Artículo 3 del RGPD: ámbito territorial

Las preguntas de Administrativo del Estado que citan este artículo, resueltas y con su cita literal.

Estudiar la colección Leer la norma entera

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Una empresa sin ningún establecimiento en la Unión ofrece en España una aplicación gratuita. Según el RGPD, ¿se aplica el Reglamento al tratamiento de los datos de sus usuarios?

No, porque la empresa no cobra nada por el servicio
Solo si almacena los datos de los usuarios en la Unión
Solo si la empresa tiene empleados en algún Estado miembro
Sí, aunque a los usuarios no se les requiera ningún pago

Un responsable no establecido en la Unión queda sujeto al Reglamento cuando el tratamiento está relacionado con la oferta de bienes o servicios a interesados en la Unión, independientemente de si se les exige pagar. Que el servicio sea gratuito no lo saca del ámbito, y el criterio no depende de dónde se guarden los datos ni de tener personal en la Unión: tener allí un establecimiento llevaría al artículo 3.1, no al 3.2.

la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, cuando el responsable no está establecido en la Unión, ¿los datos de qué interesados quedan protegidos por el Reglamento en los supuestos del artículo 3.2?

Los de los interesados que se encuentren en la Unión
Los de los interesados que tengan su residencia habitual en la Unión
Los de los interesados que tengan la ciudadanía de la Unión
Los de los interesados que hayan contratado en la Unión

El artículo 3.2 mira dónde se encuentra el interesado, no su nacionalidad ni su residencia: basta con que se encuentre en la Unión. El texto publicado en el Diario Oficial en 2016 decía «que residan en la Unión», pero la corrección de errores de 23 de mayo de 2018 lo cambió por «que se encuentren», que es el texto que rige.

El presente Reglamento se aplica al tratamiento de datos personales de interesados que se encuentren en la Unión por parte de un responsable o encargado no establecido en la Unión

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ¿a qué responsable establecido fuera de la Unión se aplica el Reglamento por su artículo 3.3?

Al establecido en un país tercero que cuente con una decisión de adecuación de la Comisión
Al establecido en un país candidato a la adhesión que ya aplique el acervo de la Unión
Al establecido donde se aplica el Derecho de un Estado miembro por el internacional
Al establecido en un país que haya ratificado un convenio del Consejo de Europa

El artículo 3.3 extiende el Reglamento al responsable que no está establecido en la Unión sino en un lugar donde el Derecho de los Estados miembros se aplica en virtud del Derecho internacional público. Una decisión de adecuación sirve para transferir datos a un país tercero, no para someter a sus responsables al Reglamento; y ni ser candidato a la adhesión ni ratificar un convenio internacional cambian el ámbito territorial.

El presente Reglamento se aplica al tratamiento de datos personales por parte de un responsable que no esté establecido en la Unión sino en un lugar en que el Derecho de los Estados miembros sea de aplicación en virtud del Derecho internacional público.

Reglamento (UE) 2016/679, de 27 de abril

Una empresa establecida en España trata los datos de sus clientes en servidores situados fuera de la Unión. Según el RGPD, ¿se aplica el Reglamento a ese tratamiento?

No, porque el tratamiento tiene lugar fuera de la Unión
Solo si la autoridad de control autoriza los servidores
Sí, porque la empresa está establecida en la Unión
Solo si los clientes residen en un Estado miembro

El primer criterio del ámbito territorial es el establecimiento: el Reglamento se aplica al tratamiento hecho en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no. Dónde estén los servidores no cambia nada, y este criterio no pide nada sobre dónde viven los clientes.

El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no.

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, un responsable no establecido en la Unión controla el comportamiento de unos interesados. ¿Cuándo queda sujeto al Reglamento por esa razón?

Solo si les cobra por el servicio que les presta
En la medida en que el comportamiento tenga lugar en la Unión
Solo si ha designado un representante en la Unión
Siempre, tenga lugar donde tenga lugar el comportamiento

El segundo supuesto del artículo 3.2 es el control del comportamiento, y lleva su propio límite: se aplica en la medida en que ese comportamiento tenga lugar en la Unión. Ni el pago ni el representante son condiciones: designar un representante es una obligación que nace de estar sujeto al Reglamento, no un requisito para estarlo.

el control de su comportamiento, en la medida en que este tenga lugar en la Unión

Reglamento (UE) 2016/679, de 27 de abril