Los negocios sobre datos personales de un afectado que establecen empresarios localizados en diferentes países han conocido un desarrollo notable en los últimos años: junto a las formas comunes basadas en la cesión de los datos entre responsables del tratamiento, o bien, en el acceso por parte de un encargado, aparecen otras posibilidades de negocio que suponen la intervención de subencargados en el contexto de la subcontratación de los servicios de tratamiento. Prueba del dinamismo del sector es la adopción de la nueva Decisión de la Comisión 2010/87/UE reguladora de las transferencias internacionales a encargados establecidos en terceros Estados que contempla la subcontratación internacional y que incorpora este trabajo.

Se propone en esta monografía un estudio de estas modalidades de negocio. Se toma como punto de partida la circunstancia de la localización de los profesionales implicados en Estados diferentes, tanto cuando la operación supone la salida de los datos del territorio europeo de protección como cuando se desarrolla dentro del EEE. Con ese objetivo se ofrece una estructura en tres niveles. El trabajo aborda en primer lugar el régimen jurídico aplicable a la relación principal de tratamiento que vincula a un afectado y a un empresario establecido en otro país, en sus dos manifestaciones básicas: cuando implica un tratamiento consentido y cuando ese tratamiento supone una disposición ilícita de la información por no consentida, estudiando en cada caso los mecanismos para la reclamación del daño sufrido por el afectado. El segundo nivel se ocupa de la relación entre los profesionales establecidos en países diferentes en sus dos modalidades comunes de negocios de cesión entre responsables y de acceso por un encargado. En esta sede se abordan cuestiones relativas al régimen aplicable a estos supuestos prestando especial atención a la forma en la que se asegura la recepción del régimen de protección del afectado en el contrato. Finalmente, los negocios de subcontratación de los servicios de tratamiento por parte de empresarios encargados con terceros subencargados son objeto de atención. Se analizan cuestiones como si puede el encargado en el EEE (o en un tercer Estado) de un responsable español subcontratar con un tercero los servicios comprometidos, qué modalidades de subcontratación ha previsto el legislador europeo (si crean un vinculo entre el responsable y el subencargado con el que contrata el encargado), o bien qué dificultades conoce la aplicación del régimen de autorización administrativa.

Esta monografía desea ofrecer respuestas a las preguntas más frecuentes de los operadores sobre el alcance de sus obligaciones de tratamiento en supuestos internacionales, la garantía de los derechos del afectado y la forma en la que se articula la recepción del régimen de protección en cada caso. Lo hace a partir de la nueva legislación vigente incorporando también la práctica de la autoridad nacional de protección, llamada a seguir desempeñando una función esencial de garantía y control.