ES Diario Oficial de la Unión Europea C 160/1

Dictamen del Supervisor Europeo de Protección de Datos relativo a la propuesta de Decisión del Consejo sobre la adopción de una posición de la Unión dentro del Comité Mixto de Cooperación Aduanera UE-EE.UU. en relación con el reconocimiento mutuo del régimen de Operador Económico Autorizado de la Unión Europea y el régimen de Asociación Aduanas-Comercio contra el Terrorismo de los Estados Unidos

2012/C 160/01

EL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS,

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, el artículo 16,

Vista la Carta de los Derechos Fundamentales de la Unión Europea y, en particular, sus artículos 7 y 8,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1),

Visto el Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos, y en particular el artículo 41 (2).

HA ADOPTADO EL SIGUIENTE DICTAMEN:

I. INTRODUCCIÓN

I.1. Consulta al SEPD y objetivo del dictamen

1. El 5 de enero de 2011, la Comisión adoptó una propuesta de Decisión del Consejo sobre la adopción de una posición de la Unión dentro del Comité Mixto de Cooperación Aduanera UE-EE.UU. en relación con el reconocimiento mutuo del régimen de Operador Económico Autorizado de la Unión Europea y el régimen de Asociación Aduanas-Comercio contra el Terrorismo de los Estados Unidos (3) (en adelante, la «propuesta»). Ese mismo día la propuesta se trasladó al SEPD.

2. El SEPD había sido previamente consultado de manera informal y había proporcionado una serie de observaciones informales a la Comisión. El objetivo del presente dictamen es complementar dichas observaciones a la luz de la presente propuesta y exponer públicamente su opinión.

3. El SEPD reconoce que el tratamiento de datos personales no constituye el núcleo de la propuesta. La mayoría de la información tratada no contiene datos personales, tal como se define en la legislación en materia de protección de datos (4). Sin embargo, dicha legislación debe respetarse incluso en aquellas circunstancias en que éste sea el caso, tal como se explica a continuación.

I.2. Contexto de la propuesta

4. El objetivo de la propuesta es establecer el reconocimiento mutuo de los regímenes de cooperación en el ámbito del comercio de la UE y de los EE.UU. (la legislación de la UE relativa a los operadores económicos autorizados (OEA) y la Asociación Aduanas-Comercio contra el Terrorismo (C-TPAT, en sus siglas en inglés) de los EE.UU.) con el fin de facilitar el comercio de los operadores que han invertido en la seguridad de la cadena de suministro y se han acogido a uno de los programas.

5. Las relaciones entre la UE y los EE.UU. en el ámbito aduanero se rigen por el Acuerdo sobre cooperación y asistencia mutua en materia aduanera (ACMA) (5). Dicho acuerdo establece el Comité Mixto de Cooperación Aduanera (CMCA), que está compuesto por representantes de las autoridades aduaneras de la UE y de los EE.UU. El reconocimiento mutuo debe ser establecido mediante una decisión de dicho Comité. Por lo tanto, la propuesta está compuesta por: — una exposición de motivos; — una propuesta de Decisión del Consejo en la que se establece que la UE adoptará una posición en el seno del CMCA conforme a lo establecido en el proyecto de Decisión sobre reconocimiento mutuo; — el proyecto de Decisión que establece el reconocimiento mutuo del OEA de la UE y del C-TPAT de los EE.UU. (en adelante, el «proyecto de Decisión») (6).

6. El proyecto de Decisión deberá ser aplicado por las autoridades aduaneras que hayan establecido un proceso de validación conjunta (proceso de solicitud para la admisión de los operadores, evaluación de las solicitudes, admisión y supervisión del estatuto de operador).

7. El buen funcionamiento del reconocimiento mutuo está basado, por tanto, en el intercambio de información entre las autoridades aduaneras de la UE y de los EE.UU. sobre los operadores comerciales que ya se han acogido a un régimen de cooperación comercial.

II. ANÁLISIS DEL PROYECTO DE DECISIÓN

II.1. Tratamiento de datos relativos a personas físicas

8. Aunque el objetivo del proyecto de Decisión no es el tratamiento de datos personales, alguna de la información intercambiada estará relacionada con personas físicas, en particular si el operador es una persona física (7) o si la razón social de la persona jurídica que actúa como operador identifica a una persona física (8).

9. La importancia de la protección de datos en este contexto ha sido subrayada por el Tribunal de Justicia Europeo en la sentencia Schecke. En opinión del Tribunal, las personas jurídicas pueden acogerse a la protección de los derechos de intimidad y protección de datos, tal como reconoce la Carta de los Derechos Fundamentales de la Unión Europea, si en la razón social de la persona jurídica se identifica a una o varias personas físicas (9). El presente dictamen analizará, por tanto, el modo en que el proyecto de Decisión regula el intercambio de datos personales relativos a los operadores.

II.2. Aplicabilidad del marco de protección de datos de la Unión Europea

10. El tratamiento será llevado a cabo por las autoridades aduaneras definidas en el artículo 1, letra b), del ACMA (10). Dicha definición hace referencia, en la Unión Europea, a los «servicios competentes» de la Comisión Europea y a las autoridades aduaneras de los Estados miembros de la UE. De acuerdo con la legislación europea en materia de protección de datos, el tratamiento por parte de los Estados miembros de la UE está sujeto a lo dispuesto en la Directiva 95/46/CE (en adelante, la «Directiva sobre protección de datos») y a las legislaciones nacionales que aplican dicha Directiva, mientras que el tratamiento de datos personales por parte de las instituciones y organismos de la UE queda sujeto a lo dispuesto en el Reglamento (CE) no 45/2001 (en adelante, el «Reglamento»). Por lo tanto, en el presente caso, resultan de aplicación tanto la Directiva sobre protección de datos como el Reglamento.

II.3. Nivel de protección

11. Los intercambios de información se realizarán en formato electrónico tal y como establece el ACMA. El artículo 17, apartado 2, del ACMA establece que sólo se transferirán datos de carácter personal entre las partes del acuerdo si la parte que los recibe garantiza un nivel de protección al menos equivalente al aplicable a ese caso concreto en el país que los suministra.

12. El SEPD recibe con agrado esta disposición, que se entenderá que tiene por objeto cumplir con la legislación europea en materia de protección de datos. Con arreglo al artículo 25 de la Directiva sobre protección de datos y el artículo 9 del Reglamento, por norma principal los datos únicamente podrán ser transferidos desde la UE a terceros países si el país que los recibe garantiza un nivel de protección «adecuado» (11). El artículo 17, apartado 2, del ACMA parece, de este modo, más estricto que la Directiva sobre protección de datos.

13. Por tanto, debería analizarse sobre la base de todas las circunstancias pertinentes si las autoridades receptoras de los Estados Unidos efectivamente garantizan un nivel de protección equivalente (o al menos un nivel «adecuado»). El análisis del carácter adecuado debe realizarse teniendo en cuenta todas las circunstancias relacionadas con la transferencia o la categoría de transferencias (12).

14. La Comisión Europea no ha considerado que los EE.UU. en su conjunto garanticen un nivel de protección adecuado. A falta de una decisión general sobre el carácter adecuado, los responsables del tratamiento (13), bajo la supervisión de las autoridades de protección de datos (14), podrán decidir si la protección proporcionada en un caso específico es adecuada. Los Estados miembros de la UE (o el SEPD, si son las instituciones u organismos de la UE quienes llevan a cabo las transferencias) también podrán autorizar una transferencia específica o un conjunto de transferencias de datos personales a un tercer país que no garantice un nivel de protección adecuado cuando el responsable del tratamiento ofrezca garantías suficientes (15).

15. Estas decisiones ad hoc sobre el carácter adecuado podrían ser de aplicación en este caso si las autoridades aduaneras nacionales y los servicios de la Comisión Europea responsables en materia aduanera presentan pruebas suficientes que justifican las alegaciones de la adopción de garantías adecuadas por parte de las autoridades aduaneras de los EE.UU. respecto de las transferencias que están previstas en el proyecto de Decisión (16).

16. Sin embargo, el SEPD no tiene suficientes pruebas de que las autoridades aduaneras de los EE.UU. garanticen un nivel de protección de datos que sea «adecuado» o «al menos equivalente al aplicable a ese caso concreto en el país que los suministra», tal como exige el artículo 17, apartado 2, del ACMA.

17. El SEPD insta, por tanto, a que se asegure la disponibilidad de pruebas, tanto para las autoridades nacionales de protección de datos como para el propio SEPD, que demuestren que las autoridades aduaneras de los EE.UU. garantizan un nivel de protección de datos que sea «adecuado» o «al menos equivalente al aplicable a ese caso concreto en el país que los suministra», tal como exige el artículo 17, apartado 2, del ACMA. Esto debería quedar exigido en una disposición del proyecto de Decisión.

18. Por último, las transferencias de datos personales desde la UE a países que no garantizan un nivel de protección «adecuado» también están permitidas si resulta aplicable alguna de las excepciones del artículo 26, apartado 1, de la Directiva sobre protección de datos o del artículo 9, apartado 6, del Reglamento. En este caso en particular, podría argumentarse que la transferencia es «necesaria o legalmente exigida para la salvaguardia de un interés público importante» (17). Sin embargo, estas excepciones deben ser interpretadas de manera restrictiva y no pueden ser la base para transferencias de datos masivas o sistemáticas (18). En opinión del SEPD, estas excepciones serían útiles en el presente caso.

II.4. Limitación a una finalidad específica

19. La sección V, apartado 1, del proyecto de Decisión establece que las autoridades aduaneras receptoras solo podrán tratar los datos intercambiados a los efectos de aplicar el proyecto de Decisión, con arreglo al artículo 17 del ACMA.

20. Sin embargo, la sección V, apartado 3, cuarto guión y el artículo 17, apartado 3, del ACMA también permiten el tratamiento para fines distintos. Considerando que los fines del proyecto de Decisión superan la cooperación aduanera e incluyen la lucha contra el terrorismo, el SEPD recomienda que el texto de la Decisión especifique todos los posibles fines de las transferencias de datos personales. Además, todos los datos transferidos deben ser necesarios y proporcionados para cumplir dichos fines. También debería especificar que los interesados deben estar informados de manera global de todos los fines y condiciones del tratamiento de sus datos personales.

II.5. Categorías de datos que deben intercambiarse

21. Los datos de los miembros de los regímenes de cooperación comercial que pueden ser intercambiados entre las autoridades aduaneras son los siguientes: el nombre; la dirección; el estatuto de operador; la fecha de su validación o autorización; las suspensiones y revocaciones de las que haya sido objeto; la autorización único o número de identificación; y «la información que las autoridades aduaneras hayan podido decidir de mutuo acuerdo, sujeta, en su caso, a las garantías necesarias» (19). Dado que este último campo es demasiado abierto, el SEPD recomienda especificar las categorías de datos que puede incluir.

22. El SEPD destaca asimismo que los datos intercambiados pueden incluir datos relacionados con infracciones y supuestas infracciones, por ejemplo, datos relativos a la suspensión y revocación de la admisión. El SEPD subraya que la legislación europea en materia de protección de datos limita el tratamiento de datos personales relativos a infracciones, condenas penales o medidas de seguridad (20). El tratamiento de dichas categorías de datos podrá estar sujeto a un control previo por parte del SEPD y de las autoridades nacionales de protección de datos de la UE (21).

II.6. Transferencias posteriores

23. La sección V, apartado 3, tercer guión, permite la transferencia de datos a terceros países u organismos internacionales si la información se ha facilitado con el consentimiento previo de la autoridad y de conformidad con las condiciones especificadas por esta última. No deben permitirse transferencias posteriores salvo si así queda justificado.

24. Por lo tanto, parece que la sección V, apartado 3, debería incluir una disposición similar a la incluida en el artículo 17, apartado 2, del ACMA, que establezca que los datos personales sólo pueden ser transferidos a un tercer país si el país receptor garantiza un nivel de protección que sea al menos equivalente al exigido por el proyecto de Decisión. La protección que se concede a los datos personales con arreglo al proyecto de Decisión podría ser eludida de otro modo mediante las transferencias posteriores.

25. Dicha disposición debería en cualquier caso especificar los fines de esas transferencias y las situaciones específicas en las que están permitidas. Asimismo, debería establecer de manera expresa que se valora caso a caso la necesidad y la proporcionalidad de las transferencias internacionales posteriores y que no se permiten las transferencias masivas o sistemáticas. La obligación de informar a los interesados sobre la posibilidad de transferencias internacionales posteriores debería estar incluida en el texto.

II.7. Conservación de los datos

26. El SEPD recibe con agrado la sección V, apartado 2, que prohíbe procesar o mantener la información durante más tiempo del estrictamente necesario para el fin para el que ha sido transferida. Sin embargo, debería establecerse también un período de conservación máximo.

II.8. Seguridad y responsabilidad

27. La sección IV establece que los intercambios de información se realizarán en formato electrónico. En opinión del SEPD, dicha sección debería establecer más detalles sobre el sistema de intercambio de información. En cualquier caso, el sistema elegido debería integrar la protección de datos y la intimidad desde la fase de diseño (intimidad mediante el diseño).

28. En este sentido, el SEPD recibe con agrado las garantías de seguridad previstas en la sección V, apartado 3, primer y segundo guiones, que incluyen controles de acceso, «protección contra el acceso no autorizado, difusión, alteración, eliminación o destrucción» y el control de que los datos únicamente se utilizarán a los efectos de la presente Decisión. Recibe asimismo con agrado los registros de acceso previstos en la sección V, apartado 3, quinto guión.

29. El SEPD recomienda incluir asimismo en dichas disposiciones la obligación de realizar una evaluación de impacto sobre la protección de datos y la intimidad (incluida una evaluación del riesgo) antes de efectuar los intercambios de datos. La evaluación debería incluir una evaluación del riesgo y las medidas previstas contempladas para hacer frente a los riesgos (22). El texto debería especificar que se cumplen estas medidas y deberían realizarse controles y presentarse informes sobre la aplicación de los mismos. Esto es más pertinente teniendo en cuenta la posibilidad de que se tratarán datos sensibles.

II.9. Calidad de los datos y derechos de los interesados

30. El SEPD recibe con agrado la obligación de las autoridades aduaneras de garantizar que la información intercambiada es exacta y actualizada de manera regular (véase la sección V, apartados 2 y 5). Recibe asimismo con agrado la sección V, apartado 4, que garantiza a los operadores que están acogidos a unos de los regímenes el derecho de acceso y de modificación de sus datos personales.

31. Sin embargo, el SEPD destaca que el ejercicio de estos derechos está sujeto a la legislación nacional de la autoridad aduanera. En cuanto a los datos facilitados por las autoridades aduaneras de la Unión Europea, y con el fin de garantizar un nivel de protección «adecuado» (véase el apartado II.3 del presente dictamen), estos derechos sólo deberían quedar limitados si tal limitación es necesaria a fin de salvaguardar un interés económico y financiero importante.

32. El SEPD recibe asimismo con agrado el hecho de que las autoridades aduaneras que reciben los datos estén obligadas a suprimirlos si su recogida o posterior tratamiento infringe el proyecto de Decisión o el ACMA (23). El SEPD desea recordar que, con arreglo al artículo 17, apartado 2, del ACMA, esta disposición sería aplicable a todos los tratamientos que sean contrarios a la legislación europea en materia de protección de datos.

33. El SEPD recibe con agrado la obligación de las autoridades aduaneras de informar a los operadores adscritos a los programas sobre las opciones disponibles para presentar recursos (24). Sin embargo, deberían ser aclaradas cuáles son las opciones de recurso en caso de violaciones de las garantías de protección de datos aseguradas por el proyecto de Decisión. Esta disposición debería especificar también que otros interesados (a saber, los operadores que solicitan la incorporación a los regímenes) también están informados de las opciones disponibles para presentar recursos.

II.10. Supervisión

34. El SEPD recibe con agrado la sección V, apartado 6, que sujeta toda la sección V a una «supervisión y revisión independiente» por parte del Director responsable de la protección de la intimidad (Chief Privacy Officer) del Departamento de Seguridad Interior (Department of Homeland Security), el SEPD y las autoridades nacionales de protección de datos.

35. Debería especificarse que el SEPD y las autoridades nacionales de protección de datos deben supervisar que el nivel de protección concedido a los datos personales por parte de la autoridad aduanera receptora es «adecuado» (véase el apartado III.1.). La sección IV también debería quedar sujeta a una supervisión y una revisión.

III. CONCLUSIÓN

36. El SEPD recibe con agrado las garantías previstas en el proyecto de Decisión, en especial respecto de la seguridad de los datos. Sin embargo, debería asegurarse la disponibilidad tanto para las autoridades nacionales de protección de datos como para el propio SEPD, de las pruebas que demuestren que las autoridades aduaneras de los EE.UU. garantizan un nivel de protección de datos que sea «adecuado» o «al menos equivalente al aplicable a ese caso concreto en el país que los suministra», tal como exige el artículo 17, apartado 2, del ACMA. Esto debería quedar exigido en una disposición del proyecto de Decisión.

37. Además, realiza las siguientes recomendaciones: — especificar el fin o fines de los intercambios de datos previstos en el proyecto de Decisión, que deben ser necesarios y proporcionados, — especificar las categorías de datos incluidos en la sección IV, apartado 3, letra g), — especificar que en caso de que esté justificada la necesidad de transferencias internacionales posteriores, dichas transferencias solo deberían permitirse, caso por caso, para fines compatibles y si el país receptora garantiza un nivel de protección que es al menos equivalente al que concede el proyecto de Decisión, — incluir una obligación de informar a todos los interesados sobre lo anterior, — complementar las disposiciones sobre la seguridad, — especificar períodos máximos de conservación de datos, — no limitar los derechos de los interesados de la Unión Europea salvo si dicha limitación es necesaria a fin de salvaguardar un interés económico y financiero importante, — garantizar el derecho de recurso, — sujetar lo dispuesto en la sección IV a supervisión y revisión, — especificar que el SEPD, las autoridades nacionales de protección de datos de la UE y el Director responsable de la protección de la intimidad del Departamento de Seguridad Interior de los EE.UU. deben supervisar que las garantías aplicadas por la autoridad aduanera receptora para garantizar un nivel de protección adecuado de los datos son eficaces y conformes a los requisitos de la Unión Europea.

38. El SEPD destaca asimismo que la propuesta puede implicar el tratamiento de datos personales relacionados con infracciones y supuestas infracciones. Estos datos están sujetos a salvaguardias más estrictas en virtud de la legislación de la UE y podrán quedar sujetos a un control previo por parte del SEPD y de las autoridades nacionales de protección de datos de la Unión Europea.

Hecho en Bruselas, el 9 de febrero de 2012. Giovanni BUTTARELLI Asistente del Supervisor Europeo de Protección de Datos

(1) DO L 281 de 23.11.1995, p. 31.

(2) DO L 8 de 12.1.2001, p. 1.

(3) COM(2011) 937 final.

(4) Tal como se establece en los puntos 8 a 9 del presente dictamen.

(5) Acuerdo entre la Comunidad Europea y Estados Unidos de América sobre cooperación y asistencia mutua en materia aduanera (DO L 222 de 12.8.1997, p. 17), disponible en http://ec.europa.eu/world/agreements/prepareCreateTreatiesWorkspace/treatiesGeneralData.do?step=0&redirect=true&treatyId=308 (resumen y texto completo).

(6) Propuesta de Decisión del Comité Mixto de Cooperación Aduanera UE-EE.UU. en relación con el reconocimiento mutuo del régimen de la Asociación Aduanas-Comercio contra el Terrorismo de los Estados Unidos y el régimen de Operador Económico Autorizado de la Unión Europea.

(7) Los datos personales se definen en el artículo 2, letra a), de la Directiva 95/46/CE y el artículo 2, letra a), del Reglamento (CE) no 45/2001 como «toda información sobre una persona física identificada o identificable».

(8) Véase asimismo el Dictamen del SEPD sobre la propuesta para una Decisión del Consejo sobre la posición de la Unión en el Comité Mixto de Cooperación Aduanera UE-Japón a propósito del reconocimiento mutuo en la Unión Europea y en Japón de los regímenes de operador económico concertado, disponible en http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:C:2010:190:0002:0006:ES:PDF

(9) Sentencia del Tribunal de Justicia Europeo, de 9 de noviembre de 2010, Volker und Markus Schecke, C-92/09 y C-93/09, apartado 53 (disponible en http://curia.europa.eu/jurisp/cgi-bin/gettext.pl?where=&lang=es&num=79898890C19090092&doc=T&ouvert=T&seance=ARRET).

(10) Véase la sección I, apartado 2, del proyecto de Decisión.

(11) El Reglamento añade que dichas transferencias sólo pueden llevarse a cabo si los datos se transmiten «exclusivamente para permitir el ejercicio de las tareas que son competencia del responsable del tratamiento».

(12) Véanse el artículo 9, apartados 1 y 2, del Reglamento, el artículo 25, apartados 1 y 2, de la Directiva sobre protección de datos y las legislaciones nacionales de incorporación en materia de protección de datos. Véase también el Dictamen del SEPD sobre la Cooperación Aduanera UE-Japón, citado anteriormente.

(13) En estos casos, las autoridades aduaneras de la UE y sus Estados miembros.

(14) En algunos Estados miembros, sólo las autoridades de protección de datos pueden autorizar la transferencia.

(15) Artículo 26, apartado 2, de la Directiva sobre protección de datos y artículo 9, apartado 7, del Reglamento.

(16) Véase asimismo la carta del SEPD «Transfers of personal data to third countries: “adequacy” of signatories to Council of Europe Convention 108 (Case 2009-0333)», disponible en http://www.edps.europa.eu/EDPSWEB/webdav/shared/Documents/Supervision/Adminmeasures/2009/09-07-02_OLAF_transfer_third_countries_EN.pdf

(17) Véanse el artículo 9, apartado 6, letra d), del Reglamento o el artículo 26, apartado 1, letra d), de la Directiva sobre protección de datos, que según el considerando 58 de la Directiva sobre protección de datos incluyen las transferencias entre las autoridades fiscales o aduaneras.

(18) Véase el Dictamen del Grupo de Trabajo del Artículo 29, de 25 de noviembre de 2005, relativo a una interpretación común del artículo 26, apartado 1, de la Directiva 95/46/CE de 24 de octubre de 1995 (WP114), páginas 7 a 9, disponible en http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2005/wp114_es.pdf

(19) Véase la sección IV, apartado 3, letras a) a g), del proyecto de Decisión.

(20) Véanse el artículo 8, apartado 5, de la Directiva 95/46/CE y el artículo 10, apartado 5, del Reglamento (CE) no 45/2001.

(21) Véanse el artículo 27, apartado 2, letra a), del Reglamento (CE) no 45/2001, así como las disposiciones nacionales de aplicación del artículo 20 de la Directiva 95/46/CE.

(22) Como ya prevé el artículo 33 de la nueva propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos) [COM(2012) 11 final].

(23) Véase la sección V, apartado 5, del proyecto de Decisión.

(24) Véase la sección V, apartado 4, última frase.