# Transferencias internacionales de datos: cuando tu nube está fuera de la UE > Cuándo puede una empresa española usar una nube con servidores fuera de la UE: adecuación, Data Privacy Framework, cláusulas tipo y excepciones del RGPD. Las **transferencias internacionales de datos** se producen cuando una empresa española envía datos personales a un destinatario situado fuera del Espacio Económico Europeo, por ejemplo al usar una nube con servidores o subencargados en Estados Unidos. El capítulo V del RGPD solo las permite hacia países con decisión de adecuación de la Comisión Europea, con garantías adecuadas como las cláusulas tipo o, en casos concretos, con las excepciones del artículo 49. Estados Unidos cuenta desde julio de 2023 con el Data Privacy Framework. **En resumen** 1. Una transferencia a un país con decisión de adecuación de la Comisión Europea no necesita autorización de la AEPD; Argentina, Uruguay y Brasil figuran entre esos destinos. 2. La decisión sobre el Data Privacy Framework, de 10 de julio de 2023, solo cubre a las empresas estadounidenses adheridas, y en octubre de 2026 sigue pendiente un recurso de casación ante el Tribunal de Justicia. 3. Sin adecuación, la transferencia necesita garantías adecuadas, como las cláusulas tipo aprobadas por la Comisión en 2021, y una evaluación de la legislación del país de destino. ## Transferencias internacionales de datos en la nube: lo que hay que mirar Una academia de idiomas de Granada que guarda las fichas de sus alumnos en un servicio de nube rara vez sabe en qué país están los servidores. Para el RGPD, la pregunta importa: si los datos salen del Espacio Económico Europeo (la UE más Islandia, Liechtenstein y Noruega), hay una transferencia internacional, y la [AEPD explica en su página sobre transferencias](https://www.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/transferencias-internacionales) cuándo es lícita. Esta página amplía, para España, la parte de [las obligaciones legales de usar la nube](/guias/almacenamiento-en-la-nube/proteccion-de-datos/) que trata de los servidores lejanos. No basta con mirar dónde está el centro de datos principal. La lista de subencargados de tu proveedor indica qué otras empresas, y en qué países, pueden tratar tus datos, por ejemplo para el soporte técnico. Si alguna está fuera del Espacio Económico Europeo, se aplican las mismas reglas. Lo que sigue es información general: ante un caso dudoso, consulta a un profesional de la protección de datos. ### Tres preguntas, en este orden El capítulo V del RGPD (artículos 44 a 49) ordena los mecanismos de una forma que se puede leer como un árbol de decisión: ![Árbol de decisión en tres preguntas para enviar datos personales fuera del Espacio Económico Europeo. Uno: si el país de destino tiene una decisión de adecuación de la UE, la transferencia está permitida sin autorización de la AEPD; en Estados Unidos, solo hacia empresas adheridas al Data Privacy Framework. Dos: si no, y hay garantías adecuadas como cláusulas tipo de la Comisión, normas corporativas vinculantes o certificación, está permitida tras evaluar la ley del país de destino. Tres: si no, las excepciones del artículo 49 del RGPD solo sirven para casos concretos, no para el uso diario de una nube. Si no se cumple nada, no transfieras: elige otra región de datos u otro proveedor.](/images/esquemas/almacenamiento-en-la-nube/proteccion-de-datos-transferencias.svg) **La adecuación** es la vía más sencilla. La Comisión Europea reconoce que ciertos países protegen los datos de forma equivalente; enviarlos allí no requiere autorización de la AEPD. A octubre de 2026, la lista de la AEPD incluye, entre otros, Suiza, Reino Unido, Japón, Corea del Sur, Canadá (para las entidades cubiertas) y, en América Latina, Argentina, Uruguay y Brasil, este último desde una decisión del 26 de enero de 2026. México, Colombia y Chile no figuran. **Las garantías adecuadas** sustituyen a la adecuación cuando el país no la tiene. Las más usadas en la nube son las cláusulas tipo aprobadas por la Comisión en junio de 2021, que los grandes proveedores incorporan a su anexo de tratamiento de datos. La AEPD recuerda que, aun con ellas, quien exporta los datos debe evaluar la legislación del país de destino. **Las excepciones del artículo 49**, como el consentimiento explícito del interesado o la ejecución de un contrato con él, están pensadas para situaciones específicas. No sirven para justificar que toda la base de clientes viva de forma permanente en un servidor sin garantías. ### Estados Unidos y el Data Privacy Framework La mayoría de grandes servicios de nube son estadounidenses o tienen subencargados en Estados Unidos. Desde el 10 de julio de 2023, la Comisión considera adecuado el nivel de protección del Data Privacy Framework, pero solo para las empresas estadounidenses adheridas a él y que figuran en su lista oficial. Google, por ejemplo, declara esa adhesión en su política de privacidad. La estabilidad del marco no está garantizada. El Tribunal de Justicia anuló en 2015 y en 2020 los dos marcos anteriores, en las sentencias conocidas como Schrems I y Schrems II. El nuevo resistió un primer recurso: el Tribunal General lo desestimó el 3 de septiembre de 2025 (asunto T-553/23). El demandante recurrió en casación y, a 14 de octubre de 2026, el [asunto C-703/25 P sigue pendiente](https://juris.curia.europa.eu/juris/liste.jsf?num=C-703/25&language=es) ante el Tribunal de Justicia. Por eso conviene que el anexo de tu proveedor incluya también cláusulas tipo u otra garantía de respaldo. Si un día el marco cae, el contrato seguiría ofreciendo un mecanismo, aunque tendrías que revisar la evaluación del país de destino. ### Cuatro comprobaciones para tu nube 1. **Región de datos.** Mira si tu plan permite elegir que los datos se guarden en Europa y si esa opción está activada. 2. **Subencargados.** Descarga la lista y anota los países fuera del Espacio Económico Europeo. 3. **Mecanismo.** Busca en el anexo de tratamiento qué base usa el proveedor para cada transferencia: adecuación, cláusulas tipo u otra. 4. **Tus documentos.** Refleja las transferencias en el registro de actividades y en la política de privacidad, que debe informar de ellas (RGPD, art. 13.1.f). ### Quién responde de las transferencias en el contrato La lista de subencargados y el mecanismo de transferencia forman parte del anexo que aceptas al contratar. Saber [qué debe contener el acuerdo con tu proveedor](/guias/almacenamiento-en-la-nube/proteccion-de-datos/encargado-del-tratamiento/) ayuda a localizarlos. ### Un ejemplo con regiones de datos Google Workspace permite fijar en algunas ediciones que ciertos datos se guarden en Europa. Cómo se configura, y qué ediciones lo incluyen, se explica en [la guía práctica de Drive con datos personales](/guias/almacenamiento-en-la-nube/proteccion-de-datos/google-drive-y-rgpd/). ### Un destino adecuado al otro lado del Atlántico Una empresa española que contrata un proveedor con servidores en Argentina se beneficia de la decisión de adecuación de 2003. Lo que la ley argentina exige a su vez a ese proveedor se resume en [el marco argentino de protección de datos en la nube](/guias/almacenamiento-en-la-nube/proteccion-de-datos/argentina/).