Europa atrae decenas de miles de millones de euros de inversión en centros de datos. Una buena noticia para la economía y el empleo, pero no necesariamente para la protección de los datos europeos. En efecto, alojar los datos en el territorio no garantiza su soberanía si la organización que los explota es extranjera. Un matiz todavía poco comprendido.
La paradoja de los centros de datos
Durante la cumbre Choose France 2026, los anuncios se multiplicaron. El grupo SoftBank, en particular, comprometió hasta 75 000 millones de euros en centros de datos en Francia, buena parte de ellos en la región de Altos de Francia. Microsoft ya había invertido 4000 millones de euros para ampliar sus centros de París y Marsella en 2024. Amazon, Google y otros actores mundiales prosiguen la misma carrera por las infraestructuras en suelo francés.
Estas implantaciones se presentan a menudo como una garantía de soberanía. Esta presentación se basa en una idea extendida: si los datos permanecen físicamente en Francia, estarían protegidos y sometidos al derecho francés. Sin embargo, la ubicación de un servidor no determina quién puede acceder legalmente a los datos que aloja.
Cloud Act: cuando el alojamiento ya no basta para controlar los datos
El acceso a los datos no lo determina el lugar donde se almacenan, sino el derecho al que están sometidos los actores que los poseen o controlan. La Cloud Act es su ilustración más directa. Aprobada en Estados Unidos en 2018, autoriza a las autoridades estadounidenses a exigir a una empresa sujeta al derecho estadounidense que transmita los datos que posee o controla, dondequiera que estén almacenados en el mundo.
Todos los actores están afectados. Desde el proveedor de alojamiento, que almacena los datos, hasta el editor, que explota la solución de software que trata esos datos. En cuanto uno u otro está sujeto al derecho estadounidense, puede verse obligado a transmitir los datos, sea cual sea su ubicación. Alojar los datos en Francia con un actor estadounidense como Amazon Web Services no protege, por tanto, de la Cloud Act. A la inversa, elegir un proveedor de alojamiento europeo tampoco basta si el editor de la solución es estadounidense.
Este alcance no es teórico. El 10 de junio de 2025, durante una comparecencia ante el Senado francés, el director de asuntos públicos y jurídicos de Microsoft Francia reconoció que no podía garantizar que los datos de ciudadanos franceses no se transmitirían nunca a las autoridades estadounidenses. Esta confesión confirmó públicamente lo que numerosos juristas venían señalando desde hacía años.
Las ofertas llamadas soberanas que proponen los grandes actores estadounidenses no resuelven este conflicto jurídico. Mientras la entidad que opera el servicio esté sujeta al derecho estadounidense, seguirá obligada a responder a un requerimiento, con independencia de las garantías comerciales anunciadas.
Un reto que va mucho más allá de Europa
El control de los datos no es una preocupación estrictamente europea. Se ha convertido en un tema mundial. Más de 140 países han adoptado algún tipo de legislación sobre protección de datos, y decenas de ellos exigen ya que determinadas categorías de datos permanezcan en su territorio nacional.
Oriente Medio ha reforzado sus marcos, sobre todo en los Emiratos Árabes Unidos y Arabia Saudí, con requisitos de localización en sectores sensibles como la banca y la salud. En Asia, China con la PIPL e India con la DPDP han endurecido sus normas. América Latina sigue la misma dinámica.
En cada caso, la lógica es idéntica: un Estado considera que dejar los datos de sus ciudadanos bajo una jurisdicción extranjera supone una pérdida de control. Esté donde esté implantada, toda organización que opera a escala internacional se enfrenta ahora a la misma cuestión de control jurídico de sus datos.
En una encuesta mundial realizada a 3700 responsables de la toma de decisiones en 21 países, el 86 % considera que el país de origen y la alineación normativa de su proveedor cloud se han convertido en criterios determinantes. Y un estudio de 2026 con 2100 directivos de ocho países confirma que la soberanía de los datos ha pasado de ser una cuestión de cumplimiento a una preocupación del consejo de administración.
La soberanía también afecta a los datos móviles
El debate se centra a menudo en el cloud y las infraestructuras, pero se aplica igualmente a los dispositivos móviles. Los smartphones y las tabletas tratan permanentemente datos profesionales sensibles, y las soluciones de seguridad desplegadas para protegerlos analizan esos datos de forma continua. La cuestión es, por tanto, la misma que para cualquier servicio: si el editor está sometido a una jurisdicción extranjera, los datos que trata también lo están. La elección del editor de una solución de seguridad móvil es, por ello, una decisión de soberanía en toda regla.
Controlar sus datos móviles gracias a un editor soberano
La única garantía duradera reside en elegir un actor que controle de principio a fin sus datos y que no esté sometido a ninguna jurisdicción extraterritorial. Es la posición de Pradeo, único editor europeo reconocido como líder mundial de la seguridad móvil. Como editor europeo que aloja sus datos en un proveedor francés con cualificación SecNumCloud, Pradeo controla a la vez la edición y el alojamiento de sus soluciones: ambos eslabones quedan fuera del alcance de la Cloud Act y de las leyes de la misma naturaleza.
Proteger los datos móviles no se limita a detectar las amenazas. También implica garantizar el control de los datos protegidos. Alojar en Francia es un primer paso, pero la verdadera soberanía se mide por la identidad de la organización que controla los datos, desde su edición hasta su alojamiento.
