Disposiciones generales

El mapa del tema

El artículo 1 fija el objeto y la libre circulación; el artículo 2 determina el ámbito material y exclusiones; el artículo 3 establece los criterios territoriales; y el artículo 4 aporta las definiciones aplicables a todo el Reglamento. (art. 1, art. 2, art. 3, art. 4)

Artículo 1: doble contenido del objeto

El artículo 1 no se limita a proteger datos personales: establece simultáneamente normas sobre la protección de las personas físicas respecto del tratamiento y normas relativas a la libre circulación de tales datos. (art. 1)

El artículo 1 identifica expresamente el derecho a la protección de los datos personales como una manifestación particular de los derechos y libertades fundamentales de las personas físicas que el Reglamento protege. (art. 1)

Artículo 2: supuesto de actividad doméstica

El artículo 2 excluye del ámbito material el tratamiento efectuado por una persona física cuando se realiza en el ejercicio de actividades exclusivamente personales o domésticas. (art. 2)

El artículo 2 excluye el tratamiento realizado por autoridades competentes para los fines penales enumerados, incluida la protección frente a amenazas a la seguridad pública y su prevención. (art. 2)

Artículo 3: establecimiento en la Unión

Cuando el tratamiento se realiza en el contexto de las actividades de un establecimiento del responsable o encargado en la Unión, resulta aplicable el Reglamento sin que importe dónde tenga lugar materialmente el tratamiento. (art. 3)

Un responsable o encargado no establecido en la Unión queda comprendido cuando el tratamiento de interesados residentes en la Unión se relaciona con la oferta de bienes o servicios a dichos interesados, incluso si no se exige pago. (art. 3)

Artículo 4: dato personal e identificación

Dato personal es toda información sobre una persona física identificada o identificable. La identificación puede determinarse directa o indirectamente, especialmente mediante identificadores o elementos propios de la identidad de la persona. (art. 4)

El responsable determina, solo o junto con otros, los fines y medios del tratamiento. El encargado, en cambio, es quien trata datos personales por cuenta del responsable del tratamiento. (art. 4)

Trampas de examen

• Es incorrecto oponer libre circulación y protección de datos como si una eliminara la otra. El artículo 1 dispone ambas materias y prohíbe restringir o prohibir la libre circulación por los motivos de protección que expresa. (art. 1)
• No todo tratamiento no automatizado entra por sí mismo en el ámbito material. El artículo 2 exige que los datos personales estén contenidos en un fichero o destinados a ser incluidos en uno. (art. 2)
• No debe confundirse el lugar donde ocurre el tratamiento con el criterio territorial único. Si existe tratamiento en el contexto de actividades de un establecimiento en la Unión, es irrelevante que el tratamiento tenga lugar dentro o fuera de ella. (art. 3)
• El consentimiento del interesado no se define como una aceptación genérica. Debe constituir una manifestación de voluntad libre, específica, informada e inequívoca, expresada mediante declaración o clara acción afirmativa. (art. 4)
• Destinatario es quien recibe comunicación de datos, sea o no tercero. Tercero se define por exclusión respecto del interesado, responsable, encargado y personas autorizadas bajo la autoridad directa de estos. (art. 4)

Chuleta final

• Memoriza el artículo 1 como una fórmula dual: protección de las personas físicas en el tratamiento de datos personales y libre circulación de esos datos. Ambas dimensiones aparecen en el mismo objeto normativo. (art. 1)
• Para recordar el artículo 2, separa dos vías: tratamiento total o parcialmente automatizado, o tratamiento no automatizado vinculado a un fichero. La referencia al fichero caracteriza la segunda vía. (art. 2)
• El artículo 3 organiza la aplicación territorial mediante establecimiento en la Unión, oferta de bienes o servicios o control del comportamiento de interesados residentes en la Unión, y aplicación del Derecho de Estados miembros por Derecho internacional público. (art. 3)
• La definición de tratamiento debe recordarse como un conjunto amplio de operaciones sobre datos personales. Incluye desde recogida, registro y conservación hasta consulta, comunicación, limitación, supresión o destrucción. (art. 4)
• La limitación del tratamiento consiste en marcar datos personales conservados para limitar su tratamiento futuro. La definición se centra en el marcado de datos conservados y en esa finalidad de limitación posterior. (art. 4)
• La seudonimización exige que los datos ya no puedan atribuirse al interesado sin información adicional. Esa información ha de figurar por separado y estar sometida a medidas técnicas y organizativas de garantía. (art. 4)
• La violación de seguridad abarca destrucción, pérdida o alteración accidental o ilícita, además de comunicación o acceso no autorizados. Se refiere a datos personales transmitidos, conservados o tratados de otra forma. (art. 4)
• El tratamiento transfronterizo comprende actividades de establecimientos en más de un Estado miembro, o actividades de un único establecimiento que afecten sustancialmente, o probablemente afecten sustancialmente, a interesados en más de un Estado miembro. (art. 4)

Preguntas frecuentes