Determinación del alcance territorial.

1. Salvo en los supuestos a los que se refiere el artículo 64.3 de esta ley orgánica, la Agencia Española de Protección de Datos deberá, con carácter previo a la realización de cualquier otra actuación, incluida la admisión a trámite de una reclamación o el comienzo de actuaciones previas de investigación, examinar su competencia y determinar el carácter nacional o transfronterizo, en cualquiera de sus modalidades, del procedimiento a seguir.
2. Si la Agencia Española de Protección de Datos considera que no tiene la condición de autoridad de control principal para la tramitación del procedimiento remitirá, sin más trámite, la reclamación formulada a la autoridad de control principal que considere competente, a fin de que por la misma se le dé el curso oportuno. La Agencia Española de Protección de Datos notificará esta circunstancia a quien, en su caso, hubiera formulado la reclamación.

El acuerdo por el que se resuelva la remisión a la que se refiere el párrafo anterior implicará el archivo provisional del procedimiento, sin perjuicio de que por la Agencia Española de Protección de Datos se dicte, en caso de que así proceda, la resolución a la que se refiere el apartado 8 del artículo 60 del Reglamento (UE) 2016/679.

Vea nuestro curso de LOPD GDD

Determinación del Alcance Territorial bajo la LOPDGDD y el RGPD

1. Alcance Territorial en el RGPD

El RGPD establece un alcance territorial que define cuándo y cómo se aplica la regulación a entidades fuera de la UE:

• Art. 3 del RGPD: El RGPD se aplica:
  • A las Entidades Establecidas en la UE: A cualquier tratamiento de datos personales realizado por un controlador o procesador establecido en la UE, independientemente de si el tratamiento se realiza dentro o fuera de la UE.
  • A las Entidades no Establecidas en la UE: Si el tratamiento de datos personales se realiza en el contexto de la oferta de bienes o servicios a personas en la UE, o si se supervisa el comportamiento de personas en la UE.

  Ejemplos:

  • Una empresa con sede en EE.UU. que ofrece productos a clientes en la UE debe cumplir con el RGPD.
  • Un sitio web global que recopila datos de usuarios en la UE, aunque esté ubicado fuera de la UE, está sujeto al RGPD.
• Representante en la UE: Si una entidad fuera de la UE está sujeta al RGPD, debe designar un representante en la UE para actuar en su nombre.

2. Alcance Territorial en la LOPDGDD

La LOPDGDD, que adapta y complementa el RGPD en España, se aplica de manera similar con un enfoque específico en el ámbito español:

• Ámbito Nacional: La LOPDGDD se aplica a todas las actividades de tratamiento de datos personales realizadas en territorio español, por entidades establecidas en España, o por entidades que no estén establecidas en España pero que traten datos personales de personas en España.

  Ejemplos:

  • Una empresa con sede en España que procesa datos personales de clientes españoles está sujeta a la LOPDGDD.
  • Una empresa ubicada en otro país de la UE, pero que realiza actividades de tratamiento en España o dirige sus actividades hacia España, también debe cumplir con la LOPDGDD.
• Aplicación Complementaria: La LOPDGDD complementa al RGPD en aspectos específicos, como derechos digitales y regulaciones nacionales, y se aplica junto con el RGPD.

3. Criterios para Determinar el Alcance Territorial

Para determinar el alcance territorial de las leyes de protección de datos, se deben considerar varios criterios:

• Lugar de Establecimiento: ¿Dónde está establecido el responsable o el encargado del tratamiento?
• Ubicación del Tratamiento: ¿Dónde se realiza el tratamiento de los datos personales?
• Oferta de Servicios: ¿Está el controlador o procesador ofreciendo bienes o servicios a personas en una jurisdicción específica?
• Monitoreo del Comportamiento: ¿Se está monitorizando el comportamiento de personas en una jurisdicción específica?
• Ámbito Nacional vs. Internacional: ¿Qué legislación nacional o internacional se aplica en función del lugar de tratamiento y de la oferta de servicios?

4. Aplicaciones Prácticas

• Contratos Internacionales: En contratos que impliquen la transferencia de datos personales fuera de la UE, es crucial definir cómo se aplicarán las leyes de protección de datos, y si se requerirán garantías adicionales (como cláusulas contractuales tipo).
• Políticas de Privacidad: Las políticas de privacidad deben reflejar el alcance territorial y los requisitos legales que se aplican, especificando claramente el cumplimiento con las regulaciones locales e internacionales.
• Cumplimiento de Normativas: Las organizaciones deben asegurarse de cumplir con las leyes de protección de datos en todos los territorios donde operan, realizando una revisión y adaptación continua de sus prácticas.