Solicitudes transfronterizas de datosUna demanda tiene que convertirse en una orden allí donde está el disco, o se queda en una carta.

La expresión que este mercado usa y nunca explica

Basta con leer lo suficiente sobre este sector para toparse con la misma afirmación en dos direcciones opuestas. Una dice que un servidor en el extranjero está sencillamente fuera de alcance. La otra dice que nada de eso importa porque de todos modos van a conseguir los datos. Ambas son suposiciones, y aquello sobre lo que especulan tiene un nombre, un procedimiento, una cola y un rastro documental.

Un investigador de un país que quiere registros en poder de una empresa de otro tiene abierto un pequeño número de vías — cinco, siendo generosos con la cuenta. Solo una de ellas es el tratado que todo el mundo nombra y nadie describe. Dos son más rápidas que el tratado y se apoyan en un criterio que no tiene nada que ver con dónde está el hardware. Y las vías más rápidas de todas no son derecho en absoluto, que es la parte de todo esto que realmente acaba con los sitios web.

Las cinco vías para atravesar una frontera

Se diferencian en a quién se notifica, quién puede negarse, y si un juez llega alguna vez a leer el expediente. Aproximadamente de la más rápida a la más lenta, lo cual es casi el orden inverso al peso que tiene cada una.

Tres de las cinco terminan con alguien local notificando un documento local, y esa es la frase que vale la pena llevarse de la tabla. Las otras dos piden a una empresa que actúe sobre un documento que no tiene fuerza donde esa empresa se encuentra. Que “offshore” signifique algo en absoluto es, casi por completo, la pregunta de qué hace un proveedor con esas dos.

Qué es en realidad la asistencia jurídica mutua

Un MLAT es un tratado entre dos estados que se prometen ayuda mutua en materia penal: pruebas, testimonios, registros, notificación de documentos. Existen cientos de ellos, casi todos bilaterales; solo Estados Unidos es parte de más de sesenta. Existen porque un fiscal no tiene poder en el extranjero y una orden judicial es un instrumento nacional. El tratado no le da al estado solicitante alcance. Le da una cola.

La cola pasa por oficinas designadas llamadas autoridades centrales, y una solicitud se traslada de una a la siguiente en lugar de enviarse directamente. En Estados Unidos esa oficina es la Oficina de Asuntos Internacionales del Departamento de Justicia; en otros lugares suele ser el ministerio de justicia. La cadena tiene casi siempre la misma forma:

1. Un investigador redacta la solicitud y se la entrega a su propia autoridad central, con el formato que especifica el tratado, indicando el delito y los registros que se piden.
2. Esa autoridad comprueba que la solicitud entra dentro del tratado y la transmite a la autoridad central del estado requerido. En este paso se devuelven solicitudes por ser vagas, y son muchas las que lo son.
3. La autoridad receptora la contrasta con el derecho de su propio país y se la entrega a un fiscal local o a un juez instructor.
4. Ese fiscal solicita a un tribunal local una orden nacional, exactamente igual que haría en un caso interno, sobre bases del derecho interno.
5. El tribunal concede o deniega. Si concede, se notifica a la empresa una orden nacional — en su propio país, en su propio idioma, bajo su propio derecho.
6. Lo que se obtiene viaja de vuelta por la misma cadena en sentido inverso, con una cola propia en cada paso.

Una carta rogatoria es el mismo viaje sin nada debajo: una solicitud de un tribunal de un país a un tribunal de otro, enviada por canales diplomáticos y concedida como cuestión de cortesía y no de obligación. Es lo que se usa donde no existe ningún tratado, y es más lenta que el mecanismo del que la gente ya se queja por lento.

Los cuatro filtros que una solicitud tiene que superar

Esto no son formalidades. Es donde ocurre el desgaste, y tres de los cuatro los aplican personas sin ningún interés en la investigación.

1. Doble incriminación. La mayoría de los tratados permiten denegar la asistencia cuando la conducta descrita no es también un delito en el estado requerido. Un país cuyo derecho no reconoce el delito no tiene nada que instruir a sus propios tribunales.
2. Especificidad. La solicitud tiene que nombrar lo que pide con precisión suficiente para que un juez local pueda firmar una orden al respecto. “Todo lo relacionado con este sitio web” no es algo para lo que un tribunal de un estado de derecho emita una orden.
3. El propio derecho del estado requerido. La orden que finalmente llega es una orden nacional, así que tiene que cumplir los requisitos internos — proporcionalidad, protección de datos, y en la Unión Europea el artículo 48 del RGPD, que solo hace reconocible una demanda de un tercer país cuando la respalda un acuerdo internacional.
4. El registro tiene que existir. Ningún tratado obliga a una empresa a entregar algo que no tiene, y ningún tribunal le ordena reconstruirlo.

El cuarto filtro es el único sobre el que un cliente tiene alguna influencia, y por eso es el único en el que vale la pena invertir dinero. Todo lo demás de esa lista es el procedimiento de otro. Qué hay en los registros es una decisión que toma un proveedor años antes de que llegue la solicitud, y que toma usted cuando elige qué anota su propia aplicación — que es el tema de qué registra su propio sitio sobre sus lectores.

Por qué tarda tanto como tarda

Cada eslabón de esa cadena es una mesa con trabajo acumulado, y los retrasos se suman en lugar de superponerse. La cifra que suele citarse para una solicitud de asistencia jurídica mutua ya completada ronda los diez meses, y no procede de este sector: la reportó en 2013 el propio grupo de revisión sobre inteligencia y tecnologías de las comunicaciones de Estados Unidos, y la Comisión Europea citó una cifra comparable cuando defendía el instrumento que se describe dos secciones más abajo. Nada desde entonces la ha hecho drásticamente más rápida.

Diez meses no son ni un tecnicismo ni un motivo para relajarse, y tratarlo como cualquiera de las dos cosas es un error. Es un hecho estructural de un proceso con seis colas dentro, y es la razón por la que existe la solicitud de preservación: un instrumento breve, enviado el primer día, que pide que los registros que existen hoy dejen de eliminarse mientras funciona la lenta maquinaria. La preservación es la parte que la gente pasa por alto cuando piensa en los plazos. Una demanda que no produce nada en un año puede, aun así, haber congelado algo la primera tarde — si es que había algo que congelar.

La CLOUD Act tiene que ver con la empresa, no con el país

En 2013 Estados Unidos notificó a Microsoft una orden judicial sobre correo almacenado en Dublín. Microsoft alegó que una orden nacional no alcanzaba a Irlanda. El caso llegó hasta el Tribunal Supremo, y en marzo de 2018 el Congreso lo dejó sin objeto al aprobar la CLOUD Act.

Lo que hizo la CLOUD Act cabe en una frase, y es la frase que este mercado debería haber leído. Modificó la Stored Communications Act — 18 U.S.C. §2703 — para exigir que un proveedor sujeto a la jurisdicción de Estados Unidos entregue los datos que tenga en su posesión, custodia o control, independientemente de que esos datos estén almacenados dentro de Estados Unidos o no.

Ahora léala por lo que no dice. No dice absolutamente nada sobre dónde está el servidor. La ubicación del disco dejó de ser la pregunta; la única pregunta que plantea la CLOUD Act es si la empresa que lo tiene puede ser alcanzada por un tribunal estadounidense. Una corporación estadounidense con un centro de datos en Fráncfort queda dentro. Una empresa sin presencia en Estados Unidos queda fuera, y que el disco esté en Virginia no cambiaría nada — para eso, Estados Unidos vuelve a estar en la cola descrita más arriba.

La CLOUD Act también abrió una segunda vía: los acuerdos ejecutivos entre Estados Unidos y un gobierno extranjero que cumpla los requisitos, en virtud de los cuales las autoridades de cada lado pueden notificar órdenes directamente a proveedores del otro. El Reino Unido firmó el primero en 2019 y entró en vigor en 2022; Australia lo siguió. Estos acuerdos alcanzan a los proveedores que están al alcance de los gobiernos firmantes y a nadie más, que es la misma prueba de siempre, disfrazada de otra cosa.

Qué cambió en Europa en agosto de 2026

La Unión Europea ha construido su propia versión de la vía directa, y empezó a aplicarse el 18 de agosto de 2026 — lo bastante reciente como para que la mayoría de las páginas de este mercado todavía no se hayan puesto al día. El Reglamento (UE) 2023/1543 crea la Orden Europea de Producción y la Orden Europea de Preservación: una autoridad de un estado miembro puede dictar una orden y notificarla directamente a un proveedor de servicios que opere en la Unión, sin pasar por las autoridades del segundo estado, como hace la asistencia mutua.

Su complemento, la Directiva (UE) 2023/1544, es la parte que lo hace funcionar. Los proveedores que ofrecen servicios en la Unión deben designar un establecimiento o un representante legal en un estado miembro para recibir estas órdenes. Esa designación es el gancho, y es la prueba de la CLOUD Act escrita al revés, a la europea: el instrumento alcanza a quien haya aceptado, por operar allí, ser alcanzable.

La última fila es la que más a menudo se cita mal. El Convenio de Budapest sobre la Ciberdelincuencia — tratado del Consejo de Europa ETS 185, abierto a la firma en 2001 y hoy ratificado mucho más allá de Europa — establece la conservación rápida de datos en el artículo 29, la asistencia mutua sobre datos almacenados en el artículo 31, y en el artículo 35 exige que cada parte mantenga un punto de contacto disponible las veinticuatro horas del día. El artículo 32(b), el que se cita como un poder general de acceso remoto, lo permite únicamente cuando los datos son de acceso público o cuando la persona legalmente facultada para divulgarlos consiente en ello. Es una puerta estrecha, y no es una puerta trasera.

Las dos vías que nunca llegan ante un juez

Esta es la mitad incómoda de la respuesta. Todas las vías anteriores son lentas, formales y contables — el informe al final de esta página las cuenta. Las vías que realmente acaban con la mayoría de los sitios web no son nada de eso, y un lector que ha seguido la maquinaria de los tratados hasta aquí normalmente se está preocupando por lo que no debe.

• El operador de tránsito. Un proveedor alquila tránsito a operadores de red y espacio en una instalación. Una denuncia enviada a esos en lugar de al proveedor llega a una parte sin ninguna relación con usted y sin nada que perder por actuar sobre ella. Quien la responde es un proveedor que es dueño de esa relación y que ya se ha negado antes.
• El registrador. Un dominio es una licencia de un registro dentro de su propia jurisdicción, y un registro puede suspender un nombre sin tocar el servidor en absoluto. La máquina sigue respondiendo; nada resuelve. Es una superficie de ataque distinta, con su propia guía.
• La vía de pago. Un procesador de tarjetas puede congelar una cuenta ante una denuncia, a su antojo, sin nada que merezca llamarse proceso y sin apelación posible. Es la mayor parte del motivo por el que aquí la liquidación es solo on-chain.
• La mesa de abusos. Una denuncia la lee una persona en otra mesa, con otro reloj, contra una política y no contra una ley. Quién lee su denuncia lo describe desde dentro.

Ninguna de esas cosas es una solicitud transfronteriza de datos, y precisamente por eso tienen su sitio en una guía sobre solicitudes transfronterizas de datos. La amenaza que la gente compra hosting offshore para resolver frecuentemente no es la amenaza que termina alcanzándola.

Cómo leer la estructura de un proveedor a la luz de todo esto

Todo lo anterior se reduce a un puñado de hechos comprobables sobre una empresa, y cada uno de ellos se puede establecer antes de gastar nada.

1. Qué entidad figura en la factura, y dónde está registrada. No la región, no la bandera en el mapa: la empresa con la que usted está formando un contrato.
2. Una sola entidad, o una por cada región. Una única empresa que opera en ocho países es un solo demandado con ocho direcciones, y una orden contra ella las alcanza todas.
3. Si hay algo en el grupo alcanzable desde la jurisdicción en la que usted está pensando. Una matriz, una filial, una oficina, una cuenta bancaria. Esta es la prueba de la CLOUD Act, y se aplica mucho más ampliamente de lo que se aplica ella misma.
4. Qué dice el proveedor que hace con una orden extranjera. Por escrito, con un plazo, publicado antes de necesitarlo.
5. Qué publica después. Un recuento de lo que llegó, lo que superó el umbral, y lo que realmente se entregó. La tercera cifra es la que nadie falsea de forma convincente, porque es la que resultaría embarazosa.
6. Qué existe siquiera para ser entregado. La última pregunta, y al final la única que decide algo.

La estructura de esta red es de ocho regiones y ocho empresas, cada una en el registro de su propio país, que es la razón por la que una orden obtenida contra una no es ejecutable contra otra sin empezar todo el proceso de nuevo en el segundo país. Es una forma cara de organizar un negocio, y está organizada así únicamente por esta razón; los términos lo dicen en la cláusula 1, y la lista de entidades está en la página de la empresa.

Qué aspecto tiene esto en las cifras

Esta red publica lo que llega, por trimestre, y lo hace desde que abrió. De 164 solicitudes de las fuerzas del orden recibidas hasta la fecha, 54 superaron el umbral legal — una orden de un tribunal con jurisdicción sobre la entidad notificada — y 31 produjeron algo.

La cifra que vale la pena leer es la brecha. Ciento diez solicitudes, dos tercios de todo lo que llegó, nunca superaron la pregunta de la que trata toda esta guía: si esto fue notificado por un tribunal capaz de alcanzar a la empresa a la que se notificó. Eso no es una tasa de negativa ni es desafío. Es la forma que tiene el problema, en una muestra de una sola empresa.

La segunda cifra está en el otro extremo. De las treinta y una que produjeron algo, lo producido es inventario — una dirección de correo electrónico asociada a una cuenta, un asiento en un libro contable on-chain — y nunca el contenido de un disco. No porque se haya resistido heroicamente, sino porque un registro que nunca se creó no se le puede entregar a nadie. El informe completo está en la página de transparencia, y el proceso que cuenta está descrito en la política para las fuerzas del orden.

Preguntas que la gente hace de verdad

Todos los precios de este conjunto se publican íntegros, en un solo lugar. Ver todo el catálogo