22

Los considerandos 4 a 12, 15, 19, 20, 22, 25, 27, 28, 33, 36 y 37 de la Directiva PNR enuncian: «(4) La Directiva [API] regula la comunicación previa por los transportistas aéreos a las autoridades nacionales competentes de información anticipada sobre los pasajeros (datos API, por sus siglas en inglés “advance passenger information”) con objeto de mejorar los controles fronterizos y combatir la inmigración ilegal. (5) Son objetivos de la presente Directiva, entre otras cosas, garantizar la seguridad, proteger la vida y la seguridad de los ciudadanos y crear un marco jurídico para la protección de los datos PNR en lo que respecta a su tratamiento por las autoridades competentes. (6) El uso eficaz de los datos PNR, por ejemplo, comparando los datos PNR con diversas bases de datos sobre personas y objetos buscados, es necesario para prevenir, detectar, investigar y enjuiciar de modo eficaz delitos de terrorismo y delitos graves, reforzando así la seguridad interior, para reunir pruebas y, en su caso, descubrir a los cómplices de los delincuentes y desmantelar redes delictivas. (7) La evaluación de los datos PNR permite la identificación de personas no sospechosas de estar implicadas en delitos de terrorismo o en delitos graves antes de que un análisis de sus datos PNR indique que puedan estar implicadas en los mismos, y deban ser objeto de investigación adicional por parte de las autoridades competentes. Mediante la utilización de datos PNR es posible responder a la amenaza de delitos de terrorismo y delitos graves desde una perspectiva distinta del tratamiento de otras categorías de datos personales. Sin embargo, para garantizar que el tratamiento de datos se limite a lo necesario, el establecimiento y la aplicación de criterios de evaluación debe limitarse a los delitos de terrorismo y a la delincuencia grave para las que es pertinente el uso de esos criterios. Deben definirse, por otra parte, los criterios de evaluación de tal manera que el sistema señale al menor número posible de personas inocentes. (8) Las compañías aéreas ya recogen y tratan datos PNR de sus pasajeros para sus fines comerciales propios. La presente Directiva no debe imponer ninguna obligación a las compañías aéreas de recoger o almacenar datos adicionales de los pasajeros ni a los pasajeros de facilitar a las compañías aéreas datos adicionales a los ya previstos. (9) Algunas compañías aéreas almacenan los datos API que recogen como parte de los datos PNR, mientras que otras no lo hacen. Utilizar los datos PNR junto con los datos API representa un valor añadido para ayudar a los Estados miembros a verificar la identidad de una persona, reforzando así el valor policial de ese resultado y reduciendo al mínimo el riesgo de realizar controles e investigaciones de personas inocentes. Es, pues, importante asegurarse de que, cuando las compañías aéreas recojan datos API, los transfieran, con independencia de que conserven o no dichos datos por otros medios técnicos que los datos PNR. (10) Para prevenir, detectar, investigar y enjuiciar los delitos de terrorismo y los delitos graves, es fundamental que todos los Estados miembros introduzcan disposiciones que impongan a las compañías aéreas que realizan vuelos exteriores de la [Unión], la obligación de transferir todos los datos PNR que recojan, incluidos los datos API. El Estado miembro debe tener la posibilidad también de ampliar esa obligación a las compañías aéreas que realizan vuelos interiores de la [Unión]. Estas disposiciones se deben entender sin perjuicio de la Directiva [API]. (11) El tratamiento de datos personales debe ser proporcional a los objetivos específicos de seguridad que persigue la presente Directiva. (12) La definición de delitos de terrorismo que se aplica en la presente Directiva deberá ser la misma que la de la Decisión marco 2002/475/JAI del Consejo[, de 13 de junio de 2002, sobre la lucha contra el terrorismo (DO 2002, L 164, p. 3)]. La definición de delitos graves deberá englobar las categorías de delito enumeradas en el anexo II de la presente Directiva. […] (15) Las listas de datos PNR que deba obtener una [Unidad de Información sobre los Pasajeros (UIP)] deberán elaborarse con el objetivo de reflejar las legítimas necesidades de las autoridades públicas para prevenir, detectar, investigar y enjuiciar los delitos de terrorismo y los delitos graves, mejorando así la seguridad interior en la Unión y la protección de los derechos fundamentales y, en particular, el derecho a la intimidad y la protección de datos personales. Para ello se deben aplicar exigencias elevadas, conforme a la [Carta], el Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal (“Convenio n.o 108”) y el Convenio [Europeo] para la protección de los derechos humanos y de las libertades fundamentales[, hecho en Roma el 4 de noviembre de 1950 (CEDH)]. Dichas listas no deben basarse en el origen racial o étnico, religión o convicciones, opiniones políticas o de cualquier otro tipo, la pertenencia a un sindicato, la salud, vida u orientación sexual. Los datos PNR solo deben contener la información detallada sobre las reservas e itinerarios de viaje que permita a las autoridades competentes identificar a los pasajeros por vía aérea que representan una amenaza para la seguridad interior. […] (19) Cada Estado miembro debe ser responsable de evaluar las posibles amenazas relacionadas con los delitos de terrorismo y los delitos graves. (20) Tomando plenamente en consideración el derecho a la protección de datos personales y el derecho a la no discriminación, no debe tomarse ninguna decisión que pudiera tener efectos jurídicos adversos para una persona o afectarle gravemente en razón únicamente del tratamiento automatizado de datos PNR. Asimismo, con arreglo a los artículos 8 y 21 de la Carta, dichas decisiones deben evitar toda discriminación por motivos como el sexo, raza, color, orígenes étnicos o sociales, características genéticas, lengua, religión o convicciones, opiniones políticas o de cualquier otro tipo, pertenencia a una minoría nacional, patrimonio, nacimiento, discapacidad, edad u orientación sexual. La Comisión [Europea] debe tener también en cuenta estos principios cuando revise la aplicación de la presente Directiva. […] (22) Teniendo plenamente en cuenta los principios de la jurisprudencia reciente expuesta por el Tribunal de Justicia de la Unión Europea, la aplicación de la presente Directiva debe garantizar el pleno respeto de los derechos fundamentales y el derecho a la intimidad, así como el principio de proporcionalidad. Asimismo, debe responder realmente a los objetivos de necesidad y proporcionalidad para favorecer los intereses generales reconocidos por la Unión y a la necesidad de proteger los derechos y libertades de los demás en la lucha contra el terrorismo y la delincuencia grave. La presente Directiva debe aplicarse cuando exista una justificación suficiente y deben preverse las garantías necesarias para asegurar la legalidad de cualquier tipo de almacenamiento, análisis, uso o transferencia de datos PNR. […] (25) El período durante el cual deben conservarse los datos PNR debe ser el necesario y debe ser proporcional a las finalidades de prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y los delitos graves. Dada la naturaleza de los datos y su utilización, es necesario que los datos PNR se conserven durante un período suficientemente largo para realizar análisis y utilizarlos en las investigaciones. Para evitar una utilización desproporcionada es necesario que, después del período inicial de conservación, los datos PNR se despersonalicen mediante enmascaramiento de elementos de los datos. Con el fin de garantizar el más alto nivel de protección de datos, el acceso al conjunto total de datos PNR, que permiten la identificación directa del interesado, solo debe poder autorizarse en condiciones muy estrictas y limitadas tras dicho período inicial. […] (27) En cada Estado miembro, el tratamiento de los datos PNR por la UIP y las autoridades competentes debe respetar normas de protección de datos personales previstos en el derecho nacional que sean conformes con la Decisión marco [2008/977], así como los requisitos específicos de protección de datos establecidos en la presente Directiva. Las referencias a la Decisión marco [2008/977] deberán entenderse como hechas a la legislación actualmente en vigor, así como a la legislación que la sustituya. (28) Considerando el derecho a la protección de datos personales, los derechos de los interesados relativos al tratamiento de sus datos PNR, tales como los derechos de acceso, rectificación, supresión y restricción de los datos PNR y el derecho a una indemnización y a una reparación judicial, deber ser conformes tanto con la Decisión marco [2008/977] como con el alto nivel de protección brindado por la Carta y el CEDH. […] (33) La presente Directiva no afecta a la posibilidad de que los Estados miembros establezcan en su derecho nacional un mecanismo para recoger y tratar los datos PNR proporcionados por operadores económicos que no sean compañías aéreas, tales como agencias de viaje y operadores turísticos que prestan servicios relacionados con los viajes, como la reserva de vuelos, para los cuales recogen y tratan datos PNR, o de los transportistas que no sean los mencionados en [la presente Directiva], siempre que el derecho nacional de que se trate respete el Derecho de la Unión. […] (36) La presente Directiva respeta los derechos fundamentales y los principios de la Carta, y en particular el derecho de protección de datos de carácter personal, el derecho a la intimidad y el derecho a la no discriminación reconocidos en los artículos 8, 7 y 21 de la misma, y debe aplicarse en consecuencia. La presente Directiva es compatible con los principios de protección de datos y sus disposiciones se ajustan a la Decisión marco [2008/977] del Consejo [de la Unión Europea]. Además, con el fin de cumplir el principio de proporcionalidad, la presente Directiva, en determinadas materias, contiene normas de protección de datos más estrictas que la Decisión marco [2008/977]. (37) Se ha limitado en lo posible el alcance de la presente Directiva pues permite conservar los datos PNR durante un período máximo de 5 años, tras el cual los datos deberán suprimirse; dispone que los datos deben despersonalizarse mediante enmascaramiento de los elementos de los datos tras un período inicial de seis meses, y prohíbe la recogida y utilización de datos sensibles. Para garantizar la eficiencia y un alto nivel de protección de datos, se exige a los Estados miembros que garanticen que una autoridad nacional de control independiente y, en particular, un responsable de la protección de datos, sea responsable de asesorar y de supervisar el modo en que se tratan los datos PNR. Cualquier tratamiento de datos PNR deberá registrarse o documentarse a efectos de la verificación de su legalidad, de autocontrol, así como para garantizar adecuadamente la integridad y seguridad del tratamiento. Los Estados miembros también deberán asegurarse de que los pasajeros reciban una información clara y precisa sobre la recogida de datos PNR y sobre sus derechos.»