El Convenio está abierto a los Estados miembros del Consejo de Europa y a quienes no sean miembros previa invitación. En la actualidad, 66 países son partes en el Convenio, incluidos 26 Estados miembros de la Unión Europea. El Convenio no contempla que la Unión Europea pueda adherirse al Convenio. No obstante, la Unión Europea está reconocida como organización observadora del Comité del Convenio sobre la Ciberdelincuencia («el Comité del Convenio»).

Por todo el mundo se está tratando de mejorar la disponibilidad transfronteriza de las pruebas electrónicas para las investigaciones penales: a nivel nacional, a nivel de la Unión Europea y en los foros internacionales, en particular a través del Protocolo. Es importante garantizar la compatibilidad de las normas en el plano internacional para así evitar conflictos de leyes cuando se soliciten pruebas electrónicas.

La ciberdelincuencia sigue representando un gran problema para nuestra sociedad. A pesar de la labor que desempeñan las autoridades policiales y judiciales, los ciberataques y, especialmente, los ataques con programas de secuestro están aumentando y son cada vez más complejos. En particular, el carácter transfronterizo de internet hace que las investigaciones en materia de ciberdelincuencia se extiendan a más de un territorio estatal, lo que requiere una cooperación estrecha entre las autoridades de distintos países.

Partiendo de esta base, el artículo 14, apartados 2 a 15, establece principios fundamentales de protección de datos, como la limitación de la finalidad, la base jurídica, la calidad de los datos y las reglas aplicables al tratamiento de categorías especiales de datos, obligaciones aplicables a los responsables del tratamiento, especialmente en materia de conservación, llevanza de registros, seguridad y en lo que respecta a las transferencias ulteriores, derechos individuales exigibles, especialmente en materia de notificación, acceso, rectificación y toma de decisiones automatizadas, supervisión independiente y eficaz por parte de una o más autoridades, así como vías de resarcimiento administrativas y judiciales. Las salvaguardias abarcan todas las formas de cooperación establecidas en el Protocolo, con las adaptaciones que sean necesarias para ajustarse a las características específicas de la cooperación directa en cuestión (por ejemplo, en el contexto de la notificación de infracciones). El ejercicio de determinados derechos individuales puede retrasarse, limitarse o denegarse cuando sea necesario y proporcionado para perseguir objetivos importantes de interés público y, en particular, no poner en riesgo las investigaciones policiales en curso, lo que también está en consonancia con el Derecho de la Unión.

El capítulo II del Protocolo dispone medidas para reforzar la cooperación. En primer lugar, el artículo 5, apartado 1, establece que las Partes cooperarán en el marco del Protocolo en la mayor medida posible. El artículo 5, apartados 2 a 5, determina la aplicación de las medidas del Protocolo en relación con los tratados o acuerdos de asistencia mutua en vigor. El artículo 5, apartado 7, establece que las medidas del capítulo II no restringirán la cooperación entre las Partes, o con proveedores de servicios o entidades, que contemplen otros convenios, acuerdos, prácticas o normas de Derecho interno aplicables.

Las disposiciones mencionadas en los párrafos siguientes revisten especial importancia dentro del Protocolo. El Protocolo va acompañado de un Informe explicativo pormenorizado. Aunque el Informe explicativo no constituye un instrumento que dé una interpretación autorizada del Protocolo, su objetivo es «orientar y asistir a las Partes» en la aplicación del Protocolo.

El artículo 14 del Protocolo debe leerse en relación con el artículo 23 del Protocolo. El artículo 23 refuerza la eficacia de las salvaguardias del Protocolo al disponer que el Comité del Convenio sobre la Ciberdelincuencia evaluará la ejecución y aplicación de las medidas adoptadas en la legislación nacional para dar efecto a las disposiciones del Protocolo. En particular, el artículo 23, apartado 3, reconoce explícitamente que la aplicación del artículo 14 por las Partes se evaluará una vez que diez Partes en el Convenio hayan manifestado su consentimiento para obligarse por el Protocolo. Otro ejemplo de salvaguardia, recogida en el artículo 14, apartado 15, es que, cuando una Parte tenga pruebas sustanciales de que otra Parte incumple de forma sistemática o grave las salvaguardias establecidas en el Protocolo, puede suspender la transferencia de datos personales a dicha Parte previa consulta (lo cual no es necesario en caso de urgencia). Los datos personales transferidos antes de la suspensión se seguirán tratando de conformidad con el Protocolo. Por último y habida cuenta del carácter multilateral del Protocolo, el artículo 14, apartado 1, letras b) y c), del Protocolo permite a las Partes acordar en sus relaciones bilaterales, en determinadas condiciones, formas alternativas de garantizar la protección de los datos personales transferidos en virtud del Protocolo. Si bien las salvaguardias del artículo 14, apartados 2 a 15, se aplican por defecto a las Partes que reciben datos personales en virtud del artículo 14, apartado 1, letra b), las Partes vinculadas entre sí por un acuerdo internacional que establezca un marco global de protección de los datos personales en consonancia con los requisitos aplicables de la legislación de las Partes en cuestión también pueden basarse en dicho marco. Es el caso, por ejemplo, del Convenio 108+ (respecto de las Partes que permiten que se realicen transferencias de datos a otras Partes en virtud de dicho Convenio) o del Acuerdo marco UE-EE. UU. (dentro de su ámbito de aplicación, es decir, respecto de la transferencia de datos personales entre autoridades y, en combinación con un acuerdo específico de transferencia entre los Estados Unidos y la UE, respecto de la cooperación directa entre autoridades y proveedores de servicios). Además, basándose en el artículo 14, apartado 1, letra c), las Partes también pueden determinar con carácter mutuo que la transferencia de datos personales tenga lugar basándose en otros acuerdos o convenios entre las Partes en cuestión. En el caso de los Estados miembros de la UE, este acuerdo o convenio alternativo solo puede invocarse respecto de las transferencias de datos realizadas en virtud del Protocolo si dichas transferencias cumplen los requisitos de la normativa de la Unión en materia de protección de datos, a saber, el capítulo V de la Directiva (UE) 2016/680 (Directiva sobre protección de datos en el ámbito penal) y, respecto de la cooperación directa entre autoridades y proveedores de servicios contemplada en los artículos 6 y 7 del Protocolo, el capítulo V del Reglamento (UE) 2016/679 (Reglamento general de protección de datos).

2.2.4.Disposiciones finales

El capítulo IV del Protocolo establece las disposiciones finales. Una de las cosas que garantiza el artículo 15, apartado 1, letra a), es que las Partes puedan regular de modo distinto sus relaciones respecto de las cuestiones contempladas en el Protocolo, en consonancia con el artículo 39, apartado 2, del Convenio. El artículo 15, apartado 1, letra b), garantiza que los Estados miembros de la UE que sean Partes en el Protocolo puedan seguir aplicando el Derecho de la Unión en sus relaciones recíprocas. El artículo 15, apartado 2, determina asimismo que el artículo 39, apartado 3, del Convenio es de aplicación al Protocolo.

El artículo 16, apartado 3, indica que el Protocolo no entrará en vigor hasta que cinco Partes en el Convenio hayan manifestado su consentimiento para obligarse por el Protocolo.

El artículo 19, apartado 1, establece que las Partes pueden formular reservas en relación con el artículo 7, apartado 9, letras a) y b), el artículo 8, apartado 13, y el artículo 17. El artículo 19, apartado 2, establece que las Partes pueden realizar declaraciones en relación con el artículo 7, apartado 2, letra b), y apartado 8, el artículo 8, apartado 11, el artículo 9, apartado 1, letra b), y apartado 5, el artículo 10, apartado 9, el artículo 12, apartado 3, y el artículo 18, apartado 2. El artículo 19, apartado 3, dispone que las Partes pueden realizar las declaraciones, notificaciones o comunicaciones contempladas en el artículo 7, apartado 5, letras a) y e), el artículo 8, apartado 4 y apartado 10, letras a) y b), el artículo 14, apartado 7, letra c), y apartado 10, letra b), y el artículo 17, apartado 2.

El artículo 23, apartado 1, sienta las bases para las consultas entre las Partes, especialmente a través del Comité del Convenio, de conformidad con el artículo 46 del Convenio. El artículo 23, apartado 2, también sienta las bases para valorar el uso y la aplicación de las disposiciones del Protocolo. El artículo 23, apartado 3, garantiza que la valoración del uso y la aplicación del artículo 14, relativo a la protección de datos, no comience hasta que diez Partes hayan manifestado su consentimiento para obligarse por el Protocolo.

2.3.Derecho y política de la Unión en este ámbito

El ámbito regulado por el Protocolo está cubierto en gran medida por normas comunes basadas en el artículo 82, apartado 1, y el artículo 16 del TFUE. El marco jurídico actual de la Unión Europea se compone, en particular, de instrumentos sobre cooperación policial y judicial en materia penal, como la Directiva 2014/41/UE, relativa a la orden europea de investigación en materia penal, el Convenio relativo a la asistencia judicial en materia penal entre los Estados miembros de la Unión Europea y la Decisión Marco 2002/465/JAI del Consejo, sobre equipos conjuntos de investigación. En la dimensión exterior, la Unión Europea ha celebrado una serie de acuerdos bilaterales entre la Unión y terceros países, como los acuerdos de asistencia judicial entre la Unión Europea y los Estados Unidos de América,entre la Unión Europea y Japón y entre la Unión Europea y Noruega e Islandia. También se integra en el marco jurídico actual de la Unión Europea el Reglamento (UE) 2017/1939 del Consejo, por el que se establece una cooperación reforzada para la creación de la Fiscalía Europea. Los Estados miembros que participen en la cooperación reforzada deben velar por que la Fiscalía Europea pueda, en el ejercicio de las competencias que le otorgan los artículos 22, 23 y 25 del Reglamento (UE) 2017/1939, recurrir a la cooperación contemplada en el Protocolo del mismo modo que los fiscales nacionales de dichos Estados miembros. Estos instrumentos y acuerdos se refieren, en particular, a los artículos 8, 9, 10, 11 y 12 del Protocolo.

Además, la Unión ha adoptado varias directivas que refuerzan los derechos procesales de los investigados y encausados. Estos instrumentos se refieren, en particular, a los artículos 6, 7, 8, 9, 10, 11, 12 y 13 del Protocolo. Un conjunto particular de salvaguardias se refiere a la protección de los datos personales, que es un derecho fundamental consagrado en los Tratados de la UE y en la Carta de los Derechos Fundamentales de la Unión Europea. Los datos personales solo pueden tratarse de conformidad con el Reglamento (UE) 2016/679 (el Reglamento general de protección de datos)y la Directiva (UE) 2016/680 (Directiva sobre protección de datos en el ámbito penal). El derecho fundamental de toda persona al respeto de su vida privada y familiar, su domicilio y sus comunicaciones incluye el respeto del secreto de las comunicaciones como un elemento esencial. Los datos de las comunicaciones electrónicas solo pueden tratarse de conformidad con la Directiva 2002/58/CE (Directiva sobre la privacidad y las comunicaciones electrónicas). Estos instrumentos se refieren, en particular, al artículo 14 del Protocolo.

El artículo 14, apartados 2 a 15, del Protocolo establece salvaguardias adecuadas de protección de datos en el sentido de la normativa de protección de datos de la Unión y, en particular, el artículo 46 del Reglamento general de protección de datos y el artículo 37 de la Directiva sobre protección de datos en el ámbito penal, así como la jurisprudencia pertinente del Tribunal de Justicia de la Unión Europea. En consonancia con los requisitos del Derecho de la Unión y con el fin de garantizar la eficacia de las salvaguardias establecidas en el artículo 14 del Protocolo, los Estados miembros deben garantizar la notificación de las personas cuyos datos se hayan transferido, con sujeción a determinadas restricciones, por ejemplo, para no poner en riesgo las investigaciones en curso. El artículo 14, apartado 11, letra c), del Protocolo sienta las bases para que los Estados miembros cumplan este requisito. La compatibilidad del artículo 14, apartado 1, del Protocolo con la normativa de protección de datos de la Unión también exige que los Estados miembros consideren lo siguiente con respecto a las posibles formas alternativas de garantizar una protección adecuada de los datos personales transferidos en virtud del Protocolo. Por lo que se refiere a otros acuerdos internacionales que establezcan un marco global de protección de los datos personales en consonancia con los requisitos aplicables de la legislación de las Partes en cuestión, en virtud del artículo 14, apartado 1, letra b), los Estados miembros deben tener en cuenta que, a efectos de la cooperación directa, el Acuerdo marco UE-EE. UU. debe complementarse con salvaguardias adicionales, que se establecerán en un acuerdo específico de transferencia entre los Estados Unidos y la UE o sus Estados miembros, que tengan en cuenta la especificidad de los requisitos para la transferencia de pruebas electrónicas directamente por los proveedores de servicios y no entre autoridades. Asimismo, de conformidad con el artículo 14, apartado 1, letra b), del Protocolo, los Estados miembros deben considerar que, para los Estados miembros de la UE que son Partes en el Convenio 108+, dicho Convenio no constituye por sí mismo una base adecuada para las transferencias transfronterizas de datos realizadas en virtud del Protocolo a otras Partes en dicho Convenio. A este respecto, deben tener en cuenta la última frase del artículo 14, apartado 1, del Convenio 108+. Por último, por lo que respecta a los otros acuerdos o convenios contemplados en el artículo 14, apartado 1, letra c), los Estados miembros deben considerar que solo pueden basarse en esos otros acuerdos o convenios, bien si la Comisión Europea ha adoptado una decisión de adecuación de conformidad con el artículo 45 del Reglamento general de protección de datos[(UE) 2016/679] o el artículo 36 de la Directiva sobre protección de datos en el ámbito penal [(UE) 2016/680] en relación con el tercer país en cuestión que abarque las transferencias de datos correspondientes, bien si ese otro acuerdo o convenio establece salvaguardias adecuadas de protección de datos con arreglo al artículo 46 del Reglamento general de protección de datos o al artículo 37, apartado 1, letra a), de la Directiva sobre protección de datos en el ámbito penal.

No solo debe tenerse en cuenta el Derecho de la Unión en su estado actual en el ámbito de que se trate, sino también su evolución futura, en la medida en que sea previsible en el momento del análisis. El ámbito regulado por el Protocolo es directamente pertinente para la evolución previsible del Derecho de la Unión en el futuro. A este respecto, procede hacer mención a las propuestas de la Comisión sobre el acceso transfronterizo a las pruebas electrónicas, de abril de 2018.

La Comisión, al tiempo que participaba en las negociaciones en nombre de la Unión, se aseguró de que el Protocolo fuera plenamente compatible con el Derecho de la Unión y con las obligaciones de los Estados miembros derivadas de este. En particular, la Comisión garantizó que las disposiciones del Protocolo permitiesen a los Estados miembros respetar los derechos fundamentales, las libertades y los principios generales del Derecho de la Unión consagrados en los Tratados de la UE y en la Carta de los Derechos Fundamentales de la Unión Europea, especialmente la proporcionalidad, los derechos procesales, la presunción de inocencia y los derechos de defensa de las personas incursas en procesos penales, así como la privacidad y la protección de los datos personales y de las comunicaciones electrónicas cuando se traten dichos datos y, en particular, en las transferencias a las autoridades policiales en países no pertenecientes a la Unión Europea, así como cualquier obligación que incumba a las autoridades policiales y judiciales a este respecto. La Comisión también tuvo en cuenta el dictamen del Supervisor Europeo de Protección de Datos y del Comité Europeo de Protección de Datos.

Además, la Comisión se aseguró de que las disposiciones del Protocolo y las propuestas de la Comisión en materia de pruebas electrónicas fueran compatibles, sobre todo a medida que las iniciativas legislativas evolucionaban en los debates con los colegisladores, y el Protocolo no dé lugar a conflictos de leyes. En particular, la Comisión garantizó que el Protocolo incluyera salvaguardias adecuadas en materia de protección de datos y privacidad, lo que permite a los proveedores de servicios de la UE cumplir las obligaciones que le impone la normativa de la UE en materia de protección de datos y privacidad, dado que el Protocolo establece una base jurídica para las transferencias de datos con motivo de los requerimientos o solicitudes de una autoridad de una Parte en el Protocolo que no pertenezca a la UE que exijan a un responsable o encargado del tratamiento de la UE revelar datos personales o datos de comunicaciones electrónicas.

2.4.Reservas, declaraciones, notificaciones y comunicaciones, y otras consideraciones

El Protocolo sienta las bases para que las Partes puedan formular determinadas reservas y realizar declaraciones, notificaciones o comunicaciones en relación con determinados artículos. Los Estados miembros deben asumir un planteamiento uniforme con respecto a determinadas reservas y las declaraciones, notificaciones y comunicaciones que figuran en el anexo de la presente Decisión. Para garantizar la compatibilidad de la aplicación del Protocolo con el Derecho de la Unión, los Estados miembros de la UE deben adoptar la posición que figura a continuación con respecto a dichas reservas y declaraciones. Cuando el Protocolo sirva de base para otras reservas, declaraciones, notificaciones o comunicaciones, la presente propuesta autoriza a los Estados miembros a realizar sus propias reservas, declaraciones, notificaciones o comunicaciones si lo consideran conveniente.