Si su proveedor de servicios en la nube tiene su sede en EE. UU., una orden judicial válida de EE. UU. puede obligar a esa empresa a recuperar los datos de su empresa en servidores de cualquier parte del mundo.
Empresas como Google, Microsoft y Amazon son vulnerables a esta intromisión, posible gracias a la CLOUD Act, una ley de 2018 que otorga a las fuerzas del orden estadounidenses tentáculos globales.
Es especialmente un problema para las empresas de la UE. Si su proveedor estadounidense entrega sus correos electrónicos o archivos, eso podría constituir una violación del GDPR por filtración de datos personales, que puede imponer sanciones de hasta €20 millones o el 4 % de los ingresos anuales globales, lo que sea mayor.
Esa es la realidad que las empresas estadounidenses ocultan cuando dicen «compatible con el RGPD» y «nube soberana europea» en su marketing. Un centro de datos en la UE de un proveedor estadounidense sigue siendo operado por una empresa bajo jurisdicción de EE. UU. Para su empresa, esto significa que las decisiones de adquisición conllevan una responsabilidad de cumplimiento que quizás no haya tenido en cuenta. Para sus clientes, significa que los datos personales que le confiaron pueden terminar en un proceso legal en el que no tienen voz (y que quizás nunca lleguen a conocer).
Aquí tiene una explicación sencilla de la CLOUD Act, por qué esta legislación invasiva es importante para las empresas y cómo limitar su exposición. El lugar donde residen sus datos ya no decide quién puede acceder a ellos.
¿Qué es la CLOUD Act?
La Ley de Uso Legal de Datos en el Extranjero (CLOUD Act(nueva ventana)) es una ley federal de EE. UU. que entró en vigor en 2018. Permite a las fuerzas del orden federales —principalmente al Departamento de Justicia y al FBI, pero también a la policía federal, estatal y local— obtener una orden judicial, una orden de la corte o una citación que obligue a las empresas tecnológicas bajo jurisdicción de EE. UU. a entregar datos, independientemente de dónde se almacenen físicamente en el mundo.
Por ejemplo, si el FBI obtiene una orden judicial que obligue a Microsoft a entregar los correos electrónicos de una empresa europea, Microsoft debe cumplir, incluso si un tribunal europeo no está de acuerdo con la solicitud.
La CLOUD Act tiene un propósito legítimo de aplicación de la ley. Está diseñada para ayudar a las fuerzas del orden federales a investigar delitos graves como el terrorismo, la explotación infantil y la ciberdelincuencia. No está diseñada para la recopilación de inteligencia, que se rige por una autoridad separada de EE. UU. (Sección 702 de la FISA), a menudo confundida con ella.
Ese propósito legítimo, sin embargo, no elimina el problema estructural para las empresas: La CLOUD Act puede poner a un proveedor bajo jurisdicción de EE. UU. en una posición en la que cumplir una orden legal de EE. UU. significa infringir la ley de la UE. Deja a las empresas atrapadas entre dos regímenes de cumplimiento sin forma de satisfacer ambos.
¿Cuál es el origen de la CLOUD Act?
La CLOUD Act fue aprobada en 2018 por el gobierno de EE. UU. para modificar la Ley de Comunicaciones Almacenadas (SCA) de 1986. Esta enmienda fue, en gran parte, una respuesta a un caso judicial en curso(nueva ventana), el caso «Microsoft-Irlanda».
En 2013, Microsoft impugnó una orden judicial federal que exigía los correos electrónicos de un cliente investigado por tráfico de drogas, correos electrónicos almacenados por Microsoft en servidores en Irlanda. Este caso giró en torno a una espinosa cuestión legal: ¿podía una orden judicial de EE. UU. emitida bajo la SCA alcanzar las comunicaciones digitales controladas por una empresa con sede en EE. UU., pero almacenadas en un servidor de datos fuera de EE. UU.?
En 2018, el caso estaba pendiente de apelación en la Corte Suprema cuando el Congreso de EE. UU. aprobó la CLOUD Act. Esto tanto dejó sin efecto el caso «Microsoft-Irlanda» como resolvió la cuestión de los poderes extraterritoriales del gobierno de EE. UU. sobre datos almacenados en suelo extranjero, al menos en teoría.
¿Qué poderes otorga la CLOUD Act al gobierno de EE. UU.?
La CLOUD Act facultó al gobierno de EE. UU. para solicitar datos específicos, dondequiera que estuvieran almacenados, reforzando las órdenes extraterritoriales de la SCA a los proveedores estadounidenses. La Ley aclaró que las fuerzas del orden de EE. UU. pueden usar órdenes judiciales, citaciones y órdenes de la corte para acceder a datos de comunicaciones almacenados electrónicamente que se encuentren fuera de EE. UU., si el proveedor de almacenamiento está sujeto a la jurisdicción de EE. UU. y los datos solicitados son relevantes y materiales para una investigación criminal en curso. Una solicitud de la CLOUD Act va directamente al proveedor, evitando el proceso mucho más lento del MLAT (Tratado de Asistencia Legal Mutua)(nueva ventana) en el que el gobierno de EE. UU. confiaba anteriormente.
La CLOUD Act también facultó a los gobiernos dispuestos a firmar un acuerdo ejecutivo bilateral con el gobierno de EE. UU., que permitiría a las fuerzas del orden de los países socios realizar solicitudes directas, transfronterizas y específicas de cada caso para obtener datos de proveedores de servicios con sede en EE. UU.
Los acuerdos ejecutivos aceleran la recopilación de pruebas en casos penales graves como el terrorismo y la explotación infantil, donde el proceso del MLAT podría tardar meses. En el momento de escribir esto, solo existen dos acuerdos ejecutivos: entre EE. UU. y el Reino Unido (entró en vigor en octubre de 2022(nueva ventana)), y entre EE. UU. y Australia (entró en vigor en enero de 2024(nueva ventana)). Se han iniciado negociaciones entre el gobierno de EE. UU. y la UE y Canadá(nueva ventana), pero aún no han concluido.
Los proveedores de tecnología tienen un mecanismo de seguridad: pueden impugnar o solicitar la modificación de una orden de EE. UU. bajo la «cortesía internacional» —el principio legal de que los tribunales se remiten a las leyes de otras jurisdicciones— si cumplirla implicaría infringir una ley extranjera, en particular una cubierta por un acuerdo ejecutivo. Fuera del Reino Unido y Australia, este desafío de cortesía internacional del derecho consuetudinario es la única opción disponible.
Sin embargo, como argumenta el Centro de Información de Privacidad Electrónica (EPIC)(nueva ventana), incluso con la cortesía internacional, la CLOUD Act deja a los clientes, incluidas las empresas, con pocos recursos reales. No se exige a los proveedores que notifiquen a un cliente cuyos datos fueron accedidos, los clientes no tienen derecho independiente a impugnar una solicitud (eso depende enteramente de que el proveedor decida oponerse), y los acuerdos ejecutivos excluyen explícitamente la creación de cualquier nuevo recurso para las personas afectadas.
La CLOUD Act vs. el GDPR
En Europa, donde la propia investigación de Proton muestra que más del 74 % de todas las empresas que cotizan en bolsa dependen de servicios tecnológicos con sede en EE. UU., la CLOUD Act es motivo de especial preocupación porque entra en conflicto con el Reglamento General de Protección de Datos (GDPR) de la UE.
Según el Artículo 48(nueva ventana) del GDPR, una orden judicial extranjera o decisión de una autoridad administrativa (incluida una orden de la SCA) para transferir o divulgar datos personales no será reconocida ni aplicada automáticamente en la UE, a menos que se realice en virtud de un acuerdo internacional, como un MLAT.
Si bien no ha habido un caso de multa del GDPR a una empresa en relación con una orden de la CLOUD Act, existe un precedente de reguladores que actúan sobre esta categoría de riesgo: en 2023, la Comisión de Protección de Datos de Irlanda multó a Meta con una cifra récord de €1 200 millones(nueva ventana) por transferencias entre la UE y EE. UU. expuestas a la ley de vigilancia estadounidense, en concreto la Sección 702 de la FISA, no la CLOUD Act.
Para los proveedores de servicios en la nube con sede en EE. UU., esto significa que si el gobierno de EE. UU. solicita datos que ellos procesan pero que están controlados por empresas europeas, cumplir con la CLOUD Act podría significar infringir el GDPR. Según el Artículo 28(nueva ventana), el proveedor (encargado del tratamiento) solo puede actuar según las instrucciones documentadas del responsable del tratamiento, y «divulgar datos a un gobierno extranjero» no está entre esas instrucciones.
La exposición no se limita al proveedor. Si el proveedor divulga los datos de un cliente en respuesta a una orden obligatoria sin la base de acuerdo internacional que exige el Artículo 48 (lo que, dado que actualmente no existe ningún acuerdo ejecutivo de la CLOUD Act entre EE. UU. y la UE, significa un MLAT), la empresa que posee esos datos asume su propia responsabilidad, no solo el proveedor al que contrató para almacenarlos.
Por qué la ubicación de los datos no significa soberanía de los datos
En junio de 2025(nueva ventana), el propio director de asuntos públicos y legales de Microsoft Francia, Anton Carniaux, fue interrogado bajo juramento en el Senado francés(nueva ventana) sobre si podía garantizar que los datos de los ciudadanos franceses nunca serían entregados a las autoridades de EE. UU. sin el consentimiento de Francia.
Su respuesta: «No. No puedo garantizar eso». Añadió que «nunca ha sucedido antes», lo que, por supuesto, no significa que no pueda suceder en el futuro.
El mensaje fue claro: La soberanía de los datos ya no se trata de dónde se almacenan los datos, sino de quién los controla. La ubicación de sus servidores de datos y los gobiernos que tienen autoridad sobre ellos ya no son necesariamente lo mismo.
Este hecho resulta incómodo junto a las ofertas de nube «compatibles con el GDPR» que los gigantes de la nube estadounidenses (o «hiperescaladores») comercializan para las empresas europeas. Estos productos de «nube soberana europea» son operados por empresas con sede en EE. UU. o controladas por una empresa matriz estadounidense, y las protecciones del GDPR solo se extienden hasta donde lo permite la ley de EE. UU.
Cómo la arquitectura de cifrado de acceso cero mitiga la exposición a la CLOUD Act
Si su proveedor de almacenamiento en la nube está sujeto a la jurisdicción de EE. UU. y las fuerzas del orden de EE. UU. exigen acceso a sus datos (con motivos legales legítimos), ni usted ni su proveedor pueden impedirlo. En este punto, la única defensa de sus datos es el cifrado.
El cifrado hace que los datos sean ilegibles e inutilizables tanto para los ciberdelincuentes como para los gobiernos, transformándolos en «texto cifrado» que solo alguien con la clave correcta puede leer.
Sin embargo, el cifrado que ofrecen la mayoría de los proveedores de nube estadounidenses viene con una advertencia fatal: ellos mismos conservan las claves de descifrado. Eso significa que pueden leer sus datos, o ser obligados a entregar una copia legible a un tercero, como las fuerzas del orden de EE. UU.
Para obtener una protección real contra la exposición de datos de archivos y mensajes, ya sea a ciberdelincuentes o gobiernos, necesita cifrado de extremo a extremo o cifrado de acceso cero, que impide que el proveedor acceda a los datos.
Un proveedor que utiliza cifrado de acceso cero no tiene la clave para descifrar los archivos que maneja y almacena en sus servidores. Aun así, puede verse obligado a divulgar datos cuando las fuerzas del orden lo exijan, incluso si los datos se almacenan en una jurisdicción que aplica un estándar estricto de protección de datos, como Suiza. Pero los archivos entregados estarían cifrados y serían ilegibles.
Cómo Proton protege a las empresas de la CLOUD Act
Proton está protegido de la CLOUD Act de dos maneras clave:
- Jurisdicción suiza, que limita quién puede obligar a Proton a entregar datos
- Y cifrado fuerte, que limita lo que pueden hacer con lo que Proton entregue
Proton tiene su sede en Ginebra, Suiza, fuera de la jurisdicción de EE. UU. y del alcance de las órdenes de la CLOUD Act. Las autoridades de EE. UU. tampoco pueden recurrir a un atajo bilateral: Suiza no es parte de ningún acuerdo ejecutivo de la CLOUD Act.
Esto no elimina por completo el proceso legal. Suiza tiene su propio marco de asistencia legal mutua, que permite a las autoridades suizas cooperar con investigaciones extranjeras. Pero cualquier solicitud debe cumplir primero con la ley suiza, bajo los tribunales suizos; no puede ser una orden judicial notificada directamente al proveedor.
El historial legal de Proton demuestra que estamos dispuestos y somos capaces de impugnar la ley suiza. En 2020, impugnamos una ley suiza de retención de datos que creíamos que era un intento impropio de utilizar las leyes de telecomunicaciones para socavar la privacidad. En 2021, el Tribunal Administrativo Federal dictaminó que los servicios de correo electrónico no son proveedores de telecomunicaciones y, por lo tanto, no están sujetos a los requisitos de retención de la ley.
E incluso una orden suiza exitosa tiene límites sobre lo que puede obtener. El cifrado de extremo a extremo y de acceso cero de Proton significa que el contenido de los mensajes y los archivos son ilegibles para el propio Proton, y no hay clave que entregar, sin importar quién lo solicite. El contenido de sus correos electrónicos, documentos, archivos y otros datos permanece fuera de alcance.
Preguntas frecuentes sobre la CLOUD Act
¿La CLOUD Act anula el GDPR?
La Ley CLOUD no anula el GDPR, pero sí entra en conflicto con él. Una orden de la Ley CLOUD puede poner a un proveedor estadounidense en una posición en la que cumplirla vulnera el artículo 48 del GDPR (no hay reconocimiento automático de una orden extranjera sin un acuerdo internacional). Ninguna de las dos leyes cede ante la otra, y el proveedor (y cualquier empresa europea a la que sirva) queda atrapado entre ambas.
¿La Ley CLOUD es solo para empresas estadounidenses?
La Ley CLOUD no solo se aplica a empresas con sede en Estados Unidos o controladas por una empresa matriz estadounidense. También alcanza a cualquier proveedor con suficiente presencia legal o nexo comercial en Estados Unidos. Una subsidiaria en Estados Unidos, personal u oficinas con base en Estados Unidos, o empresas dirigidas intencionalmente a clientes estadounidenses pueden ser suficientes para que una organización con sede fuera de Estados Unidos quede dentro del alcance de la Ley CLOUD.
¿Puedo rechazar una solicitud de la Ley CLOUD?
El cliente (responsable del tratamiento) generalmente no es el que recibe la notificación, sino el proveedor. El proveedor puede plantear una impugnación por cortesía si cumplir con la solicitud infringe la ley extranjera, o rechazarla si es legalmente deficiente. Pero si se agotan los recursos legales y la orden sigue siendo válida, el proveedor se vería obligado a cumplir.
¿Cuál es la diferencia entre la Ley CLOUD y un MLAT?
Cuando se solicitan pruebas digitales a través de un Tratado de Asistencia Legal Mutua (MLAT), esta solicitud es revisada judicialmente, un proceso minucioso y lento. Los acuerdos ejecutivos activados por la Ley CLOUD permiten a las autoridades eludir el proceso del MLAT si solicitan datos de un país socio. Hasta ahora, solo el Reino Unido y Australia tienen acuerdos ejecutivos con Estados Unidos.
¿La encriptación detiene las solicitudes de la Ley CLOUD?
La encriptación no detiene una orden legal, pero si un proveedor almacena los datos de los clientes con cifrado de extremo a extremo o cifrado de acceso cero, no tendrá datos legibles que entregar a las autoridades porque no tiene las claves de descifrado. Por lo tanto, solo entregaría archivos cifrados.
