Google Drive y el RGPD: cómo usarlo con datos de clientes
Usar Google Drive y el RGPD a la vez es posible para una empresa española si los datos de clientes se guardan en una cuenta de Google Workspace y no en una cuenta personal. En Workspace, Google actúa como encargado del tratamiento según su Anexo de Tratamiento de Datos de Cloud, que el superadministrador puede revisar y aceptar en la consola. Las regiones de datos en Europa, el cifrado del lado del cliente y Vault dependen de la edición contratada, y el control del uso compartido sigue en manos de la empresa.
Google Drive y el RGPD: cuenta, contrato y configuración
Una clínica de podología de Murcia que guarda presupuestos y consentimientos en Google Drive, o una gestoría de Oviedo que comparte carpetas con sus clientes, pueden hacerlo dentro del RGPD, pero no de cualquier manera. Lo decisivo es el tipo de cuenta, el contrato con Google y unos pocos ajustes de la consola. Google publica en español su Anexo de Tratamiento de Datos de Cloud, el contrato de encargado que se aplica a Google Workspace. Esta página aplica a un servicio concreto lo que explica la guía sobre cumplir la protección de datos en la nube.
La respuesta corta: usa Workspace y no una cuenta personal, acepta el anexo, decide dónde se guardan los datos si tu edición lo permite y limita el uso compartido externo. Las funciones dependen de la edición y conviene comprobarlas en la documentación de Google antes de contratar; las decisiones de cumplimiento, con un profesional de la protección de datos si tratas datos sensibles.
Cuenta personal o Workspace: la diferencia que importa
Según la ayuda de Google, en una cuenta gestionada por una organización los Términos del Servicio y la Política de Privacidad de Google «no se aplican al uso que hagas de Google Workspace», que «se regirá por el contrato empresarial de la organización» (Cuentas de Google, ayuda). Con una cuenta personal ocurre lo contrario.
| Aspecto | Cuenta personal de Google | Google Workspace |
|---|---|---|
| Condiciones aplicables | Términos del Servicio y Política de Privacidad de Google | Contrato empresarial de la organización |
| Contrato de encargado con tu empresa | No | Sí, el Anexo de Tratamiento de Datos de Cloud (§4.1) |
| Regiones de datos | No | Según la edición |
| Control del uso compartido por un administrador | No | Sí, por unidad organizativa o grupo |
| Qué pasa con los datos al terminar | Lo que digan las condiciones de consumo | Hasta 30 días para recuperarlos y borrado en un máximo de 180 días (§6.2) |
Fuentes: ayuda de Cuentas de Google y Anexo de Tratamiento de Datos de Cloud, consultados el 13 de octubre de 2026.
Cinco ajustes en la consola de administración
Los menús siguientes son los que indica la ayuda de Google Workspace en octubre de 2026. Necesitas una cuenta de superadministrador.
- Acepta el anexo de tratamiento. En Menú > Cuenta > Configuración de la cuenta > Información legal y de cumplimiento, sección «Condiciones Adicionales de Seguridad y Privacidad», pulsa «Leer y aceptar» y luego «Acepto». Google indica que solo es necesario si tu contrato no lo incorpora ya, pero recomienda aceptarlo en cualquier caso. En la misma sección puedes registrar las autoridades de control aplicables y, si lo tienes, tu delegado de protección de datos.
- Revisa los subencargados. El anexo obliga a Google a avisar al menos 30 días antes de incorporar un subencargado nuevo; si no estás de acuerdo, puedes oponerte en 90 días resolviendo el contrato (§11.4). Descarga la lista y anótala en tu registro de actividades.
- Elige la región de datos. En Menú > Datos > Cumplimiento > Regiones de datos puedes optar por Europa, Estados Unidos o «Sin preferencia». La política cubre los datos en reposo, incluidas las copias de seguridad, de los archivos originales de Drive y del contenido de Documentos, Hojas de cálculo y Presentaciones, entre otros servicios, pero no los registros ni el contenido en caché (regiones de datos de Workspace).
- Limita el uso compartido externo. En Menú > Apps > Google Workspace > Drive y Documentos > Configuración de uso compartido puedes desactivar el uso compartido fuera de la organización, permitirlo solo con ciertos dominios o avisar al usuario antes de compartir. Si lo desactivas, los usuarios externos pierden el acceso a lo que ya se les había compartido: avisa antes a tus clientes.
- Activa la verificación en dos pasos para todos los usuarios y revisa periódicamente quién es administrador.
Lo que depende de la edición
No todas las ediciones de Workspace ofrecen las mismas herramientas de cumplimiento. Esta tabla resume las que más pesan con datos de clientes.
| Función | Business Starter | Business Standard | Business Plus | Enterprise Plus |
|---|---|---|---|---|
| Regiones de datos (en reposo) | No | Sí | Sí | Sí |
| Tratamiento de datos en la región elegida | No | No | No | Sí |
| Cifrado del lado del cliente | No | No | No | Sí |
| Vault (retención y búsqueda) incluido | No | No | Sí | Sí |
Fuente: ayuda de Google Workspace (regiones de datos, cifrado del lado del cliente y Vault), consultada el 13 de octubre de 2026. Vault existe como complemento de pago en algunas ediciones.
Para una pyme con datos corrientes, una edición con región europea puede cubrir lo esencial. Una clínica que guarda historiales tiene más motivos para valorar el cifrado del lado del cliente, con el que, según Google, sus servidores no pueden descifrar los archivos, aunque exige una edición superior y una configuración de claves propia.
El contrato, cláusula por cláusula
El anexo de Google sigue la estructura del artículo 28 del RGPD. Repasar lo que debe incluir un contrato de encargado te ayuda a localizar cada punto en él.
Si eliges «Sin preferencia» o tu edición no ofrece regiones
Parte de los datos puede tratarse en Estados Unidos. Google LLC declara su adhesión al Data Privacy Framework, y el anexo prevé cláusulas tipo como respaldo. Lo que eso significa se explica en las reglas para enviar datos fuera de la UE.
Más allá de Drive
Drive es una pieza. El registro de actividades, la información a los clientes y la gestión de brechas siguen siendo tarea tuya: el resumen de las obligaciones del RGPD para una pyme las reúne en una tabla.