y LOPDGDD (Ley Orgánica 3/2018) | Agencia Española de Protección de Datos (AEPD) | Contrato de encargado con el proveedor (art. 28 RGPD) y notificación de brechas con riesgo en 72 horas |
| México | LFPDPPP, publicada en el DOF el 20 de marzo de 2025 | Secretaría Anticorrupción y Buen Gobierno | El Reglamento de 2011 fija requisitos para contratar servicios de cómputo en la nube (art. 52) |
| Colombia | Ley 1581 de 2012 y Decreto 1377 de 2013 | Superintendencia de Industria y Comercio (SIC) | Contrato de transmisión con el proveedor e incidentes reportados en 15 días hábiles |
| Argentina | Ley 25.326, de 2000 | Agencia de Acceso a la Información Pública (AAIP) | Transferencias solo a destinos adecuados o con cláusulas modelo; Estados Unidos no figura en la lista |
| Chile | Ley 19.628 hasta el 30 de noviembre de 2026; desde el 1 de diciembre, reformada por la Ley 21.719 | Ninguna para el sector privado hasta esa fecha; después, la Agencia de Protección de Datos Personales | Mandato por escrito al proveedor; desde diciembre, contrato con contenido mínimo y reporte de brechas |
Fuentes: textos oficiales enlazados en la tabla y en cada página por país, consultados el 13 de octubre de 2026. En Chile, un proyecto en trámite en el Senado propone aplazar la reforma al 1 de diciembre de 2027.
Más allá de la ley de cada país, las mismas cuatro preguntas ordenan cualquier decisión antes de subir datos de clientes:
El reglamento europeo en una pyme española
Registro de actividades, información a los clientes, medidas de seguridad, brechas en 72 horas: el RGPD ordena las tareas de cualquier empresa española que trabaja con la nube. El resumen de las obligaciones del RGPD con datos en la nube las reúne en una tabla, con la excepción del registro para empresas pequeñas y sus límites.
El contrato que casi nadie lee
Al crear una cuenta de empresa aceptas un anexo de tratamiento de datos, que es el contrato de encargado exigido por el artículo 28 del RGPD. La lista de comprobación de lo que debe decir el acuerdo con tu proveedor recorre sus ocho contenidos obligatorios.
Cuando los servidores están lejos
Una nube estadounidense o un subencargado en otro continente implican una transferencia internacional. El árbol de decisión para enviar datos personales fuera de la UE explica la adecuación, el Data Privacy Framework y las cláusulas tipo.
Un caso práctico con el servicio más usado
Google Drive puede usarse con datos de clientes si se configura bien. La guía para configurar Google Drive conforme al RGPD muestra los menús de la consola y lo que depende de la edición.
México tras la desaparición del INAI
Nueva ley desde marzo de 2025, nueva autoridad y un reglamento antiguo que sigue listado como vigente: el repaso de las reglas mexicanas tras la reforma de 2025 incluye la lista de requisitos para los proveedores de nube.
Colombia, donde transmitir no es transferir
El derecho colombiano separa el envío de datos a un encargado de la cesión a un tercero. La página sobre la ley colombiana aplicada a la nube explica el contrato de transmisión, el registro de bases y el plazo para reportar incidentes.
Argentina y su lista de destinos adecuados
Una ley de 2000 con autoridad activa y un registro de bases de datos que conviene revisar. El resumen sobre la Ley 25.326 y los servicios en la nube detalla qué puede hacer el proveedor con tus datos y adónde pueden viajar.
Chile, entre dos versiones de su ley
Hasta el 30 de noviembre de 2026 rige el texto de 1999; después, una reforma con agencia, multas y reporte de brechas. La página sobre la transición chilena de 2026 compara las dos etapas y propone un repaso previo.
Salud, biometría y otros datos delicados
Cada país define a su manera los datos sensibles y les impone límites más estrictos. La comparación de los datos de salud y biométricos en la nube añade siete precauciones concretas antes de subirlos.
Más allá de la ley: el resto de tu nube
Cumplir la protección de datos depende también de decisiones técnicas: qué servicio eliges, cómo compartes, cómo proteges las cuentas y si tienes una copia que puedas restaurar. Estas son las otras partes de la guía:
- entender qué ocurre con un archivo en la nube, de los centros de datos a los archivos bajo demanda;
- los criterios para comparar servicios de nube según el tamaño y el oficio;
- lo que ofrece cada gran proveedor, de Google Drive a Proton Drive;
- las nubes europeas, libres o autoalojadas para depender menos de los gigantes;
- cuánto cuesta de verdad la nube de una pyme, con los costes que no aparecen en la tarifa;
- las medidas para blindar los archivos online, del doble factor a los enlaces compartidos;
- compartir carpetas con clientes sin caos ni accesos olvidados;
- una copia de seguridad que se pueda restaurar el día que haga falta;
- combinar un NAS con la nube y migrar sin perder nada.