El RGPD y la elección del hosting
El Reglamento General de Protección de Datos (RGPD) no exige guardar los datos en la Unión Europea, pero sí que haya un contrato de encargo del tratamiento con el proveedor y que la salida de datos de la UE se apoye en uno de los mecanismos legales. Según el catálogo de accsly.io (noviembre de 2026), el 61 % de los proveedores de VPS tienen servidores en la UE, pero casi la mitad de ellos están registrados fuera del Espacio Económico Europeo. Veamos por qué importa y qué comprobar en las condiciones.
El RGPD es el Reglamento (UE) 2016/679, que se aplica en todos los países de la Unión Europea y del Espacio Económico Europeo; en España lo completa la Ley Orgánica 3/2018 (LOPDGDD). Para elegir un servidor importan tres cuestiones: quién responde de qué, qué contrato hace falta con el proveedor y a dónde se pueden transferir los datos. A continuación verá cómo se aplican estas normas al alquiler de un VPS o de un servidor dedicado. El texto explica reglas generales y no sustituye el asesoramiento de un abogado.
Cuándo afecta el RGPD a su proyecto
Según el artículo 3, el reglamento se aplica a una empresa con un establecimiento en la UE y a una empresa de cualquier otro país si ofrece bienes o servicios a personas en la UE o controla su comportamiento, por ejemplo mediante analítica y etiquetas publicitarias. Por eso una tienda latinoamericana que envía pedidos a España, o un servicio con interfaz en alemán y precios en euros, también puede quedar sujeto al reglamento. En ese caso, una empresa sin establecimiento en la UE suele designar, según el artículo 27, un representante en la Unión.
El RGPD entiende los datos personales en sentido amplio: nombre, correo, dirección, número de pedido, dirección IP, identificador del dispositivo. Si en el servidor hay cualquiera de estos datos sobre residentes en la UE, las reglas siguientes le afectan.
Responsable y encargado del tratamiento
El reglamento distingue dos papeles (artículo 4).
- Responsable del tratamiento: decide para qué y cómo se tratan los datos. En una web o un servicio es su titular.
- Encargado del tratamiento: trata los datos por cuenta del responsable. Un proveedor en cuyos servidores están los datos de sus clientes es un encargado típico; así describen los servicios en la nube y de hosting las Directrices 07/2020 del Comité Europeo de Protección de Datos.
Una misma empresa puede tener papeles distintos: para los datos de su servidor, el proveedor es encargado, y para sus propios datos de cliente (nombre, datos de pago, correspondencia con el soporte) es responsable. El papel determina las obligaciones. Usted responde de la licitud del tratamiento y de la seguridad dentro del servidor, y el proveedor, de lo que diga el contrato y de la seguridad de su infraestructura.
El contrato de encargo del tratamiento (DPA)
El artículo 28 exige que la relación entre responsable y encargado se formalice en un contrato u otro acto jurídico. Los proveedores lo llaman Data Processing Agreement o Data Processing Addendum (DPA), y suele formar parte de las condiciones o firmarse a petición. Según el reglamento, en él debe constar que el encargado:
- trata los datos solo siguiendo instrucciones documentadas del cliente, también en lo relativo a transferencias fuera de la UE;
- obliga a su personal a mantener la confidencialidad y aplica las medidas de seguridad del artículo 32;
- recurre a subencargados solo con autorización del cliente y le informa de los cambios para que pueda oponerse;
- ayuda al cliente a atender las solicitudes de los interesados y a notificar las violaciones de seguridad;
- al terminar el servicio, suprime o devuelve los datos;
- pone a disposición la información necesaria para verificar el cumplimiento y permite auditorías.
Si un proveedor no ofrece un DPA ni está dispuesto a firmarlo, para un proyecto con datos de residentes en la UE es una carencia grave, aunque el servidor esté en Fráncfort.
Datos en la UE y fuera de ella
El reglamento permite transferir datos fuera del EEE, pero solo en las condiciones del capítulo V. Los mecanismos principales son dos.
- Decisión de adecuación (artículo 45). La Comisión Europea ha reconocido como suficiente la protección de varios países, y transferir datos a ellos no requiere documentos adicionales. Según la lista de la Comisión a noviembre de 2026, entre ellos están el Reino Unido, Suiza, Japón, la República de Corea, Canadá para las organizaciones comerciales, Argentina, Uruguay y, desde enero de 2026, Brasil. Para Estados Unidos, la decisión solo cubre a las empresas adheridas al EU-US Data Privacy Framework. Rusia no figura en la lista.
- Cláusulas contractuales tipo (artículo 46). Si el país no tiene decisión de adecuación, las partes firman las cláusulas tipo aprobadas por la Decisión de Ejecución 2021/914 de la Comisión y evalúan si el derecho del país del destinatario permite cumplirlas. Si hace falta, añaden medidas técnicas, sobre todo un cifrado cuyas claves se queden en la UE.
Transferir no es solo trasladar la base. Según las Recomendaciones 01/2020 del CEPD, también es transferencia el acceso remoto a los datos desde un tercer país, por ejemplo cuando el soporte del proveedor trabaja desde fuera de la UE. Las copias de seguridad en un servidor de otro país y los servicios extranjeros de envío de correo y de analítica también hay que tenerlos en cuenta.
Si entre sus clientes hay ciudadanos rusos, se añade el requisito ruso de guardar sus datos en Rusia; cómo se combinan ambos conjuntos de normas se explica en el artículo La ley rusa 152-FZ y el hosting.
Centro de datos en la UE y empresa de la UE
Que el servidor esté en la Unión Europea no significa todavía que los datos estén sujetos solo al derecho europeo. Si el proveedor o su matriz están registrados en otro país, también están sujetos a sus leyes. El ejemplo más debatido es la ley estadounidense CLOUD Act, por la que una empresa de EE. UU. entrega datos a las autoridades de su país esté donde esté el servidor. Su relación con el RGPD la analizaron el CEPD y el Supervisor Europeo de Protección de Datos.
Según el catálogo de accsly.io (noviembre de 2026), 1184 de los 1934 proveedores de VPS cuya ubicación se conoce, el 61 %, tienen servidores en la UE. Los países más habituales son Alemania (597 proveedores), los Países Bajos (536), Francia (273), Polonia (184) y Finlandia (164). De aquellos cuyo país de registro se conoce, 470 de 874, el 54 %, están registrados en el EEE, y los 404 restantes fuera de él, sobre todo en Estados Unidos (79), el Reino Unido (69) y Rusia (53). Y al revés: de los 551 proveedores registrados en la UE, 131 alquilan también servidores fuera del EEE, así que también en una empresa europea conviene comprobar el país del plan concreto. Más sobre la diferencia entre el país de la empresa y el del servidor en el artículo Jurisdicción del proveedor de hosting.
Los planes con servidores en la Unión Europea están reunidos en la selección VPS en Europa y en las páginas de países: Alemania, Países Bajos, Finlandia.
Qué comprobar en las condiciones del proveedor
- si hay un DPA y si cumple el artículo 28: instrucciones del cliente, confidencialidad, medidas de seguridad, subencargados, supresión de datos, auditoría;
- la lista de subencargados y cómo se avisa de los nuevos;
- el país y la ciudad del centro de datos del plan y dónde guarda el proveedor sus copias de seguridad;
- desde dónde trabaja el soporte y si tiene acceso al contenido de los servidores;
- el mecanismo de transferencia, si los datos o el acceso salen del EEE: decisión de adecuación o cláusulas tipo;
- en qué plazo informa el proveedor al cliente de un incidente con los datos;
- las certificaciones de seguridad del centro de datos, por ejemplo ISO/IEC 27001, si sus clientes las exigen.
Sus obligaciones en un VPS
En un servidor no administrado, las medidas de seguridad dentro del sistema (actualizaciones, acceso con claves, cortafuegos, cifrado de discos y de copias) son cosa suya: por dónde empezar se explica en el artículo Primeros 10 pasos tras comprar un VPS, y sobre las copias, en Copias de seguridad de un VPS. Según el artículo 33, el responsable notifica una violación de seguridad grave a la autoridad de control (en España, la Agencia Española de Protección de Datos) en un plazo de 72 horas, y el encargado debe comunicarla al responsable sin dilación indebida. Por infringir el reglamento, la multa puede llegar a 20 millones de euros o al 4 % del volumen de negocio anual mundial de la empresa, la cuantía que sea mayor.