¿Podés alojar datos personales de clientes argentinos en servidores de la Unión Europea?
Sí, podés. La Unión Europea está en la lista de países con protección adecuada de la AAIP. Acá te explicamos qué dice la Ley 25.326, qué obligaciones siguen siendo tuyas y qué errores evitar.
Respuesta corta
- 1Sí. La Ley 25.326 prohíbe transferir datos personales a países sin protección adecuada, pero la AAIP incluye a los Estados miembros de la Unión Europea y del Espacio Económico Europeo en su lista de países adecuados.
- 2La lista surge de la Disposición 60-E/2016, actualizada por la Resolución 34/2019, así que para enviar datos a un servidor en la UE no necesitás autorización previa de la AAIP.
- 3Seguís siendo el responsable de la base: tenés que inscribirla en el Registro Nacional de Bases de Datos Personales cuando corresponda, informar a los titulares y aplicar medidas de seguridad.
- 4Con el proveedor de hosting firmá un contrato de encargado del tratamiento: la ley exige que quien presta servicios informatizados use los datos solo para lo pactado.
- 5Si el proveedor copia datos a un país que no está en la lista (por ejemplo, un backup fuera de Europa), esa segunda transferencia necesita cláusulas modelo o autorización.
Qué dice el artículo 12 de la Ley 25.326
El artículo 12 establece la regla general: está prohibida la transferencia de datos personales de cualquier tipo a países u organismos internacionales que no proporcionen niveles de protección adecuados. Las excepciones del propio artículo (cooperación judicial, datos médicos, transferencias bancarias o bursátiles, tratados internacionales, cooperación de inteligencia) no cubren el caso de una empresa que contrata hosting.
Por eso lo que importa es si el país de destino es adecuado. La autoridad de aplicación es la Agencia de Acceso a la Información Pública (AAIP).
La lista de países adecuados: la UE está adentro
Según la Disposición 60-E/2016 y la Resolución 34/2019, se consideran adecuados los Estados miembros de la Unión Europea y del Espacio Económico Europeo, el Reino Unido, Suiza, Guernsey, Jersey, la Isla de Man, las Islas Feroe, Canadá (solo sector privado), Andorra, Nueva Zelanda, Uruguay e Israel (solo tratamiento automatizado).
La relación es recíproca: la Comisión Europea reconoce a la Argentina como país adecuado desde 2003 y revalidó esa decisión el 15 de enero de 2024. Esa revalidación regula el sentido inverso (datos que salen de Europa hacia la Argentina), pero confirma que ambos regímenes se consideran equivalentes.
Cuando el destino no es adecuado
Si parte de tu infraestructura vive fuera de la lista, tenés dos caminos sin pedir autorización previa: las cláusulas contractuales modelo aprobadas por la Resolución 198/2023 (de responsable a responsable y de responsable a encargado) o normas corporativas vinculantes dentro de un mismo grupo económico, según la Resolución 159/2018. Si usás un contrato propio distinto de los modelos, tiene que pasar por la AAIP.
Tres casos argentinos
Una tienda online de Rosario
Guarda nombres, direcciones y teléfonos de compradores en un servidor en Alemania. Como Alemania es miembro de la UE, la transferencia es lícita; lo que la tienda tiene que revisar es su registro de la base, su política de privacidad y el contrato con el hosting.
Un estudio contable de Córdoba
Aloja legajos de clientes en un VPS europeo y configura el backup automático en un proveedor de almacenamiento con sede fuera de la lista. El servidor principal está bien; el backup es una segunda transferencia que necesita cláusulas modelo.
Un SaaS porteño que vende en la región
Procesa datos de usuarios argentinos en la UE y además tiene clientes europeos. Le conviene documentar ambos lados: Ley 25.326 para lo que sale de la Argentina y RGPD para lo que trata en Europa.
Errores frecuentes
- Creer que "en la UE" alcanza y no firmar un contrato de encargado con el proveedor.
- Olvidar los subencargados: CDN, correo transaccional o backups que copian datos a otros países.
- Suponer que la inscripción en el Registro Nacional de Bases de Datos Personales la hace el hosting. Es obligación del responsable.
- No informar a los titulares, en la política de privacidad, dónde se almacenan sus datos.
Cómo te ayuda 4hosting
Nuestros centros de datos están en la Unión Europea (Frankfurt), no en la Argentina: tus datos quedan en un destino que la AAIP considera adecuado. Firmamos un contrato de encargado del tratamiento (DPA, art. 28 RGPD) y trabajamos con alineación con ISO 27001 (no certificación).
Cada plan VPS, dedicado o GPU, y los planes cPanel desde Advanced, incluye horas mensuales de DevOps y CyberSecurity: podés usarlas para hardening, backups dentro de la UE o revisión de accesos. La migración es gratuita y facturamos en EUR.
No somos certificadores: el cumplimiento de la Ley 25.326 lo determinás vos, con tu asesor legal.
Consultanos por tu caso →Preguntas frecuentes
¿Necesito autorización de la AAIP para usar un servidor en Alemania?
No. Alemania es Estado miembro de la Unión Europea y la UE figura en la lista de países con protección adecuada de la Disposición 60-E/2016 y la Resolución 34/2019. Tus demás obligaciones como responsable siguen vigentes.
¿El RGPD se aplica a mis datos argentinos por estar en Europa?
Si tu proveedor está establecido en la UE, trata los datos bajo el marco europeo como encargado. Vos, como responsable argentino, respondés ante la Ley 25.326. Consultá a tu asesor legal para tu caso concreto.
¿4hosting certifica que cumplo con la Ley 25.326?
No. 4hosting ofrece infraestructura en la UE y un contrato de encargado (DPA); el cumplimiento de tu base de datos lo determinás vos con tu asesor.