Soberanía de datos: definición, retos y 10 preguntas clave

Este artículo informa y no sustituye un asesoramiento jurídico. Rangee es nuestro producto; los textos citados se revisaron el 3 de noviembre de 2026.

La soberanía de datos consiste en mantener el control sobre sus datos: que sigan sujetos al derecho que usted eligió y que solo usted decida quién accede a ellos. El término está en todas partes desde 2020. También se reduce a menudo a un argumento comercial: «sus datos se alojan en Europa».

Ese argumento no basta. Un servidor en Madrid o en Fráncfort, explotado por una empresa sujeta a una ley extranjera, no protege de las exigencias de esa ley. Esta guía da una definición útil, los retos concretos en 2026 y diez preguntas que conviene hacer a un proveedor antes de confiarle sus ficheros de clientes, su inventario o su lista de socios. Para el detalle de la ley estadounidense más citada, consulte nuestra guía de la Cloud Act.

¿Qué es la soberanía de datos?

La soberanía de datos es la capacidad de una empresa, una asociación o un Estado para decidir qué derecho se aplica a sus datos y quién puede acceder a ellos. No depende en primer lugar de dónde están los servidores. Depende del derecho al que están sujetas las empresas que controlan esos datos.

La palabra procede del vocabulario de los Estados. Aplicada a los datos, plantea una pregunta sencilla: si una autoridad extranjera reclama sus datos a su proveedor, ¿puede obligarse a ese proveedor a entregarlos? Si la respuesta es sí, sus datos no son soberanos, sea cual sea el país del centro de datos.

Tres nociones cercanas se confunden a menudo:

La residencia es una condición útil, pocas veces suficiente. Un proveedor estadounidense puede ofrecer residencia europea sin ofrecer soberanía. Airtable, por ejemplo, ofrece residencia de datos en Europa en su plan Enterprise Scale; el proveedor sigue siendo una empresa estadounidense, sujeta a la sección 2713 del código federal, que abarca los datos bajo su control «regardless of whether» se encuentren en Estados Unidos.

¿Por qué la soberanía de datos es un reto en 2026?

En 2025, según un comunicado de Synergy Research Group del 24 de julio, los proveedores europeos solo tenían el 15 % del mercado de la nube en Europa, frente al 29 % en 2017. Amazon, Microsoft y Google tenían el 70 %. La mayoría de los datos europeos dependen, por tanto, de empresas sujetas a un derecho extranjero.

Mientras tanto, la nube se ha convertido en la norma en las empresas. Según Eurostat, el 52,7 % de las empresas de la UE compraba servicios en la nube en 2025, frente al 45,3 % en 2023. En España, la cifra pasó del 30,0 % al 41,7 %. Los usos principales son el correo, la ofimática y el almacenamiento de archivos: justo los datos que se olvida proteger.

Los poderes públicos han sacado conclusiones de esta dependencia. El 17 de abril de 2026, la Comisión Europea anunció cuatro contratos de nube soberana, por hasta 180 millones de euros en seis años. En Francia, el decreto n.º 2026-272 de 14 de abril de 2026, dictado en aplicación del artículo 31 de la ley SREN, regula cómo los servicios del Estado pueden confiar sus datos más sensibles a una nube privada.

Estas normas se dirigen al Estado y a los grandes compradores. Pero fijan un método que cualquier pyme puede aplicar: dejar de preguntar «¿dónde están mis datos?» y preguntar «¿qué derecho se aplica a cada empresa que los toca?».

¿Cuáles son los cuatro aspectos de la soberanía de datos?

Para esa licitación, la Comisión Europea midió la soberanía de los servicios en la nube con ocho objetivos, reunidos en su Cloud Sovereignty Framework. Para una herramienta de trabajo, cuatro aspectos bastan para hacerse una idea: jurídico, operativo, técnico y reversibilidad. Un solo aspecto débil basta para debilitar el conjunto.

El aspecto jurídico: ¿quién controla los datos?

Es el aspecto decisivo. Abarca la nacionalidad del proveedor, de su matriz y de cada uno de sus subencargados: alojamiento, copias de seguridad, envío de correos, soporte, IA. Un proveedor europeo que guarda sus archivos en un alojamiento estadounidense expone esos archivos al derecho estadounidense, a través del alojamiento.

Microsoft France lo reconoció ante el Senado francés el 10 de junio de 2025. Interrogado bajo juramento, su director de asuntos públicos y jurídicos respondió, según el acta oficial, que no podía garantizar que los datos de los ciudadanos franceses nunca se entregarían por orden estadounidense.

El aspecto operativo: ¿quién explota el servicio y quién accede?

Un servicio puede alojarse en Europa y administrarse desde otro continente. El soporte técnico, las guardias y los ingenieros con acceso a las bases cuentan tanto como el centro de datos. El marco de la Comisión lo clasifica como soberanía operativa: la capacidad de explotar y mantener el servicio sin depender de un control extranjero.

El aspecto técnico: ¿quién tiene las claves?

El cifrado protege si solo usted tiene las claves. Si las tiene el proveedor, puede leer los datos y, llegado el caso, verse obligado a entregarlos en claro. La mayoría de las herramientas colaborativas (base de datos, CRM, gestión de proyectos) necesitan leer los datos para mostrarlos y ordenarlos: el cifrado de extremo a extremo es raro en ellas. El aspecto técnico no sustituye al jurídico.

La reversibilidad: ¿puede irse con sus datos?

Los datos soberanos son datos que uno puede llevarse. Una exportación completa, en un formato abierto, sin costes desproporcionados, es la condición para cambiar de proveedor si cambian sus reglas. El Data Act europeo lo convierte en obligación para los servicios en la nube, con fechas precisas (ver más abajo).

La reversibilidad es el aspecto más olvidado, y el único que puede probar usted mismo en diez minutos: exporte una base completa e intente abrirla en otro sitio.

¿Qué dice el derecho europeo sobre la soberanía de datos?

Ningún texto europeo define la «soberanía de datos». Dos reglamentos sientan, sin embargo, sus bases. El RGPD regula los datos personales y sus transferencias fuera de la UE. El Data Act, aplicable desde el 12 de septiembre de 2025 según la Comisión Europea, abarca también los datos no personales y el cambio de proveedor de nube.

El Data Act aporta dos cosas concretas. Primero, según la página explicativa de la Comisión, los proveedores de nube deben tomar «all reasonable measures» (cifrado, auditorías, certificaciones) contra los accesos ilícitos de autoridades extranjeras y publicarlas en su web. Segundo, suprime por completo los costes de cambio, incluida la salida de datos, a partir del 12 de enero de 2027.

Estos textos tienen un límite. Obligan a los proveedores que sirven al mercado europeo, pero no anulan una ley extranjera que obligue al mismo proveedor. Un proveedor estadounidense sigue atrapado entre dos derechos. Nuestra guía de la Cloud Act lo explica en detalle.

¿Hace falta una nube soberana altamente cualificada?

Para la mayoría de las pymes y asociaciones, no. El sello francés SecNumCloud, de la agencia de ciberseguridad ANSSI, es una cualificación de seguridad exigente que impone, entre otras cosas, un proveedor europeo por su sede y su capital. Se dirige a los datos sensibles: salud, datos del Estado, operadores de importancia vital.

Una pyme que gestiona presupuestos, inventario o una lista de socios no tiene ese nivel de riesgo. Necesita tres cosas más sencillas: un proveedor sujeto al derecho europeo, subencargados conocidos y una exportación de sus datos. Un inventario en Excel no exige las mismas precauciones que un historial médico.

La buena pregunta no es «¿es soberana la herramienta?», sino «¿es lo bastante soberana para estos datos?». Clasifique sus datos en tres niveles: corrientes, personales y sensibles. Y elija sus herramientas en consecuencia.

Las 10 preguntas que hacer a un proveedor

Estas diez preguntas cubren los cuatro aspectos. Se pueden enviar por correo antes de firmar, y un proveedor serio responde por escrito en pocos días. Desde el 12 de septiembre de 2025, el Data Act ya obliga a los proveedores de nube a publicar parte de las respuestas en su web.

Son las preguntas que nos hacemos antes de adoptar una herramienta, y las que respondemos para Rangee más abajo.

Aspecto jurídico

1. ¿Qué sociedad firma el contrato y dónde está inscrita? Lea las condiciones de uso, no la página de inicio.
2. ¿Quién es el dueño de esa sociedad? Una filial española de un grupo estadounidense sigue sujeta al derecho estadounidense para los datos que controla.
3. ¿Puede enviarme la lista completa de sus subencargados, con su país? Alojamiento, copias, correo, soporte, pago, IA: todos cuentan.
4. ¿Qué hace si una autoridad extranjera le pide mis datos? Busque el compromiso de impugnar las solicitudes infundadas y de avisarle cuando la ley lo permita.

Aspecto operativo

5. ¿En qué países están sus centros de datos, copias incluidas? Las copias suelen estar en otro sitio que la producción.
6. ¿Quién puede acceder a mis datos, desde qué países y en qué casos? Soporte, ingenieros, prestadores.

Aspecto técnico

7. ¿Mis datos están cifrados en reposo y en tránsito, y quién tiene las claves? Una respuesta vaga aquí dice mucho.
8. ¿Se usan mis datos para entrenar un modelo de IA, y dónde funciona ese modelo? Una función de IA puede enviar sus datos a un subencargado que usted no había identificado.

Reversibilidad

9. ¿Puedo exportar todos mis datos, adjuntos incluidos, en un formato abierto y sin coste? Pruébelo durante el periodo de prueba.
10. ¿Qué pasa con mis datos al terminar el contrato y en qué plazo se borran? El contrato de encargo del tratamiento (artículo 28 del RGPD) debe indicarlo.

Estas preguntas también sirven para leer una comparativa. En nuestra comparativa de alternativas europeas a Airtable, la columna «país del proveedor» cuenta tanto como el precio; nuestra comparativa de programas de inventario gratuitos indica también dónde aloja sus datos cada proveedor.

¿Y Rangee?

Estas son, en resumen, nuestras respuestas a las diez preguntas. Rangee lo publica una sociedad de derecho francés. El contenido de sus bases se aloja en un centro de datos de la Unión Europea, en Hostinger International Limited, sociedad chipriota según sus condiciones de uso. El modelo de IA de la importación inteligente funciona en la UE.

Una cadena honesta también tiene límites, y los indicamos. El pago pasa por Stripe, un grupo estadounidense: trata sus datos de facturación (nombre, dirección, medio de pago), no el contenido de sus bases. Y, como cualquier empresa, seguimos sujetos a los requerimientos franceses y europeos.

No prometemos escapar a toda ley: nadie puede. Prometemos lo que se puede comprobar: un proveedor de derecho francés, bases alojadas en la UE, subencargados identificados. En cuanto al coste, nuestro análisis de precios de las bases no-code compara Rangee con otras herramientas, alojamiento europeo incluido.

Si quiere ver en qué se convierte una hoja de cálculo en una herramienta alojada en Europa, únase a la beta de Rangee: el plan Free no caduca y los lectores nunca pagan.