El Privacy Framework UE-EEUU es el acuerdo legal que, desde julio de 2023, permite que tus datos personales viajen de Europa a empresas estadounidenses sin infringir el RGPD. Si usas Gmail, Dropbox o cualquier servicio con servidores en California, esa transferencia de datos transatlántica te afecta directamente. La Comisión Europea aprobó una decisión de adecuación de datos que declara a Estados Unidos un destino "seguro" para la información de los ciudadanos europeos. Suena tranquilizador. El problema es que ya van tres intentos, y los dos anteriores acabaron anulados por un señor austríaco llamado Max Schrems. Aquí te explicamos qué protege realmente este marco, qué agujeros tiene y qué puedes hacer tú mientras los abogados siguen peleándose en Luxemburgo.
Qué es el Privacy Framework y por qué existe
El EU-US Data Privacy Framework (DPF) es un mecanismo legal que certifica a empresas estadounidenses como destinos válidos para datos europeos. Las compañías se autocertifican ante el Departamento de Comercio de EEUU y se comprometen a cumplir principios equivalentes al RGPD.
La razón de su existencia es geográfica y económica. La mayoría de los gigantes tecnológicos tienen su infraestructura en suelo estadounidense. Sin un marco de adecuación, cada empresa europea que usara Google Workspace, Amazon Web Services o Microsoft 365 estaría, técnicamente, exportando datos de forma irregular.
El RGPD prohíbe enviar datos personales fuera del Espacio Económico Europeo salvo que el destino ofrezca garantías equivalentes. Estados Unidos no las ofrecía por defecto. De ahí la necesidad de un puente legal.
Schrems I, Schrems II y la saga que no termina
Aquí viene la parte interesante. Max Schrems es un jurista y activista austríaco que lleva más de una década demoliendo acuerdos de transferencia de datos ante el Tribunal de Justicia de la UE (TJUE).
- Safe Harbor (2000-2015): el primer marco. Anulado en octubre de 2015 por la sentencia Schrems I, tras las revelaciones de Edward Snowden sobre la vigilancia masiva de la NSA.
- Privacy Shield (2016-2020): el sucesor. Tumbado en julio de 2020 por Schrems II, que consideró que las leyes de inteligencia estadounidenses seguían permitiendo acceso desproporcionado a los datos europeos.
- Data Privacy Framework (2023-?): el actual. Aprobado el 10 de julio de 2023. La organización de Schrems, NOYB, ya anunció que lo recurrirá.
El patrón se repite. Cada marco intenta corregir el defecto del anterior, y cada vez el TJUE encuentra que la protección de datos transatlántica sigue chocando con la cuarta enmienda inexistente para extranjeros y con programas de vigilancia como FISA 702.
Qué cambia el nuevo marco respecto al Privacy Shield
El DPF no es un simple copia-pega del acuerdo anterior. Estados Unidos introdujo cambios concretos para responder a las objeciones de Schrems II.
| Novedad | Qué aporta |
|---|---|
| Executive Order 14086 | Orden firmada por Biden en octubre de 2022 que limita el acceso de inteligencia a lo "necesario y proporcionado". |
| Data Protection Review Court | Un tribunal de revisión al que los europeos pueden recurrir si creen que sus datos fueron vigilados ilegalmente. |
| Principio de proporcionalidad | Concepto europeo importado al derecho estadounidense, antes ausente. |
La crítica de NOYB es que un Executive Order puede revocarse con otra firma presidencial, y que el nuevo tribunal no es un órgano judicial independiente en el sentido europeo, sino parte del ejecutivo. La adecuación de datos sigue, según ellos, construida sobre arena.
Si gestionas una web o una app que recoge datos de usuarios, conviene saber dónde se alojan. Cuando montas un proyecto digital desde cero —por ejemplo con un equipo que diseñe tu página web profesional— elegir proveedores de hosting europeos te ahorra buena parte de este lío legal.
Cómo te afecta como usuario o empresa
Para el usuario de a pie, el DPF significa que servicios como Google, Meta o Apple pueden seguir procesando tus datos en EEUU con cobertura legal. No es que estuvieran parados antes, pero ahora lo hacen con menos riesgo de multas.
Para una empresa europea, las implicaciones son más serias. Si tratas datos de clientes y usas un proveedor estadounidense, debes verificar que esté certificado en el DPF. Puedes comprobarlo en la lista oficial del Departamento de Comercio: dataprivacyframework.gov.
Si el proveedor no aparece certificado, sigues necesitando las Cláusulas Contractuales Tipo (SCC) y, a menudo, una evaluación de impacto de transferencia (TIA). El marco no elimina estas obligaciones, solo añade una vía alternativa.
Mientras tanto, la higiene básica de seguridad sigue siendo tu mejor defensa. Antes de pinchar cualquier cosa que te llegue por correo, no está de más verificar si un enlace es seguro, y conviene revisar si tu dirección aparece en alguna filtración con Have I Been Pwned. La protección legal de tus datos no sirve de nada si tú mismo se los regalas a un phisher.
Herramientas y medidas prácticas para proteger tus datos
El marco legal es una cosa. Lo que tú controlas, otra. Estas son medidas concretas que reducen tu exposición en transferencias internacionales.
- Cifrado de extremo a extremo: usa servicios con E2EE (Signal, ProtonMail, Tutanota). Si el proveedor no puede leer tus datos, su ubicación importa menos.
- Proveedores europeos: alternativas como Proton, Infomaniak o servidores alojados en la UE mantienen los datos bajo jurisdicción RGPD pura.
- Gestor de contraseñas: Bitwarden o KeePass para no reutilizar credenciales entre servicios.
- Revisa permisos de apps: muchas aplicaciones móviles envían telemetría a EEUU sin avisarte. Audita qué compartes.
- VirusTotal y Have I Been Pwned: para comprobar archivos sospechosos y filtraciones de tus cuentas.
Si desarrollas software propio, el diseño de tu arquitectura de datos determina tu cumplimiento. Un buen punto de partida es cifrar siempre el tráfico: nuestra guía de certificados SSL/HTTPS explica por qué el candado del navegador es el mínimo innegociable. Y si manejas información sensible de menores, la privacidad de los niños en internet tiene su propio marco reforzado que conviene conocer.
Las empresas que integran soluciones de inteligencia artificial deben extremar el cuidado: muchos modelos de IA procesan datos en infraestructura estadounidense, lo que reabre la pregunta de la transferencia incluso cuando creías tenerla resuelta.
Preguntas frecuentes
¿El Privacy Framework es legal y definitivo?
Es legal y está en vigor desde julio de 2023, pero no es definitivo. La organización NOYB de Max Schrems ya anunció un recurso ante el TJUE. Basándose en el historial, existe una probabilidad real de que sea anulado en los próximos años.
¿Cómo sé si una empresa cumple el marco de adecuación?
Consulta la lista oficial en dataprivacyframework.gov, donde figuran todas las compañías estadounidenses autocertificadas. Si una empresa no aparece, no está cubierta por el DPF y necesitarás otros mecanismos como las Cláusulas Contractuales Tipo.
¿Qué pasa con mis datos si anulan el acuerdo otra vez?
No desaparecen ni se borran automáticamente. Las empresas tendrían que volver a apoyarse en las SCC y evaluaciones de impacto. En la práctica, las transferencias seguirían produciéndose en un limbo legal hasta un nuevo marco, como ocurrió entre Schrems II y el DPF.
¿El RGPD me protege aunque mis datos estén en EEUU?
Sí. El RGPD sigue aplicándose a tus datos estés donde estés, porque protege al ciudadano europeo, no al servidor. El problema es la capacidad real de hacerlo cumplir frente a las agencias de inteligencia estadounidenses, que es precisamente el punto débil que Schrems lleva años denunciando.
¿Qué es mejor, un proveedor europeo o uno certificado en el DPF?
Un proveedor con datos alojados íntegramente en la UE te evita el riesgo de futuras anulaciones del marco. Un proveedor estadounidense certificado es legal hoy, pero te ata a la incertidumbre de la saga Schrems. Para datos especialmente sensibles, la opción europea aporta más estabilidad jurídica.
El siguiente paso
Entra ahora en dataprivacyframework.gov y comprueba si los tres servicios que más usas (tu correo, tu almacenamiento en la nube y tu CRM) aparecen certificados. Si alguno no está en la lista, anótalo: es el primer candidato a revisar en tu próxima auditoría de privacidad.
