CONCLUSIONES DEL ABOGADO GENERAL

SR. PHILIPPE LÉGER

presentadas el 22 de noviembre de 2005 1( )

Asunto C‑317/04

Parlamento Europeo

contra

Consejo de la Unión Europea

«Protección de las personas físicas en lo que respecta al tratamiento de datos personales – Recurso de anulación – Decisión 2004/496/CE del Consejo – Acuerdo entre la Comunidad Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de datos PNR (“Passenger Name Records”)»

Asunto C‑318/04

Parlamento Europeo

contra

Comisión de las Comunidades Europeas

«Recurso de anulación – Decisión 2004/535/CE de la Comisión, relativa al carácter adecuado de la protección de los datos personales incluidos en los registros de nombres de los pasajeros que se transfieren al Servicio de aduanas y protección de fronteras de los Estados Unidos – Directiva 95/46/CE»

Índice

I. Antecedentes del litigio

II. Marco jurídico de los dos asuntos

A. Tratado UE

B. Tratado constitutivo de la Comunidad Europea

C. Derecho europeo en materia de protección de datos personales

III. Decisiones impugnadas

A. Decisión de adecuación

B. Decisión del Consejo

IV. Motivos invocados por el Parlamento en los dos asuntos

V. Sobre el recurso por el que se solicita la anulación de la Decisión de adecuación (asunto C‑318/04)

A. Sobre el motivo basado en que la Comisión incurrió en desviación de poder al adoptar la Decisión de adecuación

1. Alegaciones de las partes

2. Apreciación

B. Sobre los motivos basados en la vulneración de derechos fundamentales y en la violación del principio de proporcionalidad

VI. Sobre el recurso por el que se solicita la anulación de la Decisión del Consejo (asunto C‑317/04)

A. Sobre el motivo basado en la elección errónea del artículo 95 CE como base jurídica de la Decisión del Consejo

1. Alegaciones de las partes

2. Apreciación

B. Sobre el motivo basado en la infracción del artículo 300 CE, apartado 3, párrafo segundo, debido a una modificación de la Directiva 95/46

1. Alegaciones de las partes

2. Apreciación

C. Sobre los motivos basados en la vulneración del derecho a la protección de los datos personales y en la violación del principio de proporcionalidad

1. Alegaciones de las partes

2. Apreciación

a) Sobre la existencia de una injerencia en la vida privada

b) Sobre la justificación de la injerencia en la vida privada

i) ¿La injerencia está prevista por la ley?

ii) ¿La injerencia persigue un fin legítimo?

iii) ¿Es necesaria la injerencia en una sociedad democrática para alcanzar tal fin?

D. Sobre el motivo basado en que la Decisión del Consejo no está suficientemente motivada

E. Sobre el motivo basado en la violación del principio de cooperación leal previsto en el artículo 10 CE

VII. Costas

VIII. Conclusión

1. El Parlamento Europeo interpuso dos recursos de anulación ante el Tribunal de Justicia, en virtud del artículo 230 CE. En el asunto Parlamento/Consejo (C‑317/04), el recurso tiene por objeto la anulación de la Decisión del Consejo, de 17 de mayo de 2004, relativa a la celebración de un Acuerdo entre la Comunidad Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de los datos de los expedientes de los pasajeros por las compañías aéreas al Departamento de seguridad nacional, Oficina de aduanas y protección de fronteras, de los Estados Unidos. ( ) En el asunto Parlamento/Comisión (C‑318/04), el Parlamento solicita la anulación de la Decisión de la Comisión, de 14 de mayo de 2004, relativa al carácter adecuado de la protección de los datos personales incluidos en los registros de nombres de los pasajeros que se transfieren al Servicio de aduanas y protección de fronteras de los Estados Unidos. ( )

2. En estos dos asuntos se insta al Tribunal de Justicia a que se pronuncie sobre la problemática existente en torno a la protección de los datos personales de los pasajeros de vuelos cuando, para justificar la transferencia y el tratamiento de dichos datos en un país tercero, en este caso, los Estados Unidos, ( ) se invoquen imperativos relacionados con la seguridad pública y de carácter penal, tales como la prevención y la lucha contra el terrorismo y otros delitos graves.

3. Ambos asuntos encuentran su origen en una serie de acontecimientos que procede exponer a continuación. Seguidamente, detallaré el contexto jurídico en que éstos se inscriben.

I. Antecedentes del litigio

4. Al día siguiente de producirse los ataques terroristas de 11 de septiembre de 2001, los Estados Unidos adoptaron una normativa conforme a la cual las compañías aéreas que efectúen vuelos con destino, procedencia o sobre el territorio de los Estados Unidos deberán facilitar el acceso electrónico a los datos contenidos en sus sistemas automáticos de reserva y de control de salidas, denominados «Passenger Name Records» (en lo sucesivo, «PNR»). ( ) Aun reconociendo la legitimidad de los intereses de seguridad en juego, la Comisión de las Comunidades Europeas informó a las autoridades de los Estados Unidos, desde el mes de junio de 2002, de que dichas normas podrían entrar en conflicto con la normativa comunitaria y con la de los Estados miembros en materia de protección de datos personales, así como con determinadas disposiciones del Reglamento sobre la utilización de sistemas informatizados de reserva (SIR). ( ) Las autoridades de los Estados Unidos aplazaron la entrada en vigor de la nueva normativa, pero se negaron a renunciar a imponer sanciones a las compañías aéreas que no se atuvieran a lo dispuesto en dicha normativa después del 5 de marzo de 2003. Desde entonces, numerosas compañías aéreas, con domicilio social en los Estados miembros, han facilitado a las autoridades estadounidenses el acceso a sus PNR.

5. La Comisión entabló negociaciones con las autoridades estadounidenses, que dieron lugar a la elaboración de un documento que contenía los Compromisos por parte del CBP con vistas a la adopción de una Decisión de la Comisión que tenía por objeto declarar el carácter adecuado del nivel de protección de los datos personales propuesto por los Estados Unidos, con fundamento en el artículo 25, apartado 6, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. ( )

6. El 13 de junio de 2003, el grupo denominado «Grupo del artículo 29» sobre protección de datos ( ) emitió un dictamen en el que expresó ciertas dudas en cuanto al nivel de protección garantizado por estos Compromisos respecto al tratamiento de los datos en cuestión. ( ) Reiteró sus dudas en otro dictamen de 29 de enero de 2004. ( )

7. El 1 de marzo de 2004, la Comisión sometió al Parlamento el proyecto de Decisión de adecuación, acompañado del proyecto de Declaración de Compromisos del CBP.

8. El 17 de marzo 2004, la Comisión transmitió al Parlamento, en la perspectiva de la consulta a este último con arreglo al artículo 300 CE, apartado 3, párrafo primero, una propuesta de Decisión del Consejo de la Unión Europea relativa a la celebración de un Acuerdo entre la Comunidad y los Estados Unidos. Mediante escrito de 25 de marzo de 2004, el Consejo solicitó, refiriéndose al procedimiento de urgencia previsto en el artículo 112 del Reglamento del Parlamento (actualmente artículo 134), el dictamen del Parlamento sobre esta propuesta, a más tardar, para el 22 de abril de 2004. En su escrito, el Consejo subrayaba que «[l]a lucha contra el terrorismo, que justifica las medidas propuestas, constituye una prioridad esencial de la Unión Europea. Actualmente, las compañías aéreas y los pasajeros se encuentran en una situación de incertidumbre que ha de remediarse urgentemente. Además, es esencial la protección de los intereses financieros de las partes afectadas».

9. El 31 de marzo de 2004, en virtud del artículo 8 de la Decisión del Consejo, de 28 de junio de 1999, por la que se establecen los procedimientos para el ejercicio de las competencias de ejecución atribuidas a la Comisión, ( ) el Parlamento adoptó una resolución en la que expresaba ciertas reservas de orden jurídico sobre este planteamiento. En particular, el Parlamento consideró que el proyecto de Decisión de adecuación excedía las competencias conferidas a la Comisión por el artículo 25 de la Directiva 95/46. Instó a la celebración de un acuerdo internacional apropiado que respetase los derechos fundamentales, y pidió a la Comisión que le sometiese un nuevo proyecto de decisión. Además, se reservó su facultad de solicitar al Tribunal de Justicia la verificación de la legalidad del acuerdo internacional proyectado y, en particular, de la compatibilidad de éste con la protección del derecho al respeto de la vida privada.

10. El 21 de abril de 2004, el Parlamento aprobó, a instancias de su Presidente, una recomendación de la Comisión jurídica y del Mercado Interior con el objeto de solicitar al Tribunal de Justicia, con arreglo al artículo 300 CE, apartado 6, un dictamen sobre la compatibilidad del acuerdo proyectado con el Tratado, procedimiento que fue iniciado ese mismo día. El Parlamento decidió igualmente, en la misma fecha, devolver a comisión el informe sobre la propuesta de Decisión del Consejo, lo que suponía implícitamente la denegación, en esta fase, de la solicitud de urgencia del Consejo de 25 de marzo de 2004.

11. El 28 de abril de 2004, el Consejo, basándose en el artículo 300 CE, apartado 3, párrafo primero, dirigió un escrito al Parlamento solicitándole que emitiera un dictamen sobre la celebración del acuerdo antes del 5 de mayo de 2004. Para justificar la urgencia, el Consejo reprodujo los motivos señalados en su escrito de 25 de marzo de 2004. ( )

12. El 30 de abril de 2004, el Secretario del Tribunal de Justicia informó al Parlamento de que éste había fijado el 4 de junio de 2004 como plazo para que los Estados miembros, el Consejo y la Comisión presentaran sus observaciones respecto a la solicitud de dictamen 1/04.

13. El 4 de mayo de 2004, el Parlamento denegó la solicitud de urgencia que le había presentado el Consejo el 28 de abril. ( ) A los dos días, el Presidente del Parlamento se dirigió al Consejo y a la Comisión instándoles a que suspendieran sus planes hasta que el Tribunal de Justicia hubiese adoptado el dictamen solicitado el 21 de abril de 2004.

14. El 14 de mayo de 2004, la Comisión adoptó la Decisión relativa al carácter adecuado de la protección de los datos personales incluidos en los registros de nombres de los pasajeros de vuelos que se transfieren al CBP, de conformidad con el artículo 25, apartado 6, de la Directiva 95/46.

15. El 17 de mayo de 2004, el Consejo adoptó la Decisión relativa a la celebración de un Acuerdo entre la Comunidad y los Estados Unidos sobre el tratamiento y la transferencia de los datos PNR por las compañías aéreas al CBP.

16. Mediante escrito de 9 de julio de 2004, el Parlamento informó al Tribunal de Justicia de que retiraba su solicitud de dictamen 1/04. ( ) Posteriormente, decidió acudir a la vía contenciosa para resolver las divergencias que mantiene con el Consejo y la Comisión.

II. Marco jurídico de los dos asuntos

A. Tratado UE

17. Con arreglo al artículo 6 UE:

«1. La Unión se basa en los principios de libertad, democracia, respeto de los derechos humanos y de las libertades fundamentales y el Estado de Derecho, principios que son comunes a los Estados miembros.

2. La Unión respetará los derechos fundamentales tal y como se garantizan en el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales firmado en Roma el 4 de noviembre de 1950, y tal y como resultan de las tradiciones constitucionales comunes a los Estados miembros como principios generales del Derecho comunitario.

[…]»

B. Tratado constitutivo de la Comunidad Europea

18. El artículo 95 CE, apartado 1, establece:

«No obstante lo dispuesto en el artículo 94 y salvo que el presente Tratado disponga otra cosa, se aplicarán las disposiciones siguientes para la consecución de los objetivos enunciados en el artículo 14. El Consejo, con arreglo al procedimiento previsto en el artículo 251 y previa consulta al Comité Económico y Social, adoptará las medidas relativas a la aproximación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros que tengan por objeto el establecimiento y el funcionamiento del mercado interior.»

19. En cuanto al procedimiento de celebración de acuerdos internacionales por la Comunidad, el artículo 300 CE, apartado 2, párrafo primero, prevé en su primera frase que «[s]in perjuicio de las competencias reconocidas a la Comisión en este ámbito, la firma […] y la celebración de los acuerdos serán decididas por el Consejo, por mayoría cualificada, a propuesta de la Comisión».

20. El artículo 300 CE, apartado 3, tiene el siguiente tenor literal:

«Salvo para los acuerdos contemplados en el apartado 3 del artículo 133, el Consejo concluirá los acuerdos previa consulta al Parlamento Europeo, incluso cuando se trate de un ámbito en el que resulte necesario el procedimiento contemplado en el artículo 251 o el contemplado en el artículo 252 para la adopción de reglas internas. El Parlamento Europeo emitirá su dictamen en un plazo que el Consejo podrá fijar según la urgencia. De no mediar dictamen al término de dicho plazo, el Consejo podrá pronunciarse sin él.

No obstante lo dispuesto en el párrafo anterior, se concluirán previo dictamen conforme del Parlamento Europeo los acuerdos contemplados en el artículo 310 así como los demás acuerdos que creen un marco institucional específico al organizar procedimientos de cooperación, los acuerdos que tengan implicaciones presupuestarias importantes para la Comunidad y los acuerdos que impliquen una modificación de un acto aprobado con arreglo al procedimiento previsto en el artículo 251.

En caso de urgencia, el Consejo y el Parlamento Europeo podrán fijar un plazo para la emisión del dictamen conforme.»

C. Derecho europeo en materia de protección de datos personales

21. El artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales (en lo sucesivo, «CEDH») establece:

«1. Toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de su correspondencia.

2. No podrá haber injerencia de la autoridad pública en el ejercicio de ese derecho, sino en tanto en cuanto esta injerencia esté prevista por la Ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, o la protección de los derechos y libertades de los demás.»

22. El Derecho europeo en materia de protección de datos se diseñó inicialmente bajo los auspicios del Consejo de Europa. El Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal quedó así abierto a la firma de los Estados miembros del Consejo de Europa, en Estrasburgo, el 28 de enero de 1981. ( ) El fin de este Convenio es garantizar, en el territorio de cada parte, a cualquier persona física, sean cuales fueren su nacionalidad o su residencia, el respeto de sus derechos y libertades fundamentales, concretamente su derecho a la vida privada, con respecto al tratamiento automatizado de los datos de carácter personal correspondientes a dicha persona.

23. Por lo que se refiere a la Unión Europea, además del artículo 7 relativo al respeto de la vida privada y familiar, el artículo 8 de la Carta de los derechos fundamentales de la Unión Europea ( ) consagra específicamente la protección de los datos de carácter personal. Su tenor literal es el siguiente:

«1. Toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan.

2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que la conciernan y a su rectificación.

3. El respeto de estas normas quedará sujeto al control de una autoridad independiente.»

24. Por lo que se refiere al Derecho comunitario primario, el artículo 286 CE prevé en su apartado 1, que «[a] partir del 1 de enero de 1999, los actos comunitarios relativos a la protección de las personas respecto del tratamiento de datos personales y a la libre circulación de dichos datos serán de aplicación a las instituciones y organismos establecidos por el presente Tratado o sobre la base del mismo». ( )

25. En el Derecho comunitario derivado, la norma de base en la materia la constituye la Directiva 95/46. ( ) La inspiración que representaron los documentos emanados del Consejo de Europa resulta explícitamente de los considerandos décimo y undécimo de dicha Directiva. El considerando décimo establece, en efecto, que «las legislaciones nacionales relativas al tratamiento de datos personales tienen por objeto garantizar el respeto de los derechos y libertades fundamentales, particularmente del derecho al respeto de la vida privada reconocido en el artículo 8 del [CEDH], así como en los principios generales del Derecho comunitario; […] por lo tanto, la aproximación de dichas legislaciones no debe conducir a una disminución de la protección que garantizan sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad». Además, el considerando undécimo de la Directiva 95/46 señala que «los principios de la protección de los derechos y libertades de las personas y, en particular, del respeto de la intimidad, contenidos en la presente Directiva, precisan y amplían los del Convenio [nº 108]».

26. Adoptada sobre la base del artículo 100 A del Tratado CE (actualmente artículo 95 CE, tras su modificación), la Directiva 95/46 tiene su origen en la idea recogida en el considerando tercero, a cuyo tenor «el establecimiento y funcionamiento del mercado interior […] hacen necesaria no sólo la libre circulación de datos personales de un Estado miembro a otro, sino también la protección de los derechos fundamentales de las personas». Más concretamente, el legislador comunitario partió de la observación de que «las diferencias entre los niveles de protección de los derechos y libertades de las personas y, en particular, de la intimidad, garantizados en los Estados miembros por lo que respecta al tratamiento de datos personales, pueden impedir la transmisión de dichos datos del territorio de un Estado miembro al de otro», ( ) lo cual puede tener por efecto, en particular, que se obstaculice el ejercicio de actividades a escala comunitaria y se falsee la competencia. Además, el legislador comunitario consideró que «para eliminar los obstáculos a la circulación de datos personales, el nivel de protección de los derechos y libertades de las personas, por lo que se refiere al tratamiento de dichos datos, debe ser equivalente en todos los Estados miembros». ( ) Este planteamiento debe tener por resultado que, «a causa de la protección equivalente que resulta de la aproximación de las legislaciones nacionales, los Estados miembros ya no podrán obstaculizar la libre circulación entre ellos de datos personales por motivos de protección de los derechos y libertades de las personas físicas, y, en particular, del derecho a la intimidad». ( )

27. El artículo 1 de la Directiva 95/46, que lleva por título «Objeto de la Directiva», recoge dicho planteamiento en los siguientes términos:

«1. Los Estados miembros garantizarán, con arreglo a las disposiciones de la presente Directiva, la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales.

2. Los Estados miembros no podrán restringir ni prohibir la libre circulación de datos personales entre los Estados miembros por motivos relacionados con la protección garantizada en virtud del apartado 1.»

28. El artículo 2 de dicha Directiva define, en particular, los conceptos de «datos personales», «tratamiento de datos personales» y «responsable del tratamiento».

29. De este modo, según el artículo 2, letra a), de la Directiva 95/46, se entenderá por datos personales «toda información sobre una persona física identificada o identificable […]; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social».

30. El tratamiento de tales datos comprende, con arreglo al artículo 2, letra b), de dicha Directiva, «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción».

31. El artículo 2, letra d), de la Directiva 95/46 define al responsable del tratamiento como «la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales […]».

32. En cuanto al ámbito material de aplicación de la Directiva 95/46, el artículo 3, apartado 1, prevé que sus disposiciones «se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero».

33. El artículo 3, apartado 2, de dicha Directiva da a conocer uno de los límites del ámbito material de aplicación de ésta, al establecer que:

«Las disposiciones de la presente Directiva no se aplicarán al tratamiento de datos personales:

– efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario, como las previstas por las disposiciones de los títulos V y VI del Tratado de la Unión Europea y, en cualquier caso, al tratamiento de datos que tenga por objeto la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dicho tratamiento esté relacionado con la seguridad del Estado) y las actividades del Estado en materia penal;

[…]»

34. El capítulo II de la Directiva 95/46 está dedicado a las «[c]ondiciones generales para la licitud del tratamiento de datos personales». Dentro de este capítulo, la sección I versa sobre los «[p]rincipios relativos a la calidad de los datos». El artículo 6 enumera los principios denominados de lealtad, licitud, finalidad, proporcionalidad y exactitud en el tratamiento de datos personales. Dicho artículo establece textualmente:

«1. Los Estados miembros dispondrán que los datos personales sean:

a) tratados de manera leal y lícita;

b) recogidos con fines determinados, explícitos y legítimos, y no sean tratados posteriormente de manera incompatible con dichos fines […];

c) adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente;

d) exactos y, cuando sea necesario, actualizados […];

e) conservados en una forma que permita la identificación de los interesados durante un período no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente […].

2. Corresponderá a los responsables del tratamiento garantizar el cumplimiento de lo dispuesto en el apartado 1.»

35. Por otro lado, la sección II del capítulo II de dicha Directiva se dedica a los «[p]rincipios relativos a la legitimación del tratamiento de datos». Con arreglo al artículo 7, que forma esta sección:

«Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:

a) el interesado ha dado su consentimiento de forma inequívoca, o

b) es necesario para la ejecución de un contrato en el que el interesado sea parte o para la aplicación de medidas precontractuales adoptadas a petición del interesado, o

c) es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento […]»

36. En cuanto a los datos personales comúnmente calificados de sensibles, el artículo 8, apartado 1, enuncia el principio de la prohibición de su tratamiento. En efecto, prevé que «[l]os Estados miembros prohibirán el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud o a la sexualidad». Este principio de prohibición conoce, sin embargo, varias excepciones, cuyo contenido y régimen se detallan en los apartados siguientes del mismo artículo.

37. Con arreglo al artículo 13, apartado 1, de la Directiva 95/46, que lleva por título «Excepciones y limitaciones»:

«Los Estados miembros podrán adoptar medidas legales para limitar el alcance de las obligaciones y los derechos previstos en el apartado 1 del artículo 6, en el artículo 10, en el apartado 1 del artículo 11, y en los artículos 12 y 21 cuando tal limitación constituya una medida necesaria para la salvaguardia de:

a) la seguridad del Estado;

b) la defensa;

c) la seguridad pública;

d) la prevención, la investigación, la detección y la represión de infracciones penales o de las infracciones de la deontología en las profesiones reglamentadas;

e) un interés económico y financiero importante de un Estado miembro o de la Unión Europea, incluidos los asuntos monetarios, presupuestarios y fiscales;

f) una función de control, de inspección o reglamentaria relacionada, aunque sólo sea ocasionalmente, con el ejercicio de la autoridad pública en los casos a que hacen referencia las letras c), d) y e);

g) la protección del interesado o de los derechos y libertades de otras personas.»

38. Del mismo modo, el legislador comunitario ha querido que el régimen protector así establecido no se vea comprometido cuando los datos personales salgan del territorio comunitario. En efecto, se había observado que la dimensión internacional de los flujos de información ( ) haría insuficiente, si no inútil, la existencia de una normativa cuya eficacia se limitara estrictamente a dicho territorio. El legislador comunitario ha optado, por tanto, por un sistema que exija, para que se admita la transferencia de datos personales a un país tercero, que dicho país garantice a estos datos un «nivel de protección adecuado».

39. El legislador comunitario establece así la regla según la cual «cuando un país tercero no ofrezca un nivel de protección adecuado debe prohibirse la transferencia al mismo de datos personales». ( )

40. En esta perspectiva, el artículo 25 de la Directiva 95/46 establece los principios a los cuales se someten las transferencias de datos personales a países terceros:

«1. Los Estados miembros dispondrán que la transferencia a un país tercero de datos personales que sean objeto de tratamiento o destinados a ser objeto de tratamiento con posterioridad a su transferencia, únicamente pueda efectuarse cuando, sin perjuicio del cumplimiento de las disposiciones de Derecho nacional adoptadas con arreglo a las demás disposiciones de la presente Directiva, el país tercero de que se trate garantice un nivel de protección adecuado.

2. El carácter adecuado del nivel de protección que ofrece un país tercero se evaluará atendiendo a todas las circunstancias que concurran en una transferencia o en una categoría de transferencias de datos; en particular, se tomará en consideración la naturaleza de los datos, la finalidad y la duración del tratamiento o de los tratamientos previstos, el país de origen y el país de destino final, las normas de Derecho, generales o sectoriales, vigentes en el país tercero de que se trate, así como las normas profesionales y las medidas de seguridad en vigor en dichos países.

3. Los Estados miembros y la Comisión se informarán recíprocamente de los casos en que consideren que un tercer país no garantiza un nivel de protección adecuado con arreglo al apartado 2.

4. Cuando la Comisión compruebe, con arreglo al procedimiento establecido en el apartado 2 del artículo 31, que un tercer país no garantiza un nivel de protección adecuado con arreglo al apartado 2 del presente artículo, los Estados miembros adoptarán las medidas necesarias para impedir cualquier transferencia de datos personales al tercer país de que se trate.

5. La Comisión iniciará en el momento oportuno las negociaciones destinadas a remediar la situación que se produzca cuando se compruebe este hecho en aplicación del apartado 4.

6. La Comisión podrá hacer constar, de conformidad con el procedimiento previsto en el apartado 2 del artículo 31, que un país tercero garantiza un nivel de protección adecuado de conformidad con el apartado 2 del presente artículo, a la vista de su legislación interna o de sus compromisos internacionales, suscritos especialmente al término de las negociaciones mencionadas en el apartado 5, a efectos de protección de la vida privada o de las libertades o de los derechos fundamentales de las personas.

Los Estados miembros adoptarán las medidas necesarias para ajustarse a la decisión de la Comisión.»

41. Por último, procede señalar que, en el marco del título VI del Tratado UE, relativo a la cooperación policial y judicial en materia penal, la protección de los datos personales se rige por varios instrumentos específicos. Se trata, en particular, de instrumentos que instauran sistemas de información comunes a nivel europeo, tales como el Convenio de aplicación del Acuerdo de Schengen, ( ) que contiene disposiciones específicas sobre la protección de datos en el marco del sistema de información de Schengen (SIS); ( ) el Convenio basado en el artículo K.3 del Tratado de la Unión Europea, por el que se crea una Oficina Europea de Policía; ( ) la Decisión del Consejo por la que se crea Eurojust ( ) y las Normas del Reglamento interno de Eurojust relativas al tratamiento y a la protección de datos personales; ( ) el Convenio establecido sobre la base del artículo K.3 del Tratado de la Unión Europea, relativo a la utilización de la tecnología de la información a efectos aduaneros, que contiene normas sobre la protección de datos personales aplicables al Sistema de Información Aduanero, ( ) y el Convenio relativo a la asistencia judicial en materia penal entre los Estados miembros de la Unión Europea. ( )

42. El 4 de octubre de 2005, la Comisión presentó una propuesta de Decisión marco del Consejo relativa a la protección de datos personales tratados en el marco de la cooperación policial y judicial en materia penal. ( )

III. Decisiones impugnadas

43. Examinaré las dos decisiones en su orden cronológico de adopción.

A. Decisión de adecuación

44. La Decisión de adecuación fue adoptada por la Comisión sobre la base del artículo 25, apartado 6, de la Directiva 95/46, que, recuérdese, le confiere la facultad de hacer constar que un país tercero garantiza un nivel de protección adecuado de los datos personales. ( ) Como señala el segundo considerando de esta Decisión, «[e]n tal caso, pueden transferirse datos personales desde los Estados miembros sin que sea necesaria ninguna garantía adicional».

45. En el undécimo considerando de dicha Decisión, la Comisión indica que «[e]l tratamiento por parte del CBP de los datos personales que contienen los PNR de pasajeros de vuelos que se transfieren a dicho Servicio está regido por las condiciones establecidas en los Compromisos del Servicio de aduanas y protección de fronteras (CBP) del Departamento de Seguridad Interior, de 11 de mayo de 2004 […] así como en la legislación nacional estadounidense en las condiciones que se establecen en dichos Compromisos». La Comisión observa igualmente en el decimocuarto considerando de la misma Decisión que «[l]as normas que aplica el CBP al tratamiento de los datos de los PNR con arreglo a la legislación de su país, así como los Compromisos citados, respetan los principios básicos necesarios para un nivel adecuado de protección de las personas físicas».

46. En consecuencia, el artículo 1 de la Decisión de adecuación dispone que:

«A efectos del apartado 2 del artículo 25 de la Directiva 95/46/CE, se considera que [el CBP] ofrece un nivel adecuado de protección de los datos de PNR que se transfieren desde la Comunidad relativos a vuelos con destino u origen en los Estados Unidos, con arreglo a los Compromisos que figuran en el anexo.»

47. Por otra parte, el artículo 3 de la Decisión de adecuación prevé que los flujos de datos hacia el CBP podrán suspenderse a iniciativa de las autoridades competentes de los Estados miembros en las circunstancias siguientes:

«1. Sin perjuicio de sus facultades para emprender acciones que garanticen el cumplimiento de las normas nacionales adoptadas de conformidad con preceptos diferentes a los contemplados en el artículo 25 de la Directiva 95/46/CE, las autoridades competentes de los Estados miembros podrán ejercer su facultad de suspender los flujos de datos hacia el CBP, a fin de proteger a los particulares contra el tratamiento de sus datos personales, en los casos en que:

a) la autoridad competente de los Estados Unidos compruebe que el CBP ha vulnerado las normas de protección aplicables, o

b) existan grandes probabilidades de que se estén vulnerando las normas de protección expuestas en el anexo, existan razones para creer que el CBP no ha tomado o no tomará las medidas oportunas para resolver el caso en cuestión, se considere que la continuación de la transferencia podría crear un riesgo inminente de grave perjuicio a los afectados, y las autoridades competentes del Estado miembro hayan hecho esfuerzos razonables en estas circunstancias para notificárselo al CBP y proporcionarle la oportunidad de alegar.

2. La suspensión cesará en cuanto esté garantizado el cumplimiento de las normas de protección y ello se haya notificado a las autoridades competentes de los Estados miembros afectados.»

48. Los Estados miembros informarán a la Comisión de las medidas adoptadas conforme al artículo 3 de la Decisión de adecuación. Por lo demás, los Estados miembros y la Comisión, en virtud del artículo 4, apartado 2, de esta Decisión, se informarán recíprocamente de cualquier cambio en las normas de protección y de aquellos casos en que dichas normas resulten insuficientemente garantizadas. A raíz de estos intercambios, el artículo 4, apartado 3, de la Decisión de adecuación prevé que «[s]i la información recogida con arreglo al artículo 3 y a los apartados 1 y 2 del presente artículo demuestra que los principios básicos necesarios para un nivel adecuado de protección de las personas físicas no están siendo respetados, o que los organismos responsables del cumplimiento por parte del CBP de las normas de protección que figuran en el anexo no están ejerciendo su función, se lo notificará al CBP y, si procede, será de aplicación el procedimiento previsto en el apartado 2 del artículo 31 de la Directiva 95/46/CE, a fin de anular o suspender la presente Decisión».

49. Además, el artículo 5 de la Decisión de adecuación establece que el funcionamiento de ésta será objeto de supervisión, y prevé que «el Comité creado por el artículo 31 de la Directiva 95/46/CE será informado de cualquier hecho pertinente».

50. Por otra parte, el artículo 7 de la Decisión de adecuación indica que ésta «expirará tres años y seis meses después de la fecha de su notificación, salvo que la Decisión sea prorrogada con arreglo al procedimiento expuesto en el apartado 2 del artículo 31 de la Directiva 95/46/CE».

51. En anexo a dicha Decisión se adjuntan los Compromisos del CBP, que indican en su introducción tener por objeto «apoyar el proyecto» de la Comisión destinado a reconocer que los datos transferidos al CBP gozan de una protección adecuada. En sus propios términos, estos Compromisos, que comportan una totalidad de 48 puntos, «no crean ni confieren ningún derecho o beneficio a ninguna persona o parte, privada o pública». ( )

52. Indicaré, a lo largo de mi razonamiento, el contenido esencial de los Compromisos relevantes para la solución del litigio.

53. Por último, la Decisión de adecuación contiene un anexo «A» que enumera 34 rúbricas de datos PNR solicitados por el CBP a las compañías aéreas. ( )

54. Esta Decisión de la Comisión se completa con la Decisión del Consejo de celebrar un acuerdo internacional entre la Comunidad Europea y los Estados Unidos.

B. Decisión del Consejo

55. La Decisión del Consejo fue adoptada sobre la base del artículo 95 CE, en relación con el artículo 300 CE, apartado 2, párrafo primero, primera frase.

56. Su primer considerando indica que «[e]l 23 de febrero de 2004 el Consejo autorizó a la Comisión a negociar, en nombre de la Comunidad, un Acuerdo con los Estados Unidos sobre el tratamiento y la transferencia de los datos de los expedientes de los pasajeros por las compañías aéreas al [CBP]». ( ) El segundo considerando de esta Decisión menciona, por su parte, el hecho de que «[e]l Parlamento Europeo no ha emitido aún un dictamen dentro del plazo establecido, con arreglo al primer párrafo del apartado 3 del artículo 300 del Tratado, por el Consejo en vista de la urgente necesidad de poner remedio a la situación de incertidumbre en la que se encontraron aerolíneas y pasajeros, así como de la protección de los intereses financieros de las personas interesadas».

57. Con arreglo al artículo 1 de la Decisión del Consejo, el Acuerdo queda aprobado en nombre de la Comunidad. Además, el artículo 2 de dicha Decisión autoriza al Presidente del Consejo a designar a la persona o las personas facultadas para firmar el Acuerdo en nombre de la Comunidad.

58. El texto del Acuerdo se anexa a la Decisión del Consejo. El artículo 7 de dicho Acuerdo prevé que éste entrará en vigor en el momento de su firma. Con arreglo a este artículo, el Acuerdo, firmado en Washington el 28 de mayo de 2004, entró en vigor este mismo día. ( )

59. En el preámbulo del Acuerdo, la Comunidad y los Estados Unidos reconocen «la importancia de respetar los derechos y libertades fundamentales, en particular la intimidad, y la importancia de respetar estos valores al tiempo que se previene y combate el terrorismo y los delitos relacionados con el terrorismo y otros delitos graves de carácter transnacional, incluido el crimen organizado».

60. El preámbulo del Acuerdo hace referencia a los siguientes textos: la Directiva 95/46, y, en particular, su artículo 7, letra c), los Compromisos del CBP, así como la Decisión de adecuación. ( )

61. Las partes contratantes observan igualmente que «las compañías aéreas con sistemas de control de reservas/salidas situados en el territorio de los Estados miembros de la Comunidad Europea deberán organizar la transmisión de los datos de los expedientes de los pasajeros a la CBP tan pronto como esta operación sea técnicamente factible, pero que, hasta entonces, las autoridades de los Estados Unidos deberán estar autorizadas a acceder directamente a los datos, de conformidad con las disposiciones del presente Acuerdo». ( )

62. En este sentido, el apartado 1 del Acuerdo prevé que «la CBP podrá acceder de forma electrónica a los datos de los expedientes de los pasajeros procedentes de los sistemas de control de reservas/salidas de las compañías aéreas […] situados en el territorio de los Estados miembros de la Comunidad Europea, respetando estrictamente las disposiciones de la Decisión [( )] y mientras la Decisión sea aplicable, y sólo hasta que se haya establecido un sistema satisfactorio para la transmisión de esos datos por las compañías aéreas».

63. Como complemento de la facultad así acordada al CBP para acceder directamente a los datos PNR, el apartado 2 del Acuerdo impone a las compañías aéreas que efectúan vuelos de pasajeros en líneas de transporte aéreo con el extranjero con punto de origen o de destino en los Estados Unidos que traten los datos de los expedientes de los pasajeros incluidos en sus sistemas informatizados de reserva «de conformidad con lo requerido por la CBP en virtud [de] la legislación de los Estados Unidos y respetando estrictamente las disposiciones de la Decisión [( )] y mientras la Decisión sea aplicable».

64. Por otra parte, en el apartado 3 del Acuerdo se señala que el CBP «toma nota» de la Decisión de adecuación y «declara que está aplicando los Compromisos adjuntos a la misma». Además, el apartado 4 de dicho Acuerdo prevé que el «CBP tratará los datos recibidos de los expedientes de los pasajeros y a los titulares de esos datos afectados por el tratamiento de los mismos de conformidad con la legislación y los requisitos constitucionales de los Estados Unidos, sin discriminación contraria a la ley, en particular por razón de la nacionalidad y el país de residencia».

65. Además, el CBP y la Comunidad se comprometen a supervisar conjunta y regularmente la aplicación del Acuerdo. ( ) Este último prevé igualmente que «[e]n el caso de que en la Unión Europea se aplique un sistema de identificación de los pasajeros de las compañías aéreas que requiera que estas últimas proporcionen a las autoridades acceso a los datos de los expedientes de los pasajeros para personas cuyo itinerario de viaje incluya un vuelo con punto de origen o de destino en la Unión Europea, el Departamento de seguridad nacional [Department of Homeland Security], en la medida en que sea factible y sobre una base de estricta reciprocidad, promoverá activamente la cooperación de las compañías aéreas dentro de su jurisdicción». ( )

66. Además, aparte de prever que el Acuerdo entrará en vigor en el momento de su firma, el apartado 7 del mismo establece que cualquiera de las partes podrá denunciar dicho Acuerdo en todo momento. En este caso, la denuncia surtirá efecto noventa días después de la fecha de denuncia a la otra parte. También se prevé, en el mismo apartado, que el Acuerdo podrá ser modificado en todo momento mediante consentimiento recíproco por escrito.

67. Por último, el apartado 8 del Acuerdo dispone que «[e]l presente Acuerdo no tiene por objeto derogar o modificar la legislación de las Partes ni crear o conferir derechos o beneficios a ninguna otra persona o entidad, privada o pública».

IV. Motivos invocados por el Parlamento en los dos asuntos

68. En el asunto C‑317/04, el Parlamento invoca seis motivos contra la Decisión del Consejo:

– Elección errónea del artículo 95 CE como base jurídica.

– Infracción del artículo 300 CE, apartado 3, párrafo segundo, debido a una modificación de la Directiva 95/46.

– Vulneración del derecho a la protección de los datos personales.

– Violación del principio de proporcionalidad.

– Motivación insuficiente de la Decisión controvertida.

– Violación del principio de cooperación leal previsto en el artículo 10 CE.

69. Se admitió la intervención del Reino Unido de Gran Bretaña e Irlanda del Norte así como de la Comisión en apoyo de las pretensiones del Consejo. ( ) Además, se admitió la intervención del Supervisor Europeo de Protección de Datos (en lo sucesivo, «SEPD») en apoyo de las pretensiones del Parlamento. ( )

70. En el asunto C‑318/04, el Parlamento invoca cuatro motivos contra la Decisión de adecuación:

– Desviación de poder.

– Violación de los principios esenciales de la Directiva 95/46.

– Vulneración de derechos fundamentales.

– Violación del principio de proporcionalidad.

71. Se admitió la intervención del Reino Unido en apoyo de las pretensiones de la Comisión. ( ) Además, se admitió la intervención del SEDP en apoyo de las pretensiones del Parlamento. ( )

72. Analizaré ambos recursos en el orden en que fueron respectivamente adoptadas las Decisiones impugnadas. Examinaré, por tanto, en primer lugar, el recurso por el que se solicita la anulación de la Decisión de adecuación (asunto C‑318/04) y, en segundo lugar, el recurso por el que se solicita la anulación de la Decisión del Consejo (asunto C‑317/04).

V. Sobre el recurso por el que se solicita la anulación de la Decisión de adecuación (asunto C‑318/04)

A. Sobre el motivo basado en que la Comisión incurrió en desviación de poder al adoptar la Decisión de adecuación

1. Alegaciones de las partes

73. En apoyo de este recurso, el Parlamento aduce, en primer lugar, que la Decisión de adecuación, en la medida en que persigue un fin relacionado con la seguridad pública y de carácter jurídico penal, infringe la Directiva 95/46, puesto que trata de una cuestión excluida del ámbito material de aplicación de dicha Directiva. El artículo 3, apartado 2, primer guión, de la Directiva 95/46 prevé expresamente esta exclusión y no se presta a ningún tipo de interpretación que pueda reducir su alcance. El hecho de que los datos personales hayan sido recabados en el ejercicio de una actividad económica, a saber, la venta de un billete de avión que da derecho a una prestación de servicios, no puede justificar la aplicación de dicha Directiva, y, en particular, de su artículo 25, a una materia excluida de su ámbito de aplicación.

74. En segundo lugar, el Parlamento alega que el CBP no es un país tercero en el sentido del artículo 25 de la Directiva 95/46. Pues bien, este artículo, en su apartado 6, establece que la Comisión puede hacer constar en una Decisión el nivel de protección adecuado de los datos personales en un «país tercero», esto es, un Estado o entidad semejante, y no una unidad o un organismo administrativo que forme parte del poder ejecutivo de un Estado.

75. En tercer lugar, el Parlamento considera que la adopción por la Comisión de la Decisión de adecuación constituye desviación de poder en la medida en que los Compromisos que figuran en su anexo permiten expresamente la transmisión por parte del CBP de los datos PNR a otras autoridades gubernamentales norteamericanas o extranjeras.

76. En cuarto lugar, el Parlamento estima que la Decisión de adecuación implica determinadas limitaciones y excepciones a los principios que figuran en la Directiva 95/46, cuando el artículo 13 de ésta reserva tal facultad únicamente a los Estados miembros. En este sentido, al adoptar la Decisión de adecuación, la Comisión sustituyó a los Estados miembros e infringió, como consecuencia, el artículo 13 de dicha Directiva. Mediante un acto de ejecución de la Directiva 95/46, la Comisión se arrogó competencias estrictamente reservadas a los Estados miembros.

77. En quinto lugar, el Parlamento formula la alegación de que el hecho de facilitar el acceso a los datos mediante el sistema «pull» (extracción) no constituye una «transferencia» en el sentido del artículo 25 de la Directiva 95/46, y, por tanto, no puede admitirse.

78. En último lugar, habida cuenta de la relación de interdependencia entre la Decisión de adecuación y el Acuerdo, dicha Decisión debe ser considerada, a juicio de esta institución, una medida inadecuada con vistas a imponer la transferencia de datos PNR.

79. A diferencia del Parlamento, el SEPD estima que el hecho de que se facilite el acceso a los datos a una persona o institución de un país tercero puede considerarse constitutivo de transferencia y, por tanto, el artículo 25 de la Directiva 95/46 es aplicable. Considera que restringir el concepto a una transferencia realizada por el emisor permite eludir los requisitos establecidos en este artículo y puede causar perjuicios a la protección de datos reconocida en dicho artículo.

80. La Comisión, apoyada por el Reino Unido, opina que las actividades de las compañías aéreas entran dentro del ámbito de aplicación del Derecho comunitario y que, en consecuencia, la Directiva resulta totalmente aplicable. El régimen establecido en el marco de la transferencia de datos PNR no tiene por objeto las actividades de un Estado miembro o de autoridades públicas que no entran dentro del ámbito de aplicación del Derecho comunitario.

81. Además, la Comisión señala que el Acuerdo que acompaña a la Decisión de adecuación fue firmado en nombre de los Estados Unidos y no en nombre de un servicio gubernamental. Por lo que se refiere a las transferencias posteriores de datos PNR por el CBP, la Comisión estima que la protección de los datos personales no es incompatible con la autorización de tales transferencias, siempre que éstas se sometan a restricciones adecuadas y necesarias.

82. Por último, la Comisión observa que el artículo 13 de la Directiva 95/46 no es pertinente en el presente asunto, y que la «transferencia», en el sentido del artículo 25 de dicha Directiva, consiste en que las compañías aéreas faciliten activamente al CBP el acceso a los datos PNR. Por lo tanto, el sistema examinado implica claramente, afirma la Comisión, una transferencia de datos en el sentido de la Directiva 95/46.

2. Apreciación

83. Mediante este primer motivo, el Parlamento sostiene que la Decisión de adecuación infringe la Directiva 95/46, y, en particular, los artículos 3, apartado 2, 13 y 25 de la misma. Alega concretamente que esta Decisión no podía fundarse válidamente en el acto de base que constituye dicha Directiva.

84. Como ya he indicado, la Directiva 95/46 tiene por fin, con vistas al establecimiento y al funcionamiento del mercado interior, eliminar los obstáculos a la libre circulación de datos personales haciendo equivalente en los Estados miembros el nivel de protección de los derechos y libertades de las personas en lo que se refiere al tratamiento de dichos datos.

85. El legislador comunitario ha querido igualmente que el régimen protector así instaurado no se vea comprometido cuando los datos personales salgan del territorio comunitario. Por consiguiente, ha optado por un sistema que exige que, para que pueda admitirse la transferencia de datos personales a un país tercero, dicho país garantice un nivel de protección adecuado de estos datos. En este sentido, la Directiva 95/46 establece el principio según el cual, cuando un país tercero no ofrezca este nivel de protección adecuado, debe prohibirse la transferencia de datos personales a este país.

86. El artículo 25 de dicha Directiva impone a los Estados miembros y a la Comisión una serie de obligaciones dirigidas a controlar las transferencias de datos personales a países terceros, teniendo en cuenta el nivel de protección que dispensa cada uno de estos países a tales datos. Igualmente, prevé el método y los criterios que permiten considerar que un país tercero garantiza un nivel de protección adecuado a los datos personales que le son transferidos.

87. El Tribunal de Justicia ha calificado el régimen relativo a la transferencia de datos personales a países terceros como un «régimen especial, con normas específicas, dirigido a garantizar un control, por parte de los Estados miembros, de las transferencias de datos personales hacia países terceros». El Tribunal de Justicia ha añadido, además, que se trata de «un régimen complementario del régimen general que establece el capítulo II de la citada Directiva, relativo a la licitud de los tratamientos de datos personales». ( )

88. La especificidad de las normas que regulan la transferencia de datos personales a países terceros se explica en gran medida por el papel clave desempeñado por el concepto de protección adecuada. Con el fin de delimitar el alcance de este concepto, procede distinguirlo nítidamente del concepto de protección equivalente, que exige que el país tercero reconozca y aplique efectivamente todos los principios enunciados en la Directiva 95/46.

89. El concepto de protección adecuada implica que el país tercero deberá poder garantizar una protección apropiada, según un modelo que se juzgue aceptable desde el punto de vista del grado de protección de los datos personales. Tal sistema, basado en el carácter adecuado de la protección garantizada por un país tercero, deja un amplio margen de apreciación a los Estados miembros y a la Comisión en sus respectivas evaluaciones sobre las garantías que se aplican en el país de destino de estos datos. Esta apreciación está orientada por el artículo 25, apartado 2, de la Directiva 95/46, que enumera algunos de los factores que pueden entrar en consideración a efectos de dicha evaluación. ( ) En esta perspectiva, la norma que impone el legislador comunitario es que «[e]l carácter adecuado del nivel de protección que ofrece un país tercero se evaluará atendiendo a todas las circunstancias que concurran en una transferencia o en una categoría de transferencias de datos».

90. Como ya ha declarado el Tribunal de Justicia, la Directiva 95/46 no define el concepto de «transferencia a un país tercero». ( ) No aclara, en particular, si el concepto se refiere solamente a la acción mediante la cual el responsable del tratamiento comunica activamente datos personales a un país tercero, o si se extiende al caso en que una entidad de un país tercero esté autorizada a acceder a datos que se encuentran en un Estado miembro. Esta Directiva guarda, por tanto, silencio sobre cuál es el método con arreglo al que puede efectuarse una transferencia de datos a un país tercero.

91. Contrariamente al Parlamento, estimo que, en el presente asunto, el acceso a los datos PNR del que dispone el CBP entra dentro del concepto de «transferencia a un país tercero». En efecto, el factor determinante que caracteriza tal transferencia es, en mi opinión, la circulación de datos desde un Estado miembro hacia un país tercero, en el presente caso, los Estados Unidos. ( ) A este respecto, no es relevante que la transferencia haya sido efectuada por el emisor o por el receptor. Como señala el SEPD, si el alcance del artículo 25 de la Directiva 95/46 estuviese limitado a las transferencias que realiza el emisor, resultaría fácil eludir los requisitos establecidos en este artículo.

92. Hecha esta aclaración, procede sin embargo insistir en el hecho de que el capítulo IV de dicha Directiva, en el que figura el citado artículo 25, no tiene por objeto regular todas las transferencias de datos personales, de cualquier naturaleza, a los países terceros. Sólo incluye, conforme al artículo 25, apartado 1, de la Directiva, la transferencia de datos «que sean objeto de tratamiento o destinados a ser objeto de tratamiento con posterioridad a su transferencia».

93. Cabe recordar al respecto que, con arreglo al artículo 2, letra b), de la Directiva 95/46, constituye tratamiento de datos personales «cualquier operación o conjunto de operaciones […] aplicadas a datos personales, como la recogida, registro, […] consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos […]». ( )

94. Cualquiera que sea su especificidad, que descansa en gran medida, como ya he señalado, en el concepto de adecuación, el régimen que rige la transferencia de datos personales a países terceros está supeditado al cumplimiento de las normas relativas al ámbito de aplicación de la Directiva 95/46 del que forma parte. ( )

95. Asimismo, para estar cubierta por las disposiciones del artículo 25 de la Directiva 95/46, una transferencia a un país tercero deberá tener por objeto datos personales, cuyo tratamiento, ya sea llevado a cabo actualmente en el seno de la Comunidad, ya esté meramente previsto en un país tercero, entre dentro del ámbito de aplicación de dicha Directiva. Sólo si se cumple este requisito podrá afirmarse que una Decisión de adecuación constituye un acto de ejecución válido de la Directiva 95/46.

96. A este respecto, ha de recordarse que, desde un punto de vista material, dicha Directiva no se aplica a todos los tratamientos de datos personales que puedan entrar dentro de una de las categorías de operaciones previstas en su artículo 2, letra b). En efecto, el artículo 3, apartado 2, primer guión, de la Directiva 95/46 dispone que ésta no se aplicará al tratamiento de datos personales que sea «efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario, como las previstas por las disposiciones de los títulos V y VI del Tratado de la Unión Europea y, en cualquier caso, al tratamiento de datos que tenga por objeto la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dicho tratamiento esté relacionado con la seguridad del Estado) y las actividades del Estado en materia penal». ( )

97. Ahora bien, considero que la consulta, la utilización por el CBP y el hecho de facilitar el acceso de éste a los datos de los pasajeros de vuelos que provengan de sistemas de reserva de compañías aéreas situadas en el territorio de los Estados miembros constituyen tratamientos de datos personales que tienen por objeto la seguridad pública y se refieren a actividades del Estado en materia penal. Por consiguiente, este tipo de tratamiento se encuentra excluido del ámbito de aplicación material de la Directiva 95/46.

98. Los términos empleados en la Decisión de adecuación muestran el objetivo de los tratamientos a los que se someten los datos personales de los pasajeros de los vuelos. En este sentido, tras indicar que los requisitos relativos a la transferencia al CBP de los datos personales incluidos en los PNR de pasajeros de vuelos se basan en una ley promulgada por los Estados Unidos en noviembre de 2001 y en los reglamentos de aplicación aprobados por el CBP con arreglo a la mencionada ley, ( ) la Comisión aclara que uno de los objetivos de la legislación estadounidense es «reforzar la seguridad». ( ) Se afirma igualmente que «[l]a Comunidad está plenamente comprometida con el respaldo a los Estados Unidos en la lucha contra el terrorismo, dentro de los límites fijados por el Derecho comunitario». ( )

99. Además, el decimoquinto considerando de la Decisión de adecuación dispone que «los datos de los PNR se utilizarán estrictamente para los fines de prevención y lucha contra el terrorismo y delitos conexos, otros delitos graves, incluida la delincuencia organizada, que tengan un carácter transnacional y la fuga en caso de orden de arresto o detención por estos delitos señalados».

100. La Directiva 95/46, y en particular su artículo 25, apartado 6, no puede, en mi opinión, constituir un fundamento adecuado para la adopción por parte de la Comisión de un acto de ejecución como es una decisión relativa al nivel de protección adecuado de los datos personales que sean objeto de tratamientos expresamente excluidos de su ámbito de aplicación. Autorizar, sobre la base de dicha Directiva, las transferencias de estos datos equivaldría de hecho a extender de modo indirecto el ámbito de aplicación de ésta.

101. Pues bien, ha de tenerse presente que la Directiva 95/46, adoptada con arreglo al artículo 100 A del Tratado CE, enuncia los principios de protección que deben aplicarse a los tratamientos de datos personales cuando las actividades del responsable del tratamiento entran dentro del ámbito de aplicación del Derecho comunitario, pero que, debido precisamente a la elección de su base jurídica, no es apta para regir actividades del Estado tales como las que se refieren a la seguridad pública o las que persiguen fines represivos, que no entran dentro del ámbito de aplicación de Derecho comunitario. ( )

102. Es cierto que el tratamiento que consiste en la recogida y el registro de datos de los pasajeros por parte de las compañías aéreas tiene, en general, una finalidad comercial en la medida en que está directamente vinculado al desarrollo del vuelo realizado por la compañía aérea. Además, es correcto considerar que los datos PNR son inicialmente recogidos por las compañías aéreas en el marco de una actividad que entra dentro del Derecho comunitario, esto es, la venta de un billete de avión que da derecho a la prestación de un servicio. Sin embargo, el tratamiento de datos que se tiene en cuenta en la Decisión de adecuación posee una naturaleza muy distinta, ya que incluye una fase posterior a la recogida inicial de datos. En efecto, consiste, como ya he señalado, en la consulta, la utilización por el CBP y el hecho de facilitar el acceso de este último a los datos de los pasajeros de vuelos que provengan de sistemas de reserva de compañías aéreas situadas en el territorio de los Estados miembros.

103. En realidad, la Decisión de adecuación no contempla un tratamiento de datos necesario para la realización de una prestación de servicios, sino considerado necesario para la salvaguardia de la seguridad pública y a efectos represivos. Ésta es exactamente la finalidad de la transferencia y del tratamiento de los que son objeto los datos PNR. Por consiguiente, el hecho de que los datos personales hayan sido recogidos en el ejercicio de una actividad económica no puede, a mi juicio, justificar la aplicación de la Directiva 95/46, y en particular el artículo 25 de ésta, a una materia excluida de su ámbito de aplicación.

104. A mi juicio, estos elementos son suficientes para considerar, como pone de relieve el Parlamento, que la Comisión no disponía, en virtud del artículo 25 de la Directiva 95/46, de facultades para adoptar una decisión relativa al nivel de protección adecuado de los datos personales transferidos en el marco y con vistas a un tratamiento excluido expresamente del ámbito de aplicación de dicha Directiva. ( )

105. Esta Decisión de adecuación infringe, por tanto, el acto de base que constituye la Directiva 95/46, y en particular su artículo 25, que no es una base jurídica adecuada. Estimo, por esta razón, que dicha Decisión debe ser anulada.

106. Además, en la medida en que considero que la Decisión de adecuación queda fuera del ámbito de aplicación de la Directiva 95/46, no me parece pertinente examinar esta Decisión a la luz de los principios esenciales previstos en dicha Directiva, como solicita el Parlamento mediante su segundo motivo. ( ) Por tanto, estimo que no ha lugar a examinar este segundo motivo.

107. Los motivos tercero y cuarto del presente recurso, que sólo abordaré con carácter subsidiario, no pueden, a mi juicio, ser analizados de forma separada, ya que la comprobación de una eventual vulneración de derechos fundamentales por la Decisión de adecuación comprende necesariamente una evaluación del cumplimiento del principio de proporcionalidad por este acto a la luz del objetivo que persigue. Por tanto, propongo al Tribunal de Justicia que examine conjuntamente el tercer y cuarto motivos.

B. Sobre los motivos basados en la vulneración de derechos fundamentales y en la violación del principio de proporcionalidad

108. El Parlamento alega que la Decisión de adecuación vulnera el derecho a la protección de los datos personales, tal como se garantiza en el artículo 8 del CEDH. Más concretamente, teniendo en cuenta los requisitos establecidos en este artículo, dicha institución estima que dicha Decisión constituye una injerencia en la vida privada que no puede considerarse prevista en la ley, ya que se trata de una medida que no es ni accesible ni previsible. Además, el Parlamento estima que dicha medida no es proporcionada al fin que persigue, habida cuenta especialmente del excesivo número de datos PNR que se solicitan y de la excesiva duración de conservación de estos datos.

109. En el recurso interpuesto en el asunto C‑317/04, que tiene por objeto la anulación de la Decisión del Consejo, el Parlamento invoca estos dos mismos motivos y formula en su apoyo alegaciones que, en gran parte, se superponen. Estimo que los motivos que se formulan en los dos asuntos de que conoce el Tribunal de Justicia deben ser objeto de un único examen que me parece pertinente efectuar en el marco del análisis que dedico al asunto C‑317/04.

110. En efecto, resulta de las alegaciones expuestas por las partes en sus escritos que es imposible concebir separadamente, a la luz del derecho al respeto de la vida privada, los elementos de los que se compone el régimen relativo al tratamiento de los datos PNR por parte del CBP, ( ) que son el Acuerdo tal como fue aprobado por la Decisión del Consejo, la Decisión de adecuación y los Compromisos del CBP que figuran en anexo a dicha Decisión de la Comisión. Además, las partes se remiten en múltiples ocasiones a uno u otro de estos actos para fundamentar sus argumentos.

111. La interdependencia entre estos tres componentes del régimen PNR se desprende explícitamente de los propios términos del Acuerdo. En efecto, el preámbulo del Acuerdo se refiere tanto a los Compromisos del CBP como a la Decisión de adecuación. A continuación, el apartado 1 del Acuerdo estipula que el CBP podrá acceder a los datos PNR «respetando estrictamente las disposiciones de la Decisión [de adecuación] y mientras la Decisión sea aplicable […]». Igualmente, si bien, según el apartado 2 de dicho Acuerdo, las compañías aéreas que allí se designan deberán tratar los datos PNR «de conformidad con lo requerido por la CBP en virtud con la legislación de los Estados Unidos», es también «respetando estrictamente las disposiciones de la Decisión [de adecuación] y mientras la Decisión sea aplicable». Por último, el apartado 3 del Acuerdo dispone que el «CBP toma nota de la Decisión [de adecuación] y declara que está aplicando los Compromisos adjuntos a la misma».

112. De todos estos elementos resulta que el derecho de acceso a los datos PNR que confiere el Acuerdo al CBP, así como la obligación de tratamiento de dichos datos, que incumbe a las compañías aéreas designadas en dicho Acuerdo, están sujetos a una estricta y efectiva aplicación de la Decisión de adecuación.

113. La interdependencia que existe entre los tres componentes del régimen PNR, así como el hecho de que el Parlamento haya invocado los motivos basados en la vulneración de derechos fundamentales y en la violación del principio de proporcionalidad en los dos asuntos de los que conoce el Tribunal de Justicia, me conducen a pensar que estos motivos tienen por objeto que este último declare la incompatibilidad del régimen PNR, en sus tres componentes, con el derecho al respeto de la vida privada garantizado en el artículo 8 del CEDH. En mi opinión, sería artificial examinar la Decisión de adecuación sin tener en cuenta el Acuerdo que impone determinadas obligaciones a las compañías aéreas y, en sentido inverso, examinar este Acuerdo sin tomar en consideración los otros textos aplicables a los que éste hace expresamente referencia.

114. Teniendo en cuenta el hecho de que el sistema está compuesto por varios elementos indisociables, el análisis no debe, pues, fragmentarse de forma artificial.

115. La injerencia en la vida privada, desde este punto de vista, está constituida por el conjunto que forman el Acuerdo aprobado mediante la Decisión del Consejo, la Decisión de adecuación y los Compromisos del CBP. Para examinar si dicha injerencia está prevista en la ley, persigue un fin legítimo y es necesaria en una sociedad democrática, se requiere igualmente tomar en consideración, en su conjunto, el mecanismo «a tres velocidades» así instaurado, como hace el Parlamento en sus dos recursos. Con el fin de disponer de una visión global del régimen PNR, procederé a este examen en el marco del recurso por el que se solicita la anulación de la Decisión del Consejo.

VI. Sobre el recurso por el que se solicita la anulación de la Decisión del Consejo (asunto C‑317/04)

A. Sobre el motivo basado en la elección errónea del artículo 95 CE como base jurídica de la Decisión del Consejo

1. Alegaciones de las partes

116. El Parlamento Europeo alega que el artículo 95 CE no constituye la base jurídica adecuada para la Decisión del Consejo. Afirma que ésta no tiene como fin ni como contenido el establecimiento y el funcionamiento del mercado interior. Sostiene que la Decisión del Consejo tiene más bien como objetivo la legalización del tratamiento de datos personales impuesto por la legislación estadounidense a las compañías aéreas establecidas en el territorio de la Comunidad. Esta Decisión no indica en qué medida esta legalización de las transferencias de datos a un país tercero contribuye al establecimiento o al funcionamiento del mercado interior.

117. Según el Parlamento, el contenido de la Decisión del Consejo tampoco justifica que se invoque el artículo 95 CE como base jurídica. Esta Decisión establece el derecho de acceso del CBP al sistema de reservas de las compañías aéreas sobre el territorio de la Comunidad, y ello con vistas a la realización de vuelos entre los Estados Unidos y los Estados miembros, de acuerdo con la legislación estadounidense, y en el marco de la prevención y la lucha contra el terrorismo. Pues bien, el artículo 95 CE no es aplicable para la consecución de estos fines.

118. Finalmente, el Parlamento añade que el artículo 95 CE no puede constituir el fundamento de la competencia de la Comunidad para celebrar el Acuerdo en cuestión, puesto que éste se refiere a tratamientos de datos efectuados con fines de seguridad pública y, por tanto, excluidos del ámbito de aplicación de la Directiva 95/46, que se basa en dicho artículo del Tratado.

119. No obstante, el Consejo estima que su Decisión se basó correctamente en el artículo 95 CE. Según él, el artículo 95 CE puede servir de base a medidas que tengan por objeto garantizar que no se falseen las condiciones de competencia en el mercado interior. A este respecto, sostiene que mediante el Acuerdo se persigue la eliminación de cualquier distorsión de la competencia entre las compañías aéreas de los Estados miembros y entre éstas y las compañías de los países terceros, que se pueden producir, en función de las exigencias estadounidenses, por razones relativas a la protección de los derechos y libertades individuales. Las condiciones de competencia entre las compañías de los Estados miembros que presten un servicio de transporte internacional de pasajeros con destino o salida de los Estados Unidos podrían ser falseadas si solamente algunas de ellas permitieran a las autoridades estadounidenses el acceso a sus bases de datos.

120. En el mismo orden de ideas, el Consejo subraya, por una parte, que las compañías aéreas que no se hubieran atenido a las exigencias estadounidenses habrían podido verse obligadas a pagar multas impuestas por las autoridades estadounidenses, sufrir retrasos en sus vuelos y perder pasajeros en beneficio de otras compañías aéreas que sí hubieran firmado acuerdos con los Estados Unidos. Por otra parte, algunos Estados miembros habrían podido sancionar a las compañías aéreas que hubieran transferido los datos personales de que se trata, mientras que otros Estados miembros no habrían reaccionado necesariamente de la misma manera.

121. En estas circunstancias, y a falta de una legislación común sobre el acceso de las autoridades norteamericanas a los datos PNR, el Consejo estima que las condiciones de competencia corrían el riesgo de verse falseadas y que la unidad del mercado interior se habría quebrado gravemente. Por tanto, a su juicio, era necesario establecer las condiciones armonizadas que regulasen el acceso de las autoridades norteamericanas a los datos PNR, salvaguardando al mismo tiempo las exigencias comunitarias en lo que atañe al respeto de los derechos fundamentales. Se trataba de imponer a todas las compañías afectadas obligaciones armonizadas y del aspecto externo del establecimiento y del funcionamiento del mercado interior.

122. Por último, el Consejo destaca que el Acuerdo fue celebrado tras la Decisión de adecuación, adoptada en virtud del artículo 25, apartado 6, de la Directiva 95/46. En su opinión, era pues normal y correcto fundamentar la Decisión por la que se celebró el Acuerdo en la misma base jurídica que la de dicha Directiva, esto es, el artículo 95 CE.

123. En su escrito de formalización de la intervención, la Comisión subraya que las disposiciones del preámbulo ponen de manifiesto que para los Estados Unidos el objetivo primordial es la lucha contra el terrorismo, mientras que para la Comunidad el fin principal es el mantenimiento de los elementos principales de su normativa sobre la protección de datos personales.

124. La Comisión señala que, aunque critica la elección del artículo 95 CE como base jurídica de la Decisión del Consejo, el Parlamento no propone ninguna alternativa válida. Según la Comisión, este artículo es la base jurídica «natural» de la Decisión del Consejo, en la medida en que la dimensión externa de la protección de los datos personales debe basarse en el artículo del Tratado en el que se apoya la medida interna que constituye la Directiva 95/46, máxime cuando este aspecto externo está explícitamente previsto en los artículos 25 y 26 de dicha Directiva. Además, teniendo en cuenta el estrecho vínculo y la interdependencia entre el Acuerdo, la Decisión de adecuación y los Compromisos del CBP, el artículo 95 CE resulta ser la base jurídica adecuada. En cualquier caso, la Comisión sostiene que el Consejo tenía facultad para celebrar el Acuerdo sobre la base de este artículo, ya que la Directiva 95/46 habría quedado afectada en el sentido de la jurisprudencia AETR, ( ) si los Estados miembros hubiesen celebrado tal Acuerdo, de forma separada o conjunta, fuera del marco comunitario.

125. Finalmente, la Comisión alega que el tratamiento inicial de los datos en cuestión por parte de las compañías aéreas se efectúa con un fin comercial, y que la utilización que hacen de estos datos las autoridades estadounidenses no les permite eludir la incidencia de la Directiva 95/46.

2. Apreciación

126. Mediante su primer motivo, el Parlamento solicita al Tribunal de Justicia que dilucide si el artículo 95 CE constituye la base jurídica apropiada para fundamentar la Decisión del Consejo relativa a la celebración por la Comunidad de un acuerdo internacional como el controvertido en el presente asunto. Para responder a esta cuestión, procede aplicar la reiterada jurisprudencia del Tribunal de Justicia conforme a la cual la elección de la base jurídica de un acto comunitario debe fundarse en elementos objetivos susceptibles de control judicial, entre los que figuran, en particular, el fin y el contenido del acto. ( ) En efecto, «en el marco del sistema de competencias de la Comunidad, la elección de la base jurídica de un acto no puede depender únicamente de la convicción de una institución respecto al fin perseguido […]». ( )

127. Debe recordarse que el Tribunal de Justicia ha declarado que «la elección de la base jurídica adecuada reviste una importancia de naturaleza constitucional. En efecto, dado que la Comunidad sólo dispone de competencias de atribución, debe engarzar [el acuerdo internacional de que se trate] en una disposición del Tratado que la habilite para aprobar tal acto». Según el Tribunal de Justicia, «[e]l recurso a una base jurídica errónea puede, por tanto, invalidar el propio acto de conclusión y, por consiguiente, viciar el consentimiento de la Comunidad en quedar vinculada por el acuerdo suscrito». ( )

128. Siguiendo el método de análisis que aplica el Tribunal de Justicia, examinaré si el fin y el contenido del Acuerdo autorizan al Consejo a adoptar, con arreglo al artículo 95 CE, una decisión que tenga por objeto, conforme a su artículo 1, la aprobación de dicho Acuerdo en nombre de la Comunidad.

129. Por lo que se refiere al fin del Acuerdo, resulta expresamente del párrafo primero de su preámbulo que persigue dos objetivos, que son, por una parte, la prevención y la lucha contra el terrorismo y los delitos relacionados con el terrorismo y otros delitos graves de carácter transnacional, incluido el crimen organizado, ( ) y, por otra parte, el respeto de los derechos y libertades fundamentales, en particular, el derecho a la intimidad.

130. El objetivo de la lucha contra el terrorismo y otros delitos graves está corroborado por la referencia, en el párrafo segundo del preámbulo del Acuerdo, a las normas y reglamentos de los Estados Unidos, adoptadas a raíz de los atentados terroristas de 11 de septiembre de 2001, que requieren que las compañías aéreas que efectúen vuelos de pasajeros en líneas de transporte aéreo con punto de origen o de destino en los Estados Unidos proporcionen al CBP acceso electrónico a los datos PNR, en la medida en que se recojan y estén incluidos en los sistemas informatizados de control de reservas/salidas de las compañías aéreas.

131. En cuanto al objetivo del respeto de los derechos fundamentales, y en particular, el derecho al respeto de la intimidad, éste aparece en la referencia a la Directiva 95/46. Se trata, en este sentido, de garantizar a las personas físicas transportadas la protección de sus datos personales.

132. Esta garantía se persigue tanto en el marco de los Compromisos adoptados por el CBP el 11 de mayo de 2004, que, según indica el párrafo cuarto del preámbulo del Acuerdo, serán publicados en el Federal Register, como en el marco de la Decisión de adecuación que se menciona en el párrafo quinto del mismo preámbulo.

133. Según el párrafo primero del preámbulo del Acuerdo, la persecución de ambos objetivos deberá realizarse de forma simultánea. El Acuerdo celebrado entre la Comunidad y los Estados Unidos trata, por tanto, de conciliar ambos objetivos, es decir, que se basa en la idea de que la lucha contra el terrorismo y otros delitos graves deberá llevarse a cabo dentro del respeto de los derechos fundamentales, en particular del derecho al respeto de la intimidad, y más concretamente, del derecho a la protección de los datos personales.

134. El contenido del Acuerdo confirma esta interpretación. En efecto, en su apartado 1 se prevé que el CBP podrá acceder de forma electrónica a los datos de los expedientes de los pasajeros procedentes de los sistemas de control de reservas de las compañías aéreas situadas en el territorio de los Estados miembros «respetando estrictamente» lo dispuesto en la Decisión de adecuación «y mientras la Decisión sea aplicable». Deduzco de ello que el acceso a los datos PNR de los pasajeros de vuelos, que constituye el medio para luchar contra el terrorismo y otros delitos graves, sólo está autorizado por el Acuerdo siempre y cuando se reconozca que estos datos gozan en los Estados Unidos de un nivel de protección adecuado. El contenido de esta disposición del Acuerdo traduce la voluntad de perseguir simultáneamente los objetivos de lucha contra el terrorismo y otros delitos graves, y de protección de los datos personales.

135. Idéntica observación se impone al examinar el apartado 2 del Acuerdo, que obliga a las compañías aéreas que efectúan vuelos de pasajeros en líneas de transporte aéreo con el extranjero con punto de origen o de destino en los Estados Unidos a tratar los datos PNR incluidos en sus sistemas informatizados de reserva «de conformidad con lo requerido por la CBP en virtud [de] la legislación de los Estados Unidos y respetando estrictamente las disposiciones de la Decisión [de adecuación] y mientras la Decisión sea aplicable». Aquí igualmente, la obligación que en adelante recae sobre las compañías aéreas con el fin de luchar contra el terrorismo y otros delitos graves está íntimamente relacionada con la protección adecuada de los datos personales de los pasajeros de estos vuelos.

136. El Acuerdo contiene otras disposiciones cuyo objeto traduce esta voluntad de conseguir los fines de lucha contra el terrorismo y otros delitos graves, y de protección de los datos personales de los pasajeros de estos vuelos.

137. En este sentido, por lo que atañe específicamente al objetivo de la protección de los datos personales de estos pasajeros, se indica en el apartado 3 del Acuerdo que «la CBP toma nota de la Decisión [de adecuación] y declara que está aplicando los Compromisos adjuntos a la misma».

138. Además, el apartado 6 del Acuerdo contempla el supuesto en que la Unión Europea, por su parte, aplique un sistema de identificación de los pasajeros de las compañías aéreas que requiera que estas últimas proporcionen a las autoridades competentes acceso a los datos PNR de los pasajeros cuyo itinerario de viaje incluya un vuelo con punto de origen o de destino en la Unión Europea. En caso de que se aplique dicha medida, el Acuerdo prevé que el Department of Homeland Security «en la medida en que sea factible y sobre una base de estricta reciprocidad, promoverá activamente la cooperación de las compañías aéreas dentro de su jurisdicción». Una vez más, se trata de una disposición que traduce el objetivo de lucha contra el terrorismo y otros delitos graves.

139. A este respecto, cabe señalar, en respuesta a ciertas alegaciones formuladas por la Comisión, que es difícil sostener que la lucha contra el terrorismo y otros delitos graves sea un objetivo que persiguen los Estados Unidos de forma unilateral y exclusiva, mientras que la Comunidad únicamente tendría por objetivo la protección de los datos personales de los pasajeros de los vuelos. ( ) En realidad, opino que el Acuerdo tiene, desde el punto de vista de cada parte contratante y al mismo tiempo, como fin y como contenido conciliar el objetivo de lucha contra el terrorismo y otros delitos graves con el de protección de los datos personales de los pasajeros de los vuelos. De este modo, el Acuerdo instituye una cooperación entre las partes contratantes precisamente destinada a alcanzar este doble objetivo de forma simultánea.

140. Teniendo en cuenta el fin y el contenido del Acuerdo tal como se acaban de describir, considero que el artículo 95 CE no constituye una base jurídica apropiada para la Decisión del Consejo.

141. A este respecto, cabe recordar que el artículo 95 CE, apartado 1, se refiere a la adopción por el Consejo de medidas relativas a la aproximación de las disposiciones legislativas, reglamentarias y administrativas de los Estados miembros que tienen por objeto el establecimiento y el funcionamiento del mercado interior.

142. La competencia que este artículo del Tratado atribuye a la Comunidad tiene carácter transversal, es decir, que no se limita a un ámbito particular. El alcance de la competencia comunitaria se define, por tanto, «en virtud de un criterio de carácter funcional, que se extiende transversalmente al conjunto de las medidas destinadas a la realización del “mercado interior”». ( )

143. Además, de la jurisprudencia del Tribunal de Justicia se desprende que las medidas contempladas en el artículo 95 CE, apartado 1, están destinadas a mejorar las condiciones de establecimiento y funcionamiento del mercado interior y deben tener efectivamente dicho objeto, contribuyendo a eliminar obstáculos a la libre circulación de mercancías o a la libre prestación de servicios, así como a suprimir distorsiones de la competencia. ( ) Asimismo, según esta jurisprudencia, es posible recurrir al artículo 95 CE como base jurídica para evitar la aparición de futuros obstáculos a los intercambios comerciales derivados de la evolución heterogénea de las legislaciones nacionales, siempre que la aparición de tales obstáculos sea probable y que la medida de que se trate tenga por objeto su prevención. ( )

144. Como he expuesto anteriormente, el Consejo sostiene que adoptó válidamente su Decisión sobre la base del artículo 95 CE, puesto que, al eliminar cualquier distorsión de la competencia entre las compañías aéreas de los Estados miembros y entre éstas y las compañías de países terceros, el Acuerdo con los Estados Unidos contribuye a evitar que se quiebre gravemente la unidad del mercado interior.

145. Cierto, debe señalarse que el segundo considerando de la Decisión del Consejo pone de manifiesto «la urgente necesidad de poner remedio a la situación de incertidumbre en la que se encontraron aerolíneas y pasajeros, así como de la protección de los intereses financieros de las personas interesadas». Esta frase podría entenderse en el sentido de que hace alusión a las sanciones que podrían imponer las autoridades estadounidenses competentes a las compañías aéreas que se negaran a facilitar el acceso a los datos PNR de sus pasajeros, sanciones que podrían tener consecuencias económicas para dichas compañías. Sería posible concebir que, en tal caso, estas sanciones, con implicaciones económicas desfavorables para determinadas compañías, pudieran causar distorsiones en la competencia entre las diferentes compañías aéreas establecidas en el territorio de los Estados miembros.

146. Por otro lado, también cabe imaginar que una diferente actitud por parte de los Estados miembros, esto es, que algunos prohíban a las compañías aéreas establecidas en sus territorios, bajo pena de sanciones, que se autorice la transferencia de los datos PNR de sus pasajeros, mientras que otros Estados miembros no lo hagan, pueda causar cierto efecto, siquiera indirecto, sobre el funcionamiento del mercado interior, como consecuencia de las distorsiones en la competencia que pudieran generarse entre las compañías aéreas.

147. No obstante, debe observarse que tal objetivo, que persigue evitar que se produzcan distorsiones en la competencia, en la medida en que sea realmente perseguido por el Consejo, presenta un carácter accesorio respecto a los otros dos objetivos principales constituidos por la lucha contra el terrorismo y otros delitos graves y la protección de los datos personales de los pasajeros, objetivos, que, como ya he señalado, se mencionan expresamente y se desarrollan efectivamente en las disposiciones del Acuerdo.

148. El objetivo que consiste en evitar que se produzcan distorsiones en la competencia, ya sea, como afirma el Consejo, entre las compañías aéreas de los Estados miembros, ya sea entre éstas y las compañías de países terceros, no figura explícitamente en ninguna de las disposiciones del Acuerdo. Es de carácter implícito, y por tanto, necesariamente accesorio respecto a los otros dos objetivos.

149. Ahora bien, cabe recordar que, como ya ha declarado el Tribunal de Justicia, «el mero hecho de que un acto pueda causar efectos sobre el establecimiento o el funcionamiento del mercado interior no es suficiente para justificar la utilización de esta disposición como base jurídica de dicho acto». ( )

150. Y sobre todo, se deduce de una reiterada jurisprudencia del Tribunal de Justicia que si el examen de un acto comunitario muestra que éste persigue varios objetivos o que tiene varios componentes, y si uno de ellos puede calificarse de principal o preponderante, mientras que el otro sólo es accesorio, dicho acto debe fundarse en una sola base jurídica, a saber, aquella que exige el objetivo o componente principal o preponderante. ( ) Sólo, excepcionalmente, si resulta probado que el acto persigue al mismo tiempo distintos objetivos que están inseparablemente unidos, sin que pueda considerarse que uno es secundario y complementario con respecto al otro, dicho acto deberá adoptarse sobre las distintas bases jurídicas pertinentes. ( ) En mi opinión, éste no es el caso del presente asunto.

151. También debe indicarse que, aunque tuviera que estimarse que el Acuerdo persigue inseparablemente los tres objetivos, en virtud de esta jurisprudencia, la elección del Consejo de basar jurídicamente su Decisión sólo en el artículo 95 CE tendrá que considerarse inadecuada.

152. En realidad, de la lectura global del segundo considerando de la Decisión del Consejo se deduce que la «necesidad urgente» que este último pone de manifiesto tiene por objeto principal explicar que se ha establecido un plazo para que el Parlamento emita su dictamen, con arreglo al artículo 300 CE, apartado 3, párrafo primero, que prevé que, en el marco del procedimiento de celebración de acuerdos, «[e]l Parlamento Europeo emitirá su dictamen en un plazo que el Consejo podrá fijar según la urgencia». Este artículo añade igualmente que, «[d]e no mediar dictamen al término de dicho plazo, el Consejo podrá pronunciarse sin él». Esto es lo que ha ocurrido en el procedimiento que se ha seguido con vistas a la adopción de la Decisión del Consejo.

153. En otros términos, si en el proceso destinado a establecer un régimen de datos PNR ha podido tenerse en cuenta efectivamente «la urgente necesidad de poner remedio a la situación de incertidumbre en la que se encontraron aerolíneas y pasajeros, así como de la protección de los intereses financieros de las personas interesadas», me parece que dicha toma en consideración ha desempeñado un papel más importante en el marco del procedimiento seguido que en la definición del fin y del contenido del Acuerdo.

154. En cuanto a la alegación del Consejo y de la Comisión según la cual un acto relativo a la dimensión externa de la protección de los datos personales debe tener por fundamento una base jurídica idéntica a la de la medida interna que constituye la Directiva 95/46, procede señalar que el Tribunal de Justicia ya ha declarado que el hecho de elegir una disposición concreta del Tratado como base jurídica para la adopción de actos internos no basta para demostrar que debe emplearse esta misma base para aprobar un acuerdo internacional con un objeto similar. ( ) Además, he demostrado que el Acuerdo no tiene como fin principal ni como contenido la mejora de las condiciones de funcionamiento del mercado interior, mientras que la Directiva 95/46, adoptada en virtud del artículo 95 CE, «tiene por objeto garantizar la libre circulación entre Estados miembros de los datos personales mediante la armonización de las normas nacionales que protegen a las personas físicas en lo que respecta al tratamiento de estos datos». ( )

155. Teniendo en cuenta los elementos anteriores, estimo que el examen del fin y del contenido del Acuerdo demuestra que el artículo 95 CE no constituye la base jurídica adecuada de la Decisión del Consejo.

156. Por consiguiente, propongo al Tribunal de Justicia que declare que el primer motivo invocado por el Parlamento es fundado. De ello resulta que debe anularse la Decisión del Consejo debido a la elección errónea de su base jurídica.

157. Es cierto que en esta fase sería interesante dilucidar la cuestión de cuál debería ser la base jurídica adecuada para tal Decisión. Sin embargo, es preciso observar que, en el marco del presente asunto, no ha sido sometida al Tribunal de Justicia esta delicada cuestión. Por tanto, sólo formularé algunas observaciones sobre este problema, y, de forma más general, sobre la naturaleza del régimen PNR tal como ha sido negociado con los Estados Unidos.

158. En primer lugar, en contra de una idea defendida por el Consejo, la circunstancia de que el régimen PNR no haya sido establecido en el marco de las disposiciones del Tratado UE no permite, a mi juicio, demostrar la validez jurídica de la postura adoptada por el Consejo y la Comisión.

159. En segundo lugar, de manera más general, estimo que un acto que prevé la consulta y la utilización de datos personales por una entidad cuya misión consiste en garantizar la seguridad interior de un Estado, así como el hecho de facilitar tales datos a dicha entidad, puede asimilarse a un acto de cooperación entre autoridades públicas. ( )

160. Además, el hecho de imponer a una persona jurídica que lleve a cabo un tratamiento de datos de este tipo y de obligarla a efectuar la transferencia de estos datos no me resultan fundamentalmente distintos de un intercambio directo de datos entre autoridades públicas. ( ) Lo que es relevante es la comunicación obligatoria de los datos a efectos de seguridad y represivos, y no las modalidades específicas de una u otra situación. El presente asunto se refiere en realidad a una problemática nueva, relativa a la utilización de datos comerciales a efectos represivos. ( )

161. Por último, debe reseñarse que el Tribunal de Primera Instancia ha declarado que «la lucha contra el terrorismo internacional […] no puede vincularse a ninguno de los objetivos que los artículos 2 CE y 3 CE asignan expresamente a la Comunidad». ( )

162. Habida cuenta del hecho de que el análisis del primer motivo me lleva a proponer al Tribunal de Justicia que anule la Decisión del Consejo, debido a la elección errónea de su base jurídica, sólo examinaré con carácter subsidiario los otros motivos invocados por el Parlamento en apoyo del presente recurso.

B. Sobre el motivo basado en la infracción del artículo 300 CE, apartado 3, párrafo segundo, debido a una modificación de la Directiva 95/46

1. Alegaciones de las partes

163. Mediante este segundo motivo, el Parlamento sostiene que sólo podía aprobarse el Acuerdo entre la Comunidad y los Estados Unidos en nombre de ésta, si se cumplía con el procedimiento previsto en el artículo 300 CE, apartado 3, párrafo segundo. Este artículo prevé que «se concluirán previo dictamen conforme del Parlamento Europeo […] los acuerdos que impliquen una modificación de un acto aprobado con arreglo al procedimiento previsto en el artículo 251». Pues bien, según esta institución, el Acuerdo de que se trata implica una modificación de la Directiva 95/46, que fue aprobada con arreglo al procedimiento previsto en el artículo 251 CE.

164. A juicio del Parlamento, los Compromisos que las autoridades estadounidenses aceptaron aplicar conforme al Acuerdo no cumplían los requisitos para el tratamiento de datos que exige la Directiva 95/46. Por tanto, el Acuerdo tiene por efecto establecer excepciones a determinados principios esenciales de dicha Directiva y validar tratamientos de datos que ésta no autoriza. De este modo, concluye el Parlamento, el Acuerdo modifica la Directiva 95/46. En particular, el Parlamento señala las siguientes modificaciones.

165. En primer lugar, afirma que el Acuerdo tiene por objeto la prevención y la lucha contra el terrorismo y otros delitos graves, mientras que el artículo 3, apartado 2, primer guión, de la Directiva 95/46 excluye de su ámbito de aplicación la transferencia de datos destinados a las autoridades públicas de un tercer Estado por razones relacionadas con la seguridad pública de ese Estado. El Parlamento observa que los Estados miembros han previsto, a estos fines, disposiciones específicas en el Convenio Europol de 1995 y que se puede, por tanto, estimar, que existe en este área una complementariedad entre ambos instrumentos, que están fundados en bases jurídicas diferentes.

166. En segundo lugar, considera que la posibilidad que se confiere a las autoridades estadounidenses competentes de acceder directamente a los datos personales en el interior del territorio de la Comunidad (sistema «pull») constituye igualmente una modificación de la Directiva 95/46. El Parlamento sostiene que los artículos 25 y 26 de ésta no contienen disposición alguna que autorice a un país tercero a acceder directamente a estos datos.

167. En tercer lugar, indica que el Acuerdo, al remitirse a los Compromisos, autoriza al CBP, a su entera discreción y caso por caso, a transmitir los datos PNR a autoridades gubernamentales de represión y lucha contra el terrorismo ajenas a los Estados Unidos. Esta discreción que se otorga a las autoridades norteamericanas infringe la Directiva 95/46, y, en particular, el artículo 25, apartado 1, conforme al cual «la transferencia a un país tercero de datos personales […] únicamente pued[e] efectuarse cuando […] el país tercero de que se trate garantice un nivel de protección adecuado». El Parlamento estima que el sistema de protección instaurado en dicha Directiva sería reducido a la nada si el país tercero que es objeto de una decisión de adecuación favorable pudiera, seguidamente, transferir los datos personales a otros países que no hayan sido objeto de ninguna evaluación por parte de la Comisión.

168. En cuarto lugar, según el Parlamento, el Acuerdo contiene una modificación de la Directiva 95/46 en la medida en que el CBP, aunque decidiera no utilizar los datos personales «sensibles», estaría jurídicamente autorizado a proceder a la recogida de tales datos, lo cual ya constituye un tratamiento en el sentido del artículo 2, letra b), de esta Directiva.

169. En quinto lugar, el Parlamento considera que el Acuerdo modifica dicha Directiva en la medida en que el recurso judicial de que dispone toda persona en caso de violación de los derechos que le reconozcan las disposiciones de Derecho nacional aplicables al tratamiento de que se trate, tal como prevé el artículo 22 de la Directiva 95/46, no se encuentra suficientemente garantizado. Concretamente, una persona afectada por la transferencia de sus datos PNR no dispone de ningún recurso judicial, por ejemplo, en caso de datos incorrectos referidos a ella, de utilización de datos sensibles, o también de transmisión de datos a otra autoridad.

170. En sexto y último lugar, el Parlamento pone de relieve que el tiempo durante el cual pueden conservarse los datos PNR transferidos al CBP es excesivo, lo que constituye, en su opinión, una modificación de la Directiva 95/46, y, más concretamente de su artículo 6, apartado 1, letra e), que prevé un período para la conservación de los datos «no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente».

171. El SEPD apoya las pretensiones del Parlamento en el sentido de que, a su juicio, el Acuerdo incide sobre la Directiva 95/46. Considera que el Acuerdo sólo podía ser aprobado bajo el control democrático del Parlamento, puesto que afecta al nivel de armonización de las legislaciones nacionales tal como se prevé en esta Directiva, e incluso al respeto de los derechos fundamentales. En su opinión, la vulneración del nivel de protección de los datos personales previsto por dicha Directiva resulta en particular del hecho de que, tanto en el sistema «pull» como en el sistema «push», las compañías aéreas se ven obligadas a actuar infringiendo la Directiva, en particular, el artículo 6, apartado 1, letras b) y c). En la medida en que esta vulneración del nivel de protección de los datos implica una modificación de la Directiva 95/46, el SEPD considera que no se han respetado las garantías procedimentales previstas en el artículo 300 CE, apartado 3, párrafo segundo. Estima, por otro lado, que las «garantías sustanciales» también han sido vulneradas, en particular porque los Compromisos del CBP carecen de efecto vinculante.

172. Por el contrario, el Consejo, apoyado por la Comisión, estima que el Acuerdo no implica una modificación de la Directiva 95/46. Como fundamento de esta postura cita el apartado 8 de dicho Acuerdo, en cuyos términos éste «no tiene por objeto derogar o modificar la legislación de las Partes». Asimismo, alega que esta Directiva confiere a la Comisión amplias facultades discrecionales para apreciar el carácter adecuado de la protección que garantiza un país tercero. A este respecto, según el Consejo, la cuestión de si la Comisión ha sobrepasado los límites de su margen de apreciación constituye más bien el objeto del recurso de anulación de la Decisión de adecuación en el asunto C‑318/04.

173. El Consejo señala igualmente que, según él, las razones (seguridad, lucha contra el terrorismo u otras) que han llevado al CBP a exigir la transmisión de datos PNR no constituyen, desde el punto de vista de la Comunidad, ni el objeto ni el contenido del Acuerdo. Considera, además, que la Directiva 95/46 autoriza, en el ámbito de aplicación del mercado interior, a utilizar los datos personales con fines legítimos tales como la defensa de la seguridad del Estado.

174. En cualquier caso, según el Consejo, aun suponiendo que la Comunidad hubiera carecido de competencia para celebrar el Acuerdo, no se deduce de ello, sin embargo, que el Parlamento hubiera tenido que emitir