La UE publica cláusulas modelo para contratos cloud: qué cambian y qué no

La novedad concreta no es el lanzamiento de un nuevo servicio en la nube ni una función de migración de un proveedor. El 19 de noviembre de 2025, la Comisión Europea publicó una recomendación con cláusulas contractuales modelo no vinculantes sobre acceso y uso de datos, junto con cláusulas contractuales tipo para contratos de computación en la nube. La iniciativa busca ayudar a las partes —en particular a las pymes— a llevar a la práctica disposiciones del Reglamento de Datos. La publicación de la Comisión describe esos documentos y su propósito.

El matiz principal está en su carácter: la Comisión indica que el uso es voluntario y que las partes pueden modificarlos. Por tanto, no es correcto presentar la publicación como una nueva condición obligatoria que todos los clientes cloud deban aceptar, ni como una reforma que por sí sola cambie automáticamente cada contrato vigente. La noticia consiste en disponer de modelos de referencia, no en que todas las empresas tengan que sustituir sus acuerdos o que ya se haya eliminado la dependencia de un proveedor.

La página de la Comisión fue publicada en noviembre de 2025; en esta pieza, esa fecha se presenta como la fecha indicada por la fuente, no como una fecha de entrada en vigor de una obligación. Las cláusulas se relacionan con un marco jurídico más amplio, pero no deben confundirse con el propio reglamento. Esa distinción importa para cualquier organización que reciba una propuesta contractual o evalúe una migración: el modelo puede servir para negociar, pero su publicación no demuestra que un proveedor lo haya adoptado ni que una salida sea técnica y económicamente sencilla.

El Reglamento de Datos de la UE —conocido también como Data Act— es el marco jurídico al que la Comisión vincula estas herramientas contractuales. La página oficial del reglamento en EUR-Lex resume normas sobre acceso justo a datos y uso de estos, mientras que la Comisión presenta los modelos como instrumentos de apoyo para implementar disposiciones del reglamento. La norma y las cláusulas cumplen papeles distintos: una establece reglas jurídicas; las otras ofrecen formulaciones contractuales orientativas que las partes pueden considerar.

La publicación de la Comisión señala dos ámbitos de documentos. Por un lado, hay términos modelo para determinadas relaciones de intercambio de datos previstas en capítulos II y III del Reglamento de Datos. Por otro, hay cláusulas contractuales tipo para contratos de computación en la nube. No conviene agruparlo todo bajo la idea de “un contrato europeo cloud obligatorio”: el material reúne modelos con objetivos distintos y, según la Comisión, el uso de las cláusulas es voluntario.

La Comisión explica que los modelos se diseñaron principalmente para relaciones entre empresas, aunque pueden utilizarse también en relaciones entre empresas y consumidores si se incorporan las reglas de protección al consumidor pertinentes. Esto no equivale a una evaluación jurídica de un contrato concreto. La adecuación depende del servicio, de las partes, de la legislación aplicable y del texto negociado. En una decisión real, las empresas deberían revisar las cláusulas con asesoramiento legal y técnico, y no asumir que un modelo general resuelve las obligaciones particulares de su actividad.

El cambio de proveedor cloud suele implicar más que copiar archivos. También puede abarcar formatos de datos, dependencias de aplicaciones, configuraciones, credenciales, integraciones, costes de transferencia y periodos de coexistencia entre servicios. Por eso, que exista un modelo contractual para computación en la nube no acredita que una migración concreta sea rápida, barata o completa. Esas condiciones dependen tanto del contrato como de las características de los sistemas y del modo en que se hayan construido.

La Comisión Europea publicó en 2018 un estudio titulado Switching of Cloud Services Providers, disponible en la Oficina de Publicaciones de la UE. Su existencia documenta que el cambio entre proveedores cloud ya era objeto de análisis europeo antes de la publicación de los modelos de 2025; no demuestra por sí sola los costes actuales de una migración, ni permite atribuir una cifra general a las organizaciones de hoy. Para cuantificar el impacto habría que examinar datos comparables, métodos, muestras y fecha de cada estudio, algo que la información recopilada aquí no permite establecer.

Un análisis jurídico independiente de Garrigues describe el régimen de cambio de proveedor del Reglamento de Datos y ofrece contexto sobre las nuevas reglas. Ese comentario puede ayudar a interpretar el marco, pero no sustituye el texto normativo ni demuestra cómo se aplicará una cláusula en un caso particular. La lectura prudente es más limitada: las herramientas de la Comisión pueden facilitar conversaciones contractuales; la portabilidad efectiva requiere comprobar el servicio y el escenario de salida.

Para una organización usuaria, la publicación puede ser un punto de partida para una revisión contractual, no una lista de garantías ya satisfechas. Conviene comparar el contrato actual con los modelos pertinentes y hacer explícitas las responsabilidades de cada parte. Esa comparación debe abarcar tanto los datos que se pueden recuperar como la forma, el plazo y las condiciones en que el proveedor los entrega, y qué ocurre con copias o servicios dependientes al terminar el acuerdo.

Una comprobación práctica puede empezar con estas preguntas:

• Alcance: qué servicios y datos cubre el contrato, y si incluye metadatos, configuraciones o información necesaria para reconstruir el entorno.
• Formato y asistencia: qué formatos de exportación se ofrecen, qué soporte de transición está incluido y qué tareas quedan a cargo del cliente.
• Costes y calendario: qué cargos pueden aplicarse durante la salida, cuánto dura el periodo de transición y qué plazos rigen la eliminación de datos.
• Dependencias: qué aplicaciones, interfaces, herramientas de identidad o procesos operativos deben cambiarse para que la alternativa funcione.
• Protección y cumplimiento: cómo se coordina la salida con los requisitos de seguridad, continuidad, privacidad y conservación aplicables a la organización.

La lista no afirma que la Comisión exija cada respuesta con una formulación concreta. Es un conjunto de puntos de diligencia que permite traducir la idea de portabilidad a cuestiones verificables. Si la salida es relevante para la continuidad del negocio, una organización puede documentar responsabilidades y probar procesos internos, siempre sin confundir una prueba propia con una garantía general sobre el proveedor.

La información disponible permite afirmar que la Comisión publicó el 19 de noviembre de 2025 modelos contractuales no vinculantes para apoyar la aplicación del Reglamento de Datos, y que señala expresamente su carácter voluntario. También permite distinguir esos documentos del reglamento y señalar que la publicación no equivale a un anuncio comercial de un proveedor. Son hechos respaldados por la página institucional de la Comisión; no son inferencias sobre adopción general ni sobre resultados de migración.

La evidencia consultada no permite medir cuántos proveedores han incorporado los modelos, cuántos contratos se han modificado ni cuánto ahorrará una empresa al cambiar de servicio. Tampoco permite determinar si una cláusula específica basta para un sector o contrato concreto. Estas son limitaciones de alcance de la documentación revisada, no una razón para concluir que las herramientas carecen de utilidad.

Para actualizar esta información con una noticia posterior, el criterio debería ser concreto: un documento oficial fechado, una modificación normativa identificable o un anuncio de proveedor que detalle una función disponible y sus condiciones. Mientras no se aporte esa evidencia, conviene describir los modelos por lo que son: una referencia voluntaria para negociar, no una promesa de interoperabilidad universal ni prueba de que cambiar de nube haya dejado de requerir planificación.