Transferencias internacionales de datos: cuando tu nube está fuera de la UE
Las transferencias internacionales de datos se producen cuando una empresa española envía datos personales a un destinatario situado fuera del Espacio Económico Europeo, por ejemplo al usar una nube con servidores o subencargados en Estados Unidos. El capítulo V del RGPD solo las permite hacia países con decisión de adecuación de la Comisión Europea, con garantías adecuadas como las cláusulas tipo o, en casos concretos, con las excepciones del artículo 49. Estados Unidos cuenta desde julio de 2023 con el Data Privacy Framework.
Transferencias internacionales de datos en la nube: lo que hay que mirar
Una academia de idiomas de Granada que guarda las fichas de sus alumnos en un servicio de nube rara vez sabe en qué país están los servidores. Para el RGPD, la pregunta importa: si los datos salen del Espacio Económico Europeo (la UE más Islandia, Liechtenstein y Noruega), hay una transferencia internacional, y la AEPD explica en su página sobre transferencias cuándo es lícita. Esta página amplía, para España, la parte de las obligaciones legales de usar la nube que trata de los servidores lejanos.
No basta con mirar dónde está el centro de datos principal. La lista de subencargados de tu proveedor indica qué otras empresas, y en qué países, pueden tratar tus datos, por ejemplo para el soporte técnico. Si alguna está fuera del Espacio Económico Europeo, se aplican las mismas reglas. Lo que sigue es información general: ante un caso dudoso, consulta a un profesional de la protección de datos.
Tres preguntas, en este orden
El capítulo V del RGPD (artículos 44 a 49) ordena los mecanismos de una forma que se puede leer como un árbol de decisión:
La adecuación es la vía más sencilla. La Comisión Europea reconoce que ciertos países protegen los datos de forma equivalente; enviarlos allí no requiere autorización de la AEPD. A octubre de 2026, la lista de la AEPD incluye, entre otros, Suiza, Reino Unido, Japón, Corea del Sur, Canadá (para las entidades cubiertas) y, en América Latina, Argentina, Uruguay y Brasil, este último desde una decisión del 26 de enero de 2026. México, Colombia y Chile no figuran.
Las garantías adecuadas sustituyen a la adecuación cuando el país no la tiene. Las más usadas en la nube son las cláusulas tipo aprobadas por la Comisión en junio de 2021, que los grandes proveedores incorporan a su anexo de tratamiento de datos. La AEPD recuerda que, aun con ellas, quien exporta los datos debe evaluar la legislación del país de destino.
Las excepciones del artículo 49, como el consentimiento explícito del interesado o la ejecución de un contrato con él, están pensadas para situaciones específicas. No sirven para justificar que toda la base de clientes viva de forma permanente en un servidor sin garantías.
Estados Unidos y el Data Privacy Framework
La mayoría de grandes servicios de nube son estadounidenses o tienen subencargados en Estados Unidos. Desde el 10 de julio de 2023, la Comisión considera adecuado el nivel de protección del Data Privacy Framework, pero solo para las empresas estadounidenses adheridas a él y que figuran en su lista oficial. Google, por ejemplo, declara esa adhesión en su política de privacidad.
La estabilidad del marco no está garantizada. El Tribunal de Justicia anuló en 2015 y en 2020 los dos marcos anteriores, en las sentencias conocidas como Schrems I y Schrems II. El nuevo resistió un primer recurso: el Tribunal General lo desestimó el 3 de septiembre de 2025 (asunto T-553/23). El demandante recurrió en casación y, a 14 de octubre de 2026, el asunto C-703/25 P sigue pendiente ante el Tribunal de Justicia.
Por eso conviene que el anexo de tu proveedor incluya también cláusulas tipo u otra garantía de respaldo. Si un día el marco cae, el contrato seguiría ofreciendo un mecanismo, aunque tendrías que revisar la evaluación del país de destino.
Cuatro comprobaciones para tu nube
- Región de datos. Mira si tu plan permite elegir que los datos se guarden en Europa y si esa opción está activada.
- Subencargados. Descarga la lista y anota los países fuera del Espacio Económico Europeo.
- Mecanismo. Busca en el anexo de tratamiento qué base usa el proveedor para cada transferencia: adecuación, cláusulas tipo u otra.
- Tus documentos. Refleja las transferencias en el registro de actividades y en la política de privacidad, que debe informar de ellas (RGPD, art. 13.1.f).
Quién responde de las transferencias en el contrato
La lista de subencargados y el mecanismo de transferencia forman parte del anexo que aceptas al contratar. Saber qué debe contener el acuerdo con tu proveedor ayuda a localizarlos.
Un ejemplo con regiones de datos
Google Workspace permite fijar en algunas ediciones que ciertos datos se guarden en Europa. Cómo se configura, y qué ediciones lo incluyen, se explica en la guía práctica de Drive con datos personales.
Un destino adecuado al otro lado del Atlántico
Una empresa española que contrata un proveedor con servidores en Argentina se beneficia de la decisión de adecuación de 2003. Lo que la ley argentina exige a su vez a ese proveedor se resume en el marco argentino de protección de datos en la nube.