Hay una transferencia internacional de datos siempre que datos personales que tratas en España acaban en manos de un destinatario establecido fuera del Espacio Económico Europeo, aunque no se muevan de sitio: basta con que alguien pueda acceder a ellos desde un país tercero para que la transferencia exista. Es la definición que maneja la Agencia Española de Protección de Datos, y la razón por la que casi todas las pymes españolas hacen transferencias internacionales sin saberlo.
No es ilegal. El Reglamento General de Protección de Datos las permite, pero solo si se apoyan en uno de los mecanismos que recoge su capítulo V (artículos 44 a 50). Lo que sanciona la Agencia no es transferir: es transferir sin haber comprobado por qué vía estás autorizado a hacerlo.
Cuándo hay una transferencia internacional y cuándo no
La confusión habitual es pensar que esto solo afecta a multinacionales. Estas son situaciones cotidianas en una empresa pequeña que sí son transferencias internacionales:
- Usas una herramienta de email marketing, un CRM o un servicio de videollamadas de una empresa estadounidense que aloja los datos en sus servidores.
- Pegas datos de clientes en una herramienta de inteligencia artificial generativa cuyo proveedor está fuera del Espacio Económico Europeo.
- El soporte técnico de tu software de gestión se presta desde la India o desde Latinoamérica, y para resolver una incidencia entra en tu base de datos.
- Las copias de seguridad de tu web se guardan en una región de un proveedor de nube que está fuera de Europa.
- Un programador externo establecido en un país tercero tiene acceso a los datos reales de tu aplicación para mantenerla.
Y estas no lo son, aunque lo parezcan:
- Contratas a un proveedor estadounidense pero los datos se tratan y se alojan en centros de datos europeos, sin acceso desde fuera. Conviene que el contrato lo diga y que puedas comprobarlo.
- Trabajas con una empresa de Portugal, Polonia o Irlanda: están en el Espacio Económico Europeo, que incluye los países de la Unión Europea más Islandia, Liechtenstein y Noruega.
- Un empleado tuyo consulta el correo desde un hotel en Nueva York. El destinatario sigue siendo tu empresa.
La pregunta que resuelve casi todos los casos es sencilla: ¿quién puede ver estos datos y desde dónde? Si la respuesta incluye un país de fuera del Espacio Económico Europeo, tienes una transferencia internacional y necesitas una base para ella.
Los tres caminos que permite el Reglamento
El Reglamento establece un orden. Primero mira si hay decisión de adecuación; si no la hay, buscas garantías adecuadas; y solo si tampoco las tienes, puedes acogerte a una excepción tasada.
| Vía | En qué consiste | Qué tienes que hacer |
|---|---|---|
| Decisión de adecuación (art. 45) | La Comisión Europea ha declarado que ese país protege los datos a un nivel equivalente al europeo | Comprobar que el país está en la lista oficial. No hace falta autorización de la Agencia |
| Garantías adecuadas (art. 46) | Cláusulas contractuales tipo, normas corporativas vinculantes, códigos de conducta o certificaciones | Firmar el instrumento que corresponda y evaluar el riesgo del país de destino |
| Excepciones (art. 49) | Casos concretos: consentimiento explícito e informado, ejecución de un contrato en interés del interesado y pocos más | Documentar por qué encaja. No sirve como solución estable |
La Agencia Española de Protección de Datos deja claro que, cumplida alguna de estas condiciones, la transferencia se puede hacer sin necesidad de autorización previa de la Agencia. Solo hace falta pedirle permiso en supuestos excepcionales, como cuando quieres usar cláusulas contractuales redactadas a medida que no ha adoptado la Comisión Europea.
Qué países tienen decisión de adecuación
Esta es la vía cómoda, porque no exige firmar nada especial. La lista la publica y la mantiene la Comisión Europea, y a día de hoy incluye Andorra, Argentina, Brasil, Canadá (solo organizaciones comerciales), las Islas Feroe, Guernsey, Israel, la Isla de Man, Japón, Jersey, Nueva Zelanda, la República de Corea, Suiza, Uruguay, el Reino Unido, los Estados Unidos (solo las empresas adheridas al marco que vemos en el apartado siguiente) y la Organización Europea de Patentes.
Dos novedades recientes que conviene tener presentes: la Comisión adoptó la decisión de adecuación para Brasil el 27 de enero de 2026, y renovó en diciembre de 2025 las decisiones relativas al Reino Unido. En julio de 2026 concluyó además la primera revisión de la decisión sobre la República de Corea, confirmando que el nivel de protección sigue siendo adecuado.
Esto último es importante: las decisiones de adecuación no son eternas. La Comisión vigila cómo evoluciona la legislación de cada país y puede revisarlas, suspenderlas o retirarlas. Por eso la lista se consulta antes de cada contrato nuevo y no se da por sabida: la referencia buena es la página de decisiones de adecuación de la Comisión Europea.
Estados Unidos va empresa por empresa
Aquí está el error más frecuente que vemos en auditorías de proveedores. La decisión de adecuación para Estados Unidos, adoptada el 10 de julio de 2023, no cubre al país entero: cubre únicamente a las organizaciones comerciales que se han adherido y certificado en el marco de privacidad de datos entre la Unión Europea y Estados Unidos, el EU-US Data Privacy Framework.
La consecuencia práctica es que no puedes concluir que una herramienta es válida porque su proveedor sea estadounidense y grande. Tienes que comprobar que esa entidad concreta figura certificada, y que la certificación cubre el tipo de datos que le vas a enviar (hay empresas adheridas solo para datos de recursos humanos). La lista de empresas certificadas es pública y se consulta en la web del marco.
Y una cautela razonable: los dos acuerdos anteriores entre la Unión Europea y Estados Unidos, Safe Harbor y Privacy Shield, fueron anulados por el Tribunal de Justicia de la Unión Europea. El marco actual está en vigor y es plenamente utilizable, pero si toda tu operación depende de un único proveedor estadounidense, tener identificada una alternativa europea es una decisión de continuidad de negocio, no de paranoia jurídica.
Las cláusulas contractuales tipo no se firman y se olvidan
Cuando el destino no tiene decisión de adecuación, el instrumento habitual son las cláusulas contractuales tipo que aprobó la Comisión Europea mediante su Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021. Son plantillas cerradas: se eligen los módulos que corresponden a la relación entre las partes, se rellenan los anexos y se firman. No se pueden modificar a conveniencia.
Lo que mucha empresa se salta es el paso siguiente. Al firmarlas, el exportador —tú— tiene que analizar, con la ayuda del importador, qué impacto puede tener la legislación y la práctica vigentes en el país de destino sobre esos datos; en particular, si las autoridades de ese país pueden acceder a ellos por encima del contrato. Ese análisis es la evaluación de impacto de la transferencia, y el Comité Europeo de Protección de Datos ha publicado recomendaciones sobre las medidas complementarias que pueden adoptarse, como el cifrado o la seudonimización.
Conviene saber también que la Comisión Europea está preparando series adicionales de cláusulas, entre ellas una para las transferencias a responsables o encargados situados fuera de la Unión que ya están directamente sujetos al Reglamento. Si firmas contratos nuevos a lo largo del año, merece la pena estar atento a su publicación.
Qué hacer en tu empresa, paso a paso
- Haz el inventario de proveedores que tocan datos personales. Hosting, correo, CRM, facturación, email marketing, soporte, analítica, herramientas de IA, copias de seguridad. Cualquiera que vea datos de clientes, empleados o candidatos.
- Averigua dónde se tratan los datos y quién accede. No basta con la sede del proveedor: pregunta por la región de alojamiento y por los subencargados, que es donde suele aparecer la sorpresa.
- Identifica la vía de cada transferencia. Adecuación, cláusulas contractuales tipo o excepción. Anótalo por escrito, con la fecha de la comprobación.
- Firma el contrato de encargado del tratamiento. Es obligatorio con todo proveedor que trate datos por tu cuenta, haya transferencia internacional o no, y es el documento donde encajan las cláusulas tipo.
- Documenta la evaluación cuando uses cláusulas tipo. Aunque sea un documento breve y proporcionado al riesgo, tiene que existir.
- Refleja las transferencias en el registro de actividades de tratamiento. Es lo primero que se pide en una inspección.
- Dilo en tu política de privacidad. El deber de información de los artículos 13 y 14 incluye advertir de que hay transferencias internacionales y en qué se amparan.
Si gestionas una tienda, este trabajo encaja con el resto de obligaciones que repasamos en nuestra guía de protección de datos para tiendas online en España. Y si estás eligiendo dónde alojar la web, elegir una región europea te ahorra buena parte de este papeleo: lo tratamos en cómo elegir hosting y dominio para tu web de empresa.
Los descuidos que más caros salen
- Dar por hecho que un proveedor estadounidense está cubierto. Hay que verificar la certificación de esa empresa concreta.
- Olvidar a los subencargados. Tu proveedor europeo puede estar apoyándose en un tercero fuera del Espacio Económico Europeo. Su contrato debe listarlos.
- Usar el consentimiento como vía permanente. La excepción del artículo 49 exige consentimiento explícito e informado del riesgo y se puede retirar: no sostiene un servicio continuado.
- Tratar los entornos de desarrollo como si no contaran. Si en las pruebas hay datos reales de clientes, aplican las mismas reglas que en producción.
- No revisar nada en dos años. Cambian los proveedores, cambian sus subencargados y cambian las decisiones de adecuación. Una revisión anual basta.
En resumen: primero el inventario, después el papel
Una transferencia internacional de datos no es un trámite exótico: es lo que ocurre cada vez que un proveedor de fuera del Espacio Económico Europeo puede ver los datos de tus clientes. Legalizarla no suele ser complicado, y casi siempre se reduce a tres cosas: saber qué proveedores tienes, comprobar por qué vía está amparado cada uno y dejarlo documentado. El problema nunca es la norma, es no haber mirado.
En Tangram Consulting desarrollamos aplicaciones y webs a medida pensando desde el principio dónde van a vivir los datos y quién va a poder verlos. Si no tienes claro qué está pasando con los de tu empresa, escríbenos y lo revisamos contigo antes de que lo pregunte otro.
Artículos relacionados
Preguntas frecuentes sobre
Cómo mejorar mi negocio con la metodología Anticompetencia
En Tangram no queremos que la información pase por una cadena interminable de intermediarios donde se pierden los detalles importantes.
Contarás con un interlocutor que coordinará la comunicación y trasladará las decisiones al equipo responsable de tu proyecto.
Cuando sea necesario profundizar en cuestiones de estrategia, diseño o tecnología, podremos involucrar a los especialistas correspondientes.
Así tendrás una comunicación organizada, sin necesidad de gestionar personalmente a todos los profesionales que intervienen.
Queremos que tengas acceso al conocimiento de un equipo especializado, sin sufrir la complejidad de coordinarlo.
No tendrás que averiguar a quién escribir cada vez que tengas una duda.
En Tangram contemplamos la figura del Account Manager como interlocutor principal, encargado de acompañarte durante el proyecto, coordinar la comunicación y facilitar el seguimiento de las decisiones.
Nuestra metodología incluye reuniones de revisión, canales de comunicación y herramientas para que puedas participar en el trabajo.
La organización concreta, la frecuencia de las reuniones y los canales disponibles se establecerán según el proyecto contratado.
Lo importante es que sepas con quién hablar, en qué punto está tu proyecto y qué decisiones necesitan tu participación.
Sí, podemos valorar una colaboración con los profesionales que ya trabajan en tu empresa.
No siempre tiene sentido sustituir un equipo que conoce bien tu negocio. En muchas situaciones, lo más útil es complementar sus conocimientos con especialistas en determinadas áreas.
Podemos estudiar qué responsabilidades asumiría Tangram, cuáles mantendría tu equipo y cómo coordinar las decisiones para evitar duplicidades.
La forma concreta de colaboración dependerá de la organización, las herramientas y las necesidades del proyecto.
No se trata de reemplazar lo que ya funciona, sino de aportar el conocimiento que necesitas para llegar más lejos.
No tienes por qué cambiar de proveedor para explorar una colaboración con Tangram.
Durante nuestra trayectoria hemos trabajado con agencias y consultoras, participando en proyectos en los que cada empresa asumía una parte diferente del trabajo.
Esa experiencia nos permite comprender la importancia de definir responsabilidades y coordinar a los profesionales implicados.
Podemos valorar una colaboración para cubrir necesidades concretas que tu proveedor actual no ofrece o para reforzar determinadas áreas.
Si tienes una relación profesional que funciona, no queremos que la rompas sin motivo. Queremos encontrar dónde podemos aportar valor.
La confidencialidad es especialmente importante cuando hablamos de nuevas ideas de negocio, información económica, estrategias comerciales o desarrollos tecnológicos.
En Tangram tenemos experiencia trabajando en proyectos sujetos a acuerdos de confidencialidad, motivo por el que no podemos mostrar públicamente muchos de los trabajos en los que hemos participado.
Si tu proyecto requiere un acuerdo de confidencialidad (NDA) antes de compartir información sensible, podemos revisar sus condiciones y acordar cómo proteger esa información antes de entrar en los detalles.
Entendemos que la confianza empieza por respetar lo que todavía no quieres hacer público.