[pic] | COMISIÓN EUROPEA |

Bruselas, 22.4.2010

COM(2010)170 final

INFORME DE LA COMISIÓN

sobre la situación en materia de protección de datos en el Sistema de Información del Mercado Interior

INFORME DE LA COMISIÓN

sobre la situación en materia de protección de datos en el Sistema de Información del Mercado Interior

RESUMEN PRELIMINAR

La Comisión está satisfecha de la forma en que se garantizan los derechos y libertades de los ciudadanos en materia de datos personales (en lo sucesivo, «la protección de datos») dentro del Sistema de Información del Mercado Interior (IMI). El IMI es un sistema de intercambio de información por internet, seguro y plurilingüe, que presta asistencia a los Estados miembros en el desarrollo de sus tareas de cooperación administrativa. La Comisión considera asimismo satisfactoria la aplicación de la Recomendación sobre directrices para la protección de datos en el IMI.

Los Estados miembros no han comunicado problema alguno en materia de protección de datos. Ello justifica la aplicación del enfoque gradual, acordado con el Supervisor Europeo de Protección de Datos, de desarrollar el marco jurídico del IMI en función de los avances técnicos y la ampliación de dicho sistema a otros ámbitos de la legislación sobre mercado interior.

En 2010, la Comisión explorará la posibilidad de ampliar el IMI a otros ámbitos del mercado interior e irá adquiriendo mayor experiencia sobre la aplicación práctica del sistema en el sector de los servicios. Durante el primer trimestre de 2011, publicará un documento de trabajo sobre el funcionamiento y el desarrollo del IMI en 2010, que abarcará asimismo la protección de datos.

FINALIDAD DEL PRESENTE INFORME

El presente informe, cuya elaboración se preveía ya en la Recomendación de la Comisión sobre directrices para la protección de datos en el Sistema de Información del Mercado Interior[1] (en lo sucesivo, la Recomendación), pasa revista a la aplicación de dicha Recomendación por parte de los Estados miembros y la Comisión, y analiza la situación en materia de protección de datos en el IMI. Asimismo, trata nuevas cuestiones que no se abordaron en la Recomendación, en particular la cobertura de la nueva Directiva de servicios.

A la hora de elaborar el informe, la Comisión ha tenido en cuenta las aportaciones realizadas por los Estados miembros en el marco de la consulta específica lanzada en noviembre de 2009[2], así como con motivo de los contactos periódicos mantenidos con los coordinadores del IMI y los representantes de los Estados miembros durante las reuniones del IMAC - IMI (Comité Consultivo del Mercado Interior – IMI).

DESARROLLO DEL IMI EN 2009

2009 fue un año crucial para el desarrollo del IMI. La utilización de este sistema en relación con la legislación sobre cualificaciones profesionales se amplió a veinte nuevas profesiones, y la mayoría de los recursos disponibles se dedicaron a ampliar la cobertura del IMI a la Directiva de servicios[3] .

Los coordinadores nacionales del IMI participaron en el proyecto piloto de intercambio de información sobre la Directiva de servicios (basándose en casos ficticios y reales) así como en las sesiones de formación celebradas en Bruselas [4]. La Comisión lanzó una nueva versión del programa informático (1.7) para permitir a las autoridades competentes registrarse por sí mismas. A finales de año, lanzó también una versión provisional [2.0.] que incluía una aplicación informática independiente para el mecanismo de alerta [5]. Esa nueva versión del programa informático entró plenamente en funcionamiento durante el primer trimestre de 2010.

Gracias a estos esfuerzos conjuntos de la Comisión y los Estados miembros, a finales de enero de 2010, se habían registrado en el IMI 4 508 autoridades competentes, de las cuales, 3 698 tuvieron acceso al nuevo ámbito, el sector de servicios, si bien se prevé que este número se incrementará notablemente en los próximos meses. El promedio de usuarios diferentes que se conectaron diariamente al sistema aumentó, pasando de 40 en enero de 2009 a 180 en diciembre del mismo año.

Total de solicitudes enviadas por trimestre y por ámbito legislativo en 2009

[pic]En el ámbito de las cualificaciones profesionales, el sistema ha alcanzado la madurez, y su incontestable éxito pone de manifiesto el potencial del IMI como herramienta para la cooperación administrativa en la UE. Se enviaron, como promedio, 350 solicitudes por trimestre. Más del 90 % del total de las solicitudes relativas a las cualificaciones profesionales presentadas en 2009 procedieron de la UE-15, es decir, de los Estados miembros que se habían adherido a la Unión antes de 2004, lo que refleja la dirección de los flujos migratorios de trabajadores. Polonia y Rumanía fueron los Estados miembros receptores del 32% del total de las solicitudes de información.

Al examinar estas cifras, es importante señalar que el 56% de las solicitudes se tramitaron en el plazo de una semana.

Plazo necesario para tramitar una solicitud de información relacionada con la Directiva sobre Cualificaciones profesionales en 2009

Solicitudes aceptadas | (Total %) | Solicitudes tramitadas | (Total %) |

En el plazo de 3 días | 741 | 57,0 % | 518 | 43,0 % |

En el plazo de 1 semana | 216 | 73,7 % | 167 | 56,8 % |

En el plazo de 2 semanas | 166 | 86,5 % | 170 | 71,0 % |

En el plazo de 4 semanas | 120 | 95,7 % | 164 | 84,6 % |

En el plazo de 8 semanas | 35 | 98,4 % | 106 | 93,4 % |

En un plazo superior a 8 semanas | 21 | 100,0 % | 80 | 100,0 % |

Total: | 1299 | 1205 |

(* La discrepancia entre las solicitudes aceptadas y tramitadas se explica por las solicitudes que se retiraron o que, a finales de diciembre de 2009, estaban aún pendientes)

MEJORA DE LA PROTECCIÓN DE DATOS EN EL IMI: UN ENFOQUE GRADUAL

El IMI aplica el enfoque de «protección de la privacidad desde la concepción», mediante el cual, el respeto de las normas sobre protección de datos se integra desde un principio en los sistemas de almacenamiento de información. Los aspectos relacionados con la protección de datos se integran asimismo en la utilización cotidiana del sistema y se incorporan al material didáctico, aplicando un enfoque que va más allá de la protección puramente teórica o formal. Dicho enfoque parece estar surtiendo efecto, ya que ningún Estado miembro ha notificado incidente alguno en relación con la protección de datos en el contexto del IMI, y no se ha recibido ninguna queja de los interesados.

A lo largo de los dos últimos años, la Comisión ha venido manteniendo un diálogo con las autoridades de protección de datos y el Supervisor Europeo de Protección de Datos (en lo sucesivo, el SEPD). De acuerdo con el principio fundamental que sustenta el enfoque gradual, dado que el sistema garantiza un elevado nivel de protección de los datos a nivel técnico y de procedimiento, y que la Comisión ha adquirido el firme compromiso de proseguir su mejora, el marco jurídico del IMI debería ir adaptándose a los avances técnicos y permitir la ampliación del sistema a otros ámbitos de la legislación sobre mercado interior.

Ante la limitada experiencia en relación con el sistema, el enfoque gradual ha permitido a la Comisión dar respuesta a todas las preocupaciones planteadas por el SEPD en su dictamen de 12 de diciembre de 2007, y adoptar tres textos legislativos que abordan aspectos relacionados con la protección de los datos en el IMI:

a) La Decisión de la Comisión Europea, de 12 de diciembre de 2007, relativa a la protección de los datos personales en la explotación del Sistema de Información del Mercado Interior (IMI)[6] .

b) La Recomendación de la Comisión Europea, de 16 de marzo de 2009, sobre directrices para la protección de datos en el Sistema de Información del Mercado Interior (IMI) [7].

c) La Decisión de la Comisión, de 2 de octubre de 2009, por la que se establecen las medidas prácticas del intercambio de información entre Estados miembros por vía electrónica, de conformidad con lo dispuesto en el capítulo VI de la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior[8] .

En el apartado 6 del presente informe se tratan todas las cuestiones restantes, así como el contenido y el calendario de las futuras medidas, incluida la posible adopción de un instrumento jurídico.

APLICACIÓN DE LA RECOMENDACIÓN DE LA COMISIÓN

Mejoras introducidas por los Estados miembros

Contactos con las autoridades de protección de datos

La Recomendación exhortaba « a los coordinadores nacionales del IMI a que soliciten a sus autoridades nacionales de protección de datos orientación y asistencia sobre la mejor manera de aplicar las presentes directrices en el marco de la normativa nacional ». En los informes remitidos a la Comisión, la mayoría de los Estados miembros declara haber consultado a sus respectivas autoridades nacionales de protección de datos. Estas consultas han servido para tranquilizar a los usuarios del IMI en el sentido de que es posible proceder al intercambio de datos personales a través del IMI en el respeto de la legislación sobre protección de datos y, al mismo tiempo, han permitido a las autoridades nacionales reguladoras establecer relaciones de colaboración con los representantes de la Administraciones públicas, que conceden un enorme valor a la protección de datos y se hallan comprometidos en el éxito de este proyecto de carácter auténticamente europeo.

Declaraciones de confidencialidad

Haciéndose eco de una sugerencia del SEPD, la Recomendación animaba también a los coordinadores del IMI a que debatieran sobre el contenido de las declaraciones de confidencialidad con las autoridades de protección de datos a escala local. Ahora bien, la Recomendación no podía concretar demasiado al respecto, ya que, aunque la Directiva sobre protección de datos establece la plena armonización, los Estados miembros disponen de cierto margen discrecional a la hora de aplicar algunas de sus disposiciones. Los informes remitidos por los Estados miembros confirman la existencia de diferentes prácticas nacionales para la determinación del contenido y el formato de las declaraciones de confidencialidad. Una exigua mayoría de Estados miembros considera que corresponde a cada autoridad competente decidir a escala local y de conformidad con la normativa local el contenido y el formato de la información que debe facilitarse a los interesados. En cambio, en algunos Estados miembros, se propone un modelo para el Estado miembro en su conjunto que puede ser objeto de adaptación[9].

Sensibilización y formación

Entre los mayores logros de la Recomendación destacan una mayor sensibilización en materia de protección de datos entre los agentes y usuarios del IMI, que se han familiarizado ya con los principios generales al respecto, y la aportación de propuestas prácticas a fin de garantizar un elevado nivel de protección de los datos dentro del IMI. Gracias a la Recomendación, se han incorporado referencias a las directrices sobre protección de datos en el material didáctico sobre el IMI destinado a las autoridades competentes.

Mejoras introducidas por la Comisión

Plan de Seguridad del IMI

La confidencialidad y seguridad de los datos quedaron reguladas mediante la Decisión de la Comisión de 16 de agosto de 2006, relativa a la seguridad de los sistemas de información utilizados por la Comisión Europea[10] . Dicha decisión se ha actualizado a través de las disposiciones de aplicación adoptadas en 2009 y las recientes normas y directrices, que son, a grandes rasgos, similares a las normas internacionales. Las medidas de seguridad en el marco del IMI se han revisado y actualizado en consecuencia, y el plan de seguridad global que se elaboró en 2009 se revisará en 2010.

Mejoras técnicas

Cuando el intercambio de información afecta a datos sensibles, en la pantalla aparece ahora un aviso indicando que se trata de información sensible y que la persona que gestiona el caso sólo debe solicitarla si es absolutamente necesaria y está directamente relacionada con el ejercicio de una actividad profesional o la prestación de un determinado servicio. En el diseño y la aplicación del nuevo mecanismo de alerta se han tenido plenamente en cuenta la protección de datos (véase el apartado 5.2.3.2., a continuación).

También se han introducido mejoras en el sitio web del IMI a fin de facilitar la búsqueda de los documentos pertinentes por parte de los usuarios, permitiendo que sea más intuitiva. El apartado sobre protección de datos[11] se ha actualizado mediante la inclusión de todos los textos legislativos en la materia, la correspondencia con el SEPD y las series de preguntas utilizadas en el sistema. A efectos de transparencia y a sugerencia del SEPD, se han determinado las preguntas relacionadas con la información sensible.

Nuevo ámbito legislativo de la Directiva de servicios

Utilización del IMI en relación con la Directiva de servicios

La Directiva de servicios no alude expresamente al IMI (sino, más en general, a un sistema electrónico de intercambio de información). Por tanto, era necesario establecer formalmente que el IMI iba a utilizarse a esos efectos, para lo cual, la Comisión adoptó una Decisión[12], de conformidad con el procedimiento establecido en la Directiva de servicios («decisión de comitología»).

Dicha decisión de comitología, que dispone medidas prácticas para el intercambio de información en el ámbito de los Servicios a través del IMI, contribuye al mantenimiento del elevado nivel de protección de datos existente dentro del sistema y dota de mayor transparencia y precisión a las normas generales previstas en la Decisión 2008/49/CE, y las directrices sobre protección de datos incluidas en la Recomendación. Además, prevé que la decisión sobre garantías adicionales en relación con la protección de datos se tomen más tarde, en su caso, a la luz de la experiencia adquirida con el sistema[13] .

Un mecanismo de alerta que garantiza la protección de datos

El mecanismo de alerta es un sistema de advertencia, establecido de conformidad con el artículo 29, apartado 3, y el artículo 32 de la Directiva de servicios, que complementa el sistema para RAPEX utilizado en relación con los productos. Contribuye a prevenir los riesgos a que se ven expuestos los destinatarios de una actividad de servicios.

El mecanismo de alerta permite el cumplimiento de la obligación jurídica de intercambiar información a que están sujetos los Estados miembros, y, en ese sentido, es totalmente legal desde la perspectiva de la protección de datos. No obstante, la Comisión es consciente de las implicaciones que puede tener la aplicación de dicho mecanismo de cara a la protección de los datos. Por tanto, a la hora de concebirlo, ha puesto sumo cuidado en que garantice el respeto de los mismos, e insta a los Estos miembros, responsables de su protección durante el envío o la recepción de las alertas, a que estén atentos a la aplicación correcta de las normas.

El mecanismo de alerta incluye un buen número de garantías en materia de protección de datos que coinciden con los rasgos generales del sistema del IMI e incorpora, además, algunas garantías específicas destinadas a asegurarse de que:

a) el acceso a los datos quede limitado a autoridades competentes y/o usuarios concretos

En consonancia con la estrategia general aplicada en el marco del IMI, el acceso a la información en el contexto del mecanismo de alerta queda estrictamente limitado a los casos en que sea absolutamente necesario. Las autoridades competentes y los usuarios del IMI únicamente tienen acceso a las alertas si los Estados miembros les han concedido autorización expresa no solo para acceder al IMI en general, sino a esa aplicación específica en particular. Las autoridades competentes y los usuarios del IMI no pueden enviar o recibir alertas por defecto. Dicha función debe activarse independientemente.

b) no se envíen alertas innecesarias

No se puede enviar ninguna alerta sin haber completado previamente una lista de comprobación que permita determinar si se reúnen los requisitos para ello; por ejemplo, que en relación con una actividad de servicios se dan una serie de circunstancias o actos específicos graves que podrían causar serios perjuicios. El sistema no permite enviar una alerta si la autoridad que inicia el procedimiento no ha comprobado previamente que se cumplen todos los requisitos.

Además, la alerta no se envía directamente a otros Estados miembros, sino que se remite en primer lugar al coordinador de alertas del propio Estado miembro, a quien corresponde reconsiderar si la alerta debe o no transmitirse a esos otros Estados miembros.

c) las alertas no se comuniquen a más destinatarios de los estrictamente necesarios para cumplir los requisitos en materia de información establecidos en la legislación

Cuando se envían las alertas a otros Estados miembros, la autoridad que inicia el procedimiento y el coordinador de la alerta deben analizar cuáles son los Estados miembros que precisan de su recepción. Si el Estado miembro en que se presta un servicio desea enviar la alerta, únicamente la recibirán, por defecto, el Estado miembro de establecimiento del proveedor del servicio y la Comisión. Esta configuración por defecto garantiza que la inclusión de otros Estados miembros en la lista de destinatarios se decida caso por caso y considerando la necesidad que existe de conocer la información.

Además, cuando la alerta se transmite a otros Estados miembros, no se envía a todas las autoridades competentes de los países receptores sino exclusivamente a un buzón de alertas entrante (generalmente el del coordinador nacional de alertas). El destinatario decidirá qué autoridades competentes de su Estado miembro están afectadas y deben participar en el caso.

d) la Comisión reciba las alertas de conformidad con lo dispuesto en la Directiva de servicios, pero no tenga acceso a los datos personales

La Directiva de servicios dispone que todas las alertas deben enviarse a la Comisión, pero esta, contrariamente a lo que ocurre en el caso de los Estados miembros, no necesita tener acceso a los datos personales. Así pues, la Comisión recibe las alertas sin que figuren en ellas dichos datos.

e) en caso de que, pese a todas las precauciones, se envíen alertas injustificadas, estas puedan retirarse rápidamente, o pueda procederse a la modificación o supresión de los datos incorrectos

El IMI permite a la autoridad competente retirar inmediatamente una alerta enviada que resulte injustificada, de modo que no sea visible para ningún usuario del sistema. Si la alerta está justificada pero es necesario modificar alguno de los datos que incluye, la autoridad competente que inicia el procedimiento puede proceder a esa rectificación en cualquier momento. Además, el sistema IMI permite a otras autoridades competentes que hayan recibido la alerta indicar que determinados datos de la misma son incorrectos.

f) las alertas se clausuren en cuanto desaparezca el riesgo; los datos personales dejen de ser visibles inmediatamente para todos los usuarios, y se borren seis meses después de la clausura de la alerta

Una vez que el riesgo que desencadenó la alerta ha desaparecido, es preciso clausurarla. El IMI permite, por tanto, al Estado miembro de establecimiento clausurar la alerta, y se envía a las autoridades competentes un recordatorio por correo electrónico. Una vez que la alerta ha sido clausurada, deja de ser visible. Seis meses después de su clausura, a más tardar, todos los datos personales se borran automáticamente y quedan eliminados del sistema.

CUESTIONES PARA UNA ULTERIOR CONSIDERACIÓN

Si bien la mayoría de los Estados miembros han expresado opiniones favorables respecto de la protección de datos en el marco del IMI, un grupo reducido ha planteado ciertos aspectos que, a continuación, se analizan en el presente apartado del informe.

Normas aplicables en materia de seguridad y confidencialidad de los datos

El tratamiento de los datos personales en el marco del IMI lleva aparejado un tratamiento conjunto (de la Comisión y los Estados miembros), una responsabilidad conjunta (de los distintos agentes y usuarios) y una supervisión conjunta (por parte de las autoridades nacionales de protección de datos y el Supervisor Europeo). Frente a una situación tan compleja, no siempre resulta fácil atribuir responsabilidades.

Las autoridades de protección de datos de Dinamarca y Alemania insisten en que dado que las autoridades competentes de sus territorios deben respetar determinados requisitos nacionales (por ejemplo, un mecanismo de autenticación más estricto, como se menciona en el apartado siguiente), es preciso que el IMI cumpla esos mismos requisitos nacionales porque, de lo contrario, deberán dejar de utilizarlo. Las autoridades competentes han transmitido estas exigencias a la Comisión, en su calidad de responsable de la seguridad del sistema.

La Comisión considera que el IMI es un sistema seguro, y que una red auténticamente europea como es esta dejaría simplemente de funcionar si cada Estado miembro insistiera en el cumplimiento de sus normas nacionales en materia de seguridad. La Directiva sobre protección de datos, adoptada hace casi ya veinte años, se proponía la doble finalidad de proteger el derecho fundamental a la protección de datos y garantizar la libre circulación de datos personales entre los Estados miembros, y entre estos últimos y las instituciones de la UE[14].

En este contexto, la Comisión insiste en que habida cuenta del elevado nivel de garantías aportadas en materia de protección de datos dentro del sistema del IMI, y del principio de cooperación leal enunciado en el artículo 4, apartado 3, del Tratado de la Unión Europea, las autoridades nacionales de protección de datos no deberían poner trabas a la utilización del sistema por parte de las autoridades nacionales competentes.

Hacia una autenticación más estricta dentro del IMI

El sistema de autenticación del IMI constituye una versión avanzada de la autenticación basada en un solo factor, ya que combina el nombre del usuario y la contraseña con un código PIN. Cuando el usuario intenta acceder al sistema, se le pide que suministre una combinación al azar de caracteres del código PIN.

Las autoridades de protección de datos alemanas y danesas han manifestado cierta inquietud respecto del sistema de autenticación del IMI. La Comisión opina que el mecanismo de autenticación actual es el apropiado teniendo en cuenta el nivel de desarrollo tecnológico existente y los costes de aplicación, si bien admite que, a largo plazo, seria conveniente una autenticación reforzada. Dado que los distintos sistemas de autenticación implantados por los Estados miembros no siempre son interoperables, la mejor solución para lograr una autenticación reforzada parece ser el establecimiento de identidades electrónicas a nivel de cada Estado miembro que podrían ser interoperables a través de plataformas intermedias « middleware ».

Una de las opciones es el proyecto STORK, que está siendo desarrollado por un consorcio en el que participan algunos Estados miembros y que se financia con cargo al Programa político de ayuda a las TIC – Competitividad e Innovación. La Comisión seguirá estrechamente su evolución en los próximos meses, que resultarán determinantes a la hora de decidir si se utiliza en el contexto del IMI.

En al apartado 7.2. se aportan referencias adicionales en materia de seguridad de los datos.

Conservación de datos

La política de conservación de datos en el IMI es muy estricta[15] y algunos agentes y usuarios han señalado que debería revisarse. La rápida supresión de los datos personales del sistema no siempre redunda en beneficio del interesado, que puede preferir su conservación en el IMI por un periodo más largo, por ejemplo, en casos relacionados con procedimientos judiciales.

En una sentencia reciente[16], el Tribunal de Justicia Europeo afirmaba que el derecho de acceso a la información[17] no sólo se aplica a los datos actuales sino a los almacenados anteriormente. Por tanto, el Tribunal considera que limitar el acceso mediante la supresión de los datos puede infringir la ley, a menos que pueda demostrarse que un almacenamiento más prolongado supondría una carga excesiva para el responsable del tratamiento. La Comisión no cree que el almacenamiento de la información personal en el IMI durante un periodo más largo constituya una carga excesiva y, por consiguiente, tiene previsto reflexionar sobre la posibilidad de fijar un periodo de conservación más prolongado, que podría incluir asimismo una fase transitoria de bloqueo de los datos, que impidiera su visión por los usuarios, antes de proceder a su eliminación definitiva. Se analizarán con sumo cuidado las eventuales implicaciones de una estrategia de bloqueo, como por ejemplo, quiénes podrían tener acceso a los datos bloqueados y con qué finalidad.

El aspecto constituye un ejemplo claro de la necesidad de reflexionar detenidamente antes de decidir el establecimiento de un conjunto de normas de funcionamiento del IMI en un acto jurídicamente vinculante. Es fundamental que la Comisión y los Estados miembros, a la vez que garantizan una protección adecuada de los datos personales y la participación de las autoridades de protección de datos en el proceso, puedan adquirir la suficiente experiencia en relación con el sistema para no establecer normas en la materia ineficaces o contraproducentes.

Utilización del IMI a escala nacional

Al incorporar la Directiva de servicios en los Países Bajos, se ha establecido la utilización del IMI a efectos nacionales, es decir, también en los intercambios de información entre las propias Administraciones holandesas. La Comisión Europea se felicita de esta estrategia, que ilustra el potencial del IMI de cara a su utilización entre Administraciones. No obstante, la utilización del IMI por los Estados miembros a efectos nacionales está sujeta a tres condiciones:

a) que la legislación nacional considere legal el tratamiento de datos personales y el almacenamiento de la información en los servidores de la Comisión,

b) que el sistema se utilice en los mismos términos, es decir, con las mismas series de preguntas y las mismas aplicaciones, y

c) que el Estado miembro se responsabilice plenamente de cualquier cuestión que surja (protección de datos, u otra cuestión) en relación con la utilización de los sistemas con fines nacionales.

Por tanto, en caso de que los Estados miembros estén interesados en utilizar el IMI con fines nacionales, se recomienda que, primero, consulten con sus autoridades de protección de datos nacionales y, a continuación, se pongan en contacto con la Comisión a fin de debatir la cuestión y asegurarse de que ello no plantea problema alguno desde la óptica de la legislación sobre protección de datos.

Garantías específicas sobre protección de datos en actos jurídicamente vinculantes de la UE

En su dictamen de 12 de diciembre de 2007 y en su correspondencia con la Comisión, el SEPD reclamaba garantías en materia de protección de datos con carácter jurídicamente vinculante y específicas que se introduzcan en la legislación de la UE a medida que el ámbito de aplicación del IMI se vaya ampliando más allá de las Directivas de cualificaciones profesionales y de servicios. Las autoridades de protección de datos alemanas se han manifestado en el mismo sentido.

En 2010, la nueva Comisión procederá a revisar el funcionamiento del mercado único y la posibilidad de intensificar la contribución del IMI a la mejora de la aplicación de la legislación sobre mercado interior por parte de los Estados miembros. Analizará asimismo qué otros ámbitos de actividad pueden beneficiarse de la utilización del IMI.

Ya hay un paquete de medidas en materia de protección de datos sólidamente implantado, y la reacción de los Estados miembros a las mismas está siendo positiva. Por tanto, la Comisión opina que no sería sensato presentar una propuesta legislativa antes de definir el alcance del IMI y antes de haber adquirido experiencia práctica sobre la aplicación de este sistema en el ámbito de los servicios. Cualquier propuesta que se presente en el futuro deberá tener debidamente en cuenta esto, a fin de garantizar una base sólida en relación con el IMI y la protección de datos, que permita adaptarse a nuevas circunstancias.

Mientra tanto, la Comisión seguirá mejorando la protección de datos en el marco del IMI en estrecha cooperación con los Estados miembros y el SEPD, tal como se establece a continuación.

FUTURAS MEJORAS

Mejoras técnicas

En los futuros programas informáticos a disposición del usuario se integrarán avisos automáticos y listas de urgencia para aceptar una respuesta (de forma que la solicitud no se mantenga abierta más tiempo del necesario). Por lo que respecta al procedimiento de rectificación, bloqueo o supresión de los datos, dado que hasta ahora no ha habido ninguna solicitud y que es poco probable que las haya en el futuro, la Comisión opina que sería más conveniente instaurar un procedimiento más ágil, que se documentará de forma adecuada con la contribución del responsable de protección de datos de la Comisión y el SEPD.

Seguridad de los datos

De conformidad con las nuevas directrices y normas recientemente adoptadas por la Comisión, esta llevará a cabo una nueva evaluación de riesgos en relación con el IMI en 2010 y actualizará el plan de seguridad en consecuencia, identificando las partes del sistema que sea preciso tener en cuenta, los eventuales peligros y las medidas necesarias en relación con la infraestructura y los programas informáticos. Si la evaluación de riesgos pusiera de manifiesto la necesidad de adoptar medidas de seguridad suplementarias, estas se irán incorporando gradualmente en futuras actualizaciones de los programas informáticos.

A principios de 2011, se llevará asimismo a cabo una auditoría externa que se centrará principalmente en el funcionamiento y la estabilidad del sistema, pero que podrá abarcar también algunas cuestiones relacionadas con la seguridad y la protección de datos.

Revisión de la Directiva sobre cualificaciones profesionales

Durante el periodo 2010-1011, se llevará a cabo una evaluación de la Directiva sobre cualificaciones profesionales, que incluirá una evaluación de la cooperación administrativa y de la utilización del IMI, y que abordará aspectos relacionados con la protección de datos.

CONCLUSIONES

La Comisión valora positivamente la aplicación de la Recomendación y la situación existente en materia de protección de datos en el contexto del IMI. No obstante, seguirá trabajando para incorporar mejoras en el sistema, en particular, en el ámbito técnico y de seguridad de los datos.

La Comisión prevé asimismo explorar la posibilidad de ampliar el IMI a otros ámbitos del mercado interior, aprovechando al mismo tiempo la experiencia práctica que adquiera en su utilización en el sector de los servicios. Cualquier propuesta adicional de legislación de la UE tendrá en cuenta esta evolución y estas reflexiones de forma que se aporte al IMI y la protección de datos una base sólida que permita hacer frente a futuras circunstancias.

En el primer trimestre de 2011, se publicará un documento de trabajo sobre el funcionamiento y desarrollo del sistema IMI en 2010. Dicho informe abarcará asimismo la protección de datos.

[1] C(2009) 2041final. DO L 100 de 18.4.2009, pp. 12-28.

[2] Diecisiete Estados miembros respondieron a la consulta, que planteaba las siguientes preguntas:

-¿Se han puesto ustedes en contacto con la autoridad nacional de protección de datos de su país?¿Ha expresado esta última su opinión respecto de la aplicación de las directrices a nivel nacional?

-¿Han elaborado ustedes una declaración de confidencialidad general para todos los usuarios del IMI, o son las autoridades competentes (AC) quienes se encargan de este cometido a nivel local?

-¿Han registrado algún problema en materia de protección de datos al enviar las solicitudes del IMI, o darles respuesta?

-¿Han notificado sus AC algún problema en el tratamiento de cuestiones relacionadas con los antecedentes penales?

-¿Han recibido sus AC alguna solicitud de acceso, supresión o rectificación por parte de los interesados?

-¿Saben sus AC que existe la posibilidad de suprimir anticipadamente del sistema los datos personales?¿Hacen uso de ella?

-¿Han incluido ustedes la protección de datos en sus sesiones de formación sobre el IMI?

[3] Directiva 2006/123/CE del Parlamento Europeo y del Consejo, de 12 de diciembre de 2006, relativa a los servicios en el mercado interior (DO L 376 de 27.12.2006, pp. 36-68).

[4] En 2009, la Comisión organizó tres sesiones de formación de un día de duración en Bruselas para los coordinadores del IMI, en cada una de las cuales participaron, aproximadamente sesenta personas. Durante ese mismo periodo, los Estados miembros organizaron más de cien actividades de formación destinadas a la autoridades competentes a nivel local, regional y nacional.

[5] Véase el artículo 32 de la Directiva de servicios.

[6] C(2007) 6306, DO L 13 de 16.1.2008, pp. 13-23.

[7] COM(2009) 2041 final, DO L 100, 18.4.2009, pp. 12-28.

[8] C(2009) 7493, DO L 263 de 7.10.2009, pp. 32-34.

[9] La declaración de confidencialidad (cláusula de privacidad) elaborada por el equipo del IMI español constituye un buen ejemplo de modelo nacional realizado con la asistencia técnica de la autoridad nacional de protección de datos:http://www.mpt.es/documentacion/sistema_IMI/documentos/protec_datos/ClausulaIMI_ES/document_es/Clausula_IMI.pdf.

[10] C (2006)3602.

[11] http://ec.europa.eu/internal_market/imi-net/data_protection_en.html

[12] Decisión de la Comisión, de 2 de octubre de 2009, por la que se establecen las medidas prácticas del intercambio de información entre Estados miembros por vía electrónica, de conformidad con lo dispuesto en el capítulo VI de la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior.

[13] Véase el capítulo 13 de la Recomendación, apartado «Acciones en curso», letra d).

[14] Este principio queda claramente establecido en el artículo 1, apartado 2, de la Directiva sobre protección de datos, y en el considerando 13 del Reglamento sobre protección de datos: «Se trata de garantizar tanto el respeto efectivo de las normas de protección de los derechos y las libertades fundamentales de las personas como la libre circulación de los datos personales entre los Estados miembros y las instituciones y organismos comunitarios, o entre las instituciones y los organismos comunitarios, en el ejercicio de sus competencias respectivas.».

[15] Es posible proceder a una supresión anticipada de los datos personales simplemente con un par de pulsaciones y, en cualquier caso, dichos datos se borran automáticamente a los seis meses del archivo de las solicitudes de información.

[16] C-553/07, Rotterdam contra Rijkeboer.

[17] Véase el artículo 12, letra a), de la Directiva 95/46/CE.