Tribunal de Justicia de la Unión Europea precisó la forma en que las autoridades de un Estado pueden controlar el tratamiento transfronterizo de datos.

El TJUE se pronunció sobre una petición de decisión prejudicial que solicitó al Tribunal aclarar los efectos de la aplicación del mecanismo conocido como “ventanilla única”, el que se encuentra previsto en el Reglamento de la Unión Europea 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Al respecto, el artículo 56, establece, en lo que importa, que “la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado”.

La consulta tiene como origen una acción judicial interpuesta por la Comisión Belga de protección de la vida Privada (CPVP), mediante la cual solicitó poner fin a supuestas infracciones a la legislación en materia de protección de datos cometidas por Facebook. Dichas infracciones, alegó la Comisión, se habrían configurado por la acumulación y utilización de información sobre los hábitos de los usuarios, poseedores o no de una cuenta de Facebook, mediante distintas tecnologías, entre ellas, las denominadas “cookies”. El órgano jurisdiccional belga declaró que Facebook no había informado suficientemente a los usuarios del almacenamiento y uso de su información. En contra de esta decisión, Facebook Ireland Inc y Facebook Belgium interpusieron un recurso de apelación, el que se encuentra pendiente de resolver.

El tratamiento de datos cuestionado fue ejercitado por Facebook Ireland y no por Facebook Belgium, motivo por el cual se sometió la consulta al TJUE respecto del alcance del mecanismo de la “ventanilla única”. Ello, puesto que la Corte de Apelaciones de Bélgica tenía la duda respecto de si solo el Comisario irlandés de protección de datos era competente para ejercer la acción ante los órganos jurisdiccionales irlandeses.