La CLOUD Act estadounidense y la soberanía digital: decisiones sobre la nube para universidades europeas (2026)

Muchas universidades europeas tienen el correo, los documentos y el almacenamiento de investigación en plataformas en la nube estadounidenses, y el personal pregunta cada vez más si las autoridades de EE. UU. pueden acceder a esos datos. Esta guía separa los hechos jurídicos del debate político: qué dicen la CLOUD Act y la sección 702 de FISA, cómo responde el Derecho de la UE, qué cambian y qué no las fronteras de datos de la UE y las nubes soberanas, qué hacen universidades y redes académicas de varios países y cómo elegir el alojamiento según el tipo de dato con un plan de salida realista.

Publicado el 9 de octubre de 2026 · Fuentes verificadas el 9 de octubre de 2026

También disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Português

Este es un tema político además de jurídico. En esta guía, las afirmaciones sobre el Derecho y los hechos documentados llevan fuente. Nuestra propia lectura de lo que significan para las universidades se señala como Análisis de Validemic. Las posiciones de universidades, colectivos de personal y autoridades se presentan como posiciones suyas, no como Derecho establecido.

1. ¿Qué dice realmente la CLOUD Act?

La CLOUD Act es una ley estadounidense de 2018 que obliga a los proveedores de comunicaciones y de servicios en la nube sujetos a la regulación de EE. UU. a revelar los datos que controlan cuando reciben un requerimiento legal estadounidense válido, aunque los datos estén almacenados en el extranjero. Es una herramienta de persecución penal, y además creó una vía para acuerdos bilaterales con gobiernos extranjeros.

La regla central está en la sección 2713 del título 18 del Código de EE. UU. (18 U.S.C. § 2713), añadida el 23 de marzo de 2018. Un proveedor de servicios de comunicaciones electrónicas o de computación remota debe cumplir las obligaciones de la Stored Communications Act de conservar, copiar o revelar las comunicaciones y los registros de clientes que estén en su "possession, custody, or control" (posesión, custodia o control), "regardless of whether such communication, record, or other information is located within or outside of the United States" (con independencia de que dicha comunicación, registro u otra información se encuentre dentro o fuera de Estados Unidos) [1].

Hay tres puntos que a menudo se pierden en el debate:

• No es un nuevo poder de vigilancia. Extiende a los datos almacenados en el extranjero las herramientas policiales que ya existían en la Stored Communications Act. La decisión sobre el Marco de Privacidad de Datos señala que, por lo general, el contenido almacenado exige una orden judicial basada en indicios fundados (considerando 96) [9].
• Existe una vía limitada para oponerse. Según el 18 U.S.C. § 2703(h), un proveedor puede solicitar la anulación o modificación de una orden cuando el cliente no es una persona estadounidense ni reside en EE. UU. y la comunicación supondría un riesgo real de vulnerar las leyes de un "qualifying foreign government" (gobierno extranjero cualificado). Este concepto solo abarca a los países con un acuerdo ejecutivo en virtud de la ley que ofrezcan derechos comparables a los proveedores [2].
• Hay acuerdos con algunos países, pero no con la UE. El Departamento de Justicia de EE. UU. enumera acuerdos con el Reino Unido (firmado el 3 de octubre de 2019) y Australia (15 de diciembre de 2021). Para la UE menciona una declaración conjunta de 2019 sobre las negociaciones y un anuncio de 2023 sobre su reanudación [3]. A 9 de octubre de 2026 no encontramos ningún acuerdo UE-EE. UU. concluido.

Análisis de Validemic El criterio que importa para una universidad es el control, no la ubicación. Si un proveedor sujeto a la jurisdicción estadounidense puede acceder a los datos en un formato utilizable, es jurídicamente posible que reciba una orden estadounidense, esté donde esté el servidor. Con qué frecuencia ocurre esto en la práctica con datos universitarios es otra cuestión, que las fuentes públicas no permiten responder del todo.

2. FISA 702, la Orden Ejecutiva 12333 y Schrems II

La preocupación principal de la sentencia Schrems II era la vigilancia de los servicios de inteligencia estadounidenses, no la CLOUD Act. La sección 702 de la Foreign Intelligence Surveillance Act (50 U.S.C. § 1881a) permite dirigir la vigilancia a personas no estadounidenses en el extranjero con la colaboración obligatoria de proveedores estadounidenses. La Orden Ejecutiva 12333 regula otras actividades de inteligencia, incluida la obtención de datos fuera de Estados Unidos [5].

En Schrems II (C-311/18, 16 de julio de 2020), el Tribunal de Justicia declaró que "neither Section 702 of the FISA, nor E.O. 12333" (ni la sección 702 de FISA ni la Orden Ejecutiva 12333) ofrecían las garantías mínimas exigidas por el principio de proporcionalidad (apdo. 184). También concluyó que el Defensor del Pueblo del Escudo de la Privacidad no ofrecía a las personas una tutela equivalente a la del artículo 47 de la Carta (apdo. 197) y declaró inválida la decisión sobre el Escudo de la Privacidad [5].

La respuesta estadounidense fue la Orden Ejecutiva 14086, de 7 de octubre de 2022, que reforzó las garantías en materia de inteligencia de señales y, junto con un reglamento del Fiscal General, creó un mecanismo de recurso que incluye el Tribunal de Revisión de la Protección de Datos (DPRC). La Comisión se apoyó en ella al adoptar la decisión de adecuación del Marco de Privacidad de Datos el 10 de julio de 2023 [8] [9].

La sección 702 en 2026

La sección 702 se renovó por última vez en abril de 2024 con vigencia hasta abril de 2026. Tras varias prórrogas breves, una nueva prórroga no prosperó en la Cámara de Representantes y la disposición expiró el 12 de junio de 2026. Associated Press informó de que una resolución de marzo de 2026 del Tribunal de Vigilancia de Inteligencia Extranjera "certified the program's renewal for another 12 months" (certificó la renovación del programa por otros 12 meses), de modo que no se esperaba que la obtención de datos se detuviera de inmediato [6]. El Brennan Center, un instituto estadounidense de análisis de políticas, afirma que la vigilancia de la sección 702 continuará hasta marzo de 2027 aunque la disposición expire [7].

Pendiente: a 9 de octubre de 2026 no encontramos ninguna nueva renovación de la sección 702 en vigor. Si el Congreso la renueva, y con qué cambios, es relevante para el seguimiento que hace la Comisión del Marco de Privacidad de Datos. Volved a comprobarlo antes de basaros en este párrafo.

3. ¿Cómo responde el Derecho de la UE al acceso extranjero?

El Derecho de la UE no acepta por sí sola una orden judicial o una decisión de una autoridad extranjera como base lícita para entregar datos personales. El artículo 48 del RGPD establece que esas órdenes solo pueden reconocerse o ejecutarse si se basan en un acuerdo internacional, como un tratado de asistencia jurídica mutua, sin perjuicio de los demás motivos del capítulo V [10].

En su respuesta conjunta a la Comisión LIBE del Parlamento Europeo, de 10 de julio de 2019, el CEPD y el SEPD citaron la opinión de la Comisión de que "Article 48 makes clear that a foreign court order does not, as such, make a transfer lawful under GDPR" (el artículo 48 deja claro que una orden judicial extranjera no hace, por sí misma, lícita una transferencia según el RGPD). Concluyeron que, sin un acuerdo internacional u otra base jurídica, "service providers subject to EU law cannot legally base the disclosure and transfer of personal data to the US on such requests" (los prestadores de servicios sujetos al Derecho de la UE no pueden basar legalmente en tales requerimientos la comunicación y transferencia de datos personales a EE. UU.) [11]. También consideraron inadecuados para los requerimientos habituales de la CLOUD Act la mayoría de los fundamentos de los artículos 6 y 49.

Otras normas de la UE apuntan en la misma dirección:

• Artículo 28.3.a) del RGPD. Un encargado solo puede tratar datos siguiendo instrucciones documentadas del responsable, también en materia de transferencias, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros. Una orden estadounidense no es Derecho de la Unión ni de un Estado miembro [4].
• Cláusulas contractuales tipo, cláusula 15. Cuando se aplican las CCT, el importador debe notificar con prontitud al exportador cualquier requerimiento jurídicamente vinculante de una autoridad pública, hacer todo lo posible por obtener una dispensa si tiene prohibido notificarlo y llevar un registro de los requerimientos (cláusula 15.1) [12].
• Artículo 32 del Reglamento de Datos. Para los datos no personales, como los resultados de investigación inéditos o los datos institucionales, los proveedores de servicios en la nube deben adoptar «todas las medidas técnicas, organizativas y jurídicas adecuadas, lo que incluye la celebración de contratos», para impedir el acceso de administraciones públicas de terceros países que entre en conflicto con el Derecho de la Unión o nacional. Las órdenes extranjeras solo se reconocen sobre la base de un acuerdo internacional o, a falta de él, en las condiciones del artículo 32.3 [13].

Análisis de Validemic Estas normas crean un conflicto de leyes, no un escudo. Hacen ilícita la comunicación desde el lado de la UE y dan al cliente derecho a ser informado, pero no pueden impedir que un proveedor cumpla la ley de su país. Por eso algunas autoridades se centran en el control técnico, como quién tiene las claves de cifrado, y no solo en las cláusulas contractuales.

4. Situación del Marco de Privacidad de Datos a 9 de octubre de 2026

La decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (DPF), Decisión de Ejecución (UE) 2023/1795, está en vigor y cubre las transferencias a organizaciones estadounidenses incluidas en la lista del DPF. Aborda el acceso de los servicios de inteligencia mediante la Orden Ejecutiva 14086 y el DPRC, y describe el acceso policial en virtud de la Stored Communications Act, la ley que modificó la CLOUD Act [9].

• Tribunal General, 3 de septiembre de 2025. En Latombe/Comisión (T-553/23), el Tribunal General desestimó el recurso. Consideró que el DPRC es suficientemente independiente y que Schrems II exige, como mínimo, un control judicial a posteriori de la obtención masiva de datos, que el Derecho estadounidense ofrece a través del DPRC. También señaló que la Comisión debe vigilar de forma continua el marco jurídico estadounidense y puede suspender, modificar o derogar la decisión [14].
• Recurso de casación, C-703/25 P. El Sr. Latombe recurrió en casación el 31 de octubre de 2025 [15]. El recurso está pendiente. Nuestra guía sobre el Marco de Privacidad de Datos (en inglés) sigue el procedimiento, incluida la admisión de Microsoft como parte coadyuvante en junio de 2026.
• CEPD. El 31 de julio de 2026 el CEPD escribió a la Comisión sobre la sentencia del Tribunal Supremo de EE. UU. Trump v. Slaughter, relativa a la independencia de agencias estadounidenses como la FTC [16].

Análisis de Validemic El DPF resuelve la cuestión de la transferencia para las organizaciones estadounidenses de la lista. No resuelve la cuestión de la soberanía, que tiene que ver con la dependencia, la continuidad y el control. Una universidad puede tener una base lícita para la transferencia y decidir aun así que algunos datos no deben depender de un único proveedor de fuera de la UE. Para la parte de transferencias, véanse nuestra plantilla de evaluación del impacto de la transferencia y la herramienta de mecanismos de transferencia (en inglés).

5. Residencia de datos no es soberanía de datos

La residencia de datos significa que los datos se almacenan y tratan en una región elegida, como la UE. La soberanía de datos pregunta qué ordenamientos jurídicos y qué organizaciones pueden controlar los datos y el servicio, acceder a ellos o desactivarlos. Un servicio puede cumplir los requisitos de residencia mientras el operador sigue sujeto a leyes de fuera de la UE. En una revisión de proveedores, cada cuestión necesita sus propias preguntas.

Las Recomendaciones 01/2020 del CEPD describen con claridad el límite de las medidas técnicas. Para los servicios en la nube que necesitan acceder a los datos en claro (caso de uso 6), el CEPD afirmó ser "incapable of envisioning an effective technical measure" (incapaz de concebir una medida técnica eficaz) para impedir un acceso desproporcionado de las autoridades públicas, dado el estado de la técnica [17]. Por eso es difícil proteger solo con cifrado la mayoría de los paquetes de productividad, que necesitan leer el contenido para indexarlo, buscar en él y ejecutar funciones de IA.

6. Qué ofrecen los grandes proveedores

Las descripciones siguientes proceden de las páginas de cada proveedor. No evaluamos si cumplen ningún estándar jurídico; leed las condiciones contractuales de vuestro plan.

Microsoft: EU Data Boundary y ofertas soberanas

Microsoft describe la EU Data Boundary como una frontera dentro de la cual se compromete a almacenar y tratar los datos del cliente y los datos personales de sus servicios empresariales en línea, como Azure, Dynamics 365, Power Platform y Microsoft 365. La página indica que estos compromisos están "subject to limited circumstances" (sujetos a circunstancias limitadas) en las que los datos siguen transfiriéndose fuera de la frontera, y documenta esas transferencias por separado. La frontera abarca los países de la UE y de la AELC. En Microsoft 365 están incluidos los inquilinos (tenants) con ubicación de alta en la UE o la AELC, pero no los que tienen funciones Multi-Geo [18].

En abril de 2025 Microsoft publicó cinco «compromisos digitales europeos», entre ellos el de recurrir cualquier orden gubernamental de suspender sus operaciones europeas en la nube y la supervisión de los centros de datos europeos por un consejo formado por ciudadanos europeos [19]. En junio de 2025 anunció una Sovereign Public Cloud y una Sovereign Private Cloud (ambas en versión preliminar en ese momento), Microsoft 365 Local, «Data Guardian» (acceso remoto limitado a personal residente en Europa), la gestión externa de claves y nubes nacionales de socios como Bleu en Francia y Delos Cloud en Alemania [20].

Un ejemplo universitario muestra por qué hay que vigilar la configuración de residencia. La actualización de mayo de 2026 de la EIPD de SURF sobre Microsoft 365 Copilot recoge que Microsoft introdujo en marzo de 2026 el «flex routing», que permite transferencias de datos fuera de la EU Data Boundary para los nuevos inquilinos. SURF comprobó que los inquilinos existentes de la educación neerlandesa no se habían modificado y añadió la cuestión como nuevo riesgo bajo [21]. Véanse también nuestras fichas sobre Microsoft 365 y Microsoft Copilot.

AWS European Sovereign Cloud

AWS anunció la disponibilidad general de AWS European Sovereign Cloud el 15 de enero de 2026, con su primera región en Brandeburgo (Alemania). AWS afirma que está separada física y lógicamente de las demás regiones de AWS y que la operan residentes en la UE a través de una nueva sociedad matriz y filiales alemanas dirigidas por ciudadanos de la UE, con "zero operational control outside of EU borders" (ningún control operativo fuera de las fronteras de la UE). Prevé zonas locales soberanas en Bélgica, los Países Bajos y Portugal [22].

Ofertas soberanas de Google Cloud

Google enumera tres opciones principales. Google Cloud Data Boundary ofrece controles de residencia y de acceso en la nube pública, incluidas claves gestionadas por el cliente y almacenadas externamente. Google Cloud Dedicated funciona sobre una infraestructura aislada operada por un socio local; en Francia la opera S3NS, una entidad francesa independiente creada con Thales, que según Google está diseñada para cumplir los requisitos de SecNumCloud. Google Distributed Cloud funciona en las instalaciones del cliente, en modo conectado o aislado [23]. Véase nuestra ficha sobre Google Workspace.

Análisis de Validemic Las fronteras de datos cambian sobre todo la ubicación y el acceso de soporte. Las nubes operadas por separado intentan cambiar quién controla al operador. Las claves en poder del cliente y los despliegues locales cambian quién puede leer los datos. Cuando un proveedor dice «soberano», preguntad a cuál de estas cosas se refiere, para qué servicios y en qué plan.

¿Estáis evaluando a un proveedor? Validemic contrasta su documentación con el RGPD y el Reglamento de IA e indica la fuente de cada conclusión. Probad el entorno de demostración

7. Certificación: EUCS y SecNumCloud

A 9 de octubre de 2026 no existe una certificación adoptada a escala de la UE de servicios en la nube «soberanos». El esquema europeo de ciberseguridad para servicios en la nube (EUCS) sigue siendo un esquema candidato. La cualificación francesa SecNumCloud es la etiqueta nacional más consolidada que cubre expresamente la protección frente a leyes de fuera de la UE.

• EUCS. La página de la Comisión sobre el Marco de Certificación de la Ciberseguridad, actualizada por última vez el 9 de septiembre de 2026, incluye el «esquema europeo de certificación de la ciberseguridad para servicios en la nube» entre los esquemas candidatos que se encargó preparar a ENISA, y cita el esquema basado en los Criterios Comunes (EUCC) como el primero adoptado [24]. Los borradores anteriores que habrían añadido requisitos de soberanía fueron objeto de un largo debate entre los Estados miembros; el esquema definitivo puede ser distinto.
• SecNumCloud (Francia). La ANSSI indica que las ofertas cualificadas SecNumCloud pretenden proteger los datos sensibles «face à la menace cybercriminelle et à l'application de lois extraterritoriales» (frente a la amenaza ciberdelictiva y a la aplicación de leyes extraterritoriales) y publica la lista de servicios cualificados [25]. Las orientaciones de la CNIL para la educación superior, de 24 de agosto de 2026, ponen la cualificación SecNumCloud como ejemplo de forma de garantizar que un proveedor esté sujeto exclusivamente al Derecho europeo [26].

8. Qué hacen los gobiernos y el sector público

Organismos públicos de varios países están reduciendo su dependencia de un pequeño número de proveedores de fuera de la UE. La mayoría de los esfuerzos son graduales, y entre sus motivos declarados figuran la continuidad y la capacidad de negociación, además de la protección de datos.

• Francia. En una respuesta parlamentaria publicada el 15 de noviembre de 2022, el ministerio de Educación indicó que la agencia digital del Estado había concluido en 2021 que Office 365 no se ajustaba a la doctrina «cloud au centre», que la CNIL había aconsejado a las instituciones de educación superior utilizar proveedores sujetos exclusivamente al Derecho europeo y que se había pedido a los rectorados que no ampliaran los despliegues de Microsoft y Google en los centros escolares [27]. Esa respuesta es anterior al Marco de Privacidad de Datos de 2023.
• Alemania. Un catálogo de casos de 2026 de la Agencia danesa de Digitalización describe la migración de Schleswig-Holstein, iniciada en 2012, a LibreOffice, Linux, Nextcloud y Open-Xchange, con el objetivo de prescindir en 2029 de todos los productos de Microsoft salvo unos pocos críticos; 24 000 de los 30 000 empleados del Land ya usan el nuevo puesto de trabajo [28]. ZenDiS, una empresa con financiación federal, desarrolla openDesk, un paquete ofimático de código abierto para la Administración pública [29].
• Dinamarca. La Agencia de Digitalización indica que la Ley de Presupuestos de 2026 reserva 80 millones de coronas danesas para 2026 a 2029 para un plan de acción sobre soberanía digital [30]. Su catálogo de casos describe la sustitución de Microsoft Azure por el proveedor alemán Hetzner en unas 60 soluciones de un departamento del Ayuntamiento de Aarhus, y un análisis del Ayuntamiento de Copenhague sobre unos 150 sistemas críticos presentado al pleno municipal en diciembre de 2025 [28].
• Países Bajos. En septiembre de 2026 el órgano consultivo de TIC del Gobierno neerlandés (AcICT) publicó orientaciones sobre el uso de la nube por los organismos públicos. Su primera recomendación es sopesar con cuidado las dependencias estratégicas, incluida la dependencia del proveedor y las opciones de salida [31].
• Suiza. Las autoridades cantonales de protección de datos (privatim) adoptaron una resolución en noviembre de 2025. Considera inadmisible, "in most cases (such as M365)" (en la mayoría de los casos, como M365), externalizar datos personales especialmente sensibles o sujetos a secreto legal a grandes servicios SaaS internacionales, salvo que el organismo público cifre él mismo los datos y el proveedor no tenga acceso a la clave [32].
• Suecia. eSam, el órgano de cooperación de las agencias públicas suecas, escribió en septiembre de 2025 que la decisión de adecuación UE-EE. UU. se aplica hasta que se retire o se anule, pero no resuelve necesariamente las cuestiones de acceso extranjero en virtud de leyes extraterritoriales [33].

9. Qué hacen las universidades y las redes académicas

Las universidades europeas siguen tres caminos principales: evaluar a fondo los grandes paquetes estadounidenses, crear o adquirir alternativas europeas compartidas a través de sus redes nacionales de investigación y educación (NREN) y, en los Países Bajos, adoptar un plan sectorial de autonomía digital.

Países Bajos: de las cartas abiertas a un plan sectorial

• Cartas del personal. En marzo de 2025, dos catedráticos de la Universidad de Utrecht escribieron a su Consejo Ejecutivo que "The fact that the data is stored on European servers offers no (legal) protection" (el hecho de que los datos se almacenen en servidores europeos no ofrece ninguna protección jurídica), con cita de la CLOUD Act [34]. Siguieron cartas similares en la Universidad Radboud (marzo de 2025) [35] y en la Universidad de Groninga (abril de 2025) [36]. En un documento de reflexión de diciembre de 2025, los autores de Utrecht escribieron que los grandes proveedores "are subject to American jurisdiction (in particular the Cloud Act)" (están sujetos a la jurisdicción estadounidense, en particular a la CLOUD Act) [37].
• Plan sectorial. En mayo de 2026, Universiteiten van Nederland (UNL) anunció que las universidades, el Gobierno central y SURF colaborarán para reforzar la autonomía digital, con referencia a los riesgos para la seguridad del conocimiento, la privacidad, la continuidad y los valores académicos. Un comité propondrá condiciones comunes de contratación, alternativas y cooperación internacional, empezando por una evaluación de riesgos de referencia [38]. El medio de noticias de la TU Eindhoven informó de que las universidades y el secretario de Estado firmaron una carta de intenciones en junio de 2026 [39].
• SURF. La estrategia de abastecimiento en la nube de SURF (2024) incluye la soberanía de datos como uno de sus nueve temas y afirma que el control sobre los datos nunca se transfiere al proveedor [40]. En noviembre de 2025 SURF anunció que ofrecería Nextcloud a todas las instituciones miembro desde enero de 2026, y señaló que "our independence and public values are coming under increasing pressure" (nuestra independencia y nuestros valores públicos están sometidos a una presión creciente) [41]. Sus EIPD sobre Microsoft 365 Copilot son un modelo de cómo una organización sectorial puede evaluar a un proveedor en nombre de muchas instituciones [21].
• Plazos realistas. Según el periódico universitario de Utrecht, unos 75 investigadores de cinco universidades neerlandesas venían probando Nextcloud desde principios de 2025 [42]. El director de TI de la Universidad de Twente dijo a su periódico que la universidad no puede hacerlo sola y describió un proyecto de puesto de trabajo soberano con Linux y LibreOffice [43].

Países nórdicos

• Suecia. Sunet Drive es un servicio de almacenamiento y de intercambio de archivos basado en Nextcloud y en el almacenamiento S3 privado de Sunet, ubicado en servidores suecos. Sunet afirma que la organización «har full kontroll över allt lagrat data» (tiene pleno control sobre todos los datos almacenados) [44]. La Universidad de Estocolmo lo ofrece a sus investigadores [45].
• Finlandia. CSC, el centro finlandés de TI para la ciencia, gestiona servicios para datos sensibles, entre ellos ePouta, descrito como "a secure cloud computing environment designed to process sensitive data" (un entorno seguro de computación en la nube diseñado para tratar datos sensibles) [46].
• Noruega. NREC, gestionada por las universidades de Bergen y Oslo con socios nacionales, ofrece infraestructura como servicio desde centros de datos en Bergen y Oslo para el sector de la educación superior [47].

Alemania, Suiza y Francia

• sciebo (Renania del Norte-Westfalia). En su lanzamiento en 2015, la Universidad de Münster explicó que las universidades participantes gestionan sciebo por sí mismas, con los datos tratados en Münster, Bonn y Duisburg-Essen [48]. Su web actual lo define como "a non-commercial cloud storage by universities for universities" (un almacenamiento en la nube no comercial de universidades para universidades) [49].
• bwSync&Share (Baden-Wurtemberg). Gestionado por el Instituto Tecnológico de Karlsruhe desde el 1 de enero de 2014 sobre Nextcloud, y abierto a las universidades del Land y, a través de DFN-Cloud, a otros miembros de DFN [50].
• Suiza. Switch Drive está alojado en los centros de datos de Switch en Suiza; Switch afirma que "All IT resources and usage data are located in Switch data centres" (todos los recursos de TI y los datos de uso se encuentran en los centros de datos de Switch) [51].
• Francia. RENATER presenta sus servicios de colaboración como alternativa a los servicios en línea gratuitos, con el compromiso de «garantir le stockage de vos données en France» (garantizar el almacenamiento de vuestros datos en Francia) [52].

Contratación paneuropea: GÉANT OCRE

El marco Open Clouds for Research Environments (OCRE) de GÉANT permite a las NREN ofrecer a sus miembros servicios comerciales en la nube con condiciones negociadas de antemano. La NREN luxemburguesa Restena informó de que el marco OCRE 2024 entró en vigor el 3 de febrero de 2025, con IaaS, PaaS y SaaS, y de que en Luxemburgo siguen disponibles siete plataformas, una combinación de proveedores estadounidenses y europeos [53]. Preguntad a vuestra NREN qué proveedores están disponibles en vuestro país.

Análisis de Validemic En todos los países, las universidades no abandonan de la noche a la mañana los paquetes estadounidenses. Clasifican los datos, mantienen los datos de investigación más sensibles en servicios nacionales o de su NREN, crean alternativas compartidas para el intercambio de archivos y se apoyan en las organizaciones sectoriales para negociar y evaluar. Véanse nuestra guía sobre el almacenamiento de datos de investigación en la nube (en inglés) y la ficha de Nextcloud.

10. Cómo evaluar el riesgo

Una evaluación de la CLOUD Act y de la soberanía encaja en el proceso habitual del RGPD. Combinad la evaluación de transferencias de los datos que salen del EEE con una evaluación más amplia de la dependencia que abarque el acceso jurídico extranjero, la continuidad y la salida. Hacedlo por servicio y por tipo de dato, no una sola vez para «la nube».

1. Describir el servicio. Entidad contratante, entidades operadoras, ubicaciones de almacenamiento y tratamiento, subencargados y ubicaciones de soporte. Usad la lista de subencargados, no las páginas comerciales.
2. Clasificar los datos. Usad la clasificación de vuestra institución y señalad las categorías especiales de datos, los datos sujetos a secreto legal, la investigación sujeta a control de exportaciones y los datos sometidos a cláusulas de confidencialidad con socios.
3. Identificar las transferencias y su instrumento. El acceso remoto desde fuera del EEE cuenta como transferencia [17]. Para los destinatarios estadounidenses, comprobad su inscripción en la lista del DPF; en otro caso, usad CCT con una evaluación del impacto de la transferencia. Nuestra herramienta de mecanismos de transferencia y la plantilla de evaluación del impacto de la transferencia cubren este paso.
4. Evaluar por separado el acceso jurídico extranjero. Preguntad si el operador está sujeto a la jurisdicción estadounidense (u otra de fuera de la UE), si puede acceder al contenido en claro y qué se compromete a hacer cuando reciba un requerimiento: avisaros, impugnarlo, revelar solo el mínimo y publicar datos de transparencia (comparad con la cláusula 15 de las CCT) [12].
5. Evaluar los controles técnicos. ¿Quién tiene las claves? ¿Hay cifrado en el lado del cliente o de extremo a extremo para los datos que lo necesitan? ¿Qué funciones dejan de funcionar al usarlo?
6. Evaluar la dependencia y la continuidad. ¿Qué pasaría si el servicio dejara de estar disponible, se encareciera mucho o no pudiera usarse legalmente para algunos datos? ¿Cuánto tardaría la migración?
7. Decidir y documentar. Registrad el riesgo residual, las condiciones de uso (por ejemplo, «sin categorías especiales de datos») y quién lo ha aceptado. Actualizad la EIPD cuando proceda; véase nuestra plantilla de EIPD.
8. Vigilar. Estad atentos a los cambios de alojamiento, subencargados, configuraciones por defecto y Derecho estadounidense (la sección 702, el recurso C-703/25 P, la revisión del DPF por la Comisión). El ejemplo del «flex routing» de SURF muestra que la configuración por defecto puede cambiar.

Cuando una organización sectorial ya haya evaluado el servicio (por ejemplo, las EIPD de SURF), partid de esa evaluación y comprobad que vuestra configuración coincide con sus supuestos. Para el proceso general, véanse evaluación de proveedores para universidades y nuestra guía de NIS2 (en inglés).

11. Tabla de decisión: alojamiento por tipo de dato

La tabla siguiente es un Análisis de Validemic, no un requisito legal. Muestra un patrón habitual coherente con las posiciones de las fuentes anteriores. Vuestro derecho nacional, los contratos de investigación y la clasificación institucional tienen prioridad.

Las funciones de IA requieren atención adicional, porque a menudo añaden ubicaciones de tratamiento y subencargados. Nuestra guía sobre los servicios de IA de las universidades nórdicas (en inglés) muestra cómo algunas instituciones alojan la IA ellas mismas por este motivo.

12. Estrategias de salida

Una estrategia de salida es un plan documentado y probado para trasladar un servicio y sus datos a otro proveedor o a medios propios en un plazo y con un presupuesto determinados. Es la medida de soberanía más práctica, porque limita el daño de cualquier cambio futuro de leyes, precios o políticas. El Reglamento de Datos da ahora a los clientes de servicios en la nube derechos exigibles de cambio de proveedor.

Qué exige el Reglamento de Datos

El capítulo VI del Reglamento (UE) 2023/2854 se aplica desde el 12 de septiembre de 2025 [13]. Los proveedores de servicios de tratamiento de datos deben eliminar los obstáculos al cambio de proveedor (art. 23), y el contrato debe incluir, entre otras cosas (art. 25.2):

• un plazo máximo de preaviso para iniciar el cambio no superior a dos meses;
• un periodo transitorio máximo obligatorio de 30 días naturales, durante el cual el proveedor debe prestar asistencia, mantener la continuidad y proteger los datos;
• la obligación de apoyar la estrategia de salida del cliente;
• una especificación exhaustiva de los datos y activos digitales que pueden trasladarse;
• un periodo de recuperación de datos de al menos 30 días naturales tras el periodo transitorio;
• la supresión completa de los datos exportables al término del periodo de recuperación.

En cuanto a las tarifas, desde el 11 de enero de 2024 los proveedores solo podían cobrar tarifas reducidas por el cambio, sin superar los costes directos. A partir del 12 de enero de 2027 no podrán cobrar ninguna tarifa por el cambio (art. 29). El artículo 31 exime de parte de estas reglas a algunos servicios hechos a medida y a las versiones de prueba. Véase nuestra página sobre el Reglamento de Datos.

Cómo elaborar el plan

1. Inventario. Servicios, volúmenes de datos, integraciones (inicio de sesión único, plataforma de aprendizaje, sistemas de investigación) y usuarios afectados.
2. Formatos. Dad preferencia a los formatos abiertos y comprobad que las exportaciones incluyen metadatos, permisos e historial de versiones.
3. Identidad. Mantened la gestión de identidades bajo control institucional o federado, para que un cambio de proveedor no suponga cambiar todas las cuentas de usuario.
4. Alternativas. Identificad al menos una alternativa realista para cada servicio crítico, a menudo a través de vuestra NREN o de un servicio nacional compartido.
5. Prueba. Haced cada año una exportación e importación parcial para un departamento de muestra. Un plan de salida no probado es un deseo, no un plan.
6. Presupuesto y plazo. Registrad el coste y la duración previstos de la migración. El catálogo de casos danés muestra que incluso un traslado limitado (unas 60 soluciones de un departamento de Aarhus) llevó unos seis meses [28].

13. Cláusulas que pedir en la contratación

Las cláusulas contractuales no pueden cambiar qué leyes se aplican a un proveedor, pero sí pueden dar a la universidad información, tiempo y opciones. Usad las cláusulas siguientes en las licitaciones y renovaciones, adaptadas a vuestras normas nacionales de contratación pública. Nuestro generador de cuestionarios para proveedores puede convertirlas en preguntas.

Cuando vuestra organización sectorial negocie de forma centralizada (SURF, Sikt, Sunet, CSC, Jisc, DFN o GÉANT a través de OCRE), comprobad qué condiciones figuran ya en el acuerdo marco antes de negociar por vuestra cuenta. Para las propias condiciones del artículo 28, nuestro verificador de contratos de encargo contrasta un borrador punto por punto, y las alertas de subencargados pueden ayudaros a detectar cambios después de la firma.

14. Lista de comprobación

Fuentes

1. 18 U.S.C. § 2713, Required preservation and disclosure of communications and records, Legal Information Institute (consultado el 9 de octubre de 2026).
2. 18 U.S.C. § 2703, apartado (h), comity analysis, Legal Information Institute (consultado el 9 de octubre de 2026).
3. Departamento de Justicia de EE. UU.: CLOUD Act Resources (consultado el 9 de octubre de 2026).
4. Reglamento (UE) 2016/679 (RGPD), artículos 28, 32, 44 y 48 (consultado el 9 de octubre de 2026).
5. Tribunal de Justicia, sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C-311/18, apartados 184, 197 y 201, consultada a través de la Oficina de Publicaciones de la UE (consultado el 9 de octubre de 2026).
6. Associated Press: A key U.S. government surveillance program is set to expire. A look at what that means, 12 de junio de 2026 (consultado el 9 de octubre de 2026).
7. Brennan Center for Justice: Section 702 of FISA, 2026 resource page, actualizado el 17 de septiembre de 2026 (consultado el 9 de octubre de 2026).
8. Tribunal de Justicia de la UE, comunicado de prensa n.º 106/25 sobre el asunto T-553/23, que describe la Orden Ejecutiva 14086 de 7 de octubre de 2022 y el DPRC (consultado el 9 de octubre de 2026, en inglés).
9. Decisión de Ejecución (UE) 2023/1795 de la Comisión (Marco de Privacidad de Datos UE-EE. UU.), considerandos 96 y 97, consultada a través de la Oficina de Publicaciones de la UE (consultado el 9 de octubre de 2026).
10. RGPD, artículo 48, Transferencias o comunicaciones no autorizadas por el Derecho de la Unión (consultado el 9 de octubre de 2026).
11. Respuesta conjunta del CEPD y el SEPD a la Comisión LIBE sobre el impacto de la CLOUD Act estadounidense, anexo de 10 de julio de 2019 (consultado el 9 de octubre de 2026, en inglés).
12. Decisión de Ejecución (UE) 2021/914 de la Comisión (cláusulas contractuales tipo), cláusula 15 (consultado el 9 de octubre de 2026).
13. Reglamento (UE) 2023/2854 (Reglamento de Datos), artículos 23, 25, 29, 31, 32 y 50, consultado a través de la Oficina de Publicaciones de la UE (consultado el 9 de octubre de 2026).
14. Tribunal General, Latombe/Comisión, T-553/23, comunicado de prensa de 3 de septiembre de 2025 (consultado el 9 de octubre de 2026, en inglés).
15. Recurso de casación interpuesto el 31 de octubre de 2025 por Philippe Latombe, asunto C-703/25 P, DO C/2025/6610 (consultado el 9 de octubre de 2026).
16. Carta del CEPD a la Comisión Europea sobre la sentencia del Tribunal Supremo de EE. UU. Trump v. Slaughter, 31 de julio de 2026 (consultado el 9 de octubre de 2026, en inglés).
17. Recomendaciones 01/2020 del CEPD sobre medidas complementarias, versión 2.0, apartado 13 y caso de uso 6 (consultado el 9 de octubre de 2026).
18. Microsoft Learn: What is the EU Data Boundary? (consultado el 9 de octubre de 2026).
19. Microsoft: Microsoft announces new European digital commitments, Brad Smith, 30 de abril de 2025 (consultado el 9 de octubre de 2026).
20. Microsoft: Announcing comprehensive sovereign solutions empowering European organizations, 16 de junio de 2025 (consultado el 9 de octubre de 2026).
21. SURF: Privacy risks Microsoft 365 Copilot remain 'orange' despite improvements, 27 de mayo de 2026 (consultado el 9 de octubre de 2026).
22. AWS: AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, 15 de enero de 2026 (consultado el 9 de octubre de 2026).
23. Google Cloud: Sovereign Cloud (consultado el 9 de octubre de 2026).
24. Comisión Europea: EU Cybersecurity Certification Framework, actualizada por última vez el 9 de septiembre de 2026 (consultado el 9 de octubre de 2026, en inglés).
25. ANSSI: SecNumCloud pour les fournisseurs de services cloud (consultado el 9 de octubre de 2026).
26. CNIL: Enseignement supérieur, les règles et bonnes pratiques pour utiliser des outils collaboratifs en ligne, 24 de agosto de 2026 (consultado el 9 de octubre de 2026).
27. Asamblea Nacional francesa, pregunta escrita n.º 971 y respuesta ministerial, respuesta publicada el 15 de noviembre de 2022 (consultado el 9 de octubre de 2026).
28. Digitaliseringsstyrelsen: Digital suverænitet, casekatalog (elaborado por PA Consulting), enero de 2026, casos 3, 11 y 13 (consultado el 9 de octubre de 2026, en danés).
29. openDesk (ZenDiS) (consultado el 9 de octubre de 2026).
30. Digitaliseringsstyrelsen: Digital suverænitet (consultado el 9 de octubre de 2026, en danés).
31. Digitale Overheid: Cloud, incluidas las orientaciones del AcICT sobre el uso de la nube, 8 de septiembre de 2026 (consultado el 9 de octubre de 2026, en neerlandés).
32. privatim: resolución sobre las soluciones internacionales en la nube y nota de prensa, 24 de noviembre de 2025 (consultado el 9 de octubre de 2026, en alemán).
33. eSam: Uppdatering kring adekvansbeslutet i en turbulent tid, 26 de septiembre de 2025 (consultado el 9 de octubre de 2026, en sueco).
34. Universidad de Utrecht: Open letter to the Executive Board calling for a transformation to digital autonomy, 25 de marzo de 2025 (consultado el 9 de octubre de 2026).
35. Personal de la Universidad Radboud: Open letter on dependence on Big Tech, 10 de marzo de 2025 (consultado el 9 de octubre de 2026).
36. Universidad de Groninga: Open letter to the Executive Board to end dependence on Big Tech, 10 de abril de 2025 (consultado el 9 de octubre de 2026).
37. Universidad de Utrecht, IOS Think Paper 7: Towards a collective digital autonomy for Dutch universities, diciembre de 2025 (consultado el 9 de octubre de 2026).
38. Universiteiten van Nederland: Universiteiten lanceren plan om digitaal autonomer te worden, 6 de mayo de 2026 (consultado el 9 de octubre de 2026, en neerlandés).
39. Cursor (TU Eindhoven): Universities and government join forces on digital autonomy, 26 de junio de 2026 (consultado el 9 de octubre de 2026).
40. SURF: Cloud sourcing strategie, 2024 (consultado el 9 de octubre de 2026, en neerlandés).
41. SURF: Education and research move forward with Nextcloud, 24 de noviembre de 2025 (consultado el 9 de octubre de 2026).
42. DUB (Universidad de Utrecht): Can Dutch universities do without Microsoft?, 24 de noviembre de 2025 (consultado el 9 de octubre de 2026).
43. U-Today (Universidad de Twente): Breaking free from big tech? UT can't do it alone, 9 de diciembre de 2025 (consultado el 9 de octubre de 2026).
44. Sunet: Sunet Drive (consultado el 9 de octubre de 2026, en sueco).
45. Universidad de Estocolmo: Sunet Drive (Nextcloud), actualizado el 24 de noviembre de 2025 (consultado el 9 de octubre de 2026).
46. CSC: Sensitive data services (consultado el 9 de octubre de 2026).
47. NREC: Norwegian Research and Education Cloud (consultado el 9 de octubre de 2026).
48. Universidad de Münster: nota de prensa sobre el lanzamiento de sciebo, 28 de enero de 2015 (consultado el 9 de octubre de 2026, en alemán).
49. hochschulcloud.nrw: sciebo (consultado el 9 de octubre de 2026).
50. Instituto Tecnológico de Karlsruhe: bwSync&Share (consultado el 9 de octubre de 2026).
51. Switch: Switch Drive (consultado el 9 de octubre de 2026).
52. RENATER: Services (consultado el 9 de octubre de 2026, en francés).
53. Restena: Cloud suppliers and opportunities for 2025-2029 (GÉANT OCRE 2024), 14 de febrero de 2025 (consultado el 9 de octubre de 2026).

Sobre esta página

Fuentes verificadas el 9 de octubre de 2026. Leímos los textos jurídicos (el Código de EE. UU. a través del Legal Information Institute; los actos de la UE en las versiones del Diario Oficial publicadas por la Oficina de Publicaciones de la UE), documentos judiciales, páginas del CEPD, de la Comisión y de autoridades nacionales, páginas de proveedores y las páginas de universidades y redes académicas citadas. Las citas en otras lenguas se reproducen en su versión original con una traducción entre paréntesis; las citas de normas de la UE siguen su texto oficial en español. Las descripciones de los proveedores son las suyas propias; no hemos probado los servicios. Nuestra interpretación propia figura señalada como análisis de Validemic. Esta página ofrece información general, no asesoramiento jurídico. El Derecho estadounidense sobre vigilancia, el recurso contra el Marco de Privacidad de Datos y el esquema europeo de certificación de la nube pueden cambiar, y actualizaremos esta página cuando ocurra. Si detectáis un error o un dato desactualizado, escribidnos y lo corregiremos.