Índice8
«Nuestro sitio debe estar alojado en Europa.» La petición es frecuente, y legítima. Sin embargo, mezcla dos preguntas que no se resuelven igual: dónde se almacenan los datos personales de los visitantes, una cuestión de cumplimiento, y desde dónde se sirven las páginas, una cuestión de velocidad. Un sitio estático tiene la ventaja de separarlas con claridad. Este artículo las aborda una por una. Si su sitio actual sigue ejecutando código en cada visita, nuestra guía de migración a un sitio estático con Astro explica lo que simplifica ese cambio.
En resumen
- El RGPD no impone alojar en Europa: regula las transferencias de datos personales fuera de la Unión.
- El marco que hoy autoriza las transferencias a Estados Unidos se validó en 2025, pero es objeto de un recurso de casación, y sus dos predecesores fueron anulados.
- En un sitio estático, las páginas no contienen ningún dato personal: todo se decide en el formulario, la medición de audiencia y los recursos de terceros.
- La velocidad depende de la distancia entre el visitante y el servidor: una red de distribución de contenidos la resuelve, en Europa y en cualquier otro lugar.
- Elegir un proveedor de alojamiento es preguntar dónde están los datos, bajo qué derecho opera y cómo se sale de él.
Dos preguntas, no una
El cumplimiento: adónde van los datos personales
Las solicitudes recibidas por el formulario
Las direcciones IP que leen la medición de audiencia y los recursos de terceros
Los registros del proveedor de alojamiento y de la red de distribución
El CRM y las copias de seguridad donde acaban las solicitudes
El rendimiento: desde dónde salen las páginas
La distancia entre el visitante y el servidor
El número de puntos desde los que se sirven los archivos
El peso de las páginas y el número de peticiones
Lo que se ejecuta, o no, en cada visita
Un sitio que genera sus páginas en cada visita mezcla las dos cosas: la base de datos que contiene las páginas contiene también las cuentas, los comentarios y a menudo las solicitudes. Un sitio estático las separa: las páginas son archivos sin ningún dato personal, que pueden servirse desde cualquier lugar, y los datos solo existen en los pocos sitios donde un visitante actúa.
Lo que dice el derecho
El RGPD no contiene ninguna obligación de alojar en Europa. Su capítulo V regula las transferencias de datos personales fuera del Espacio Económico Europeo: se permiten hacia un país reconocido como dotado de un nivel de protección adecuado, o con garantías apropiadas como las cláusulas contractuales tipo. Para Estados Unidos, ese marco ha cambiado tres veces, como recuerda el comunicado del Tribunal de Justicia de la Unión del 3 de septiembre de 2025:
- Octubre de 2015
El Tribunal de Justicia invalida el primer marco de transferencia a Estados Unidos (sentencia Schrems I).
- 16 de julio de 2020
Invalida el segundo, el «Privacy Shield» (sentencia Schrems II), pero valida las cláusulas contractuales tipo.
- 10 de julio de 2023
La Comisión adopta una nueva decisión de adecuación, el «Data Privacy Framework».
- 3 de septiembre de 2025
El Tribunal General de la Unión desestima el recurso de un diputado francés contra esa decisión.
- 31 de octubre de 2025
El diputado interpone un recurso de casación ante el Tribunal de Justicia.
A la fecha de este artículo, una transferencia a una empresa estadounidense certificada en ese marco es, por tanto, lícita. Las fuentes de la cronología: la sentencia Schrems II, la decisión de la Comisión y el recurso de casación interpuesto el 31 de octubre de 2025. Para una empresa que no quiere depender del resultado del recurso, mantener los datos personales en Europa con un proveedor europeo sigue siendo la respuesta más sencilla de explicar.
Se plantea una segunda pregunta: un proveedor estadounidense que almacena sus datos en un centro europeo. El Departamento de Justicia de Estados Unidos explica, en su nota sobre la CLOUD Act, que un proveedor sujeto al derecho estadounidense debe entregar los datos que controla en respuesta a un procedimiento válido, sea cual sea el lugar donde los almacene. La misma nota recuerda que muchos Estados tienen normas comparables para las empresas de su jurisdicción. La ubicación de los datos y la nacionalidad del proveedor son, por tanto, dos criterios distintos, y la elección entre ellos depende de sus clientes y de su sector. Nuestro artículo sobre la dependencia de Europa de la nube estadounidense amplía la cuestión al resto de sus herramientas.
Dónde están realmente los datos personales de un sitio
En un sitio estático, los datos personales pasan por unos pocos puntos, siempre los mismos:
- El formulario.
Cada solicitud contiene un nombre, una dirección de correo electrónico y a menudo un número de teléfono. Es el dato más sensible del sitio, y el único que se conserva.
- La medición de audiencia.
Según la herramienta, lee la dirección IP, instala cookies y envía los datos a su editor.
- Los recursos de terceros.
Una fuente tipográfica, un vídeo o un mapa cargados desde otro dominio transmiten la dirección IP del visitante a ese dominio.
- Los registros.
El proveedor de alojamiento y la red de distribución registran las peticiones, direcciones IP incluidas, durante el tiempo que ellos fijan.
El punto 3 es el que más se olvida, y un tribunal ya lo ha sancionado: en enero de 2022, el tribunal regional de Múnich condenó al responsable de un sitio a pagar 100 euros de indemnización a un visitante, porque las fuentes cargadas desde los servidores de Google transmitían su dirección IP sin su consentimiento. Servir las fuentes desde el propio sitio elimina el problema, sin cambiar la visualización.
Lo que hacemos en este sitio
Este sitio lo sirve Cloudflare, una empresa estadounidense, desde su red mundial. Esta elección se sostiene porque las páginas no contienen ningún dato personal. La red de Cloudflare ve, como cualquier proveedor de alojamiento, las direcciones IP de los visitantes en sus registros; lo que el sitio conserva, en cambio, se queda en Europa:
- las solicitudes del formulario se registran en un espacio de almacenamiento sujeto a la restricción de jurisdicción europea, que la documentación de Cloudflare describe como la garantía de que los objetos se almacenan en la Unión, y que ya no puede cambiarse tras la creación del espacio;
- las fuentes las sirve el propio sitio, sin llamar a un servicio de terceros;
- la medición de audiencia pasa todavía por Google Analytics: su sustitución por una herramienta sin cookies figura en nuestra lista de deuda técnica.
El mecanismo de registro de las solicitudes se detalla en nuestro artículo sobre los formularios y la búsqueda en un sitio estático.
Lo que la distancia cambia en la velocidad
La velocidad de carga depende en parte de la distancia: una petición que cruza un continente tarda más que una que se queda en la misma ciudad. Para un público europeo, un servidor en Europa está, por tanto, bien situado. Para un público mundial, un servidor único, esté donde esté, ralentiza a una parte de los visitantes.
Ahí es donde ayuda un sitio estático: sus páginas son archivos idénticos para todos, que una red de distribución copia en decenas de puntos y sirve desde el más cercano al visitante. La velocidad se mide después página por página, con los umbrales que publica Google, detallados en nuestro artículo sobre las Core Web Vitals para directivos.
Lo esencial
En un sitio estático, la pregunta «dónde alojar» se resuelve con dos respuestas: las páginas allí donde se sirven más rápido a su público, los datos personales allí donde usted quiera que se queden.
Tres configuraciones posibles
- Todo en Europa. Proveedor europeo, distribución desde Europa, formulario y medición de audiencia alojados en Europa. Lo más sencillo de explicar a un cliente o a un comprador público; proveedores como OVHcloud, Scaleway, Hetzner o Infomaniak lo permiten, entre otros.
- Las páginas en una red mundial, los datos en Europa. La configuración de este sitio: velocidad en todas partes, y los datos que conserva el sitio almacenados en la Unión.
- Un servidor propio, en Europa. Para un sitio que acompaña a aplicaciones de negocio ya alojadas en ese servidor. La distribución mundial y el mantenimiento vuelven a ser cosa suya, como explica nuestra comparativa Cloudflare, Netlify o VPS.
Las preguntas que hay que hacer a un proveedor de alojamiento
- ¿Dónde se almacenan los datos, y puede garantizarse por contrato? No solo los archivos: también los registros, las copias de seguridad y los datos del formulario.
- ¿Bajo qué derecho opera la empresa? Sede, empresa matriz y lo que eso implica ante las solicitudes de las autoridades.
- ¿Qué encargados intervienen? El artículo 28 del RGPD exige un contrato de encargo del tratamiento y la autorización previa de los subencargados: pida la lista.
- ¿Cuánto tiempo se conservan los registros? Con las direcciones IP, son datos personales.
- ¿Cómo se sale? Un sitio estático se traslada copiando una carpeta; los datos del formulario deben poder seguirle.
El resto del proyecto
El alojamiento es solo una pieza. Un sitio multilingüe sirve a varios públicos desde la misma configuración (un idioma, una dirección). El formulario es también el bloque que convierte una visita en una solicitud (los cinco bloques de un sitio corporativo). Un cambio de proveedor se hace sin pérdidas cuando las redirecciones 301 y las direcciones se mantienen, y el rediseño que lo acompaña ordena lo existente (las páginas que conservar, fusionar o eliminar). El coste anual depende de la configuración (cuánto cuesta un sitio de empresa), un WordPress añade sus propios datos que proteger (por qué se piratea un sitio WordPress), y un editor de contenidos también almacena datos en algún sitio (Astro y Sanity en headless, o Markdown en el repositorio o CMS). La obligación de accesibilidad se aplica sea cual sea el proveedor (lo que cambia la obligación de 2025), igual que la cuestión de decir que un texto lo ha escrito una IA.
Nuestras dos ofertas de sitio dejan elegir la configuración: el sitio corporativo para empezar de cero, la migración a un sitio estático para dejar un alojamiento que ejecuta código en cada visita, conservando las direcciones.
Preguntas frecuentes
¿Obliga el RGPD a alojar el sitio en Europa?
No. El RGPD regula las transferencias de datos personales fuera del Espacio Económico Europeo, sin imponer un lugar de alojamiento. Una transferencia se permite hacia un país reconocido como adecuado o con garantías apropiadas. Mantener los datos en Europa simplifica, no obstante, el cumplimiento, sobre todo si el marco de transferencia a Estados Unidos cayera por tercera vez.
¿Basta un proveedor estadounidense con un centro de datos en Europa?
Resuelve la ubicación de los datos, no la nacionalidad del proveedor. Según el Departamento de Justicia de Estados Unidos, un proveedor sujeto al derecho estadounidense debe entregar los datos que controla en respuesta a un procedimiento válido, estén donde estén almacenados. Según su sector y sus clientes, este criterio cuenta o no: decídalo de forma explícita.
¿Contiene datos personales un sitio estático?
Sus páginas, no: son archivos idénticos para todos los visitantes. Los datos personales llegan con el formulario, la medición de audiencia, los recursos cargados desde otros dominios, como fuentes o vídeos, y los registros del proveedor. Son esos pocos puntos los que hay que localizar y documentar, no el sitio entero.
¿Alojar en Europa ralentiza el sitio para los visitantes de fuera de Europa?
Un servidor único en Europa ralentiza a los visitantes lejanos, como cualquier servidor único. Un sitio estático servido por una red de distribución evita el problema: las páginas salen del punto más cercano al visitante. Los datos personales, en cambio, pueden seguir almacenados en Europa, con independencia del lugar desde el que salgan las páginas.
Fuentes
- Tribunal de Justicia de la Unión Europea, comunicado n.º 106/25, 3 de septiembre de 2025 (nueva pestaña)curia.europa.eu
- Tribunal de Justicia de la Unión Europea, comunicado n.º 91/20, 16 de julio de 2020 (nueva pestaña)curia.europa.eu
- Comisión Europea, comunicado del 10 de julio de 2023 (nueva pestaña)ec.europa.eu
- WilmerHale, diciembre de 2025 (nueva pestaña)wilmerhale.com
- Departamento de Justicia de Estados Unidos, The Purpose and Impact of the CLOUD Act, abril de 2019 (nueva pestaña)justice.gov
- IHK Bergische Region, sentencia del LG München I del 20 de enero de 2022 (nueva pestaña)ihk.de
- Cloudflare R2, ubicación de los datos (nueva pestaña)developers.cloudflare.com
Tribunal de Justicia de la Unión Europea, comunicado n.º 106/25, 3 de septiembre de 2025
Leer en curia.europa.eu(nueva pestaña)Tribunal de Justicia de la Unión Europea, comunicado n.º 91/20, 16 de julio de 2020
Leer en curia.europa.eu(nueva pestaña)Departamento de Justicia de Estados Unidos, The Purpose and Impact of the CLOUD Act, abril de 2019
Leer en justice.gov(nueva pestaña)IHK Bergische Region, sentencia del LG München I del 20 de enero de 2022
Leer en ihk.de(nueva pestaña)Jim · fundador de Brain Plus AI
Más artículos sobre sitios, migración y astro
Elegir y presupuestar7 min
Alojar un sitio estático: Cloudflare, Netlify o un VPS
Un sitio estático puede servirse casi desde cualquier lugar, pero no al mismo precio ni con las mismas trampas. Lo que se contabiliza en Cloudflare y en Netlify, los ajustes que sorprenden y los casos en que se justifica un servidor propio.
Guía práctica7 min
Formulario y búsqueda en un sitio estático: cómo hacerlo
Un sitio estático no es un sitio inmóvil: formulario, boletín, búsqueda interna o página renderizada bajo demanda se conectan uno a uno. Las soluciones, y la regla que evita perder solicitudes.
Entender9 min La guía del tema
Migrar a un sitio estático con Astro sin perder el SEO
Un sitio estático generado con Astro sustituye a un WordPress o un Drupal envejecido sin cambiar de direcciones: páginas en HTML puro servidas por una CDN, ningún plugin que parchear y una cadena de publicación con vuelta atrás. Lo que cambia, cómo se migra y cuándo no hay que hacerlo.