Residencia de datos frente a soberanía de datos: la distinción que cuesta dinero.

Estos dos términos se usan indistintamente en el marketing de alojamiento web, pero significan cosas diferentes. La diferencia radica en una sola frase:

La residencia de los datos es un hecho relativo al almacenamiento. La soberanía de los datos es un hecho relativo a la jurisdicción.

Un centro de datos alemán operado por una empresa estadounidense te otorga residencia, pero no soberanía. Que esa diferencia te importe o no es una decisión personal, y la mayoría de los artículos sobre este tema no la abordan.

Por qué existe esta brecha: la Ley CLOUD

La Ley de Clarificación del Uso Legal de Datos en el Extranjero , promulgada el 23 de marzo de 2018, modificó la Ley de Comunicaciones Almacenadas de EE. UU. para que las fuerzas del orden estadounidenses puedan obligar a un proveedor con sede en EE . UU . a entregar datos electrónicos almacenados en cualquier parte del mundo , independientemente de dónde se encuentren los servidores o de la nacionalidad del titular de los datos.

Por lo tanto, la forma jurídica de la entidad proveedora, y no el código postal del disco, determina quién puede exigir la divulgación de la información.

Hay tres aspectos que suelen exagerarse, y es importante acertar en ellos:

Requiere un proceso judicial. La solicitud de orden judicial se somete a la aprobación de un juez independiente, y los datos solicitados deben ser relevantes y pertinentes para una investigación penal en curso. No se trata de un portal de autoservicio. Tampoco se ajusta al proceso judicial europeo : ningún tribunal de la UE lo revisa, y el interesado no es parte en el mismo.

El proveedor puede oponerse. Los proveedores tienen derecho a impugnar estas órdenes cuando su cumplimiento entre en conflicto con la legislación local. Ese derecho es real y se ejerce.

La legislación de la UE apunta en sentido contrario. El artículo 48 del RGPD establece que una sentencia judicial o una decisión administrativa extranjera que exija la divulgación de datos personales solo es reconocible o ejecutable si se basa en un acuerdo internacional vigente, como un tratado de asistencia judicial mutua. La postura del Comité Europeo de Protección de Datos es que los proveedores sujetos a la legislación de la UE no pueden basar legalmente la divulgación a EE. UU. únicamente en una solicitud amparada por la Ley CLOUD.

Por lo tanto, la descripción honesta no es que «la ley estadounidense prevalece sobre el RGPD». Es que un proveedor constituido en EE. UU. que maneja datos de la UE se encuentra entre dos sistemas legales que le dan instrucciones contradictorias, y la resolución es incierta. Esa incertidumbre legal es el riesgo , no una garantía de divulgación. Es precisamente por eso que existe la cuestión de la soberanía, y no por eso que sea una estrategia de marketing.

Los cuatro cuadrantes

Dos variables independientes —dónde se encuentran los datos y quién es el proveedor— dan lugar a cuatro posiciones, y las dos que quedan fuera de la diagonal son las que causan sorpresa.

Residencia + soberanía (arriba a la izquierda). Una empresa constituida en la UE que almacena sus datos en la UE. Hetzner Online GmbH, IONOS SE, Hostinger International Ltd, OVHcloud, Scaleway, Contabo, nazwa.pl, dhosting. No hay exposición a la Ley CLOUD, ya que no hay ninguna entidad estadounidense en la cadena a la que obligar.

Residencia sin soberanía (abajo a la izquierda). El problema principal, y el que se vende como «alojamiento en la UE». Las regiones europeas de AWS, Google, Azure, DigitalOcean y Vultr almacenan tus datos en Europa, pero la entidad controladora permanece en Estados Unidos. Tus datos están en Fráncfort y tu proveedor está sujeto a la legislación estadounidense. Esto no es un defecto oculto, simplemente es algo distinto de lo que implica la frase.

Soberanía sin residencia (arriba a la derecha). El cuadrante olvidado. Hetzner es una GmbH alemana y con gusto le venderá un servidor en Ashburn, Virginia ; tiene regiones en EE. UU. en Ashburn y Hillsboro. Comprar a una empresa de la UE no implica que sus datos se encuentren en la UE. Aún debe seleccionar la región.

Ninguno de los dos (abajo a la derecha). Un proveedor no perteneciente a la UE que almacena datos fuera de la UE, donde se encuentra la mayor parte de internet, y que es perfectamente adecuado para la mayoría de las cargas de trabajo.

La marca que abarca dos cuadrantes

La ilustración más clara que encontramos es la de una sola empresa. Cuando revisamos los avisos legales:

• ionos.de nombres IONOS SE — la entidad alemana
• ionos.com nombres IONOS INC. — una entidad estadounidense

Misma marca, mismos centros de datos alemanes, dos jurisdicciones diferentes según el dominio que hayas comprado. No se oculta nada: el aviso legal es una declaración pública y ambos se publican. Pero esto significa que la cuestión de la soberanía se resuelve con tu factura, en lugar de con la nacionalidad del proveedor tal como la entiendes, y casi nadie lo verifica.

La regla general es la siguiente: lea el nombre de la entidad que figura en su contrato. No la marca, ni el dominio, ni el mapa del centro de datos.

¿Qué significa esto para una DPIA?

Si estás documentando una evaluación de transferencia, el cuadrante cambia lo que tienes que escribir.

Arriba a la izquierda: entidad de la UE, datos de la UE. No se realiza ninguna transferencia a terceros países para la capa de alojamiento. Esta es la evaluación más breve posible.

Abajo a la izquierda: entidad no perteneciente a la UE, datos de la UE. Este es el caso que requiere un análisis exhaustivo. No hay transferencia en el sentido de almacenamiento, pero existe una posible vía de divulgación posterior a las autoridades de un tercer país , y eso es lo que se está evaluando. En la práctica, se documentaría el historial de informes de transparencia y reclamaciones del proveedor, las medidas técnicas que se detallan a continuación y la base jurídica. Aquí es donde la afirmación de que «los datos nunca salen de Fráncfort» no es una respuesta completa , y un auditor que conozca la Ley CLOUD lo confirmará.

Arriba a la derecha: entidad de la UE, datos de fuera de la UE. Se trata de una transferencia genuina a un tercer país, que requiere un mecanismo de transferencia como la adecuación o las cláusulas contractuales estándar. Ser proveedor de la UE no la exime de este requisito.

Abajo a la derecha: ninguna de las dos. Se trata de un análisis de transferencias ordinarias a terceros países, y para muchos destinos ya existe una decisión de adecuación que cumple esta función. El Reino Unido es un ejemplo: la Comisión renovó la adecuación del Reino Unido en diciembre de 2025 hasta 2031 , por lo que los flujos de la UE al Reino Unido no requieren un mecanismo independiente.

La clasificación por niveles que realmente necesitan la mayoría de las empresas

La soberanía total sobre todo es costosa y generalmente innecesaria. La división pragmática:

Adquiera soberanía cuando el requisito sea externo y esté documentado. Contratación pública, datos financieros o sanitarios regulados, cuestionario de seguridad del cliente o normativa sectorial. Casi siempre se trata de un contrato o reglamento que especifica la jurisdicción del proveedor, no de su propia evaluación de riesgos ; y cuando corresponde, la lista de prioridades se limita al cuadrante superior izquierdo y a nada más.

Compra residencia más cifrado para todo lo demás , que es la mayoría de las cargas de trabajo. Dos medidas hacen el trabajo pesado:

• Cifra los datos en reposo con las claves que posees.fuera del control del proveedor. Un proveedor obligado a producir texto cifrado que no puede descifrar se encuentra en una posición sustancialmente diferente a la de uno que posee el texto plano. Esta es la medida técnica de mayor valor en todo el análisis.
• Minimiza lo que almacenas. Los datos que nunca recopilaste no pueden ser divulgados. Poco glamuroso pero efectivo.

En un caso en el que ninguna de las medidas sirve, es porque eres tú quien envía los datos. Si utilizas un agente de IA, su función es leer tus archivos y publicar su contenido en una API de modelo; por lo tanto, la transferencia es saliente y deliberada, no un riesgo de coacción. Analizamos qué proveedores de modelos ofrecen inferencia para residentes de la UE y encontramos un proveedor importante que no tiene ningún punto final en la UE en su API propia.

Y sepa qué regla le vincula realmente antes de pagar por cualquiera de ellas. En cuatro guías de países, descubrimos repetidamente que la regla citada no era la operativa. En Canadá , Columbia Británica derogó su requisito de residencia en 2021 y la Ley 25 de Quebec exige una evaluación en lugar de la localización; solo los organismos públicos de Nueva Escocia se enfrentan a una regla estricta. En India , la Ley DPDP adopta un enfoque de lista negativa sin notificar a países restringidos, mientras que la directiva de datos de pago del banco central es absoluta. En el Reino Unido , el problema de las transferencias posterior al Brexit se resolvió mediante una renovación de la adecuación.

El patrón es el siguiente: la regla que se cita a menudo no es la que se aplica, y suele ser más flexible de lo que se supone en algunos casos y más estricta en otros. Antes de pagar una prima, determine qué cláusula de cada instrumento le afecta.

Dónde comprar soberanía si la necesitas

Hetzner — la respuesta más clara en el cuadrante superior izquierdo: Hetzner Online GmbH, registrada en la oficina de registro de Ansbach con el número HRB 6089 , con centros de datos alemanes y sin matriz estadounidense en la cadena de propiedad. 19.99 € por 4 GB en la línea CPX, más 0.50 €/mes por una dirección IPv4. Recuerde que también vende regiones de EE . UU .; elija una ubicación alemana si lo que le interesa es la residencia. Medimos que su centro de Núremberg respondió a una sonda alemana en 0.60 ms.

IONOS — también genuinamente europea y la mejor relación calidad-precio por núcleo que hemos encontrado, con cuatro vCores y 4 GB por alrededor de 9 £ o 11 $. Compre en el sitio web alemán o en el de su país de origen europeo en lugar de en el .com si la soberanía es un requisito para usted, por la razón mencionada anteriormente, y verifique la entidad que figura en su factura.

nazwa.pl es un proveedor polaco con infraestructura polaca, que vale la pena conocer si buscas una entidad de la UE fuera del duopolio germano-francés, o si tus usuarios se encuentran en Europa Central.

dhosting : otra opción polaca en el mismo cuadrante, igualmente útil para los requisitos de las entidades de la UE con proximidad regional.

Hostinger — la opción más económica con centros de datos europeos a $11.99 de renovación por 4 GB, y pertenece al cuadrante superior izquierdo: su política de privacidad establece que Hostinger International Ltd tiene su sede en Chipre., un estado miembro de la UE. La salvedad es diferente a la de una entidad: esa misma política revela servidores fuera del EEE en EE. UU., Brasil, Singapur e Indonesia, por lo que Elegir una región de la UE es una decisión que se toma de forma deliberada. We analizó sus divulgaciones en detalle..

Cómo lo comprobamos

La descripción de la Ley CLOUD proviene de un análisis jurídico publicado el 17 de agosto de 2026: que la Ley se promulgó el 23 de marzo de 2018 y modificó la Ley de Comunicaciones Almacenadas para permitir que las fuerzas del orden estadounidenses, mediante una orden judicial, una citación o una orden de un tribunal, accedan a los datos que los proveedores con sede en Estados Unidos almacenan fuera del país cuando sean relevantes y pertinentes para una investigación penal en curso; que las solicitudes de órdenes judiciales se presentan ante un juez independiente; y que los proveedores pueden impugnar las órdenes que entren en conflicto con la legislación local. El requisito del artículo 48 del RGPD de que las sentencias y decisiones administrativas extranjeras se basen en un acuerdo internacional como un MLAT, y la postura del Comité Europeo de Protección de Datos de que los proveedores sujetos al derecho de la UE no pueden basar legalmente la divulgación a Estados Unidos únicamente en dichas solicitudes, provienen del mismo conjunto de comentarios.

Hemos consultado análisis de bufetes de abogados e instituciones, en lugar de leer íntegramente la ley, el reglamento y la evaluación del CEPD. No somos abogados y esto no constituye asesoramiento legal, especialmente la sección sobre la Evaluación de Impacto en la Protección de Datos (EIPD), que describe la estructura del análisis en lugar de indicar qué escribir.

Corrección al resumen de este artículo. En él se planteaba la principal alegación de que un proveedor estadounidense se veía obligado a entregar datos almacenados en Frankfurt «sin notificar al interesado y sin una orden judicial de la UE». La segunda parte es correcta y el planteamiento inicial no refleja la realidad: una orden judicial en virtud de la Ley CLOUD requiere aprobación judicial independiente en EE. UU. , los proveedores tienen derecho a impugnarla y el artículo 48 del RGPD, según la interpretación del CEPD, apunta en la dirección opuesta. La afirmación precisa es que el proveedor se encuentra atrapado entre obligaciones contradictorias y el resultado es jurídicamente incierto, lo cual justifica mejor la preocupación por la soberanía que una alegación de acceso sin control.

Las colocaciones de entidades Provienen de los avisos legales publicados por los propios proveedores, donde los leemos: Hetzner Online GmbH con oficina de registro en Ansbach y HRB 6089; IONOS SE en el aviso legal alemán e IONOS INC. en el aviso legal .com; Cloudzy AI Information Technology LLC en Dubái; 20i registrada en Inglaterra y Gales, número de empresa 09775671. Que Cloudways es una empresa de DigitalOcean se indica en la propia lista de productos de DigitalOcean, y que el espacio de direcciones de Vultr pertenece a The Constant Company, LLC se obtiene de ARIN whois. Las colocaciones restantes: AWS, Google Cloud, Azure, Linode/Akamai, Namecheap La denominación de OVHcloud como entidades estadounidenses, OVHcloud y Scaleway como francesas, Contabo como alemana, nazwa.pl y dhosting como polacas, se basa en la identidad corporativa pública bien establecida de esas empresas, en lugar de en las marcas comerciales que consultamos para este artículo.

Un proveedor no aparece en el diagrama de forma deliberada. No pudimos establecer la entidad constituyente de UltaHost a partir de sus propias páginas legales, y Ubicar una empresa real en el cuadrante jurisdiccional equivocado sería un error peor que dejar un vacío. En el texto se menciona con esa salvedad. Hostinger Originalmente se omitió por la misma razón y desde entonces lo hemos resuelto. — su política de privacidad establece que Hostinger International Ltd tiene su sede en Chipre, por lo que debe figurar en la columna de entidades de la UE; la nota del diagrama refleja dicha corrección.

Lo que no hicimos: revisar los informes de transparencia de ningún proveedor, contabilizar las solicitudes recibidas o impugnadas en virtud de la Ley CLOUD, examinar las cláusulas contractuales estándar o los acuerdos de procesamiento de datos de nadie, ni comprobar si los acuerdos de cifrado en reposo impedirían, de hecho, una orden de producción. La recomendación de cifrado es una opinión generalizada sobre la exposición relativa, no una conclusión legal que podamos respaldar para su caso.

Los enlaces de origen que aparecen arriba son enlaces de afiliados. El consejo práctico principal del artículo —que la mayoría de las cargas de trabajo necesitan residencia y cifrado en lugar de soberanía total— contradice los productos premium de esta categoría, y las medidas de cifrado y minimización de datos que mejor valoramos no tienen coste ni nos generan ingresos.

Preguntas Frecuentes

¿Cuál es la diferencia entre residencia de datos y soberanía de datos?

La residencia se refiere al lugar donde se almacenan físicamente tus datos. La soberanía se refiere al sistema legal del país que puede exigir el acceso a ellos. El centro de datos de una empresa estadounidense en Alemania te otorga residencia, pero no soberanía.

¿Almacenar los datos en la UE los protege de las autoridades estadounidenses?

No por sí sola. La Ley CLOUD abarca los datos en poder de proveedores con sede en EE. UU., independientemente de dónde se almacenen, por lo que un centro de datos de la UE operado por una empresa estadounidense sigue estando sujeto a los procedimientos obligatorios de EE. UU. La variable es la constitución del proveedor, no la ubicación del servidor.

¿La Ley CLOUD prevalece sobre el RGPD?

No es una solución sencilla. Una orden conforme a la Ley CLOUD requiere la aprobación judicial de EE. UU., y el artículo 48 del RGPD establece que las órdenes de divulgación extranjeras solo son ejecutables mediante un acuerdo internacional. El Comité Europeo de Protección de Datos (CEPD) considera que los proveedores sujetos al derecho de la UE no pueden cumplir legalmente basándose únicamente en ese acuerdo. El proveedor se encuentra atrapado entre ambas situaciones, y el conflicto permanece sin resolver, en lugar de estar zanjado en una dirección u otra.

¿Necesito soberanía de datos o simplemente residencia de datos?

La soberanía se aplica cuando un requisito externo especifica la jurisdicción del proveedor (contratación pública, datos regulados, contrato con un cliente). Para la mayoría de las demás cargas de trabajo, basta con la residencia y el cifrado con claves bajo su control.

¿Un proveedor de la UE siempre almacena los datos en la UE?

No. Hetzner es una empresa alemana con centros de datos en Virginia y Oregón, y OVHcloud tiene regiones en Canadá. Elegir un proveedor de la UE y elegir una región de la UE son dos decisiones distintas.

¿Cómo puedo averiguar con qué entidad tengo mi contrato de alojamiento web?

Lea la factura y el aviso legal del sitio web donde realizó la compra. Uno de los proveedores que analizamos contrata a través de una entidad alemana en su sitio .de y una entidad estadounidense en su sitio .com, aunque ambos utilizan los mismos centros de datos.

¿Resuelve el cifrado el problema de la Ley CLOUD?

En lugar de solucionar el problema, modifica sustancialmente la vulnerabilidad: un proveedor obligado a proporcionar datos que no puede descifrar se encuentra en una situación diferente a la de uno que posee el texto plano. Esto requiere que usted conserve las claves fuera del control del proveedor, y es la medida técnica más valiosa disponible en este caso.