Cloud Act y Microsoft 365: ¿dónde están sus datos y quién puede acceder a ellos?

La CLOUD Act obliga a un proveedor de nube sujeto al derecho estadounidense a entregar a la justicia estadounidense los datos que posee o controla, dondequiera que estén almacenados. Promulgada el 23 de marzo de 2018, añadió la sección 2713 al título 18 del Código de los Estados Unidos tras un litigio en el que Microsoft se negaba a entregar correos almacenados en su centro de datos de Dublín; el Tribunal Supremo archivó después el caso por carecer de objeto el 17 de abril de 2018. La ley no da ningún acceso directo a los servidores: funciona mediante un procedimiento judicial (orden o requerimiento) dirigido al proveedor, en el marco de investigaciones penales. El proveedor puede pedir su anulación si el cliente no es estadounidense y la divulgación podría vulnerar el derecho de un país vinculado a Estados Unidos por un acuerdo ejecutivo. El Departamento de Justicia estadounidense solo recoge dos acuerdos firmados, con el Reino Unido en 2019 y con Australia en 2021. Con la Unión Europea, las negociaciones se reanudaron en marzo de 2023, sin acuerdo publicado hasta la fecha. Para una empresa francesa, esta vía de impugnación no existe por ahora, aunque la ley mantiene el análisis de cortesía internacional derivado de la jurisprudencia.

La EU Data Boundary garantiza que la mayor parte de sus datos se almacena y se trata en la Unión Europea y la AELC, pero Microsoft Corporation sigue siendo una empresa estadounidense. Microsoft la desplegó en tres fases: datos de cliente de los servicios principales (Microsoft 365, Dynamics 365, Power Platform, Azure) en enero de 2023, registros seudonimizados en enero de 2024 y, después, datos de soporte técnico, con una finalización anunciada el 26 de febrero de 2025. Un tenant de Microsoft 365 está incluido si su país de registro está en la UE o la AELC, salvo que haya contratado Multi-Geo, según la documentación de Microsoft Learn. Algunos datos siguen saliendo de la frontera: acceso remoto de ingenieros situados fuera de la UE cuando una reparación lo exige, operaciones de seguridad realizadas a escala mundial, una parte del directorio de Microsoft Entra, títulos de los casos de soporte, servicios en versión preliminar y cualquier transferencia que usted mismo provoque, como un correo enviado fuera de la UE. Los centros de datos de París y Marsella añaden un compromiso contractual: para un tenant creado en Francia, Exchange Online, SharePoint, OneDrive, Teams y las interacciones con Copilot se almacenan en reposo en el país. Atención: desde el 14 de septiembre de 2026, el centro de administración muestra el ajuste «Store Microsoft 365 customer data in-country», desactivado por defecto para los tenants elegibles creados después de esa fecha. A partir del 14 de diciembre de 2026, un tenant que lo mantenga desactivado podrá ver sus datos trasladados a otro lugar dentro de la EU Data Boundary, según la página de Microsoft sobre residencia de datos. Si el alojamiento en Francia figura en sus contratos, compruebe este ajuste antes de esa fecha.

Microsoft se compromete, en su Centro de confianza de privacidad, a redirigir a las autoridades hacia el cliente, a avisar a este salvo prohibición legal, a impugnar cualquier solicitud de los poderes públicos en la medida en que la ley lo permita y a compensar a sus clientes empresariales si divulga sus datos vulnerando el RGPD. Su informe de transparencia da el orden de magnitud: en el segundo semestre de 2025, 190 solicitudes de las fuerzas del orden se refirieron a clientes empresariales en todo el mundo, y el 49 % terminó en una comunicación de información. En el mismo periodo, Microsoft entregó a la justicia estadounidense contenidos relativos a 3 clientes empresariales no estadounidenses cuyos datos estaban almacenados fuera de Estados Unidos, 1 de ellos situado en la UE o la AELC. El riesgo es bajo en volumen, pero no nulo. El 10 de junio de 2025, ante la comisión de investigación del Senado francés sobre contratación pública, el director de asuntos públicos y jurídicos de Microsoft France, invitado a garantizar bajo juramento que los datos de ciudadanos franceses nunca se transmitirían a las autoridades estadounidenses sin el acuerdo de Francia, respondió: «No, no puedo garantizarlo», aunque precisó que nunca había ocurrido.

El derecho europeo no reconoce de oficio una orden extranjera: según el artículo 48 del RGPD, la resolución de un órgano jurisdiccional de un tercer país que exija la comunicación de datos personales solo es ejecutable si se basa en un acuerdo internacional, como un tratado de asistencia jurídica mutua. El proveedor queda entonces atrapado entre dos ordenamientos, y en ese conflicto se apoyan las impugnaciones que promete Microsoft. Para las transferencias de datos personales a Estados Unidos, el marco vigente es el Data Privacy Framework UE-EE. UU., adoptado por la Comisión Europea el 10 de julio de 2023 sobre la base de la orden ejecutiva presidencial estadounidense del 7 de octubre de 2022, que limita las actividades de inteligencia. El Tribunal General de la Unión Europea desestimó el recurso del diputado francés Philippe Latombe el 3 de septiembre de 2025 (asunto T-553/23), y hay un recurso de casación pendiente ante el Tribunal de Justicia (asunto C-703/25 P). El marco se aplica, pero puede caer como les ocurrió antes al Safe Harbor y al Privacy Shield. Tenga en cuenta también que responde sobre todo a la cuestión de la inteligencia: las solicitudes judiciales de la CLOUD Act siguen sus propias reglas. Para cualquier decisión que le comprometa, haga validar el análisis por su DPO o un jurista.

El cifrado actúa directamente sobre lo que un tercero puede leer, siempre que Microsoft no tenga todas las claves. Microsoft 365 ya cifra los datos en reposo con claves gestionadas por Microsoft. Customer Key añade una capa cifrada con sus propias claves, guardadas en Azure Key Vault (dos suscripciones de Azure de pago, dos claves por directiva). Microsoft 365 sigue usando esas claves, con su autorización, para la búsqueda, el antispam o eDiscovery: su interés principal es la revocación, que provoca la eliminación criptográfica de los datos. Microsoft lo reserva a Microsoft 365 E5, Office 365 E5 y a los complementos Microsoft Purview Suite o Microsoft 365 E5 Information Protection and Governance; ni Business Premium ni E3 bastan. Double Key Encryption (DKE) va más allá: el documento queda protegido por dos claves, una de ellas alojada por usted, y Microsoft solo accede a una. A cambio, no hay coautoría, ni Office para la web, ni búsqueda ni eDiscovery, y Copilot no lee esos archivos. En su documentación de 2026, Microsoft la destina a alrededor del 5 % de los datos de una organización tipo. Está incluida en Microsoft 365 E5, con un precio de 58,13 € sin IVA por usuario y mes frente a 19,06 € de Business Premium (microsoft.com/fr-fr, 26 de octubre de 2026, compromiso anual), y en los mismos complementos. Queda saber qué proteger: las etiquetas de confidencialidad de Purview, aplicadas manualmente, están incluidas en Business Premium y E3, como detalla nuestro artículo sobre la gobernanza de datos con Microsoft Purview.

El referencial SecNumCloud de la ANSSI aborda la jurisdicción, no solo la ubicación. Su versión 3.2 del 8 de marzo de 2022 exige una sede en la UE, que el capital y los derechos de voto en manos de entidades de fuera de la UE no superen el 24 % individualmente ni el 39 % en conjunto, y que ningún subcontratista no europeo tenga la posibilidad técnica de obtener los datos. S3NS, filial de Thales asociada con Google Cloud, anunció el 17 de diciembre de 2025 la cualificación SecNumCloud 3.2 de su oferta PREMI3NS, que cubre servicios de infraestructura y plataforma, no una suite ofimática. Bleu, fundada por Orange y Capgemini para ofrecer Azure y Microsoft 365, anunció el 17 de abril de 2025 la validación del primer hito de su cualificación y aspiraba entonces al primer semestre de 2026. A 26 de octubre de 2026, su web la sigue presentando como «en cours de qualification» (en proceso de cualificación) y, según la prensa especializada, Microsoft 365 se cualificará después de los servicios de Azure. Para la mayoría de las pymes, la prioridad está, por tanto, en otra parte. Si un cliente público, una licitación o sus obligaciones derivadas de NIS 2 plantean la cuestión, incorpore desde ahora este calendario.

Empiece por lo que se comprueba en una hora y después aborde el cifrado categoría por categoría. Primero, en el centro de administración de Microsoft 365, abra la tarjeta de ubicación de datos (Settings, Org settings, Organization profile, Data location) y compruebe la geografía del tenant y el ajuste de almacenamiento en el país antes del 14 de diciembre de 2026. Después, enumere los datos que ningún tercero debe leer (secretos industriales, expedientes de RR. HH., datos de salud, ofertas en curso) y aplíqueles una etiqueta de Purview. Para esa pequeña parte, decida con su DPO si DKE justifica licencias E5 para los usuarios afectados. Por último, deje constancia del análisis en su registro de actividades de tratamiento. Nuestros consultores certificados revisan este punto con usted en una auditoría gratuita de 15 minutos, y nuestra página de seguridad presenta nuestro acompañamiento en torno a Microsoft 365.