Dónde reside una web: ubicación del servidor, el RGPD y los límites del argumento UE

«Nuestros datos están en Fráncfort» — frases como esta aparecen cada vez más a menudo en las ofertas de los proveedores web. Pero ¿qué significa realmente la ubicación de un centro de datos: para la velocidad de una web, para la protección de datos, para la seguridad jurídica? ¿Y dónde termina el efecto tranquilizador de la expresión «servidor UE»? Una guía para empresas que quieren entender qué están comprando en realidad.

Transparencia: este artículo se publica como anuncio y procede del entorno de BitBau, de Osnabrück (en alemán), una agencia web que opera los proyectos de sus clientes sobre infraestructura en la ubicación de Fráncfort. El texto no es asesoramiento jurídico — debe explicar las conexiones técnicas y jurídicas de modo que uno pueda hacer a su propio proveedor las preguntas correctas.

Primero, la técnica. Hosting significa: en algún lugar hay un ordenador que entrega la web en cuanto alguien la abre. Entre ese ordenador y el visitante hay fibra óptica, nodos de conmutación — y física. Los datos viajan rápido, pero no infinitamente rápido, y cada petición va y viene varias veces entre navegador y servidor. Cuanto más lejos está el servidor, más perceptiblemente se suman esos trayectos.

Para un público en Alemania, Austria y Suiza, Fráncfort no es por eso una elección casual: la ciudad alberga uno de los nodos de internet más importantes de Europa; aquí confluyen las líneas. Una página alojada en Fráncfort responde a los visitantes del espacio germanohablante sencillamente más rápido que la misma página desde la costa este americana. La diferencia se mueve en el rango de las décimas de segundo — lo que suena inofensivo, pero codecide sobre la lentitud percibida, las tasas de rebote y la valoración de los buscadores.

Las plataformas de hosting modernas relativizan en parte la distancia distribuyendo copias de la web en servidores de todo el mundo. Para la mera entrega de páginas eso funciona bien. Pero en cuanto se procesan peticiones individuales — un formulario, un login, una reserva —, la petición debe ir allí donde tiene lugar el procesamiento propiamente dicho. Y con eso llegamos al segundo tema, el de más peso: ¿dónde se procesan los datos, y bajo qué derecho?

Antes de poder responder esa pregunta, merece la pena mirar qué abarca «la web» en sentido técnico. Porque a la presencia pertenece más que el servidor web: una base de datos donde residen contenidos y entradas de formularios; copias de seguridad que pueden almacenarse en un lugar distinto del original; archivos de registro que anotan quién accedió a qué y cuándo; el servicio que entrega las entradas de formulario como correo electrónico; acaso una herramienta de monitorización de errores. Cada uno de estos componentes puede correr en otro proveedor, en otra región del mundo — y sobre cada uno puede plantearse por separado la pregunta de la ubicación. No es por tanto una pregunta única, sino un pequeño inventario de la propia presencia.

Porque una web sin datos personales prácticamente no existe. Ya la mera visita transmite la dirección IP del visitante, que según el entendimiento europeo se considera dato personal; a ello se suman los registros del servidor, las entradas de formularios, las cookies, los servicios incrustados. El Reglamento General de Protección de Datos (RGPD) hace responsable de todo ello al operador de la web — no al hoster. El proveedor procesa los datos, jurídicamente, por encargo suyo, fijado en un contrato de encargo de tratamiento.

Ese contrato no es una formalidad, sino el documento central de la relación entre operador y proveedor. Regula habitualmente qué datos se procesan con qué fin, que el proveedor solo actúa siguiendo instrucciones, qué subcontratistas puede emplear, cómo se borran los datos al terminar el contrato y cómo apoya al operador cuando los afectados exigen acceso o supresión. Las grandes plataformas ponen a disposición tales contratos de forma estandarizada — pero con hacer clic no basta: el operador debería descargar efectivamente el documento, archivarlo y saber qué dice. Porque, en caso de duda, es él quien debe poder acreditar que el tratamiento está pactado de forma ordenada.

La cosa se complica en cuanto los datos salen de la UE. El RGPD solo permite las transferencias a terceros países bajo condiciones especiales, y por ningún tercer país se pelea tan intensamente como por Estados Unidos. Dos veces ya ha tumbado el Tribunal de Justicia de la UE acuerdos que debían asegurar el tráfico de datos a través del Atlántico — la última en 2020, en la resolución que se conoció como «Schrems II». Desde 2023 rige, con el EU-US Data Privacy Framework, el tercer intento: las empresas estadounidenses que se certifican bajo él se consideran receptores admisibles.

A la honestidad pertenece añadir: también este tercer intento está siendo impugnado judicialmente, y nadie puede garantizar que perdure. Para las empresas eso no significa pánico, sino previsión. Los contratos con proveedores deberían prever, junto al framework, también las clásicas cláusulas contractuales tipo, para que un nuevo vuelco no deje de la noche a la mañana sin base jurídica. Quien hoy compra infraestructura compra también la pregunta de cuán resistente a las crisis es su fundamento jurídico.

En este punto se plantea para muchas empresas la pregunta de fondo: ¿proveedor europeo o plataforma americana con ubicación europea? Ambas cosas son defendibles, y ambas tienen su precio. Un hoster con sede en Alemania o en la UE simplifica sensiblemente la situación jurídica — a cambio, recae más trabajo de operación en el proveedor de servicios o en la propia empresa: actualizaciones, escalado y procesos de publicación quieren organizarse, y la integración técnica de los frameworks modernos no siempre es tan estrecha como en las plataformas especializadas. Los grandes proveedores estadounidenses quitan exactamente ese trabajo, pero traen consigo las cuestiones de transferencia descritas. Lo importante no es tanto qué respuesta elige una empresa como que tome la elección de forma consciente, deje constancia de la ponderación — y pueda fundamentarla si se le pregunta.

Sobre este trasfondo queda claro qué aporta una ubicación de servidor en la UE — y qué no. Se ocupa de que el procesamiento corriente tenga lugar espacialmente en Europa, acorta los trayectos y simplifica considerablemente la argumentación en materia de protección de datos. Pero no convierte a un proveedor estadounidense en una empresa europea: si una matriz americana opera la plataforma, quedan preguntas — como la muy debatida de si las autoridades estadounidenses pueden, en determinadas circunstancias, exigir la entrega de datos que físicamente están en Europa. Ese debate jurídico no está cerrado. Lo serio es nombrarlo, en lugar de despacharlo con una sonrisa.

¿Cómo se maneja esto en la práctica? Se puede mostrar con el ejemplo de la agencia que está detrás de este artículo. BitBau opera los proyectos de sus clientes sobre infraestructura de Vercel en la ubicación de Fráncfort. La ponderación de fondo es típica de muchos proyectos digitales: la plataforma está técnicamente muy ajustada al framework empleado y quita al operador mucho trabajo de operación; la ubicación de Fráncfort mantiene la latencia y el procesamiento corriente de datos en el espacio europeo. Al mismo tiempo, Vercel es una empresa estadounidense — razón por la cual el contrato de encargo de tratamiento, la certificación bajo el Data Privacy Framework y las cláusulas contractuales tipo pertenecen al programa obligatorio, no al voluntario. Una ubicación UE no sustituye esos deberes; los complementa.

Esta honestidad distingue el asesoramiento sólido del etiquetado engañoso. «Servidores en Alemania» es un argumento, no un salvoconducto: una web puede estar alojada en Fráncfort y tener igualmente problemas de protección de datos — por ejemplo, si carga tipografías, vídeos o herramientas de análisis desde servidores de terceros que transmiten datos de los visitantes a medio mundo. Los tribunales alemanes ya han objetado que el mero incrustar tipografías que se cargan desde servidores estadounidenses transmite sin permiso la dirección IP de los visitantes. La cadena es tan fuerte como su eslabón más débil.

Por eso merece la pena mirar la web completa, no solo el hoster. ¿Qué servicios de terceros están incrustados — mapas, tipografías, vídeos, estadística? ¿Pueden servirse las tipografías localmente desde el propio servidor en lugar de desde ajenos? ¿Hace falta de verdad la herramienta de análisis externa, o basta una alternativa parca en datos? Preguntas así deciden en la práctica sobre la calidad de protección de datos de una web con más frecuencia que la elección del centro de datos.

Al esmero pertenece, por último, que el papel vaya al paso de la realidad. Si cambia el hoster, se añade una herramienta de análisis o desaparece un servicio, la declaración de privacidad debe reflejarlo — una declaración que enumera servicios apagados hace tiempo o silencia los nuevos es más que un defecto estético. Lo mismo vale para la documentación interna de los tratamientos, que debería estar al mismo día que la propia web. No es una tarea única de proyecto para la puesta en línea, sino mantenimiento continuo — y a la vez una buena ocasión para cuestionar de raíz, una vez al año, el inventario de servicios de terceros: ¿qué de esto se necesita todavía, y qué sigue ahí solo porque nadie lo quitó nunca?

Para la conversación con el propio proveedor basta entonces un breve catálogo. ¿Existe un contrato de encargo de tratamiento, y lo tiene la empresa de verdad en su poder? ¿En qué región se procesan la web, la base de datos y las copias de seguridad — y está eso fijado por contrato o es solo un ajuste por defecto? ¿Qué subcontratistas participan, y dónde tienen su sede? ¿En qué base jurídica se apoyan las transferencias a terceros países? Y, por último: ¿quién avisa, y en qué plazo, si algo sale mal?

Quien recibe respuestas claras a estas preguntas trabaja con un proveedor que se toma en serio su oficio. Las respuestas evasivas — «de eso se ocupa el hoster», «todo eso está certificado» — son en cambio una señal de alarma, porque el responsable al final sigue siendo el propio operador de la web. La protección de datos se deja delegar como la contabilidad: se puede encargar a especialistas, pero la responsabilidad no se puede ceder.

Esto vale, por cierto, con independencia del tamaño del proyecto. También quien opera su web con un constructor tiene un proveedor de hosting — solo que no lo eligió de forma consciente, porque viene en el paquete. Las preguntas siguen siendo las mismas: ¿dónde procesa el proveedor los datos, existe un contrato de encargo de tratamiento, qué subcontratistas participan? La diferencia es únicamente que las respuestas están en la documentación contractual del proveedor del constructor en lugar de en un contrato negociado individualmente. Leerlas conviene en ambos casos — la responsabilidad del operador no mengua con la cuota mensual.

Queda la pregunta inicial: ¿cuenta la ubicación? Sí — por partida triple. Técnicamente, porque cercanía significa velocidad y la velocidad decide sobre el uso. Jurídicamente, porque el procesamiento en el espacio jurídico europeo simplifica la argumentación y reduce la dependencia de frágiles acuerdos transatlánticos. Y como señal, porque un proveedor que habla abiertamente de ubicaciones, contratos y casos límite probablemente también trabaja limpio en lo demás. Solo una cosa no es nunca la ubicación: un sustituto de los deberes propios — uso parco de servicios de terceros, contratos limpios y una declaración de privacidad que describa lo que de verdad ocurre.