Source: EURLEX
Language: es
Format: md

**Consejo de la**
**Unión Europea**

**Expediente interinstitucional:**

**2019/0169(NLE)**

**RESULTADO DE LOS TRABAJOS**

De: Secretaría General del Consejo

Fecha: 20 de septiembre de 2019

A: Delegaciones

N.º doc. prec.: 11906/1/19 REV 1

**Bruselas, 24 de septiembre de 2019**
**(OR. en)**

**12469/19**

**SCH-EVAL 158**
**DATAPROTECT 217**
**COMIX 428**

Asunto: Decisión de Ejecución del Consejo por la que se formula una
recomendación para subsanar las deficiencias detectadas en la evaluación
de 2018 relativa a la aplicación por parte de **Letonia** del acervo de
Schengen en materia de **protección de datos**

Adjunto se remite a las delegaciones la de Decisión de Ejecución del Consejo por la que se formula

una recomendación para subsanar las deficiencias detectadas en la evaluación de 2018 relativa a la

aplicación por parte de Letonia del acervo de Schengen en materia de protección de datos, adoptada

por el Consejo en su sesión del 20 de septiembre de 2019.

De conformidad con el artículo 15, apartado 3, del Reglamento (UE) n.º 1053/2013 del Consejo, de

7 de octubre de 2013, dicha Recomendación se remitirá al Parlamento Europeo y a los Parlamentos

nacionales.

12469/19 iar/IAR/nas 1

# JAI.B ES

Decisión de Ejecución del Consejo por la que se formula una

**RECOMENDACIÓN**

**para subsanar las deficiencias detectadas en la evaluación de 2018 relativa a la aplicación por**

**parte de Letonia del acervo de Schengen en materia de protección de datos**

EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) n.° 1053/2013 del Consejo, de 7 de octubre de 2013, por el que se

establece un mecanismo de evaluación y seguimiento para verificar la aplicación del acervo de

Schengen, y se deroga la Decisión del Comité Ejecutivo de 16 de septiembre de 1998 relativa a la

creación de una Comisión permanente de evaluación y aplicación de Schengen [1], y en particular su

artículo 15,

Vista la propuesta de la Comisión Europea,

Considerando lo siguiente:

(1) La finalidad de la presente Decisión es recomendar a Letonia medidas correctoras orientadas

a subsanar las deficiencias detectadas en la evaluación de Schengen en materia de protección

de datos realizada en 2018. Tras la evaluación, se adoptó, mediante la Decisión de Ejecución

C(2019)5720 de la Comisión, un informe en el que se exponen las conclusiones y

valoraciones y se incluye una lista de las mejores prácticas y las deficiencias detectadas

durante la evaluación.

(2) Se consideran buenas prácticas, entre otras cosas, la correcta solicitud de financiación de la

Comisión Europea destinada a mejorar la sensibilización de la opinión pública y el hecho de

que las respuestas de la oficina SIRENE están disponibles en diferentes lenguas y las

respuestas se den generalmente en un breve período de tiempo.

**1** DO L 295 de 6.11.2013, p. 27.

12469/19 iar/IAR/nas 2

# JAI.B ES

(3) En vista de la importancia que reviste el cumplimiento del acervo de Schengen en materia de

protección de datos en relación con el Sistema de Información de Schengen II (SIS II), debe

darse prioridad a las recomendaciones 15 a 18.

(4) En vista de la importancia que reviste el cumplimiento del acervo de Schengen en materia de

protección de datos en relación con el Sistema de Información de Visados (VIS), debe darse

prioridad a las recomendaciones 9 y 11.

(5) La presente Decisión debe transmitirse al Parlamento Europeo y a los Parlamentos de los

Estados miembros. En el plazo de tres meses a partir de su adopción, Letonia debe

establecer, con arreglo al artículo 16, apartado 1, del Reglamento (UE) n.º 1053/2013, un

plan de acción en el que figuren todas las recomendaciones dirigidas a subsanar las

deficiencias detectadas en el informe de evaluación y presentar dicho plan de acción a la

Comisión y al Consejo.

RECOMIENDA:

que Letonia debería:

**Autoridad de supervisión de la protección de datos**

1. Garantizar la total independencia de la autoridad de protección de datos mediante la

adopción de legislación nacional que cumpla lo dispuesto en el capítulo VI del Reglamento

general de protección de datos (en lo sucesivo, «RGPD»), en particular el procedimiento

para el despido del director.

2. Garantizar que la autoridad de protección de datos reciba financiación suficiente y cuente

con una dotación de personal adecuada para desempeñar todas las tareas que se le

encomienden en el marco del acervo del Sistema de Información de Schengen II (en lo

sucesivo, «SIS II») y el Sistema de Información de Visados (en lo sucesivo, «VIS»).

12469/19 iar/IAR/nas 3

# JAI.B ES

3. Garantizar que la auditoría de las operaciones de tratamiento de datos en el N.SIS, tal

como se exige en el artículo 44, apartado 2, del Reglamento SIS II y en el artículo 60,

apartado 2, de la Decisión SIS II del Consejo, se lleve a cabo a su debido tiempo.

4. Garantizar que la auditoría de las operaciones de tratamiento de datos en el N.VIS se lleve

a cabo conforme a lo dispuesto en el artículo 41, apartado 2, del Reglamento VIS y en el

artículo 8, apartado 6, de la Decisión VIS del Consejo.

5. Garantizar que las futuras auditorías del SIS II y del VIS sean plenamente exhaustivas y se

lleven a cabo de conformidad con las normas internacionales de auditoría exigidas por el

acervo SIS II y VIS, y garantizar que se desplieguen los conocimientos informáticos

necesarios para estas auditorías.

6. Garantizar que las actividades de supervisión de la autoridad de protección de datos en

relación con el SIS II incluyan controles periódicos de las descripciones del SIS II.

7. Garantizar que las actividades de supervisión de la autoridad de protección de datos en

relación con el VIS incluyan inspecciones periódicas de las oficinas consulares.

8. Garantizar que el plan de inspección plurianual de la autoridad de protección de datos

incluya actividades de inspección que vayan más allá de las auditorías obligatorias del SIS

II y del VIS.

**Sistema de Información de Visados**

9. Garantizar que los ficheros de registro se analizan periódicamente para controlar la

legalidad de las actividades de tratamiento de datos de conformidad con el artículo 34,

apartados 1 y 2, del Reglamento VIS.

10. Aclarar el papel (encargado o corresponsable del tratamiento de datos) del Ministerio de

Asuntos Exteriores (en lo sucesivo, «MAE») en relación con la Oficina de Asuntos de

Ciudadanía y Migración (en lo sucesivo, «OACM»).

11. Garantizar una autoauditoría más frecuente de las actividades de tratamiento en el VIS por

la OACM.

12469/19 iar/IAR/nas 4

# JAI.B ES

12. Revisar los contratos con proveedores de servicios externos a fin de respetar y ajustarse a

los requisitos establecidos en el RGPD.

13. Definir claramente las funciones y competencias de los responsables de la protección de

datos de la OACM y el MAE, respectivamente.

14. Garantizar que los formularios electrónicos utilizados en el contexto de la solicitud de

visado incluyan un aviso sobre protección de datos que informe a los titulares de los datos

sobre las actividades de tratamiento de los datos y los derechos individuales aplicables.

**Sistema de Información de Schengen**

15. Garantizar que la policía realice autoauditorías de forma periódica, haciendo especial

hincapié en el autocontrol de los registros.

16. Generar registros nacionales del SIS II a nivel central y garantizar que la justificación de la

consulta pueda establecerse a partir del registro.

17. Garantizar la revisión regular de los ficheros de registro para comprobar la legalidad del

tratamiento de los datos de acuerdo con el artículo 12, apartado 2, del Reglamento SIS II y

de la Decisión SIS II del Consejo.

18. Minimizar el riesgo para la seguridad que plantea la aplicación móvil que permite el acceso

al SIS II, haciendo, por ejemplo, que este acceso solo sea posible a través de un servicio

VPN.

19. Establecer un sistema de autenticación bifactorial.

20. Garantizar que los datos de producción no se utilicen a fines de ensayo y que solo realicen

búsquedas en el N.SIS usuarios debidamente autorizados.

21. Definir claramente las funciones y competencias del responsable de protección de datos

dentro de la policía, incluida su participación en las actividades de control interno, como el

control de la eficacia de las medidas de seguridad.

12469/19 iar/IAR/nas 5

# JAI.B ES

**Derechos de los interesados y sensibilización**

22. Facilitar de manera periódica a la autoridad de protección de datos las estadísticas sobre el

ejercicio de los derechos de los interesados relacionados con el SIS II y el VIS.

23. Poner en mayor medida a disposición de todos (en aeropuertos y otros lugares públicos)

materiales informativos como el folleto «Datos personales en el Sistema de Información de

Schengen».

Hecho en Bruselas, el

_Por el Consejo_
_El Presidente / La Presidenta_

12469/19 iar/IAR/nas 6

# JAI.B ES