Cuándo se aplica el RGPD fuera de la UE: decisión por actividad

Para decidir cuándo se aplica el RGPD fuera de la UE, una empresa no europea debe examinar un tratamiento concreto, no limitarse a mirar dónde está su sede ¹. El artículo 3 ofrece rutas distintas: establecimiento, oferta a personas en la Unión y seguimiento de su comportamiento en ella ².

La distinción esencial es clara: que una web pueda abrirse desde la Unión no demuestra por sí solo segmentación. La intención se deduce de señales objetivas vistas en conjunto, por lo que la pregunta práctica no es si la empresa «cumple el RGPD», sino qué flujo queda alcanzado y qué decisión sigue para ese flujo.

Respuesta rápida Para decidir cuándo se aplica el RGPD fuera de la UE, examine el tratamiento. Queda comprendido si se realiza en el contexto de un establecimiento en la UE, ofrece bienes o servicios intencionalmente a personas que están allí o sigue su comportamiento allí ¹. La mera accesibilidad mundial no prueba una oferta dirigida ².

Última actualización: 26 de agosto de 2026

La unidad de análisis es el tratamiento

Antes de aplicar una ruta, el equipo debería describir la operación como la vería una persona externa: qué servicio recibe, dónde está mientras lo utiliza, qué unidad empresarial interviene, qué datos circulan y para qué resultado, separando los hechos acreditados de las hipótesis pendientes para que la conclusión no dependa de la sede escrita en un contrato, del país del servidor o de una característica técnica elegida por conveniencia.

El ámbito territorial no funciona como una etiqueta permanente para toda la compañía. El Reglamento conecta su alcance con operaciones y circunstancias determinadas ¹. Por eso un producto puede permanecer orientado al mercado nacional mientras otra campaña de la misma empresa busca clientela en la Unión ².

Empiece describiendo finalidad, categorías de personas, ubicación durante la actividad, canales de venta, datos recogidos y reutilización. Las directrices piden una evaluación factual del vínculo territorial ². Su versión final mantiene ese enfoque ³.

La ubicación del servidor no decide por sí sola, y tampoco basta la nacionalidad o la dirección de facturación de una persona. Para la oferta y el seguimiento interesa dónde se encuentra la persona en el momento relevante. Conviene documentar qué hecho sustenta esa localización y qué incertidumbre queda abierta.

Una ficha por actividad evita conclusiones excesivas: separa sitio público, contratación, entrega, asistencia, publicidad y analítica; después asigna a cada flujo personas, lugar, finalidad y señales observadas. Solo entonces prueba la ruta del artículo 3 que corresponda. Dos filas de la misma empresa pueden terminar con respuestas distintas porque describen tratamientos distintos, no porque el análisis sea incoherente.

Tres rutas que no deben mezclarse

La secuencia evita saltar al representante porque aparece un usuario europeo y atribuir al grupo entero el resultado de una actividad. Cada paso debe producir un sí o un no razonado, conservar el documento utilizado e indicar la pregunta siguiente. El contexto de un establecimiento no se mezcla con la intención de una oferta ni con la finalidad de recoger y reutilizar conducta.

El artículo 3 diferencia tres rutas operativas ¹, y las directrices explican por qué no deben resumirse en una vaga «presencia europea» ².

Para que el traspaso sea verificable, la ficha de ruta debe identificar el hecho que abrió la pregunta, la evidencia revisada, la persona que confirmó cada dato y el paso al que conduce una respuesta negativa. Si una ruta queda incierta, se asigna la comprobación pendiente sin tratarla como afirmativa ni negativa, mientras las otras rutas siguen abiertas para ese mismo tratamiento.

El artículo 3, apartado 3, conserva una ruta estrecha vinculada al Derecho internacional público. No es una alternativa comercial a las tres comprobaciones anteriores.

El flujo parte del tratamiento y comprueba establecimiento y contexto. Si ese nexo falta, separa la oferta de su evidencia de segmentación y mantiene la mera accesibilidad en el camino hacia el seguimiento. Solo una oferta dirigida o un seguimiento positivo abre el examen del artículo 27.

El establecimiento exige actividad real y contexto

Para hacer verificable el examen, reúna funciones efectivas, contratos internos, flujos de ingresos e instrucciones operativas, y explique el vínculo sin asumir que compartir marca o propiedad es suficiente: la pregunta precisa no es si existe alguna presencia europea, sino si esa estructura desarrolla una actividad real y si el tratamiento concreto se realiza en su contexto, incluso cuando personal, infraestructura o decisión material se encuentran fuera de la Unión.

El expediente debería mostrar también quién pidió la intervención de la unidad europea, qué instrucciones siguió y qué resultado aportó al servicio. Si esos enlaces no pueden probarse, la incertidumbre queda registrada y la actividad continúa hacia las rutas de oferta y seguimiento.

Puede haber establecimiento mediante una estructura estable desde la que se desarrolla una actividad efectiva ¹. No siempre hace falta una sociedad formalmente constituida en la Unión ². La ausencia de un servidor europeo tampoco cierra la ruta ³.

Después hay que demostrar el contexto. El artículo 3 exige que el tratamiento se efectúe en el contexto de las actividades del establecimiento ¹. Las directrices indican que la relación puede demostrarse cuando el tratamiento está inextricablemente ligado a esas actividades ². Una oficina de apoyo o una función comercial local no arrastra automáticamente todos los archivos globales. Hay que explicar qué hace esa unidad y cómo se conecta con el flujo examinado.

Ventas, facturación, soporte y obtención de datos pueden revelar vínculos diferentes. Trace quién capta a la persona, quién determina fines y medios, qué unidad utiliza la información y qué servicio sostiene. Una conexión descrita con documentos es más fiable que compartir marca o dominio.

Si existe una estructura europea pero falta el vínculo contextual para la actividad concreta, el análisis continúa. El no de esta ruta no resuelve la oferta ni el seguimiento, y tampoco se convierte en una conclusión para toda la compañía.

La oferta se reconoce por una intención objetiva

La ficha debe separar lo que el comerciante diseñó de lo que un visitante puede hacer por iniciativa propia. Países seleccionables, condiciones de entrega, geografía publicitaria, asistencia local y referencias comerciales pertenecen al primer grupo. La posibilidad mundial de abrir una página pertenece al segundo. La fecha, el público y la combinación de señales permiten defender tanto una respuesta positiva como una negativa sin transformar moneda, idioma o dominio en una presunción absoluta.

Ofrecer bienes o servicios no requiere que exista pago ¹. La cuestión es si los hechos muestran una intención objetiva de dirigirse a personas en la Unión ². Las señales se interpretan combinadas ³; ninguna característica aislada debe tratarse como prueba concluyente.

También pueden influir un idioma que normalmente no se usa en el país del comerciante o un canal local. Sin embargo, un idioma internacional, una moneda extendida o un dominio concreto no resuelven solos la pregunta. Registre señales presentes y ausentes para que un cambio posterior pueda compararse con la decisión original.

Para cerrar esta ruta, ventas aporta mercados previstos y condiciones efectivas, marketing conserva la configuración y el público de las campañas, y operaciones confirma dónde puede entregar realmente. Privacidad reúne esas piezas por fecha y actividad, señala cualquier contradicción y evita que una posibilidad técnica se presente como una decisión comercial.

Cuando la combinación todavía es ambigua, la ficha no salta al sí ni al no. Identifique la prueba que falta, quién debe obtenerla y qué operación puede continuar mientras se aclara. El resultado negativo mantiene abiertas la ruta de seguimiento y la revisión si cambian la entrega, la publicidad, las referencias o el contacto local.

Así, el traspaso entre equipos conserva tanto las señales presentes como las ausentes y permite explicar por qué una nueva combinación altera la decisión.

La accesibilidad no equivale a entrar en ese mercado

La rama negativa merece la misma evidencia que la positiva, porque la ausencia de segmentación no se demuestra con una declaración genérica: conserve mercados atendidos, restricciones de entrega, campañas activas, consultas ocasionales y respuestas posteriores, de modo que una nueva venta o un canal dedicado no reescriba el pasado sino que aparezca como un hecho fechado que activa una nueva versión del análisis.

Una persona en la Unión puede encontrar una web mundial sin que la empresa haya escogido ese mercado ². Mostrar una dirección electrónica u otros datos de contacto tampoco demuestra por sí solo una oferta dirigida ³.

Una visita o consulta espontánea desde la UE no acredita necesariamente una intención previa ². La respuesta posterior sí puede cambiar los hechos: crear una entrega dedicada, una campaña o un canal local añade señales que requieren un nuevo examen ³.

Piénsese en un servicio estadounidense diseñado, anunciado y prestado solo en Estados Unidos, sin establecimiento europeo ni seguimiento conductual. Que alguien en Europa pueda abrir la página no basta ². Una consulta no solicitada no redefine retroactivamente el público previsto ³.

Para sostener esa rama, ventas confirma que no existen países de entrega ni seguimiento comercial organizado, marketing entrega la segmentación negativa de las campañas y producto explica qué ocurre con las visitas ocasionales. Privacidad deja las lagunas visibles, asigna a una persona responsable de resolver cada una y distingue entre la evidencia actual y una promesa de mantener el servicio local.

El traspaso debe indicar qué equipo detectará el primer cambio y en qué momento reabrirá el análisis, porque la conclusión pertenece a los hechos documentados, no a una intención indefinida.

El resultado negativo debe ser operativo: guarde mercado previsto, campañas, capacidad de entrega, consultas recibidas y forma de usar los datos. Fije una revisión si la empresa convierte contactos ocasionales en un canal organizado.

El seguimiento tiene su propio criterio

La revisión debería seguir el ciclo del dato, no una lista de herramientas. Debe recoger el evento observado, el identificador utilizado, el posible enlace temporal, la inferencia, la decisión influida, la reutilización y la conservación, además del lugar de la persona durante la conducta. Esa descripción distingue una medición limitada de un perfil persistente y evita que el nombre del proveedor sustituya la finalidad y la operación reales.

El seguimiento exige comportamiento de personas en la Unión y una finalidad de recopilar y reutilizar datos sobre ese comportamiento ¹. Las directrices centran la prueba en el propósito y el análisis posterior ², y la versión final no convierte cualquier medición técnica en seguimiento ³.

La analítica, la publicidad comportamental, la geolocalización, las cookies y la identificación por huella digital del dispositivo pueden ser relevantes ¹. No todo análisis cumple la ruta ². El nombre de la herramienta tampoco decide. Examine quién es observado, dónde ocurre la conducta, qué eventos se conectan y con qué uso posterior ³.

La revisión debe conservar una muestra de los eventos, la configuración que los enlaza, la finalidad declarada y la persona que autoriza su reutilización. Si el lugar o el uso posterior no puede confirmarse, el análisis queda pendiente y no se rellena el vacío con la ubicación del proveedor ni con el nombre comercial del producto.

Producto describe qué señales genera el servicio, marketing explica cómo se usan para publicidad o personalización y privacidad contrasta esa práctica con la finalidad registrada. La persona responsable del flujo decide qué evidencia falta y fija el momento de revisión cuando cambien identificadores, duración, combinación o consecuencias.

El traspaso conserva por separado la observación, la inferencia y la acción posterior, de modo que cada eslabón pueda aceptarse, rechazarse o volver a comprobarse.

Una medición agregada y limitada presenta hechos distintos de un perfil persistente usado para anticipar decisiones. Documente identificadores, duración, combinaciones y consecuencias. Evite tanto «usamos cookies, luego se aplica» como «el proveedor está fuera, luego no se aplica».

Una conclusión positiva por seguimiento conduce al análisis del artículo 27. Si tampoco existen establecimiento u oferta dirigida, una conclusión fuera del artículo 3 sigue siendo posible y debe quedar razonada para ese flujo.

Los casos límite se resuelven por actividad

Al trasladar la tabla al caso real, sustituya cada fórmula por pruebas fechadas y asigne una persona responsable a cada laguna, sin resolver la incertidumbre con la respuesta más cómoda o más cauta: un contrato puede sostener una oferta, una configuración puede mostrar seguimiento y un acuerdo interno puede aclarar contexto, pero cada documento responde a su propia pregunta y no comunica automáticamente su fuerza a las demás rutas.

La comparación impide que un hecho llamativo oculte los demás. Cada resultado es provisional hasta sustituir los supuestos por documentos y configuraciones reales.

La tabla explica por qué «tenemos clientes europeos» no es una conclusión. Una persona puede llegar a un servicio local sin segmentación; una empresa puede seguir comportamiento sin vender nada; una unidad europea puede estar conectada con un flujo y no con otro.

Sustituya cada fórmula genérica por contratos, campañas, roles y recorridos de datos. Identifique lo desconocido como una tarea de prueba. Una incertidumbre declarada permite investigar; una suposición oculta termina convertida en una conclusión frágil.

El artículo 27 solo se abre después

Este orden impide construir un expediente invertido, en el que se debate a quién nombrar antes de identificar el tratamiento alcanzado. Primero registre la ruta, los hechos y la conclusión del artículo 3. Después verifique para la excepción la ausencia de establecimiento, la frecuencia, las categorías y el riesgo. Así quedan separadas la razón por la que se aplica el Reglamento y la razón por la que la representación resulta exigible o queda exceptuada.

El representante no es una cuarta ruta territorial. Las directrices sitúan su análisis después de un resultado positivo conforme al artículo 3, apartado 2 ². La versión final conserva esa secuencia ³.

El examen corresponde a un responsable o encargado sin establecimiento en la Unión ². La excepción es acumulativa: tratamiento ocasional, ausencia de tratamiento a gran escala de categorías del artículo 9 o datos del artículo 10 y riesgo improbable ³.

El expediente de la excepción debe mostrar cómo se probó cada condición y quién mantiene esa prueba. Si una sola condición no se acredita, la excepción no queda establecida. El resultado se entrega al responsable de la designación con la incertidumbre y la consecuencia claramente separadas.

También conviene fijar una revisión cuando el tratamiento deja de ser ocasional, cambia de escala, incorpora categorías relevantes o modifica el riesgo. Esa revisión no reabre la ruta territorial por defecto, pero sí vuelve a comprobar si la obligación de representación sigue igual.

La persona encargada de la comprobación registra la fecha, la evidencia pendiente y el equipo que debe comunicar cualquier cambio relevante.

Las autoridades y los organismos públicos tienen una exención separada ². No debe trasladarse a una empresa privada. Tampoco puede equipararse «ocasional» con un volumen pequeño sin analizar frecuencia y relación con el modelo de actividad ³.

Primero documente la ruta territorial positiva; después, el establecimiento, la frecuencia, las categorías y el riesgo. Invertir el orden hace discutir un nombramiento antes de demostrar el alcance.

Una ficha conserva la prueba y el cambio

Por cada actividad registre finalidad, personas, lugar, establecimiento y contexto, señales de oferta, seguimiento y conclusión. Añada el artículo 27 únicamente cuando la ruta positiva lo requiera. Nombre responsable y fecha.

Una ficha útil separa hechos, evidencias y valoración. Para cada ruta indica el dato observado, su fuente interna, la fecha, quién lo confirmó y qué parte sigue incierta. La conclusión expresa el alcance exacto del tratamiento y la siguiente acción, sin convertir una ausencia de prueba en una respuesta negativa.

La persona que coordina la ficha reúne las aportaciones de ventas, marketing, producto, operaciones y privacidad, pero cada equipo conserva la responsabilidad sobre sus propios hechos. Cuando hay versiones incompatibles, la ficha muestra la contradicción, asigna la comprobación y evita cerrar el análisis hasta disponer de una base suficiente.

Si la respuesta es positiva, el traspaso identifica el tratamiento alcanzado, la ruta aplicable y el examen posterior del artículo 27 cuando corresponda. Si es negativa, registra qué rutas se descartaron, con qué evidencia y qué cambio concreto obligaría a reabrirlas.

Los desencadenantes pueden ser una nueva oficina en la UE, publicidad geolocalizada, más países de entrega, un canal local, perfilado persistente o un cambio de uso. Versione la ficha en lugar de reemplazarla: la comparación explica por qué la respuesta cambia.

Conserve también los resultados negativos. La ausencia acreditada de segmentación o seguimiento es prueba, no un hueco. Un expediente común permite que ventas, producto y privacidad trabajen sobre los mismos hechos.

En cada revisión se compara la versión vigente con la anterior, se confirma quién la coordina y se actualizan únicamente los hechos que cambiaron. Ese historial permite explicar la consecuencia de una nueva oficina, campaña, entrega o finalidad sin reescribir retrospectivamente la decisión previa.

Preguntas frecuentes sobre el ámbito territorial

¿Cuándo se aplica el RGPD a una empresa que está fuera de la UE?

Puede aplicarse cuando el tratamiento se realiza en el contexto de un establecimiento en la Unión ¹, o cuando una actividad sin ese establecimiento ofrece intencionalmente bienes o servicios a personas allí o sigue su comportamiento ². La sede y el servidor son hechos que deben registrarse, pero la conclusión se toma para cada flujo con su ubicación, finalidad y evidencia.

¿Un sitio accesible desde la UE demuestra que existe segmentación?

No, porque la disponibilidad mundial y los datos de contacto no prueban por sí solos intención hacia la Unión ². La empresa debe reunir entrega prevista, publicidad dirigida, referencias de clientes, canales locales y señales ausentes, e interpretarlas en conjunto ³. La decisión se revisa si una visita espontánea acaba convirtiéndose en una actividad comercial organizada.

¿Cobrar en euros hace que el RGPD sea aplicable?

No automáticamente, ya que la moneda es una señal contextual y no una regla aislada ². El pago tampoco es necesario para que exista una oferta, por lo que la evaluación reconstruye el público previsto, la entrega, las campañas y los demás indicios objetivos ³, conserva quién confirmó cada hecho y deja abierta la ruta de seguimiento.

¿Toda herramienta de analítica supone seguimiento en la UE?

No, el producto utilizado no decide la ruta y deben examinarse el comportamiento en la Unión, la recogida y la reutilización con una finalidad comportamental ². La revisión identifica eventos, lugar, enlaces, uso posterior y lagunas, porque una medición limitada puede presentar hechos distintos de un perfil persistente ³. Esa diferencia requiere su propia conclusión documentada.

¿Cuándo se necesita un representante en la UE conforme al artículo 27?

El análisis empieza únicamente después de una conclusión positiva conforme al artículo 3, apartado 2 ¹, respecto de un responsable o encargado sin establecimiento en la Unión ². Después se comprueba conjuntamente si el tratamiento es ocasional, evita las categorías y escala señaladas y presenta un riesgo improbable, mientras la exención de autoridades y organismos públicos permanece separada ³.

¿La conclusión territorial se aplica a toda la empresa?

No, porque el artículo 3 alcanza tratamientos vinculados a hechos concretos ¹, y las directrices conectan el resultado con cada actividad ². Un servicio local, una campaña dirigida y un seguimiento separado pueden terminar en ramas diferentes ³, así que cada flujo conserva su conclusión, la persona encargada de su seguimiento, la evidencia pendiente y el desencadenante de revisión sin trasladarla automáticamente a toda la organización.