En resumen: usar Google Workspace o Microsoft 365 no te hace cumplir el RGPD por defecto. Tu empresa, como responsable del tratamiento, debe contar con un contrato de encargo (art. 28), analizar las transferencias a EE. UU., configurar la seguridad (art. 32), regular el uso de las herramientas con sus empleados (art. 87 LOPDGDD) y tener un protocolo de brechas.
El correo, la edición colaborativa y el almacenamiento de archivos se gestionan hoy casi siempre en suites cloud, y Google Workspace y Microsoft 365 son el estándar en pymes y grandes empresas. Esa adopción masiva suele ir acompañada de una falsa sensación de seguridad: asumir que el proveedor resuelve el cumplimiento. No es así. Estas plataformas implican un volumen masivo de datos personales, posibles transferencias internacionales y configuraciones técnicas que deben alinearse con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
Reparto de responsabilidades: responsable y encargado
| Tu empresa (responsable, art. 4.7 RGPD) | Google / Microsoft (encargado, art. 4.8 RGPD) | |
|---|---|---|
| Legal | Base de legitimación, información a los interesados, RAT (art. 30), EIPD (art. 35), contrato de encargo (art. 28) | Tratar los datos solo según instrucciones documentadas y asumir las obligaciones del art. 28.3 |
| Técnico | Usuarios, permisos, MFA, enlaces externos, retención, ubicación de datos | Seguridad física, cifrado de la infraestructura, disponibilidad |
| Organizativo | Política de uso, formación, offboarding, gestión de brechas | Notificar al responsable las brechas sin dilación indebida (art. 33.2) |
Matiz importante: los grandes proveedores actúan como encargados para los datos de tu organización, pero pueden actuar como responsables en determinados tratamientos propios (por ejemplo, datos de diagnóstico o ciertas operaciones del negocio). Revisa en su documentación qué tratamientos quedan fuera del encargo y desactiva o limita los que puedas.
El contrato de encargo (art. 28 RGPD)
El art. 28 RGPD exige un contrato que vincule al encargado. Google (Cloud Data Processing Addendum) y Microsoft (Products and Services DPA) lo incorporan a sus condiciones. Compruébalo en la consola de administración: que esté aceptado, que corresponda a tu entidad legal y que conserves copia. Revisa las condiciones vigentes sobre subencargados y su aviso previo.
Transferencias a EE. UU. y Data Privacy Framework
Situación actual. La Decisión de Ejecución (UE) 2023/1795 declara adecuado el nivel de protección de las entidades estadounidenses certificadas en el DPF. Mientras siga vigente, no necesitas otro mecanismo (CCT, BCR) para transferir datos a un proveedor certificado.
Verifica:
- Que Google LLC o Microsoft Corporation consten como certificadas en el registro oficial (dataprivacyframework.gov) y que la certificación cubra el tipo de datos que transfieres (incluidos los de recursos humanos).
- Que tu documentación refleje la base de transferencia que utilizas.
Riesgo vigente. El DPF ha superado una primera impugnación, pero no es definitivo:
- El Tribunal General desestimó el recurso Latombe en septiembre de 2025, y el recurso de casación (C-703/25 P) está pendiente ante el TJUE. secureprivacy
- La sentencia Trump v. Slaughter (29 de junio de 2026) ha llevado a noyb a sostener que la FTC ya no es independiente y a pedir a la Comisión la retirada de la decisión de adecuación. ppc
- El marco no ha sido anulado. pinmeto
Qué hacer: no es motivo para dejar de usar estas herramientas, pero sí para tener un plan B:
- Comprueba que el DPA incluya Cláusulas Contractuales Tipo como mecanismo de respaldo.
- Documenta una evaluación de impacto de la transferencia (TIA) para ese escenario.
- Define medidas complementarias: residencia de datos en la UE, cifrado con claves gestionadas por ti cuando el plan lo permita y minimización.
- Vigila la evolución del TJUE y de la Comisión.
Configuración técnica con impacto en el RGPD
1. Ubicación de los datos
Google Workspace (regiones de datos, según edición) y Microsoft 365 (EU Data Boundary y Multi-Geo, según contrato) permiten fijar en el EEE la ubicación de datos en reposo de correo, almacenamiento y colaboración. Comprueba qué servicios y qué ediciones están cubiertos.
Ojo: la residencia en la UE no equivale a ausencia de transferencia. Pueden existir accesos remotos de soporte desde terceros países, y los proveedores estadounidenses están sujetos a requerimientos de autoridades de su país. Trátala como medida complementaria, no como sustituto del análisis de transferencias.
2. Accesos y autenticación (art. 32 RGPD)
El RGPD exige medidas apropiadas al riesgo. En cuentas corporativas en la nube, la autenticación multifactor es hoy una medida de referencia que cualquier autoridad esperará ver. Para entidades del sector público o proveedores suyos puede aplicar además el Esquema Nacional de Seguridad (RD 311/2022).
- MFA para todas las cuentas, con prioridad en administradores. Mejor con llaves FIDO2 o aplicaciones de autenticación que con SMS.
- Mínimo privilegio: roles delegados en lugar de administradores globales para tareas diarias.
- Offboarding: baja inmediata de accesos y licencias, con un procedimiento claro sobre el buzón y los archivos del trabajador saliente (reenvío, conservación y acceso del responsable), respetando el art. 87 LOPDGDD.
3. Compartición externa
- Desactiva o limita los enlaces “cualquiera con el enlace”.
- Exige caducidad, contraseña o autenticación del destinatario para información sensible.
- Usa etiquetas de sensibilidad y DLP para detectar datos personales en riesgo de salida.
4. Retención y minimización
Las políticas de retención evitan pérdidas, pero también deben respetar el principio de limitación del plazo de conservación (art. 5.1.e RGPD) y el bloqueo del art. 32 LOPDGDD. Define plazos por categoría de dato, evita conservar todo indefinidamente por defecto y comprueba que puedes localizar y suprimir datos para atender los derechos de los interesados (arts. 15 a 22).
5. Funciones de IA integradas (Copilot, Gemini)
Si activas asistentes de IA, revisa antes qué datos procesan, quién tiene acceso a qué (los permisos excesivos se amplifican) y si debes actualizar la EIPD, el RAT y la información a los interesados. Tenlo también presente en el marco del Reglamento (UE) 2024/1689 de IA.
Vigilancia del uso en el trabajo: art. 87 LOPDGDD
El acceso del empleador a contenidos derivados de dispositivos digitales y cuentas corporativas está condicionado por el art. 87 LOPDGDD: los criterios de utilización deben establecerse con participación de los representantes de los trabajadores y comunicarse a la plantilla, y si se admite uso personal, deben fijarse con precisión los usos autorizados. Los registros de actividad (logs) y la inspección de buzones deben respetar esos límites, la proporcionalidad y la información previa.
Brechas de seguridad en entornos SaaS
El phishing dirigido y el robo de credenciales son los incidentes más frecuentes. Recae en tu empresa, como responsable, el deber de gestionarlos, aunque el proveedor también responde de sus propias obligaciones.
- Contención: bloquea cuentas, revoca sesiones y tokens, restablece credenciales y revisa reglas de reenvío y delegaciones sospechosas.
- Alcance: audita los registros para determinar a qué datos accedió el atacante, incluidas categorías especiales.
- Notificación a la AEPD (art. 33 RGPD): en un máximo de 72 horas desde que el responsable tiene conocimiento de la brecha, salvo que sea improbable que entrañe riesgo para los derechos y libertades. Si no tienes toda la información, puedes notificar por fases (art. 33.4).
- Comunicación a los afectados (art. 34): sin dilación indebida si el riesgo es alto.
- Documentación (art. 33.5): registra todas las brechas, también las no notificadas, con sus causas, efectos y medidas.
NIS2: si tu empresa es entidad esencial o importante, tendrá además obligaciones propias de notificación de incidentes. En España, la ley de transposición seguía en tramitación a mediados de 2026. Comprueba su estado en el BOE. nisd2
Checklist de cumplimiento
| Ámbito | Acción | Fundamento | Prioridad |
|---|---|---|---|
| Legal | Contrato de encargo (DPA) aceptado y archivado | Art. 28 RGPD | Obligatorio |
| Legal | Verificar certificación DPF del proveedor y respaldo con CCT | Arts. 44-46 RGPD | Obligatorio |
| Legal | Herramientas incluidas en el RAT | Art. 30 RGPD | Obligatorio |
| Legal | Información a los interesados actualizada (destinatarios, transferencias) | Arts. 13-14 RGPD | Obligatorio |
| Técnico | MFA para el 100 % de usuarios | Art. 32 RGPD | Medida de seguridad esperable según el riesgo |
| Técnico | Mínimo privilegio y revisión periódica de permisos | Art. 32 RGPD | Medida de seguridad esperable según el riesgo |
| Técnico | Enlaces públicos restringidos, caducidad y DLP | Art. 32 RGPD | Medida de seguridad esperable según el riesgo |
| Técnico | Residencia de datos en el EEE | Art. 32 RGPD / TIA | Medida complementaria |
| Organizativo | Política de uso de herramientas y dispositivos, informada a la plantilla | Art. 87 LOPDGDD | Obligatorio |
| Organizativo | Plazos de retención y procedimiento de supresión | Art. 5.1.e RGPD | Obligatorio |
| Organizativo | Protocolo de brechas (72 h) y registro de incidentes | Arts. 33-34 RGPD | Obligatorio |
| Organizativo | EIPD cuando haya alto riesgo (datos sensibles a gran escala, monitorización sistemática, nuevas tecnologías como IA) | Art. 35 RGPD y lista de la AEPD | Según caso |
| Organizativo | Formación y concienciación del personal | Art. 32 RGPD | Recomendado |
Preguntas frecuentes
¿Es legal usar Google Workspace o Microsoft 365 con datos de clientes y empleados?
Sí, siempre que tengas contrato de encargo, una base válida para transferir los datos a EE. UU. cuando proceda, medidas de seguridad adecuadas y la información y documentación exigidas.
¿Basta con firmar el DPA del proveedor?
No. El DPA cubre una parte (art. 28). Tú debes configurar la plataforma, regular el uso por los empleados y gestionar el resto de obligaciones del responsable.
¿Sigue siendo válido el Data Privacy Framework?
Sí, no ha sido anulado. Está sujeto a un recurso pendiente ante el TJUE y a cuestionamientos tras la sentencia estadounidense sobre la FTC, por lo que conviene tener un respaldo contractual y documentar el análisis.
¿Es obligatorio el doble factor?
No lo impone el RGPD de forma literal, pero como medida de seguridad proporcional al riesgo (art. 32) es la que una autoridad esperará encontrar.
¿Puedo leer el correo de un empleado que se ha ido?
Solo conforme a una política previa y comunicada, con criterios proporcionados (art. 87 LOPDGDD) y una finalidad legítima definida.
Este contenido es informativo y no constituye asesoramiento jurídico individualizado.
