La Cloud Act explicada: lo que cambia para sus datos

Este artículo informa y no sustituye un asesoramiento jurídico. Rangee es nuestro producto; los textos citados se revisaron el 2 de noviembre de 2026.

La Cloud Act es una ley estadounidense del 23 de marzo de 2018. Obliga a los proveedores de servicios en línea sujetos al derecho estadounidense a entregar a las autoridades los datos que controlan, aunque estén guardados fuera de Estados Unidos. También regula acuerdos con países socios.

Se cita a menudo para defender una cosa y la contraria. Para unos, entrega todos los datos europeos a Washington. Para otros, solo afecta a grandes delincuentes. Las dos lecturas son falsas. Esta guía parte del propio texto, de las preguntas frecuentes del Departamento de Justicia de EE. UU. y de las posiciones europeas, y de ahí saca comprobaciones concretas para sus herramientas.

¿Qué es la Cloud Act?

La Cloud Act (Clarifying Lawful Overseas Use of Data Act) se aprobó el 23 de marzo de 2018, dentro de la ley presupuestaria federal (Pub. L. 115-141). Tiene dos partes: la obligación de los proveedores de entregar los datos que controlan, estén donde estén, y un marco para acuerdos bilaterales de acceso a pruebas electrónicas.

La primera parte cabe en una frase, añadida al código federal como sección 2713. Un proveedor de comunicaciones electrónicas o de almacenamiento remoto debe conservar o entregar ciertos datos. Se trata de contenidos, metadatos e información sobre sus clientes que estén bajo su «posesión, custodia o control». Y eso «regardless of whether» los datos estén en Estados Unidos o en otro lugar.

La ley nació de un litigio. El Gobierno estadounidense exigía a Microsoft unos correos guardados en un centro de datos en Irlanda. Microsoft se negaba, alegando que la ley de 1986 no se aplicaba fuera del territorio. La Cloud Act zanjó la cuestión: el lugar de almacenamiento ya no cuenta, solo cuenta el control.

La segunda parte permite a Estados Unidos firmar «acuerdos ejecutivos» con países que respetan el Estado de derecho. Según la página del Departamento de Justicia, hay dos acuerdos firmados: con el Reino Unido en 2019 y con Australia en 2021. Las negociaciones con la Unión Europea se reanudaron en marzo de 2023 y no habían concluido el 1 de noviembre de 2026.

¿Qué empresas están sujetas a la Cloud Act?

Están sujetos los proveedores de comunicaciones electrónicas y de almacenamiento remoto que dependen de la jurisdicción de los tribunales estadounidenses. Según el Departamento de Justicia, eso incluye correo electrónico, operadores, redes sociales y almacenamiento en la nube. La jurisdicción «no se limita» a las empresas estadounidenses: depende de sus vínculos con Estados Unidos.

En la práctica hay tres casos:

• El proveedor es estadounidense, o la filial europea de un grupo estadounidense controla los datos. Está sujeto, estén donde estén los servidores. Las preguntas frecuentes del Departamento precisan que la estructura del grupo no cambia el análisis: cuenta la entidad que tiene el control.
• El proveedor es europeo pero tiene presencia en Estados Unidos: una filial, oficinas, una actividad «dirigida deliberadamente» al mercado estadounidense. Puede estar sujeto. Es un análisis caso por caso, que el Departamento califica de «highly fact-dependent».
• El proveedor es europeo, sin actividad dirigida a Estados Unidos. En principio queda fuera de la Cloud Act. Pero sus subencargados pueden no estarlo.

Este último punto es el que más se olvida. Un programa español que guarda sus archivos en un proveedor de alojamiento estadounidense expone esos archivos: es el proveedor de alojamiento quien los tiene, y está sujeto al derecho estadounidense. La pregunta no se refiere, por tanto, a un proveedor, sino a toda la cadena.

¿Qué permite la Cloud Act a las autoridades estadounidenses?

La Cloud Act permite a una autoridad estadounidense que investiga un delito exigir a un proveedor los datos que controla, también en el extranjero. Para el contenido de una cuenta hace falta una orden judicial. Según el Departamento de Justicia, la firma un juez independiente sobre la base de una «causa probable», y describe con precisión los datos buscados.

Una orden para el contenido, otros requerimientos para el resto

La orden judicial (warrant) da acceso al contenido: mensajes, archivos, bases de datos. La información del abonado, como el nombre, la dirección de facturación o las direcciones IP de conexión, se obtiene con procedimientos menos exigentes de la misma ley de 1986. La Cloud Act no creó esos procedimientos: extendió su alcance a los datos guardados fuera de Estados Unidos.

El cliente no siempre recibe aviso. Un juez puede prohibir al proveedor que le informe, si cree que el aviso pondría en peligro la investigación. Las preguntas frecuentes del Departamento precisan que esas prohibiciones suelen limitarse a un año.

Los acuerdos ejecutivos, en los dos sentidos

Un acuerdo ejecutivo permite a las autoridades de un país socio dirigirse directamente a un proveedor estadounidense, con sus propios procedimientos. Estados Unidos obtiene lo mismo a cambio. Estos acuerdos se limitan a la delincuencia grave y prohíben apuntar a personas estadounidenses. No existe ninguno con España ni con la Unión Europea.

El derecho a impugnar, y su límite

Un proveedor puede pedir la anulación de una orden en un plazo de 14 días, según el apartado (h) de la sección 2703. Se aplican dos condiciones. El cliente no debe ser estadounidense ni residir en Estados Unidos. Y la entrega debe crear un «riesgo importante» de infringir el derecho de un «gobierno extranjero cualificado».

Aquí el texto juega en contra de los europeos. Un «gobierno extranjero cualificado» es un país que ha firmado un acuerdo ejecutivo con Estados Unidos. Sin acuerdo entre la UE y Estados Unidos, un proveedor no puede invocar este procedimiento para proteger a un cliente español. Le queda el análisis clásico de «cortesía internacional» ante el juez, sin garantía de resultado.

¿Qué no permite la Cloud Act?

La Cloud Act no crea vigilancia masiva, ni un nuevo tipo de orden, ni la obligación de descifrar. El Departamento de Justicia de EE. UU. escribe que esta ley no permite la recogida «indiscriminada o masiva». Añade que la ley es «neutral» respecto al cifrado. Tampoco se aplica a cualquier empresa europea.

Un argumento aparece a menudo: la Cloud Act no se aplicaría a las «solicitudes civiles o comerciales». Es cierto para los acuerdos ejecutivos, que la pregunta 10 de las preguntas frecuentes limita a la delincuencia grave. La sección 2713, en cambio, se aplica a las solicitudes de las autoridades públicas estadounidenses previstas en la ley de 1986.

Cloud Act, FISA y Marco de Privacidad de Datos: ¿qué diferencia hay?

La Cloud Act se refiere a investigaciones penales. La sección 702 de la FISA se refiere a la inteligencia sobre extranjeros fuera de Estados Unidos. El Marco de Privacidad de Datos UE-EE. UU., adoptado por la Comisión Europea el 10 de julio de 2023, regula las transferencias de datos personales a empresas estadounidenses. Tres textos, tres lógicas distintas.

La sección 702 es la más amplia de las tres. Según NPR, sirve cada año para recoger las comunicaciones de cientos de miles de extranjeros. El Congreso la dejó expirar el 12 de junio de 2026, pero la recogida continúa con las autorizaciones anuales ya concedidas por el tribunal especial. Según el Brennan Center, las aprobadas en marzo de 2026 siguen vigentes hasta el 17 de marzo de 2027. Su renovación sigue en debate en el Congreso.

El Marco de Privacidad de Datos es el tercer marco de transferencias, tras Safe Harbor y Privacy Shield. El Tribunal de Justicia anuló los dos primeros, el segundo con la sentencia Schrems II en 2020. El Tribunal General de la UE lo validó el 3 de septiembre de 2025 (asunto Latombe, T-553/23). Hay un recurso de casación pendiente ante el Tribunal de Justicia.

Este marco no neutraliza la Cloud Act. Hace lícita una transferencia que elige una empresa, por ejemplo hacia su proveedor estadounidense. No dice nada de una orden penal dirigida a ese proveedor.

¿Qué dice el derecho europeo?

Según el artículo 48 del RGPD, la decisión de un tribunal o de una autoridad de un tercer país solo se reconoce o ejecuta si la respalda un acuerdo internacional. Un tratado de asistencia judicial es el ejemplo típico. En julio de 2019, las autoridades europeas de protección de datos sacaron de ahí una conclusión restrictiva.

El Comité Europeo de Protección de Datos (CEPD) y el Supervisor Europeo de Protección de Datos (SEPD) publicaron una evaluación conjunta el 10 de julio de 2019. Lo hicieron a petición del Parlamento Europeo. Según el resumen del despacho Cleary Gottlieb, consideran que un proveedor sujeto al RGPD no puede, en principio, transferir datos con una simple orden estadounidense. Ninguna base jurídica del RGPD encaja, ni ninguna excepción del artículo 49.

Sí existe un cauce oficial: el acuerdo de asistencia judicial entre la UE y Estados Unidos, en vigor desde el 1 de febrero de 2010. Pero una orden de la Cloud Act se dirige directamente al proveedor, sin pasar por él. Por eso ambas autoridades piden un acuerdo específico sobre pruebas electrónicas, con garantías reales. El Departamento de Justicia de EE. UU. solo menciona la reanudación de esas negociaciones, en marzo de 2023.

El resultado es un conflicto de leyes. Un proveedor estadounidense que recibe una orden sobre datos europeos se arriesga a una sanción en EE. UU. si se niega, y a una sanción europea si obedece. El RGPD no bloquea, por tanto, la solicitud: traslada el riesgo al proveedor. Para usted, como cliente, el RGPD es un argumento en una negociación, no un escudo.

Europa tiene, además, su propio mecanismo. Desde el 18 de agosto de 2026, el Reglamento (UE) 2023/1543 permite a un juez o fiscal de un Estado miembro dirigir una orden europea de producción a un proveedor. Basta con que ese proveedor ofrezca sus servicios en la Unión, aunque esté establecido en otro lugar. Los proveedores estadounidenses que atienden al mercado europeo también están sujetos. Ningún proveedor, europeo o no, escapa a todo requerimiento.

¿Basta con alojar los datos en Europa?

No. La ubicación del servidor no cuenta para la Cloud Act. La sección 2713 abarca los datos bajo el control del proveedor, «regardless of whether» estén guardados en Estados Unidos. Lo que cuenta es el derecho al que está sujeta la empresa que controla los datos, y el de cada uno de sus subencargados.

Dos nociones se confunden a menudo. La residencia es el país donde se guardan los datos. La soberanía es el derecho que se aplica a quien los controla. Un proveedor estadounidense puede ofrecer la primera sin la segunda. Airtable, por ejemplo, ofrece residencia europea solo en su plan Enterprise Scale, y sigue siendo una empresa californiana.

Microsoft Francia lo reconoció ante el Senado francés. El 10 de junio de 2025, su director de asuntos públicos y jurídicos declaró bajo juramento ante la comisión de investigación sobre la contratación pública. ¿Podía garantizar que los datos de los ciudadanos franceses nunca se transmitirían por orden estadounidense sin el acuerdo de las autoridades francesas? Su respuesta, según el acta oficial, traducida del francés: «No, no puedo garantizarlo, pero, una vez más, eso nunca ha ocurrido».

La respuesta es honesta, y vale para cualquier proveedor estadounidense. No dice que las solicitudes sean frecuentes. Dice que ningún contrato, ninguna región de almacenamiento y ningún compromiso comercial puede descartar una obligación legal estadounidense.

Para los datos más sensibles, Francia ha creado su propia cualificación. El sello SecNumCloud de la ANSSI, la agencia francesa de ciberseguridad, exige entre otras cosas que el prestador sea europeo por su sede y su capital. Su director general lo resume así, según la Banque des Territoires: el sello certifica que solo un prestador europeo tiene el control de los datos. También recuerda que es una cualificación de ciberseguridad, no una medida completa de la soberanía.

Lo que la Cloud Act cambia para sus datos: 6 comprobaciones

Para una pyme, la Cloud Act no cambia el día a día, pero sí la forma de elegir herramientas. Una solicitud estadounidense dirigida a una pequeña empresa europea sigue siendo rara. El riesgo se gestiona como los demás: saber dónde están los datos, quién los controla y qué dice el contrato.

Estas son las seis comprobaciones que hacemos nosotros mismos antes de adoptar una herramienta:

1. La nacionalidad del proveedor y de su matriz. Lea el aviso legal y las condiciones de uso: ¿qué sociedad firma el contrato y quién la controla? Una filial española de un grupo estadounidense sigue expuesta.
2. La lista de subencargados. El alojamiento, las copias de seguridad, el envío de correos, el soporte y la IA cuentan. Nuestra comparativa de programas de inventario gratis indica, por ejemplo, dónde aloja sus datos cada proveedor. Un proveedor europeo que aloja en una empresa estadounidense expone sus datos en ese alojamiento.
3. Desde dónde se accede. Un soporte técnico situado fuera de la UE puede acceder a los datos. Pregunte quién puede acceder, desde dónde y en qué condiciones.
4. El cifrado y las claves. La Cloud Act no obliga a descifrar. Si solo usted tiene las claves, un proveedor solo puede entregar datos ilegibles. Es raro en las herramientas colaborativas, que necesitan leer los datos para mostrarlos.
5. Los compromisos del contrato. El contrato de encargo del tratamiento (artículo 28 del RGPD) puede obligar al proveedor a avisarle cuando la ley lo permita. También puede obligarle a impugnar cualquier solicitud infundada. Estas cláusulas no frenan una ley, pero muestran la política del proveedor.
6. La sensibilidad real de sus datos. Una lista de inventario no exige las mismas precauciones que un historial médico. Para datos de salud o datos públicos sensibles, mire las ofertas con una cualificación de nube soberana, como SecNumCloud en Francia.

Estas preguntas valen para una base de datos, un CRM, una herramienta de proyectos o una mensajería. También sirven para leer una comparativa: en nuestra comparativa de alternativas a Airtable, la columna «país del proveedor» cuenta tanto como el precio.

¿Y Rangee?

Rangee lo publica una sociedad de derecho francés. El contenido de sus bases se aloja en un centro de datos de la Unión Europea, en Hostinger International Limited, sociedad chipriota según sus condiciones de uso. El modelo de IA de la importación inteligente funciona en la UE.

Una cadena honesta también tiene límites, y los indicamos. El pago pasa por Stripe, un grupo estadounidense: trata sus datos de facturación (nombre, dirección, medio de pago), no el contenido de sus bases. Y, como cualquier empresa, seguimos sujetos a los requerimientos franceses y europeos.

No prometemos, por tanto, escapar a toda ley: nadie puede. Prometemos lo que se puede comprobar: un proveedor de derecho francés, bases alojadas en la UE y subencargados identificados, que usted mismo puede comprobar. En cuanto al coste, nuestro análisis de precios de las bases no-code compara Rangee con otras herramientas, residencia europea incluida.

Si quiere ver en qué se convierte una hoja de cálculo en una herramienta alojada en Europa, pruebe Rangee gratis: el plan Free no caduca y los lectores nunca pagan.