¿Puede la policía incautarse de mi servidor en otro país?

¿Puede la policía extranjera actuar sobre un servidor en otro país?

No por sí misma. Dentro de la UE, los agentes del Estado requirente pueden asistir sobre el terreno, pero están sujetos a la ley del Estado anfitrión. No tienen allí potestades coercitivas salvo que esa ley lo permita y ambas autoridades lo acuerden (Directiva 2014/41/UE, artículo 9(5)).

El Convenio de Budapest solo permite dos tipos de acceso sin el permiso del otro Estado. La policía puede leer datos de acceso público. También puede obtener datos almacenados que una persona facultada para revelarlos entregue voluntariamente (artículo 32).

Un servidor en el extranjero puede incautarse, pero solo por manos del país en el que está.

¿Realmente se producen incautaciones transfronterizas?

Sí, a gran escala. Eurojust anunció el 30 de mayo de 2024 que más de 100 servidores habían sido desmantelados o perturbados en una operación coordinada contra droppers de malware.

Eurojust coordinó las acciones simultáneas y ayudó a preparar órdenes europeas de investigación y solicitudes de asistencia jurídica mutua.

¿Pueden las autoridades de la UE ordenar directamente al proveedor en su lugar?

Sí, desde el 18 de agosto de 2026, para datos almacenados. El Reglamento de pruebas electrónicas permite a una autoridad judicial ordenar a un proveedor de servicios que "ofrece servicios en la Unión" la producción o conservación de datos. Eso vale "con independencia de la ubicación de los datos" (artículo 1).

Un proveedor ofrece servicios en la Unión cuando las personas allí pueden usarlos y tiene una conexión sustancial. Esa conexión existe con un establecimiento en la UE, un número significativo de usuarios en la UE o una actividad dirigida a Estados miembros (artículo 3(4)). Las órdenes se envían a su establecimiento designado o a su representante legal en un Estado miembro.

La orden solo alcanza los datos almacenados cuando llega. La producción debe hacerse en 10 días, u 8 horas en caso de urgencia. Dinamarca no participa.

Esta página explica derecho publicado; no es asesoramiento jurídico.

¿Me avisarán antes de que se incaute mi servidor?

A menudo no. El secreto está integrado en estas herramientas. El artículo 16(3) del Convenio de Budapest obliga a las partes a exigir al custodio de los datos que mantenga confidencial una orden de conservación.

Según el Reglamento de e-Evidence, la autoridad emisora debe informar a la persona cuyos datos toma. La legislación nacional puede permitirle retrasar, restringir u omitir ese aviso, y el proveedor debe mantener la orden en secreto (artículo 13). Por qué un canary publicado no puede cubrir ese vacío está en qué es un warrant canary y si los hosts publican uno.

¿Qué se le podría pedir a Ravenquay que entregue?

Solo lo que posee. Sin registros: ni registros de conexión ni de tráfico, ninguna dirección IP de visitante o cliente, y ningún rastro de cómo encontraste el sitio salvo un código de referido si tu enlace lo tenía. Solo conservamos lo necesario para facturar y operar tu servidor: el número de cuenta y un email si añades uno; cada recarga y pedido (importe, moneda, red, ID de transacción, fecha); y por servidor su nombre, plan, plazo, ubicación, sistema, clave pública SSH, direcciones IP y fechas, así como la contraseña temporal de root que fijamos cuando no diste una clave, la cual ya no abre el servidor en cuanto la cambias. No tenemos control sobre el equipamiento de red del datacenter. Solo entregamos registros cuando lo ordena un tribunal panameño.

Ravenquay pertenece a DomaineGoat LLC, una empresa constituida en Panamá que responde únicamente ante la ley panameña. El centro de datos que aloja cada servidor opera bajo la ley de su propio país. La máquina en sí está en el centro de datos, así que la policía de ese país puede acceder a ella según su propia ley. Por qué la empresa está en Panamá está en ¿es Panamá una buena jurisdicción para una empresa de hosting.

Ravenquay revisó 34 proveedores de servidores dedicados en 30 October 2026: 28 aceptaban criptomonedas, pero solo 13 nunca exigieron un documento de identidad. Un proveedor solo puede entregar los documentos de identidad que recopiló. Cómo trata cada país los datos almacenados está en qué países europeos aún tienen leyes de retención de datos.

¿Cómo protejo los datos de un servidor que podría ser incautado?

Cifrándolos y guardando las claves en otro sitio. El cifrado protege los datos en reposo frente a robos, discos revendidos y accesos ilegales. Las FAQ del proyecto cryptsetup dan las reglas básicas para LUKS:

• Frase de contraseña: para LUKS1 y LUKS2, usa más de 65 bits de entropía, como 14 letras minúsculas aleatorias.
• Copia de seguridad de la cabecera: haz una y guárdala fuera del servidor. Junto con la frase de contraseña, una copia de la cabecera sigue abriendo la mayor parte o la totalidad de los datos.
• Claves: nunca guardes el archivo de clave ni la frase de contraseña en la máquina que protegen.

Una vez desbloqueado, un volumen cifrado se lee en claro para quien controle el sistema. Los clientes no tienen consola IPMI ni KVM-over-IP; el equipo realiza los reinicios y las reinstalaciones que solicites en el panel. Por tanto, un disco de sistema cifrado necesitaría un desbloqueo por red en cada arranque. Una configuración más sencilla cifra un volumen de datos que abres por SSH tras cada reinicio.

El cifrado no cambia tus obligaciones legales. El artículo 19(4) del Convenio de Budapest permite a las autoridades ordenar a quienes saben cómo está protegido un sistema que den la información necesaria. No se incluye ningún servicio de copias de seguridad, así que guarda copias de tus datos en otro lugar.

Los precios de las cuatro ubicaciones están en cuánto cuesta un servidor sin límite de tráfico de Ravenquay.