Resumen de Autoridades de control de un Estado miembro y tratamiento transfronterizo de datos, tras la STJUE de 15 de junio de 2021 (Asunto C-645/19)

Alfonso Ortega Giménez, Lerdys Saray Heredia Sánchez

• español

  El Tribunal de Justicia de la Unión Europea (TJUE), en su sentencia de 15 de junio de 2021, asunto C-645/19 (Facebook vs DPA Belga), confirma el poder de las autoridades nacionales de protección de datos frente a Facebook y establece las condiciones para que las autoridades nacionales de control de datos de un Estado miembro puedan iniciar acciones judiciales por el tratamiento transfronterizo de protección de datos. La filial belga de la red social afirmaba en su recurso de apelación que, en virtud de la normativa europea, la única autoridad de protección de datos facultada para incoar un procedimiento en relación con el tratamiento transfronterizo de datos era la Comisión de Protección de Datos de Irlanda (DPC), ya que la sede europea de la empresa está en Dublín. Sin embargo, el TJUE acepta que la autoridad belga sea competente en estos casos. La máxima instancia judicial europea responde así a la cuestión prejudicial planteada por el Tribunal de Apelación de Bruselas sobre si el RGPD impide realmente que la autoridad nacional de protección de datos belga entable un procedimiento judicial en su Estado miembro por un tratamiento transfronterizo de datos realizado por Facebook, cuya sede europea se encuentra en Irlanda.

• English

  The Court of Justice of the European Union (CJEU), in its judgment of 15 June 2021, Case C-645/19 (Facebook v DPA Belgium), confirms the power of national data protection authorities against Facebook and sets out the conditions for national data supervisory authorities of a Member State to initiate proceedings for cross-border data protection processing. The Belgian subsidiary of the social network claimed in its appeal that, under European law, the only data protection authority empowered to initiate proceedings in relation to cross-border data processing was the Irish Data Protection Commission (DPC), as the company’s European headquarters are in Dublin. However, the CJEU accepts that the Belgian authority has jurisdiction in such cases. The highest European court thus answers the question referred for a preliminary ruling by the Brussels Court of Appeal as to whether the GDPR actually prevents the Belgian national data protection authority from initiating legal proceedings in its Member State for cross-border data processing carried out by Facebook, whose European headquarters are in Ireland.