Es conocido
que entre las innovaciones significativas del Reglamento (UE) 2016/679 General
de Protección de Datos (RGPD) se encuentran algunas de sus previsiones en
relación con el ámbito de aplicación territorial de sus disposiciones, de gran
trascendencia, habida cuenta del frecuente carácter transfronterizo de las
actividades de encargados, responsables y afectados, en particular cuando se
trata de actividades en línea. Es sabido también que en la interpretación de
los criterios establecidos en esta materia por el RGPD son de especial interés
ciertos pronunciamientos del Tribunal de Justicia en relación con la Directiva
que el RGPD deroga, como sus sentencias Google
Spain y Weltimo. A todas estas
cuestiones ya me he referido en diversas ocasiones en este blog, y con más
detalle fuera del mismo (por ejemplo, aquí),
incluida la circunstancia de que próximamente está previsto que el TJ se
pronuncie sobre aspectos muy relevantes del ámbito territorial del llamado
derecho al olvido previsto en el RGPD (aquí).
Entre las
Directrices sobre la interpretación del RGPD más relevantes adoptadas por la
European Data Protection Board (EDPB) se encuentran precisamente las tituladas Guidelines3/2018 on the territorial scope of the GDPR (Article 3), del pasado 16 de noviembre. Por el órgano del que procede y por lo riguroso de su
contenido, se trata de un documento de referencia imprescindible en la materia,
como –salvando las distancias- sucedía antes con algunos de los documentos en esta materia del llamado Grupo del artículo
29 de la Directiva. Más allá del interés de las Directrices en tanto que
presentación de un marco general en lo sustancial ya conocido, con la
inclusión, eso sí, de algunos ejemplos muy didácticos, puede resultar de
interés detenerse en que en ciertas situaciones algunos de los criterios de interpretación
que pueden desprenderse de las Directrices parecen requerir precisiones
adicionales o matizaciones. Por ejemplo, en lo relativo a la conexión de una
interpretación amplia del criterio de que el RGPD se aplica al “tratamiento de
datos personales en el contexto de las actividades de un establecimiento del
responsable o del encargado en la Unión” (art. 3.1) con la idea de que al
aplicar ese criterio la localización de los afectados es completamente
irrelevante (pp. 8-9 de las Directrices), así como en lo que concierne a las
pautas de interpretación de los criterios de localización empleados en el
artículo 3.2 RGPD, al apreciar si existe en el caso concreto oferta de bienes o
servicios a interesados en la Unión. Para plantear estas cuestiones en las
siguientes líneas, reproduciré partes del texto de las Directrices en inglés e
insertaré seguidamente mis comentarios en español.