La Opinión 4/2024 va dirigida al corazón de la autoridad irlandesa

Como sabemos las principales plataformas BigTech (salvo Amazon) han ubicado sus “establecimientos principales” en Irlanda.

Casualmente.

O no tan casualmente: a la fiscalidad del verde paraíso se une la bochornosa parálisis de su autoridad de control en materia de protección de datos.

La autoridad irlandesa se mueve menos que los ojos de Espinete, y ha sido sistemáticamente cuestionada y corregida por sus homólogas europeas y por el EDPB a raíz de sus complacientes resoluciones contra las plataformas extracomunitarias más conocidas.

¿Por qué es importante el concepto de “establecimiento principal” en la UE?

Recordemos en qué consiste lo de la ventanilla única o “One stop shop”: la autoridad competente en el estado miembro donde se haya ubicado el “establecimiento principal” del responsable extracomunitario se erige en autoridad “lideresa”, asumiendo la gestión del expediente sancionador, acumulando todas las denuncias homogéneas contra él, coordinando a las demás en la tramitación, dictando la resolución, y ¡ay! peor aún: ejecutándola y defendiéndola ante su jurisdicción nacional, en caso de recurso.

Esos belicosos galos

La CNIL ya había sacudido a Google, Microsoft y Apple por incumplimientos limítrofes con la protección de datos (normalmente, uso de cookies) alegando que por razón de la materia objetiva no aplicaba el mecanismo de la ventanilla única…

Francia fue, pues, la pionera en adelantar a Irlanda por la derecha.

Ahora, ha requerido una Opinión formal del EDPB sobre la propia noción de “establecimiento principal” a efectos de la aplicación de dicho mecanismo.

La respuesta (enlace al doc) les sorprenderá.

La Opinión 4/2024 del EDPB

El EDPB en su Opinión clarifica que el “establecimiento principal” en la Unión para serlo de verdad, debe cumplir cumulativamente dos requisitos:

• Que exista capacidad efectiva para tomar decisiones sobre finalidad y medios de los tratamientos de datos relevantes de la organización representada.
• Que tenga la capacidad para implementar o ejecutar efectivamente tales decisiones.

Consecuencias prácticas inmediatas para el “One Stop Shop”:

1. Si el “establecimiento principal” formalmente designado por la organización extracomunitaria no cumple estos dos requisitos y existe otro “establecimiento” en otro estado miembro, se debe verificar si ese otro es el “establecimiento principal”. Pero sobre todo:
2. Si ningún “establecimiento” en territorio comunitario cumple estos dos requisitos, no existe “establecimiento principal”. No aplica, por tanto, el procedimiento de ventanilla única. Y entonces todas las autoridades de control comunitarias son competentes para conocer de las denuncias contra la organización extracomunitaria, conforme a las reglas generales.

Más cositas:

• La responsabilidad de acreditar la efectiva existencia de su establecimiento principal en la UE recae en la organización extracomunitaria responsable de tratamiento.
• Las autoridades de control tienen la potestad y responsabilidad de verificar la exactitud de lo acreditado en este sentido.
• Las autoridades deben consensuar el grado de detalle de la valoración sobre este particular, dependiendo del caso.
• Cuando una autoridad determine que el alegado establecimiento principal no cumple estos requisitos, lo compartirá con el resto para alcanzar un “early agreement” (art 60 RGPD) sobre el caso. Este sería la primera ventana de oportunidad para encargar las palomitas.
• De no alcanzarse consenso se elevará la cuestión al pleno del EDPB (art 63 RGPD). (Segunda ventana palomitera).

Esta batalla (si tu “establecimiento principal” es un hueco decorado ocupado por directivos de segunda que pasan exactamente 181 días al año en él, o unos headquarters con chicha real), se lleva luchando décadas en el ámbito fiscal y hay criterios judiciales perfectamente consolidados.

Está por ver si el TJUE admitirá su extrapolación pura en el contexto del RGPD. A buen seguro la BigTech luchará esta batalla.

Pero, hasta entonces, parece inevitable que asistamos a la apertura de expedientes sancionadores “nacionalistas” por parte de las autoridades más belicosas contra los sospechosos habituales.

Porque desde luego esa es la intención. 

¡No se vayan todavÍA, aún hay más!

Esta interpretación restrictiva del concepto de “establecimiento permanente” impacta de lleno en la interpretación del art. 3 RGPD… ¿Recuerdan? El que regula la eficacia extraterritorial del Reglamento.

Recordemos que el art. 3 RGPD (En la interpretación del EDPB en sus Directrices 3/2018 relativas al ámbito territorial del RGPD (artículo 3) Versión 2.1 de 12 de noviembre de 2019) establece dos criterios de interpretación del ámbito territorial, que se refieren, no a las organizaciones sino a tratamientos concretos de las mismas. De este modo, una organización extracomunitaria puede ver cómo el Reglamento aplica sólo a algunos de sus tratamientos, y a otros no.

El art 3 del RGPD prevé su aplicación a los tratamientos de una organización (como responsable o como encargada) en función de dos criterios:

• Criterio del establecimiento
• Criterio de la selección de destinatarios

Lógicamente, la aplicación sistemática del concepto de establecimiento permanente con el nuevo dibujo propuesto por el EDPB, recorta las alas del primero de esos criterios, con efectos tan insospechados como significativos en ámbitos tan de moda como el de la IA.

“Pero esa es otra historia que será contada en otra ocasión”.

Jorge García Herrero

Abogado y Delegado de protección de datos

La entrada Opinión 4/2024 del EDPB: Café irlandés para todos se publicó primero en Citizen8.