Autoridades de control de un Estado miembro y tratamiento transfronterizo de datos, tras la STJUE de 15 de junio de 2021 (Asunto C-645/19)

Resumen

El Tribunal de Justicia de la Unión Europea (TJUE), en su sentencia de 15 de junio de 2021, asunto C-645/19 (Facebook vs DPA Belga), confirma el poder de las autoridades nacionales de protección de datos frente a Facebook y establece las condiciones para que las autoridades nacionales de control de datos de un Estado miembro puedan iniciar acciones judiciales por el tratamiento transfronterizo de protección de datos. La filial belga de la red social afirmaba en su recurso de apelación que, en virtud de la normativa europea, la única autoridad de protección de datos facultada para incoar un procedimiento en relación con el tratamiento transfronterizo de datos era la Comisión de Protección de Datos de Irlanda (DPC), ya que la sede europea de la empresa está en Dublín. Sin embargo, el TJUE acepta que la autoridad belga sea competente en estos casos. La máxima instancia judicial europea responde así a la cuestión prejudicial planteada por el Tribunal de Apelación de Bruselas sobre si el RGPD impide realmente que la autoridad nacional de protección de datos belga entable un procedimiento judicial en su Estado miembro por un tratamiento transfronterizo de datos realizado por Facebook, cuya sede europea se encuentra en Irlanda.