Si tu proveedor de nube tiene su sede en EE. UU., una orden judicial estadounidense válida puede obligar a esa empresa a recuperar los datos de tu empresa de servidores ubicados en cualquier parte del mundo.
Empresas como Google, Microsoft y Amazon son vulnerables a esta intromisión, posible gracias a la CLOUD Act, una ley de 2018 que otorga a las fuerzas del orden estadounidenses tentáculos globales.
Es especialmente problemático para las empresas de la UE. Si tu proveedor estadounidense entrega tus correos electrónicos o tus archivos, eso podría constituir una infracción del RGPD por filtrar datos personales, lo que puede acarrear sanciones de hasta 20 millones de euros o el 4 % de los ingresos anuales globales, si esta cifra es mayor.
Esa es la realidad que ocultan las empresas estadounidenses cuando dicen «conforme a la RGPD» y «nube soberana europea» en su marketing. El centro de datos en la UE de un proveedor estadounidense sigue gestionado por una empresa sujeta a la jurisdicción estadounidense. Para tu empresa, esto significa que las decisiones de compra conllevan una responsabilidad de cumplimiento que quizá no hayas tenido en cuenta. Para tus clientes, significa que los datos personales que te confiaron pueden acabar en un proceso legal en el que no tienen voz (y del que puede que ni siquiera lleguen a enterarse).
Aquí tienes una explicación sencilla de la CLOUD Act, por qué esta legislación invasiva es importante para las empresas y cómo limitar tu exposición. El lugar donde se encuentran tus datos ya no determina quién puede acceder a ellos.
¿Qué es la CLOUD Act?
La Ley de Aclaración del Uso Legal de Datos en el Extranjero (CLOUD Act(ventana nueva)) es una ley federal estadounidense que entró en vigor en 2018. Permite a las fuerzas del orden federales (principalmente el Departamento de Justicia y el FBI, pero también las policías federal, estatal y local) obtener una orden de registro, una orden judicial o una citación que obligue a las empresas tecnológicas sujetas a la jurisdicción estadounidense a entregar datos, independientemente de dónde se almacenen físicamente en el mundo.
Por ejemplo, si el FBI obtiene una orden judicial que obligue a Microsoft a entregar los correos electrónicos de una empresa europea, Microsoft debe cumplirla, aunque un tribunal europeo no esté de acuerdo con la solicitud.
La CLOUD Act tiene un propósito policial legítimo. Está diseñada para ayudar a las fuerzas del orden federales a investigar delitos graves como el terrorismo, la explotación infantil y la ciberdelincuencia. No está diseñada para la recopilación de inteligencia, que se canaliza a través de una autoridad estadounidense distinta (la Sección 702 de la FISA), a menudo confundida con ella.
Ese propósito legítimo no elimina, sin embargo, el problema estructural para las empresas: la CLOUD Act puede poner a un proveedor sujeto a la jurisdicción estadounidense en una situación en la que cumplir una orden legítima de EE. UU. implica infringir la legislación de la UE. Deja a las empresas atrapadas entre dos regímenes de cumplimiento sin forma de satisfacer ambos.
¿Cuál es el origen de la CLOUD Act?
El Gobierno de EE. UU. aprobó la CLOUD Act en 2018 para modificar la Stored Communications Act (SCA) de 1986. Esta modificación fue, en gran medida, una respuesta a un caso judicial en curso(ventana nueva), el caso «Microsoft-Irlanda».
En 2013, Microsoft impugnó una orden judicial federal que exigía los correos electrónicos de un cliente investigado por tráfico de drogas, correos que Microsoft almacenaba en servidores de Irlanda. El caso giraba en torno a una compleja cuestión jurídica: ¿podía una orden estadounidense emitida en virtud de la SCA alcanzar comunicaciones digitales controladas por una empresa con sede en EE. UU., pero almacenadas en un servidor de datos fuera del país?
En 2018, el caso estaba pendiente de apelación ante el Tribunal Supremo cuando el Congreso de EE. UU. aprobó la CLOUD Act. Esto dejó sin objeto el caso «Microsoft-Irlanda» y resolvió la cuestión de los poderes extraterritoriales del Gobierno estadounidense sobre los datos almacenados en suelo extranjero, al menos sobre el papel.
¿Qué poderes otorga la CLOUD Act al Gobierno de EE. UU.?
La CLOUD Act facultó al Gobierno de EE. UU. para solicitar datos concretos, dondequiera que estuvieran almacenados, reforzando las órdenes extraterritoriales de la SCA dirigidas a proveedores estadounidenses. La ley aclaró que las fuerzas del orden estadounidenses pueden usar órdenes de registro, citaciones y órdenes judiciales para acceder a datos de comunicaciones almacenados electrónicamente que se encuentren fuera de EE. UU., si el proveedor de almacenamiento está sujeto a la jurisdicción estadounidense y los datos solicitados son pertinentes y relevantes para una investigación penal en curso. Una solicitud en virtud de la CLOUD Act va directamente al proveedor, evitando el proceso mucho más lento del MLAT (Tratado de Asistencia Jurídica Mutua)(ventana nueva) en el que el Gobierno de EE. UU. confiaba anteriormente.
La CLOUD Act también facultó a los gobiernos dispuestos a firmar un acuerdo ejecutivo bilateral con el Gobierno de EE. UU., lo que permitiría a las fuerzas del orden de los países socios realizar solicitudes directas y transfronterizas de datos, específicas para cada caso, a proveedores de servicios con sede en EE. UU.
Los acuerdos ejecutivos aceleran la recopilación de pruebas en casos penales graves como el terrorismo y la explotación infantil, en los que el proceso del MLAT podría tardar meses. En el momento de redactar este artículo, solo existen dos acuerdos ejecutivos: entre EE. UU. y el Reino Unido (entró en vigor en octubre de 2022(ventana nueva)) y entre EE. UU. y Australia (entró en vigor en enero de 2024(ventana nueva)). Se han iniciado negociaciones entre el Gobierno de EE. UU. y la UE y Canadá(ventana nueva), pero aún no han concluido.
Los proveedores tecnológicos sí cuentan con un mecanismo de seguridad: pueden impugnar o pedir que se modifique una orden estadounidense invocando la «comity» (el principio jurídico por el cual los tribunales se remiten a las leyes de otras jurisdicciones) si cumplirla implicaría infringir una ley extranjera, en particular una amparada por un acuerdo ejecutivo. Fuera del Reino Unido y Australia, este recurso de «comity» del common law es la única opción disponible.
Sin embargo, como argumenta el Electronic Privacy Information Center (EPIC)(ventana nueva), incluso con la «comity», la CLOUD Act deja a los clientes, incluidas las empresas, con muy pocos recursos reales. No se exige a los proveedores que notifiquen a un cliente cuyos datos se han consultado, los clientes no tienen derecho independiente a impugnar una solicitud (eso depende enteramente de que el proveedor decida oponerse) y los acuerdos ejecutivos excluyen explícitamente la creación de cualquier nuevo recurso para las personas afectadas.
La CLOUD Act frente al RGPD
En Europa, donde la propia investigación de Proton muestra que más del 74 % de todas las empresas que cotizan en bolsa dependen de servicios tecnológicos con sede en EE. UU., la CLOUD Act preocupa especialmente porque choca con el Reglamento General de Protección de Datos (RGPD) de la UE.
Según el artículo 48(ventana nueva) del RGPD, una orden de un tribunal extranjero o una decisión de una autoridad administrativa (incluida una orden de la SCA) de transferir o divulgar datos personales no se reconocerá ni se ejecutará automáticamente en la UE, salvo que se dicte en virtud de un acuerdo internacional, como un MLAT.
Aunque no ha habido ningún caso de multa del RGPD a una empresa relacionada con una orden de la CLOUD Act, existe un precedente de reguladores que actúan ante esta categoría de riesgo: en 2023, la Comisión de Protección de Datos de Irlanda multó a Meta con la cifra récord de 1200 millones de euros(ventana nueva) por transferencias entre la UE y EE. UU. expuestas a la ley de vigilancia estadounidense, en concreto la Sección 702 de la FISA, no la CLOUD Act.
Para los proveedores de nube con sede en EE. UU., esto significa que, si el Gobierno estadounidense solicita datos que ellos tratan pero que controlan empresas europeas, cumplir con la CLOUD Act podría implicar infringir el RGPD. Según el artículo 28(ventana nueva), el proveedor (encargado del tratamiento) solo puede actuar siguiendo las instrucciones documentadas del responsable del tratamiento, y «divulgar datos a un gobierno extranjero» no figura entre esas instrucciones.
La exposición no se limita al proveedor. Si el proveedor divulga los datos de un cliente en respuesta a una orden obligatoria sin la base de acuerdo internacional que exige el artículo 48 (lo que, dado que actualmente no existe ningún acuerdo ejecutivo de la CLOUD Act entre EE. UU. y la UE, significa un MLAT), la empresa propietaria de esos datos asume su propia responsabilidad, y no solo el proveedor al que contrató para almacenarlos.
Por qué la ubicación de los datos no significa soberanía sobre los datos
En junio de 2025(ventana nueva), al propio director de asuntos públicos y jurídicos de Microsoft Francia, Anton Carniaux, se le preguntó bajo juramento en el Senado francés(ventana nueva) si podía garantizar que los datos de los ciudadanos franceses nunca se entregarían a las autoridades estadounidenses sin el consentimiento de Francia.
Su respuesta: «No. No puedo garantizarlo». Añadió que «nunca ha ocurrido antes», lo que, por supuesto, no significa que no pueda ocurrir en el futuro.
El mensaje era claro: la soberanía de los datos ya no depende de dónde se almacenan, sino de quién controla esos datos. La ubicación de tus servidores de datos y los gobiernos que tienen autoridad sobre ellos ya no son necesariamente lo mismo.
Este hecho resulta incómodo junto a las ofertas de nube «conformes con el RGPD» que los gigantes estadounidenses de la nube (o «hyperscalers») comercializan entre las empresas europeas. Estos productos de «nube soberana europea» están gestionados por empresas con sede en EE. UU., o controladas por una matriz estadounidense, y las protecciones del RGPD solo llegan hasta donde lo permite la legislación estadounidense.
Cómo la arquitectura de cifrado de acceso cero mitiga la exposición a la CLOUD Act
Si tu proveedor de almacenamiento en la nube está sujeto a la jurisdicción estadounidense y las fuerzas del orden de EE. UU. exigen acceso a tus datos (con motivos legales legítimos), ni tú ni tu proveedor podéis impedirlo. Llegados a este punto, la única defensa de tus datos es el cifrado.
El cifrado hace que los datos sean ilegibles e inutilizables tanto para los ciberdelincuentes como para los gobiernos, transformándolos en «texto cifrado» que solo puede leer quien tiene la clave correcta.
Sin embargo, el cifrado que ofrecen la mayoría de los proveedores de nube estadounidenses tiene un inconveniente fatal: conservan ellos mismos las claves de descifrado. Eso significa que pueden leer tus datos, o verse obligados a entregar una copia legible a un tercero, como las fuerzas del orden estadounidenses.
Para proteger de verdad los datos de archivos y mensajes frente a ciberdelincuentes o gobiernos, necesitas el cifrado de extremo a extremo o el cifrado de acceso cero, que impide que el proveedor acceda a los datos.
Un proveedor que utiliza cifrado de acceso cero no tiene la clave para descifrar los archivos que gestiona y almacena en sus servidores. Puede que aun así se le obligue a divulgar datos cuando las fuerzas del orden lo exijan, incluso si los datos se almacenan en una jurisdicción que aplica un estándar estricto de protección de datos, como Suiza. Pero los archivos entregados estarían cifrados y serían ilegibles.
Cómo protege Proton a las empresas frente a la CLOUD Act
Proton está protegido frente a la CLOUD Act de dos maneras clave:
- La jurisdicción suiza, que limita quién puede obligar a Proton a entregar datos
- Y un cifrado sólido, que limita lo que pueden hacer con lo que Proton entregue
Proton tiene su sede en Ginebra (Suiza), fuera de la jurisdicción estadounidense y del alcance de las órdenes de la CLOUD Act. Las autoridades estadounidenses tampoco pueden recurrir a un atajo bilateral: Suiza no es parte de ningún acuerdo ejecutivo de la CLOUD Act.
Esto no elimina por completo los procesos legales. Suiza tiene su propio marco de asistencia jurídica mutua, que permite a las autoridades suizas cooperar con investigaciones extranjeras. Pero cualquier solicitud debe superar primero la legislación suiza, ante los tribunales suizos; no puede ser una orden notificada directamente al proveedor.
El historial jurídico de Proton demuestra que estamos dispuestos y somos capaces de impugnar la legislación suiza. En 2020, impugnamos una ley suiza de conservación de datos que considerábamos un intento improcedente de utilizar las leyes de telecomunicaciones para socavar la privacidad. En 2021, el Tribunal Administrativo Federal dictaminó que los servicios de correo electrónico no son proveedores de telecomunicaciones y, por lo tanto, no están sujetos a los requisitos de conservación de la ley.
E incluso una orden suiza exitosa tiene límites sobre lo que puede obtener. El cifrado de extremo a extremo y de acceso cero de Proton hace que el contenido de los mensajes y los archivos sean ilegibles para el propio Proton, y no hay ninguna clave que entregar, sea quien sea el que la solicite. El contenido de tus correos electrónicos, documentos, archivos y otros datos permanece fuera de su alcance.
Preguntas frecuentes sobre la CLOUD Act
¿Prevalece la CLOUD Act sobre el RGPD?
La CLOUD Act no prevalece sobre el GDPR, pero sí entra en conflicto con él. Una orden de la CLOUD Act puede poner a un proveedor estadounidense en la tesitura de que cumplirla vulnere el artículo 48 del GDPR (no se reconoce automáticamente una orden extranjera sin un acuerdo internacional). Ninguna de las dos leyes cede ante la otra, y el proveedor (y cualquier empresa europea a la que preste servicio) queda atrapado entre ambas.
¿La CLOUD Act se aplica solo a las empresas estadounidenses?
La CLOUD Act no se aplica solo a las empresas con sede en EE. UU. ni a las controladas por una empresa matriz estadounidense. También alcanza a cualquier proveedor con suficiente presencia jurídica o vínculo comercial en EE. UU. Una filial estadounidense, personal u oficinas en EE. UU., o empresas dirigidas deliberadamente a clientes estadounidenses pueden bastar para que una organización con sede fuera de EE. UU. quede dentro del ámbito de la CLOUD Act.
¿Puedo rechazar una solicitud de la CLOUD Act?
Por lo general, la orden no se notifica al cliente (el responsable del tratamiento), sino al proveedor. El proveedor puede plantear una objeción por cortesía internacional («comity») si cumplirla infringe la legislación extranjera, o negarse si la solicitud presenta deficiencias jurídicas. Pero si se agotan las vías de recurso legales y la orden sigue siendo válida, el proveedor se vería obligado a cumplirla.
¿Qué diferencia hay entre la CLOUD Act y un MLAT?
Cuando se solicitan pruebas digitales a través de un tratado de asistencia jurídica mutua (MLAT), la solicitud pasa por una revisión judicial, un proceso exhaustivo y lento. Los acuerdos ejecutivos habilitados por la CLOUD Act permiten a las fuerzas del orden eludir el proceso del MLAT cuando solicitan datos a un país asociado. Hasta la fecha, solo el Reino Unido y Australia tienen acuerdos ejecutivos con EE. UU.
¿El cifrado detiene las solicitudes de la CLOUD Act?
El cifrado no detiene una orden judicial, pero si un proveedor almacena los datos de los clientes con cifrado de extremo a extremo o cifrado de acceso cero, no tendrá ningún dato legible que entregar a las autoridades, porque no dispone de las claves de descifrado. Por lo tanto, solo entregaría archivos cifrados.
