Cada Estado miembro tiene al menos una autoridad de control (artículo 51, apartado 1), cada una competente en el territorio de su propio Estado (artículo 55, apartado 1), y una empresa de software con clientes en toda la Unión podría, en principio, responder ante todas. La respuesta del Reglamento es la autoridad de control principal: para el tratamiento transfronterizo, la autoridad del establecimiento principal o del establecimiento único de la empresa es la principal, y es su único interlocutor (artículo 56, apartados 1 y 6). Este artículo lee los cuatro artículos que deciden cuál es esa autoridad, y el registro que StandardOS mantiene de las propias autoridades, ahora en la página del plazo de violación y en cada página de Estado miembro.

El tratamiento transfronterizo: cuándo surge la pregunta

La regla de la autoridad principal se aplica al tratamiento transfronterizo, que el artículo 4, punto 23, define de dos maneras: el tratamiento en el contexto de las actividades de establecimientos en más de un Estado miembro, o el tratamiento en el contexto de un único establecimiento que afecta sustancialmente, o es probable que afecte sustancialmente, a interesados en más de un Estado miembro. Una empresa SaaS con una sola oficina y clientes en seis países está en la segunda variante: un establecimiento, personas afectadas en varios Estados. Una empresa con una oficina comercial en un segundo Estado está en la primera. En ambos casos hay tratamiento transfronterizo y se aplica el artículo 56. Una empresa que solo trata los datos de su propio personal en un Estado no lo tiene, y la autoridad de su propio Estado es competente conforme al artículo 55, apartado 1, sin ninguna cuestión de autoridad principal.

El establecimiento principal: donde se toman las decisiones

El artículo 4, punto 16, define el establecimiento principal de forma distinta para los dos roles. Para un responsable con establecimientos en más de un Estado, es el lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y medios del tratamiento se tomen en otro establecimiento que tenga el poder de hacerlas aplicar, en cuyo caso ese establecimiento es el principal. Para un encargado, es el lugar de su administración central en la Unión o, si no la tiene, el establecimiento donde tienen lugar las principales actividades de tratamiento. El considerando 36 añade el criterio: el ejercicio efectivo y real de actividades de gestión que determinen las principales decisiones sobre fines y medios, mediante disposiciones estables; la presencia de servidores o medios técnicos en un Estado no lo convierte en establecimiento principal. Así, una empresa de software con sede en un Estado, su centro de datos en un segundo y sus desarrolladores en un tercero tiene su establecimiento principal donde su dirección decide qué se trata y por qué, y las autoridades del segundo y del tercer Estado son autoridades de control interesadas (artículo 4, punto 22), no la principal. Cuando una empresa es a la vez responsable y encargada, el considerando 36 mantiene la condición de principal en la autoridad del Estado donde el responsable tiene su establecimiento principal.

La autoridad principal, y las tres formas en que otra conserva un caso

El artículo 56, apartado 1, hace de la autoridad del establecimiento principal la autoridad de control principal para el tratamiento transfronterizo, con arreglo al procedimiento de cooperación del artículo 60 con cada autoridad interesada. El artículo 56, apartado 6, la hace el único interlocutor del responsable o del encargado para ese tratamiento: una autoridad a la que notificar, una que responde, una que redacta la decisión. El artículo 56, apartado 2, es la excepción: cualquier autoridad es competente para tratar una reclamación presentada ante ella, o una posible infracción, si el asunto se refiere únicamente a un establecimiento en su Estado o afecta sustancialmente a interesados únicamente en su Estado, el caso local del considerando 127, cuyo ejemplo es el tratamiento de datos de empleados en el contexto laboral de un Estado. Informa sin dilación a la autoridad principal, y esta tiene tres semanas para decidir si asume el caso (artículo 56, apartado 3); si lo hace, la autoridad local puede presentarle un proyecto de decisión que la principal debe tener en cuenta en la mayor medida posible (56, apartado 4), y si no lo hace, la autoridad local lo tramita con arreglo a los artículos 61 y 62 (56, apartado 5). El artículo 55, apartado 2, saca del mecanismo por completo a las autoridades públicas y a los organismos que actúan sobre la base del artículo 6, apartado 1, letra c) o e): para ellos es competente la autoridad del Estado de que se trate y el artículo 56 no se aplica.

Sin establecimiento en la Unión: sin autoridad principal

Una empresa fuera de la Unión que ofrece bienes o servicios a personas que están en ella, o que controla su comportamiento, queda sujeta al Reglamento por el artículo 3, apartado 2, y debe designar un representante en la Unión conforme al artículo 27, apartado 1, en un Estado donde estén las personas cuyos datos trata (27, apartado 3). El representante no crea un establecimiento principal, y la ventanilla única del artículo 56 no se aplica: el considerando 122 hace competente a cada autoridad para el tratamiento realizado por un responsable o encargado no establecido en la Unión cuando se dirige a interesados que residen en su territorio. Tal empresa puede, por tanto, responder ante cada autoridad cuyos residentes aborda, y su notificación de violación va a cada una de ellas. La determinación gratuita dice cuáles de las obligaciones, el representante y las demás, se aplican a una empresa concreta.

Adónde va la notificación de violación

El artículo 33, apartado 1, obliga al responsable a notificar la violación de la seguridad de los datos personales a la autoridad de control competente de conformidad con el artículo 55, en 72 horas desde que haya tenido constancia de ella. En el tratamiento transfronterizo, esa es la autoridad principal del artículo 56; en una empresa de un solo Estado, su propia autoridad; en una empresa sin establecimiento en la Unión, la autoridad de cada Estado cuyos residentes resulten afectados. El registro que StandardOS mantiene es la propia lista de miembros del Comité: 27 autoridades para los 27 Estados miembros, y las autoridades de Islandia, Liechtenstein y Noruega, miembros para los asuntos del RGPD sin voto, 30 filas, cada una con el nombre que el Comité lista y el sitio web que lista primero, leídas el 12 de septiembre de 2026. El Comité señala que la competencia está repartida entre varias autoridades en dos Estados, Austria y Alemania, y remite a la lista que la Comisionada federal mantiene para los Länder; una empresa establecida en Alemania busca allí su autoridad por Land. Elija el Estado del establecimiento principal en la página del plazo de violación: la lectura nombra la autoridad con su dirección, y la notificación redactada según el artículo 33, apartado 3, la lleva bajo un encabezado propio.

Qué hacer con ello

El registro de actividades de tratamiento ya pregunta dónde está establecida la empresa; añádale una línea que nombre el establecimiento principal y la razón, el lugar de la administración central o el establecimiento que toma las decisiones, y la autoridad principal que de ello se deriva. Esa línea es lo que pedirán las cláusulas de encargo que envíe un cliente, a quien se dirige la evaluación de impacto conforme al artículo 36 cuando hace falta una consulta, y a quien el procedimiento de violación nombra como destinatario antes de que nadie esté bajo el plazo. StandardOS la escribe a partir del Estado del registro y abre el plazo de 72 horas con la autoridad ya nombrada.