El objeto del Reglamento general y sus definiciones

• No, porque el tratamiento tiene lugar fuera de la Unión
• Solo si la autoridad de control autoriza los servidores
• Sí, porque la empresa está establecida en la Unión
• Solo si los clientes residen en un Estado miembro

El primer criterio del ámbito territorial es el establecimiento: el Reglamento se aplica al tratamiento hecho en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no. Dónde estén los servidores no cambia nada, y este criterio no pide nada sobre dónde viven los clientes.

• No, porque la empresa no cobra nada por el servicio
• Solo si almacena los datos de los usuarios en la Unión
• Solo si la empresa tiene empleados en algún Estado miembro
• Sí, aunque a los usuarios no se les requiera ningún pago

Un responsable no establecido en la Unión queda sujeto al Reglamento cuando el tratamiento está relacionado con la oferta de bienes o servicios a interesados en la Unión, independientemente de si se les exige pagar. Que el servicio sea gratuito no lo saca del ámbito, y el criterio no depende de dónde se guarden los datos ni de tener personal en la Unión: tener allí un establecimiento llevaría al artículo 3.1, no al 3.2.

• Los de los interesados que se encuentren en la Unión
• Los de los interesados que tengan su residencia habitual en la Unión
• Los de los interesados que tengan la ciudadanía de la Unión
• Los de los interesados que hayan contratado en la Unión

El artículo 3.2 mira dónde se encuentra el interesado, no su nacionalidad ni su residencia: basta con que se encuentre en la Unión. El texto publicado en el Diario Oficial en 2016 decía «que residan en la Unión», pero la corrección de errores de 23 de mayo de 2018 lo cambió por «que se encuentren», que es el texto que rige.

• No, salvo que la consulta quede registrada
• No, salvo que la consulta sea automatizada
• Solo si los datos se conservan después de la consulta
• Sí: la consulta es una de las operaciones de tratamiento

El tratamiento es cualquier operación sobre datos personales, por procedimientos automatizados o no, y la definición enumera la consulta junto a la recogida, la conservación, la utilización o la supresión. No hace falta modificar ni comunicar los datos, ni que la operación sea automatizada: mirar un expediente con datos personales ya es tratarlos.

• Que determina los fines y medios del tratamiento
• Que trata los datos personales por cuenta de otro
• Que recibe una comunicación de datos personales
• Que supervisa el cumplimiento del Reglamento

El responsable es quien decide para qué y cómo se tratan los datos: determina los fines y medios del tratamiento. Tratar los datos por cuenta de otro es lo que define al encargado; recibir una comunicación de datos, al destinatario; y supervisar el cumplimiento dentro de la organización es una función del delegado de protección de datos.

• Al establecido en un país tercero que cuente con una decisión de adecuación de la Comisión
• Al establecido en un país candidato a la adhesión que ya aplique el acervo de la Unión
• Al establecido donde se aplica el Derecho de un Estado miembro por el internacional
• Al establecido en un país que haya ratificado un convenio del Consejo de Europa

El artículo 3.3 extiende el Reglamento al responsable que no está establecido en la Unión sino en un lugar donde el Derecho de los Estados miembros se aplica en virtud del Derecho internacional público. Una decisión de adecuación sirve para transferir datos a un país tercero, no para someter a sus responsables al Reglamento; y ni ser candidato a la adhesión ni ratificar un convenio internacional cambian el ámbito territorial.

• Que se obtienen, en particular, del análisis de una muestra biológica
• Que permiten o confirman la identificación única de la persona
• Que revelan información sobre el estado de salud de la persona
• Que se refieren a características genéticas heredadas o adquiridas

Los datos biométricos se obtienen por un tratamiento técnico específico de las características físicas, fisiológicas o conductuales de una persona y permiten o confirman su identificación única, como las imágenes faciales o las huellas dactilares. La muestra biológica y las características heredadas o adquiridas son de la definición de datos genéticos, y revelar el estado de salud es lo propio de los datos relativos a la salud.

• Solo mediante una declaración firmada por escrito
• Mediante una declaración o con su silencio tras ser informado
• Mediante una declaración o una clara acción afirmativa
• Solo mediante una declaración ante el propio responsable

El interesado acepta el tratamiento mediante una declaración o una clara acción afirmativa, como marcar una casilla. No se exige forma escrita ni firma, pero sí un acto positivo: el silencio o la inacción no son una acción afirmativa, por mucho que antes se haya informado al interesado.

• Solo si les cobra por el servicio que les presta
• En la medida en que el comportamiento tenga lugar en la Unión
• Solo si ha designado un representante en la Unión
• Siempre, tenga lugar donde tenga lugar el comportamiento

El segundo supuesto del artículo 3.2 es el control del comportamiento, y lleva su propio límite: se aplica en la medida en que ese comportamiento tenga lugar en la Unión. Ni el pago ni el representante son condiciones: designar un representante es una obligación que nace de estar sujeto al Reglamento, no un requisito para estarlo.