Aplicable en España — basado en normativa española (BOE).El tratamiento de datos que se realiza en establecimientos de varios Estados miembros o que afecta sustancialmente a interesados de más de uno
Resumen rápido: El tratamiento transfronterizo es, conforme al artículo 4.23 del Reglamento General de Protección de Datos, el realizado en el contexto de las actividades de establecimientos situados en más de un Estado miembro de un responsable o encargado establecido en varios de ellos, o bien el realizado desde un único establecimiento en la Unión cuando afecta o puede afectar sustancialmente a interesados de más de un Estado miembro.
Definición flash: Tratamiento transfronterizo (art. 4.23 RGPD): el que se realiza en varios Estados miembros o afecta sustancialmente a interesados de más de uno.
Etiqueta lingüística
El adjetivo no alude a que los datos crucen una frontera, sino al alcance del tratamiento dentro de la Unión. De ahí que no deba confundirse con la transferencia internacional de datos, que es el envío a un país tercero y se rige por el capítulo V. Un tratamiento puede ser transfronterizo sin salir de la Unión, y una transferencia internacional puede partir de un tratamiento puramente nacional.
Definición técnica
El artículo 4.23 del Reglamento (UE) 2016/679 (RGPD) contempla dos modalidades: la primera, el tratamiento realizado en el contexto de las actividades de establecimientos en más de un Estado miembro de un responsable o encargado que esté establecido en más de uno; la segunda, el tratamiento realizado en el contexto de las actividades de un único establecimiento en la Unión que afecta sustancialmente, o es probable que afecte sustancialmente, a interesados en más de un Estado miembro. Calificar un tratamiento como transfronterizo activa el mecanismo de ventanilla única: conforme al artículo 56, la autoridad de control del establecimiento principal actúa como autoridad principal y, según el artículo 60, coopera con las autoridades de control interesadas hasta alcanzar una decisión conjunta.
Aplicación práctica
La calificación decide quién instruye y resuelve. Una plataforma con sede única en un Estado miembro pero usuarios en toda la Unión realiza tratamiento transfronterizo por la segunda modalidad, de modo que las reclamaciones presentadas en cualquier Estado se canalizan hacia la autoridad principal, con participación de las autoridades interesadas donde residen los afectados.
Contexto legal en España
La definición se recoge en el artículo 4.23 del Reglamento (UE) 2016/679, de 27 de abril de 2016 (RGPD) y opera junto con los artículos 56 y 60, sobre competencia de la autoridad de control principal y cooperación entre autoridades, con la Ley Orgánica 3/2018, de 5 de diciembre, como norma interna de desarrollo.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Transferencia internacional de datos
- El tratamiento transfronterizo ocurre dentro de la Unión: en establecimientos de varios Estados miembros o afectando sustancialmente a interesados de más de uno. La transferencia internacional es la salida de datos hacia un país tercero. Ni el supuesto ni el régimen coinciden.
- Autoridad de control principal
- La existencia de tratamiento transfronterizo es el presupuesto que activa el mecanismo de ventanilla única y la designación de una autoridad principal. Uno es el hecho, la otra la consecuencia organizativa.
- Grupo empresarial
- No hace falta pertenecer a un grupo: basta con tener establecimientos en más de un Estado miembro, o con que el tratamiento realizado desde uno solo afecte sustancialmente a interesados de varios.
Términos relacionados
Dato de autoridad
La letra b) del artículo 4.23 RGPD basta con que sea «probable» que el tratamiento afecte sustancialmente a interesados de más de un Estado miembro: no se exige un perjuicio consumado para que el tratamiento sea transfronterizo y se active la ventanilla única.
Encuentra un abogado
Preguntas frecuentes sobre tratamiento transfronterizo
¿Es lo mismo tratamiento transfronterizo que transferencia internacional?
No. El tratamiento transfronterizo se refiere al alcance dentro de la Unión y determina qué autoridad de control es competente; la transferencia internacional es el envío de datos a un país tercero y se rige por el capítulo V del RGPD.
¿Debo reclamar ante la autoridad de otro país?
No. El interesado puede presentar su reclamación ante la autoridad de control de su propio Estado miembro, que la trasladará a la autoridad principal conforme al mecanismo de cooperación del artículo 60 RGPD.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.