Source: https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=OJ:C:2011:101:FULL&from=NL
Timestamp: 2019-08-21 21:01:23
Document Index: 213114663

Matched Legal Cases: ['artículo 28', 'artículo 28', 'artículo 6', 'artículo 7', 'Artículo 6', 'Artículo 7', 'artículo 7', 'artículo 7', 'artículo 8', 'Artículo 29', 'artículo 5', 'artículo 5', 'artículo 6', 'artículo 5', 'artículo 8', 'artículo 6', 'artículo 6', 'artículo 6', 'artículo 6', 'artículo 6', 'artículo 6', 'artículo 8', 'artículo 6', 'artículo 6', 'artículo 6', 'artículo 6', 'artículo 13', 'artículo 16', 'Artículo 29', 'artículo 5', 'artículo 6', 'artículo 41', 'artículo 71', 'artículo 16', 'artículo 4', 'artículo 16', 'artículo 28', 'artículo 28', 'artículo 6', 'artículo 1', 'artículo 6', 'artículo 8', 'artículo 24', 'artículo 25', 'artículo 24', 'artículo 24', 'artículo 4', 'artículo 4', 'artículo 47', 'artículo 6', 'artículo 24', 'artículo 4', 'artículo 4', 'artículo 18', 'artículo 1', 'artículo 114', 'artículo 114', 'artículo 95', 'artículo 28', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 5', 'artículo 3', 'Artículo 29', 'Artículo 29', 'Artículo 29', 'Artículo 29', 'artículo 28', 'artículo 2', 'artículo 14', 'artículo 3', 'artículo 14', 'artículo 27', 'artículo 24', 'artículo 27', 'Artículo 29', 'artículo 14', 'artículo 3', 'artículo 6', 'artículo 6', 'artículo 5', 'artículo 84', 'artículo 4', 'artículo 4', 'artículo 4', 'artículo 4', 'artículo 12', 'artículo 15', 'artículo 4', 'artículo 3', 'artículo 4', 'artículo 3', 'artículo 7', 'artículo 7', 'artículo 3', 'artículo 7', 'artículo 263', 'artículo 2', 'artículo 2', 'artículo 7']

Diario Oficial C 101/2011
doi:10.3000/1725244X.C_2011.101.spa
Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Reglamento sobre la comercialización y la utilización de precursores de explosivos
Dictamen del Supervisor Europeo de Protección de Datos sobre la Comunicación de la Comisión al Parlamento Europeo y al Consejo — La Estrategia de Seguridad Interior de la UE en acción: cinco medidas para una Europa más segura
Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta modificada de Reglamento del Parlamento Europeo y del Consejo relativo a la creación del sistema Eurodac para la comparación de las impresiones dactilares para la aplicación efectiva del Reglamento (CE) no (…/…) (por el que se establecen los criterios y mecanismos de determinación del Estado miembro responsable del examen de una solicitud de protección internacional presentada en uno de los Estados miembros por un nacional de un tercer país o un apátrida)
Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la Agencia Europea de Seguridad de las Redes y de la Información (ENISA)
No oposición a una concentración notificada (Asunto COMP/M.6076 — Orangina Schweppes/Européenne d'Embouteillage) ( 1 )
Informe Especial no 1/2011 ¿Supone una mejora en la prestación de la ayuda la desconcentración de las competencias de la Comisión en gestión de la ayuda exterior para transferirlas de los servicios centrales a las delegaciones?
Procedimiento nacional belga de asignación de derechos de tráfico aéreo limitados
Información comunicada por los Estados miembros referente a la ayuda estatal concedida con arreglo al Reglamento (CE) no 1628/2006 de la Comisión, relativo a la aplicación de los artículos 87 y 88 del Tratado a las ayudas regionales a la inversión ( 1 )
Notificación previa de una operación de concentración (Asunto COMP/M.6144 — Giesecke & Devrient/Wincor Nixdorf International/BEB Industrie-Elektronik) — Asunto que podría ser tramitado conforme al procedimiento simplificado ( 1 )
Notificación previa de una operación de concentración (Asunto COMP/M.6182 — MAN/MAN Camions et Bus/MAN Truck & Bus Belgium) — Asunto que podría ser tramitado conforme al procedimiento simplificado ( 1 )
Comunicación a la atención de Ibrahim Hassan Tali Al-Asiri, cuyo nombre se añadió a la lista mencionada en los artículos 2, 3 y 7 del Reglamento (CE) no 881/2002 del Consejo por el que se imponen determinadas medidas restrictivas específicas dirigidas contra determinadas personas y entidades asociadas con Usamah bin Laden, la red Al-Qaida y los talibanes, en virtud del Reglamento (UE) de la Comisión no 317/2011
Vista la solicitud de dictamen de conformidad con el artículo 28, apartado 2, del Reglamento (CE) no 45/2001 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (2),
El 20 de septiembre de 2010, la Comisión Europea adoptó una propuesta de Reglamento sobre la comercialización y la utilización de precursores de explosivos (3) («la propuesta»). El 11 de noviembre de 2010, la propuesta adoptada por la Comisión se sometió al SEPD a título consultivo, de conformidad con el artículo 28, apartado 2, del Reglamento (CE) no 45/2001. El SEPD acoge con satisfacción que la Comisión le haya consultado y que se haga mención de dicha consulta en los considerandos de la propuesta.
El principal objetivo de las medidas propuestas consiste en reducir el riesgo de que los terroristas u otros criminales perpetren atentados utilizando artefactos explosivos de fabricación artesanal. Con este fin, el Reglamento limita el acceso del público en general a ciertos productos químicos que puedan utilizarse de forma indebida como precursores de explosivos de fabricación artesanal. Además, la propuesta establece un control más riguroso de las ventas de tales productos químicos a través de la creación de mecanismos de comunicación de transacciones sospechosas y robos.
En este dictamen, el SEPD llama la atención de los legisladores sobre una serie de cuestiones relativas a la protección de datos y proporciona recomendaciones destinadas a garantizar el respeto del derecho fundamental a la protección de los datos personales.
II. ANÁLISIS DE LA PROPUESTA Y DE LOS ASPECTOS PERTINENTES RELACIONADOS CON LA PROTECCIÓN DE DATOS
1. Medidas propuestas por la Comisión
La propuesta de Reglamento aborda el problema del uso indebido de algunos productos químicos, que el público puede encontrar muy fácilmente en el mercado, como precursores de explosivos de fabricación artesanal. Los artículos 4 y 5 de la propuesta versan sobre la prohibición de la venta al público en general, que se conjuga con un sistema de licencias y con la obligación de registrar todas las transacciones efectuadas al amparo de una licencia. El artículo 6 impone a los operadores económicos la obligación de comunicar las transacciones sospechosas y los robos. Por último, el artículo 7 se refiere a la necesidad de garantizar la protección de datos.
Artículos 4 y 5: Prohibición de la venta, concesión de licencias y registro de transacciones
Se prohibirá la venta al público en general de determinados productos químicos que superen unos límites máximos de concentración. La venta de estos productos en concentraciones superiores sólo se autorizará a los usuarios que puedan demostrar una necesidad legítima de utilización del producto.
El ámbito de aplicación de la propuesta se limita a una breve lista de sustancias químicas y sus mezclas (véase el anexo I de la propuesta), y a la venta de estos productos al público en general. Las restricciones no se aplican a la venta a los usuarios profesionales o en el marco de transacciones entre empresas. Además, sólo se limita el acceso del público a las sustancias incluidas en la lista si estas últimas superan niveles de concentración determinados. Por otra parte, sigue siendo posible obtener tales sustancias previa presentación de una licencia expedida por una Administración pública (que certifique la existencia de una necesidad legítima de utilización). Por último, se establece una excepción relativa al nitrato de amonio, que podrá ponerse a disposición de los agricultores para su uso como abono aunque su concentración sea superior al límite establecido.
También será necesaria la obtención de una licencia si un particular tiene intención de importar a la Unión Europea sustancias que figuren en la lista.
Todo operador económico que ponga una sustancia o una mezcla a disposición de un particular en posesión de una licencia, deberá comprobar la licencia de éste y mantener un registro de la transacción.
Cada Estado miembro establecerá las normas para la concesión de la licencia. La autoridad competente del Estado miembro en cuestión denegará la licencia si existen buenas razones para dudar de la legitimidad del uso previsto. Las licencias serán válidas en todos los Estados miembros. La Comisión podrá elaborar directrices relativas a los detalles técnicos de las licencias con el fin de favorecer el reconocimiento mutuo de éstas.
Artículo 6: comunicación de transacciones sospechosas y robos
La venta de sustancias químicas objeto de preocupación (las que figuran en el anexo II, aparte de las incluidas en el anexo I, a las que ya corresponde la obligación de obtener licencia) estará sujeta a la obligación de notificar transacciones sospechosas o robos.
La propuesta obliga a cada Estado miembro a establecer un punto de contacto nacional (indicando claramente el número de teléfono y la dirección electrónica) al que deben comunicarse las transacciones sospechosas. Los operadores económicos darán parte sin demora de cualquier transacción sospechosa o robo, citando, si es posible, la identidad del cliente.
La Comisión elaborará y actualizará unas directrices destinadas a ayudar a los operadores a reconocer y notificar las transacciones sospechosas. Las directrices contendrán asimismo una lista, actualizada periódicamente, de sustancias no incluidas en los anexos I o II con respecto a las que se recomiende la notificación voluntaria de transacciones sospechosas y robos.
Artículo 7: protección de datos
El considerando 11 y el artículo 7 exigen que el tratamiento de los datos personales con arreglo al Reglamento se lleve a cabo de conformidad con la legislación comunitaria sobre protección de datos, en particular con la Directiva 95/46/CE (4) y con las leyes nacionales de protección de datos por las que se transpone dicha Directiva. La propuesta no contiene más disposiciones sobre protección de datos.
2. Necesidad de establecer unas disposiciones más concretas para proteger los datos personales de manera adecuada
La comunicación de las transacciones sospechosas y el régimen de concesión de licencias y registro previstos por el Reglamento requieren el tratamiento de datos personales, lo que implica —al menos hasta cierto punto— una grave injerencia en la vida privada y en el ejercicio del derecho a la protección de los datos personales, y requiere, por ende, unas garantías adecuadas.
El SEPD celebra que la propuesta contenga una disposición específica (artículo 7) sobre protección de datos. Dicho lo cual, esta disposición única —y muy general— incluida en la propuesta es insuficiente para dar una respuesta adecuada a los problemas en materia de protección de datos que plantean las medidas propuestas. Además, los artículos pertinentes de la propuesta (artículos 4, 5 y 6) tampoco pormenorizan con suficiente detalle las operaciones de tratamiento de datos previstas.
A título ilustrativo, en lo que respecta a la concesión licencias, el Reglamento exige que los operadores económicos mantengan un registro de las operaciones efectuadas en el marco de una licencia sin especificar, sin embargo, qué datos de carácter personal deben contener los registros, durante cuánto tiempo se deben conservar, a quién pueden revelarse y en qué condiciones. Tampoco se especifica qué datos han de recogerse al tramitar las solicitudes de concesión de licencia.
En cuanto a la obligación de notificar transacciones sospechosas y robos, la propuesta establece un requisito de información sin especificar, sin embargo, qué constituye una transacción sospechosa, qué datos personales deben comunicarse, durante cuánto tiempo debe conservarse la información notificada, a quién puede revelarse y en qué condiciones. La propuesta tampoco facilita información adicional a propósito de los «puntos de contacto nacionales» que han de establecerse, las bases de datos que estos puntos de contacto puedan crear para sus Estados miembros o cualquier otra base de datos de ámbito comunitario que pudiera crearse.
Desde el punto de vista de la protección de datos, la recopilación de datos sobre transacciones sospechosas constituye el asunto más delicado de la propuesta. Procede aclarar las disposiciones pertinentes con el fin de garantizar que el tratamiento de los datos siga siendo proporcionado y evitar abusos. Para lograrlo, deben especificarse con claridad las condiciones relativas al tratamiento de datos y ofrecerse las garantías adecuadas.
Es importante destacar que los datos no deben utilizarse para cualquier propósito que no sea la lucha contra el terrorismo (u otros delitos que entrañen el uso indebido de productos químicos para la fabricación de artefactos explosivos artesanales). Tampoco deben conservarse tales datos durante largos periodos, especialmente si la cifra de interesados, potenciales o reales, va a ser elevada y/o si los datos van a utilizarse para la extracción automática de información (data mining). Ello es aún más importante en los casos en los que se pueda demostrar que la sospecha inicial fue infundada. En tales casos será necesaria una justificación específica para seguir conservando los datos. A modo de ejemplo, el SEPD se remite en este contexto a la sentencia del Tribunal Europeo de Derechos Humanos en el asunto S y Marper contra Reino Unido (2008) (5), según la cual la conservación prolongada del ADN de personas no condenadas por un delito penal supone una violación de su derecho a la intimidad en virtud del artículo 8 del Convenio Europeo de Derechos Humanos.
Por dichos motivos, el SEPD recomienda que los artículos 5, 6 y 7 de la propuesta incorporen nuevas disposiciones más específicas que den una respuesta adecuada a estos problemas. Más adelante se propondrán recomendaciones concretas al respecto.
Hay que tener en cuenta, además, si es posible elaborar disposiciones específicas y más detalladas en una decisión de ejecución de la Comisión de conformidad con los artículos 10, 11 y 12 de la propuesta, al objeto de dar una respuesta práctica a otros problemas en materia de protección de datos.
Por último, el SEPD recomienda asimismo que las directrices de la Comisión sobre las transacciones sospechosas y los detalles técnicos de las licencias incluyan disposiciones más concretas en materia de tratamiento y protección de datos. Ambas directrices, así como cualquier posible decisión de ejecución en el ámbito de la protección de datos, deben adoptarse previa consulta al SEPD y —donde se debata la aplicación a nivel nacional— al Grupo Europeo de Protección de Datos del Artículo 29. El propio Reglamento debe prever claramente este extremo y enumerar de manera concreta los principales temas que hayan de tratarse en las directrices o en la decisión de ejecución.
3. Recomendaciones relativas a la concesión de licencias y al registro de transacciones
3.1. Recomendaciones relativas al artículo 5 de la propuesta
Periodo máximo de conservación y categorías de datos recopilados
El SEPD recomienda que el artículo 5 del Reglamento establezca un plazo máximo de conservación (a priori, no superior a dos años), así como las categorías de datos personales que deban registrarse (no más que el nombre, el número de licencia y los artículos adquiridos). Estas recomendaciones se desprenden del principio de necesidad y proporcionalidad: la recogida y conservación de los datos personales deben limitarse a lo estrictamente necesario para los fines perseguidos (véase el artículo 6, letras c) y e), de la Directiva 95/46/CE). Si tales especificaciones se encomiendan a la legislación o la práctica nacionales, es probable que ello produzca una incertidumbre innecesaria y que se dispense un trato desigual a situaciones similares en la práctica.
Prohibición de recoger «categorías especiales de datos»
Por otra parte, el artículo 5 del Reglamento debe prohibir explícitamente —en relación con el proceso de concesión de licencias— la recogida y el tratamiento de «categorías especiales de datos» (según se definen en el artículo 8 de la Directiva 95/46/CE), tales como, entre otros, los datos personales que revelen el origen racial o étnico, opiniones políticas y creencias religiosas o filosóficas.
Ello debería contribuir asimismo a asegurar que no se dispense a los solicitantes un trato discriminatorio, por ejemplo, por motivo de su raza, nacionalidad o afiliación política o religiosa. En este contexto, el SEPD hace hincapié en que garantizar un alto nivel de protección de los datos constituye asimismo un medio para contribuir a la lucha contra el racismo, la xenofobia y la discriminación, lo que, a su vez, también puede contribuir a prevenir la radicalización y la captación de terroristas.
3.2. Recomendaciones relativas a las directrices/la decisión de ejecución
Datos recogidos durante el proceso de concesión de licencias
El Reglamento establece que las solicitudes de licencia deben ser denegadas si hay motivos razonables para dudar de la legitimidad del uso previsto. En este sentido, sería útil que en las directrices y/o en la decisión de aplicación se especificaran los datos que pueden recoger las autoridades responsables de la concesión de licencias en relación con la solicitud de la misma.
Las directrices o la decisión de ejecución deberían establecer que los registros sólo se revelen a las autoridades policiales competentes que investiguen actividades terroristas u otros presuntos actos delictivos relacionados con el uso de precursores de explosivos. Tal información no debería utilizarse con otra finalidad (véase el artículo 6, letra b) de la Directiva 95/46/CE).
Información a los interesados sobre el registro de transacciones (y la notificación de transacciones sospechosas)
El SEPD recomienda además que las directrices y/o la decisión de ejecución especifiquen que la autoridad responsable de la concesión de licencias —que es la mejor situada para facilitar tal comunicación directamente a los interesados— debe informar a los licenciatarios sobre el hecho de que sus compras vayan a registrarse y de que pueden ser objeto de notificación si se consideran «sospechosas» (véanse los artículos 10 y 11 de la Directiva 95/46/CE).
4. Recomendaciones con respecto a la notificación de transacciones sospechosas y robos
4.1. Recomendaciones relativas al artículo 6 de la propuesta
El SEPD recomienda que se aclaren la función y la naturaleza de los puntos de contacto nacionales en la propuesta. La evaluación de impacto, en el apartado 6.33, se refiere a la posibilidad de que estos puntos de contacto puedan ser no sólo «autoridades policiales» sino, asimismo, «asociaciones». Los documentos legislativos no proporcionan información adicional al respecto. Tal extremo debería aclararse, en particular, en el artículo 6, apartado 2, de la propuesta. En principio, los datos deben obrar en poder de las autoridades policiales y, si éste no fuera el caso, los motivos de ello deben justificarse muy claramente.
Por otra parte, el artículo 6 del Reglamento debe especificar los datos personales que deban registrarse (no más que el nombre, el número de licencia, los artículos adquiridos y las razones que dan lugar a la sospecha). Estas recomendaciones se desprenden del principio de necesidad y proporcionalidad: la recogida de datos personales debe limitarse a lo estrictamente necesario para los fines perseguidos (véase el artículo 6, letra c), de la Directiva 95/46/CE). En este contexto, cabe aplicar consideraciones similares a las expresadas en el punto 23.
El artículo 6 del Reglamento debe prohibir explícitamente —en relación con el proceso de notificación— la recogida y el tratamiento de «categorías especiales de datos» (según se definen en el artículo 8 de la Directiva 95/46/CE), tales como, entre otros, los datos personales que revelen el origen racial o étnico, opiniones políticas y creencias religiosas o filosóficas (consúltense asimismo los puntos 24 y 25).
Por último, el artículo 6 debe establecer un período máximo de conservación, teniendo en cuenta la finalidad del almacenamiento de datos. El SEPD recomienda que —a menos que una transacción sospechosa o robo haya dado lugar a una investigación específica y que dicha investigación siga en curso— todas las notificaciones de transacciones sospechosas y robos se eliminen de la base de datos una vez transcurrido un plazo determinado (a priori, un plazo máximo de dos años a partir de la fecha de notificación). Ello debe contribuir a que se garantice que, en los casos en que la sospecha no se confirme (o ni siquiera se siga investigando), no se mantendrá a personas inocentes en una «lista negra» y «bajo sospecha» durante un periodo excesivamente prolongado (véase el artículo 6, letra e), de la Directiva 95/46/CE). En cualquier caso, deberían evitarse divergencias nacionales demasiado acusadas al respecto.
Esta limitación es asimismo necesaria para garantizar el respeto del principio de calidad de los datos (véase el artículo 6, letra d), de la Directiva 95/46/CE), así como de otros importantes principios jurídicos como el de la presunción de inocencia. Ello podría no sólo deparar un nivel más adecuado de protección de las personas sino que, asimismo, debería permitir que las autoridades policiales se centraran más eficazmente en los casos más graves, en los que es probable que la sospecha acabe confirmándose.
4.2. Recomendaciones relativas a las directrices/la decisión de ejecución
Deben definirse los criterios de clasificación de las transacciones sospechosas
La propuesta no define qué transacciones podrían considerarse «sospechosas». Sin embargo, el artículo 6, apartado 6, letra a), de la propuesta establece que la Comisión «elaborará y actualizará unas directrices» y facilitará información sobre «los medios para identificar y notificar las transacciones sospechosas».
El SEPD celebra que la propuesta exija que la Comisión elabore unas directrices. Éstas deben ser lo bastante claras y concretas y evitar que puedan interpretarse de manera demasiado laxa, de modo que se reduzca al mínimo la transmisión de datos personales a las autoridades policiales y se evite toda práctica arbitraria o discriminatoria, por ejemplo, por motivos de raza, nacionalidad o afiliación política o religiosa.
Limitación de la finalidad, confidencialidad, seguridad y acceso
Las directrices o la decisión de ejecución deberían garantizar la seguridad y la confidencialidad de la información y establecer que ésta sólo se revele a las autoridades policiales competentes que investiguen actividades terroristas u otros presuntos actos delictivos relacionados con el uso de precursores de explosivos. La información no debe utilizarse para otros fines, por ejemplo, para que las autoridades fiscales o de inmigración investiguen asuntos inconexos.
Las directrices y/o la decisión de ejecución deberían, además, especificar quién debe tener acceso a los datos recibidos (y almacenados) en los puntos de contacto nacionales. El acceso y la divulgación deberían limitarse con arreglo a un estricto criterio de necesidad de conocimiento. Cabría considerar asimismo la publicación de una lista de posibles interesados.
Derechos de acceso de los interesados
Las directrices y/o la decisión de ejecución deben conceder derechos de acceso a los interesados, incluidas, cuando proceda, la rectificación o supresión de sus datos (véanse los artículos 12 a 14 de la Directiva 95/46/CE). La existencia de este derecho —o de cualquier posible excepción al mismo con arreglo al artículo 13— puede tener importantes implicaciones. Por ejemplo, con arreglo a las normas generales, el interesado también tiene derecho a saber si su transacción ha sido notificada como sospechosa. El ejercicio (potencial) de este derecho podría evitar, sin embargo, que el vendedor de los precursores de explosivos comunicara las transacciones sospechosas del comprador. Por lo tanto, toda excepción debería estar claramente justificada y establecida explícitamente, preferentemente en el Reglamento, o en cualquier caso, en las directrices y/o en la decisión de ejecución. También debería preverse la creación de una vía de recurso en la que participaran los puntos de contacto nacionales.
Revisión periódica de la eficacia
EL SEPD se congratula de que el artículo 16 de la propuesta establezca una revisión del Reglamento (5 años después de su adopción). De hecho, el SEPD considera que cualquier nuevo instrumento debe demostrar, en las revisiones periódicas, que sigue constituyendo un medio eficaz de lucha contra el terrorismo (y otras actividades delictivas). El SEPD recomienda que el Reglamento disponga explícitamente que, durante tal revisión, se evalúe la eficacia del Reglamento, así como sus repercusiones en materia de derechos fundamentales, incluida la protección de datos.
El SEPD recomienda que se añadan a la propuesta nuevas disposiciones, más específicas, al objeto de abordar adecuadamente los problemas relativos a la protección de datos. Además, las directrices de la Comisión sobre las transacciones sospechosas y sobre los detalles técnicos de las licencias —y la posible decisión de ejecución relativa a la protección de datos— deben incluir también disposiciones más específicas en materia de tratamiento y protección de datos. Las directrices (y la decisión de ejecución, si la hubiere) deben adoptarse previa consulta al SEPD y —en su caso— al Grupo Europeo de Protección de Datos del Artículo 29, contándose con la participación de representantes de las autoridades de protección de datos de los Estados miembros.
El artículo 5 del Reglamento debe establecer el plazo máximo de conservación (a priori, no superior a dos años) de los datos relativos a las transacciones registradas, así como las categorías de datos personales que deban registrarse (no más que el nombre, el número de licencia y los artículos adquiridos). Debe prohibirse explícitamente el tratamiento de categorías especiales de datos.
El artículo 6 de la propuesta debe aclarar la función y la naturaleza de los puntos de contacto. Esta disposición también debe establecer el plazo máximo de conservación de los datos notificados a propósito de transacciones sospechosas (a priori, no superior a dos años), así como los datos personales que deben registrarse (no más que el nombre, el número de licencia, los artículos adquiridos y los motivos que dan lugar a sospecha). Debe prohibirse explícitamente el tratamiento de categorías especiales de datos.
Por otra parte, las directrices y/o la decisión de ejecución deben especificar los datos que pueden recoger las autoridades responsables de la concesión de licencias a propósito de la solicitud de las mismas. También deben delimitar claramente los fines para los que se pueden utilizar tales datos. Deben aplicarse disposiciones similares al registro de transacciones sospechosas. Las directrices y/o la decisión de ejecución deben establecer que la autoridad responsable de la concesión de licencias habrá de informar a los titulares de licencias sobre el hecho de que sus compras vayan a registrarse y de que podrán ser objeto de notificación si se consideran «sospechosas». Las directrices y/o la decisión de ejecución deberían, además, especificar quién debe tener acceso a los datos recibidos (y almacenados) en los puntos de contacto nacionales. El acceso y la divulgación deben limitarse con arreglo a un estricto criterio de necesidad de conocimiento. Asimismo, deben proporcionar los derechos de acceso adecuados a los interesados y exponer y justificar claramente cualquier excepción.
La eficacia de las medidas previstas debe revisarse periódicamente, al tiempo que se evalúan sus repercusiones en lo que atañe al respeto de la intimidad.
(4) Citada en la nota al pie no 1.
(5) S. y Marper v contra Reino Unido (4 de diciembre de 2008) (no exp. 30562/04 y 30566/04).
Dictamen del Supervisor Europeo de Protección de Datos sobre la Comunicación de la Comisión al Parlamento Europeo y al Consejo — «La Estrategia de Seguridad Interior de la UE en acción: cinco medidas para una Europa más segura»
Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de dichos datos (1),
Vista la solicitud de un dictamen de conformidad con el Reglamento (CE) no 45/2001, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (2), en particular, su artículo 41.
ADOPTA EL SIGUIENTE DICTAMEN
El 22 de noviembre de 2010, la Comisión adoptó una Comunicación bajo el título «La Estrategia de Seguridad Interior de la UE en acción: cinco medidas para una Europa más segura» (en adelante, la «Comunicación») (3). La Comunicación fue remitida al SEPD para su consulta.
El SEPD acoge con agrado la consulta transmitida por la Comisión. Ya con anterioridad a la Comunicación, el SEPD aportó comentarios no oficiosos sobre el borrador, varios de los cuales se han incorporado a la versión final de la Comunicación.
La Estrategia de Seguridad Interior de la UE (en adelante, ESI), abordada en la Comunicación, fue adoptada el 23 de febrero de 2010 durante la Presidencia española (4). La estrategia define un modelo de seguridad europeo que comprende, entre otras actuaciones, la cooperación en el ámbito judicial y policial, el fortalecimiento de la gestión en las fronteras exteriores y la protección civil, dentro del debido respeto a los valores europeos compartidos, como es el caso de los derechos fundamentales. Sus objetivos principales consisten en:
presentar al público los instrumentos vigentes que contribuyen ya a garantizar la seguridad y libertad de los ciudadanos dentro de la UE y el valor añadido que representa la actividad de la UE en este ámbito,
desarrollar nuevos instrumentos y políticas comunes a partir de un planteamiento más integrado que atienda no sólo a los efectos sino también a las causas de la inseguridad,
reforzar la cooperación judicial y policial, la gestión de las fronteras exteriores, la protección civil y la gestión en caso de catástrofes.
Por otro lado, es importante aludir en este contexto a las recientes Conclusiones adoptadas por el Consejo de Justicia e Interior los días 8 y 9 de noviembre de 2010 (5) (en adelante, «Conclusiones de noviembre de 2010») en relación con la creación y la ejecución un ciclo político en el marco de la UE orientado a combatir las formas graves de delincuencia y la delincuencia organizada internacional. El presente documento se atiene a la Conclusión del Consejo relativa a la Arquitectura de Seguridad Interior de 2006 (6), e insta al Consejo y a la Comisión a que definan una ESI global basada en los valores y principios comunes de la UE como reafirma la Carta de los Derechos Fundamentales de la Unión Europea (7).
Entre las directrices y objetivos que habrán de impulsar la aplicación de la ESI, las Conclusiones de noviembre de 2010 señalan la necesidad de reflexionar sobre un enfoque proactivo basado en la información, la cooperación rigurosa entre los organismos de la UE, potenciando los sistemas de intercambio de información, así como al hecho de que los ciudadanos cobren conciencia de la importancia del trabajo desarrollado por la Unión en aras a su protección. Además, las Conclusiones instan a la Comisión a que elabore, conjuntamente con los expertos de los organismos y Estados miembros pertinentes, un Plan Estratégico Plurianual (en adelante, MASP) para cada prioridad, definiendo la estrategia más adecuada con el fin de hacer frente al problema. Las conclusiones instan asimismo a la Comisión a desarrollar, mediante consultas con los Estados miembros y con los expertos de los organismos de la UE, un mecanismo independiente para la evaluación de la aplicación del MASP. El SEPD volverá a analizar estos problemas en un momento posterior del presente Dictamen, debido a la estrecha vinculación que guardan o a su notable impacto sobre la protección de los datos de carácter personal, la intimidad y otros derechos y libertades fundamentales relacionados.
Contenido y objetivo de la Comunicación
La Comunicación propone cinco objetivos estratégicos, todos ellos relacionados con la protección de la intimidad y la protección de datos:
desarticular las redes de delincuencia internacional,
prevenir el terrorismo y combatir la radicalización y la captación de nuevos terroristas,
aumentar los niveles de seguridad de los ciudadanos y las empresas en el ciberespacio,
potenciar la seguridad a través de la gestión de las fronteras exteriores, y
reforzar la capacidad de resistencia de Europa frente a las crisis y las catástrofes.
La ESI en Acción, de acuerdo con los términos de la Comunicación, propone una agenda compartida para los Estados miembros, el Parlamento Europeo, la Comisión, el Consejo, organismos y otras entidades, así como por la sociedad civil y las autoridades locales, y propone el tipo de colaboración que habrán de mantener entre sí durante los próximos cuatros años con el fin de alcanzar los objetivos de la ESI.
La Comunicación se fundamenta en el Tratado de Lisboa y reconoce la importancia de las directrices establecidas en el Programa de Estocolmo (y su plan de actuación), que en el capítulo 4.1 subraya la necesidad de una estrategia detallada en materia de seguridad interior basada en el respeto de los derechos fundamentales, la protección internacional y el Estado de Derecho. Asimismo, a la luz del Programa de Estocolmo, desarrollar, realizar el seguimiento y aplicar la estrategia de seguridad interna debería convertirse en una de las tareas prioritarias del comité de seguridad interna (COSI) constituido en virtud del artículo 71 del Tratado de funcionamiento de la Unión Europea. Con el fin de garantizar la aplicación efectiva de la ESI, el comité deberá asumir también los aspectos relacionados con la seguridad de una gestión de fronteras integrada y, llegado el caso, la cooperación judicial en materias penales que afecten a la cooperación operativa en el ámbito de la seguridad interna. También es importante mencionar en este contexto que el Programa de Estocolmo insta a adoptar un enfoque integrado de la estrategia de seguridad interna que debe tener en cuenta la estrategia de seguridad externa, así como otras políticas de la UE, en particular, aquellas que afectan al mercado interior.
La Comunicación hace referencia a diversos ámbitos políticos que forman parte o que afectan al concepto de «seguridad interna», entendido en sentido amplio, dentro de la Unión Europea.
El presente Dictamen no tiene por objeto analizar todos los ámbitos políticos y asuntos concretos abordados por la Comunicación, sino:
examinar los objetivos que en relación con la estrategia de seguridad interior propone la Comunicación desde una perspectiva específica de protección de la intimidad y de los datos, y, desde este punto de vista, recalcar los vínculos necesarios con otras estrategias actualmente debatidas y adoptadas a nivel de la UE,
especificar una serie de nociones y conceptos en materia de protección de datos que habrán de tenerse en cuenta a la hora de diseñar, desarrollar y aplicar la estrategia de seguridad interior en la UE,
aportar, cuando resulte útil y apropiado, sugerencias en relación con el procedimiento idóneo que permita tomar en consideración las inquietudes suscitadas por la protección de datos a la hora de llevar a la práctica las acciones propuestas en la Comunicación.
El SEPD procederá a ello resaltando, en particular, los vínculos entre la estrategia de seguridad interior y la estrategia de gestión de la información y el trabajo realizado sobre el marco global de protección de datos. Además, el SEPD hará referencia a conceptos tales como: «técnicas idóneas» e «intimidad integrada en el diseño», la evaluación del impacto sobre el derecho a la intimidad y la protección de datos, así como los derechos del interesado, que guardan consecuencia directa sobre el diseño y la aplicación de la estrategia de seguridad interior. El Dictamen también comentará varios ámbitos políticos seleccionados, como la gestión integrada de las fronteras exteriores, incluido EUROSUR y el tratamiento de los datos de carácter personal por parte de FRONTEX, así como otros ámbitos como el ciberespacio y el TFTP (Programa de seguimiento de la financiación del terrorismo).
Necesidad de aportar un enfoque más global, integrado y «estratégico» a las estrategias de la UE relacionadas con la ESI
En la actualidad, se están debatiendo y proponiendo en el seno de la UE diferentes estrategias que toman como base el Tratado de Lisboa y el Programa de Estocolmo y que comportan un efecto directo o indirecto sobre la protección de datos. La ESI es una de ellas y guarda estrecha relación con otras estrategias (abordadas en recientes Comunicaciones de la Comisión o previstas en un futuro próximo), como la estrategia de gestión de la información de la UE y el modelo de intercambio de información europeo, la estrategia sobre la aplicación de la Carta de los Derechos Fundamentales de la UE, así como la estrategia global relativa a la protección de los datos y la política antiterrorista de la UE. En el presente Dictamen, el SEPD presta especial atención a los vínculos con la estrategia de gestión de la información y el marco global para la protección de datos cuyo fundamento es el artículo 16 del TFEU, que cuentan con vínculos políticos más claros con la ESI desde el punto de visto de la protección de datos.
Todas estas estrategias constituyen un complejo «mosaico» de directrices, programas y planes de actuación políticos interrelacionados, que exigen un enfoque global e integrado dentro de la UE.
En términos más generales, este planteamiento de «vinculación de estrategias», tomado desde una perspectiva amplia de cara a actuaciones posteriores, mostraría que la UE posee una visión en lo que se refiere a sus estrategias, y que éstas y las Comunicaciones recientemente adoptadas y elaboradas en relación con las mismas guardan un vínculo estrecho, como así es en efecto, siendo el Programa de Estocolmo el punto de referencia común para todas ellas. También podría generar sinergias positivas entre las diferentes políticas relacionadas con el espacio de libertad, seguridad y justicia, que evitarían cualquier posible yuxtaposición de trabajos y actuaciones en este ámbito. Igualmente importante es la posibilidad de que el presente enfoque conduzca a aplicaciones más efectivas y coherentes de las normas de protección de datos en el contexto de todas las estrategias interrelacionadas.
El SEPD subraya que uno de los pilares de la ESI es la gestión eficiente de la información dentro de la Unión Europea, basada en los principios de necesidad y proporcionalidad que justifiquen la necesidad del intercambio de información.
Asimismo, como se mencionaba en el dictamen del SEPD sobre la Comunicación relativa a la gestión de la información (8), el SEPD subraya que toda nueva medida legislativa que facilite el almacenamiento e intercambio de datos personales sólo deberá proponerse si se basa en pruebas concretas de su necesidad (9). Este requisito jurídico deberá transformarse en un enfoque político proactivo en el momento de llevar a la práctica la ESI. La necesidad de un enfoque global de la ESI inevitablemente lleva aparejada también la necesidad de evaluar todos los instrumentos y herramientas ya vigentes en el ámbito de la seguridad interna antes de proponer otros nuevos.
En este contexto, el SEPD propone asimismo servirse más asiduamente de las cláusulas que establecen una evaluación periódica de los instrumentos existentes, como los incluidos en la Directiva sobre Conservación de Datos, que es objeto de evaluación en estos momentos (10).
La protección de datos como objetivo de la ESI
La Comunicación hace referencia a la protección de datos de carácter personal en el apartado «Políticas de seguridad basadas en valores compartidos», donde señala que las herramientas y actuaciones que se practiquen con el fin de llevar a la práctica la ESI deberán basarse en valores compartidos, incluido el Estado de Derecho y el respeto a los derechos fundamentales, tal como establece la Carta de los Derechos Fundamentales de la UE. En este contexto, estipula que «Aunque el intercambio de información contribuye a aumentar la eficacia de la acción represiva en la UE, debemos también proteger la intimidad de las personas y su derecho fundamental a la protección de datos personales.»
Sólo puede acogerse favorablemente dicha disposición. Ahora bien, en sus términos no es posible considerar que abarque suficientemente el problema de la protección de datos en la ESI. La Comunicación tampoco analiza en profundidad los aspectos relativos a la protección de los datos (11), ni explica cómo se garantizarán en la práctica el derecho a la intimidad y a la protección de los datos de carácter personal en el momento de llevar a la práctica la ESI.
En opinión del SEPD, entre los objetivos de la ESI en Acción debería figurar la protección entendida en un sentido amplio, que garantice, por un lado, el correcto equilibrio entre la protección de los ciudadanos frente a las amenazas existentes, y, por otro, la protección de sus derechos a la intimidad y a la protección de los datos de carácter personal. En otras palabras, la seguridad y la intimidad deben merecer idéntica consideración a la hora de llevar a la práctica la ESI conforme a lo establecido en el Programa de Estocolmo y las Conclusiones del Consejo.
En pocas palabras, brindar seguridad a la vez que se respetan íntegramente el derecho a la intimidad y a la protección de los datos debería mencionarse como objetivo específico de la Estrategia de Seguridad Interna de la UE. Dicha circunstancia debería reflejarse en todas las actuaciones practicadas por los Estados miembros y por las instituciones de la UE con el fin de aplicar en la práctica la estrategia.
En este contexto, el SEPD hace alusión a la Comunicación (2010) 609 relativa a un enfoque global de la protección de los datos de carácter personal dentro de la Unión Europea. (12) El SEPD emitirá en breve un dictamen sobre esta Comunicación, pero en lo que hace aquí hincapié es en que no se puede poner en práctica una ESI eficiente sin el respaldo de un sólido programa de protección de datos que la complemente y proporcione confianza mutua y mayor eficacia.
III. NOCIONES Y CONCEPTOS APLICABLES AL DISEÑO Y LA APLICACIÓN DE LA ESI
Es evidente que algunas de las actuaciones que emanan de los objetivos de la ESI pueden incrementar los riesgos para el derecho a la intimidad de los individuos y para el derecho a la protección de datos personales. Para contrarrestar dichos riesgos, el SEPD quiere llamar la atención respecto a conceptos tales como «Intimidad integrada en el diseño», evaluación del impacto de la protección del derecho a la intimidad y la protección de los datos, de los derechos del interesado y de las mejores técnicas disponibles (MTD). Todos estos derechos deberán tomarse en cuenta en el momento de aplicar la ESI, y pueden contribuir de manera útil a la elaboración de políticas mejor orientadas hacia la intimidad y la protección de datos en este ámbito.
Intimidad integrada en el diseño
El SEPD ha abogado en diversas ocasiones y en diversos dictámenes por el concepto de intimidad «integrada» («Intimidad integrada en el diseño» o «Intimidad por defecto»). El concepto se encuentra actualmente en fase de elaboración tanto en el sector privado como en el sector público, y por tanto, debe desempeñar un papel importante en el contexto de la seguridad interna de la UE y de la actuación policial y judicial (13).
La Comunicación no alude a este concepto. El SEPD sugiere que se haga referencia a él en las actuaciones que se propondrán y se emprenderán con el fin de llevar a la práctica la ESI, en particular, en el contexto del Objetivo 4 «Reforzar la seguridad a través de la gestión de fronteras», donde se hace una mención explícita a una mayor utilización de las nuevas tecnologías en los controles y vigilancia fronterizos.
Evaluación del impacto de la intimidad y la protección de datos
El SEPD alienta a la Comisión a que refleje — como parte de los futuros trabajos sobre el diseño y aplicación de la ESI basados en la Comunicación- lo que debería entenderse por una verdadera «evaluación del impacto de la intimidad y la protección de datos» en el espacio de libertad, seguridad y justicia, y, en particular en la ESI.
La Comunicación hace referencia a la evaluación de amenazas y riesgos. Esta mención ha de ser acogida favorablemente. Sin embargo, en ningún momento, hace referencia a la evaluación del impacto sobre el derecho a la intimidad y la protección de datos. El SEPD considera que el trabajo de aplicación de la Comunicación en la ESI ofrece una buena oportunidad para elaborar dichas evaluaciones del impacto sobre la intimidad y la protección de datos en el contexto de la seguridad interior. El SEPD observa que ni la Comunicación ni las directrices sobre evaluación de impacto de la Comisión (14) inciden en este aspecto ni lo transforman en un requisito político.
Por tanto, el SEPD recomienda que al aplicar futuros instrumentos se realice una evaluación del impacto sobre el derecho a la intimidad y la protección de datos más específica y rigurosa, ya como evaluación independiente, ya como parte de la evaluación general del impacto sobre los derechos fundamentales efectuada por la Comisión. Esta evaluación del impacto no debería limitarse únicamente a declarar los principios generales o a analizar opciones políticas, como ocurre en la actualidad, sino que también debería recomendar salvaguardas específicas y concretas.
Por consiguiente, deberán desarrollarse características e indicadores con el fin de velar por que toda propuesta que tenga un impacto sobre la intimidad y la protección de datos sea objeto de consideración en profundidad, incluidos aspectos tales como la proporcionalidad, la necesidad y el principio de limitación.
También podría ser útil, en este contexto, aludir al artículo 4 de la Recomendación RFID (15), en la que la Comisión instaba a los Estados miembros a garantizar que la industria, en colaboración con las partes interesadas de la sociedad civil, elaborase un marco para la evaluación del impacto sobre la protección de datos y el derecho a la intimidad. Asimismo, la Resolución de Madrid, adoptada en noviembre de 2009 por la Conferencia Internacional de Autoridades de Protección de Datos y Privacidad, promovía la realización de estudios de impacto sobre la intimidad previos a la aplicación de nuevos sistemas y tecnologías de información destinados al tratamiento de datos de carácter personal o la realización de modificaciones sustanciales en tratamientos ya existentes.
El SEPD observa que la Comunicación no se ocupa específicamente de la cuestión de los derechos de los interesados, lo cual constituye un elemento decisivo de la protección de datos y debería repercutir en el diseño de la ESI. Es esencial asegurar que, en todos los sistemas e instrumentos diferentes que afecten a la seguridad interior de la UE, los ciudadanos disfruten derechos similares en relación con el modo en que se tratan sus datos de carácter personal.
Muchos de los sistemas a los que se alude en la Comunicación establecen reglas específicas sobre los derechos de los interesados (dirigidas también a grupos de personas como víctimas, presuntos autores de infracciones penales o inmigrantes), pero hay grandes variaciones, no debidamente justificados, entre los diversos sistemas e instrumentos.
Por consiguiente, el SEPD invita a la Comisión a examinar más atentamente la cuestión de la coordinación de los derechos de los interesados dentro de la UE en el contexto de la ESI y de la Estrategia de Gestión de la Información en un futuro próximo.
Se deberá prestar especial atención a los mecanismos de recurso. La ESI deberá garantizar que, cuando los derechos de los interesados no sean totalmente respetados, los responsables del tratamiento de los datos brinden procedimientos de reclamación efectivos, asequibles y a los que pueda accederse fácilmente.
La aplicación de la ESI se basará inevitablemente en la utilización de una infraestructura informática que servirá de apoyo a las acciones previstas en la Comunicación. Como mejores técnicas disponibles (MTD) podrán considerarse aquellas que posibilitan el correcto equilibrio entre el logro de los objetivos de la ESI y el respeto de los derechos de los individuos. En el contexto actual, el SEPD quisiera reiterar la recomendación realizada en dictámenes previos (16) respecto a la necesidad de que la Comisión defina y promueva en colaboración con partes interesadas del sector medidas concretas para la aplicación de las mejores técnicas disponibles. Dicha aplicación supone la fase más eficaz y avanzada de desarrollo de las actividades y de sus modalidades de explotación, que demuestran la capacidad práctica de determinadas técnicas para proporcionar los resultados previstos de manera eficiente y de conformidad con el marco de protección de la intimidad y de los datos de la UE. Este enfoque coincide plenamente con el de «intimidad integrada en el diseño», mencionado anteriormente.
Cuando proceda y resulte factible, se deberán elaborar documentos sobre las mejores técnicas disponibles con el fin de proporcionar directrices y mayor seguridad jurídica en la aplicación real de las medidas formuladas por la ESI. Dicha circunstancia también podría promover la armonización de tales medidas a través de los distintos Estados miembros. Por último, aunque no por ello menos importante, la definición del derecho a la intimidad y de las mejores técnicas disponibles orientadas a la seguridad facilitarán el papel de supervisión de las autoridades de protección de datos, dotándolas de referencias técnicas sobre derecho a la intimidad y protección de datos adoptadas por los responsables del tratamiento de datos.
El SEPD también constata la importancia de una coordinación correcta entre la ESI y las actividades ya realizadas dentro del Séptimo Programa Marco para acciones de investigación, desarrollo tecnológico y demostración, así como del Programa Marco de seguridad y defensa de las libertades. Una visión conjunta que tenga por finalidad proporcionar las mejores técnicas disponibles posibilitará la innovación del conocimiento y de las capacidades necesarias para proteger a los ciudadanos a la vez que se respetan los derechos fundamentales.
Por último, el SEPD destaca el papel que la Agencia Europea de Seguridad de las Redes y de la Información (ENISA) puede desempeñar en la elaboración de las directrices y la evaluación de las capacidades de seguridad exigidas para garantizar la integridad y disponibilidad de los sistemas informáticos, así como en el fomento de estas mejores técnicas disponibles. A este respecto, el SEPD acoge favorablemente la inclusión de la Agencia desempeñando un papel protagonista en la mejora de las capacidades para hacer frente a ciberataques y a la ciberdelincuencia (17).
Aclaraciones sobre los actores y sus papeles
En este contexto, son necesarias aclaraciones adicionales respecto a los actores que forman parte o contribuyen a la arquitectura de la ESI. La Comunicación hace referencia a varios actores y partes interesadas, como la ciudadanía, el sistema judicial, los organismos de la UE, las autoridades nacionales, la policía y las empresas. Sería más conveniente que los papeles y competencias específicos de estos actores fueran abordados en las acciones específicas que se propongan para la aplicación de la ESI.
IV. COMENTARIOS ESPECÍFICOS SOBRE LOS ÁMBITOS POLÍTICOS RELACIONADOS CON LA ESI
Gestión integrada de fronteras (IBM)
La Comunicación alude al hecho de que, con el Tratado de Lisboa, la UE se encuentra mejor situada para sacar partido a las sinergias entre las políticas de gestión fronteriza en materia de personas y de bienes. En relación con la circulación de personas, menciona que «la UE puede tratar la gestión de la migración y la lucha contra la delincuencia como objetivos idénticos de la estrategia de gestión integrada de las fronteras». En el documento se interpreta la gestión fronteriza como una herramienta potencialmente poderosa para combatir las formas graves de delincuencia y la delincuencia organizada (18).
El SEPD constata asimismo que en la Comunicación se identifican tres ejes estratégicos: 1) un mayor uso de las nuevas tecnologías para los controles fronterizos (segunda generación del Sistema de Información de Schengen (SIS II), Sistema de Información de Visados (VIS), sistema de entrada/salida y programa de registro de pasajeros), 2) un mayor uso de las nuevas tecnologías de vigilancia fronteriza (Sistema Europeo de Vigilancia de Fronteras, EUROSUR) y 3) una mayor coordinación de los Estados miembros a través de FRONTEX.
El SEPD desea aprovechar la oportunidad que brinda el presente Dictamen para recordar las exigencias que planteó en varios dictámenes anteriores respecto a la necesidad de que se establezca una política clara de gestión fronteriza en la UE, respetando plenamente las normas de protección de datos. El SEPD considera que los trabajos actuales sobre la ESI y la Gestión de Información brindan una magnífica oportunidad para dar pasos más concretos hacia un enfoque político coherente en estos ámbitos.
El SEPD observa que la Comunicación no solo hace referencia a sistemas existentes a gran escala y a aquellos que deberían ponerse en marcha en un futuro próximo (como SIS, SIS II y VIS), sino también, en la misma línea, a los sistemas que la Comisión pueda proponer en el futuro, pero la decisión aún no ha sido adoptada (p.ej. el programa de viajeros registrados (RTP) y el sistema de entrada/salida). Se ha de recordar en el presente contexto que sigue siendo necesario aclarar y demostrar los objetivos y legitimidad de la introducción de estos sistemas, también a la luz de los resultados de evaluaciones de impacto específicas realizadas por la Comisión. Si no se llevara esto a cabo, cabría interpretar que la Comunicación prevé el proceso de toma de decisiones, y, por consiguiente, que no tiene en consideración el hecho de que aún no se ha adoptado la decisión final sobre si se deberían introducir el RTP y el sistema de entrada/salida en la Unión Europea.
El SEPD, por tanto, sugiere que en trabajos futuros sobre la aplicación de la ESI se eviten dichas previsiones. Como se mencionó con anterioridad, cualquier decisión sobre la introducción de nuevos sistemas intrusivos en la intimidad a gran escala solo debería tomarse sobre la base de una evaluación de todos los sistemas existentes, con debida atención a la necesidad y a la proporcionalidad.
La Comunicación menciona que la Comisión presentará una propuesta legislativa para establecer el sistema EUROSUR en 2011 con el fin de contribuir a la seguridad interior y a la lucha contra la delincuencia. La Comunicación menciona asimismo que EUROSUR utilizará las nuevas tecnologías desarrolladas a través de proyectos y actividades de investigación financiados por la UE, como las imágenes obtenidas por satélite, para detectar y rastrear objetivos en la frontera marítima, p. ej. para rastrear embarcaciones que se desplazan a alta velocidad y que transportan drogas a la UE.
En este contexto, el SEPD observa que no está claro si la propuesta legislativa en relación con EUROSUR que la Comisión presentará en 2011 contemplará también el tratamiento de los datos de carácter personal recabados en el contexto de EUROSUR y, de ser así, en qué medida. La Comunicación de la Comisión no adopta una posición clara a este respecto. El problema es especialmente relevante si tenemos en cuenta que en la Comunicación se establecen claros vínculos entre EUROSUR y FRONTEX a nivel táctico, operativo y estratégico (véanse los comentarios que se presentan a continuación sobre FRONTEX) y exige una cooperación estrecha entre ambos organismos.
Tratamiento de datos de carácter personal por parte de FRONTEX
El SEPD ha emitido un dictamen sobre la revisión del Reglamento FRONTEX de 17 de mayo de 2010 (19), en el que invita a un debate auténtico y a una reflexión en profundidad sobre el problema asociado a la protección de datos dentro del marco que contempla el refuerzo de las tareas inherentes a FRONTEX y la atribución a este organismo de nuevas responsabilidades.
La Comunicación cita la necesidad de aumentar la contribución de FRONTEX al control de las fronteras exteriores conforme al Objetivo 4 Reforzar la seguridad a través de la gestión de las fronteras exteriores. En este contexto, la Comunicación señala que, basándose en la experiencia y en el planteamiento de enfoque conjunto de la UE en relación con la gestión de la información, la Comisión considera que FRONTEX contribuirá significativamente al desmantelamiento de organizaciones delictivas si se le autoriza a tratar y utilizar esta información con un alcance limitado y conforme a unas normas de gestión de los datos de carácter personal claramente definidas. Se trata de un nuevo enfoque que varía respecto a la propuesta de la Comisión en relación con la revisión del Reglamento FRONTEX, asunto que actualmente es objeto de debate en el Parlamento Europeo y el Consejo, que guardó silencio en relación con el tratamiento de los datos de carácter personal.
Contra este telón de fondo, el SEPD acoge favorablemente el hecho de que la Comunicación proporcione indicaciones sobre las circunstancias en las que dicho tratamiento pueda revelarse necesario (p.ej. análisis de riesgos, mejor rendimiento de las operaciones conjuntas o intercambio de información con Europol). Más en concreto, la Comunicación señala que actualmente la información sobre delincuentes involucrados en las redes de tráfico —competencia de FRONTEX—, ya no puede utilizarse para el análisis de riesgos o para orientar mejor futuras operaciones conjuntas. Además, los datos relevantes sobre sospechosos no llegan a las autoridades nacionales competentes o a Europol con el fin de proseguir las investigaciones.
Y sin embargo, el SEPD constata que en la Comunicación no se hace referencia al debate actualmente en curso sobre la revisión del marco jurídico de FRONTEX que, como se señaló anteriormente, aborda esta cuestión con el fin de proporcionar soluciones legislativas. Además, el texto de la Comunicación, que acentúa el papel que juega FRONTEX de cara al objetivo de desmantelar organizaciones delictivas, puede interpretarse como una ampliación del mandato de FRONTEX. El SEPD propone que este punto sea tenido en cuenta tanto en lo que se refiere a la revisión del Reglamento FRONTEX como a la aplicación de la ESI.
El SEPD también llama la atención sobre la necesidad de evitar toda yuxtaposición de tareas entre Europol y FRONTEX. En este contexto, el SEPD acoge favorablemente el hecho que, de acuerdo con la Comunicación, debe evitarse la yuxtaposición de tareas entre Europol y FRONTEX. No obstante, esta cuestión también deberá abordarse en la revisión del Reglamento FRONTEX y en las actuaciones que lleve a la práctica la ESI, que darán lugar a una cooperación estrecha entre FRONTEX y EUROPOL. Ello resulta especialmente importante a la luz de los principios de limitación de la finalidad y calidad de los datos. Este comentario también es aplicable a la futura cooperación con organismos como la Agencia Europea de Seguridad de las Redes y de la Información (ENISA) o la Oficina Europea de Apoyo al Asilo.
La Comunicación no aborda específicamente un fenómeno actual, el creciente incremento del uso de datos biométricos en el espacio de libertad, seguridad y justicia, incluidos los sistemas informáticos a gran escala de la UE y otras herramientas de gestión fronteriza.
El SEPD, por tanto, aprovecha esta oportunidad para recordar su sugerencia (20) en el sentido de que este asunto, altamente sensible desde el punto de visto de la protección de datos, sea tomado seriamente en consideración al aplicar la ESI, en particular, en el contexto de la gestión fronteriza.
El SEPD recomienda también el desarrollo de una clara y estricta política en el uso de datos biométricos en el espacio de libertad, seguridad y justicia basada en una evaluación seria y en una apreciación caso por caso de la necesidad de su utilización en el contexto de la ESI, con pleno respeto a los principios fundamentales de protección de datos como son los de proporcionalidad, necesidad y limitación de la finalidad.
Programa de Seguimiento de la Financiación del Terrorismo (TFTP)
La Comunicación anuncia que la Comisión elaborará en 2011 una política que permitirá a la UE extraer y analizar los datos de mensajería financiera presentes en su propio territorio. En este contexto, el SEPD hace referencia a su Dictamen de 22 de junio de 2010 sobre tratamiento y transferencia de datos de mensajería financiera de la Unión Europea a los Estados Unidos, a efectos del Programa de seguimiento de la financiación del terrorismo (TFTP) (21). Todos los comentarios críticos en dicho Dictamen son igualmente válidos y aplicables en el contexto del trabajo previsto sobre un marco de la UE en relación con los datos de mensajería financiera. Por tanto, se deberían tener en cuenta en los debates en la materia. Deberá prestarse especial atención a la proporcionalidad en el momento de extraer y tratar cantidades ingentes de datos de personas que no sean sospechosas, así como al problema del control efectivo por parte de autoridades independientes y del sistema judicial.
Seguridad de los ciudadanos y de las empresas en el ciberespacio
El SEPD acoge favorablemente la importancia que asigna la Comunicación a las acciones preventivas dentro de la UE, y considera que reforzar la seguridad en las redes informáticas es esencial para el buen funcionamiento de la sociedad de la información. Asimismo, el SEPD apoya las actividades específicas orientadas a mejorar las capacidades para hacer frente a ciberataques, que articulen infraestructuras en los órganos policiales y judiciales, y que instauren asociaciones con la industria a fin de dotar de poderes a los ciudadanos y las empresas. Del mismo modo, se acoge favorablemente el papel de ENISA a la hora de facilitar muchas de las actuaciones contempladas en este objetivo.
Sin embargo, la ESI en Acción no menciona actuaciones policiales previstas en el ciberespacio, de qué manera estas actividades podrían poner en peligro derechos individuales, ni cuales serían las salvaguardas exigibles. El SEPD insta a un enfoque más ambicioso en relación con las garantías adecuadas. Convendría reforzar este enfoque a fin de proteger los derechos fundamentales de todos los individuos, incluidos aquellos que puedan verse afectados por actuaciones concebidas con el fin de contrarrestar cualquier posible actividad delictiva en este ámbito.
El SEPD insta a vincular varias estrategias y Comunicaciones de la UE en el proceso de aplicación de la ESI. A este enfoque debería seguirle un plan de acción concreto respaldado por una evaluación real de las necesidades, cuyo resultado debería ser una política sobre la ESI de la UE global, integrada y bien estructurada.
La necesidad de un enfoque global respecto a la ESI conduce también de forma ineludible a la necesidad de evaluar todos los instrumentos y herramientas ya existentes en el campo de la seguridad interna antes de proponer otros nuevos. En este contexto, la inclusión de disposiciones que exijan evaluaciones regulares de la eficiencia de los instrumentos pertinentes es altamente recomendable.
El SEPD sugiere que al preparar el Plan Estratégico plurianual exigido por las Conclusiones del Consejo de noviembre de 2010, se tenga en consideración el trabajo en curso sobre el marco global de protección de datos basado en el artículo 16 del TFUE, en particular, la Comunicación (2009) 609.
El SEPD formula varias sugerencias sobre las nociones y conceptos relevantes desde la perspectiva de la protección de datos que deberán tenerse en cuenta en el ámbito de la ESI, como la Intimidad integrada en el diseño, la evaluación del impacto sobre la protección del derecho a la intimidad y la protección de datos, mejores técnicas disponibles.
El SEPD recomienda que al aplicar futuros instrumentos se realice una evaluación del impacto sobre la intimidad y la protección de datos, bien como evaluación por separado o como parte de la evaluación general del impacto sobre los derechos fundamentales efectuada por la Comisión.
El SEPD también invita a la Comisión a desarrollar una política más coherente y exhaustiva sobre los requisitos previos de los datos biométricos en el ámbito de la ESI, así como a una mayor coordinación respecto a los derechos de los interesados dentro de la UE.
Por último, el SEPD realiza varios comentarios sobre el tratamiento de los datos de carácter personal en el contexto de la gestión fronteriza y, en particular, por parte de FRONTEX, y posiblemente en el contexto de EUROSUR.
Hecho en Bruselas, el 17 de diciembre de 2010.
(2) DO L 8, de 12.1.2001, p. 1.
(3) COM(2010) 673 final.
(4) Doc. 5842/2/10.
(5) 3043a reunión del Consejo de Justicia e Interior, de los días 8 a 10 de noviembre de 2010 en Bruselas.
(6) Doc. 7039/2/06 JAI 86 CATS 34.
(7) El ciclo de elaboración de políticas de la UE para las formas graves de delincuencia y la delincuencia organizada internacionales abordadas en las Conclusiones de noviembre de 2010 consiste en cuatro fases: 1) progresos políticos basados en la Evaluación de la Amenaza de la Delincuencia Organizada de la Unión Europea (UE SOCTA), 2) establecimiento de políticas y toma de decisiones mediante la identificación de un número determinado de prioridades por parte del Consejo, 3) aplicación y seguimiento del Plan de Acción Operativo (PAO), y 4) al concluir el ciclo de elaboración de políticas, una evaluación rigurosa que también servirá como aportación para el futuro ciclo de elaboración de políticas.
(8) Dictamen de 30 de septiembre de 2010 sobre la Comunicación de la Comisión al Parlamento Europeo y al Consejo — Panorama general de la gestión de la información en el espacio de libertad, seguridad y justicia.
(9) Se trata de un requisito legal, véase, en particular, la sentencia del TJCE en los asuntos acumulados C-92/09 y C-93/09 del 2 de noviembre de 2010. En contextos más concretos, el SEPD también recomienda este enfoque en otros dictámenes sobre propuestas legislativas relativas al espacio de libertad, seguridad y justicia: p. ej. Dictamen de 19 de octubre de 2005 sobre tres Propuestas relativas al Sistema de Información Schengen de Segunda Generación (SIS II), el Dictamen de 20 de diciembre de 2007 sobre el borrador de Propuesta de una Decisión Marco del Consejo sobre Utilización de Datos del Registro de Nombres de los Pasajeros (Passenger Name Record — PNR) con Fines Represivos, Dictamen de 18 de febrero de 2009 sobre la Propuesta de Reglamento relativo al establecimiento del «Eurodac» para la comparación de huellas dactilares en la aplicación efectiva del Reglamento (CE) no [.../...] (que establece los criterios y mecanismos de determinación del Estado miembro responsable de examinar la aplicación de la protección internacional presentada ante uno de los Estados miembros por un nacional de un tercer país o apátrida), y Dictamen de 7 de octubre de 2009 sobre las propuestas relativas al acceso de las fuerzas de seguridad a EURODAC.
(10) Directiva 2006/24/CE del Parlamento Europeo y del Consejo de 15 de marzo de 2006 sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones y por la que se modifica la Directiva 2002/58/CE, (DO L 105 de 13.4.2006, p. 54).
(11) La protección de datos solo se menciona de forma más específica en el contexto del problema del tratamiento de los datos de carácter personal por parte del FRONTEX.
(12) Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones sobre un enfoque global respecto a la protección de datos en la Unión Europea, COM (2010) 609.
(13) El SEPD, en su dictamen sobre la Comunicación de la Comisión respecto al Programa de Estocolmo recomendaba que debería existir una obligación legal para los constructores y usuarios de sistemas informáticos de desarrollar y utilizar sistemas que respeten el principio de «intimidad integrada en el diseño».
(15) C(2009) 3200 final, 12.5.2009.
(16) Dictamen del SEPD sobre sistemas de transporte inteligentes, de julio de 2009 y el Dictamen del SEPD respecto a la comunicación sobre identificación por radiofrecuencia (RFID) de diciembre de 2007, véase también el informe anual 2006 del SEPD página 48.
(17) El SEPD prevé la adopción de un dictamen sobre el marco legal de ENISA, ya en diciembre de 2010.
(18) Comunicado de prensa sobre la Estrategia de Seguridad Interior de la UE en acción — cinco medidas para una Europa más Segura Memo 10/598.
(19) Dictamen de 17 de mayo de 2010 sobre la propuesta de un Reglamento del Parlamento Europeo y del Consejo por el que se modifica el Reglamento (CE) no 2007/2004 y se crea una Agencia Europea para la gestión de la cooperación operativa en las fronteras exteriores de los Estados miembros de la Unión Europea (FRONTEX).
(20) Véase, en particular, el Dictamen del SEPD sobre la Comunicación respecto al panorama general de la gestión de la información en el espacio de libertad, seguridad y justicia, mencionado en la nota 8 al pie de página.
(21) Dictamen del SEPD de 22 de junio de 2010 sobre la Propuesta de una Decisión del Consejo sobre las conclusiones del Acuerdo entre la Unión Europea y los Estados Unidos de América relativo al tratamiento y la transferencia de datos de mensajería financiera de la Unión Europea a los Estados Unidos, a efectos del Programa de seguimiento de la financiación del terrorismo (TFTP II).
Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta modificada de Reglamento del Parlamento Europeo y del Consejo relativo a la creación del sistema «Eurodac» para la comparación de las impresiones dactilares para la aplicación efectiva del Reglamento (CE) no (…/…) (por el que se establecen los criterios y mecanismos de determinación del Estado miembro responsable del examen de una solicitud de protección internacional presentada en uno de los Estados miembros por un nacional de un tercer país o un apátrida)
Vista la solicitud de dictamen, de conformidad con el artículo 28, apartado 2, del Reglamento (CE) no 45/2001, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (2),
El 11 de octubre de 2010, la Comisión Europea adoptó una Propuesta modificada de Reglamento del Parlamento Europeo y del Consejo relativo a la creación del sistema «Eurodac» para la comparación de las impresiones dactilares para la aplicación efectiva del Reglamento (CE) no (…/…) (por el que se establecen los criterios y mecanismos de determinación del Estado miembro responsable del examen de una solicitud de protección internacional presentada en uno de los Estados miembros por un nacional de un tercer país o un apátrida) (en lo sucesivo, «la Propuesta») (3). Ese mismo día, la Propuesta, tal y como fue adoptada por la Comisión, fue remitida al SEPD para consulta, de conformidad con lo dispuesto en el artículo 28, apartado 2, del Reglamento (CE) no 45/2001. El SEPD recibe con satisfacción el hecho de ser consultado por la Comisión y pide que se haga referencia a esta consulta en los considerandos de la Propuesta.
Eurodac fue creado por el Reglamento (CE) no 2725/2000 relativo a la creación del sistema «Eurodac» para la comparación de las impresiones dactilares para la aplicación efectiva del Convenio de Dublín (4). En diciembre de 2008, la Comisión adoptó una propuesta de refundición para modificar este Reglamento (5) (denominada en lo sucesivo, «la propuesta de diciembre de 2008»). El SEPD hizo observaciones sobre dicha propuesta en un dictamen de febrero de 2009 (6).
La propuesta de diciembre de 2008 tenía por objeto asegurar un respaldo más eficiente a la aplicación del Reglamento de Dublín y abordar de forma apropiada las preocupaciones que suscita la protección de datos. También adaptaba el marco de gestión informática al de los Reglamentos SIS II y VIS mediante la asunción de las funciones de gestión operativa de Eurodac por la futura Agencia para la gestión operativa de sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia (7) (denominada en lo sucesivo «la Agencia») (8).
Posteriormente, la Comisión adoptó una propuesta modificada en septiembre de 2009 en la que introdujo la posibilidad de que los servicios policiales de los Estados miembros y Europol accedan a la base de datos central Eurodac con fines de prevención, detección e investigación de delitos de terrorismo y otros delitos graves.
En concreto, dicha propuesta introducía una cláusula pasarela para permitir el acceso a efectos policiales, así como las disposiciones necesarias de acompañamiento y modificaba la propuesta de diciembre de 2008. Se presentó al mismo tiempo que la propuesta de Decisión del Consejo relativa a las solicitudes de comparación con datos Eurodac presentadas por los servicios de seguridad de los Estados miembros y Europol a efectos de la aplicación de la ley (9) (denominada en lo sucesivo «la Decisión del Consejo»), que especifica exactamente las modalidades de acceso. El SEPD emitió un dictamen sobre la propuesta en diciembre de 2009 (10).
Con la entrada en vigor del Tratado de Lisboa y la abolición del sistema de pilares, la propuesta de Decisión del Consejo perdió su razón de ser. La propuesta debía ser retirada formalmente y ser sustituida por una nueva propuesta para tener en cuenta el nuevo marco del TFUE.
La exposición de motivos de la propuesta afirma que, para poder avanzar en las negociaciones sobre el paquete «asilo» (11) y facilitar la conclusión de un acuerdo sobre el Reglamento Eurodac, la Comisión considera más apropiado en esta fase retirar del Reglamento Eurodac aquellas disposiciones que hagan referencia al acceso a efectos policiales.
La Comisión también considera que el hecho de retirar una parte (bastante controvertida) de la propuesta y agilizar de esta manera la adopción del nuevo Reglamento Eurodac facilitará igualmente la creación dentro de los plazos previstos de la Agencia para la gestión operativa de sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia, ya que prevé que esta Agencia sea responsable igualmente de la gestión de Eurodac.
En consecuencia, si bien la actual propuesta modificada introduce dos disposiciones técnicas, su propósito principal es modificar la propuesta previa (es decir, la de septiembre de 2009) suprimiendo la opción del acceso a efectos policiales. Por consiguiente, no se consideró necesario llevar a cabo una nueva evaluación de impacto específicamente para la presente propuesta.
II. OBJETIVO DEL DICTAMEN DEL SEPD
Como se ha mencionado anteriormente, el SEPD ha formulado ya varios dictámenes sobre este tema. La finalidad del presente dictamen es recomendar que se introduzcan mejoras en la propuesta. Dichas recomendaciones están basadas en nuevos desarrollos y en recomendaciones realizadas anteriormente y que todavía no se han tenido en cuenta, en situaciones en las que el SEPD considera que no se han cumplido de manera adecuada sus argumentos o que dichas recomendaciones están basadas en nuevos argumentos.
El presente dictamen se centra en los siguientes puntos:
la retirada de las disposiciones relativas al acceso a Eurodac a efectos policiales;
la posición de las personas físicas cuyas impresiones dactilares no son utilizables;
información del interesado;
utilización de las mejores técnicas disponibles para aplicar la «Intimidad mediante el diseño»;
consecuencias de subcontratar (una parte) del desarrollo o la gestión del sistema a un tercero.
III. RETIRADA DE LAS DISPOSICIONES RELATIVAS AL ACCESO A EFECTOS POLICIALES
El SEPD recibe con satisfacción el hecho de que se haya eliminado de la actual propuesta la posibilidad de que los servicios policiales tengan acceso al sistema Eurodac. De hecho, aunque el SEPD no discute que los gobiernos necesitan instrumentos adecuados para garantizar la seguridad de los ciudadanos, alberga serias dudas en relación con la legitimidad de dicha propuesta, sobre la base de las consideraciones que se incluyen a continuación.
Las medidas para combatir los delitos de terrorismo y otros delitos graves pueden ser una razón válida para permitir el tratamiento de datos personales — incluso si es incompatible con los fines para los que fueron recogidos en un principio — siempre que la necesidad de la intervención se base en elementos claros e innegables y quede demostrada la proporcionalidad del tratamiento. Ello resulta aún más necesario debido a que las propuestas afectan a un grupo vulnerable necesitado de un alto grado de protección, ya que está constituido de personas que huyen de una persecución. Su situación de precariedad debe tenerse en cuenta al evaluar la necesidad y la proporcionalidad de la acción propuesta. El SEPD destaca, más concretamente, que la necesidad debe demostrarse aportando pruebas concluyentes de que existe un vínculo entre los solicitantes de asilo y el terrorismo o la delincuencia grave. Las propuestas no aportan esas pruebas.
De manera más general, el SEPD ha defendido en varios dictámenes y observaciones la necesidad de que, antes de proponer instrumentos nuevos, se evalúen todos los instrumentos existentes para el intercambio de información y hace especial hincapié en los recientes dictámenes sobre el «Panorama general de la gestión de la información en el espacio de libertad, seguridad y justicia» (12) y sobre la «Política antiterrorista de la UE: logros principales y retos futuros» (13).
Efectivamente, la evaluación de la efectividad de las medidas existentes al considerar el impacto sobre la intimidad de las nuevas medidas previstas resulta decisiva y debe tener un papel importante en la acción de la Unión Europea en este ámbito, en consonancia con el planteamiento propuesto por el Programa de Estocolmo. En este caso, debe prestarse una especial atención por ejemplo a la aplicación del intercambio de datos en virtud del mecanismo de Prüm. En este contexto, se prevé el intercambio de impresiones dactilares y debe demostrarse que el sistema tiene graves insuficiencias que justifican el acceso a una base de datos como Eurodac.
Por último, en estos dictámenes, así como ya hiciera en otros anteriores, el SEPD recomienda que se preste una especial atención a las propuestas que conlleven la recogida de datos personales de categorías más amplias de ciudadanos, en lugar de únicamente de sospechosos. Asimismo, deben considerarse y justificarse de manera específica los casos en que se prevea el tratamiento de datos personales para fines distintos para los que fueron inicialmente recogidos como en Eurodac.
En conclusión, el SEPD acoge con satisfacción que se haya suprimido este elemento de la actual propuesta.
IV. POSICIÓN DE LAS PERSONAS FÍSICAS QUE NO PUEDEN SER INSCRITAS
La toma y el posterior tratamiento de las impresiones dactilares ocupan obviamente un lugar central en el sistema Eurodac. Debe hacerse hincapié en que el tratamiento de datos biométricos como las impresiones dactilares plantea unos retos específicos y crea riesgos que hay que abordar. En el contexto de la Propuesta, el SEPD desea subrayar de manera específica el problema de la llamada «falta de inscripción», la situación en que una persona se encuentra cuando, por cualquier motivo, sus impresiones dactilares no son utilizables.
La falta de inscripción puede ocurrir cuando los particulares tienen dañadas de manera temporal o permanente las impresiones dactilares o las manos. Esto puede estar causado por diversos factores como una enfermedad, discapacidad, heridas o quemaduras. En algunos casos, también puede estar relacionada con la etnicidad o su ocupación. En concreto, parece que un número no despreciable de trabajadores agrícolas y de la construcción tienen las impresiones dactilares tan dañadas hasta el punto de resultar ilegibles. En otros casos, cuya frecuencia es difícil de evaluar, puede ocurrir que los refugiados se automutilen, con el fin de evitar que se les tomen las impresiones dactilares.
El SEPD reconoce que puede ser difícil distinguir aquellos nacionales de terceros países que se dañan voluntariamente las impresiones dactilares para evitar el proceso de identificación de aquellos que realmente tienen impresiones dactilares ilegibles.
Sin embargo, es sumamente importante que la «falta de inscripción» en sí misma no conlleve una negación de derechos para los solicitantes de asilo. No sería aceptable, por ejemplo, que la falta de inscripción se interpretase de manera sistemática como un intento de fraude y que llevara a denegar la evaluación de una solicitud de asilo o a la retirada de asistencia al solicitante de asilo. En ese caso, esto significaría que la posibilidad de tomar impresiones dactilares sería uno de los criterios para reconocer el estatuto de solicitante de asilo. La finalidad del sistema Eurodac es facilitar la aplicación del Convenio de Dublín y no añadir un criterio («tener impresiones dactilares utilizables») para conceder a alguien el estatuto de solicitante de asilo, lo cual constituiría una violación del principio de limitación a una finalidad específica y, como mínimo, del espíritu del derecho de asilo.
Por último, el SEPD insiste asimismo en que la presente propuesta debe ser coherente con otras Directivas relevantes en este ámbito. En particular, la «Directiva de reconocimiento» hace hincapié en que cada solicitud debe considerarse en función de sus características y en absoluto menciona la imposibilidad de inscripción como un criterio para examinar la solicitud de asilo (14).
La presente propuesta también prevé parcialmente la falta de inscripción en el artículo 6, apartados 1 y 2 (15).
Sin embargo, dichas disposiciones únicamente prevén la hipótesis de una falta de inscripción temporal, mientras que en un número significativo de casos esta imposibilidad tiene carácter permanente. El artículo 1 del Reglamento por el que se modifica la Instrucción Consular Común (16) prevé estos casos y estipula que: (…) Los Estados miembros se asegurarán de que, en caso de dificultades en el registro, existan procedimientos apropiados que garanticen la dignidad del solicitante. El hecho de que la toma de huellas dactilares sea físicamente imposible no influirá en la expedición o la denegación de un visado.
Para acomodar estos casos en el contexto del sistema Eurodac, el SEPD recomienda añadir al artículo 6 una disposición que esté inspirada en lo anterior, con la siguiente redacción: «La imposibilidad temporal o permanente de facilitar impresiones dactilares utilizables no perjudicará la situación legal de la persona física. En ningún caso, podrá constituir una razón suficiente para negarse a examinar o rechazar una solicitud de asilo.».
V. DERECHO DE INFORMACIÓN DEL INTERESADO
El SEPD observa que la efectiva aplicación del derecho a la información es fundamental para que Eurodac funcione adecuadamente. En particular, es esencial garantizar que la información se proporcione de tal forma que permita al solicitante de asilo comprender por completo su situación y el alcance de sus derechos, así como los procedimientos que tiene que seguir tras las decisiones administrativas que se adopten en su caso. El SEPD recuerda asimismo que el derecho de acceso es un aspecto fundamental de la protección de datos, tal como se menciona en el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea.
El SEPD ya subrayó este aspecto en su dictamen anterior sobre Eurodac. Teniendo en cuenta que la modificación propuesta no ha sido aceptada, el SEPD desea resaltar la importancia de esta cuestión.
El artículo 24 de la Propuesta dice:
«Las personas contempladas en el presente Reglamento serán informadas por el Estado miembro de origen, por escrito y, en su caso, oralmente, en una lengua que entiendan o que se suponga razonablemente que entienden, de lo que sigue:
la existencia de derechos de acceso relacionados con ellas, y el derecho a solicitar que los datos inexactos relativos a ellas se corrijan, o que datos relativos a ellas tratados de forma ilegal se supriman; asimismo, el derecho a recibir información sobre los procedimientos para el ejercicio de tales derechos, incluidos los datos de contacto del responsable del tratamiento y de las autoridades nacionales de control a que se refiere el artículo 25, apartado 1.»
El SEPD sugiere que se reformule el texto del artículo 24 para aclarar los derechos que asisten al solicitante. La redacción propuesta no es clara, ya que puede interpretarse que «el derecho a recibir información sobre los procedimientos para el ejercicio de tales derechos (…)» es parte del derecho de acceso a los datos y del derecho a solicitar que los datos inexactos se corrijan (…). Además, según la actual redacción de la citada disposición, los Estados miembros deberán informar a la persona contemplada en el Reglamento no del contenido de sus derechos sino de su «existencia». Como esto parece únicamente una cuestión de estilo, el SEPD sugiere que el texto del artículo 24 se modifique como sigue: «Las personas contempladas en el presente Reglamento serán informadas por el Estado miembro de origen (…) de lo que sigue: e) el derecho de acceso a los datos relacionados con ellas, y el derecho a solicitar que los datos inexactos relativos a ellas se corrijan o que los datos relativos a ellas tratados de forma ilegal se supriman;».
VI. LAS MEJORES TÉCNICAS DISPONIBLES
El artículo 4, apartado 1, de la Propuesta dispone: «La gestión operativa de Eurodac será competencia de una Autoridad de Gestión, que se financiará con cargo al presupuesto general de la Unión Europea. La Autoridad de Gestión se asegurará, en cooperación con los Estados miembros, de que en el Sistema Central se utilice en todo momento la mejor tecnología disponible, sobre la base de un análisis de costes y beneficios.». A pesar de que el SEPD recibe con agrado el requisito establecido en el artículo 4, apartado 1, desea resaltar que la expresión «la mejor tecnología disponible» a que hace mención la disposición anterior, debe sustituirse por la expresión «las mejores técnicas disponibles», que incluye la tecnología empleada, la forma en que se ha concebido y construido la instalación y la forma en que se mantiene y se hace funcionar.
Ello es importante dado que el concepto de «las mejores técnicas disponibles» es más amplia y cubre los diversos aspectos que contribuyen a aplicar la «Intimidad mediante el diseño», que se considera un principio clave en la revisión del marco jurídico de protección de datos de la Unión Europea. De este modo se subraya que la protección de datos puede aplicarse a través de distintos medios, no todos de carácter tecnológico. Es ciertamente importante examinar no sólo la tecnología sino también el modo en que dicha tecnología se utiliza como herramienta para alcanzar los fines del tratamiento de datos. Los procesos empresariales deben estar orientados para lograr este fin, lo cual se refleja en los procedimientos y estructuras organizativas.
A este respecto, en un plano más general, el SEPD desea reiterar la recomendación recogida en anteriores dictámenes (17) relativa a la necesidad de que la Comisión defina y promueva, junto con las partes interesadas de la industria las «mejores técnicas disponibles», siguiendo el mismo procedimiento adoptado por la Comisión en el ámbito medioambiental (18). Se entenderá por «mejores técnicas disponibles» la fase más eficaz y avanzada de desarrollo de las actividades y de sus modalidades de explotación, que demuestren la capacidad práctica de determinadas técnicas para constituir, en cumplimiento del marco europeo de protección de datos y de la intimidad, un límite de detección definido. Estas mejores técnicas disponibles se diseñarán para prevenir, y cuando esto no sea posible, para mitigar hasta un nivel adecuado los riesgos de seguridad relacionados con el tratamiento de datos y minimizar en la medida de lo posible su impacto sobre la intimidad.
Este proceso deberá asimismo proporcionar documentos de referencia sobre las «mejores técnicas disponibles», los cuales pueden convertirse en una guía muy útil para la gestión de otros sistemas informáticos de gran magnitud de la Unión Europea. También aumentará la armonización de dichas medidas en toda la Unión Europea. Por último, sin que ello sea menos importante, la definición de unas mejores técnicas disponibles que respeten la definición de intimidad y de seguridad facilitará el papel de supervisor de las autoridades de protección de datos, al proporcionarles referencias técnicas que cumplen las disposiciones de protección de datos y de la intimidad, adoptadas por los responsables del tratamiento de dichos datos.
El SEPD observa que la Propuesta no trata la cuestión de la subcontratación de parte de los cometidos de la Comisión (19) a otras organizaciones o entidades (tales como una sociedad privada). Sin embargo, la Comisión recurre con frecuencia a la subcontratación para la gestión y el desarrollo tanto del sistema como de las infraestructuras de comunicaciones. Aunque la subcontratación de actividades en sí no es un obstáculo para el cumplimiento de los requisitos de protección de datos, deben instaurarse unas salvaguardias estrictas para garantizar que la aplicabilidad del Reglamento (CE) no 45/2001, y con ella la vigilancia por parte del SEPD, no se verán en absoluto afectadas por la subcontratación. Además, deben adoptarse otras salvaguardias de carácter más técnico.
A este respecto, el SEPD sugiere que, en el marco de la revisión del Reglamento Eurodac, se dispongan salvaguardias jurídicas similares a las previstas en los instrumentos jurídicos del SIS II, en las que se especifique que incluso cuando la Comisión subcontrate una parte de sus cometidos a otro organismo u organización, se asegurará de que el Supervisor Europeo de Protección de Datos tenga el derecho y la posibilidad de desempeñar plenamente sus funciones, incluida la posibilidad de realizar comprobaciones in situ, o de ejercer cualesquiera otras competencias que le hayan sido conferidas en virtud del artículo 47 del Reglamento (CE) no 45/2001.
El SEPD recibe con satisfacción el hecho de ser consultado por la Comisión y pide que se haga referencia a esta consulta en los considerandos de la Propuesta.
El SEPD recibe con satisfacción el hecho de que se haya eliminado de la actual propuesta la posibilidad de que los servicios policiales tengan acceso al sistema Eurodac.
La toma y el posterior tratamiento de las impresiones dactilares ocupan un lugar central en el sistema Eurodac. El SEPD hace hincapié en que el tratamiento de datos biométricos como las impresiones dactilares plantea unos retos específicos y crea riesgos que hay que abordar. En particular, el SEPD subraya de manera específica el problema de la llamada «falta de inscripción», la situación en que una persona se encuentra cuando, por cualquier motivo, sus impresiones dactilares no son utilizables. La falta de inscripción en sí misma no conlleva una negación de derechos para los solicitantes de asilo.
El SEPD recomienda añadir al artículo 6 bis de la propuesta la disposición siguiente: «La imposibilidad temporal o permanente de facilitar impresiones dactilares utilizables no perjudicará la situación legal de la persona física. En ningún caso, podrá constituir una razón suficiente para negarse a examinar o rechazar una solicitud de asilo.».
El SEPD observa que la efectiva aplicación del derecho de información es fundamental para que Eurodac funcione adecuadamente, para garantizar que la información se proporciona de tal forma que permita al solicitante de asilo comprender por completo su situación y el alcance de sus derechos, así como los procedimientos que tiene que seguir tras las decisiones administrativas que se adopten en su caso. El SEPD sugiere que se reformule la redacción del artículo 24 de la Propuesta para aclarar los derechos que asisten al solicitante de asilo.
El SEPD recomienda modificar el artículo 4, apartado 1, de la Propuesta y utilizar la expresión de «mejores técnicas disponibles» en lugar de la expresión «mejor tecnología disponible». Las mejores técnicas disponibles incluyen la tecnología empleada, la forma en que se ha concebido y construido la instalación y la forma en que se mantiene y se hace funcionar.
El SEPD recomienda, en relación con la cuestión de la subcontratación de parte de los cometidos de la Comisión a otras organizaciones o entidades (tales como una sociedad privada) que se instauren salvaguardias para garantizar que la aplicabilidad del Reglamento (CE) no 45/2001, y con ella la supervisión por parte del SEPD, no se verán en absoluto afectadas por la subcontratación de actividades. Además, deben adoptarse otras salvaguardias de carácter más técnico.
(3) COM(2010) 555 final.
(5) Propuesta de reglamento del Parlamento Europeo y del Consejo relativo a la creación del sistema «Eurodac» para la comparación de las impresiones dactilares para la aplicación efectiva del Reglamento (CE) no (…/…) (por el que se establecen los criterios y mecanismos de determinación del Estado miembro responsable del examen de una solicitud de protección internacional presentada en uno de los Estados miembros por un nacional de un tercer país o un apátrida) (COM(2008) 825 final.
(6) Dictamen de 18 de febrero de 2009 sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la creación del sistema «Eurodac» para la comparación de las impresiones dactilares para la aplicación efectiva del Reglamento (CE) no (…/…) (por el que se establecen los criterios y mecanismos de determinación del Estado miembro responsable del examen de una solicitud de protección internacional presentada en uno de los Estados miembros por un nacional de un tercer país o un apátrida) [COM(2008) 825], DO C 229 de 23.9.2009, p. 6.
(7) La Propuesta de reglamento del Parlamento Europeo y del Consejo por el que se establece una Agencia para la gestión operativa de sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia [COM(2009) 293 final] fue adoptada el 24 de junio de 2009. El 19 de marzo de 2010 se adoptó una propuesta modificada: Propuesta modificada de Reglamento (UE) no …/… del Parlamento Europeo y del Consejo por el que se crea una Agencia para la gestión operativa de sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia, COM(2010) 93 final.
(8) El SEPD emitió un dictamen sobre el establecimiento de la Agencia (Dictamen de 7 de diciembre de 2009 sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establece una Agencia para la gestión operativa de sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia, y sobre la propuesta de Decisión del Consejo por la que se asignan a la Agencia creada por el Reglamento XX las tareas relativas a la gestión del SIS II y el VIS en aplicación del título VI del Tratado UE, DO C 70 de 19.3.2010, p. 13).
(10) Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta modificada de Reglamento del Parlamento Europeo y del Consejo relativo a la creación del sistema «Eurodac» para la comparación de las impresiones dactilares para la aplicación efectiva del Reglamento (CE) no (…/…) (por el que se establecen los criterios y los mecanismos de determinación del Estado miembro responsable del examen de una solicitud de protección internacional presentada en uno de los Estados miembros por un nacional de un tercer país o un apátrida) y sobre la propuesta de Decisión del Consejo relativa a las solicitudes de comparación con datos Eurodac presentadas por los servicios de seguridad de los Estados miembros y Europol a efectos de la aplicación de la ley, DO C 92 de 10.4.2010, p. 1.
(11) El «paquete asilo» tiene por objeto mejorar el funcionamiento del sistema de asilo de la UE y refuerza los derechos de los solicitantes de asilo. Incluye modificaciones a la Directiva sobre las condiciones de acogida, al Reglamento de Dublín y al sistema Eurodac. También prevé la creación de la Oficina Europea de Apoyo al Asilo (OEAA) la cual irá acompañada de una decisión que facilite la creación de la OEAA mediante la redistribución de la dotación financiera actualmente asignada al Fondo Europeo para los Refugiados.
(12) Dictamen del Supervisor Europeo de Protección de datos de 30 de septiembre de 2010 sobre la Comunicación de la Comisión al Parlamento Europeo y al Consejo — «Panorama general de la gestión de la información en el espacio de libertad, seguridad y justicia», disponible en la página web.
(13) Dictamen del Supervisor Europeo de Protección de Datos de 24 de noviembre de 2010 sobre la Comunicación de la Comisión al Parlamento Europeo y al Consejo relativa a la política antiterrorista de la UE: logros principales y retos futuros, disponible en la página web.
(14) Véase en especial el artículo 4, apartado 3, de la Directiva 2004/83/CE del Consejo, de 29 de abril de 2004, por la que se establecen normas mínimas relativas a los requisitos para el reconocimiento y el estatuto de nacionales de terceros países o apátridas como refugiados o personas que necesitan otro tipo de protección internacional y al contenido de la protección concedida, DO L 304 de 30.9.2004, p. 12.
«1. Cuando las condiciones de las yemas de los dedos no permitan tomar impresiones dactilares de calidad que puedan compararse adecuadamente con arreglo al artículo 18 del presente Reglamento, el Estado miembro de origen volverá a tomar las impresiones dactilares del solicitante y las volverá a enviar cuanto antes en las 48 horas siguientes al momento en que se tomen correctamente.».
«2. No obstante lo dispuesto en el apartado 1, cuando no sea posible tomar las impresiones dactilares de un solicitante debido a medidas adoptadas para proteger la salud del solicitante o la salud pública, los Estados miembros tomarán y enviarán las impresiones dactilares del solicitante lo antes posible en el plazo de 48 horas desde la desaparición de esas razones.».
(16) Reglamento (CE) no 390/2009 del Parlamento Europeo y del Consejo, de 23 de abril de 2009, por el que se modifica la Instrucción consular común dirigida a las misiones diplomáticas y oficinas consulares de carrera en relación con la introducción de identificadores biométricos y se incluyen disposiciones sobre la organización de la recepción y la tramitación de las solicitudes de visado, DO L 131 de 28.5.2009, p. 1.
(17) Dictamen del SEPD sobre los sistemas de transporte inteligente de julio de 2009; Dictamen sobre la identificación por radiofrecuencia (RFID) de diciembre de 2007; Informe anual de 2006 del Supervisor Europeo de Protección de Datos p.48-49.
(19) O, en el futuro, la Autoridad de Gestión, tal como se ha mencionado anteriormente. En el presente apartado, las referencias a la Comisión deben entenderse como referencias a la institución u organismo europeo que actúa como responsable del tratamiento de datos para Eurodac.
El 30 de septiembre de 2010, la Comisión adoptó una propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la ENISA, la Agencia Europea de Seguridad de las Redes y de la Información (3).
La ENISA se había creado en marzo de 2004 para un período inicial de cinco años de conformidad con el Reglamento (CE) no 460/2004 (4). En 2008, el Reglamento (CE) no 1007/2008 (5) prorrogó el mandato correspondiente hasta marzo de 2012.
Tal como se desprende del artículo 1, apartado 1, del Reglamento (CE) no 460/2004, la Agencia se creó a efectos de garantizar un nivel efectivo y elevado de seguridad de las redes y de la información en la Comunidad y con el fin de contribuir al correcto funcionamiento del mercado interior.
La propuesta de la Comisión tiene la intención de modernizar la Agencia, al objeto de fortalecer sus competencias, y establecer un nuevo mandato por un período de cinco años que permita la continuidad de la Agencia más allá de marzo de 2012 (6).
La propuesta de Reglamento tiene su fundamento jurídico en el artículo 114 del TFUE (7), que confiere competencia a la Unión para adoptar medidas encaminadas a establecer o garantizar el funcionamiento del mercado interior. El artículo 114 del TFUE sucede al artículo 95 del antiguo Tratado de la CE, en el que se fundamentó el Reglamento anterior de la ENISA (8).
La exposición de motivos que acompaña la propuesta se refiere a que la prevención y la lucha contra la delincuencia se han convertido en una competencia compartida tras la entrada en vigor del Tratado de Lisboa. Ello ha creado la posibilidad de que la ENISA desempeñe el papel de plataforma en materia de seguridad de las redes de información (SRI) de la lucha contra la ciberdelincuencia e intercambie opiniones y mejores prácticas con la ciberdefensa y con las autoridades encargadas de hacer cumplir la ley y proteger los datos.
En diversas ocasiones, la Comisión ha optado por proponer una ampliación de las funciones de la ENISA e incorporar a las autoridades encargadas de hacer cumplir la ley y proteger los datos como miembros de pleno derecho de su Grupo Permanente de Partes Interesadas. La nueva lista de funciones no incluye las operativas sino que actualiza y reformula las competencias actuales.
El 1 de octubre de 2010, la propuesta se envió al SEPD a título consultivo, de conformidad con el artículo 28, apartado 2, del Reglamento (CE) no 45/2001. El SEPD se congratula de que se le haya consultado a propósito de este asunto y recomienda que se haga referencia a esta consulta en los considerandos de la propuesta, tal como suele hacerse en los textos legislativos a propósito de los que se ha consultado al SEPD con arreglo al Reglamento (CE) no 45/2001.
Antes de la adopción de la propuesta, se había consultado al SEPD de manera informal y se le había facilitado una serie de observaciones asimismo informales. Sin embargo, ninguna de estas observaciones se tuvo en cuenta en la versión final de la propuesta.
El SEPD destaca que la seguridad del tratamiento de datos es un elemento crucial de la protección de los mismos (9). A este respecto, acoge con satisfacción el objetivo de la propuesta de reforzar las funciones de la Agencia para que pueda cumplir más eficazmente sus tareas y responsabilidades actuales y, al mismo tiempo, ampliar su ámbito de actividad. El SEPD acoge asimismo con satisfacción la inclusión de las autoridades de protección de datos y las autoridades encargadas de hacer cumplir la ley como partes interesadas de pleno derecho. Considera que la prórroga del mandato de la ENISA es una manera de fomentar a nivel europeo la gestión profesional y racional de las medidas de seguridad de los sistemas de información.
La valoración global de la propuesta es positiva. Sin embargo, la propuesta de Reglamento adolece en varios puntos de falta de claridad o exhaustividad, lo que suscita cierta preocupación desde el punto de vista de la protección de datos. Estas cuestiones se explicarán y analizarán en el próximo capítulo del presente dictamen.
II. OBSERVACIONES Y RECOMENDACIONES
Las funciones ampliadas que desempeñará la ENISA no están suficientemente claras
Las funciones ampliadas de la Agencia, que se refieren a la participación de las autoridades encargadas de hacer cumplir la ley y proteger los datos, se formulan de una manera muy general en el artículo 3 de la propuesta. La exposición de motivos es más explícita al respecto. Se refiere a la ENISA como «interfaz» con las autoridades encargadas de hacer cumplir la ley responsables de la lucha contra la ciberdelincuencia y se le atribuyen tareas de índole no operativa vinculadas a los aspectos relacionados con la lucha contra la ciberdelincuencia. Sin embargo, tales funciones no se incluyen, o sólo se mencionan en términos muy generales, en el artículo 3.
Con el fin de evitar toda inseguridad jurídica, la propuesta de Reglamento debe ser clara e inequívoca acerca de las funciones de la ENISA. Como se ha indicado, la seguridad del tratamiento de datos es un elemento crucial de la protección de los mismos. La ENISA desempeñará una función cada vez más importante en ese ámbito. Los ciudadanos, las instituciones y los diversos órganos han de tener claro en qué tipo de actividades podría participar la Agencia. Tal extremo sería aún más importante si entre las competencias de la ENISA se incluyera el tratamiento de datos personales (véanse los puntos 17 a 20 más adelante).
El artículo 3, apartado 1, letra k), de la propuesta establece que la Agencia desempeñará las funciones que le confieran los actos legislativos de la Unión. El SEPD tiene dudas sobre esta cláusula abierta, ya que crea una posible laguna que podría afectar la coherencia del instrumento jurídico y podría asimismo dar lugar a una «desviación de uso» de la Agencia.
Una de las funciones a las que se refiere el artículo 3, apartado 1, letra k), de la propuesta se contempla en la Directiva 2002/58/CE (10). En esta se establece que la Comisión está obligada a consultar a la Agencia sobre las medidas técnicas de ejecución aplicables a las notificaciones en el contexto de las violaciones de datos. El SEPD recomienda que esta actividad de la Agencia se describa con mayor detalle, adscribiéndola asimismo al ámbito de la seguridad. Habida cuenta de la posible repercusión que la ENISA podría tener en el desarrollo de políticas en este ámbito, tal actividad debería ocupar una posición más clara y más prominente dentro de la propuesta de Reglamento.
Asimismo, el SEPD recomienda la inclusión de una referencia a la Directiva 1999/5/CE (11) en el considerando 21, habida cuenta de la función concreta de la ENISA a la que se refiere el artículo 3, apartado 1, letra c), de la presente propuesta de asistir a los Estados miembros y a las instituciones y organismos europeos en sus esfuerzos por recopilar, analizar y difundir datos sobre la seguridad de las redes y de la información. Ello debería fomentar los ejercicios de promoción de la ENISA en favor de las mejores prácticas y técnicas en materia de SRI (seguridad de las redes de información), toda vez que ilustraría mejor las posibles interacciones constructivas entre la Agencia y los organismos de normalización.
Debe aclararse si la Agencia tratará datos personales
La propuesta no aclara si entre las funciones de la Agencia podría incluirse el tratamiento de datos personales. Por ello, la propuesta no se remite a un fundamento jurídico específico para el tratamiento de datos personales, en el sentido del artículo 5 del Reglamento (CE) no 45/2001.
Sin embargo, algunas de las funciones asignadas a la Agencia podrían entrañar (al menos hasta cierto punto) el tratamiento de datos personales. No se descarta, por ejemplo, que el análisis de incidentes de seguridad y violaciones de datos o el desempeño de funciones no operativas en la lucha contra la ciberdelincuencia pueda entrañar la recopilación y el análisis de datos personales.
El considerando 9 de la propuesta se refiere a las disposiciones de la Directiva 2002/21/CE (12), que establecen que, en su caso, la Agencia recibirá la notificación de las autoridades nacionales de reglamentación en el caso de que se detecten violaciones de seguridad. El SEPD recomienda que se pormenorice más la propuesta en lo que atañe a las notificaciones que se vayan a transmitir a la ENISA y al modo en que la Agencia debe responder a las mismas. Igualmente, la propuesta debe abordar las repercusiones en materia de tratamiento de datos personales que podrían desprenderse del análisis de tales notificaciones (en su caso).
El SEPD invita al legislador a que aclare si las actividades de la ENISA que se enumeran en el artículo 3 —y, en caso afirmativo, cuáles— entrañarán el tratamiento de datos personales.
Deben establecerse las normas de seguridad interna de la ENISA
Aunque la ENISA desempeña una función importante en el debate sobre la seguridad de las redes de información en Europa, la propuesta apenas se refiere al establecimiento de las medidas de seguridad de la propia Agencia (tengan éstas relación con el tratamiento de datos personales o no).
El SEPD considera que la ENISA se hallará en una posición aún mejor para fomentar las buenas prácticas en relación con la seguridad del tratamiento de datos si la propia Agencia aplica con rigor tales medidas de seguridad internamente. Ello fomentará que la Agencia sea reconocida no sólo como centro de conocimientos especializados, sino, asimismo, como un punto de referencia en la aplicación práctica de las mejores técnicas disponibles (MTD) en el ámbito de la seguridad. La pugna por lograr la excelencia en cuanto a las prácticas en materia de seguridad debería integrarse, pues, en el Reglamento que rige los procedimientos de trabajo de la Agencia. El SEPD recomienda, por lo tanto, que se añada una disposición en este sentido a la propuesta, con arreglo a la que, por ejemplo, se exija que la Agencia aplique las mejores técnicas disponibles, a saber, los procedimientos de seguridad más eficaces y avanzados y sus correspondientes métodos de funcionamiento.
Este planteamiento permitirá a la Agencia asesorar sobre la idoneidad práctica de determinadas técnicas para ofrecer las garantías de seguridad necesarias. Por otra parte, la aplicación de estas MTD debe dar prioridad a las que permitan garantizar la seguridad y, al mismo tiempo, minimizar en lo posible el impacto sobre la privacidad. Deberían elegirse las técnicas que mejor se adecuen al concepto de la «privacidad desde el diseño».
Aunque el planteamiento sea menos ambicioso, el SEPD recomienda, como mínimo, que el Reglamento contenga los siguientes requisitos: i) la creación de una política de seguridad interna derivada de una evaluación global del riesgo que tenga en cuenta las normas internacionales y las mejores prácticas en los Estados miembros, ii) el nombramiento de un responsable de seguridad encargado de la aplicación de la política que cuente con los recursos y la autoridad adecuados, iii) la aprobación de esta política después de un examen detallado de los riesgos residuales y los controles propuestos por el Consejo de Administración, y iv) una revisión periódica de la política en la que se establezca con claridad la periodicidad de los plazos fijados y los objetivos de tal revisión.
Deben definirse mejor los canales de cooperación con las autoridades de protección de datos (incluido el SEPD) y el Grupo de Trabajo del Artículo 29
Como ya se ha indicado, el SEPD acoge con satisfacción la prórroga del mandato de la Agencia y cree que las autoridades de protección de datos pueden beneficiarse mucho de la existencia de la Agencia (y ésta de los conocimientos de dichas autoridades). Dada la convergencia natural y lógica entre la seguridad y la protección de los datos, la Agencia y las autoridades de protección de datos están, de hecho, llamadas a colaborar estrechamente.
Los considerandos 24 y 25 contienen una referencia a la propuesta de Directiva comunitaria sobre la ciberdelincuencia e indican que la Agencia debe actuar como enlace con las autoridades encargadas de hacer cumplir la ley y, asimismo, con las autoridades de protección de datos a propósito de los aspectos de seguridad de la información de la lucha contra la ciberdelincuencia (13).
La propuesta también debería establecer cauces y mecanismos concretos de colaboración que i) garanticen la coherencia de las actividades de la Agencia con las de las autoridades de protección de datos y ii) permitan una estrecha cooperación entre la primera y las últimas.
Con respecto a la coherencia, el considerando 27 se refiere explícitamente a que las funciones de la Agencia no deben entrar en conflicto con las autoridades de protección de datos de los Estados miembros. El SEPD acoge con satisfacción esta referencia, pero señala que en ella no se le cita ni se menciona al Grupo de Trabajo del Artículo 29. El SEPD recomienda al legislador que incluya en la propuesta una disposición similar de no injerencia con respecto a estas dos instituciones. Ello creará un entorno de trabajo más claro para todas las partes y debería asimismo delimitar los canales y mecanismos de colaboración que permitan a la Agencia asistir a las diversas autoridades de protección de datos y al Grupo de Trabajo del Artículo 29.
Por consiguiente, en lo que se refiere a la estrecha cooperación, el SEPD acoge con satisfacción la inclusión de una representación de las autoridades de protección de datos en el Grupo Permanente de Partes Interesadas que asesorará a la Agencia en el desempeño de sus actividades. Recomienda que se mencione explícitamente que esa representación de las autoridades nacionales de protección de datos sea designada por la Agencia sobre la base de una propuesta del Grupo de Trabajo del Artículo 29. Asimismo, agradecería que se incluyera una referencia que previera la asistencia del SEPD, en calidad de tal, a las reuniones en la que vayan a debatirse temas pertinentes para la cooperación con el Supervisor Europeo de Protección de Datos. Por otra parte, el SEPD recomienda que la Agencia (asesorada por el Grupo Permanente de Partes Interesadas y contando con el beneplácito del Consejo de Administración) establezca grupos de trabajo ad hoc en cuanto a los temas en los que la protección de datos y la seguridad se solapen en el marco de esta iniciativa de estrecha cooperación.
Por último, con el fin de evitar cualquier posible malentendido, el SEPD recomienda que se emplee el término «autoridades de protección de datos» en lugar de «autoridades encargadas de proteger la intimidad» y se aclare cuáles son tales autoridades mediante la inclusión de una referencia al artículo 28 de la Directiva 95/46/CE y al SEPD, tal como se establece en el capítulo V del Reglamento (CE) no 45/2001.
No está claro qué beneficiarios pueden solicitar la asistencia de la ENISA
El SEPD observa una incoherencia en la propuesta de Reglamento con respecto a quién puede solicitar la asistencia de la ENISA. De los considerandos 7, 15, 16, 18 y 36 de la propuesta se desprende que la ENISA está facultada para asistir a los organismos de los Estados miembros y a la Unión en su conjunto. Sin embargo, el artículo 2, apartado 1, se refiere únicamente a la Comisión y a los Estados miembros, mientras que el artículo 14 limita la capacidad de presentar solicitudes de asesoramiento a: i) el Parlamento Europeo, ii) el Consejo, iii) la Comisión y iv) cualquier organismo competente designado por un Estado miembro, dejando al margen algunas de las instituciones, órganos, organismos y oficinas de la Unión.
El artículo 3 de la propuesta es más específico y contempla diferentes tipos de asistencia en función del tipo de beneficiario: i) la recolección y el análisis de datos sobre seguridad de la información (en el caso de los Estados miembros y las instituciones y órganos europeos), ii) el análisis del estado de la red y la seguridad de la información en Europa (en el caso de los Estados miembros y las instituciones europeas), iii) la promoción de la gestión de riesgos y las buenas prácticas de seguridad (en toda la Unión y en los Estados miembros), iv) el desarrollo de una capacidad en materia de detección, análisis y respuesta en relación con la seguridad de las redes y de la información (en las instituciones y órganos europeos) y v) la colaboración en el diálogo y la cooperación con terceros países (en el caso de la Unión).
El SEPD invita al legislador a subsanar esta incoherencia y a adaptar las disposiciones mencionadas. En este sentido, el SEPD recomienda que el artículo 14 se modifique de manera que incluya, de hecho, todas las instituciones, órganos, organismos y oficinas de la Unión y que sea claro en cuanto al tipo de asistencia que puedan solicitar las distintas entidades de la Unión (en caso de que el legislador pretenda establecer tal diferenciación). En el mismo sentido, se recomienda que ciertas entidades públicas y privadas puedan solicitar la asistencia de la Agencia, si la asistencia solicitada alberga un potencial claro desde una perspectiva europea y es conforme a los objetivos de la Agencia.
En la exposición de motivos se describen las competencias ampliadas del Consejo de Administración en cuanto a su función de supervisión. El SEPD se felicita de esta ampliación de funciones y recomienda la inclusión de varios aspectos relativos a la protección de los datos entre las competencias del Consejo de Administración. Además, el SEPD recomienda que el Reglamento especifique de forma inequívoca quién está facultado para: i) establecer medidas para la aplicación del Reglamento (CE) no 45/2001 por la Agencia, incluidas las relativas al nombramiento de un responsable de la protección de datos, ii) aprobar la política de seguridad y las posteriores revisiones periódicas de la misma, y iii) establecer el protocolo de cooperación con las autoridades de protección de datos y las autoridades encargadas de hacer cumplir la ley.
Aplicabilidad del Reglamento (CE) no 45/2001
Aunque se trata de una exigencia recogida ya en el Reglamento (CE) no 45/2001, el SEPD sugiere incluir en el artículo 27 el nombramiento de un responsable de la protección de datos, toda vez que se trata de un punto de particular importancia al que debe acompañar una disposición relativa al rápido establecimiento de las normas de desarrollo referidas al alcance de las funciones y competencias encomendadas a dicho responsable de conformidad con el artículo 24, apartado 8, del Reglamento (CE) no 45/2001. Más concretamente, el artículo 27 podría formularse del modo siguiente:
La información personal que la Agencia solicite a los candidatos de conformidad con el presente Reglamento se tratará con arreglo a lo dispuesto en el Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos.
El Consejo de Administración adoptará las medidas para la aplicación del Reglamento (CE) no 45/2001 por la Agencia, incluidas las relativas al responsable de la protección de datos de la misma.
En caso de que resulte necesario remitirse a un fundamento jurídico específico para el tratamiento de datos personales, tal como se ha analizado en los puntos 17 a 20, aquél debería aclarar las garantías, limitaciones y condiciones necesarias y adecuadas conforme a las que se llevaría a cabo dicho tratamiento.
La valoración global de la propuesta es positiva y el SEPD acoge con satisfacción la prórroga del mandato de la Agencia y la ampliación de sus funciones a través de la inclusión de las autoridades de protección de datos y las autoridades encargadas de hacer cumplir la ley como partes interesadas de pleno derecho. El SEPD considera que la continuidad de la Agencia promoverá a nivel europeo la gestión profesional y racional de las medidas de seguridad relativas a los sistemas de información.
El SEPD recomienda que, para evitar toda inseguridad jurídica, se aclare la propuesta en lo que atañe a la ampliación de las funciones de la Agencia y, en particular, de las relativas a la participación de las autoridades encargadas de hacer cumplir la ley y las autoridades de protección de datos. Asimismo, el SEPD llama la atención sobre la laguna que podría crear la inclusión de una disposición en la propuesta que permita la asignación de nuevas funciones a la Agencia a través de cualquier otro acto legislativo de la Unión, sin restricción adicional alguna.
El SEPD insta al legislador a que aclare si las actividades de la ENISA —y, en caso afirmativo, cuáles— entrañarán el tratamiento de datos personales.
El SEPD recomienda incluir disposiciones sobre el establecimiento de una política de seguridad de la propia Agencia, con el fin de reforzar su función de promoción de la excelencia en las prácticas de seguridad y de la «privacidad desde el diseño», integrando el uso de las mejores técnicas disponibles en materia de seguridad con el respeto de los derechos de protección de los datos personales.
Los canales de cooperación con las autoridades de protección de datos, incluidos el SEPD y el Grupo de Trabajo del Artículo 29, deben definirse mejor con el objetivo de garantizar la coherencia y una cooperación estrecha.
El SEPD invita al legislador a resolver algunas incoherencias en lo que respecta a las restricciones expresadas en el artículo 14, relativo a la capacidad de solicitar la asistencia de la Agencia. En particular, el SEPD recomienda suprimir tales restricciones y disponer que todas las instituciones, órganos, organismos y oficinas de la Unión estén facultados para solicitar la asistencia de la Agencia.
Por último, el SEPD recomienda que las competencias ampliadas del Consejo de Administración incorporen ciertos aspectos concretos que podrían mejorar las garantías de adhesión a las buenas prácticas en el seno de la Agencia en lo que respecta a la seguridad y la protección de los datos. Entre otros, se propone incluir el nombramiento de un responsable de la protección de datos y la aprobación de las medidas encaminadas a la correcta aplicación del Reglamento (CE) no 45/2001.
(3) COM(2010) 521 final.
(4) DO L 77 de 13.3.2004, p. 1.
(5) DO L 293 de 31.10.2008, p. 1.
(6) Con el objetivo de evitar un vacío jurídico, por si el procedimiento legislativo en el Parlamento Europeo y en el Consejo se prolongara más allá de la expiración del actual mandato, la Comisión adoptó, el pasado 30 de septiembre de 2010, una segunda propuesta de modificación del Reglamento (CE) no 460/2004 cuya intención es únicamente prorrogar el plazo del mandato vigente durante 18 meses. Véase COM(2010) 520 final.
(7) Véase más arriba.
(8) El 2 de mayo de 2006, el Tribunal de Justicia desestimó un recurso de anulación del Reglamento anterior (CE) no 460/2004 que impugnaba su fundamento jurídico (asunto C-217/04).
(9) Los requisitos en materia de seguridad se recogen en los artículos 22 y 35 del Reglamento (CE) no 45/2001, los artículos 16 y 17 de la Directiva 95/46/CE y los artículos 4y 5 de la Directiva 2002/58/CE.
(10) Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) DO L 201 de 31.7.2002, p. 37.
(11) Directiva 1999/5/CE del Parlamento Europeo y del Consejo de 9 de marzo de 1999 sobre equipos radioeléctricos y equipos terminales de telecomunicación y reconocimiento mutuo de su conformidad, DO L 91 de 7.4.1999, p. 10 y, en particular, el artículo 3, apartado 3, letra c), de la misma.
(12) Directiva 2002/21/CE del Parlamento Europeo y del Consejo, de 7 de marzo de 2002, relativa a un marco regulador común de las redes y los servicios de comunicaciones electrónicas (Directiva marco, DO L 108 de 24.4.2002, p. 33).
(13) Propuesta de Directiva relativa a los ataques contra los sistemas de información, por la que se deroga la Decisión marco 2005/222/JAI del Consejo, COM(2010) 517 final.
(Asunto COMP/M.6076 — Orangina Schweppes/Européenne d'Embouteillage)
El 22 de marzo de 2011, la Comisión decidió no oponerse a la concentración notificada que se cita en el encabezamiento y declararla compatible con el mercado común. Esta decisión se basa en el artículo 6, apartado 1, letra b) del Reglamento (CE) no 139/2004 del Consejo. El texto íntegro de la decisión solo está disponible en francés y se hará público una vez que se elimine cualquier secreto comercial que pueda contener. Estará disponible:
en formato electrónico en el sitio web EUR-Lex (http://eur-lex.europa.eu/en/index.htm) con el número de documento 32011M6076. EUR-Lex da acceso al Derecho comunitario en línea.
Informe Especial no 1/2011 «¿Supone una mejora en la prestación de la ayuda la desconcentración de las competencias de la Comisión en gestión de la ayuda exterior para transferirlas de los servicios centrales a las delegaciones?»
El Tribunal de Cuentas Europeo anuncia que acaba de publicar su Informe Especial no 1/2011 «¿Supone una mejora en la prestación de la ayuda la desconcentración de las competencias de la Comisión en gestión de la ayuda exterior para transferirlas de los servicios centrales a las delegaciones?».
1615 Luxembourgo
Tel. + 352 4398-1
De conformidad con el artículo 6 del Reglamento (CE) no 847/2004, sobre la negociación y aplicación de acuerdos de servicios de transporte aéreo entre Estados miembros y terceros países, la Comisión Europea publica el siguiente procedimiento nacional de reparto de los derechos de tráfico aéreo limitados en virtud de acuerdos de servicios aéreos con terceros países entre las compañías aéreas comunitarias que puedan optar a esos derechos.
SERVICIO PÚBLICO FEDERAL MOVILIDAD Y TRANSPORTES
Real Decreto relativo a la designación de compañías aéreas comunitarias y a la asignación de derechos de tráfico aéreo con vistas a la explotación de servicios aéreos regulares entre Bélgica y países no comunitarios
ALBERT II, Rey de los Belgas,
Visto el Reglamento (CE) no 847/2004 del Parlamento Europeo y del Consejo, de 29 de abril de 2004, sobre la negociación y aplicación de acuerdos de servicios de transporte aéreo entre Estados miembros y terceros países;
Vista la Ley de 27 de junio de 1937, por la que se revisa la Ley de 16 de noviembre de 1919, relativa a la reglamentación de la navegación aérea y, en particular, el artículo 5, apartado 2, insertado mediante la Ley de 2 de enero de 2001;
Vista la Ley de 3 de mayo de 1999, relativa a las compañías aéreas regulares;
Vista la asociación de los Gobiernos regionales a la elaboración del presente Decreto;
Visto el dictamen no 47.574/4 del Consejo de Estado, emitido el 6 de enero de 2010, en aplicación del artículo 84, apartado 1, párrafo primero, primer guión, de las leyes sobre el Consejo de Estado, coordinadas el 12 de enero de 1973;
A propuesta del Primer Ministro y del Secretario de Estado para la Movilidad.
SABED QUE HE APROBADO:
El presente Decreto determina las modalidades de designación de compañías aéreas comunitarias y de atribución de derechos de tráfico con vistas a la explotación de servicios aéreos regulares entre Bélgica y países no comunitarios.
A efectos de la aplicación del presente Decreto, se entenderá por:
«Compañía aérea comunitaria», toda compañía aérea titular de una licencia de explotación válida expedida con arreglo al Reglamento (CE) no 1008/2008 del Parlamento Europeo y del Consejo, de 24 de septiembre de 2008, sobre normas comunes para la explotación de servicios aéreos en la Comunidad.
«Derecho de tráfico», el derecho de una compañía aérea a transportar, mediante pago, de forma combinada o separada, pasajeros, carga o correo en una ruta aérea determinada.
«Director General», el Director General de la Dirección General de Transporte Aéreo.
«Dirección General de Transporte Aéreo», la Dirección competente en materia de transporte aéreo en el Servicio Público Federal «Movilidad y Transportes».
«Servicios aéreos regulares», una serie de vuelos accesibles al público y destinados a garantizar, de forma combinada o separada, el transporte de pasajeros, correo o carga mediante pago; esa serie de vuelos se explota:
de acuerdo con un horario publicado;
o con arreglo a una frecuencia tan regular que constituye una serie sistemática evidente de vuelos.
«Acuerdo aéreo bilateral», un acuerdo aéreo celebrado entre Bélgica y un país no comunitario, así como cualquier otro acuerdo aéreo entre la Unión Europea y un país no comunitario.
«Designación», el privilegio concedido a una compañía aérea de explotar servicios aéreos regulares en el marco de un acuerdo aéreo bilateral; esa designación puede concederse a una sola compañía aérea (designación única) o a varias (designación múltiple), según las disposiciones del acuerdo aéreo bilateral en cuestión;
«Accesibilidad», la posibilidad, según las disposiciones de un acuerdo aéreo bilateral, de ser designado y/o de explotar el número de vuelos deseado en una ruta determinada;
«Ministro», el Ministro que tenga entre sus atribuciones la navegación aérea;
«Temporada IATA», temporada de verano o de invierno, tal como las define la Asociación de Transporte Aéreo Internacional (IATA).
El presente Decreto, así como el calendario de negociaciones bilaterales de acuerdos aéreos entre Bélgica y países no comunitarios, dará lugar a una publicación en el sitio Internet del Servicio Público Federal «Movilidad y Transportes». Toda la información complementaria sobre los acuerdos aéreos, los derechos de tráfico y la designación podrá obtenerse en la Dirección General de Transporte Aéreo.
1. Solo podrá designarse y atribuirse derechos de tráfico a una compañía aérea comunitaria establecida en Bélgica, a efectos del Derecho comunitario.
Con tal fin, esta enviará la solicitud correspondiente al Director General, por correo certificado, en una de las lenguas nacionales o en inglés.
Se adjuntará a la solicitud un expediente que conste de lo siguiente:
la licencia de explotación, el certificado de operador aéreo (AOC), salvo si esos documentos han sido expedidos por Bélgica;
el certificado de seguro;
elementos que demuestren que el establecimiento en Bélgica de la compañía aérea comunitaria se ajusta al Derecho comunitario;
los elementos que demuestren la capacidad operativa y financiera a efectos de lo dispuesto en el Reglamento (CE) no 1008/2008 del Parlamento Europeo y del Consejo, de 24 de septiembre de 2008, sobre normas comunes para la explotación de servicios aéreos en la Comunidad;
los datos siguientes sobre los servicios aéreos regulares previstos:
el enlace aéreo previsto (ruta, frecuencia semanal, horarios, escalas, carácter estacional o no);
el tipo de transporte (carga, pasajeros, correo);
el tráfico de pasajeros (previsiones de tráfico, segmentación de la clientela, principales orígenes y destinos reales);
el tipo de aeronave, su configuración en diferentes clases y su capacidad;
la fecha prevista de inicio de la explotación, su duración previsible, así como datos sobre la posible explotación previa por el solicitante de ese enlace aéreo;
los datos sobre la dimensión del mercado y, en particular, sobre la capacidad que, en su caso, ya se ofrezca para ese enlace aéreo o sea previsible a corto plazo;
la forma en que se realizarán los vuelos propuestos:
utilización de aeronaves inscritas en el certificado de operador aéreo (AOC) del solicitante;
recurso a un acuerdo de código compartido con otra compañía aérea (comunitaria o no);
arrendamiento de aeronave o de capacidad de aeronave;
cualquier otra forma de cooperación con una o varias compañías aéreas;
la forma en que los vuelos se propondrán al público y se comercializarán (tarifas propuestas, acceso del público a los servicios, canales de distribución);
las categorías de emisión sonora y las demás características ambientales de las aeronaves cuya utilización esté prevista;
si procede, aceptación por parte del solicitante de poner a disposición, en circunstancias excepcionales, la capacidad necesaria para satisfacer las necesidades nacionales o internacionales de Bélgica.
2. No obstante lo dispuesto en el apartado 1, párrafo tercero, la solicitud de una compañía aérea comunitaria que, tras la entrada en vigor del presente Decreto, ya haya presentado un expediente con el conjunto de los elementos mencionados en los puntos 1o a 4o del apartado 1, párrafo tercero, solo irá acompañada de los elementos del punto 5o del apartado 1, párrafo tercero y, si procede, de las modificaciones de los elementos recogidos en los puntos 1o a 4o del apartado 1, párrafo tercero.
Solo serán tenidas en cuenta por el Director General y publicadas en el sitio Internet del Servicio Público Federal «Movilidad y Transportes» las solicitudes que se ajusten a lo dispuesto en el artículo 4.
Durante el análisis de una solicitud, el Director General podrá en cualquier momento:
solicitar elementos complementarios de información a la compañía aérea comunitaria; y/u
organizar audiencias a las que se convoque al conjunto de los solicitantes.
El Ministro atribuirá automáticamente a todas las compañías aéreas comunitarias la designación y/o los derechos de tráfico solicitados siempre que el acuerdo aéreo bilateral entre Bélgica y el país no comunitario en cuestión no limite:
ni el número de compañías aéreas comunitarias que puedan ser designadas;
ni el número de vuelos que puedan ser explotados en las rutas especificadas.
Esa atribución le será notificada.
En aquellos casos en que los acuerdos aéreos bilaterales limiten:
el número de compañías aéreas comunitarias que puedan ser designadas, o
el número de frecuencias que puedan explotarse en las rutas especificadas,
la solicitud será examinada en primer lugar en relación con la accesibilidad a la designación y/o a los derechos de tráfico solicitados.
Si ya no existe accesibilidad para que el solicitante pueda explotar servicios aéreos regulares en esas rutas, se le notificará en un plazo de quince días hábiles tras la recepción de su solicitud, por correo certificado. Esa notificación también se publicará en el sitio Internet del Servicio Público Federal «Movilidad y Transportes».
Si aún existe una accesibilidad suficiente para permitir al solicitante explotar servicios aéreos regulares en esas rutas, el Director General se lo notificará en un plazo de quince días hábiles por escrito y por medio del sitio Internet del Servicio Público Federal «Movilidad y Transportes».
Se informará por escrito a las compañías aéreas comunitarias establecidas en Bélgica de que disponen de quince días hábiles, a partir de la fecha de notificación mencionada en el párrafo segundo, para presentar su candidatura con vistas a una designación y/o a la atribución de derechos de tráfico.
Las solicitudes que compitan entre sí se publicarán en el sitio Internet del Servicio Público Federal «Movilidad y Transportes».
Si no compiten varias solicitudes, y si pueden satisfacerse todas ellas, el Ministro aceptará la solicitud o solicitudes y notificará su decisión en un plazo de quince días hábiles por carta certificada y mediante una publicación en el sitio Internet del Servicio Público Federal «Movilidad y Transportes».
Si varias compañías aéreas comunitarias se dan a conocer y reivindican la atribución de una designación o de derechos de tráfico en una ruta determinada, y resulta imposible satisfacer todas las solicitudes, el Director General examinará las solicitudes que compitan entre sí, en función del expediente completo de solicitudes, tal como se define en el artículo 4.
El Director General dirigirá a los solicitantes que compitan entre sí, mediante carta certificada y en un plazo de treinta días hábiles, un proyecto de decisión de atribución de derechos de tráfico y/o de designación. La fecha de envío de ese proyecto de decisión se publicará en el sitio Internet del Servicio Público Federal «Movilidad y Transportes».
Las compañías aéreas comunitarias que hayan presentado una solicitud podrán comunicar por carta certificada sus observaciones al Director General en un plazo de diez días hábiles a partir de la fecha de envío del proyecto de decisión:
si se formulan observaciones, el Ministro adoptará, en un plazo de quince días hábiles a partir de la recepción de las mismas, una decisión definitiva de atribución de derechos de tráfico y/o de designación que se comunicará a los solicitantes por carta certificada y se publicará en el sitio Internet del Servicio Público Federal «Movilidad y Transportes»;
si no se formula observación alguna, el proyecto de decisión pasará a ser una decisión definitiva del Ministro para la atribución de derechos de tráfico y/o la designación, que se comunicará al solicitante o solicitantes por carta certificada y se publicará en el sitio Internet del Servicio Público Federal «Movilidad y Transportes».
Las solicitudes mencionadas en el presente Decreto se examinarán sobre una base transparente y no discriminatoria.
Cualquier decisión o proyecto de decisión de atribución de derechos de tráfico y/o de designación tendrá en cuenta, sin orden de prioridad o importancia:
los elementos mencionados en el artículo 4 comunicados por la compañía aérea comunitaria;
las garantías ofrecidas en cuanto a la perennidad de la explotación y su integración en un plan comercial coherente;
la utilización óptima de los derechos de tráfico restringidos;
el carácter prioritario de las operaciones realizadas por la compañía aérea comunitaria por medio de sus aeronaves (propias o arrendadas) con respecto a las operaciones en que la compañía aérea se limita a comercializar, mediante acuerdos de código compartido, vuelos explotados por otra compañía aérea;
el interés de todas las categorías de usuarios;
el acceso facilitado a nuevas rutas, mercados y regiones, ya sea mediante nuevas conexiones o con salida o destino en varios aeropuertos belgas;
la contribución a la oferta de un nivel satisfactorio de competencia;
los posibles efectos de la explotación en la creación de empleo directo o indirecto en el sector del transporte aéreo;
con carácter subsidiario, la antigüedad de la voluntad, manifestada de forma activa y recurrente, por una compañía aérea comunitaria de obtener los derechos de tráfico a que se refiere su solicitud.
El Ministro especificará los criterios recogidos en la enumeración anterior para garantizar su objetividad y transparencia.
Una compañía aérea comunitaria que obtenga una designación y/o derechos de tráfico en el marco de un acuerdo aéreo bilateral entre Bélgica y un país no comunitario tendrá la obligación de:
realizar la explotación de los servicios aéreos en cuestión a más tardar al final de la temporada IATA siguiente a la de la notificación de la decisión de designación y/o de atribución de derechos de tráfico;
explotar esos servicios aéreos de conformidad con el expediente a que se refiere el artículo 4; entre el proyecto inicial y la explotación propiamente dicha no podrá haber diferencias de una magnitud tal que pudieran conducir a la elección de otra compañía aérea en el momento de la atribución inicial;
atenerse a los requisitos emitidos, en su caso, por el Director General, a las decisiones y autorizaciones de las autoridades aeronáuticas de los países no comunitarios afectados por la explotación de esos servicios aéreos, así como a cualquier norma internacional al respecto;
comunicar de inmediato al Director General el cese o la interrupción de la explotación de esos servicios aéreos; si dicha interrupción dura más de dos temporadas, la decisión de atribución de derechos de tráfico y/o de designación se retirará de oficio al final de esa segunda temporada, salvo si la compañía aérea comunitaria puede alegar circunstancias excepcionales independientes de su voluntad.
La Dirección General de Transporte Aéreo controlará el cumplimiento de las obligaciones mencionadas en el punto 1o.
El beneficio de la designación o de la atribución de derechos de tráfico es personal y no transferible. Su duración es ilimitada, salvo que la decisión haya sido objeto de una retirada.
Si una compañía aérea no cumple las obligaciones mencionadas en el artículo 12, apartado 1, o pone gravemente en peligro la seguridad aérea, el Ministro podrá suspender o retirar la decisión de designación y/o de atribución de derechos de tráfico.
1. Cualquier compañía aérea comunitaria establecida en Bélgica a efectos del Derecho comunitario tendrá la facultad de impugnar el uso por otra compañía aérea de derechos de tráfico en una ruta particular y proponer su candidatura para utilizarlos mejor.
Para ello, remitirá al Director General un expediente debidamente documentado que podrá ser consultado por la compañía aérea cuyo uso de los derechos de tráfico se impugne.
No obstante, ese derecho de impugnación solo podrá ejercerse después de un período de dos años de explotación tras la atribución inicial.
2. En tal caso, el Ministro reexaminará, en función del expediente y de posibles audiencias, la atribución inicial, así como el uso que se haya hecho de ella y decidirá:
no dar curso a la solicitud;
o iniciar un nuevo procedimiento de atribución.
No obstante, si una compañía aérea comunitaria solo utiliza sus derechos de tráfico mediante una fórmula de colaboración con otra compañía aérea sin utilizar sus propias aeronaves, el Ministro reexaminará de inmediato la atribución inicial si una compañía aérea competidora le remite una solicitud formal a fin de explotar los servicios aéreos en cuestión con sus propias aeronaves.
La entrada en vigor, en su caso, del cambio de atribución, total o parcial, de los derechos de tráfico y/o de la designación no se producirá antes del primer día de la segunda temporada IATA posterior a la temporada en que se adoptó la decisión.
Para permitir una evaluación correcta de los mercados, los enlaces y las solicitudes de las compañías aéreas comunitarias, estas facilitarán de forma periódica a la Dirección General de Transporte Aéreo estadísticas sobre las explotaciones para las que hayan sido designadas.
El ministro especificará el nivel de detalle y la frecuencia de entrega de dichas estadísticas.
1. Los derechos de tráfico concedidos para una ruta particular antes de la entrada en vigor del presente Decreto y que ya estuvieran limitados o hayan pasado a estarlo podrán ser objeto del procedimiento de impugnación contemplado en el artículo 15.
En tal caso, la Dirección General de Transporte Aéreo procurará hallar una solución, antes de incoar el procedimiento, mediante la renegociación de los derechos de tráfico limitados convenidos en el acuerdo aéreo celebrado con el país no comunitario en cuestión.
2. El procedimiento a que se refiere el apartado 1 se aplicará asimismo a la designación.
Queda derogada la Ley de 3 de mayo de 1999, sobre las compañías aéreas regulares.
El presente Decreto entrará en vigor a los dos meses de su publicación en el Moniteur belge.
El Ministro que tenga entre sus atribuciones la navegación aérea estará encargado de la ejecución del presente Decreto.
El Secretario de Estado para la Movilidad
Denominación del régimen de ayuda o nombre de la empresa que reciba el complemento de ayuda ad hoc
Gasto anual previsto
100 mill. EUR
Todos los sectores subvencionables mediante ayuda regional a la inversión
La dirección de Internet de la publicación del régimen de ayuda
1,4 mill. EUR
Importe total de la ayuda prevista
(Asunto COMP/M.6144 — Giesecke & Devrient/Wincor Nixdorf International/BEB Industrie-Elektronik)
El 23 de marzo de 2011, la Comisión recibió la notificación, de conformidad con lo dispuesto en el artículo 4 del Reglamento (CE) no 139/2004 del Consejo (1), de un proyecto de concentración por el cual las empresas Giesecke & Devrient GmbH («G&D», Alemania) y BEB Industrie-Elektronik AG («BEB», Suiza), bajo el control de Wincor Nixdorf International GmbH («WNI», Alemania) que pertenece al grupo empresarial Wincor Nixdorf Aktiengesellschaft (Alemania), adquieren el control conjunto, a tenor de lo dispuesto en el artículo 3, apartado 1, letra b), del Reglamento comunitario de concentraciones, de la empresa CI Tech Componentes AG (Suiza) mediante transferencia de activos y adquisición de acciones en una empresa en participación de nueva creación.
G&D: gestión de billetes de banco, documentos de identidad, tarjetas inteligentes, soluciones de sistemas de tarjetas y soluciones de seguridad en el ámbito informático,
WNI: soluciones informáticas para optimización de procesos en los ámbitos de la banca minorista y el comercio,
BEB: aparatos para reconocimiento y verificación de billetes de banco.
Las observaciones deberán obrar en poder de la Comisión en un plazo máximo de diez días a partir de la fecha de la presente publicación. Podrán enviarse por fax (+32 22964301), por correo electrónico a COMP-MERGER-REGISTRY@ec.europa.eu o por correo, con indicación del número de referencia COMP/M.6144 — Giesecke & Devrient/Wincor Nixdorf International/BEB Industrie-Elektronik, a la siguiente dirección:
(Asunto COMP/M.6182 — MAN/MAN Camions et Bus/MAN Truck & Bus Belgium)
El 21 de marzo de 2011, la Comisión recibió la notificación, de conformidad con lo dispuesto en el artículo 4 del Reglamento (CE) no 139/2004 del Consejo (1), de un proyecto de concentración por el cual la empresa MAN Truck & Bus AG («MAN Truck & Bus», Alemania), bajo el control de MAN SE («MAN», Alemania), adquiere el control exclusivo, a tenor de lo dispuesto en el artículo 3, apartado 1, letra b), del Reglamento comunitario de concentraciones, de la totalidad de MAN Camions et Bus S.A.S. («MAN Camions et Bus», Francia) y MAN Truck and Bus N.V./S.A. («MAN Truck and Bus Belgium», Bélgica) mediante adquisición de acciones.
MAN: desarrollo, fabricación y venta de camiones, autobuses y autocares, unidades de chasis y suelo para autobuses, motores industriales y marinos, motores diesel, turbomáquinas y servicios industriales,
MAN Camions et Bus: venta y servicios postventa de camiones, autobuses y autocares y venta de chasis para autocares y (como agente genuino) la venta de motores (diesel) para camiones y sus piezas de recambio,
MAN Truck & Bus Belgium: venta y servicios postventa de camiones, autobuses y autocares y (como agente genuino) la venta de motores (diesel) para camiones y sus piezas de recambio.
Las observaciones deberán obrar en poder de la Comisión en un plazo máximo de diez días a partir de la fecha de la presente publicación. Podrán enviarse por fax (+32 22964301), por correo electrónico a COMP-MERGER-REGISTRY@ec.europa.eu o por correo, con indicación del número de referencia COMP/M.6182 — MAN/MAN Camions et Bus/MAN Truck & Bus Belgium, a la siguiente dirección:
La Posición Común 2002/402/PESC (1) insta a la Unión a congelar los fondos y recursos económicos de Usamah bin Ladin, los miembros de la organización Al-Qaida y los talibanes y otras personas, grupos, empresas y entidades asociadas a ellos, como se contempla en la lista establecida con arreglo a las Resoluciones del Consejo de Seguridad de Naciones Unidas 1267(1999) y 1333(2000), lista que actualizará periódicamente el Comité de las Naciones Unidas establecido en virtud de la RCSNU 1267(1999).
En la lista establecida por dicho Comité de la s Naciones Unidas figuran::
Al-Qaida, los talibanes y Usamah bin Laden;
personas físicas o jurídicas, entidades, organismos y grupos asociados con Al-Qaida, los talibanes y Usamah Bin Laden;
personas jurídicas, entidades y organismos propiedad de cualquiera de dichas personas, entidades o grupos asociados, controlados por ellos o que les apoyen de cualquier otra forma.
la participación en la financiación, planificación, facilitación, preparación o comisión de actos o actividades por parte de Al-Qaida, los talibanes o Usamah bin Ladin, o de cualquier célula, afiliado, grupo aislado o derivado de los ellos, o en coordinación con los mismos, así como en su nombre, representación o apoyo;
el reclutar para cualquiera de ellos; o
El Comité de las Naciones Unidas decidió el 23 de marzo de 2011 incluir a Ibrahim Hassan Tali Al-Asiri en la lista en cuestión. En todo momento este podrá presentar al Ombudsman de las Naciones Unidas una solicitud de reconsideración de la decisión de incluirlo en la citada lista de las Naciones Unidas, acompañando su solicitud de toda documentación justificativa. Dicha solicitud deberá enviarse a la dirección siguiente:
Para mayor información consúltese el sitio http://www.un.org/spanish/sc/committees/1267/delisting.shtml
A raíz de la Decisión de las Naciones Unidas mencionada en el punto 2, la Comisión adoptó el Reglamento (UE) no 317/2011 (2), por el que se modifica el anexo I del Reglamento (CE) no 881/2002 del Consejo por el que se imponen determinadas medidas restrictivas específicas dirigidas contra determinadas personas y entidades asociadas con Usamah bin Ladin, la red Al-Qaida y los talibanes (3) de conformidad con lo dispuesto en el artículo 7, apartado 1, letra a), y en el artículo 7 bis, apartado 1, del Reglamento (CE) no 881/2002, añade a Ibrahim Hassan Tali Al-Asiri a la lista del anexo I de dicho Reglamento («anexo I»).
A las personas físicas y entidades incluidas en el anexo I se les aplicarán las siguientes medidas del Reglamento (CE) no 881/2002:
la congelación de todos los fondos y recursos económicos cuya propiedad, pertenencia o tenencia sea ostentada por dichas personas, y la prohibición (para cualquier persona) de poner a su disposición o utilizar en su beneficio, directa o indirectamente, cualquier tipo de fondos o de recursos económicos o financieros [artículos 2 y 2 bis (4)]; y
la prohibición de concederles, venderles, suministrarles o transferirles, directa o indirectamente, asesoramiento técnico, ayuda o formación relacionados con actividades militares (artículo 3).
El artículo 7 bis del Reglamento (CE) no 881/2002 (5) establece un proceso de revisión cuando quienes figuran en la lista presenten observaciones sobre los motivos para su inclusión en la misma. Las personas físicas o jurídicas, entidades, organismos y grupos incluidos en el anexo I del Reglamento (UE) no 317/2011 podrán solicitar a la Comisión las razones de su inclusión en la lista. La solicitud deberá remitirse a:
Se recuerda igualmente a las personas, entidades, organismos y grupos afectados que tienen la posibilidad de impugnar el Reglamento (UE) no 317/2011 ante el Tribunal General de la Unión Europea con arreglo a las condiciones establecidas en el artículo 263, apartados 4 y 6, del Tratado de Funcionamiento de la Unión Europea.
Los datos personales de las personas físicas afectadas se tratarán con arreglo a lo dispuesto en el Reglamento (CE) no 45/2001 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos de la Comunidad (ahora Unión) y a la libre circulación de estos datos (6). Toda solicitud de información complementaria (p. ej., para recabar información adicional o para ejercer derechos en virtud del Reglamento (CE) no 45/2001 (p. ej., el acceso a los datos personales o la rectificación de los mismos) deberá remitirse a la Comisión, a la dirección mencionada en el punto 4.
A efectos de buena administración, se llama la atención de las personas físicas y jurídicas, entidades, organismos y grupos incluidos en la lista del anexo I sobre la posibilidad de solicitar a las autoridades competentes del Estado o de los Estados miembros correspondientes que figuran en el anexo II del Reglamento (CE) no 881/2002, la autorización de utilizar fondos congelados u otros recursos financieros o económicos para sufragar gastos esenciales o pagos específicos con arreglo a lo dispuesto en el artículo 2 bis del citado Reglamento.
(2) DO L 86 de 1.4.2011, p. 63.
(4) El artículo 2 bis se insertó mediante el Reglamento del Consejo (CE) no 561/2003 (DO L 82 de 29.3.2003, p. 1).
(5) El artículo 7 bis se insertó mediante el Reglamento (UE) del Consejo no 1286/2009 (DO L 346 de 23.12.2009, p. 42).