Issuu

DELIMITACIÓN DEL DERECHO APLICABLE EN EL REGLAMENTO 2016/679: TUTELA JURÍDICO PRIVADA DE LA PROTECCIÓN DE DATOS

COMITÉ CIENTÍFICO DE LA EDITORIAL TIRANT LO BLANCH María José Añón Roig

Marta Lorente Sariñena

Ana Cañizares Laso

Javier de Lucas Martín

Catedrática de Filosofía del Derecho de la Universidad de Valencia Catedrática de Derecho Civil de la Universidad de Málaga

Jorge A. Cerdio Herrán

Catedrático de Teoría y Filosofía de Derecho. Instituto Tecnológico Autónomo de México

José Ramón Cossío Díaz

Ministro en retiro de la Suprema Corte de Justicia de la Nación y miembro de El Colegio Nacional

María Luisa Cuerda Arnau

Catedrática de Derecho Penal de la Universidad Jaume I de Castellón

Carmen Domínguez Hidalgo

Catedrática de Derecho Civil de la Pontificia Universidad Católica de Chile

Eduardo Ferrer Mac-Gregor Poisot Juez de la Corte Interamericana de Derechos Humanos Investigador del Instituto de Investigaciones Jurídicas de la UNAM

Owen Fiss

Catedrático emérito de Teoría del Derecho de la Universidad de Yale (EEUU)

José Antonio García-Cruces González

Catedrático de Derecho Mercantil de la UNED

José Luis González Cussac

Catedrático de Derecho Penal de la Universidad de Valencia

Luis López Guerra

Catedrático de Derecho Constitucional de la Universidad Carlos III de Madrid

Ángel M. López y López

Catedrático de Derecho Civil de la Universidad de Sevilla

Catedrática de Historia del Derecho de la Universidad Autónoma de Madrid Catedrático de Filosofía del Derecho y Filosofía Política de la Universidad de Valencia

Víctor Moreno Catena

Catedrático de Derecho Procesal de la Universidad Carlos III de Madrid

Francisco Muñoz Conde

Catedrático de Derecho Penal de la Universidad Pablo de Olavide de Sevilla

Angelika Nussberger

Catedrática de Derecho Constitucional e Internacional en la Universidad de Colonia (Alemania) Miembro de la Comisión de Venecia

Héctor Olasolo Alonso

Catedrático de Derecho Internacional de la Universidad del Rosario (Colombia) y Presidente del Instituto Ibero-Americano de La Haya (Holanda)

Luciano Parejo Alfonso

Catedrático de Derecho Administrativo de la Universidad Carlos III de Madrid

Consuelo Ramón Chornet

Catedrática de Derecho Internacional Público y Relaciones Internacionales de la Universidad de Valencia

Tomás Sala Franco

Catedrático de Derecho del Trabajo y de la Seguridad Social de la Universidad de Valencia

Ignacio Sancho Gargallo

Magistrado de la Sala Primera (Civil) del Tribunal Supremo de España

Elisa Speckmann Guerra

Directora del Instituto de Investigaciones Históricas de la UNAM

Ruth Zimmerling

Catedrática de Ciencia Política de la Universidad de Mainz (Alemania) Fueron miembros de este Comité: Emilio Beltrán Sánchez, Rosario Valpuesta Fernández y Tomás S. Vives Antón Procedimiento de selección de originales, ver página web: www.tirant.net/index.php/editorial/procedimiento-de-seleccion-de-originales

DELIMITACIÓN DEL DERECHO APLICABLE EN EL REGLAMENTO 2016/679: TUTELA JURÍDICO PRIVADA DE LA PROTECCIÓN DE DATOS

Elena Rodríguez Pineau Elisa C. Torralba Mendiola

tirant lo blanch Valencia, 2023

Copyright ® 2023 Todos los derechos reservados. Ni la totalidad ni parte de este libro puede reproducirse o transmitirse por ningún procedimiento electrónico o mecánico, incluyendo fotocopia, grabación magnética, o cualquier almacenamiento de información y sistema de recuperación sin permiso escrito del autor y del editor. En caso de erratas y actualizaciones, la Editorial Tirant lo Blanch publicará la pertinente corrección en la página web www.tirant.com. La presente obra ha sido sometida a la revisión de pares ciegos según el protocolo de publicación de la editorial a efectos de ofrecer el rigor y calidad correspondiente tanto en su contenido como en su forma, aplicándose los criterios específicos aprobados por la Comisión Nacional E 016 (BOE num. 286, de 26 de noviembre de 2016).

Este trabajo se ha desarrollado en el marco del proyecto de investigación PGC 2018096456-B-I00 La protección transfronteriza de la transmisión de datos personales a la luz del nuevo Reglamento europeo. Problemas prácticos de aplicación. Programa estatal de Fomento de la Investigación Científica y Técnica de Excelencia, Subprograma Estatal de Generación de Conocimiento, del Ministerio de Ciencia, Innovación y Universidades. Colección Derecho Procesal de la Unión Europea Directora: MAR JIMENO BULNES Catedrática de Derecho Procesal

TIRANT LO BLANCH EDITA: TIRANT LO BLANCH C/ Artes Gráficas,14-46010-V alencia TELFS.: 96/361 00 48 - 50 FAX: 96/369 41 51 Email: tlb@tirant.com www.tirant.com Librería virtual: www.tirant.es DEPÓSITO LEGAL: V-4007-2022 ISBN: 978-84-1147-031-5 MAQUETA: Innovatext Si tiene alguna queja o sugerencia, envíenos un mail a: atencioncliente@tirant.com. En caso de no ser atendida su sugerencia, por favor, lea en www.tirant.net/index.php/empresa/politicas-de-empresa nuestro Procedimiento de quejas. Responsabilidad Social Corporativa: http://www.tirant.net/Docs/RSCTirant.pdf

A la memoria de Alegría

Índice ABREVIATURAS .................................................................................................... INTRODUCCIÓN...................................................................................................

13 15

Capítulo I NATURALEZA Y ALCANCE DEL RGPD

I. EL RGPD COMO NORMA HÍBRIDA .......................................................... II. EL RGPD COMO NORMA IMPERATIVA UNILATERAL........................... III. ALCANCE EXTRATERRITORIAL................................................................ 1. El artículo 3 del RGPD........................................................................... 2. Las limitaciones de la extraterritorialidad ........................................... 3. Otros mecanismos de expansión del alcance del RGPD ..................... 3.1. Transferencias transfronterizas autorizadas a tercer Estado...... 3.2. El alcance extraterritorial derivado de la autonomía de la voluntad............................................................................................ IV. CARÁCTER INCOMPLETO.......................................................................... 1. Cláusulas abiertas y lagunas................................................................... 2. La ausencia de solución en el RGPD y en las normas nacionales....... V. CONSECUENCIAS QUE RESULTAN DE ESTA CARACTERIZACIÓN DEL RGPD .....................................................................................................

22 25 29 29 35 37 38 39 42 42 46 50

Capítulo II EL RGPD Y LOS CONFLICTOS DE NORMAS REGULATORIAS

CONFLICTOS AD INTRA.............................................................................. 1. Mecanismos de cooperación de autoridades........................................ 2. Normas de solución................................................................................ 2.1. La aplicación de la normativa estatal ......................................... 2.2. Posibilidad de recurrir a las normas de conflicto de DIPr......... 2.3. La búsqueda de una solución en el RGPD.................................. II. CONFLICTOS DE LEYES AD EXTRA........................................................... 1. Concurrencia de normativas: el RGPD y otras normas ....................... 2. Normativa aplicable en defecto del RGPD ........................................... III. CONCLUSIONES...........................................................................................

58 59 62 62 64 66 68 69 73 75

Capítulo III RGPD Y NORMAS DE CONFLICTO

LAS DISTINTAS LÓGICAS SUBYACENTES................................................

Índice

II.

LA PROBLEMÁTICA APLICACIÓN DE LAS NORMAS EUROPEAS EN LOS CONFLICTOS DE LEYES AD INTRA................................................... 1. Conflictos de leyes en materia contractual .......................................... 2. Conflictos de leyes en materia extracontractual .................................. 2.1. La (in)aplicabilidad del Reglamento (CE) 864/2007................ 2.2. La aplicación de las normas de conflicto de los Estados miembros. 3. Propuestas para una norma de conflicto específica en materia de protección de datos................................................................................ III. BÚSQUEDA DE UNA SOLUCIÓN EN EL RGPD....................................... 1. Distintas posiciones a partir del artículo 3 RGPD................................. 2. Propuesta: la norma de conflicto ya existe en el RGPD ...................... 2.1. Ratio de la regla............................................................................ 2.2. La concreción del centro de intereses........................................ 2.3. Adecuación de esta solución a los fines del RGPD..................... IV. EL PROBLEMA DE LOS CONFLICTOS DE LEYES AD EXTRA................. 1. Ley aplicable a la protección de datos en situaciones no cubiertas por el RGPD............................................................................................ 2. El capítulo V del RGPD: transferencias a terceros Estados ................. 3. La contractualización de la protección de datos.................................. 3.1. El Derecho aplicable al tratamiento de datos sujetos a cláusulas contractuales tipo.................................................................... 3.2. El Derecho aplicable al tratamiento de datos sujeto a normas corporativas vinculantes .............................................................. V. CONCLUSIONES...........................................................................................

85 85 87 87 90 92 96 97 100 101 105 107 110 111 114 115 116 118 120

Capítulo IV RELACIONES JURÍDICO PRIVADAS TRANSFRONTERIZAS EN EL MARCO DEL RGPD

I. II.

CUESTIONES INTRODUCTORIAS............................................................. LAS RELACIONES RESPONSABLES/ENCARGADOS DEL TRATAMIENTO.......................................................................................................... 1. Cuestiones generales.............................................................................. 2. Los contratos responsable-encargado: el alcance de la remisión del artículo 28.3 RGPD al Derecho de la Unión o de los Estados miembros.......................................................................................................... 3. Relaciones ad extra: las transferencias a terceros Estados..................... III. RELACIONES INTERESADOS/RESPONSABLES-ENCARGADOS .......... 1. Las relaciones contractuales entre interesados y responsables............ 1.1. La formación del contrato: tratamiento basado en el consentimiento incorporado a un contrato.............................................. 1.1.1. ¿Exigencia de que el contrato se someta al Derecho de un Estado miembro?.................................................. 1.1.2. Nulidad o retirada del consentimiento al tratamiento de los datos......................................................................

125 130 130 131 135 138 140 142 145 148

Índice

1.1.3.

IV.

Cuestión especial: el consentimiento de los menores de edad............................................................................. 1.2. Consideraciones respecto de ciertas categorías de datos........... 1.2.1. El tratamiento de los datos relativos a la salud.............. 1.2.2. Datos personales de los trabajadores en el ámbito laboral................................................................................. 2. El artículo 82 RGPD................................................................................ 2.1. El carácter internacionalmente imperativo del artículo 82 RGPD............................................................................................. 2.2. Sobre las lagunas del artículo 82 RGPD ..................................... 2.2.1. La referencia “al Derecho del Estado miembro” que se indica en el artículo 79, apartado 2........................... 2.2.2. La ley del centro de intereses del afectado.................... 2.3. El artículo 82 y las transferencias a terceros Estados.................. 3. Las relaciones extracontractuales entre interesados y responsables/ encargados.............................................................................................. 3.1. Obligaciones legales..................................................................... 3.2. El artículo 85 RGPD..................................................................... A MODO DE CONCLUSIÓN .......................................................................

149 152 152 156 158 160 162 163 166 169 170 171 173 179

Capítulo V REFLEXIONES CONCLUSIVAS

I. PROPUESTAS ................................................................................................ II. CONSIDERACIONES ADICIONALES......................................................... III. PROYECCIONES DE FUTURO.....................................................................

184 187 189

BIBLIOGRAFÍA....................................................................................................... LEGISLACIÓN........................................................................................................ JURISPRUDENCIA ................................................................................................ REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO................................................................................................................

191 205 211 213

ABREVIATURAS

AA.VV. apdo. Art., arts. as. BOE CDFUE CCT CC CEDH cit. coord., coords. DIPr dr., dra., dres. DOUE DPD ed. ej. esp. LOPDGDD núm. op. cit. p., pp., par. RBI bis RRI RRII RGPD

varios autores apartado Artículo, artículos asunto Boletín Oficial del Estado Carta de Derechos Fundamentales de la Unión Europea Cláusulas Contractuales Tipo Código Civil Convenio Europeo de Derechos Humanos citado, citada coordinador, coordinadores Derecho internacional privado director/a, directores Diario Oficial de la Unión Europea Directiva 95/46/CE edición, editor, editorial (según contexto) ejemplo especialmente Ley Orgánica de protección de datos personales y garantía de los derechos digitales número obra citada página, páginas parágrafo Reglamento Bruselas I bis Reglamento Roma I Reglamento Roma II Reglamento General de Protección de Datos

14 ss SSTJCE TFUE TJUE UE ult.loc.cit. vid. vol.

Abreviaturas

siguientes Sentencia/s del Tribunal de Justicia de la Unión Europea Tratado de Funcionamiento de la Unión Europea Tribunal de Justicia de la Unión Europea Unión Europea última obra citada véase volumen

INTRODUCCIÓN

Este trabajo cierra la labor de investigación realizada en el marco del proyecto PGC 2018-096456-B-I00 La protección transfronteriza de la transmisión de datos personales a la luz del nuevo Reglamento europeo. Problemas prácticos de aplicación, realizado en el marco del Programa estatal de Fomento de la Investigación Científica y Técnica de Excelencia, Subprograma Estatal de Generación de Conocimiento, del Ministerio de Ciencia, Innovación y Universidades. Durante el desarrollo del proyecto, cuyos resultados se han publicado en otro libro colectivo y un amplio número de trabajos de los investigadores del equipo1, se pudo observar cómo las publicaciones que abordan el estudio del Reglamento General de Protección de datos2, en adelante, RGPD, prestan escasa atención a los aspectos conflictuales que esta materia plantea. Probablemente la pretensión armonizadora del RGPD, así como la naturaleza primeramente jurídico-pública de estas normas pueden explicar la falta de interés por unas técnicas que suelen asociarse a la disciplina del Derecho internacional privado (en adelante DIPr). Sin embargo, y más allá de la extraterritorialidad que incorporan sus soluciones, lo que suscita necesariamente supuestos de concurrencia con otras normativas en materia de protección de datos, lo cierto es que en el ámbito de aplicación del RGPD existe una necesidad de identificar cuál es la ley aplicable cuando éste remite la regulación de algunas cuestiones a las respectivas leyes de los Estados miembros o cuando deja algunos aspectos sin regular. De esta constatación surgió el presente trabajo. Se trata de una aportación que, en primer lugar, pretende identificar dónde se producen estos conflictos de leyes para aportar, más que para resolver con carácter definitivo, propuestas que permitan colmar lagunas o resolver conflictos, en

La protección de las transmisiones de datos transfronterizas, E. Rodríguez Pineau y E. Torralba Mendiola (eds.), 2021, Madrid, Thomson-Reuters. Buena parte de los trabajos realizados se citan en el primer capítulo de este trabajo colectivo. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (DOUE de 4 mayo de 2016, nº L 119, pp. 1-88).

Elisa Torralba Mendiola y Elena Rodríguez Pineau

definitiva, mejorar la aplicación del RGPD. Ciertamente el perfil internacional-privatista de las autoras hace que sean los aspectos jurídico-privados aquellos en los que se incide en mayor medida, pero no por ello se ha querido eludir una aproximación a los conflictos de leyes en su vertiente regulatoria, cuando son las autoridades de control quienes deben resolver sobre estos aspectos. De hecho, este análisis ha permitido comprobar cómo el carácter regulatorio del RGPD influye en la manera en que se abordan normalmente las cuestiones de DIPr en materia de protección de datos. Una de las finalidades de este libro es, precisamente, intentar analizar los conflictos de leyes transfronterizos en esta materia desde una perspectiva internacional privatista, lo que implica reflexionar sobre un problema de creciente actualidad en el DIPr, como es el espacio de las técnicas de DIPr en el marco de normativas regulatorias. Esta reflexión parece especialmente pertinente en la medida en que la tutela jurídico-privada (private enforcement) de la protección de datos es un instrumento querido por el legislador europeo para potenciar la eficacia de las soluciones del RGPD. El creciente número de acciones colectivas en materia de protección de datos, planteadas tanto ante las autoridades de control como ante la jurisdicción ordinaria, es un indicador en este sentido3. Aclarar cómo se resuelven los conflictos de leyes resulta fundamental si se pretende que los operadores jurídicos impulsen las soluciones perseguidas por el legislador europeo con el RGPD. El libro se estructura en cuatro capítulos. En el primero se analiza la naturaleza del RGPD y cómo los elementos que se predican de sus soluciones se proyectan en las situaciones jurídico-privadas en materia de protección de datos. Este primer capítulo pone de manifiesto la necesidad de distinguir adecuadamente los intereses en presencia cuando las normas persiguen fines regulatorios y cuando, por el contrario, atienden a finalidades de naturaleza jurídico-privada. Con este marco, el segundo capítulo se dedica a los conflictos de leyes de naturaleza pública, con la pretensión de identificar dónde y por qué se verifican estos conflictos y cómo se 3

Detrás de algunos de los casos de litigación colectiva más notorios se encuentran organizaciones dedicadas a la protección de la privacidad como None of your business (http://noyb.eu), fundada por Maximiliam Schrems, abogado que impulsó dos casos fundamentales en materia de protección de datos ante el TJUE (en los asuntos Schrems, de 6 de octubre de 2015, C-362/14, ECLI:EU:C:2015:650 y Facebook Ireland y Schrems, de 16 de julio de 2020, C-311/18, ECLI:EU:C:2020:559, disponibles en servidor oficial del Tribunal de Justicia http://curia.europa.eu), o la neerlandesa Foundation for Market Information Research (http://somi.nl/en), que impulsa actualmente una demanda frente a Tiktok.

Introducción

ha sugerido abordarlos. Se constata ya una doble vertiente del problema, cuando los supuestos son meramente internos a la Unión Europea (ad intra), y cuando el conflicto, resultante de la extraterritorialidad del RGPD, se plantea con las normativas de terceros Estados (ad extra). Este análisis permite contrastar las soluciones con las que se suscitan en el marco de las relaciones jurídico-privadas, objeto del capítulo tercero. En él se abordan de nuevo tanto los conflictos ad intra como los que se plantean con terceros Estados (ad extra). En las aproximaciones que se han hecho hasta la fecha sobre el tema se constata la fuerte influencia de las soluciones regulatorias, descuidando los elementos propios de los conflictos de DIPr. Finalidad de este tercer capítulo es identificar, en ausencia de una regla expresa, qué elementos del RGPD permiten proponer una solución conflictual adecuada para resolver estas situaciones, tanto en los supuestos que se planteen entre Estados Miembros, como en los que intervengan normativas de terceros Estados. En el capítulo cuarto las propuestas realizadas para la esfera jurídico-privada se ponen a prueba en su aplicación a las cuestiones que, en concreto, suscitan las remisiones y lagunas del RGPD y la proyección de sus soluciones ad extra. El trabajo se cierra con unas consideraciones finales en las que se recogen las principales tesis defendidas y unas consideraciones de futuro. En la medida en que las reflexiones que hacemos en este trabajo puedan ayudar a la discusión sobre el tema, o a abrir ulteriores reflexiones con relación a las venideras normativas en materia de inteligencia artificial o de los mercados digitales en la Unión Europea, en las que el tratamiento transfronterizo de datos resulta un componente fundamental, y cuyo alcance regulatorio se acerca en buena medida a las opciones del RGPD, habremos satisfecho el fin que perseguíamos. Este trabajo se ha cerrado el 15 de mayo de 2022. Todas las referencias a páginas web se han verificado a dicha fecha.

Capítulo I

NATURALEZA Y ALCANCE DEL RGPD

La importancia que los datos personales tienen en la economía actual es un hecho incontestable. La obtención de datos personales y su tratamiento está en la base de muchas de las actividades que se desarrollan online y en las que empresas dedicadas a la prestación de servicios en línea consiguen importantes beneficios4. La creciente presencia de la inteligencia artificial ha potenciado si cabe aún más la importancia del tratamiento de datos personales en unos procesos que pueden resultar poco transparentes para los titulares de esos datos y que en algunos casos se perciben como un riesgo, en particular cuando se trata de aspectos vinculados con datos sensibles5. El mercado de los datos personales (o su libre circulación) genera una actividad transfronteriza facilitada por los medios tecnológicos de la que los titulares de los datos personales no son siempre conscientes. Pero además del creciente impacto de los datos personales en la economía, se observa igualmente cómo la protección de estos datos se ha potenciado en los últimos tiempos, reconocida como un derecho de la persona, aunque no con la misma relevancia en todos los países. La combinación de ambos elementos, i.e. la circulación de los datos como parte del desarrollo de 4

La economía de los datos se acompaña de otros fenómenos como la inteligencia artificial, la actividad en la ‘nube’ o el internet de las cosas, fenómenos todos que implican el tratamiento y transferencia de datos personales muchas veces agregados (en forma de metadatos) con otros datos no personales. En este trabajo limitaremos el estudio a los primeros, aunque el legislador europeo también ha regulado la circulación de datos no personales en el Reglamento (UE) 2018/1807 del Parlamento europeo y del Consejo de 14 de noviembre, relativo a un marco para la libre circulación de datos no personales en la Unión Europea (DOUE de 28 de noviembre 2018, nº L 303, pp. 59-68). Son muchas las advertencias que se están realizando respecto del impacto que la inteligencia artificial puede tener en el correcto tratamiento de los datos personales y su protección. A título ilustrativo pueden consultarse dos documentos sobre “Big Data, artificial intelligence, machine learning and data protection”, 2018, del International Commission Officer (ICO), agencia de protección de datos británica (disponible en https://ico.org.uk/media/for-organisations/documents/2013559/big-data-ai-mland-data-protection.pdf) y “Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial: Una introducción”, 2020, de la AEPD española (disponible en https://www.aepd.es/sites/default/files/2020-02/adecuacion-rgpd-ia.pdf).

Elisa Torralba Mendiola y Elena Rodríguez Pineau

los mercados y la protección de los datos personales como un derecho de sus titulares, constituye el núcleo de las distintas normativas estatales o supraestatales6. Sin duda alguna, la relevancia del RGPD ha sido fundamental para el desarrollo de los niveles de protección en la materia, no sólo en el marco de la Unión Europea sino también a un nivel más amplio. De hecho, comienza a ser frecuente leer sobre el RGPD como el ‘estándar de oro’ (golden standard) en materia de protección de datos personales7. De igual modo se apunta la importancia de su regulación para fijar unos estándares que acaban reproduciéndose en muchos países (principalmente de aquellos de donde provienen las empresas que pretenden acceder al mercado único europeo) con el acuñado ‘efecto Bruselas’8. Este impacto es el que el legislador europeo pretende reproducir en sus nuevas normativas sobre inteligencia artificial y sociedad digital9.

Para una primera revisión de las distintas normativas, sus paralelos y diferencias, puede consultarse GREENLEAF, G., “The influence of European data privacy standards outside Europe: implications for globalization of Convention 108”, International Data Privacy Law, 2012, vol. 2, nº 2, pp. 68-92. Vid. BUTTARELLI, G., “The EU GDPR as a Clarion Call for a New Global Digital Gold Standard”, International Data Privacy Law, 2016, vol. 6, nº 2, pp. 77-78; GASCÓN MARCÉN, A., “El Reglamento General de Protección de Datos como modelo de las recientes propuestas de legislación digital europea”, Cuadernos de Derecho Transnacional, 2021, vol. 13, nº 2, pp. 209-232, esp. p. 210; MANTELERO, A., “The future of data protection: Gold standard vs. global standard”, Computer Law & Security Review, 2021, vol. 40, 1005500. El término ‘efecto Bruselas’ fue introducido por A. BRADFORD en “The Brussels Effect”, Northwestern University Law Review, 2012, vol. 107, nº 1, pp. 1-67 y desarrollado en sus trabajos posteriores, “Exporting Standards: The Externalization of the EU’s Regulatory Power via Markets”, International Review of Law and Economics, 2015, vol. 42, pp. 158-173, y The Brussels Effect: How the European Union Rules the World, Oxford University Press, Oxford, 2020. El ‘efecto Bruselas’ no es sin embargo la única referencia si hablamos de polo de atracción en la regulación de la protección de datos personales. En este sentido se han planteado paralelos con un ‘efecto Estrasburgo’ resultante del impacto del Convenio 108 del Consejo de Europa (BYGRAVE, L.A., “The ‘Strasbourg Effect’ on data protection in light of the ‘Brussels Effect’: Logic, mechanics and prospects”, Computer Law & Security Review, 2021, vol. 40, pp. 1-13) o incluso con la normativa China en el ámbito asiático (ERIE, M. S. /STREINZ, T., “The Beijing Effect: China’s ‘Digital Silk Road’ as Transnational Data Governance”, New York University Journal of International Law and Politics, 2021. Disponible en: https://ssrn.com/abstract=3810256). Propuesta de Reglamento del Parlamento europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de inteligencia artificial) y se modifican determinados actos de la Unión (COM (2021) 206 final); Propuesta de Reglamento del Parlamento europeo y del Consejo relativo a un merca-