Usar un proveedor de formularios estadounidense según el RGPD

Los artículos 44 a 49 del RGPD regulan las transferencias de datos personales a países fuera de la UE y del EEE. Una transferencia requiere una de tres cosas: una decisión de adecuación para el destino (artículo 45), garantías adecuadas, como las cláusulas contractuales tipo (artículo 46), o, en casos puntuales, una de las excepciones del artículo 49.

En un formulario, el proveedor que recibe y almacena los envíos es el lugar más obvio en el que fijarse. Pero no es el único. El correo de notificación puede llegar a un buzón alojado en el extranjero, y un webhook o una herramienta de automatización puede reenviar esos mismos datos. Cada uno de esos casos es una cuestión distinta.

El 16 de julio de 2020, el Tribunal de Justicia dictó sentencia en el asunto Data Protection Commissioner contra Facebook Ireland y Schrems (C-311/18). Anuló el Escudo de Privacidad UE-EE. UU., al considerar que la legislación estadounidense en materia de vigilancia y los recursos disponibles para los europeos no cumplían el estándar de la UE.

El Tribunal mantuvo válidas las cláusulas contractuales tipo, con una condición: el exportador debe comprobar, caso por caso, si la legislación del país de destino permite al importador cumplir sus compromisos, y añadir medidas complementarias cuando no sea así. El Comité Europeo de Protección de Datos explicó cómo hacerlo en sus Recomendaciones 01/2020 sobre medidas complementarias, adoptadas en su versión definitiva el 18 de junio de 2021.

El 10 de julio de 2023, la Comisión adoptó la Decisión de Ejecución (UE) 2023/1795, en la que concluye que Estados Unidos garantiza un nivel de protección adecuado para los datos enviados a empresas certificadas en el Marco de Privacidad de Datos UE-EE. UU. Se apoya en la Orden Ejecutiva 14086 de EE. UU., que introdujo límites a la inteligencia de señales y una vía de recurso ante un Tribunal de Revisión de la Protección de Datos.

Para el responsable de un formulario, esto significa que, si el proveedor estadounidense está certificado y su certificación cubre el tipo de datos que envías, la transferencia no necesita ninguna otra herramienta. Puedes comprobar una empresa en la lista oficial del Marco de Privacidad de Datos. Un proveedor que no figure en la lista necesita otra base, normalmente las cláusulas contractuales tipo.

El marco ha sido impugnado. El Tribunal General desestimó el recurso en el asunto Latombe contra Comisión (T-553/23) el 3 de septiembre de 2025, y el demandante recurrió ante el Tribunal de Justicia como asunto C-703/25 P. Dos acuerdos anteriores, Puerto Seguro y el Escudo de Privacidad, fueron anulados por ese tribunal, por lo que muchas organizaciones mantienen en sus contratos una alternativa por si el marco también cae.

Las cláusulas vigentes se adoptaron en la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021. Se dividen en módulos para distintas relaciones; para un servicio de formularios que actúa por tu cuenta, el habitual es el de responsable a encargado. Usarlas implica realizar una evaluación de impacto de la transferencia y dejar constancia del resultado, lo que supone un trabajo considerable para una web pequeña. Esa es una de las razones por las que el Marco de Privacidad de Datos es tan popular entre los proveedores estadounidenses que están certificados.

Estas preguntas valen igual para proveedores de EE. UU. y de Europa, y un buen proveedor las responde en documentos públicos:

1. ¿Dónde se almacenan los envíos, los archivos subidos y las copias de seguridad?
2. ¿Qué subencargados tratan los datos de los envíos, y en qué países?
3. Para cada transferencia fuera de la UE, ¿qué mecanismo se aplica: decisión de adecuación, certificación DPF o cláusulas contractuales tipo (SCC)?
4. ¿El DPA está publicado o disponible antes de registrarte, y enumera los subencargados?
5. ¿Puede el personal ajeno a la UE acceder a los datos para dar soporte, y con qué controles?
6. ¿El email de notificación incluye el envío completo, y puedes desactivarlo?
7. ¿Cómo gestiona el proveedor una solicitud de datos de una autoridad extranjera?

Nuestras páginas de comparación recogen lo que varios proveedores dicen públicamente sobre la ubicación de los datos. Consulta también sus documentos actuales, ya que las políticas cambian.

Formward lo opera una empresa sueca. La aplicación, la base de datos y los archivos subidos están alojados en Suecia. El email de notificación lo envía un proveedor europeo, y las funciones opcionales de IA de los planes Professional y Business se ejecutan en Mistral, en la UE. La facturación pasa por Stripe Payments Europe, Limited, en Irlanda, y solo afecta a los datos de facturación del propio cliente que paga.

El único punto de contacto con EE. UU. es Cloudflare Turnstile, una comprobación antibots que está desactivada salvo que la actives para un formulario. Cuando está activa, Cloudflare recibe datos de la verificación desde el navegador del visitante, no las respuestas del formulario. Los destinos que añades tú, como un webhook, un canal de Slack o un buzón alojado en otro sitio, reciben los datos allí donde los indiques.