En resumen: un SaaS «alojado en Europa» pero editado en Estados Unidos sigue expuesto al CLOUD Act. El caso Schrems II invalidó el Privacy Shield y complicó las transferencias. Para un despacho francés, el cumplimiento del RGPD ya no se limita a la ubicación de los servidores: también depende de la jurisdicción del editor. Aquí está el análisis práctico.
«Sus datos permanecen en Europa». Este es el argumento que todos los SaaS estadounidenses han ofrecido a sus clientes potenciales europeos desde 2021. Y es técnicamente cierto: su infraestructura se ejecuta en AWS Frankfurt, Azure Dublin o Google Belgium. La mentira no está en la frase, sino en lo que sugiere. Porque la ubicación de los servidores es solo una parte de la ecuación. La otra es la jurisdicción del editor, y ahí es donde el argumento se desmorona.
El CLOUD Act, explicado de forma sencilla
La Clarifying Lawful Overseas Use of Data Act fue aprobada por el Congreso estadounidense en marzo de 2018, tras una batalla legal entre Microsoft y el gobierno estadounidense sobre un correo electrónico almacenado en Dublín. Lo que dice el texto: toda empresa bajo la jurisdicción estadounidense —es decir, cualquier empresa incorporada en Estados Unidos, pero también cualquier filial y, en términos más amplios, cualquier entidad que tenga un punto de contacto sustancial con el territorio— debe proporcionar a las autoridades estadounidenses, bajo requerimiento legal, los datos que posea, independientemente de dónde estén almacenados.
En términos prácticos: si utiliza TaxDome, que es una empresa estadounidense, y las autoridades estadounidenses solicitan sus datos en el marco de una investigación, TaxDome debe cumplir. El hecho de que sus servidores estén en Fráncfort no cambia nada. El hecho de que sus clientes sean empresas francesas no cambia nada. El hecho de que usted mismo sea francés no cambia nada.
Schrems II, la decisión que lo cambió todo
En julio de 2020, el Tribunal de Justicia de la Unión Europea, tras la demanda del activista austriaco Max Schrems, invalidó el Privacy Shield, el acuerdo marco que hasta entonces regulaba las transferencias de datos personales entre la Unión Europea y los Estados Unidos. El motivo alegado: el derecho estadounidense, en particular la sección 702 de la ley FISA y el decreto presidencial 12333, autoriza una vigilancia gubernamental incompatible con las normas europeas de protección de datos.
« Las exigencias del derecho interno de los Estados Unidos, y en particular ciertos programas que permiten el acceso, por parte de las autoridades públicas de ese Estado, a los datos de carácter personal transferidos desde la Unión a dicho Estado con fines de seguridad nacional, suponen limitaciones a la protección de los datos de carácter personal que no están reguladas de manera que respondan a exigencias sustancialmente equivalentes a las requeridas en el derecho de la Unión. »
TJUE, sentencia Schrems II, 16 de julio de 2020, asunto C-311/18
Schrems II no prohibió las transferencias a los Estados Unidos. El Tribunal mantuvo la validez de las Standard Contractual Clauses, pero imponiendo que el responsable del tratamiento europeo realice una evaluación caso por caso del nivel de protección efectivo. En resumen: si transfiere datos a un subcontratista estadounidense, debe documentar un análisis de impacto, implementar medidas técnicas adicionales si es necesario y poder justificarlo en caso de inspección.
El Trans-Atlantic Data Privacy Framework de 2023: no es el fin de la historia
En julio de 2023, la Comisión Europea adoptó una nueva decisión de adecuación para Estados Unidos, basada en el Trans-Atlantic Data Privacy Framework. Este acuerdo introduce nuevas garantías por parte estadounidense y permite, en teoría, transferencias más sencillas hacia organizaciones certificadas. Es un alivio operativo para muchas empresas europeas.
Pero el marco sigue siendo frágil. Max Schrems ya ha anunciado que impugnará este nuevo acuerdo, tal como hizo con el Safe Harbor en 2015 y con el Privacy Shield en 2020. La probabilidad de que una nueva decisión Schrems III ocurra en los próximos años no es despreciable. Construir hoy su cumplimiento bajo la hipótesis de que el TDPF durará diez años es jugar con un riesgo estructural.
Lo que esto cambia para un despacho francés en 2026
Concretamente, surgen varias cuestiones para cualquier despacho que utilice un SaaS cuyo editor sea estadounidense. La primera es saber si los datos tratados son datos de carácter personal en el sentido del RGPD: para un bufete de abogados, expertos contables o corredores, la respuesta es casi siempre sí. La segunda es saber si el editor ha documentado un análisis de impacto post-Schrems II: debería haberlo hecho en su DPA actualizado. La tercera es saber si usted, como responsable del tratamiento, ha realizado su propio análisis de impacto: es algo que rara vez sucede.
En caso de una inspección de la CNIL, será este tercer análisis el que se solicite. El DPA del SaaS no es suficiente; documenta el cumplimiento del encargado del tratamiento, no el suyo. Usted debe poder demostrar que ha evaluado el riesgo de transferencia, identificado las medidas técnicas necesarias y registrado una decisión motivada.
Las Cláusulas Contractuales Tipo ya no son suficientes
Las Cláusulas Contractuales Tipo (SCC, por sus siglas en inglés), actualizadas en 2021 por la Comisión Europea, son la principal herramienta contractual para regular las transferencias fuera de la Unión Europea. Cubren las obligaciones del responsable del tratamiento y del encargado del tratamiento. Muchas empresas creen que basta con firmarlas para estar en cumplimiento. Es una interpretación errónea.
El fallo Schrems II señaló explícitamente que las SCC no son suficientes por sí mismas: es necesario, además, evaluar si el país de destino ofrece una protección efectivamente equivalente y, en caso contrario, implementar medidas suplementarias. Para los Estados Unidos, el Comité Europeo de Protección de Datos ha publicado recomendaciones que enumeran dichas medidas: cifrado de extremo a extremo controlado por el remitente, seudonimización, división de las transferencias, etc. Implementar estas medidas técnicas en una solución SaaS estadounidense «llave en mano» es técnicamente posible, pero operacionalmente complicado.
Verificar si un proveedor es realmente europeo
No siempre es fácil de comprobar. Algunas reglas de sentido común: primero, revise el aviso legal: ¿está la empresa que desarrolla el servicio registrada en el registro mercantil de un país europeo? Segundo, examine la cadena de control: ¿es el accionista último europeo? Una empresa francesa íntegramente propiedad de un fondo estadounidense puede, jurídicamente, permanecer bajo influencia estadounidense. Tercero, observe las cuentas: si el proveedor genera la mayor parte de su facturación en los Estados Unidos y tiene allí su dirección efectiva, las autoridades estadounidenses podrían tener un punto de contacto sustancial.
Pennylane, Yousign, Doctrine y Tiime son editores franceses en el sentido estricto: empresa francesa, accionistas mayoritariamente europeos y dirección francesa. Clio es canadiense: cercano a la Unión Europea pero no europeo, y sujeto a un régimen jurídico diferente al nuestro. TaxDome, SmartVault y HoneyBook son estadounidenses. Conocer estas diferencias significa dejar de tranquilizarse con un «alojado en Europa».
Cómo Client Vault responde a este riesgo estructural
Client Vault está editado por una empresa francesa, bajo dirección francesa y con accionariado europeo. El código se instala en el servidor que usted elija; por tanto, en la práctica, en un proveedor de alojamiento francés: OVH, Scaleway, Infomaniak, o2switch o su propia infraestructura. En ningún momento sus datos abandonan un perímetro que usted controla. Las autoridades estadounidenses no tienen ningún punto de contacto para ejercer presión: ni sobre el editor, ni sobre el proveedor de alojamiento, ni sobre la infraestructura.
Esta arquitectura hace obsoleto gran parte del análisis de impacto posterior a la sentencia Schrems II: no hay transferencia fuera de la Unión Europea que analizar. Es una simplificación administrativa que tiene un valor económico real en caso de una inspección de la CNIL: su expediente RGPD es más corto, más sólido y más defendible.
Para las agencias WordPress, esto es también un argumento comercial directo. Muchos de sus clientes profesionales no saben que utilizar un SaaS estadounidense les impone obligaciones adicionales de RGPD. Explicarles el riesgo y proponer una vía soberana que elimine dicho riesgo es un servicio de valor añadido que usted puede posicionar claramente.
Límites honestos
Este razonamiento no se aplica a todas las herramientas. Para las herramientas no críticas —Slack para la comunicación interna, Notion para notas de equipo, Trello para gestión de proyectos ligera—, el cálculo es diferente. El riesgo de transferencia existe, pero la sensibilidad de los datos es menor. Prohibir cualquier SaaS estadounidense para todos los usos es una respuesta excesiva que no es viable operativamente.
En cambio, para los datos profesionales críticos —documentos de expedientes, informes de pacientes, contratos de clientes, datos financieros—, el riesgo merece un análisis serio. Es en este ámbito donde la vía soberana cobra todo su sentido.
Conozcámonos
Si usted es responsable de tratamiento o DPO y la conformidad post-Schrems II le preocupa, hablemos por videoconferencia. De veinte a treinta minutos para mapear su exposición al CLOUD Act y ver cómo una vía soberana puede simplificar su evaluación de impacto.
Preguntas frecuentes
¿Qué es el CLOUD Act y a quién afecta?
Ley estadounidense de 2018 que permite a las autoridades estadounidenses solicitar datos en poder de una empresa bajo su jurisdicción, independientemente de la ubicación de los servidores. Cualquier empresa que utilice un SaaS estadounidense entra en este ámbito.
¿Un SaaS alojado en Europa cumple necesariamente con el RGPD?
No. La ubicación de los servidores es solo un criterio entre otros. La jurisdicción del proveedor, el DPA, el análisis de impacto posterior a Schrems II y las medidas técnicas suplementarias tienen tanta importancia.
¿Qué cambió en la práctica con Schrems II?
El fallo del TJUE de 2020 invalidó el Privacy Shield e impuso un análisis de impacto caso por caso para cualquier transferencia fuera de la UE. Las SCC ya no son suficientes por sí solas: es necesario documentar una decisión motivada y, si es necesario, añadir medidas técnicas.
¿Está mi despacho en riesgo por el CLOUD Act?
Sí, desde el momento en que utiliza un SaaS cuyo proveedor está sujeto a la jurisdicción estadounidense y dicho SaaS procesa datos personales de clientes. El riesgo es proporcional a la sensibilidad de los datos tratados.
¿Son suficientes las Standard Contractual Clauses?
Schrems II estableció explícitamente que no lo son por sí mismas. Se requiere una evaluación del nivel de protección efectivo y, cuando corresponda, medidas suplementarias. El Comité Europeo de Protección de Datos ha publicado recomendaciones detalladas.
¿Qué hacer si mi SaaS recibe una orden judicial estadounidense?
El proveedor está obligado a cumplir según la legislación estadounidense. Por lo general, se le notificará si el procedimiento lo permite, pero no siempre es así. La mejor protección sigue siendo la prevención estructural: no confiar datos críticos a un proveedor expuesto.
¿Cómo verificar si un proveedor es realmente europeo?
Examine las menciones legales (lugar de constitución), la cadena de control (accionistas mayoritarios) y la dirección efectiva. Una empresa francesa propiedad de un fondo estadounidense puede seguir bajo influencia estadounidense a efectos del CLOUD Act.
{«@context»:»https://schema.org»,»@type»:»Article»,»headline»:»CLOUD Act vs RGPD : où sont vraiment vos données client»,»author»:{«@type»:»Person»,»name»:»Dragan Stamenkovic»},»datePublished»:»2026-05-10″,»dateModified»:»2026-05-10″,»publisher»:{«@type»:»Organization»,»name»:»Client Vault»},»mainEntityOfPage»:»https://clientvault.pro/blog/rgpd-cloud-act-donnees-client»}{«@context»:»https://schema.org»,»@type»:»FAQPage»,»mainEntity»:[ {«@type»:»Question»,»name»:»Qu’est-ce que le CLOUD Act et qui est concerné ?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Loi américaine de 2018 permettant aux autorités américaines de réquisitionner les données détenues par toute entreprise relevant de leur juridiction.»}}, {«@type»:»Question»,»name»:»Un SaaS hébergé en Europe est-il forcément RGPD-compliant ?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Non. La juridiction de l’éditeur, le DPA et l’analyse d’impact post-Schrems II comptent autant que la localisation.»}}, {«@type»:»Question»,»name»:»Qu’a changé Schrems II en pratique ?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Invalidation du Privacy Shield, analyse d’impact obligatoire au cas par cas pour tout transfert hors UE.»}}, {«@type»:»Question»,»name»:»Mon cabinet est-il à risque CLOUD Act ?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Oui dès lors qu’il utilise un SaaS américain pour traiter des données personnelles. Risque proportionnel à la sensibilité.»}}, {«@type»:»Question»,»name»:»Les Standard Contractual Clauses suffisent-elles ?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Non en elles-mêmes selon Schrems II. Il faut évaluation du niveau de protection effectif et mesures supplémentaires.»}}, {«@type»:»Question»,»name»:»Que faire si mon SaaS reçoit une injonction américaine ?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»L’éditeur s’exécute selon le droit US. Notification pas garantie. Meilleure protection : éviter de confier les données critiques à un éditeur exposé.»}}, {«@type»:»Question»,»name»:»Comment vérifier si un éditeur est vraiment européen ?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Examiner mentions légales, chaîne de contrôle actionnarial et direction effective.»}} ]}
