Requisitos de alojamiento en la UE para transferencias en 2026

Los requisitos de alojamiento en la UE para servicios de transferencia de archivos en 2026 acumulan múltiples normas superpuestas. El RGPD, en sus capítulos IV y V, establece las obligaciones de los encargados del tratamiento y las transferencias internacionales. El Reglamento de Datos (2023/2854), aplicable desde el 12 de septiembre de 2025, añade derechos de cambio de proveedor e interoperabilidad. El esquema EUCS en elaboración bajo la Ley de Ciberseguridad introduce la soberanía en los niveles de certificación cloud. La Directiva NIS2 suma obligaciones de ciberseguridad adicionales. Las normativas nacionales, como SecNumCloud en Francia o C5 en Alemania, se añaden encima. El resultado práctico: un proveedor de transferencia de archivos que sirva a clientes de la UE necesita infraestructura ubicada en la UE, contratos de tratamiento bajo derecho europeo y protección documentada frente a órdenes coercitivas extranjeras.

La ubicación del servidor no lo es todo

Muchos proveedores anuncian "alojamiento en la UE" mientras se apoyan en una región cloud de matriz estadounidense en Fráncfort o Dublín. Esa ubicación satisface solo parcialmente la residencia de datos exigida por el RGPD. La sentencia Schrems II del TJUE (C-311/18) dejó claro que lo que importa es la exposición jurídica del proveedor, no la geografía de los bytes. Una empresa matriz estadounidense con una región en Fráncfort puede ser compelida bajo la US CLOUD Act. Para muchos clientes europeos, especialmente en sectores regulados, eso genera un problema de evaluación de impacto de la transferencia. Las Recomendaciones 01/2020 del Comité Europeo de Protección de Datos y sus actualizaciones posteriores son claras: hay que analizar el derecho del país donde el proveedor puede ser legalmente compelido, no solo donde se sitúa el servidor.

El artículo 28 del RGPD y el contrato con el encargado

Cualquier proveedor de transferencia de archivos que trate datos personales para un responsable de la UE debe firmar un Acuerdo de Tratamiento de Datos que cumpla el artículo 28.3 del RGPD. El acuerdo debe especificar el objeto y la duración del tratamiento, su naturaleza y finalidad, los tipos de datos personales, las categorías de interesados, y las obligaciones y derechos del responsable. Debe comprometer al encargado en condiciones concretas: actuar solo conforme a instrucciones, garantizar la confidencialidad del personal, aplicar las medidas de seguridad del artículo 32, facilitar auditorías, devolver o suprimir los datos al término y gestionar subencargados con autorización previa. Los acuerdos incompletos o deficientes son el hallazgo más frecuente en las inspecciones de la AEPD y de otras autoridades supervisoras europeas en 2024-2025.

Transferencias transfronterizas tras Schrems II

Desde julio de 2023, el Marco de Privacidad de Datos UE-EE.UU. ofrece una vía de adecuación válida para los importadores de datos estadounidenses que se autocertifiquen. Sin embargo, el marco se enfrenta a impugnaciones judiciales y la historia sugiere que podría producirse una nueva sentencia Schrems. Para los proveedores de transferencia que enruten datos fuera del EEE, el camino más seguro es multicapa: apoyarse en el marco cuando sea aplicable, respaldarlo con las Cláusulas Contractuales Tipo de 2021 y realizar una Evaluación de Impacto de la Transferencia que documente el régimen jurídico del país de destino y las medidas adicionales —cifrado de extremo a extremo, seudonimización, custodia de clave dividida— que protegen los datos. Muchos compradores en 2026 exigen directamente rutas exclusivamente europeas para evitar ese análisis.

Las reglas de cambio de proveedor del Reglamento de Datos

El Reglamento de Datos, aplicable desde el 12 de septiembre de 2025, otorga a los clientes de la UE derechos exigibles para cambiar de proveedor cloud y llevarse sus datos. Los artículos 23 a 31 se dirigen específicamente a los servicios de tratamiento de datos, exigiendo la eliminación de obstáculos al cambio, la limitación de cargos —que deberán reducirse a cero a partir del 12 de enero de 2027— y la portabilidad de datos en formatos estructurados, de uso generalizado y legibles por máquina. Para los servicios de transferencia que conservan archivos de clientes o datos de inquilinos, la obligación consiste en habilitar la exportación de metadatos de cuenta, archivos subidos y configuración en formatos como ZIP, JSON y CSV. Los proveedores sin herramientas de exportación funcionales se exponen a acciones de ejecución.

El EUCS y los niveles de soberanía

El Esquema Europeo de Certificación de la Ciberseguridad para Servicios en la Nube (EUCS) se lleva elaborando bajo la coordinación de ENISA desde 2020 y se espera que se apruebe en 2026, pendiente de resolver los debates sobre el alcance. Define cuatro niveles de garantía: Básico, Sustancial, Alto y potencialmente Alto+ con criterios de soberanía similares a los de SecNumCloud. Para los proveedores de transferencia que apunten a compradores del sector público o regulado, la alineación temprana con el nivel Alto del EUCS será una necesidad competitiva. Países como Francia, Italia y España han defendido criterios explícitos de inmunidad en el nivel superior; otros, como Alemania e Irlanda, prefieren únicamente controles técnicos. El texto definitivo determinará qué significa la "soberanía cloud" en la práctica.

Localización de datos en sectores específicos

Más allá de las normas horizontales, varios sectores imponen localización. El esquema HDS francés para datos sanitarios exige alojamientos certificados. Los estándares del BSI alemán para datos de salud y ciertas cargas de trabajo federales requieren infraestructura certificada C5. El marco AgID italiano para la administración pública ordena la localización italiana o europea para datos clasificados y sensibles. El ENS español en nivel Alto establece baremos equivalentes. Cuando un proveedor de transferencia sirve a compradores multinacionales, satisfacer la norma sectorial más estricta de toda su base de clientes suele condicionar la arquitectura. El camino más económico es a menudo alojar todo en Francia o Alemania bajo contratos europeos estrictos, en lugar de fragmentar la geografía por cliente.

Obligaciones NIS2 para los proveedores de alojamiento

La NIS2 clasifica los servicios de computación en nube y los servicios de centros de datos como infraestructura digital crítica. Los proveedores de transferencia de archivos que caigan en estas categorías deben implantar las medidas de ciberseguridad del artículo 21, notificar incidentes en 24 horas al CSIRT nacional —en España, el CCN-CERT o el INCIBE-CERT según el sector— y cumplir las obligaciones sobre cadena de suministro. La intersección con el alojamiento: los proveedores no pueden afirmar cumplir NIS2 si sus subencargados no cumplen igualmente. Un servicio de transferencia apoyado en un backend no conforme hereda la deficiencia. Las revisiones de riesgo en la cadena de suministro son ya práctica habitual en la contratación pública europea.

Registros, auditoría y notificación de incidentes

Las expectativas de alojamiento en la UE en 2026 incluyen registros de auditoría detallados conservados durante el tiempo suficiente para dar soporte a las notificaciones de brechas en 72 horas que exige el artículo 33 del RGPD. Para la transferencia de archivos, los registros mínimos cubren subidas, descargas, creación de enlaces, caducidad de enlaces y acciones administrativas. Los registros deben ser consultables por el responsable del tratamiento para investigar posibles brechas. Conservar los registros durante seis meses es lo habitual; los clientes del sector financiero o sanitario pueden requerir plazos más largos. Los propios registros contienen datos personales —IPs, identificadores de usuario—, por lo que su retención y controles de acceso quedan sujetos al principio de proporcionalidad del RGPD. Guardar registros "por si acaso" más de lo necesario infringe el principio de limitación del plazo de conservación.

HexaTransfer opera sobre infraestructura de la UE con cifrado AES-256-GCM aplicado en el navegador antes de la subida, lo que significa que el texto cifrado en los servidores es inaccesible sin el fragmento del enlace. Compruébalo en https://hexatransfer.com — gratuito, sin cuenta, máximo 10 GB.

El alojamiento en la UE en 2026 no es una sola norma, sino un entramado de ellas. La ubicación del servidor importa. La jurisdicción del proveedor importa. Las condiciones contractuales importan. Las certificaciones importan. Los proveedores que se anticipan cartografían cada norma con medidas técnicas y contractuales concretas y publican una página de confianza que los compradores pueden reenviar a sus equipos de privacidad y seguridad. Los compradores, a su vez, formulan preguntas precisas en lugar de aceptar "estamos alojados en la UE" como respuesta completa.