¿Se pueden alojar datos de una empresa uruguaya en servidores de Europa? Ley 18.331

Guía informativa para empresas uruguayas que alojan un sitio o una aplicación en Europa. No es asesoría legal. Estado al 30.09.2026.

Respuesta corta

1El artículo 23 de la Ley 18.331 (promulgada el 11 de agosto de 2008) prohíbe transferir datos personales a países u organismos que no ofrezcan niveles de protección adecuados, pero prevé excepciones y otros supuestos permitidos, como el consentimiento inequívoco del titular.
2La Resolución 23/021 de la URCDP (8 de junio de 2021) considera adecuados a los miembros de la Unión Europea y del Espacio Económico Europeo; alojar datos en Alemania o Rumanía cae, por tanto, en países que la propia autoridad uruguaya reconoce como adecuados.
3La licitud del tratamiento sigue siendo responsabilidad de tu empresa: el proveedor de hosting no la asume ni la certifica.
44hosting aloja en Fráncfort, no en Uruguay, ofrece un contrato de prelucrare de datos (DPA) y cláusulas contractuales tipo, y no certifica que tu negocio cumpla la Ley 18.331.

Qué dice el artículo 23 de la Ley 18.331

La Ley 18.331 de Protección de Datos Personales (publicada el 18 de agosto de 2008) regula el tratamiento de datos en Uruguay. Su artículo 23, «Datos transferidos internacionalmente», establece la regla general: se prohíbe la transferencia de datos personales de cualquier tipo con países u organismos internacionales que no proporcionen niveles de protección adecuados según los estándares del Derecho Internacional o Regional en la materia.

El mismo artículo enumera casos en que la prohibición no rige (por ejemplo, cooperación judicial internacional, intercambio de datos médicos cuando el tratamiento lo exige, transferencias bancarias o bursátiles conforme a su legislación, y acuerdos en el marco de tratados). Además permite la transferencia en otros supuestos, entre ellos que el interesado haya dado su consentimiento inequívoco a la transferencia prevista o que sea necesaria para ejecutar un contrato con el interesado. Por último, la Unidad Reguladora y de Control de Datos Personales (URCDP) puede autorizar transferencias a un tercer país sin nivel adecuado cuando el responsable ofrezca garantías suficientes.

Qué países considera adecuados la URCDP

Según el artículo 23, corresponde a la URCDP establecer qué países u organizaciones ofrecen un nivel adecuado. La Resolución 23/021, de 8 de junio de 2021 (publicada el 16 de septiembre de 2021 en IMPO), dispone que se consideran adecuados, en particular, los miembros de la Unión Europea y del Espacio Económico Europeo, entre otros países que enumera.

Según resúmenes de estudios jurídicos, la lista fue ampliada después por la Resolución 63/023; no abrimos ese texto, así que no lo damos por verificado. Antes de decidir, consulta la versión vigente en el sitio de la URCDP o con tu asesor. Que el destino sea adecuado resuelve la cuestión del artículo 23, no el resto de las obligaciones de la ley, como informar a los titulares o adoptar medidas de seguridad.

Qué aporta 4hosting y qué no

El centro de datos de 4hosting está en la Unión Europea, en Fráncfort; no hay servidores en Uruguay. La empresa opera desde Rumanía y ofrece cumplimiento alineado con el RGPD, un contrato de prelucrare de datos conforme al artículo 28 del RGPD y cláusulas contractuales tipo, además de una alineación con ISO 27001 (no es una certificación).

4hosting no tiene certificaciones SOC 2 ni PCI DSS y no certifica el cumplimiento de la Ley 18.331 de ningún cliente. Desde Fráncfort la latencia hacia la región es baja en términos cualitativos; no publicamos cifras porque no las hemos medido.

Tres ejemplos

Comercio electrónico de Montevideo

Guarda pedidos y datos de contacto de clientes en una tienda en un VPS. Debe informar en su política de privacidad dónde se alojan los datos y conservar el contrato con el proveedor.

Empresa de software con clientes uruguayos

Almacena cuentas de usuarios en una base de datos en Europa. Le conviene documentar el destino, la base que usa para la transferencia y quién accede a los datos.

Agencia que administra sitios de terceros

Trata datos por cuenta de sus clientes; debe dejar por escrito con qué proveedores los aloja y bajo qué condiciones.

Errores frecuentes

Dar por hecho que la adecuación del destino cierra todas las obligaciones de la ley.
Usar una lista de países adecuados desactualizada sin revisar la versión vigente de la URCDP.
No tener contrato escrito con el proveedor sobre el tratamiento de los datos.
No informar a los titulares dónde se alojan sus datos.
Esperar que el proveedor certifique tu cumplimiento legal: corresponde a tu empresa y a tu asesor.

Cómo te ayuda 4hosting

Alojamos tu sitio en la Unión Europea con protección DDoS de capa 3 y 4 incluida, copia de seguridad diaria en cPanel, contrato de prelucrare de datos y migración gratuita. Si necesitas apoyo con endurecimiento de servidores o control de accesos, los servicios de DevOps y ciberseguridad se incluyen por horas en los planes que las contemplan. La facturación es en euros. 4hosting no certifica ni firma el cumplimiento legal de tu negocio.

Preguntas frecuentes

¿La Ley 18.331 prohíbe alojar datos fuera de Uruguay?

No de forma general. El artículo 23 prohíbe transferir a países sin nivel adecuado, con excepciones, y la Resolución 23/021 considera adecuados a los miembros de la UE y del EEE. Confirma tu caso con un asesor legal.

¿4hosting cumple la Ley 18.331 por mí?

No. 4hosting ofrece infraestructura en la Unión Europea, un DPA y cláusulas contractuales tipo; el cumplimiento de tu negocio es tu responsabilidad.

¿Dónde están los servidores de 4hosting?

En la Unión Europea: Fráncfort. No hay servidores en Uruguay.