Source: EURLEX
Language: es
Format: md

**Consejo de la**
**Unión Europea**

**Expediente interinstitucional:**

**2019/0277(NLE)**

**RESULTADO DE LOS TRABAJOS**

De: Secretaría General del Consejo

Fecha: 10 de noviembre de 2020

A: Delegaciones

N.º doc. prec.: 11844/20

**Bruselas, 12 de noviembre de 2020**
**(OR. en)**

**12870/20**

**SCH-EVAL 186**
**DATAPROTECT 122**
**COMIX 538**

Asunto: Decisión de Ejecución del Consejo por la que se formula una
Recomendación para subsanar las deficiencias detectadas en la
evaluación de 2018 de la aplicación por **Estonia** del acervo de Schengen
en materia de **protección de datos**

Adjunto se remite a las delegaciones la Decisión de Ejecución del Consejo por la que se formula

una Recomendación para subsanar las deficiencias detectadas en la evaluación de 2018 relativa a la

aplicación por Estonia del acervo de Schengen en materia de protección de datos, adoptada

mediante procedimiento escrito el 10 de noviembre de 2020.

De conformidad con el artículo 15, apartado 3, del Reglamento (UE) n.º 1053/2013 del Consejo,

de 7 de octubre de 2013, dicha Recomendación se remitirá al Parlamento Europeo y a los

Parlamentos nacionales.

12870/20 cb/CB/ms 1

# JAI.B ES

Decisión de Ejecución del Consejo por la que se formula una

**RECOMENDACIÓN**

**para subsanar las deficiencias detectadas en la evaluación de 2018 relativa a la aplicación por**

**Estonia del acervo de Schengen en materia de protección de datos**

EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) n.º 1053/2013 del Consejo, de 7 de octubre de 2013, por el que se establece

un mecanismo de evaluación y seguimiento para verificar la aplicación del acervo de Schengen, y se

deroga la Decisión del Comité Ejecutivo de 16 de septiembre de 1998 relativa a la creación de una

Comisión permanente de evaluación y aplicación de Schengen **[1]**, y en particular su artículo 15,

Vista la propuesta de la Comisión Europea,

Considerando lo siguiente:

(1) La finalidad de la presente Decisión es recomendar a Estonia medidas correctoras orientadas

a subsanar las deficiencias detectadas en la evaluación de Schengen en materia de protección

de datos realizada en 2018. Tras la evaluación se adoptó, mediante la Decisión de Ejecución

C(2019) 9090 de la Comisión, un informe en el que se recogen las conclusiones y

valoraciones y se incluye una lista de las mejores prácticas y las deficiencias detectadas

durante la evaluación.

(2) En el plano de las buenas prácticas, el equipo in situ acogió con satisfacción la práctica del

Servicio de Policía y de la Guardia de Fronteras (SPGF) y la Inspección de Protección de

Datos de Estonia (IPDE) de aceptar solicitudes firmadas digitalmente por los interesados, la

del SPGF de facilitar trimestralmente las estadísticas relativas a las solicitudes cursadas por

los interesados a la IPDE y la del Ministerio de Asuntos Exteriores (MAE) de realizar

auditorías de hasta cinco consulados cada año.

**1** DO L 295 de 6.11.2013, p. 27.

12870/20 cb/CB/ms 2

# JAI.B ES

(3) En vista de la importancia que reviste el cumplimiento del acervo de Schengen, en especial

la obligación de garantizar y llevar a cabo una supervisión efectiva y de velar por que se

adopten las medidas de seguridad necesarias, debe darse prioridad a la aplicación de las

recomendaciones 1, 2, 5, 16 y 17.

(4) La presente Decisión debe transmitirse al Parlamento Europeo y a los Parlamentos de los

Estados miembros. En un plazo de tres meses a partir de su adopción, Estonia debe, de

conformidad con el artículo 16, apartado 1, del Reglamento (UE) n.º 1053/2013, establecer

un plan de acción para subsanar las deficiencias detectadas en el informe de evaluación y

presentarlo a la Comisión y al Consejo.

RECOMIENDA:

que Estonia:

**Legislación**

1. aplique adecuadamente la reforma de la protección de datos de la UE lo antes posible;

**Autoridad de supervisión de la protección de datos**

2. garantice que la Inspección de Protección de Datos de Estonia (en lo sucesivo, la «IPDE»)

finalice sin demora las auditorías relativas al tratamiento de los datos personales en el

Sistema de Información de Schengen II (en lo sucesivo, el «SIS II»);

3. garantice que las futuras auditorías del tratamiento de los datos personales en el SIS II y el

VIS sean plenamente exhaustivas y se lleven a cabo de acuerdo con las normas

internacionales de auditoría; en particular, la IPDE debería, en el contexto de la auditoría del

VIS, realizar inspecciones en las oficinas consulares y en los locales de los prestadores de

servicios externos;

4. garantice que se refuerce el seguimiento de las inspecciones llevadas a cabo por la IPDE en

relación con el SIS II y el VIS, bien estableciendo un plazo específico para seguir las

recomendaciones, bien solicitando al responsable del tratamiento que informe a la IPDE

sobre la aplicación de las recomendaciones en un plazo determinado;

12870/20 cb/CB/ms 3

# JAI.B ES

5. garantice que la IPDE realice con frecuencia análisis de los registros de las operaciones

relacionadas con los datos del SIS II y del VIS, incluidos los registros de acceso, para el

seguimiento de la protección de datos;

**Derechos de los interesados**

6. garantice que las respuestas del Servicio de Policía y de la Guardia de Fronteras (en lo

sucesivo, el «SPGF») y de la IPDE a las solicitudes de acceso de los interesados contengan

información sobre el derecho a presentar una reclamación a la IPDE y al órgano

jurisdiccional;

7. garantice que la respuesta positiva dada a la solicitud de acceso de los interesados no solo

informe a estos de que sus datos son tratados en el SIS II, sino también sobre el contenido de

los datos tratados, facilitando una copia de los mismos;

8. facilite a los interesados, en los formularios de solicitud de visado, información clara acerca

de la identidad del responsable del tratamiento de sus datos personales en el marco de la

expedición de visados Schengen;

9. facilite a los interesados información sobre los derechos que les asisten en relación con los

datos del VIS no solo en los puertos, sino también en los locales del puesto de guardia de

fronteras;

**Sistema de Información de Visados**

10. precise la situación relativa al control del tratamiento de datos personales en el VIS

nacional, en particular precisando el cometido del Ministerio del Interior (en lo sucesivo, el

«MI»), del Servicio de Policía y de la Guardia de Fronteras y del Ministerio de Asuntos

Exteriores (en lo sucesivo, el «MAE»), y precisando el reparto de responsabilidades

relacionadas con el tratamiento de datos personales entre dichas autoridades;

11. garantice que el contrato entre el MAE y el prestador de servicios externo (en lo sucesivo, el

«PSE») indique claramente que la IPDE puede realizar inspecciones en los locales del PSE;

12870/20 cb/CB/ms 4

# JAI.B ES

12. garantice que los registros de las operaciones relacionadas con los datos del VIS, incluidos

los registros de acceso y los registros almacenados en todas las aplicaciones pertinentes para

el tratamiento de los datos del VIS (como PIKO, KOMET o POLIS) no se almacenen más de

un año desde la expiración del período de conservación a que se refiere el artículo 23,

apartado 1, del Reglamento VIS, en consonancia con los períodos definidos en el artículo 34,

apartado 2, del Reglamento VIS y en el artículo 16 de la Decisión del Consejo sobre el VIS;

13. tome las medidas necesarias para reforzar la auditoría interna del cumplimiento del acervo

del VIS por parte del MAE, en particular por lo que respecta a la eficacia de las medidas de

seguridad y al control de la legalidad del tratamiento de los datos personales, entre otras

cosas mediante la participación activa del responsable de protección de datos del MAE en

las tareas destinadas a este fin;

14. garantice que el responsable o los responsables del tratamiento de datos del VIS realicen

periódicamente el seguimiento interno del tratamiento de los datos personales del VIS, en

particular mediante el análisis periódico de los archivos de registro, a fin de garantizar el

seguimiento de la protección de datos; debe animarse al responsable o responsables del

tratamiento a que utilicen herramientas específicas para la búsqueda automática de registros

utilizando distintos criterios a fin de facilitar el seguimiento y la validación de la exactitud

del tratamiento de datos;

15. aplique plenamente la Decisión 2008/633/JAI del Consejo, de 23 de junio de 2008, sobre el

acceso para consultar el Sistema de Información de Visados (VIS) por las autoridades

designadas de los Estados miembros y por Europol, con fines de prevención, detección e

investigación de delitos de terrorismo y otros delitos graves, y garantizar que el acceso a los

datos del VIS con fines de prevención, detección e investigación de delitos de terrorismo y

otros delitos graves respete los requisitos y el procedimiento en ella establecidos;

**Sistema de Información de Schengen**

16. garantice que los registros de las operaciones relacionadas con los datos del SIS, incluidos

los registros de acceso y los registros almacenados en todas las aplicaciones pertinentes para

el tratamiento de los datos del SIS (como POLIS, UUSIS, PIKO o KOMET) no se

conserven durante un período superior a tres años a partir de su creación, conforme a lo

previsto en el artículo 12, apartado 4, del Reglamento SIS II y de la Decisión del Consejo

sobre el SIS II, a menos que sea necesario para los procedimientos de seguimiento en curso;

12870/20 cb/CB/ms 5

# JAI.B ES

17. garantice la puesta en práctica de la recomendación resultante de la anterior evaluación

Schengen y disponga sin demora la supresión automática de los registros del SIS;

18. garantice que el SPGF mejore sus actividades relacionadas con el seguimiento interno del

tratamiento de datos personales en el N.SIS y lleve a cabo dicho seguimiento interno

periódicamente;

19. garantice que el SPGF analice los archivos de registro de forma periódica para garantizar la

supervisión de la protección de datos; a tal fin, se debe animar al SPGF a que amplíe el uso

de herramientas específicas de análisis automático de los registros;

20. examine la política relativa al acceso de los usuarios a los datos del SIS cuando todas las

aplicaciones permitan a sus usuarios acceder a todas las descripciones del SIS y, cuando sea

necesario, revisar los perfiles de usuario y los derechos de acceso de los usuarios de

conformidad con el artículo 28 del Reglamento SIS II, el artículo 43 de la Decisión del

Consejo sobre el SIS II y el artículo 10, apartado 1, letra g), del Reglamento SIS II y de la

Decisión del Consejo sobre el SIS II, y definir el alcance del acceso de los usuarios a los

datos del SIS con arreglo a lo estrictamente necesario para sus funciones;

**Sensibilización de la opinión pública**

21. garantice que la Guía para el ejercicio del derecho de acceso adoptada por el Grupo de

Coordinación de la Supervisión del SIS II esté disponible en el sitio web de la IPDE.

Hecho en Bruselas, el

_Por el Consejo_

_El Presidente / La Presidenta_

___________________

12870/20 cb/CB/ms 6

# JAI.B ES