ACTO DEL CONSEJO de 3 de noviembre de 1998 por el que se aprueban las normas aplicables a los ficheros de análisis de Europol (1999/C 26/01)

EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Convenio, basado en el artículo K.3 del Tratado de la Unión Europea, por el que se crea una Oficina Europea de Policía (Convenio Europol) (1) y, en particular, el apartado 1 de su artículo 10,

Teniendo en cuenta el Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, aprobado por el Consejo de Europa el 28 de enero de 1981,

Teniendo en cuenta la Recomendación R(87) 15, de 17 de septiembre de 1987, del Comité de Ministros del Consejo de Europa, dirigida a regular la utilización de datos de carácter personal en el sector de la policía,

Visto el proyecto de normas presentado por el Consejo de administración,

Considerando que corresponde al Consejo aprobar por unanimidad las normas de desarrollo aplicables a los ficheros de análisis,

APRUEBA LAS NORMAS SIGUIENTES:

CAPÍTULO I

PRINCIPIOS GENERALES

Artículo 1 Definiciones

A los efectos de las presentes normas se entenderá por:

a) «datos personales»: toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante un número de identificación o a través de una o varias de sus características individuales físicas, fisiológicas, psicológicas, económicas, culturales o sociales;

b) «fichero de trabajo de análisis»: un fichero creado con fines de análisis tal y como se define en el apartado 1 del artículo 10 del Convenio Europol;

c) «análisis»: la recogida, tratamiento o utilización de datos para facilitar una investigación criminal, según lo dispuesto en el apartado 2 del artículo 10 del Convenio Europol;

d) «tratamiento de datos personales» («tratamiento»): cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados y aplicadas a datos personales, como la recogida, registro, organización, almacenamiento, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, así como su bloqueo, eliminación o destrucción.

Artículo 2 Ámbito de aplicación

Las normas que se establecen en el presente texto serán aplicables al tratamiento de datos con fines de análisis tal y como se define en el apartado 1 del artículo 10 del Convenio Europol.

Artículo 3 Datos facilitados con fines de análisis

1. Los datos podrán presentarse para que sean incluidos en un fichero de trabajo de análisis tanto en forma estructurada como no estructurada. El Estado miembro que suministre los datos notificará a Europol los fines para los que se suministran y toda restricción de su utilización, supresión o destrucción, incluidas las posibles restricciones de acceso en términos generales o específicos. Los Estados miembros podrán asimismo informar a Europol de dichas restricciones más adelante.

Europol se asegurará de que cualquier tercero que suministre datos notifique a Europol los fines para los que se suministran y cualquier restricción de su utilización.

Tras su recepción, se determinará tan pronto como sea posible en qué fichero de trabajo de análisis podrán incluirse los datos y en qué medida éstos se incluirán en tal fichero.

2. Con arreglo a lo dispuesto en el apartado 1 del artículo 15 del Convenio Europol, los datos citados quedarán bajo la responsabilidad del Estado miembro que los haya suministrado, dentro del respeto a su legislación nacional, hasta que se hayan integrado en un fichero de trabajo de análisis, sin perjuicio de las responsabilidades de Europol respecto a los datos contempladas en el presente apartado.

Europol será responsable de velar por que sólo puedan tener acceso a los datos el Estado miembro que los haya suministrado, o un analista de Europol debidamente autorizado de acuerdo con el punto 1 del apartado 2 del artículo 10 del Convenio Europol, con objeto de determinar si los datos pueden incluirse en un fichero de trabajo de análisis.

Cuando, tras hacer una valoración, Europol tenga motivos para estimar que los datos suministrados son inexactos o han perdido actualidad, informará al Estado miembro que haya suministrado los datos.

3. De los datos que, una vez valorados, no hayan sido seleccionados para incluirse en un fichero de trabajo con fines de análisis, así como de los ficheros o los documentos que contengan información que se haya incluido, responderá el Estado miembro que haya suministrado los datos, con arreglo a lo dispuesto en el apartado 1 del artículo 15 del Convenio Europol y dentro del respeto a su legislación nacional, sin perjuicio de las responsabilidades de Europol respecto a los datos contempladas en el presente apartado.

Europol será responsable de garantizar que estos datos, ficheros o documentos se conserven aparte del fichero de trabajo con fines de análisis y sólo podrá tener acceso a ellos el Estado miembro que haya suministrado los datos, o un analista de Europol debidamente autorizado de acuerdo con el punto 1 del apartado 2 del artículo 10 del Convenio Europol, con objeto de:

a) incluirlos más adelante en un fichero de trabajo con fines de análisis;

b) verificar si los datos ya incluidos en el fichero de análisis son exactos y pertinentes;

c) verificar si se han cumplido los requisitos contemplados en las presentes normas o en el Convenio Europol.

Los datos citados también podrán ser consultados en aras de los intereses de la persona a la que se refieren que requieran protección. En tal caso sólo podrán utilizarse los datos con el consentimiento de la persona de que se trate.

Estos datos, ficheros o documentos se devolverán al Estado miembro que los haya suministrado, o se suprimirán o destruirán, cuando ya no sean necesarios para los fines anteriormente enumerados. Se suprimirán o destruirán, en cualquier caso, tras el cierre de un fichero de trabajo de análisis.

4. Cuando los datos a que se refiere el presente artículo hayan sido suministrados por un tercero, Europol tendrá la responsabilidad de garantizar la aplicación a dichos datos de los principios estipulados en el presente artículo, con arreglo a las normas establecidas por el Consejo de acuerdo con el apartado 4 del artículo 10 del Convenio Europol.

Artículo 4 Tratamiento de los datos

1. Cuando sea necesario para cumplir el objetivo establecido en el artículo 2 del Convenio Europol podrán ser procesados por Europol datos personales de los enumerados en los artículos 5 y 6 en la medida en que sean adecuados, fieles, pertinentes y no excesivos respecto al objetivo del fichero de trabajo de análisis en que estén incluidos y siempre que no estén almacenados más tiempo del necesario para ese objetivo. La necesidad de mantener almacenados los datos para el objetivo del fichero de trabajo de análisis se revisará periódicamente de acuerdo con el artículo 7 de las presentes normas y con el artículo 21 del Convenio Europol.

2. Cada Estado miembro que participe en un proyecto de análisis decidirá de acuerdo con su legislación nacional, como se indica en el apartado 3 del artículo 10 del Convenio Europol, la medida en que puede suministrar dichos datos.

Artículo 5 Disposiciones de creación de ficheros de trabajo de análisis

1. En cada disposición de creación de un fichero de trabajo de análisis a que se refiere el artículo 12 del Convenio Europol, Europol especificará aquellas categorías de datos de las enumeradas en el artículo 6 que estime necesarias para el objetivo de dicho fichero de trabajo de análisis.

2. Europol especificará también en la disposición si pueden incluirse datos correspondientes a origen racial, creencias religiosas u otras creencias, opiniones políticas, vida sexual o salud en el fichero de trabajo de análisis dentro de las categorías citadas en el artículo 6, y los motivos por los que se estima que dichos datos son absolutamente necesarios para el objetivo del fichero de trabajo de análisis. Dichos datos se suprimirán cuando dejen de ser necesarios a los fines que motivaron su almacenamiento.

Cuando los datos citados correspondan a las categorías de personas citadas en los apartados 3 a 6 del artículo 6, deberán darse motivos concretos que justifiquen su necesidad en la disposición de creación del fichero y sólo se someterán a tratamiento dichos datos si lo solicitan explícitamente dos o más de los Estados miembros que participen en el proyecto de análisis. Los datos de que se trate se suprimirán cuando ya no sean necesarios a los fines para los que se introdujeron.

3. Las disposiciones a que se refiere el presente artículo, así como sus posteriores modificaciones, requerirán el acuerdo del Consejo de administración de Europol y se tendrán en cuenta cuantas observaciones haga sobre las mismas la Autoridad común de control, como disponen los apartados 1 y 2 del artículo 12 del Convenio Europol.

Artículo 6 Datos personales contenidos en los ficheros de trabajo de análisis

1. Siempre que se almacenen datos personales en ficheros de trabajo con fines de análisis deberá añadirse una nota que indique la categoría de personas dentro de la cual se almacenan.

2. Con respecto a las categorías de personas mencionadas en el punto 1 del apartado 1 del artículo 10 del Convenio Europol podrán procesarse las categorías de datos personales, incluidos los datos administrativos asociados, que se indican a continuación:

a) Indicaciones personales:

1) Apellidos actuales y anteriores

2) Nombres actuales y anteriores

3) Apellidos de soltero a

4) Nombre del padre (si es necesario para proceder a la identificación)

5) Nombre de la madre (si es necesario para proceder a la identificación)

6) Sexo

7) Fecha de nacimiento

8) Lugar de nacimiento

9) Nacionalidad

10) Estado civil

11) Alias

12) Apodo

13) Nombres utilizados o nombres falsos

14) Residencia o domicilio actuales y anteriores

b) Aspecto físico y características:

1) Fisonomía

2) Rasgos característicos (señales, cicatrices, tatuajes, etc.)

c) Medios de identificación:

1) Documentos de identidad

2) Números de documento nacional de identidad y de pasaporte

3) Si procede, números de identificación nacionales

4) Imágenes visuales y otras informaciones sobre el aspecto físico

5) Información sobre identificación forense, como impresiones dactilares, resultados de la evaluación del ADN (únicamente con fines de identificación y sin información que caracterice la personalidad), características de la voz, grupo sanguíneo, información dental

d) Profesión y capacitaciones:

1) Actividad laboral y profesional actual

2) Actividad laboral y profesional anterior

3) Título académico (escuela, universidad, profesional)

4) Aptitudes

5) Capacitaciones y otros conocimientos (lenguas y otros)

e) Información económica y financiera:

1) Datos financieros (cuentas y códigos bancarios, tarjetas de crédito, etc.)

2) Activos líquidos disponibles

3) Acciones y otros activos

4) Datos sobre propiedades

5) Vínculos con sociedades y empresas

6) Contactos bancarios y crediticios

7) Situación fiscal

8) Otra información que indique la forma de gestionar los asuntos financieros de una persona

f) Datos sobre el comportamiento:

1) Estilo de vida (por ejemplo, vida por encima de sus posibilidades) y costumbres

2) Movimientos

3) Lugares de frecuentación

4) Armas y otros instrumentos peligrosos

5) Peligrosidad

6) Riesgos específicos como probabilidad de fuga, utilización de agentes dobles, conexiones con personal policial o de aduanas

7) Aspectos y perfiles relacionados con la delincuencia

8) Toxicomanías

g) Personas intermediarias y acompañantes, incluidos el tipo y la naturaleza del contacto o de la relación con dichas personas

h) Medios de comunicación que utiliza, como teléfono (fijo o móvil), fax, buscapersonas, correo electrónico, direcciones postales, conexiones a Internet

i) Medios de transporte que usa, por ejemplo vehículos, embarcaciones, aviones, así como información para identificar esos medios de transporte (números de matrícula)

j) Datos relativos a las actividades delictivas en las que es competente Europol según el artículo 2 del Convenio Europol:

1) Condenas anteriores

2) Presunta implicación en actividades delictivas

3) Modus operandi

4) Instrumentos efectivos o posibles para preparar o cometer delitos

5) Grupo u organización delictiva a la que pertenece y posición en el grupo u organización

6) Situación y función en la organización delictiva

7) Ámbito geográfico de las actividades delictivas

8) Material recogido durante una investigación, como imágenes fotográficas y en vídeo

k) Referencias a otras bases de datos en que haya almacenados datos sobre la persona:

1) Europol

2) Cuerpos de policía y aduanas

3) Otros cuerpos de seguridad

4) Organizaciones internacionales

5) Entidades públicas

6) Entidades privadas

l) Información sobre personas jurídicas relacionadas con los datos a que se refieren las letras e) o j):

1) Nombre de la persona jurídica

2) Domicilio

3) Fecha y lugar de constitución

4) Número de registro administrativo

5) Forma jurídica

6) Capital

7) Ámbito de actividad

8) Filiales nacionales e internacionales

9) Directivos

10) Relaciones con bancos.

3. Se considerará personas intermediarias y acompañantes, en el sentido del punto 4 del apartado 1 del artículo 10 del Convenio Europol, a aquellas personas que tengan contactos que no sean accidentales con las personas a que se refiere el apartado 2 en la medida en que haya motivos suficientes para creer que a través de ellas puede obtenerse información relacionada con las personas a que se refiere el apartado 2 y que esa información es de interés para el análisis y siempre que no estén incluidas en una de las categorías de personas citadas en los apartados 2 o 4 a 6.

Cuando sea necesario podrán almacenarse los datos a que se refiere el apartado 2 sobre personas intermediarias y acompañantes, siempre que haya motivos para presumir que serán necesarios para el análisis de la función de dichas personas como intermediario o como acompañante.

En este contexto deberá tenerse en cuenta lo siguiente:

- la relación de estas personas con las personas a que se refiere el apartado 2 deberá aclararse lo antes posible,

- si la presunción en el sentido del párrafo primero del presente apartado resulta ser infundada, los datos se borrarán inmediatamente,

- si dichas personas son sospechosas de haber cometido un delito en el que Europol tenga competencias en virtud del artículo 2 del Convenio Europol, o han sido declaradas culpables de dichos delitos o según la legislación nacional hay motivos serios para creer que van a cometer tales delitos, podrán almacenarse todos los datos a que se refiere el apartado 2,

- si no se pueden llegar a determinar los aspectos indicados en los guiones precedentes, se tendrá esto en cuenta para decidir sobre la necesidad y el alcance del almacenamiento para el posterior análisis,

- no deberán almacenarse datos sobre personas intermediarias y acompañantes, excepto aquellos datos sobre el tipo y naturaleza de sus contactos o relaciones con las personas a que se refiere el apartado 2.

4. Sobre aquellas personas que hayan sido perjudicadas por uno de los delitos considerados o respecto de las cuales existan motivos para presumir que puedan ser perjudicadas por tal delito, como se indica en el punto 3 del apartado 1 del artículo 10 del Convenio Europol, se podrán almacenar datos de los citados de la letra a) al punto 3 de la letra c) del apartado 2, así como las categorías de datos siguientes:

a) datos de identificación de la víctima;

b) motivos por los que ha sufrido el delito;

c) daños sufridos (físicos, financieros, psicológicos u otros);

d) anonimato que ha de garantizarse;

e) posibilidad de comparecer ante los tribunales;

f) información relacionada con delitos proporcionada por tales personas o a través de ellas, incluida la información sobre sus relaciones con otras personas si fuera necesario para identificar a las personas mencionadas en el apartado 2.

Si fuera preciso podrán almacenarse otros datos de acuerdo con el apartado 2, siempre que haya motivos para presumir que son necesarios para el análisis de su condición de víctima o de posible víctima.

Se borrarán los datos que no sean necesarios para posteriores análisis.

5. Por lo que se refiere a las personas que sean consideradas posibles testigos en investigaciones sobre los delitos considerados o en una futura causa penal, como se indica en el punto 2 del apartado 1 del artículo 10 del Convenio Europol, se podrán almacenar datos de los citados de la letra a) al punto 3 de la letra c) del apartado 2, así como las categorías de datos siguientes:

a) información relacionada con delitos proporcionada por tales personas, incluida la información sobre sus relaciones con otras personas incluidas en el fichero de trabajo de análisis;

b) anonimato que ha de garantizarse;

c) garantías y garantes de la protección;

d) nueva identidad;

e) posibilidad de comparecer ante los tribunales.

Si fuera preciso podrán almacenarse otros datos de acuerdo con el apartado 2, siempre que haya motivos para presumir que son necesarios para el análisis de la actuación de dichas personas como testigos.

Se borrarán los datos que no sean necesarios para posteriores análisis.

6. Por lo que se refiere a las personas que puedan facilitar información sobre los delitos considerados, como se indica en el punto 5 del apartado 1 del artículo 10 del Convenio Europol, se podrán almacenar datos de los citados de la letra a) al punto 3 de la letra c) del apartado 2, así como las categorías de datos siguientes:

a) indicaciones personales codificadas;

b) tipo de información suministrada;

c) anonimato que ha de garantizarse;

d) garantías y garantes de protección;

e) nueva identidad;

f) posibilidad de comparecer ante los tribunales;

g) experiencias negativas;

h) recompendas (económicas o en servicios).

Si fuera preciso podrán almacenarse otros datos de acuerdo con el apartado 2, siempre que haya motivos para presumir que son necesarios para el análisis de la función de dichas personas como informadores.

Se borrarán los datos que no sean necesarios para posteriores análisis.

7. Si en cualquier momento del desarrollo de un análisis se desprende claramente de indicios serios y confirmados que una persona incluida en un fichero de trabajo de análisis debería estar incluida en una categoría de personas, de las definidas en el presente artículo, distinta de aquella en la que se había incluido inicialmente, Europol únicamente podrá procesar datos sobre esa persona que estén autorizados para la nueva categoría y deberán borrarse todos los demás datos.

Si de los indicios citados se desprende claramente que dicha persona debería estar incluida en dos o más categorías distintas especificadas en el presente artículo, Europol podrá someter a tratamiento todos los datos que pueden tratarse para dichas categorías.

Artículo 7 Plazos límite para el examen y duración de la conservación

1. Al decidirse si determinados datos personales han de conservarse de conformidad con el artículo 6 y con arreglo al artículo 21 del Convenio Europol, habrán de sopesarse los intereses de Europol para el ejercicio de sus funciones y los intereses individuales de la persona a la que se refieren los datos almacenados.

Con periodicidad anual volverá a estudiarse la necesidad de seguir conservando todos los datos personales incluidos en un fichero de trabajo de análisis. Sin perjuicio de esta revisión anual, se estudiará si es necesario mantener dicho almacenamiento si se dan unas circunstancias que induzcan a pensar que los datos han de suprimirse o corregirse.

La revisión tendrá en cuenta la necesidad de conservar los datos teniendo presente la conclusión de la investigación en un caso concreto, una sentencia judicial firme, en particular una exculpación, una rehabilitación, condenas extinguidas, indultos, la edad de la persona a que se refieren los datos y categorías particulares de datos.

Los participantes en el análisis con arreglo a lo dispuesto en el apartado 8 del artículo 10 del Convenio Europol evaluarán la necesidad de seguir conservando los datos personales en un fichero de trabajo de análisis. En caso de que los participantes no puedan llegar a un acuerdo sobre la necesidad de seguir almacenando los datos, el Consejo de administración tomará una decisión de conformidad con el punto 7 del apartado 1 del artículo 28 del citado Convenio.

2. Cuando en una causa penal contra personas contempladas en el apartado 2 del artículo 6 se produzca un fallo inapelable, bien mediante resolución judicial o de otro tipo, y el Estado miembro o el tercero interesado notifique dicha resolución a Europol, ésta comprobará si los datos afectados por la resolución pueden seguir siendo conservados, modificados o utilizados. Si de la motivación de la resolución o de alguna otra información puede deducirse que la persona en cuestión no ha cometido los actos o éstos no son constitutivos de delito, o si esta cuestión queda abierta en la motivación de la resolución, los datos afectados por ésta se suprimirán, a menos que haya motivos importantes para suponer que siguen siendo pertinentes para los fines del fichero de trabajo de análisis. En tal caso, a los datos ya recogidos en el fichero se añadirá la información relativa a la resolución judicial. Además dichos datos sólo podrán procesarse y conservarse en la debida observancia del contexto y la declaración de la citada resolución y de los derechos que la misma confiera a la persona afectada.

3. El plazo de conservación de datos personales no podrá ser superior a tres años. Este plazo volverá a comenzar para aquellos datos sobre los que se produzca algún hecho que lleve a introducir datos sobre la persona a la que se refieran. Cuando, a causa de un nuevo comienzo del plazo, los datos relativos a las personas a que se refieren los apartados 3 al 6 del artículo 6 se conserven en un fichero de análisis durante más de cinco años, se informará de ello a la Autoridad común de control.

4. Si al vigilar la Autoridad común de control la actividad de Europol, según se indica en el artículo 24 del Convenio Europol, se descubre que se están conservando datos de carácter personal en contra de las presentes normas, la Autoridad común de control informará de ello al director como considere oportuno, de acuerdo con el apartado 5 del artículo 24 del citado Convenio.

Cuando, de conformidad con el apartado 5 del artículo 24 del Convenio Europol, la Autoridad común de control haya trasladado un asunto relativo a las obligaciones de supresión al Consejo de administración, estará prohibida la transmisión de los datos correspondientes sin la previa autorización del Consejo de administración. En casos excepcionales, el director podrá autorizar la transmisión de los datos antes de que el Consejo de administración haya dado su acuerdo, cuando se considere absolutamente necesario para preservar los intereses fundamentales de los Estados miembros afectados, en el ámbito de los objetivos de Europol, o bien con el fin de evitar un peligro grave e inminente. En tales casos, la autorización del director constará en un documento que se transmitirá al Consejo de administración y a la Autoridad común de control.

Artículo 8 Recogida y registro de datos

Los datos almacenados en los ficheros de trabajo con fines de análisis se diferenciarán en función del grado de exactitud o fiabilidad de la información, de conformidad con el artículo 11. Los datos basados en hechos serán diferenciados de los datos basados en opiniones o apreciaciones personales.

Artículo 9 Protección interna de los datos

El director de Europol tomará las medidas necesarias para garantizar la observancia de las presentes normas y otras disposiciones sobre protección de datos. Para ello designará a un miembro experimentado del personal, que de acuerdo con sus funciones será directamente responsable ante el director.

CAPÍTULO II

CLASIFICACIÓN

Artículo 10 Clases de ficheros de análisis

Los ficheros de trabajo con fines de análisis podrán ser:

a) de naturaleza general o estratégica cuando el objetivo sea tratar información pertinente sobre un problema particular, o desarrollar o mejorar las iniciativas de los servicios competentes a que se refiere el apartado 4 del artículo 2 del Convenio Europol;

b) de naturaleza operativa cuando el fin sea recabar información relativa a un caso, persona u organización sobre alguna de las actividades delictivas mencionadas en el artículo 2 del Convenio Europol, para iniciar, mejorar o concluir, con arreglo al apartado 2 del artículo 10 del citado Convenio, investigaciones bilaterales o multilaterales de alcance internacional, siempre que entre las partes interesadas se encuentren dos o más Estados miembros.

Artículo 11 Valoración de la fuente y de la información

1. La fuente de la información procedente de un Estado miembro será valorada, en la medida de lo posible, por el Estado miembro que la haya facilitado, con arreglo a los criterios siguientes:

A. Cuando no quepa duda sobre la autenticidad, veracidad y competencia de la fuente, o si la información es suministrada por una fuente que haya resultado en el pasado ser fiable en todos los casos.

B. Cuando se trate de una fuente cuya información haya resultado en el pasado ser fiable en la mayoría de los casos.

C. Cuando se trate de una fuente cuya información haya resultado en el pasado no ser fiable en la mayoría de los casos.

D. Cuando no pueda evaluarse la fiabilidad de la fuente.

2. La información procedente de un Estado miembro será valorada, en la medida de lo posible, por el Estado miembro que la ha facilitado según su fiabilidad con arreglo a los criterios siguientes:

1) Cuando se sepa que la información es verdadera sin reserva alguna.

2) Cuando la información sea conocida personalmente por la fuente, pero no personalmente por el funcionario que informa.

3) Cuando la información no sea conocida personalmente por la fuente, pero esté corroborada por otras informaciones ya registradas.

4) Cuando la información no sea conocida personalmente por la fuente y no pueda ser corroborada de ninguna manera.

3. Si, basándose en la información que ya obra en su poder, Europol llega a la conclusión de que procede modificar la valoración realizada, informará al Estado miembro interesado y procurará acordar con éste dicha modificación. Europol no modificará la evaluación sin mediar este acuerdo.

4. Cuando Europol reciba de un Estado miembro datos o información no acompañados de una evaluación, procurará evaluar en la medida de lo posible la fiabilidad de la fuente de la información, basándose para ello en la información que ya obre en su poder. La evaluación de los datos e información concretos deberá hacerse de acuerdo con el Estado miembro que los haya facilitado. Un Estado miembro y Europol podrán ponerse de acuerdo también en términos generales sobre la evaluación de tipos estipulados de datos y fuentes estipuladas. De tales acuerdos generales se informará al Consejo de administración. En caso de que los datos se hayan suministrado a Europol con arreglo a estos acuerdos generales, se hará constar junto con los datos.

En caso de no llegarse a un acuerdo en un caso concreto o de que no exista un acuerdo en términos generales, Europol evaluará la información o los datos como si se tratase de los casos expuestos en la letra D del apartado 1 y en el punto 4 del apartado 2.

5. Cuando Europol reciba datos o información de terceros, el presente artículo se aplicará en consecuencia.

6. Cuando la información incluida en un fichero de trabajo de análisis sea resultado de un análisis, Europol la evaluará de conformidad con el presente artículo y de acuerdo con los Estados miembros que participen en el análisis.

CAPÍTULO III

NORMATIVA DE UTILIZACIÓN DE LOS FICHEROS Y DATOS DE ANÁLISIS

Artículo 12 Creación de ficheros

1. Los ficheros de trabajo con fines de análisis se crearán a iniciativa de Europol o a petición de los Estados miembros de donde procedan los datos, con arreglo al procedimiento establecido en el artículo 12 del Convenio Europol.

2. De acuerdo con el apartado 1 del artículo 12 del Convenio Europol, la Autoridad común de control podrá transmitir por escrito sus propias observaciones al Consejo de administración. El Consejo de administración dejará a la Autoridad común de control un plazo de dos meses para realizar esta labor. Se transmitirá una copia de dichas observaciones al director de Europol.

El Consejo de administración podrá invitar a representantes de la Autoridad común de control a que participen en los debates sobre las disposiciones de creación de ficheros de trabajo de análisis.

3. De acuerdo con el apartado 2 del artículo 12 del Convenio Europol, el director de Europol deberá justificar por escrito la urgencia de crear un fichero.

A tal fin deberá comunicar imperativamente a los miembros del Consejo de administración la denominación, el objeto y los fines del fichero, así como toda indicación útil para evaluar su urgencia.

Las actividades de análisis podrán acometerse inmediatamente después del inicio del procedimiento previsto en el apartado 1 del artículo 12 del Convenio Europol, pero los resultados no podrán transmitirse hasta que el Consejo de administración haya dado su aprobación por el procedimiento establecido en el apartado 1 del artículo 12 de dicho Convenio. En caso de que el Consejo de administración deniegue la aprobación, los datos deberán ser suprimidos inmediatamente.

En casos excepcionales, el director podrá autorizar la transmisión de los resultados antes de que el Consejo de administración haya dado su acuerdo, cuando se considere absolutamente necesario para preservar los intereses fundamentales de los Estados miembros afectados, en el ámbito de los objetivos de Europol, o bien con el fin de evitar un peligro grave e inminente. En tales casos, la autorización del director constará en un documento que se transmitirá al Consejo de administración y a la Autoridad común de control.

4. Si en el transcurso de un análisis resulta necesario modificar las disposiciones de creación de un fichero de trabajo de análisis, se aplicarán consecuentemente los procedimientos previstos en el artículo 12 del Convenio Europol y en el presente artículo.

Artículo 13 Transmisión de datos o informaciones contenidas en ficheros de análisis

La transmisión de datos de carácter personal contenidos en los ficheros de análisis a cualquier Estado miembro deberá quedar registrada en el fichero de que se trate.

Europol, en colaboración con el Estado miembro o con el tercero que proporcione los datos, verificará cuando sea necesario si éstos son exactos y son conformes con el Convenio Europol, a más tardar en el momento de su transmisión. Siempre que sea posible, en todas las comunicaciones se deberán indicar las resoluciones judiciales así como las resoluciones de sobreseimiento. Se comprobarán, en colaboración con el Estado miembro o terceros que hayan facilitado la información, los datos basados en opiniones o apreciaciones personales y deberá indicarse su grado de exactitud o fiabilidad antes de ser transmitidos.

El Estado miembro destinatario informará al Estado miembro que haya transmitido los datos, previa solicitud, sobre la utilización que se haya hecho de ellos y sobre los resultados obtenidos de su transmisión, siempre que la legislación nacional del Estado miembro destinatario lo permita.

Si hubiere alguna restricción sobre el uso de los datos según el artículo 17 del Convenio Europol, deberá constar junto con los datos y deberá notificarse a los destinatarios de los resultados del análisis.

Artículo 14 Procedimientos de control

Deberá garantizarse el cumplimiento de las disposiciones relativas a la seguridad de los datos que figuran en el artículo 25 del Convenio Europol mediante el establecimiento de un plan de seguridad para el tratamiento de datos por Europol y mediante la actualización permanente de éste según la evaluación del riesgo en materia de seguridad para Europol. El plan de seguridad deberá ser aprobado por el Consejo de administración.

Artículo 15 Utilización y almacenamiento de los datos y resultados de los análisis

1. Los datos de carácter personal y los resultados de los análisis transmitidos a partir de un fichero de trabajo de análisis únicamente podrán utilizarse conforme a la finalidad del fichero o para combatir delitos graves de otro tipo, y respetando todas las limitaciones de uso que haya especificado un Estado miembro según el apartado 2 del artículo 17 del Convenio Europol. Los datos indicados en el apartado 2 del artículo 5 de las presentes normas sólo podrán transmitirse con el acuerdo del Estado miembro que los haya suministrado.

2. Una vez cerrado un fichero de trabajo de análisis todos los datos incluidos en el mismo serán conservados por Europol en un fichero independiente que únicamente será accesible a efectos de control interno o externo. Sin perjuicio de lo dispuesto en el apartado 5 del artículo 21 del Convenio Europol, dichos datos no podrán conservarse más de tres años una vez cerrado el fichero.

3. Los resultados de un fichero de trabajo de análisis podrán ser conservados por Europol en forma de fichero electrónico durante un período máximo de tres años una vez cerrado el fichero de que se trate, siempre que se conserven en un fichero distinto y no se añadan datos en el mismo. Después de dicho período los datos sólo podrán conservarse en forma de expediente en soporte de papel.

4. Con el fin de controlar la licitud de las consultas de datos personales contenidos en los ficheros de trabajo con fines de análisis, automáticamente se levantará acta de al menos una de cada diez consultas de conformidad con el artículo 16 del Convenio Europol.

En el acta constará un número único de referencia para la identificación del usuario, la fecha y hora de la consulta y la identidad de la persona sobre la que se hayan consultado y expuesto los datos, así como para el fichero de trabajo de análisis del que se hayan extraído los datos.

La utilización y supresión de las actas se hará de conformidad con la segunda frase del artículo 16 del Convenio Europol y con toda reglamentación basada en la tercera frase de dicho artículo.

5. En la disposición de creación de un fichero de trabajo de análisis podrá estipularse que se levanten más actas de las especificadas en el apartado 4 o que las actas contengan más datos que los especificados en el apartado 4, teniendo en cuenta la reglamentación basada en la tercera frase del artículo 16 del Convenio Europol.

Artículo 16 Interconexión de ficheros

1. Si se pusiera de manifiesto que la información incluida en un fichero de trabajo de análisis pudiera ser también pertinente para otros ficheros de trabajo de análisis, se seguirán los procedimientos siguientes:

a) Cuando se proponga la interconexión completa de la información contenida en dos ficheros, deberá crearse uno nuevo con la información de ambos, de conformidad con el artículo 12 del Convenio Europol. En la decisión de interconectar los ficheros deberán participar quienes lo hicieran en los dos originales, y éstos deberán decidir asimismo si se cierra el fichero original de su competencia.

b) Cuando toda la información de un fichero o parte de ella sea pertinente para otro, los participantes en el primero decidirán si dicha información debe ser transferida al segundo. Cuando de resultas de una transferencia de información sea necesario modificar las disposiciones de creación de cualquiera de los ficheros, se establecerá de conformidad con el artículo 12 del Convenio Europol una nueva disposición para ese fichero. Los participantes en cada uno de los ficheros originales decidirán asimismo si ha de cerrarse el de su competencia.

2. En los supuestos a que se refiere el apartado 1, la transferencia no afectará a los plazos para la verificación de los datos transferidos de un fichero de trabajo de análisis a otro.

Artículo 17 Nuevos medios técnicos

Solamente se podrán introducir nuevos medios técnicos de tratamiento de datos con fines de análisis si se hubieran adoptado todas las medidas razonables para garantizar que su utilización se ajusta a las normas relativas a la protección de datos de carácter personal aplicables a Europol. El director de Europol deberá consultar previamente con la Autoridad común de control en cualquier caso en que la introducción de tales medios técnicos plantee problemas para la aplicación de las presentes normas de protección de datos.

CAPÍTULO IV

DISPOSICIONES FINALES

Artículo 18 Entrada en vigor

Las presentes normas entrarán en vigor el 1 de enero de 1999.

Las presentes normas serán evaluadas bajo la supervisión del Consejo de administración en un plazo de tres años después de su entrada en vigor.

Artículo 19 Revisión de las normas

El Consejo de administración estudiará las propuestas de modificación de las presentes normas, con miras a su adopción por el Consejo de conformidad con el procedimiento establecido en el apartado 1 del artículo 10 del Convenio Europol.

Hecho en Bruselas, el 3 de noviembre de 1998.

Por el Consejo

El Presidente

B. PRAMMER

(1) DO C 316 de 27.11.1995, p. 1.