1. Identificación del asunto
Petición de decisión prejudicial planteada por el Oberster Gerichtshof (Tribunal Supremo de Austria) el 2 de junio de 2026 en el litigio entre SV y Trezor Company s.r.o. Asunto C-585/26, Trezor Company. Lengua de procedimiento: alemán. La petición se ha publicado en el Diario Oficial de la Unión Europea, serie C, de 9 de noviembre de 2026 (C/2026/5607). El Tribunal de Justicia todavía no se ha pronunciado.
2. Objeto del litigio
La publicación oficial solo recoge las cuestiones prejudiciales, no los hechos del procedimiento principal. De su formulación se desprende que el litigio versa sobre el tratamiento de datos personales de un interesado que consintió recibir un boletín y sobre el recurso, por parte del responsable, a un encargado del tratamiento situado en un tercer país para efectuar los envíos.
3. Cuestiones planteadas
La primera cuestión pregunta si la transmisión de datos personales por un responsable a un encargado del tratamiento requiere una base jurídica independiente conforme al artículo 6, apartado 1, del Reglamento (UE) 2016/679 (RGPD). Se trata de saber si esa comunicación interna a la cadena de tratamiento constituye en sí misma un tratamiento que debe legitimarse por separado, o si queda cubierta por la base jurídica del tratamiento principal que el encargado ejecuta por cuenta del responsable.
La segunda cuestión solo se plantea si la respuesta a la primera es negativa. El Oberster Gerichtshof pregunta si el consentimiento «informado» del artículo 4, punto 11, del RGPD, prestado conforme al artículo 6, apartado 1, letra a), para recibir un boletín, exige que el interesado supiera, antes de consentir, que el responsable pensaba recurrir a un encargado del tratamiento, en el sentido del artículo 4, punto 8, situado en un tercer país, para enviar ese boletín.
4. Marco normativo
El artículo 4 del RGPD define al responsable como quien determina los fines y medios del tratamiento (punto 7), y al encargado como quien trata datos personales por cuenta del responsable (punto 8). El concepto de «destinatario» (punto 9) incluye a quien recibe una comunicación de datos, sea o no un tercero; el de «tercero» (punto 10) excluye expresamente al encargado. El consentimiento se define como una manifestación de voluntad libre, específica, informada e inequívoca (punto 11).
El artículo 6, apartado 1, enumera las condiciones de licitud del tratamiento, la primera de ellas el consentimiento para uno o varios fines específicos. El artículo 28 regula la elección del encargado, que debe ofrecer garantías suficientes, y exige que el tratamiento por su parte se rija por un contrato u otro acto jurídico. El artículo 13, apartado 1, obliga al responsable a informar, en el momento de la obtención de los datos, de los destinatarios o categorías de destinatarios y, en su caso, de la intención de transferir los datos a un tercer país. El capítulo V, a partir del artículo 44, somete las transferencias a terceros países a condiciones específicas que deben cumplir tanto el responsable como el encargado.
La primera cuestión toca un punto estructural del sistema: la posición del encargado dentro o fuera del círculo del responsable. La definición de «tercero» excluye al encargado, lo que apunta a que actúa como una prolongación del responsable; pero la definición de «destinatario» no distingue y el artículo 13 obliga a informar sobre los destinatarios. Si el Tribunal de Justicia exigiera una base jurídica autónoma para cada comunicación al encargado, el impacto práctico sería considerable, porque la externalización de servicios (envíos masivos, alojamiento, mantenimiento informático) es la regla en el tráfico.
La segunda cuestión desplaza el problema al terreno de la información previa al consentimiento. Lo que se pregunta no es si debe informarse de la transferencia internacional en cuanto tal, que el artículo 13 ya contempla, sino si la falta de esa información vicia el consentimiento mismo como base de licitud. La respuesta afectará a la validez de los consentimientos recabados con fórmulas genéricas para comunicaciones comerciales.
En Derecho español, el artículo 33.1 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, dispone que el acceso del encargado a los datos necesarios para prestar un servicio al responsable no se considera comunicación de datos, siempre que se cumpla el RGPD y la propia ley. La respuesta a la primera cuestión permitirá contrastar ese criterio con la interpretación del Reglamento, y el apartado 2 del mismo artículo recuerda que quien utiliza los datos para fines propios pasa a ser responsable.
Referencias – Petición de decisión prejudicial, asunto C-585/26, DO C/2026/5607, de 9 de noviembre de 2026: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62026CN0585 – Reglamento (UE) 2016/679 (RGPD), artículos 4.7 a 4.11, 6.1, 13, 28 y 44: https://eur-lex.europa.eu/eli/reg/2016/679/oj – Ley Orgánica 3/2018, artículo 33: https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673