Cuando una empresa europea contrata un servicio de correo electrónico, rara vez pregunta a qué ley está sujeto ese servicio. Pregunta por el precio, el almacenamiento y si funciona en Outlook. Y sin embargo esa es la pregunta que determina todo lo demás, porque los datos no viven solo en un lugar: viven bajo una jurisdicción. En la última década ha quedado claro que esas dos cosas pueden no coincidir.
Dos gramáticas distintas
La tradición jurídica europea piensa la soberanía en términos de territorio. La ley se aplica a lo que ocurre dentro de las fronteras, y el RGPD extendió esa lógica: los datos de los europeos viajan protegidos, y solo pueden salir de la Unión hacia países que ofrezcan garantías equivalentes.
La tradición estadounidense parte de otro principio. El punto de conexión no es el suelo, es la persona: la nacionalidad y, sobre todo, el control. Una empresa constituida en Estados Unidos, o controlada por una empresa estadounidense, sigue sujeta a la ley estadounidense dondequiera que opere y dondequiera que almacene lo que almacena. No es una anomalía ni una maniobra. Es la forma en que ese sistema entiende su propia autoridad.
Mientras los dos mundos no se tocaron, la diferencia era materia de manuales. Cuando toda la economía pasó a vivir en servidores, se convirtió en el problema central de la soberanía digital europea.
Cómo el modelo estadounidense alcanzó dimensión global
El punto de inflexión fue octubre de 2001. Tras el 11-S, la Patriot Act amplió de forma significativa las facultades de obtención de inteligencia, con un principio implícito que marcaría las dos décadas siguientes: en materia de seguridad nacional, el acceso a la información prevalece sobre las objeciones de forma.
Lo que vino después fue más decisivo que la propia Patriot Act. En 2008, la sección 702 de la FISA autorizó la recopilación de comunicaciones de personas no estadounidenses situadas fuera de Estados Unidos, a través de proveedores estadounidenses de servicios electrónicos, con fines de inteligencia exterior. Sin que los afectados fueran notificados, y sin que dispusieran de ningún medio de defensa comparable a los europeos.
Fíjese en la construcción. La ley no protege menos a los extranjeros por descuido. Los protege menos por diseño, porque la Cuarta Enmienda es un derecho de los estadounidenses.
2013: el año en que el debate dejó de ser técnico
En junio de 2013, las revelaciones de Edward Snowden mostraron la verdadera escala de los programas de recopilación. Pero fue en octubre cuando el asunto pasó del debate entre expertos a la crisis diplomática: los documentos indicaban que la NSA había estado vigilando el teléfono móvil de Angela Merkel. La reacción de la canciller entró en el vocabulario europeo, “espiar entre amigos, eso no se hace”, y el malestar entre Berlín y Washington duró años.
La honestidad sobre el detalle importa. La investigación penal alemana se cerró finalmente en 2015, porque los documentos disponibles no permitían probar dónde y cómo se había producido la interceptación. Lo que quedó probado no fue el delito. Fue la asimetría. Un gobierno europeo descubrió que no controlaba la confidencialidad de sus propias comunicaciones, y que no tenía instrumentos para impugnarlo.
El caso que zanjó la cuestión definitivamente
La prueba decisiva llegó por la vía del derecho ordinario, sin escándalo. En diciembre de 2013, una orden judicial estadounidense exigió a Microsoft entregar el contenido de una cuenta de correo. La empresa comprobó que los mensajes estaban en un centro de datos de Dublín y se negó a entregarlos, con un argumento sencillo: una orden de Estados Unidos no alcanza a un servidor en Irlanda. En 2016, el Tribunal de Apelaciones le dio la razón.
Duró dos años. En marzo de 2018, el Congreso aprobó la CLOUD Act, que obliga a los proveedores estadounidenses a entregar los datos que estén en su posesión, custodia o control, tanto si esos datos están dentro como fuera del territorio nacional. Se emitió una nueva orden al amparo de la nueva ley, Microsoft la cumplió, y el Tribunal Supremo declaró el caso sin objeto.
La lección es clara y sigue vigente: construir un centro de datos en Europa no cambia la jurisdicción de quien lo opera. La ubicación física de los servidores es una respuesta a la pregunta equivocada.
La respuesta europea, tres veces insuficiente
Del lado europeo, la solución que se intentó fue siempre la misma: un acuerdo político que declarase a Estados Unidos destino seguro para los datos.
Safe Harbor cayó en 2015, con la sentencia Schrems I. El Privacy Shield que lo sustituyó cayó en 2020, con Schrems II, al concluir el Tribunal de Justicia que la legislación estadounidense de vigilancia no ofrecía a los ciudadanos europeos ni garantías equivalentes ni recursos efectivos. El tercer acuerdo, el Data Privacy Framework de 2023, se apoyaba en una pieza esencial: la existencia de autoridades administrativas independientes del ejecutivo estadounidense.
En junio de 2026, esa pieza desapareció. La decisión del Tribunal Supremo de Estados Unidos en Trump v. Slaughter acabó con la independencia de la Federal Trade Commission, y la impugnación del acuerdo, que muchos ya llaman el futuro “Schrems III”, está de nuevo en marcha.
Tres acuerdos, tres debilidades de la misma naturaleza. No por mala fe de quienes los negociaron, sino porque ningún acuerdo político puede conciliar dos definiciones incompatibles de soberanía.
Qué significa esto para quien decide
Para una empresa o un organismo público europeo, la conclusión práctica es menos dramática de lo que parece, y más accionable.
La pregunta que hay que hacer a un proveedor no es dónde están los servidores. Es a qué ley está sujeta la entidad que los opera, y quién la controla. Si la respuesta implica a una empresa estadounidense o controlada por una, el cumplimiento de la organización pasa a depender de la validez de un acuerdo internacional que ya ha caído dos veces y está siendo impugnado por tercera vez.
Si la respuesta es una empresa europea, de capital europeo y sujeta únicamente al Derecho europeo, la pregunta desaparece. No porque alguien prometa más, sino porque no hay una segunda ley que reclame acceso.
Para las profesiones con deber de confidencialidad, el razonamiento es aún más directo. Un abogado, un médico o un administrador público no solo responde de lo que revela. Responde de la arquitectura que eligió para guardar lo que no puede revelarse.
La soberanía digital no es una bandera. Es saber, con precisión, ante quién responde la infraestructura que guarda la información de su organización.