"Necesitamos residencia de datos en la UE" es una de las frases más habituales en los cuestionarios de proveedores de bancos y aseguradoras europeos. También es una de las peor entendidas. Ningún reglamento de la UE obliga a una entidad financiera a mantener todos sus datos dentro de la Unión Europea. Lo que la ley sí exige es más concreto: el RGPD establece normas para transferir datos personales fuera de la UE, y DORA le exige saber, documentar y fijar por contrato dónde tratan y almacenan los datos sus proveedores de TIC.

Este artículo separa las obligaciones legales de la decisión de negocio. Explica lo que realmente dicen el RGPD, DORA y NIS2, en qué casos el alojamiento en la UE le facilita las cosas y qué preguntas debe plantear a cualquier herramienta de cumplimiento antes de confiarle sus evidencias de auditoría.

Residencia, localización y soberanía: tres conceptos distintos

Estos términos se confunden con frecuencia, por lo que conviene definirlos primero.

Residencia de datos es el lugar donde se almacenan los datos. "Residencia de datos en la UE" suele significar que el proveedor almacena sus datos en centros de datos situados en la UE.
Localización de datos es una exigencia legal de que los datos permanezcan en un país o región. El Derecho de la UE contiene muy pocas exigencias de este tipo para el sector privado. El RGPD y DORA no contienen ninguna.
Soberanía de datos se refiere a qué ordenamiento jurídico puede acceder a los datos. Un servidor en Fráncfort gestionado por una empresa que debe obedecer a una autoridad extranjera está ubicado en la UE, pero no es plenamente soberano.

La mayoría de las afirmaciones de los proveedores se refieren a la residencia. La mayoría de los riesgos reales tienen que ver con las transferencias y el acceso. Tenga presente esta diferencia durante el resto del artículo.

Lo que exige realmente el RGPD

El RGPD no dice dónde deben almacenarse los datos personales. El capítulo V (artículos 44 a 50) establece cuándo pueden transferirse datos personales a un país situado fuera del Espacio Económico Europeo. Una transferencia es lícita si se da una de estas condiciones:

Una decisión de adecuación (artículo 45). La Comisión Europea ha decidido que el país ofrece un nivel de protección esencialmente equivalente. Desde julio de 2023, esto incluye a las organizaciones estadounidenses certificadas conforme al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework).
Garantías adecuadas (artículo 46), en la mayoría de los casos las Cláusulas Contractuales Tipo (CCT), o normas corporativas vinculantes (artículo 47) dentro de un grupo empresarial.
Una excepción (artículo 49) para situaciones específicas, como el consentimiento explícito. Estas excepciones son limitadas y no están pensadas para transferencias habituales.

Desde la sentencia Schrems II del Tribunal de Justicia (C-311/18, julio de 2020), que anuló el antiguo Privacy Shield, las CCT por sí solas no siempre son suficientes. Debe evaluar si la legislación del país de destino las socava y, en ese caso, añadir medidas complementarias. Esta es la evaluación de impacto de las transferencias.

Incumplir las normas sobre transferencias sale caro. Según el artículo 83, apartado 5, letra c), las multas pueden alcanzar los 20 millones de EUR o el 4 por ciento del volumen de negocio anual global, si esta cifra es superior. Pero fíjese en el motivo de la multa: una transferencia ilícita, no el simple hecho de que un servidor se encuentre fuera de la UE.

Lo que exige realmente DORA

El Reglamento de Resiliencia Operativa Digital (Reglamento (UE) 2022/2554) se aplica desde el 17 de enero de 2025. No contiene ninguna norma de residencia de datos. Sí contiene varias obligaciones relativas a la ubicación de los datos:

Artículo 30, apartado 2, letra b): todo contrato de servicios TIC debe indicar las regiones o países donde se prestan los servicios y donde se tratan los datos, incluida la ubicación del almacenamiento. El proveedor debe informarle con antelación si tiene previsto cambiarlos.
Artículo 28, apartado 3: debe mantener un registro de información sobre todos los acuerdos contractuales con proveedores terceros de servicios TIC. Los supervisores lo utilizan para ver de quién dependen sus funciones críticas y dónde.
Artículo 29: antes de firmar, usted evalúa el riesgo de concentración, incluidas las cadenas largas de subcontratación y los proveedores establecidos en terceros países.
Artículo 28, apartado 8: para los servicios que respaldan funciones críticas o importantes, necesita una estrategia de salida.
Artículo 31, apartado 12: solo puede utilizar un proveedor de TIC que las Autoridades Europeas de Supervisión designen como crítico y que esté establecido fuera de la UE si este constituye una filial en la Unión en un plazo de 12 meses. Esto se refiere al establecimiento jurídico del proveedor, no al lugar donde se almacenan sus datos.

Las autoridades nacionales competentes pueden imponer sanciones administrativas y medidas correctoras por los incumplimientos (artículo 50). En la práctica, la conclusión habitual no es "datos almacenados en el lugar equivocado", sino "usted no sabía o no documentó dónde se almacenan y no evaluó el riesgo".

Lo que exige NIS2

NIS2 (Directiva (UE) 2022/2555) pide a las entidades esenciales e importantes que gestionen la seguridad de la cadena de suministro como parte de sus medidas de gestión de riesgos de ciberseguridad (artículo 21). Tampoco exige almacenamiento en la UE.

Entonces, ¿por qué tantos compradores piden alojamiento en la UE?

Porque elimina trabajo y riesgo, aunque ninguna ley lo imponga. En el caso concreto de una herramienta de cumplimiento, el alojamiento en la UE significa:

Menos transferencias que evaluar. Si los datos persistentes permanecen en la UE, hay menos que cubrir con CCT y evaluaciones de impacto de las transferencias.
Documentación DORA más sencilla. La entrada sobre la ubicación en su contrato y en su registro es breve y estable.
Menor exposición a leyes extranjeras de acceso. Los datos custodiados por un proveedor estadounidense pueden quedar sujetos, en virtud de la CLOUD Act de EE. UU., a órdenes de divulgación estadounidenses aunque se almacenen en Europa. Un proveedor de la UE con infraestructura en la UE reduce esa exposición.
Conversaciones más fáciles con supervisores y clientes. Muchos de sus propios clientes, y algunos contratos del sector público, exigen alojamiento en la UE en sus condiciones de contratación. Se trata de un requisito contractual, no legal, pero una vez firmado es igual de vinculante.

Las evidencias de cumplimiento son sensibles. Describen sus debilidades de control, sus incidentes y sus proveedores. El lugar donde se almacenan y quién puede acceder a ellas merecen el mismo examen que aplica a los datos de sus clientes.

Preguntas que debe plantear a cualquier herramienta de cumplimiento

No se quede en "¿Ofrecen residencia de datos en la UE?". Plantee en su lugar estas preguntas:

¿Dónde se almacenan los datos persistentes de los clientes, incluidas las copias de seguridad? Pida regiones, no palabras de marketing.
¿Qué subencargados tratan nuestros datos y dónde? Un proveedor serio publica la lista completa.
¿Se realiza algún tratamiento fuera de la UE? Las funciones de IA suelen utilizar proveedores de grandes modelos de lenguaje. Averigüe quiénes son, dónde operan y sobre qué base de transferencia (adecuación, CCT).
¿Podemos mantener el tratamiento de IA en la UE si lo necesitamos?
¿Qué incluirán en el contrato? Compruebe que las respuestas anteriores figuran en el acuerdo, como exige el artículo 30, apartado 2, letra b), de DORA, junto con una cláusula de notificación de cambios.
¿Cómo salimos? Formatos de exportación, supresión de datos y plazos para la estrategia de salida que DORA espera.

Errores comunes

Considerar que la residencia es toda la respuesta. Una herramienta puede almacenar los datos en la UE y aun así enviarlos a otro lugar para su tratamiento. Pregunte por el tratamiento, no solo por el almacenamiento.
Olvidar a los subcontratistas. Los proveedores de su proveedor también cuentan. La evaluación del riesgo de concentración de DORA abarca expresamente las cadenas de subcontratación.
Confiar en las CCT sin una evaluación. Tras Schrems II, debe documentar por qué las cláusulas funcionan para ese destino.
Dejar las ubicaciones fuera del contrato. Con DORA, esto constituye en sí mismo una deficiencia de cumplimiento, aunque el sitio web del proveedor diga lo correcto.
Pasar por alto las copias de seguridad y la recuperación ante desastres. Las regiones de copia de seguridad también son ubicaciones de datos.

La posición de Matproof

Matproof es una plataforma de automatización del cumplimiento para los servicios financieros de la UE. Para ser concretos sobre nuestra propia configuración:

Los datos persistentes de los clientes, incluidas sus evidencias de auditoría, se alojan en Alemania.
Nuestras funciones de IA estándar utilizan OpenAI y Anthropic, que son proveedores estadounidenses, al amparo de Cláusulas Contractuales Tipo. Los clientes regulados pueden activar una opción UE que mantiene el tratamiento de IA en la UE.
La lista completa de subencargados, con sus ubicaciones, está publicada en nuestra página de privacidad.

Preferimos que usted lo compruebe a que confíe en un eslogan.

Primeros pasos

Mapee sus flujos de datos en sus herramientas de cumplimiento y GRC: qué datos van a dónde, tanto almacenados como tratados.
Actualice su registro de información con las ubicaciones que encuentre y señale las lagunas.
Revise cada contrato de TIC en busca de cláusulas de ubicación y de notificación de cambios.
Revise las bases de transferencia de cualquier tratamiento fuera del EEE y realice evaluaciones de impacto de las transferencias cuando se utilicen CCT.
Decida dónde es un requisito para usted el alojamiento en la UE, en función de los contratos de sus clientes y de su apetito de riesgo, y conviértalo en un criterio de selección en lugar de una suposición.

Preguntas frecuentes

P: ¿Nos obliga el RGPD a almacenar los datos personales en la UE?
No. El RGPD regula las transferencias de datos personales a países situados fuera del EEE (capítulo V). Las transferencias son lícitas con una decisión de adecuación, con garantías adecuadas como las Cláusulas Contractuales Tipo o con normas corporativas vinculantes.

P: ¿Exige DORA la residencia de datos en la UE?
No. DORA exige que los contratos de TIC indiquen dónde se prestan los servicios y dónde se tratan y almacenan los datos (artículo 30, apartado 2, letra b)), un registro de información (artículo 28, apartado 3) y una evaluación del riesgo de terceros países y de concentración (artículo 29).

P: ¿Basta el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) para las herramientas estadounidenses?
Es una base de transferencia válida desde julio de 2023, pero solo para las organizaciones estadounidenses certificadas conforme a él. Compruebe la certificación y tenga en cuenta que los marcos anteriores (Safe Harbor, Privacy Shield) fueron anulados por el Tribunal de Justicia.

P: ¿Cuáles son las sanciones?
Las transferencias ilícitas de datos personales pueden sancionarse con multas de hasta 20 millones de EUR o el 4 por ciento del volumen de negocio anual global según el artículo 83, apartado 5, del RGPD. Con DORA, las autoridades nacionales establecen sanciones administrativas y medidas correctoras por deficiencias en la gestión del riesgo de terceros proveedores de TIC (artículo 50).

P: ¿Sigue mereciendo la pena el alojamiento en la UE?
A menudo, sí. Reduce las evaluaciones de transferencias, simplifica la documentación de DORA y cumple las condiciones de contratación que fijan muchos clientes. Trátelo como una decisión deliberada respaldada por su evaluación de riesgos, no como una obligación legal.

Conclusiones clave

Ninguna ley de la UE obliga a las entidades financieras a mantener todos sus datos en la UE.
El RGPD regula las transferencias de datos personales fuera del EEE. DORA exige ubicaciones de datos documentadas y fijadas por contrato, así como una evaluación de riesgos.
El alojamiento en la UE es una opción sólida para datos sensibles como las evidencias de cumplimiento, porque reduce las transferencias, el riesgo de acceso extranjero y el esfuerzo de documentación.
Pregunte a los proveedores por el almacenamiento, el tratamiento, los subencargados y la IA, e incorpore las respuestas al contrato.

Para una evaluación gratuita de su configuración de cumplimiento, visite https://matproof.com/contact.

Lecturas relacionadas

¿Listo para dar el paso? Matproof realiza pruebas de penetración con IA y supervisión de cumplimiento de forma continua. Reserva una demo.

Residencia de datos en la UE: qué exige la ley y cuándo aporta valor

Índice