ES Diario Oficial de la Unión Europea C 162/9

Resumen del Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta por la que se crea un Sistema Europeo de Información y Autorización de Viajes (SEIAV)

[El texto completo del presente dictamen está disponible en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu]

(2017/C 162/06)

La política de gestión de fronteras de la UE ha sido objeto de importantes avances en los últimos años debido al reto que representa la entrada de personas refugiadas y migrantes, así como los problemas de seguridad que pusieron de relieve los atentados perpetrados en París, Bruselas y Niza. La situación actual y la necesidad de garantizar la seguridad dentro del territorio de los Estados miembros hizo que la Comisión pusiera en marcha varias iniciativas legislativas destinadas a mejorar el control sobre las personas que acceden al espacio Schengen.

Una de estas iniciativas es la propuesta de Reglamento por el que se crea un Sistema Europeo de Información y Autorización de Viajes (SEIAV), que la Comisión presentó el 16 de noviembre de 2016.

De acuerdo con la propuesta, el sistema exigiría a los viajeros exentos de visado someterse a una evaluación de riesgos en materia de seguridad, migración irregular y salud pública antes de llegar a las fronteras del espacio Schengen. Esta evaluación se efectuaría comparando los datos presentados por el solicitante a través del SEIAV con los de otros sistemas de información de la UE, una lista de alerta rápida SEIAV específica y normas de control. El resultado de este proceso será la concesión o denegación de una autorización automatizada para entrar a la UE.

Con esta propuesta, el legislador parece seguir la tendencia preponderante consistente en gestionar conjuntamente la seguridad y la migración sin tener en cuenta las importantes distinciones entre estos dos ámbitos. La creación del SEIAV tendría un impacto importante en el derecho a la protección de los datos personales, ya que un amplio espectro de autoridades públicas (por ejemplo, autoridades de inmigración, guardias fronterizas, fuerzas de seguridad, etc.) tendría acceso a diversos tipos de datos, recogidos en un principio con fines muy diferentes. Por este motivo, el SEPD considera que es necesario llevar a cabo una evaluación del impacto que tendrá la propuesta en el derecho a la privacidad y el derecho a la protección de datos, consagrados en la Carta de los Derechos Fundamentales de la UE, que abarque todas las medidas vigentes a nivel de la UE en materia de objetivos de migración y seguridad.

Asimismo, la propuesta suscita preocupación en lo que se refiere al proceso para determinar el riesgo que puede representar el solicitante. A este respecto, es preciso prestar especial atención a la definición de dichos riesgos como tales. Habida cuenta de que la consecuencia para las personas podría ser la denegación de entrada, la legislación deberá definir claramente cuáles son los riesgos que se evalúan. El SEPD cuestiona igualmente la existencia de las normas de control del SEIAV. El SEPD comprende que el objetivo del legislador es crear un instrumento que permita identificar a los nacionales de países terceros exentos de visado sospechosos de representar tales riesgos. No obstante, la elaboración de perfiles, al igual que cualquier otra forma de análisis informático de datos aplicado a personas, plantea serias cuestiones de carácter técnico, legal y ético. Por ello, el SEPD pide que se presenten pruebas convincentes que demuestren la necesidad de utilizar instrumentos de elaboración de perfiles para los fines del SEIAV.

Por otra parte, el SEPD cuestiona la pertinencia de recopilar y procesar datos sobre salud, como se prevé en la propuesta. Pide que se justifique mejor el periodo indicado de conservación de datos y la necesidad de conceder acceso a los cuerpos y fuerzas de seguridad nacionales y Europol.

Por último, presenta recomendaciones, por ejemplo, sobre la división de funciones y responsabilidades entre las distintas entidades implicadas y la arquitectura y seguridad de la información del SEIAV.

I. INTRODUCCIÓN

1. La iniciativa de la Comisión Europea para crear un Sistema Europeo de Información y Autorización de Viajes (en lo sucesivo, «SEIAV») se remonta a la Comunicación de 2008 titulada «Preparación de los próximos pasos en la gestión de las fronteras en la Unión Europea» (1). En esta Comunicación, la Comisión proponía nuevos instrumentos para la gestión futura de las fronteras europeas —en particular el Sistema de Entradas y Salidas («SES») y el Programa de Viajeros Registrados («PVR»)— y consideraba por primera vez la introducción del SEIAV, denominado por entonces Sistema Electrónico de Autorización de Viaje («ESTA», por sus siglas en inglés) de la UE. El SEPD emitió sus observaciones preliminares (2) sobre esta Comunicación ese mismo año.

2. En febrero de 2011, la Comisión publicó un Estudio (3) en el que analizaba cuatro opciones para la introducción de un ESTA en la UE. El estudio llegaba a la conclusión de que en ese momento no se cumplían las condiciones para justificar la creación de un ESTA. En una Comunicación (4) de 2012 relativa a las fronteras inteligentes, la Comisión consideraba que había que descartar temporalmente la creación de un ESTA, pero anunciaba su intención de seguir trabajando en el SES y el PVR.

3. En la Comunicación (5) de 6 de abril de 2016 titulada «Sistemas de información más sólidos e inteligentes para la gestión de las fronteras y la seguridad», la Comisión anunciaba que examinaría la necesidad, viabilidad técnica y proporcionalidad de crear un futuro Sistema de autorización e información sobre viajes. Ese mismo año, la Comisión realizó un estudio de viabilidad, que utilizó para efectuar un análisis comparativo con otros tres sistemas de autorización de viajes ya existentes en el mundo: el ESTA de los Estados Unidos, el eTA de Canadá y el eVisitor de Australia.

4. El 16 de noviembre, la Comisión publicó el Informe final del estudio de viabilidad (6) (en lo sucesivo «Estudio de viabilidad de 2016»), así como la propuesta para la creación del SEIAV (en lo sucesivo, «Propuesta»).

5. El SEPD agradece haber sido consultado de manera informal por los servicios de la Comisión antes de la adopción de la Propuesta. Sin embargo, lamenta que, debido a lo ajustado de los plazos, así como la importancia y complejidad de la Propuesta, no haya sido posible realizar una contribución significativa a tiempo.

V. CONCLUSIÓN

113. El SEPD celebra la atención concedida a la protección de datos en toda la Propuesta por la que se crea el SEIAV.

114. Con pleno respeto por el papel del legislador para evaluar la necesidad y proporcionalidad de las medidas propuestas, el SEPD recuerda que el Tribunal de Justicia de la UE puede examinar esos dos requisitos legales de alto nivel consagrados en la Carta y que el SEPD tiene la tarea de protegerlos. Subraya que la falta de una evaluación de impacto (en materia de protección de datos) impide examinar la necesidad y proporcionalidad del SEIAV, tal como se propone actualmente.

115. Puesto que la Propuesta crea un sistema adicional que procesa una cantidad importante de datos personales de nacionales de terceros países con objetivos de inmigración y seguridad, el SEPD recomienda al legislador que haga un inventario de todas las medidas que implican tratamiento de datos con fines de inmigración y seguridad a nivel de la UE y que lleve a cabo un análisis exhaustivo de sus metas y logros.

116. En este contexto, el SEPD recomienda que se incluya en la Propuesta una definición de riesgos de migración irregular y riesgos de seguridad para cumplir el principio de limitación.

117. Por otra parte, el SEPD está interesado en saber si el uso de las normas de control del SEIAV se ajusta plenamente a los derechos fundamentales consagrados en la Carta. Recomienda que las normas de control propuestas para el SEIAV sean objeto de una evaluación previa exhaustiva de su impacto en los derechos fundamentales. Asimismo, se pregunta si existen hechos objetivos suficientes para justificar la necesidad de utilizar instrumentos de elaboración de perfiles para los fines del SEIAV y, quod non, alienta al legislador a que vuelva a considerar su uso.

118. El SEPD cuestiona la pertinencia y eficiencia de la recopilación y tratamiento de datos de salud, tal como se prevé en la Propuesta, debido a su falta de fiabilidad. Se pregunta igualmente si es necesario el tratamiento de estos datos debido a que existe muy poca relación entre los riesgos de salud y los viajeros exentos de visados.

119. En cuanto al acceso de las fuerzas de seguridad y Europol a los datos del SEIAV, el SEPD destaca que actualmente no existen datos objetivos convincentes que justifiquen la necesidad de dicho acceso. El SEPD recuerda que la necesidad y proporcionalidad de los nuevos regímenes deben evaluarse tanto de forma general, teniendo en cuenta los sistemas informáticos a gran escala que ya existen en la UE, como de forma específica, en el caso concreto de aquellos nacionales de terceros países que visitan y entran legalmente en la UE.

120. Aparte de las principales objeciones antes mencionadas, las recomendaciones del SEPD en el presente Dictamen se refieren a los siguientes aspectos de la Propuesta: — la necesidad y proporcionalidad del conjunto de datos recopilados, — los periodos de conservación de datos previstos, — la interoperabilidad del SEIAV con otros sistemas informáticos, — los derechos de los interesados y los recursos ofrecidos, — el examen independiente de las condiciones de acceso por parte de las fuerzas de seguridad, — la división de las funciones y responsabilidades entre la Guardia Europea de Fronteras y Costas, y eu-LISA, — la verificación por parte de la Unidad Central del SEIAV, — la arquitectura y seguridad de la información del SEIAV, — las estadísticas generadas por el sistema, y — la función del SEPD.

121. El SEPD está a disposición de la Comisión para ofrecerle asesoramiento adicional sobre la Propuesta, incluso en relación con cualquier acto delegado o de ejecución adoptado en virtud de las propuestas de Reglamento que puedan tener un impacto en el tratamiento de los datos personales.

Bruselas, 6 de marzo de 2017. Giovanni BUTTARELLI Supervisor Europeo de Protección de Datos

(1) Comunicación de 13 de febrero de 2008 dela Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones – Preparación de los próximos pasos en la gestión de las fronteras en la Unión Europea, (COM(2008) 69 final.

(2) Observaciones preliminares del SEPD de 3 de marzo de 2008, disponibles en: https://secure.edps.europa.eu/EDPSWEB/webdav/shared/Documents/Consultation/Comments/2008/08-03-03_Comments_border_package_EN.pdf.

(3) Policy study on an EU Electronic System for travel Authorization (EU ESTA) de febrero de 2011 (no traducido al español), disponible en: http://ec.europa.eu/dgs/home-affairs/e-library/docs/pdf/esta_annexes_en.pdf.

(4) Comunicación de la Comisión al Parlamento Europeo y al Consejo, de 25 de octubre de 2011, titulada «Fronteras inteligentes: opciones y camino a seguir», COM(2011) 680 final.

(5) Comunicación de la Comisión al Parlamento Europeo y al Consejo, de 6 de abril de 2016, titulada «Sistemas de información más sólidos e inteligentes para la gestión de las fronteras y la seguridad», COM(2016) 205 final.

(6) Feasibility Study of 16 November 2016 for a European Travel Information and Authorisation System (ETIAS) - Final Report (sin traducción al español) disponible en: https://ec.europa.eu/home-affairs/sites/homeaffairs/files/what-we-do/policies/european-agenda-security/legislative-documents/docs/20161116/etias_feasability_study_en.pdf.