¡Despierta, hosting! Las multas GDPR te acechan directo en 2025
El Giro que Nadie Vio Llegar (Aunque Estaba a la Vista)
Si gestionas un hosting administrado, manejas datos de clientes en la UE o tienes una plataforma de servicios de datos, prestate atención. Esa idea cómoda de que tus clientes cargan con todo el peso del GDPR se acabó.
Durante los primeros siete años de aplicación del GDPR, todo seguía un patrón claro: en las brechas de datos, multaban a la empresa que tenía el contacto directo con los usuarios. El proveedor de hosting, el procesador en la nube o la capa de infraestructura salían raspados. Eso fue de 2018 a 2024.
Pero 2025 lo cambió todo. Dos decisiones regulatorias lo demuestran, y deberían quitar el sueño a cualquier directivo de hosting.
Caso 1: El Fallo de Seguridad del NHS que Salió en £3,07 Millones
En marzo de 2025, la Oficina del Comisionado de Información del Reino Unido hizo historia: multó directamente a un procesador de datos.
Advanced Computer Software Group da servicios IT al Servicio Nacional de Salud británico. En agosto de 2022, un ransomware entró por una cuenta de cliente sin autenticación multifactor. Exposición de historiales médicos de casi 900 pacientes de cuidados domiciliarios, en un conjunto de 82.946 personas.
Lo clave: multaron a Advanced no por ser dueños de la relación con los pacientes, sino por no proteger los datos que habían acordado custodiar.
La investigación del ICO destapó fallos técnicos:
- Ausencia de MFA en sistemas con datos sanitarios
- Sin escaneo completo de vulnerabilidades
- Parches mal gestionados
La multa inicial era de £6,1 millones. Bajó a £3,07 millones tras negociar y colaborar. El mensaje es claro: el Artículo 32 del UK GDPR exige "medidas técnicas y organizativas adecuadas". Si procesas datos por contrato, tú las implementas. Sin excusas.
No multaron al NHS. Multaron al procesador.
Caso 2: La Trampa de Retención de Datos que Costó €1 Millón
Cinco meses después, la CNIL francesa dio su veredicto contra Mobius Solutions, una SaaS británica que manejaba datos publicitarios para Deezer, el servicio de streaming musical.
Al acabar el contrato, Mobius cometió un error grave para cualquier hosting: retuvo los datos.
Peor aún, los usó para pulir su propio servicio sin permiso de Deezer.
La CNIL vio tres infracciones:
- Mantener datos tras fin de contrato (violación del Artículo 28(3)(g))
- Procesar datos sin instrucciones del controlador (Artículo 28(3)(a))
- No llevar registros adecuados de procesamiento (Artículo 30)
Multa: €1 millón.
Esto pega fuerte en hosting porque involucró 46 millones de registros de usuarios de Deezer. Mobius no tenía sede legal en la UE, lo que facilitó la jurisdicción de la CNIL sin atajos. Tres años de pesquisa (de noviembre 2022 a diciembre 2025) y acción directa contra el procesador.
Por Qué Esto Cambia Tu Negocio de Hosting
No son excepciones. Son precedentes. Establecen reglas firmes:
Tú respondes por tu seguridad. Un DPA con clientes pasa obligaciones contractuales, no riesgos regulatorios. Si no aplicas controles técnicos adecuados, te multan a ti.
Borrar datos es obligatorio, no opcional. Al terminar un contrato, eliminas los datos según lo pactado. Guardarlos "por si acaso" o para tu beneficio trae multas directas. Mobius lo confirma: no hay zona gris.
Estándares de seguridad son obligatorios. MFA, gestión de vulnerabilidades, despliegue de parches, controles de acceso: en 2025 no son extras. Son requisitos. Una auditoría los destapa. Un regulador los multa.
La documentación te salva o te hunde. El fallo de Mobius en registros de procesamiento fue infracción aparte. Tus logs de procesamiento, auditorías técnicas, incidentes de seguridad y políticas de retención son pruebas. Sin ellas, asumen incumplimiento.
Qué Hacer Ya Misma
Si tu hosting, servicios gestionados o infraestructura SaaS toca datos de la UE, esta es tu lista:
Audita tu arquitectura de seguridad. ¿Tienes MFA, encriptación, segmentación de red y escaneo de vulnerabilidades en todos los sistemas con datos personales? Si no, estás a tiro.
Revisa retención de datos. ¿Tu automatización borra datos al acabar contratos? ¿O quedan en backups eternos? Documenta plazos y cúmplelos.
Refuerza tus acuerdos de procesamiento. El DPA debe detallar obligaciones de seguridad, procedimientos de borrado y derechos de auditoría. Nada de vaguedades.
Activa logging y monitoreo total. Demuestra qué datos procesas, quién accede y cómo los proteges. Eso es tu escudo.
Piensa en seguro cibernético. Las multas del GDPR son reales. No cubre todo, pero forma parte de gestionar riesgos.
Consulta abogados. Estos casos son frescos. Necesitas expertos en lo técnico y legal del cambio de 2025.
La Realidad Incómoda
El marco legal que hace responsables directos a los procesadores existe desde mayo de 2018. Los reguladores no lo usaban contra ellos; iban a por los controladores, el blanco fácil.
En 2025, vieron que podían ir a por quienes custodian y aseguran los datos. Y lo hacen.
Advanced y Mobius marcan el camino. No serán los únicos. Todo hosting, SaaS o procesador en la nube con datos UE está expuesto.
No es si te multarán. Ya lo hacen. Es si estás listo cuando vengan por ti.
En NameOcean, diseñamos Vibe Hosting con arquitectura compliant desde el principio, porque conocemos este terreno. Pero el cumplimiento no se compra: se construye en cada capa de tu infra, docs y operaciones.
Empieza hoy. El precedente está puesto.