ES Diario Oficial de la Unión Europea C 91/15

Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se adoptan las normas de aplicación del Reglamento (CE) no 883/2004 sobre la coordinación de los sistemas de seguridad social (COM(2006)16 final)

(2007/C 91/03)

EL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS,

Visto el Tratado constitutivo de la Comunidad Europea y, en particular, su artículo 286,

Vista la Carta de los Derechos Fundamentales de la Unión Europea y, en particular, su artículo 8,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1),

Visto el Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (2) y, en particular, su artículo 41,

Vista la petición de dictamen, de conformidad con el artículo 28, apartado 2, del Reglamento (CE) no 45/2001, recibida de la Comisión Europea el 7 de diciembre de 2006;

HA ADOPTADO EL SIGUIENT DICTAMEN:

I. INTRODUCCIÓN

Consulta al SEPD

1. La Comisión envió al SEPD la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se adoptan las normas de aplicación del Reglamento (CE) no 883/2004 del Parlamento Europeo y del Consejo, de 29 de abril de 2004 sobre la coordinación de los sistemas de seguridad social (3) (en lo sucesivo «la Propuesta») para consulta, de conformidad con el artículo 28, apartado 2, del Reglamento (CE) no 45/2001. El SEPD considera que el presente dictamen debe mencionarse en el preámbulo del Reglamento.

2. La consulta formal de la Comisión sigue a los contactos que se mantuvieron entre la Secretaría del SEPD y los servicios de la Dirección General pertinente de la Comisión (DG EMPL) en el marco de la elaboración del inventario de 2007 por el SEPD (4). De hecho, esta Propuesta es una de las que presentan un gran interés para el SEPD, de entre las que forman la «cartera »de la DG EMPL. Es más, el SEPD participó en una audiencia organizada por el Parlamento Europeo el 23 de noviembre de 2006 haciendo algunas observaciones preliminares sobre la Propuesta. En vista de ello, el SEPD se congratula de esta consulta y espera que en el futuro se le consulte con tiempo en relación con otras propuestas de la Comisión que estén relacionadas con la protección de datos personales en los ámbitos de la seguridad social y del empleo, en particular en los ámbitos mencionados en su inventario.

La Propuesta en su contexto

3. La Propuesta establece el procedimiento para aplicar el Reglamento (CE) no 883/2004 del Parlamento Europeo y del Consejo, de 29 de abril de 2004, sobre coordinación de los sistemas de seguridad social. En efecto, las nuevas normas de coordinación establecidas por dicho Reglamento no pueden aplicarse hasta que se haya adoptado la presente Propuesta, que establece las correspondientes normas de aplicación (5). Por tanto, se examinará la Propuesta en conjunción con el Reglamento de base al que se refiere. En relación con este punto, cabe advertir que el SEPD no emitió dictamen sobre el Reglamento 883/2004, ya que la correspondiente propuesta de la Comisión se adoptó el 12 de febrero de 1999 (6), antes de la entrada en vigor del Reglamento (CE) no 45/2001.

4. El objetivo de la Propuesta es modernizar y simplificar normas vigentes reforzando la cooperación entre las instituciones de seguridad social y mejorando los métodos de intercambio de datos entre ellas.

5. La Propuesta tiene un amplio alcance, tanto respecto de los ciudadanos a los que afecta como de los aspectos que abarca. Por una parte, afecta a todos los ciudadanos de la UE que se encuentren cubiertos por la seguridad social en virtud de la legislación nacional (lo que incluye, por tanto, a los no activos), siempre que existan elementos transfronterizos. Por otra parte, es aplicable a una amplia variedad de ramas de la seguridad social: prestaciones por enfermedad, de maternidad y de paternidad asimiladas, prestaciones de invalidez, pensiones de vejez, pensiones de supérstites, prestaciones por accidentes de trabajo y enfermedades profesionales, subsidios de defunción, prestaciones de desempleo, pensiones de jubilación anticipada, prestaciones familiares.

6. El SEPD acoge positivamente esta Propuesta en la medida en que aspira a favorecer la libre circulación de los ciudadanos y a mejorar el nivel de vida y las condiciones de trabajo de los ciudadanos de la UE que se desplazan dentro de la Unión.

7. Las disposiciones sobre intercambio de datos personales entre administraciones nacionales competentes en materia de seguridad social constituyen una parte primordial de la Propuesta. En efecto, la seguridad social no podría existir sin el tratamiento de distintos tipos de datos personales, en muchos casos de naturaleza muy delicada. Es más, el intercambio de datos personales relativos a la seguridad social entre distintos Estados miembros es una consecuencia lógica de la Unión Europea, en la que los ciudadanos ejercen cada vez con mayor frecuencia su derecho a la libertad de circulación.

8. Sin embargo, es también esencial que este creciente intercambio de datos personales entre las administraciones nacionales de los Estados miembros garantice, al mismo tiempo que mejores condiciones para la libre circulación de las personas, un elevado grado de protección de los datos personales, preservando así uno de los derechos fundamentales de la UE. En este contexto, el SEPD se alegra de observar que también el Comité Económico y Social Europeo (CESE), en su dictamen de 26 de octubre de 2006 sobre la Propuesta, indicó la necesidad de velar por una adecuada protección de los datos personales, en particular por tratarse, en ocasiones, de datos de naturaleza sensible (7).

Centro de atención del dictamen

9. Se ha consultado al SEPD sobre la propuesta de Reglamento de aplicación. Sin embargo, como ya se ha dicho, el Reglamento de aplicación no puede analizarse independientemente del Reglamento (CE) no 883/2004, que es el que establece el principio fundamental de la coordinación de los sistemas de la seguridad social, también respecto de la protección de los datos personales. Por tanto, el SEPD tomará en consideración en su dictamen el marco que establece este último Reglamento. No obstante, el SEPD centrará su asesoramiento en las cuestiones para las cuales el legislador del Reglamento de aplicación cuenta todavía con margen de maniobra.

10. Además, el SEPD advierte que la Propuesta, además de tener amplio alcance, es muy compleja, puesto que establece disposiciones muy detalladas, incluso a veces técnicas, sobre las distintas circunstancias, mecanismos y limitaciones de la coordinación de los sistemas de seguridad social. Por ello, al analizar la Propuesta, el SEPD no se ocupará de todas las disposiciones, una por una, sino que adoptará un enfoque horizontal, centrándose en los principios de protección de datos que son particularmente pertinentes para la Propuesta.

11. Con este enfoque, este dictamen pretende obtener la observancia de la legislación de protección de datos, pero también la eficacia de las medidas propuestas, adelantándose y abordando cuestiones que pueden plantearse en los sistemas judiciales nacionales en el momento de poner el Reglamento en vigor. En su dictamen, el SEPD definirá primero el marco jurídico de protección de datos pertinente y luego se ocupará de la aplicación a la Propuesta de los principios pertinentes de protección de datos. En las conclusiones, el SEPD pondrá de relieve sus principales conclusiones y recomendaciones.

II. MARCO JURÍDICO DE PROTECCIÓN DE DATOS PERTINENTE

12. En el contexto de la Propuesta, los datos personales de los asegurados serán tratados, en general, por los órganos nacionales competentes y, por tanto, caerán dentro del ámbito de aplicación de las leyes nacionales que incorporan la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos («la Directiva»). En los casos, menos numerosos, en que los datos personales de los asegurados deban ser tratados por las instituciones de la Comunidad, estarán sujetos al Reglamento 45/2001, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (8). Este sería el caso, por ejemplo, cuando se tratasen datos personales del personal de la UE (9). Por ello, el marco jurídico actual sobre protección de datos dispone un nivel de protección armonizado en toda la UE.

13. La actual Propuesta se basará en este marco armonizado. Sin embargo, las legislaciones nacionales por las que se da cumplimiento a la Directiva no son completamente uniformes, por lo que pueden persistir divergencias entre las leyes nacionales de protección de los datos personales. Por ello, reviste la mayor importancia que el legislador lo tenga en cuenta, con el fin de velar por que las medidas propuestas cumplan plenamente este marco y afronten esas posibles divergencias.

14. Aún más, el mayor intercambio transfronterizo de datos exigirá una mejor coordinación de las disposiciones nacionales de protección de los datos personales. A este respecto, el SEPD se congratula por el artículo 77 del Reglamento (CE) no 883/2004. Esta disposición dice expresamente que los datos que se traten en virtud del Reglamento y de sus disposiciones de aplicación, deberán transmitirse respetando las disposiciones comunitarias en materia de protección de datos personales.

15. El artículo 77 del Reglamento (CE) no 883/2004 determina también la ley nacional de protección de datos aplicable en las transmisiones de datos entre organismos competentes de distintos Estados miembros, disponiendo que la comunicación de datos personales de un Estado miembro a otro se atendrá a la legislación en materia de protección de datos del primero, el Estado miembro que los transmite. Por el contrario, cualquier comunicación por parte del Estado miembro que reciba los datos, así como el almacenamiento, la modificación y la supresión de datos por parte de dicho Estado estará sujeta a la legislación en materia de protección de datos del Estado miembro que los reciba. Esta disposición está en consonancia con lo dispuesto en el artículo 4 de la Directiva sobre la ley nacional aplicable.

16. La Propuesta hace referencia a las disposiciones comunitarias sobre protección de datos personales en el considerando 3 y en el artículo 3.2. Mientras que el considerando 3 afirma de modo general que los afectados deben beneficiarse de todas las garantías que brindan las disposiciones comunitarias de protección de datos, el artículo 3.2 se refiere específicamente al ejercicio de los derechos de acceso y de rectificación de los propios datos personales.

17. El SEPD está de acuerdo en que –tratándose de un instrumento jurídico de aplicación de procedimientos mejorados de tratamiento y transmisión de datos personales– es necesario recordar clara y explícitamente el marco de protección de datos aplicable. Con esta perspectiva, el SEPD recomienda que no sólo se haga una referencia general a las disposiciones comunitarias en materia de protección de datos personales en los considerandos, sino que se haga también explícitamente en la parte dispositiva (por ejemplo, en el artículo 3). Esta disposición general no excluye que otras disposiciones, como las actualmente establecidas en el artículo 3.2, puedan abordar cuestiones más específicas relativas a la aplicación concreta de los principios de protección de datos en el marco de la coordinación de los sistemas de seguridad social (véanse los apartados 36-38).

III. APLICACIÓN DE LOS PRINCIPIOS PERTINENTES DE PROTECCIÓN DE DATOS

Limitación del uso de los datos para los fines para los que se recogieron

18. Uno de los principios básicos de la legislación sobre protección de datos es que los datos personales sólo sean tratados para los fines para los que se recogieron o para un fin compatible (artículo 6.1.b) de la Directiva). La Propuesta no contiene ninguna disposición general sobre limitación del uso (10). Sin embargo, el enfoque general de la Propuesta es que los datos personales recogidos para uno de los fines de la seguridad social (pensión, prestación de invalidez, desempleo, etc.) serán tratados y transmitidos a los organismos de otros Estados miembros para el mismo fin. Por tanto, la mayor parte de las operaciones de tratamiento recogidas en la Propuesta afectarán a datos personales tratados para el mismo fin o para un fin compatible con él. Lo mismo ocurrirá con el tratamiento de datos personales en el marco de la transmisión de datos personales para el cobro de créditos o de prestaciones indebidas (artículo 73).

19. No obstante, en otras circunstancias, tales como en caso de cooperación entre administraciones fiscales (considerando 14), los datos relativos a la seguridad social podrían ser necesarios también para fines distintos de los relacionados con la seguridad social. En ese caso, las excepciones al principio de limitación del uso podrían justificarse en virtud del artículo 13 de la Directiva, en circunstancias específicas y siempre que sean necesarias y se basen en medidas legislativas, ya sean nacionales o comunitarias. A este respecto, el legislador podría considerar la posibilidad de referirse específicamente en la Propuesta a las condiciones en las que los datos relativos a la seguridad social pueden ser tratados con distinto fin.

20. Con estos antecedentes, el SEPD considera que la Propuesta respeta las disposiciones básicas de protección de datos en cuanto a la limitación del uso de los datos a los fines para los que se recogieron. Es más, el SEPD advierte que la prohibición de utilizar datos personales para fines distintos de los relativos a la seguridad social emana de la legislación sobre protección de datos aplicable, que únicamente permite excepciones a este principio general en condiciones específicas y estrictas.

Proporcionalidad de los datos tratados, organismos competentes y periodos de almacenamiento

21. Según los principios de protección de datos, los datos personales serán adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente (artículo 6.1.c) de la Directiva). En el contexto de los sistemas de la seguridad social, esto significa que sólo un conjunto de datos proporcionado y necesario puede transmitirse en cada circunstancia.

22. Este principio está correctamente consagrado en el artículo 2.1 de la Propuesta, que establece la obligación de las instituciones de los Estados miembros de comunicarse todos los datos necesarios para establecer y determinar los derechos y obligaciones de los asegurados. A este respecto, el SEPD destaca que la valoración de qué constituye un conjunto necesario de datos personales puede diferir ligeramente según el tipo de prestación de que se trate. Por ejemplo, el tipo de información personal que se necesita para las prestaciones por enfermedad será distinto del necesario para una pensión de vejez. La información transmitida por los organismos de los Estados miembros no debe ir más allá de lo necesario para el ejercicio de los derechos y obligaciones del asegurado atinentes al caso concreto.

23. La proporcionalidad debe aplicarse también en lo que respecta al número de organismos competentes con acceso a los datos, así como a las formas de almacenamiento y a la duración de éste. Sólo las autoridades e instituciones pertinentes tendrán acceso a los datos relativos a la seguridad social y esos datos serán conservados –en una forma que permita la identificación de los interesados– durante un periodo no superior al necesario para los fines para los que fueron recogidos (artículo 6.1.e) de la Directiva).

24. Respecto del número de autoridades e instituciones con acceso a los datos personales de los asegurados, en virtud del artículo 83 de la Propuesta se creará una base de datos accesible al público en la que figurarán las entidades pertinentes de cada Estado miembro. Cabe advertir igualmente que la Propuesta es flexible, permitiendo a los Estados miembros decidir si los datos personales se transmitirán a través de un punto de acceso central en un Estado miembro o directamente a la autoridad o institución que corresponda (artículo 2.3). Además, en cada Estado miembro podrán designarse muchos organismos, algunos de los cuales podrán ser de ámbito regional.

25. En cuanto al período de almacenamiento de los datos personales, el SEPD observa que en el contexto de la seguridad social, la prueba de la proporcionalidad puede llevar a resultados muy distintos, según la rama de la seguridad social de que se trate. Por ejemplo, el tratamiento de datos personales relativos a prestaciones por enfermedad será necesario, normalmente, durante un plazo más corto que el de los datos relativos a las pensiones, que son prestaciones que suelen durar más tiempo. El plazo de almacenamiento de datos personales dependerá también del tipo de organismo que haga el tratamiento. Por ejemplo, en el caso de los puntos centrales de acceso, esto significaría que los datos personales se borrarían en cuanto se hubieran remitido al organismo competente. En todo caso, debe quedar claro que los datos personales se suprimirán, o que de ellos se eliminarán todos los elementos capaces de identificar al interesado, en cuanto dejen de ser necesarios para el fin para el que fueron recogidos o tratados.

26. En vista de las consideraciones que anteceden, el SEPD resalta que en un sistema tan complejo, en que los datos personales son tratados y transmitidos sucesivamente por una red asimétrica de organismos, debe prestarse especial atención para garantizar que los datos personales sean tratados por los organismos competentes, durante un plazo proporcionado y que se eviten las duplicaciones de bases de datos. El SEPD cree que la base de datos a que se refiere el artículo 83 contribuirá a asegurar que los datos personales necesarios se transmitan únicamente a los organismos pertinentes en cada caso concreto. Sin embargo, podrían añadirse a la Propuesta actual mayores aclaraciones sobre la forma de transmitir y almacenar los datos, como ya ha hecho la Comisión en otras propuestas (11). En este sentido, el SEPD cree que una cierta armonización de los plazos de almacenamiento no sólo protegería el derecho de los ciudadanos a la protección de sus datos personales, sino que aumentaría la eficacia de la coordinación entre las administraciones de los distintos Estados miembros.

Fundamentos jurídicos para el tratamiento de datos personales

27. La Propuesta establece una variedad de mecanismos por los que los datos personales de los asegurados se transmiten entre los organismos competentes de distintos Estados miembros. Esos intercambios de datos personales pueden dividirse en dos amplias categorías: los efectuados a petición del interesado y los efectuados de oficio, normalmente entre terceros (organismos competentes, empleadores) sin petición específica del interesado. En muchos casos, los organismos pertinentes tratarán y transmitirán datos delicados, en particular datos relativos al estado de salud.

28. Todas esas actividades de tratamiento deberán cumplir las condiciones para el tratamiento de datos personales establecidas en la Directiva: los organismos nacionales competentes y los empleadores pueden tratar los datos únicamente con el consentimiento del interesado o con otro fundamento legítimo, tal como la observancia de una obligación legal o el desempeño de una función de interés público o en el ejercicio del poder público (artículo 7, apartados a), c) y e) de la Directiva). Se aplican unas condiciones más estrictas a los datos sensibles, es decir, a los datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, la salud o la sexualidad (artículo 8 de la Directiva).

29. Con estos antecedentes, el SEPD señala que puede muy bien considerarse que las disposiciones de la Propuesta establecen la obligación legal –de conformidad con el artículo 7.c) de la Directiva– de tratar y transmitir datos relativos a la seguridad social, en la medida en que esta obligación es específica. Por ello, cuando la Propuesta establece una obligación clara de tratar datos personales, las operaciones de tratamiento por los organismos nacionales competentes y por los empleadores podrían basarse en el artículo 7.c) de la Directiva. Por el contrario, cuando la Propuesta no establece directamente esta obligación legal, el tratamiento de datos personales se fundará bien en una obligación legal nacional (no armonizada) específica o en un fundamento jurídico diferente.

30. El artículo 7.e) de la Directiva permite el tratamiento de datos cuando es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos. Eso es lo que ocurre cuando el organismo pertinente trata los datos en el ejercicio de sus funciones o del poder público fundándose en una disposición legal general –nacional o comunitaria– en vez de fundarse en una obligación legal específica. En este caso, es aplicable el derecho de oposición, de conformidad con el artículo 14. a) de la Directiva.

31. El uso del consentimiento como legitimación, de conformidad con el artículo 7.a) de la Directiva, tiene un alcance más limitado respecto del tratamiento de datos personales por los organismos públicos o en las relaciones laborales, ya que el consentimiento que exige el artículo 2.h) de la Directiva únicamente puede considerarse libre si existen alternativas viables para el interesado.

32. En cuanto al tratamiento de datos sensibles (artículo 8 de la Directiva), se aplicarán consideraciones similares a las de los apartados anteriores. El SEPD considera que las obligaciones que dimanan del Derecho laboral (artículo 8.2.b) de la Directiva), otras excepciones (artículo 8.4) o el consentimiento (artículo 8.2.a)) podrían constituir fundamentos jurídicos para el tratamiento de datos delicados relativos a la seguridad social. En ese caso, podría ser necesario establecer salvaguardias específicas, tales como medidas técnicas de compartimentación.

33. En vista de las consideraciones mencionadas, el SEPD señala que cuanto más claramente establezca esta Propuesta obligaciones legales específicas para los organismos competentes y los empleadores que traten datos personales, más fácil y eficaz será su aplicación en los Estados miembros, en lo que respecta a la observancia de las leyes nacionales de protección de datos derivadas de la Directiva. Por esta razón, el SEPD, sin entrar en los detalles de los diversos mecanismos específicos que establece la Propuesta, recomienda al legislador comunitario que vele por que cada uno de los mecanismos propuestos para el tratamiento y la transmisión de datos personales se base claramente bien en una obligación legal específica establecida directamente por la Propuesta o bien en otros fundamentos legítimos para el tratamiento, de conformidad con los artículos 7 y 8 de la Directiva.

Información a los asegurados

34. Es esencial dar una información adecuada a los interesados sobre el tratamiento de sus datos personales y sobre los derechos que los asisten, tal como dispone la Sección IV de la Directiva 95/46. Esto es aún más importante cuando tratan los datos muchos organismos en distintos Estados miembros y, por tanto, los interesados corren el riesgo de perder de vista quién está tratando sus datos personales y con qué fines, y cómo obligarlos a respetar sus derechos.

35. En esta cuestión, el SEPD está firmemente a favor de adelantarse a los acontecimientos: proporcionar a los interesados información exhaustiva en el momento oportuno, a fin de aclarar tanto el uso de la información recabada como sus derechos. A este respecto, el SEPD no sólo respalda la petición del CESE (12) de informar a fondo a todos los posibles usuarios del Reglamento, sino que, además, pide al legislador que añada en la Propuesta una referencia específica a la necesidad de proporcionar a los interesados información explícita y adecuada sobre el tratamiento de sus datos personales. Para ello podría modificarse el artículo 19 (Información de las personas aseguradas), garantizándose así a los asegurados la información necesaria.

Derechos de los interesados

36. Los derechos de los interesados son particularmente relevantes en el contexto de los sistemas de seguridad social, puesto que permiten a los interesados mantener el control sobre sus datos (sensibles), asegurarse de su exactitud y comprobar información sobre cuya base se toman decisiones importantes y se conceden prestaciones. Esto es especialmente importante en un contexto transfronterizo, en que es probable que el margen de error en la transmisión de datos personales sea mayor, dada la necesidad de traducir la información. También merece la pena mencionar que una mayor exactitud de la información, resultante de la observancia de los derechos de los interesados, beneficia no sólo a estos sino también a los organismos de la seguridad social afectados.

37. El SEPD acoge muy favorablemente el artículo 3.2 de la Propuesta, que dispone que los Estados miembros garantizarán a las personas interesadas el derecho de acceso y de rectificación de sus datos personales, respetando las disposiciones comunitarias de protección de de datos personales. No obstante, el SEPD sugiere que se complemente esta disposición con una referencia más amplia a todos los derechos de los interesados, incluido el derecho de oposición (artículo 14 de la Directiva 95/46) y las salvaguardias relativas a las decisiones individuales automatizadas (artículo 15 de la Directiva 95/46).

38. Además, el SEPD recomienda que la Propuesta tenga debidamente en cuenta la necesidad de facilitar a los interesados el ejercicio efectivo de sus derechos en un contexto transfronterizo. En efecto, los afectados tendrán que hacer respetar sus derechos en una situación en que sus datos personales procederán de distintos organismos de dos o más países. Por ello, sería de desear que en esos casos, los derechos de los interesados pudieran ejercerse también directamente a través del organismo que recibe los datos procedentes de otros Estados miembros. Eso significaría que el organismo competente que se encuentra en contacto directo con el asegurado estaría obligado a actuar como «ventanilla única »no sólo respecto de las prestaciones de la seguridad social, sino también respecto de todos los datos personales tratados en relación con esas prestaciones. El asegurado podría entonces ejercer sus derechos respecto de sus datos personales por medio del organismo competente, con independencia del origen de los datos. Por consiguiente, el SEPD invita al legislador a considerar esta posibilidad, también a la luz de los ejemplos que ya se encuentran en otras propuestas de la Comisión (13).

Medidas de seguridad

39. En la Propuesta, la seguridad en el tratamiento de los datos es específicamente pertinente habida cuenta del uso generalizado de herramientas electrónicas en las administraciones públicas de los distintos Estados miembros. Asimismo, en la mayor parte de los casos la transmisión afectará a datos sensibles y, como también señala en CESE, es por ello incluso más importante «garantizar plenamente que estos datos están asegurados adecuadamente y no pueden caer en manos ajenas» (14).

40. A este respecto, el SEPD se congratula del artículo 4 de la Propuesta, que dispone que la transmisión de datos entre los organismos pertinentes «se efectuará por vía electrónica en un entorno seguro común que garantice la confidencialidad y protección de los intercambios de datos». Sin embargo, el SEPD insiste en que este «entorno seguro común», que deberá definir la Comisión administrativa de coordinación de los sistemas de seguridad social (15), tenga debidamente en cuenta las recomendaciones del programa IDABC (16) (prestación interoperable de servicios paneuropeos de administración electrónica al sector público, las empresas y los ciudadanos) en relación con las disposiciones comunitarias de protección de datos y, en particular, con las relativas a la seguridad del tratamiento (artículo 17 de la Directiva). Con esta perspectiva, el SEPD recomienda también que en los trabajos de esta Comisión administrativa en que proceda, participen asesores expertos en la seguridad y protección de los datos.

IV. CONCLUSIONES Y RECOMENDACIONES

41. El SEPD acoge positivamente esta propuesta en la medida en que pretende favorecer la libre circulación de los ciudadanos y mejorar el nivel de vida y las condiciones de trabajo de los ciudadanos que se desplazan dentro de la Unión. En efecto, la coordinación de los sistemas de seguridad social no podría darse sin el tratamiento y la transmisión de distintos tipos de datos personales, en muchos casos de carácter sensible.

42. Sin embargo, también es esencial que este mayor intercambio de datos personales entre las administraciones nacionales de los Estados miembros garantice, al mismo tiempo que proporciona mejores condiciones a la libre circulación de las personas, un elevado grado de protección de los datos personales, preservando con ello uno de los derechos fundamentales de la UE.

43. La Propuesta se basará en el marco armonizado de protección de datos formado por las disposiciones comunitarias de protección de los datos personales y, en particular, por la Directiva 95/46/EC y las leyes por las que se incorpora a los ordenamientos nacionales. El SEPD se alegra de que la aplicabilidad de este marco de protección de datos se invoque tanto en el Reglamento de base como en la Propuesta. No obstante, deben abordarse más a fondo y de forma más explícita cuestiones específicas relativas a la aplicación de los principios de la protección de datos en el marco de la coordinación de los sistemas de seguridad social.

44. Respecto del principio de limitación del uso de los datos para los fines para los que se recogieron, el SEPD considera que la Propuesta respeta las disposiciones básicas de protección de los datos a este respecto. Asimismo, el SEPD observa que, aunque la prohibición de usar datos personales para fines distintos de los relacionados con la seguridad social no figura explícitamente en la Propuesta, dimana de la legislación aplicable sobre protección de datos, lo que permitiría excepciones a este principio general sólo en circunstancias precisas y en condiciones estrictas. A este respecto, el legislador podría pensar en referirse específicamente en la Propuesta a las condiciones en que los datos recogidos a efectos de la seguridad social pueden tratarse con un fin diferente.

45. En cuanto a la proporcionalidad de los datos tratados, organismos competentes y periodos de almacenamiento, el SEPD destaca que en un sistema de tamaña complejidad, en que los datos personales se tratan y transmiten sucesivamente a través de una red asimétrica de organismos, debe prestarse especial atención a velar por que efectúen el tratamiento de los datos los organismos competentes, se almacenen los datos durante un plazo proporcionado y se eviten las duplicaciones de bases de datos. A este respecto, podrían añadirse a la Propuesta otras aclaraciones sobre las formas de transmitir y almacenar los datos.

46. Por lo que hace a los fundamentos jurídicos para el tratamiento de datos personales, el SEPD, sin entrar en los detalles de los diversos mecanismos específicos que establece la Propuesta, recomienda al legislador de la UE que vele por que cada uno de los mecanismos propuestos para el tratamiento y la transmisión de los datos personales se base claramente en una obligación legal establecida directamente por la Propuesta o en otros fundamentos legítimos para el tratamiento, de conformidad con los artículos 7 y 8 de la Directiva.

47. En lo relativo a la información a los asegurados, el SEPD recomienda que se añada en la Propuesta una referencia específica a la necesidad de proporcionar a los interesados información específica y adecuada sobre el tratamiento de sus datos personales.

48. Respecto de los derechos de los interesados, el SEPD acoge muy positivamente el artículo 3.2 de la Propuesta y sugiere que se complemente esta disposición con una referencia más amplia a todos los derechos de los interesados, incluido el derecho de oposición y las salvaguardias relativas a las decisiones individuales automatizadas. Además, el SEPD invita al legislador a facilitar el ejercicio efectivo de los derechos de los interesados en un contexto transfronterizo disponiendo que el organismo competente que se encuentre en contacto directo con el asegurado actúe como «ventanilla única »no sólo respecto de las prestaciones de la seguridad social, sino también respecto de todos los datos tratados en relación con dichas prestaciones.

49. En cuanto a las medidas de seguridad, el SEPD recomienda que el «entorno seguro común »para la transmisión de datos a que se refiere el artículo 4 de la Propuesta tenga debidamente en cuenta las recomendaciones pertinentes sobre protección de datos y seguridad del tratamiento. A este respecto, en los trabajos pertinentes de la Comisión administrativa competente deben participar asesores expertos en seguridad y protección de los datos.

Hecho en Bruselas el 6 de marzo de 2007. Peter HUSTINX Supervisor Europeo de Protección de Datos

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) JO L 166 de 30.4.2004, p. 1.

(4) Todos los años, en diciembre, el SEPD publica un inventario de sus prioridades de asesoramiento para el año siguiente. En él enumera las propuestas más importantes de la Comisión que pueden requerir una reacción pública del SEPD. Se da la mayor prioridad a las propuestas de las que se espera que tengan efectos considerables sobre la protección de datos. El inventario de 2007 se encuentra en el sitio web del SEPD, www.edps.europa.eu

(5) Actualmente, las normas de aplicación se establecen en el Reglamento (CEE) n.o 1408/71 del Consejo, de 14 de junio de 1971, relativo a la aplicación de los regímenes de seguridad social a los trabajadores por cuenta ajena y a sus familias que se desplazan dentro de la Comunidad, DO L 149 de 5.7.1971, p. 2, y en su Reglamento de aplicación, Reglamento (CEE) no 574/72 del Consejo DO L 74 de 27.3.1972, p. 1.

(6) DO C 38 de 12.2.1999, p. 10.

(7) Dictamen del Comité Económico y Social Europeo sobre la «Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se adoptan las normas de aplicación del Reglamento (CE) no 883/2004 sobre la coordinación de los sistemas de seguridad social», DO C 324 de 30.12.2006, p. 59.

(8) Puesto que las disposiciones del Reglamento (CE) no 45/2001 reflejan las de la Directiva 95/46, para mayor comodidad del lector, el presente dictamen hará referencia únicamente a los artículos pertinentes de la Directiva y no a las disposiciones análogas del Reglamento.

(9) Por ejemplo, el artículo 15 del Reglamento (CE) no 883/2004 y el artículo 18 de la propuesta actual se refieren a la transmisión de datos personales relativos a los agentes auxiliares.

(10) El CESE indicaba esto en su dictamen, lamentando la falta de una disposición «que [prohíba] expresamente utilizar los datos con otros objetivos ajenos a los de la seguridad social», como el actual artículo 84.5.b) del Reglamento (CEE) no 1408/71. Dictamen del CESE, apartado 4.10.2.

(11) Un ejemplo reciente de esas disposiciones puede verse en la Propuesta de Reglamento del Consejo relativo a la competencia, la ley aplicable, el reconocimiento y la ejecución de las resoluciones y la cooperación en materia de obligaciones de alimentos (COM(2005) 649 final). En particular, el artículo 46 de dicha propuesta establece la obligación de las autoridades centrales nacionales de destruir la información que hayan recibido de otro Estado miembro en cuanto la hayan remitido al organismo nacional competente. Además, el apartado 3 establece la prohibición explícita de almacenar la información comunicada en virtud del Reglamento por un plazo superior al necesario para el objetivo para el que se comunicó y en todo caso, por un plazo superior a un año. Véase también el dictamen del SEPD sobre esta propuesta, DO C 242 de 7.10.2006, apartados 45-49.

(12) Dictamen del CESE, apartado 1.11.

(13) Constituye un ejemplo reciente la Propuesta de Decisión marco del Consejo relativa a la organización y al contenido del intercambio de información de los registros de antecedentes penales entre los Estados miembros (COM (2005) 690 final). Su artículo 6 permite al interesado ejercer el derecho de acceso a sus datos personales no sólo a través del organismo que controla los datos, sino también a través del organismo del Estado en que reside. Pueden encontrarse otros ejemplos en el Sistema de Información de Schengen.

(14) Dictamen del CESE, apartado 4.10.

(15) Creada en virtud del artículo 71 del Reglamento (CE) no 883/2004. El artículo 4 de la Propuesta dispone que esta Comisión administrativa determinará el formato y el modo de los intercambio de datos.

(16) http://ec.europa.eu/idabc/en/home