¿Cuándo se aplica el RGPD a una empresa andorrana?
RGPD y Andorra son dos conceptos que pueden parecer, a priori, poco relacionados. Andorra no forma parte de la Unión Europea y dispone de su propia normativa en materia de protección de datos.
Entonces, ¿una empresa andorrana tiene que cumplir el Reglamento General de Protección de Datos (RGPD)?
La respuesta es: depende.
Que una empresa tenga su domicilio en Andorra no significa automáticamente que el RGPD no le sea aplicable. En determinadas circunstancias, una empresa establecida fuera de la Unión Europea puede quedar sometida al Reglamento.
Y esto puede tener consecuencias importantes, entre ellas, la obligación de designar un representante en la Unión Europea.
¿Puede aplicarse el RGPD a una empresa de Andorra?
Sí.
El artículo 3 del RGPD establece cuándo el Reglamento resulta aplicable desde el punto de vista territorial.
En el caso de una empresa establecida en Andorra —es decir, fuera de la Unión Europea—, debemos prestar especial atención al artículo 3.2.
De forma resumida, el RGPD puede resultar aplicable cuando una empresa establecida fuera de la UE trata datos personales de personas que se encuentran en la Unión Europea y el tratamiento está relacionado con:
- la oferta de bienes o servicios a dichas personas; o
- la monitorización de su comportamiento, cuando este comportamiento tiene lugar en la Unión Europea.
Por tanto, no basta con preguntarse dónde está domiciliada la empresa.
Hay que analizar qué actividad realiza, a quién dirige sus productos o servicios y qué tratamientos de datos personales lleva a cabo.
El Comité Europeo de Protección de Datos (EDPB) ha desarrollado estos criterios en sus Directrices 3/2018 sobre el ámbito territorial del RGPD.
Una empresa andorrana que vende en España, ¿está sujeta al RGPD?
Puede estarlo.
Por ejemplo, imaginemos una empresa con domicilio en Andorra que comercializa productos a través de Internet.
Si la empresa dirige su actividad específicamente a consumidores que se encuentran en España, Francia u otros países de la Unión Europea, habrá que analizar si esa actividad constituye una oferta de bienes o servicios a personas en la UE a efectos del artículo 3.2 del RGPD.
No es suficiente, por el contrario, con que una página web sea técnicamente accesible desde España.
Este es un matiz importante.
El hecho de que una persona que se encuentra en España pueda acceder a una web de una empresa andorrana no significa automáticamente que dicha empresa esté ofreciendo sus servicios en España.
La cuestión es si existen elementos que permitan considerar que la actividad está dirigida a personas situadas en la Unión Europea.
Por ello, habrá que valorar aspectos como el mercado al que se dirige la empresa, la publicidad que realiza, los idiomas y monedas utilizados, las condiciones de contratación, la posibilidad de realizar envíos a determinados países o cualquier otro elemento que permita determinar a quién se dirige realmente la actividad.
¿Y si la empresa monitoriza a usuarios de la UE?
También puede resultar aplicable el RGPD.
El artículo 3.2 contempla igualmente los tratamientos relacionados con la monitorización del comportamiento de personas que se encuentran en la Unión Europea.
Este supuesto puede adquirir especial relevancia en determinados modelos de negocio digitales.
Por ejemplo, puede ser necesario analizarlo cuando una empresa realiza un seguimiento sistemático del comportamiento de usuarios mediante determinadas tecnologías, perfiles, identificadores o herramientas de análisis.
De nuevo, no se trata simplemente de saber dónde está constituida la empresa.
Hay que analizar qué tratamiento de datos se realiza y dónde se encuentran las personas cuyos datos son objeto de dicho tratamiento.
¿Qué ocurre si el RGPD resulta aplicable?
Si una empresa andorrana queda sometida al RGPD, tendrá que cumplir las obligaciones que correspondan en función de los tratamientos que realice.
Entre otras cuestiones, deberá analizar:
- la base jurídica de los tratamientos;
- el deber de información a los interesados;
- el ejercicio de los derechos;
- los contratos con encargados del tratamiento;
- las medidas de seguridad;
- el registro de actividades de tratamiento;
- las transferencias internacionales de datos;
- la gestión de las violaciones de seguridad;
- las evaluaciones de impacto, cuando sean necesarias;
- y, cuando corresponda, el nombramiento de un Delegado de Protección de Datos.
Pero existe además una obligación que puede pasar desapercibida para las empresas establecidas fuera de la Unión Europea.
La obligación de designar un representante en la Unión Europea
El artículo 27 del RGPD establece que, en determinados casos, las empresas establecidas fuera de la UE que están sujetas al Reglamento deben designar por escrito un representante en la Unión Europea.
Por tanto, una empresa andorrana que quede sometida al RGPD por aplicación del artículo 3.2 deberá analizar si está obligada a contar con este representante.
El representante debe estar establecido en uno de los Estados miembros en los que se encuentren las personas cuyos datos son tratados en relación con la oferta de bienes o servicios o con la monitorización de su comportamiento.
¿Qué funciones tiene el representante?
El representante actúa como punto de contacto entre la empresa establecida fuera de la UE y las autoridades de protección de datos y las personas cuyos datos son tratados.
Entre otras funciones, puede recibir comunicaciones de las autoridades de control y de los interesados y facilitar la información necesaria para acreditar el cumplimiento del RGPD.
Es importante, sin embargo, no confundir esta figura con la responsabilidad de la empresa.
Designar un representante no significa trasladarle la responsabilidad por el cumplimiento del RGPD.
El responsable o encargado del tratamiento establecido fuera de la UE continúa siendo responsable de cumplir las obligaciones que le correspondan.
¿Todas las empresas andorranas necesitan un representante en la UE?
No.
El propio artículo 27 establece excepciones.
Por ejemplo, no será necesario designar representante cuando el tratamiento sea ocasional, no incluya determinadas categorías de datos a gran escala y sea poco probable que genere un riesgo para los derechos y libertades de las personas.
Por este motivo, no puede determinarse la obligación de designar representante únicamente por el hecho de que una empresa andorrana tenga clientes europeos.
Es necesario analizar las circunstancias concretas de la actividad y de los tratamientos realizados.
Representante en la UE y Delegado de Protección de Datos: no son lo mismo
Es habitual que ambas figuras se confundan, pero cumplen funciones diferentes.
El representante en la Unión Europea es una figura prevista, principalmente, para determinados responsables y encargados establecidos fuera de la UE que quedan sometidos al RGPD.
El Delegado de Protección de Datos (DPD o DPO) es una figura que determinadas organizaciones deben designar cuando concurren las circunstancias previstas en el artículo 37 del Reglamento.
Por tanto:
Representante en la UE ≠ Delegado de Protección de Datos.
Una empresa puede tener que analizar la obligación de contar con uno, con el otro o, en determinadas circunstancias, con ambos.
¿Qué ocurre con la normativa de protección de datos de Andorra?
Que una empresa andorrana pueda estar sometida al RGPD no significa que deje de aplicarse la normativa andorrana.
Andorra cuenta con su propia regulación en materia de protección de datos, encabezada por la Ley 29/2021, cualificada de protección de datos personales, y dispone además de su propia autoridad de control, la Agencia Andorrana de Protección de Datos (APDA).
Por tanto, una empresa andorrana que desarrolla actividades dirigidas a diferentes mercados deberá analizar cuidadosamente qué normativa resulta aplicable a cada tratamiento.
En determinados casos, podrán coexistir las obligaciones derivadas de la normativa andorrana y las obligaciones derivadas del RGPD.
¿Y las transferencias de datos entre la UE y Andorra?
Esta cuestión debe diferenciarse del ámbito territorial del RGPD.
Andorra cuenta con una decisión de adecuación de la Comisión Europea, por lo que las transferencias de datos personales desde la Unión Europea hacia Andorra pueden realizarse sobre la base de dicha decisión.
Esto significa que el hecho de que una empresa andorrana reciba datos personales procedentes de la UE no implica, por sí mismo, que exista una transferencia internacional que requiera garantías adicionales.
Pero debemos distinguir dos cuestiones:
Una cosa es que una transferencia de datos a Andorra sea legítima.
Otra diferente es que la empresa andorrana esté territorialmente sometida al RGPD.
Son cuestiones relacionadas, pero jurídicamente distintas.
Entonces, ¿cuándo se aplica el RGPD a una empresa andorrana?
Podemos resumirlo de la siguiente manera:
Empresa establecida en Andorra + actividad exclusivamente dirigida al mercado andorrano → en principio, aplicación de la normativa andorrana.
Empresa establecida en Andorra + oferta de bienes o servicios dirigida a personas que se encuentran en la UE → puede resultar aplicable el RGPD.
Empresa establecida en Andorra + monitorización del comportamiento de personas que se encuentran en la UE → puede resultar aplicable el RGPD.
Empresa andorrana sometida al RGPD por el artículo 3.2 → deberá analizar, entre otras cuestiones, si está obligada a designar un representante en la Unión Europea.
Por tanto, tener una empresa en Andorra no permite excluir automáticamente la aplicación del RGPD cuando la actividad empresarial se dirige al mercado europeo o se realizan determinados tratamientos sobre personas que se encuentran en la UE.
La pregunta adecuada no es únicamente:
«¿Dónde está domiciliada mi empresa?»
Sino:
«¿A quién dirijo mi actividad, qué datos personales trato y dónde se encuentran las personas cuyos datos trato?»
Esta es la clave para determinar si una empresa andorrana debe cumplir también con el RGPD.
Más información
Sobre esta cuestión puede consultarse también nuestro artículo Andorra i l’RGPD, en el que analizamos la relación entre la normativa andorrana y el Reglamento europeo.
Autor: Victor Roselló, Abogado / Consultor Protección de Datos.
Si necesitas ayuda o asesoramiento ¡contáctanos!
Denominación social:
LEGAL IT GLOBAL 2017, SLP
Finalidad:
Prestar el servicio.
Envío del Boletín informativo.
Legitimización:
Cumplimiento de la prestación del servicio.
Consentimiento.
Destinatarios: Tus datos no serán compartidos con ningún tercero, salvo a aquellos proveedores de servicios con los que disponemos de un contrato de servicios vigente.
Consulta la Política de Protección de datos completa aquí.
