Dictamen del Comité Económico y Social sobre la "Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos de la Comunidad y sobre la libre circulación de estos datos"

(2000/C 51/13)

El 29 de septiembre de 1999, de conformidad con el artículo 262 del Tratado constitutivo de la Comunidad Europea, el Consejo decidió consultar al Comité Económico y Social sobre la propuesta mencionada.

La Sección de Empleo, Asuntos Sociales y Ciudadanía, encargada de preparar los trabajos del Comité en este asunto, aprobó su Dictamen el 12 de noviembre de 1999 (ponente único: Sr. Retureau).

En su 368o Pleno de los días 8 y 9 de diciembre de 1999 (sesión del 8 de diciembre), el Comité Económico y Social ha aprobado por 117 votos a favor, ningún voto en contra y dos abstenciones el presente Dictamen.

1. Fundamento jurídico, contenido y alcance de la propuesta

1.1. En el documento objeto de examen se describen con claridad el fundamento jurídico y la exposición de motivos de la propuesta de Reglamento. Consiste de hecho en la transposición de la Directiva 95/46/CE(1), de 24 de octubre de 1995, a las instituciones y organismos comunitarios para sus actividades en materia de tratamiento y transmisión de datos personales.

1.2. Las instituciones y organismos comunitarios, y en especial la Comisión, manejan datos personales en su trabajo diario. La Comisión intercambia datos personales con los Estados miembros al aplicar la política agrícola común y los fondos estructurales, al gestionar la unión aduanera y al realizar otras políticas comunitarias.

1.3. Cuando se aprobó la Directiva, la Comisión y el Consejo se comprometieron en una declaración pública a cumplirla y rogaron a las demás instituciones y organismos comunitarios que actuaran de igual forma (declaración conjunta publicada el 24 de octubre de 1995). En la práctica, las disposiciones de la Directiva ya son aplicables a partir de esta fecha en los organismos comunitarios.

1.4. Actualmente, tras la entrada en vigor del Tratado de Amsterdam, el Tratado constitutivo de la Comunidad Europea contiene una disposición específica, el artículo 286, en el que se prevé que, a partir del 1 de enero de 1999, las instituciones y organismos establecidos por el Tratado CE deberán aplicar las normas comunitarias de protección de datos personales, fijadas en su mayor parte por la Directiva 95/46/CE y la Directiva 97/66CE(2). Se prevé igualmente que la aplicación de dichas normas deberá ser controlada por un organismo de vigilancia independiente, establecido con arreglo al procedimiento previsto en el artículo 251, punto que constituye la novedad más importante de la propuesta de Reglamento.

1.5. La actual propuesta de Reglamento tiene por objeto lograr este doble objetivo (con cierto retraso en relación con la fecha de aplicación prevista por el Tratado UE).

1.6. Algunas cuestiones importantes, sin embargo, son de difícil análisis en el estado actual de la propuesta.

1.7. Por ejemplo, la relativa a la definición de las instituciones y organismos comunitarios afectados por el Reglamento: en la lista que figura en anexo a la propuesta se excluye claramente a Europol de las disposiciones previstas. ¿Qué sucede, por ejemplo, con la red informática de Schengen y su autoridad de control específica? ¿Deben permanecer separadas? ¿No puede preverse su unificación? Lo mismo puede decirse de los demás organismos del tercer pilar.

1.8. Otro aspecto importante es que los funcionarios y, en general, las personas que trabajan para los organismos e instituciones comunitarios también están cubiertos por la propuesta, pero -por ejemplo- no se describe con suficiente claridad cómo se articulan las disposiciones propuestas con las del Estatuto de los funcionarios de las Comunidades Europeas (en anexo, no obstante, se prevé la intervención de los comités de personal): ¿Se ha consultado a los representantes del personal? ¿No debería ser objeto de disposiciones específicas distintas el tratamiento de los datos individuales del personal, con el fin de proteger de la manera más eficaz posible la vida privada y los derechos de las personas que trabajan para las Comunidades (ya en el cuestionario de contratación y durante el desarrollo de la carrera, o en la duración del contrato y en el momento de su posible renovación)?

1.9. La propuesta, por último, sólo se refiere a las personas físicas, lo cual refleja los límites de la Directiva de 1995, que excluye a las personas jurídicas de derecho o de hecho, las cuales, sin embargo, son objeto de recogida y tratamiento de datos. No obstante, cabe señalar que las personas jurídicas se ven afectadas por la Directiva de 1995 en la medida en que tratan datos personales relativos a personas físicas o son depositarias de los mismos. Sin embargo, la propuesta objeto de examen se refiere exclusivamente al tratamiento y la difusión de datos por parte de las instituciones comunitarias, los cuales pueden referirse a personas físicas o jurídicas, aunque la protección prevista sólo afecta a las personas físicas.

2. Observaciones generales

2.1. El Consejo, que sin duda tiene perfecto derecho a fijar un plazo para la presentación de los dictámenes, ha fijado no obstante en esta ocasión un plazo muy corto para que el CES emita su dictamen sobre una propuesta de Reglamento complejo e importante, ya que afecta a la protección de los derechos humanos con motivo del tratamiento y la circulación de datos personales.

2.1.1. El Comité habría deseado disponer de más tiempo para participar con más profundidad en un proceso legislativo objeto de codecisión y que afecta directamente a muchos de los miembros de las organizaciones económicas y sociales a las que representa.

2.2. El Comité tuvo ya en el pasado la ocasión de pronunciarse en un Dictamen(3):

a) sobre dos propuestas de Directiva del Consejo relativas a:

- la protección de las personas en lo referente al tratamiento de datos personales;

- la protección de los datos personales y de la intimidad en relación con las redes públicas digitales de telecomunicación y, en particular, la red digital de servicios integrados (RDSI) y las redes móviles digitales públicas; y

b) sobre una propuesta de Decisión del Consejo en el ámbito de la seguridad de la información.

2.3. Los principios generales relativos al tratamiento de datos personales y a las garantías indispensables para el respeto de los derechos individuales y de la vida privada, formulados por el Comité en dicho Dictamen, conservan su actualidad y su pertinencia en relación con la propuesta de Reglamento objeto de examen. Son conformes al Convenio n° 108 del Consejo de Europa(4), que debe servir de guía para la evaluación de la propuesta de Reglamento, en conexión con las legislaciones y las prácticas de los Estados miembros y con la Directiva de 1995.

2.3.1. El Comité pide encarecidamente al Consejo que se remita a los principios y propuestas enunciados en su Dictamen de 1991 y en el presente Dictamen, y los tome plenamente en consideración para poder avanzar en la mayor medida posible con respecto a la Directiva de 1995, habida cuenta de las limitaciones impuestas por el fundamento jurídico, y, en todo caso, los tenga presentes cuando se proceda al nuevo examen con vistas a la posible revisión de la Directiva en la perspectiva de 2001.

2.3.2. El Comité, en efecto, considera que las instituciones y organismos de la Comunidad deben ofrecer la protección y las garantías más elevadas cuando traten datos personales, apoyándose en las normas internacionales y en las legislaciones nacionales más avanzadas y en las mejores prácticas en la materia de los Estados miembros, con el objetivo de dar ejemplo y fomentar una armonización en el progreso, máxime cuando la propuesta, además del tratamiento de los datos, afecta a su libre circulación y a la de los productos de su tratamiento en el interior de la Unión y también en el exterior de sus fronteras.

2.4. La rápida evolución de las tecnologías de la información y de la comunicación, las mayores posibilidades de almacenamiento permanente de los datos en distintos soportes, la sofisticación creciente de las técnicas de tratamiento e interconexión, así como el desarrollo de los medios de transmisión y acceso a la información ponen todavía más de relieve la necesidad de reforzar la protección y las garantías para las personas afectadas, habida cuenta del principio de libre circulación de los datos.

2.4.1. Pero esta evolución de las tecnologías y de los métodos brinda también nuevas posibilidades en materia de protección contra accesos no autorizados, seguridad de transmisión, respeto de la vida privada y ejercicio de los derechos de las personas, incluidos sus derechos de acceso y de corrección u oposición al uso o a la difusión de los datos que las afectan. La referencia prioritaria debe ser el estado de las técnicas disponibles, más que la de su coste, a no ser que este coste resulte desproporcionado en relación con el nivel de seguridad que se desea alcanzar.

2.4.2. La protección de los derechos de las personas y las garantías que se les ofrecen deben integrarse plenamente en la concepción de los instrumentos y de los métodos de recogida, tratamiento, utilización y transmisión de los datos, y cualquier persona que participe en estos distintos niveles, desde la recogida hasta la utilización final, debe responder a unos criterios estrictos de competencia y confidencialidad, cuya posible violación debe ser objeto de sanciones suficientemente disuasorias. La propuesta va esencialmente en este sentido y, considerada en su conjunto, constituye, a juicio del Comité, un texto protector, que contiene garantías y posibilidades de acceso y de recursos administrativos y jurisdiccionales en general satisfactorios.

2.4.3. Cabe señalar progresos en relación con la Directiva de 1995, como la gratuidad de acceso a los datos, y se puede observar que la transposición va acompañada de disposiciones precisas y claras, como la definición de los datos sensibles y de los tipos de tratamiento prohibidos, la definición exacta del concepto de garantías "suficientes" para la transmisión de datos a países u organismos no cubiertos por la Directiva de 1995, la consideración de todas las formas posibles de tratamiento de datos, o bien la constitución de autoridades independientes de supervisión en cada una de las instituciones y organismos comunitarios, las cuales permiten un control a priori de los derechos y libertades y de la vida privada más protector que el control a posteriori.

2.4.4. Convendría, no obstante, mejorar algunas disposiciones, aunque el Comité es consciente de que la redacción presentada por la Comisión no puede exceder del marco de la Directiva de 1995, algunas de cuyas insuficiencias había señalado ya el Comité. Sería necesario, en particular, que las personas jurídicas, e incluso las asociaciones que no son personas jurídicas, se beneficiasen de disposiciones específicas de protección, como, por ejemplo, en materia de confidencialidad y respeto de la imagen de marca para las empresas. Sería conveniente garantizar en cualquier caso esta protección y esforzarse en encontrar las vías adecuadas para realizarla. También sería necesario mejorar las disposiciones propuestas en lo relativo a las autoridades independientes, sobre las cuales el Consejo y el Parlamento Europeo tienen pleno poder legislativo.

2.5. El Comité considera que todas las medidas previstas, desde la recogida al tratamiento y a la transmisión, deben inferirse de finalidades estrictamente definidas y controladas antes del ejercicio, las cuales deben responder a los criterios de legalidad acertadamente expuestos en la propuesta y deben ser indispensables para la actividad de los organismos e instituciones responsables.

2.6. En lo que se refiere al personal que trabaja para las instituciones y organismos comunitarios, el Comité considera que debería dedicarse un capítulo especial a la protección de sus datos personales y al respeto de su vida privada. Este capítulo debería al menos otorgar al futuro supervisor europeo la facultad de fijar, previa consulta a los órganos representativos del personal, las preguntas que no deben formularse con motivo de la contratación, en particular en materia de salud, y la de prohibir, en lo que se refiere a las mujeres, preguntarles si están embarazadas, así como regular los límites del contenido del expediente individual de cada persona. Convendría inspirarse al respecto en la Recopilación de directivas prácticas de la OIT relativas a la protección de los datos individuales de los trabajadores, así como en la Recomendación n° 171 de la OIT sobre los servicios de salud en el trabajo (1985).

2.7. En cuanto a los organismos e instituciones afectados, el Comité comprueba que la propuesta cubre efectivamente todo el ámbito comunitario y, por tanto, suscribe la interpretación del artículo 286 del Tratado CE en lo que se refiere al ámbito de aplicación, que se extiende a todas las instituciones: en efecto, una interpretación restrictiva que, por ejemplo, dejase a Euratom o a la CECA fuera del campo de aplicación habría sido aberrante y contraria a los objetivos que se persiguen.

2.8. No obstante, considerando la comunitarización progresiva del tercer pilar (que no resulta afectado por la Directiva de 1995) y habida cuenta de la necesidad de disponer de un instrumento horizontal que incluya también los datos recogidos, tratados y transmitidos en materia de cooperación judicial y policial, el Comité propone que la competencia del Supervisor Europeo de Protección de Datos se amplíe desde ahora al sistema de información de Schengen y, progresivamente, a todos los convenios del tercer pilar, dentro de los cuales la protección de los datos está concebida actualmente de manera autónoma, con normas y órganos de control específicos, aunque basados en principios comunes. Por lo demás, una protección de esta índole está todavía por crear en lo relativo a la cooperación judicial, donde aún no se ha previsto. Esta sugerencia implica la posibilidad de protocolos adicionales a dichos convenios.

2.9. Partiendo de estas observaciones generales y tomando en consideración todos los elementos nuevos y la evolución que ha tenido lugar desde su anterior Dictamen, el Comité, al tiempo que toma nota de numerosos planteamientos positivos e interesantes, formula algunas sugerencias y recomendaciones más precisas y detalladas en sus observaciones particulares, siguiendo el orden de los capítulos y anexos de la propuesta.

3. Observaciones y recomendaciones particulares

3.1. Artículo 2, letra c), definiciones. El fichero es definido como un "conjunto estructurado de datos": no es necesario que se trate de datos estructurados para poder tratarlos y explotarlos, por lo que bastaría con hablar de un conjunto de datos personales o individuales.

3.2. Artículo 4, letra d), calidad de los datos. Se tomarán todas las medidas "razonables" para la supresión o rectificación de los datos inexactos o incompletos en relación con los fines [del tratamiento]; debería decirse "todas las medidas posibles".

3.2.1. Artículo 5, letra d), legitimación del tratamiento. El Comité suscribe estos criterios de legitimación, pero considera que en este apartado debería hablarse de "consentimiento informado".

3.3. Artículo 6, tratamiento ulterior. Cuando un tratamiento se realiza con fines distintos de los fines iniciales, debería informarse previamente de esta circunstancia a las personas afectadas durante la recogida, o en el momento en que se adopte esta nueva decisión.

3.4. Artículo 9, transmisión de datos.

3.4.1. Apartados 1 a 4: cuando los datos se transmiten a personas u organismos no sujetos a la Directiva 95/46/CE o a países que no hayan ratificado el Convenio 108 del Consejo de Europa, habría que cerciorarse previamente de que el nivel de protección es equivalente (y no solamente "suficiente"; pero éste es el enunciado de la Directiva). No obstante, el Comité toma nota de que las disposiciones prácticas previstas en materia de suficiencia son altamente protectoras.

3.4.2. Apartados 5 y 6: debería informarse previamente de las excepciones al Supervisor Europeo de Protección de Datos, para que pueda estar en condiciones de oponerse a las mismas.

3.5. Artículo 10, apartado 1, tratamientos prohibidos. El enunciado va más allá del correspondiente al artículo 6 del Convenio 108 del Consejo de Europa, salvo en lo que se refiere a las condenas penales tratadas en el punto 10.5 de manera más restrictiva (no están absolutamente prohibidas). El Comité preferiría un enunciado más detallado: "Se prohibirá el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas y, en general, toda convicción u opinión que no esté calificada de delito en virtud del Derecho internacional, la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud, al patrimonio genético o a la sexualidad". Aunque la noción de patrimonio genético debiera comprenderse como ya incluida en la salud, convendría sin duda volver a examinar el enunciado relativo a los tipos de tratamiento prohibidos cuando se proceda a la revisión de la Directiva.

3.6. Artículo 17, notificación a terceros. La posibilidad de excepción al deber de notificación de las modificaciones o de bloqueo de los datos es demasiado amplia e imprecisa.

3.7. Artículo 23, apartado 1, seguridad del tratamiento. El responsable del tratamiento debería garantizar el nivel más elevado posible de seguridad en el tratamiento y la transmisión de datos, habida cuenta del estado de la técnica disponible y siempre que el coste no sea desproporcionado en relación con el nivel de seguridad que se desea obtener.

3.8. Artículo 25. Responsable(s) de la protección de datos, y anexos I y II:

3.8.1. La cuestión central es la independencia y la cualificación de las personas designadas por las propias instituciones y organismos que recogen, tratan y transmiten datos personales.

3.8.2. Las disposiciones previstas protegen a estas personas contra toda presión indebida de las autoridades facultadas para proceder a los nombramientos, que son también sus autoridades jerárquicas y frente a las cuales están en una situación de subordinación.

3.8.3. Estas personas, en efecto, deben quedar expresamente fuera de tal relación de subordinación en lo que se refiere a sus tareas en materia de protección de datos, y depender exclusivamente a este respecto del Supervisor Europeo(5). Esta función no debería estar sujeta a evaluación o calificación por parte de las autoridades jerárquicas, ni afectar negativamente a su carrera en caso de conflicto con dichas autoridades sobre cuestiones relativas a la protección de datos. La duración de su mandato debería ser mayor para garantizar mejor su independencia y permitirles ejercer su función de manera prolongada y segura.

3.8.4. El porcentaje evaluado del tiempo de trabajo que ha de dedicarse a la protección de los datos para las personas delegadas (5 % en general, 10 % de manera más excepcional), así como los medios puestos a su disposición, parecen a primera vista bastante limitados. Conviene que dispongan de libertad y flexibilidad suficientes para ejercer plenamente sus funciones y de medios humanos y materiales adecuados en función de las necesidades.

3.9. Artículo 28. Controles previos por el Supervisor Europeo de Protección de Datos.

3.9.1. El principio que convendría observar debería ser que todo tratamiento que pueda presentar riesgos específicos para los derechos y libertades de los interesados debería ser objeto de un examen previo por parte del supervisor. La existencia o el establecimiento de tratamientos "sensibles" exigen en efecto una reflexión previa en profundidad y la intervención de una autoridad independiente, lo cual está previsto precisamente en el texto, ya que se trata de una garantía fundamental.

3.9.2. Convendría, no obstante, añadir algunos tratamientos a la lista prevista, y, en todo caso, el supervisor debería examinar a priori situaciones como:

- los tratamientos que supongan un nuevo uso de tecnologías existentes;

- los puntos adicionales propuestos por el Comité para el artículo 10;

- los tratamientos que afecten a la policía, la seguridad, el derecho penal, la inmigración y la residencia de personas extracomunitarias (por ejemplo, expedición de visados, regularidad de la residencia);

- los tratamientos que utilicen identificadores de alcance general;

- las interconexiones entre ficheros de distinta finalidad;

- los tratamientos de datos recogidos con otros fines;

- las condiciones de aplicación de tratamientos que constituyan una excepción con respecto a los principios de protección de las personas;

- los tratamientos que utilicen o requieran transmisiones internacionales de datos más allá de las fronteras de la UE;

- las encuestas estadísticas obligatorias y las que afecten a sectores enteros de población o de profesiones.

3.10. Artículo 32: Seguridad en el marco de las redes internas de telecomunicaciones, final del apartado 1. El Comité recomienda modificar el enunciado del modo siguiente: "Teniendo en cuenta el estado y la evolución de los conocimientos técnicos y, en su caso, el coste de su puesta en práctica si resultase desproporcionado en relación con los objetivos perseguidos, estas medidas garantizarán un nivel de seguridad adecuado al riesgo presentado y, permanentemente, a su evolución."

3.11. Autoridad de control

3.11.1. Artículo 38. Supervisor Europeo de Protección de Datos. En el apartado 1 debería precisarse que "se instituye una autoridad independiente de control (...)".

3.11.2. Artículo 39. Nombramiento. La propuesta prevé el nombramiento "de común acuerdo" por parte de la Comisión, el Consejo y el Parlamento Europeo del Supervisor Europeo de Protección de Datos por un mandato de cuatro años renovable (¿cuántas veces?).

3.11.3. El Comité insiste nuevamente en la necesaria independencia del Supervisor Europeo de Protección de Datos, el cual, por tanto, no debería ser nombrado por organismos que, como la Comisión o el Consejo, deben tratar habitualmente, o hacer tratar, datos individuales y garantizar su difusión o transmisión. Al igual que en el caso del Defensor del Pueblo, parece más adecuado y más práctico desde un punto de vista técnico que el nombramiento lo realice el Parlamento Europeo, previa consulta de la Comisión y del Consejo. Un mandato de duración mucho más larga (que podría llegar hasta el doble de la prevista), pero no renovable, podría ser también una garantía adicional de independencia.

3.11.4. Las funciones del Supervisor Europeo de Protección de Datos son especialmente importantes y diversificadas, y los anexos presupuestarios que acompañan a la propuesta parecen un tanto modestos en relación con las exigencias que se le imponen.

3.11.5. El nivel adecuado de los recursos de la futura autoridad y la asignación en número suficiente de personal de elevada competencia técnica son para el Comité necesidades absolutas.

4. Conclusiones

4.1. El Comité habría deseado examinar con más detenimiento el conjunto de las disposiciones objeto de examen, por tratarse de una propuesta de Reglamento que es tan decisiva para la protección de los derechos y las libertades de las personas frente a la administración comunitaria.

4.2. Una propuesta de esta índole representa un trabajo enorme que cabe acoger con satisfacción en vista de las importantes protecciones que propone. Sus límites hay que achacarlos sobre todo a los de la Directiva de 1995. El Comité, no obstante, consciente de los progresos y avances que el Reglamento contiene ya en su estado actual, presenta al Consejo, al Parlamento Europeo y a la Comisión las observaciones generales y particulares del presente Dictamen, esperando que su contribución permita reforzar las garantías de ejercicio de las libertades y derechos de que disfrutan las personas en el espacio comunitario y fuera de él.

4.3. De todas formas, basándose en la evaluación prevista para el año 2001 de la aplicación de la Directiva y en función de las propuestas concretas de revisión que entonces se le presenten para examen, el Comité hará en el momento oportuno propuestas detalladas y completas sobre la naturaleza y el alcance de los cambios que desee que se introduzcan en el texto actual.

Bruselas, 8 de diciembre de 1999.

La Presidenta

del Comité Económico y Social

Beatrice RANGONI MACHIAVELLI

(1) DO L 281 de 23.11.1995, p. 31.

(2) DO L 24 de 30.1.1998, p. 1.

(3) Ponente: Sr. Salmon; Dictamen publicado en el DO C 159 de 17.6.1991, p. 38.

(4) Consejo de Europa -(STE n° 108) Convenio Europeo para la protección de las personas con respecto al tratamiento automatizado de datos con carácter personal. Todos los Estados miembros actuales han ratificado ya este convenio; no sucede lo mismo con la mayoría de los países candidatos.

(5) Disposiciones de esta índole no están previstas, por ejemplo, en el Convenio n° 81 de la OIT sobre la inspección de trabajo.