ES Diario Oficial de la Unión Europea C 320/21

Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta modificada de Reglamento del Consejo por el que se modifica el Reglamento (CE) no 1030/2002 por el que se establece un modelo uniforme de permiso de residencia para nacionales de terceros países

(2006/C 320/10)

EL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS,

Visto el Tratado constitutivo de la Comunidad Europea, y en particular su artículo 286,

Vista la Carta de los Derechos Fundamentales de la Unión Europea, y en especial su artículo 8,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos,

Visto el Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos, y en particular su artículo 41,

Vista la solicitud de dictamen de conformidad con el apartado 2 del artículo 28 del Reglamento (CE) no 45/2001, recibida de la Comisión el 11 de mayo de 2006,

HA ADOPTADO EL SIGUIENTE DICTAMEN:

1. INTRODUCCIÓN

El 13 de junio de 2002, el Consejo, con el propósito de armonizar el formato de los permisos de residencia expedidos por los Estados miembros a los nacionales de terceros países, adoptó el Reglamento (CE) no 1030/2002 por el que se establece un modelo uniforme de permiso de residencia para nacionales de terceros países (1). Según el sexto considerando de este Reglamento, los Estados miembros y la Comisión Europea se comprometían a examinar de manera periódica, conforme a la evolución tecnológica, los cambios que deben introducirse en los elementos de seguridad incorporados en los permisos. Como ejemplo ilustrativo se citaban los elementos biométricos.

El 24 de septiembre de 2003, la Comisión Europea presentó una propuesta de Reglamento del Consejo por el que se modifica el Reglamento (CE) no 1030/2002 (2). Esta propuesta se presentó junto con otra propuesta de Reglamento del Consejo por el que se modifica el Reglamento (CE) no 1683/95 por el que se establece un modelo uniforme de visado. El objetivo fundamental de ambas propuestas consistía en introducir datos biométricos (imagen facial y dos impresiones dactilares del titular) en estos nuevos modelos de permisos de residencia y de visado. Con motivo de diversas incertidumbres jurídicas, no se definió el modelo del permiso de residencia (etiqueta adhesiva o tarjeta independiente). Tras un procedimiento de consulta, ambas propuestas se transmitieron al Parlamento Europeo.

El 10 de marzo de 2006, la Comisión Europea presentó una propuesta modificada (denominada en lo sucesivo «la propuesta») de Reglamento del Consejo por el que se modifica el Reglamento (CE) no 1030/2002. En la propuesta modificada se optaba por el modelo de tarjeta independiente, a fin de evitar el riesgo de interferencias entre chips sin contacto. Se ofrecerá además una zona definida (la zona 16 conforme al anexo de la propuesta) a los Estados miembros que deseen embeber en el permiso de residencia un chip de contacto destinado a los servicios electrónicos.

La propuesta relativa al permiso de residencia se basa en el artículo 63.3.a) del TCE. El SEPD subraya que no debe considerarse el permiso de residencia como un documento de viaje. Es de lamentar que la propuesta de 2003 incluyese en el mismo documento propuestas relativas al visado y al permiso de residencia, ya que esto puede haber dado pie a ciertos malentendidos, cuando el objetivo consistía en adoptar un planteamiento coherente en materia de identificadores biométricos en la UE. Así pues, el SEPD celebra que el visado y el permiso de residencia hayan dejado de estar ligados.

2. ANÁLISIS DE LA PROPUESTA

2.1. Consideraciones generales

El SEPD celebra que se le haya consultado de acuerdo con el artículo 28, apartado 2, del Reglamento (CE) no 45/2001. Ahora bien, dado el carácter obligatorio del artículo 28, apartado 2, deberá mencionarse el presente dictamen en el preámbulo del texto.

La propuesta introduce la utilización de datos biométricos en los permisos de residencia. El SEPD reconoce las ventajas del uso de la biometría, pero subraya el importante impacto de la utilización de este tipo de datos, y sugiere que se incluyan garantías rigurosas en cualquier tipo de utilización de datos biométricos.

El SEPD acoge con satisfacción los argumentos expuestos por el Consejo y por el Gobierno estonio, especialmente por lo que respecta a la igualdad de trato de sus nacionales y de los residentes originarios de terceros países, dándoles acceso a los servicios electrónicos por medio de sus documentos de identidad y permisos de residencia (3). Esta sensata afirmación confirma asimismo el hecho de que no deberá considerarse que el permiso de residencia constituya en sí mismo un documento de viaje.

2.2. Datos biométricos

Como ya se subrayó en varios dictámenes del SEPD (4) y del Grupo de protección de de datos del Artículo 29 en lo que respecta al tratamiento de datos personales (5), es menester que la introducción y el tratamiento de datos biométricos en documentos relacionados con la identidad lleven aparejadas garantías especialmente coherentes y estrictas. En efecto, los datos biométricos revisten un carácter particularmente delicado, debido a ciertas características específicas, y su aplicación presenta algunos riesgos que es preciso contrarrestar. En su antedicho dictamen sobre la propuesta relativa al SIS II, el SEPD proponía una lista no exhaustiva de obligaciones o requisitos comunes relacionados con la especificidad de dichos datos, así como una metodología y unas prácticas recomendadas comunes para su utilización.

Puesto que los sistemas biométricos ni son aplicables a todos (6) ni son perfectamente exactos, deberán establecerse procedimientos auxiliares que respeten la dignidad de las personas que no pueden aportar impresiones dactilares legibles o que puedan haber sido identificadas de forma errónea, evitando descargar sobre estas personas el peso de las imperfecciones del sistema.

El SEPD recomienda que los procedimientos auxiliares se definan y se incluyan en el artículo 2, apartado 1, de la propuesta. Tales procedimientos no deberán menoscabar el nivel de seguridad del permiso de residencia ni estigmatizar a las personas con huellas dactilares ilegibles.

El artículo 4 bis de la propuesta dispone que «Los Estados miembros incluirán asimismo las huellas dactilares en formatos interoperables». El SEPD recomienda que se modifique de la siguiente manera esta disposición, para darle mayor precisión: «Los Estados miembros incluirán asimismo dos huellas dactilares en formatos interoperables». Esta precisión reforzará el principio de proporcionalidad que habrá de respetarse en todas las fases de la propuesta.

Conforme al considerando 3 de la propuesta, la inclusión de identificadores biométricos debería tener en cuenta las especificaciones fijadas en el documento no 9303 de la OACI sobre visados de lectura mecánica. Como ya se ha indicado, el permiso de residencia no constituye un documento de viaje. Según se subraya en la exposición de motivos, por lo regular se considera que el permiso de residencia es un documento de identidad para nacionales de terceros países. Es lógico, por consiguiente, que se apliquen al permiso de residencia las mismas normas elevadas de seguridad definidas para el documento nacional de identidad. El SEPD recomienda, pues, la supresión del considerando 3 y la definición de especificaciones de mayor seguridad para los datos biométricos que vayan a almacenarse en el permiso de residencia. La referencia hecha en el anexo a las normas de la OACI también debería sustituirse por especificaciones de alta seguridad correspondientes a las situaciones en las que se utiliza un permiso de residencia.

2.3. Acceso a los datos y utilización de los mismos

A modo de observación preliminar, el SEPD celebra los avances que implica esta propuesta en cuanto a un mayor respeto del principio de limitación de finalidad. En efecto, a tenor de las modificaciones propuestas, los datos biométricos almacenados en los permisos de residencia sólo podrán utilizarse para verificar «la autenticidad del documento y la identidad del titular a través de elementos comparables y directamente disponibles».

El considerando 1 recuerda el objetivo del Tratado de Amsterdam que consiste, entre otras cosas, en conferir a la Comisión Europea el derecho de iniciativa para adoptar las medidas oportunas de una política de integración armonizada. Así las cosas, es de lamentar que la Comisión Europea no pueda aprovechar esta oportunidad en la propuesta para especificar y definir claramente qué autoridades tendrán acceso a los datos almacenados en el soporte de almacenamiento del permiso de residencia, debido a limitaciones constitucionales. El SEPD recomienda que la Comisión Europea desarrolle un procedimiento adecuado para mejorar la armonización de la definición y la relación de las autoridades competentes para el control de los permisos de residencia. Esta relación de autoridades competentes no sólo resulta pertinente para el Estado miembro que haya expedido el permiso de residencia, sino también para los demás Estados miembros del espacio Schengen en los que pudiera ser necesario identificar al residente originario de un país tercero.

Esta recomendación adquiere una importancia aún mayor con miras a la posible inclusión en el permiso de residencia de un chip complementario para los servicios electrónicos. Sin lugar a dudas, este nuevo elemento hará aumentar el número de autoridades con acceso al permiso de residencia. En opinión del SEPD, esta consecuencia resulta muy poco deseable.

2.4. Comitología

El artículo 2 del Reglamento enumera los casos en que habrán de establecerse especificaciones técnicas adicionales para el modelo uniforme de permiso de residencia, de conformidad con el procedimiento de comitología a que se refiere el apartado 2 del artículo 7. La presente propuesta añade una mayor especificación de los casos en que habrá que tomar este tipo de decisiones. Tales decisiones tendrán una repercusión importante en la adecuada aplicación del principio de limitación de finalidad y del principio de proporcionalidad. El SEPD recomienda que las decisiones que tengan una repercusión sustancial en la protección de datos, como la inclusión de datos y el acceso a los mismos, la calidad de los datos, la conformidad técnica del soporte de almacenamiento, las medidas de seguridad para la protección de los datos biométricos, etc. se adopten por reglamento, por procedimiento de codecisión.

Para todos los demás casos con repercusiones en la protección de datos, debería darse al SEPD la oportunidad de dar asesoramiento acerca de las opciones de este comité. La función de asesoramiento del SEPD debería incluirse en el artículo 7 del Reglamento.

2.5. Plataforma electrónica

Dado que el permiso de residencia no es un documento de viaje, no existe una razón coherente para ajustarse a las normas de la OACI y emplear, por tanto, un chip sin contacto. No está demostrado que esta tecnología sea más segura que un chip de contacto, y sólo podrá aportar riesgos mayores a la introducción del permiso de residencia.

Conforme al nuevo artículo 4 propuesto, los Estados miembros podrían embeber un segundo chip en la tarjeta independiente del permiso de residencia. Este segundo chip sería un chip de contacto y se destinaría a los servicios electrónicos. El SEPD desea recalcar particularmente la inadecuación de esta propuesta, por cuanto no respeta las normas básicas y elementales de la política de seguridad exigible para los datos de naturaleza delicada.

Este chip complementario ofrece toda una gama de aplicaciones y finalidades nuevas para la tarjeta del permiso de residencia. La estructura del perfil de protección de seguridad del primer chip sin contacto, que almacenará los datos biométricos, sólo puede definirse de manera rigurosa y adecuada a la luz de los riesgos que representan las otras finalidades, como el comercio electrónico y la administración electrónica. No hay garantía alguna de que estas aplicaciones no vayan a utilizarse, por ejemplo, en un entorno relativamente inseguro para el chip sin contacto. Resultaría muy desafortunado que la utilización de este chip complementario menoscabase la seguridad de los datos delicados almacenados en el chip primario. Por tal motivo, el SEPD recomienda vivamente que se defina en la propuesta lo siguiente:

— Una lista limitada de las finalidades previstas para el chip complementario.

— Una lista de los datos que se almacenarán en el chip complementario.

— La necesidad de una evaluación de impacto y de una evaluación de riesgo de la coexistencia de ambos chips en la misma tarjeta independiente.

3. CONCLUSIÓN

El SEPD expresa su satisfacción por esta propuesta, cuyo objetivo es una mejor armonización de la política de inmigración de la UE en general, y la elaboración de un modelo común de permiso de residencia, en particular.

El SEPD reconoce el hecho de que la utilización de datos biométricos puede mejorar la protección de los permisos de residencia y contribuir a la lucha contra la inmigración y la residencia ilegales. Ahora bien, la inclusión de los datos biométricos sólo contribuirá a estos objetivos si se aplican garantías rigurosas para su utilización y a condición de que se contrarresten sus imperfecciones con procedimientos auxiliares apropiados.

El SEPD recomienda que se aplace la inclusión de un chip complementario destinado a los servicios electrónicos hasta que se hayan realizado estudios completos de evaluación de impacto y de riesgo y se hayan analizado correctamente sus resultados.

Teniendo en cuenta que, si bien un permiso de residencia no es un documento de viaje, sí se utilizará dentro del espacio Schengen como un documento afín al de identidad, el SEPD subraya la necesidad de adoptar las más elevadas medidas de seguridad, en consonancia con las especificaciones técnicas adoptadas por los Estados miembros que están elaborando un documento de identidad electrónico.

Por lo que atañe al desarrollo y la introducción del permiso de residencia, será preferible que las opciones tecnológicas que tengan una repercusión sistemática en la protección de datos se lleven a cabo por reglamento, por el procedimiento de codecisión. En los demás casos que tengan repercusiones en la protección de datos, debe darse al SEPD una función de asesoramiento, consignada en el artículo 7 del Reglamento, acerca de las opciones que se plantee el comité previsto en la propuesta.

Hecho en Bruselas, el 16 de octubre de 2006. Peter HUSTINX Supervisor Europeo de Protección de Datos

(1) DO L 157 de 15.6.2002, p. 1.

(2) COM(2003) 558 final.

(3) Según se indica en la exposición de motivos.

(4) Dictamen de 23 de marzo de 2005 sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo sobre el Sistema de Información de Visados (VIS) y el intercambio de datos sobre visados de corta duración entre los Estados miembros (DO C 181de 23.7.2005, p. 13).

Dictamen de 19 de octubre de 2005 sobre tres propuestas relativas a la segunda generación del Sistema de Información de Schengen (SIS II) (COM(2005) 230 final, COM(2005) 236 final y COM(2005) 237 final) (DO C 91 de 15.4.2005, p. 38).

(5) Dictamen no 7/2004 sobre la inclusión de elementos biométricos en los permisos de residencia y visados teniendo en cuenta la creación del Sistema de Información de Visados (VIS) (Markt/11487/04/EN — WP 96) y documento de trabajo sobre biometría (MARKT/10595/03/EN — WP 80).

(6) Se calcula que no podrán utilizarse para un número de personas que puede llegar al 5 % (por carecer de impresiones dactilares legibles o carecer totalmente de ellas).