—

Vista la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), en particular, sus artículos 7, 8, 16, 47 y 52,

—

Vista la sentencia del Tribunal de Justicia de la Unión Europea (TJUE), de 16 de julio de 2020, en el asunto C-311/18, Data Protection Commissioner / Facebook Ireland Limited y Maximillian Schrems (en lo sucesivo, «sentencia Schrems II») (1),

—

Vista la sentencia del TJUE, de 6 de octubre de 2015, en el asunto C-362/14, Maximillian Schrems / Data Protection Commissioner (en lo sucesivo, «sentencia Schrems I») (2),

—

Vista la sentencia del TJUE, de 6 de octubre de 2020, en el asunto C-623/17, Privacy International / Secretary of State for Foreign and Commonwealth Affairs (3),

—

Vista su Resolución, de 12 de marzo de 2014, sobre el programa de vigilancia de la Agencia Nacional de Seguridad de los Estados Unidos, los órganos de vigilancia en diversos Estados miembros y su impacto en los derechos fundamentales de los ciudadanos de la UE y en la cooperación transatlántica en materia de justicia y asuntos de interior (4),

—

Vista su Resolución, de 5 de julio de 2018, sobre la adecuación de la protección conferida por el Escudo de la privacidad UE-EE. UU (5),

—

Vista la Resolución del Parlamento Europeo, de 25 de octubre de 2018, sobre la utilización de los datos de los usuarios de Facebook por parte de Cambridge Analytica y el impacto en la protección de los datos (6),

—

Vista su Resolución, de 20 de mayo de 2021, sobre la sentencia del TJUE de 16 de julio de 2020, Data Protection Commissioner / Facebook Ireland Limited y Maximillian Schrems («Schrems II»), C-311/18 (7),

—

Vista su Resolución, de 26 de noviembre de 2020, sobre la revisión de la política comercial de la UE (8),

—

Visto el Acuerdo de Comercio y Cooperación, de 31 de diciembre de 2020, entre la Unión Europea y la Comunidad Europea de la Energía Atómica, por una parte, y el Reino Unido de Gran Bretaña e Irlanda del Norte, por otra (9),

—

Vista su Resolución, de 28 de abril de 2021, sobre el resultado de las negociaciones entre la Unión Europea y el Reino Unido (10),

—

Visto el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (11) (Reglamento general de protección de datos — RGPD),

—

Vista la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos (12) (Directiva sobre protección de datos en el ámbito penal),

—

Vista la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (13),

—

Vistas la propuesta de la Comisión, de 10 de enero de 2017, de Reglamento del Parlamento Europeo y del Consejo sobre el respeto de la vida privada y la protección de los datos personales en el sector de las comunicaciones electrónicas (COM(2017)0010) y la posición del Parlamento Europeo al respecto, adoptada el 20 de octubre de 2017 (14),

—

Vistas las recomendaciones del Comité Europeo de Protección de Datos (CEPD), incluida su declaración de 9 de marzo de 2021, relativa al Reglamento sobre la privacidad y las comunicaciones electrónicas, y sus Recomendaciones 01/2020, de 10 de noviembre de 2020, sobre medidas que complementan los instrumentos de transferencia para garantizar el cumplimiento del nivel de protección de los datos personales de la UE,

—

Vistas las referencias sobre adecuación adoptadas por el Grupo de Trabajo del Artículo 29 el 6 de febrero de 2018 y respaldadas por el CEPD,

—

Vistas las Recomendaciones 01/2021 del CEPD, de 2 de febrero de 2021, relativas a las referencias sobre adecuación en el marco de la Directiva sobre protección de datos en el ámbito penal,

—

Vistas las propuestas de decisión de adecuación publicadas por la Comisión el 19 de febrero de 2021, una de conformidad con el RGPD (15) y la otra de conformidad con la Directiva sobre protección de datos en el ámbito penal (16),

—

Vistos los dictámenes del CEPD 14/2021 y 15/2021, de 13 de abril de 2021, sobre el proyecto de Decisión de Ejecución de la Comisión de conformidad con la Directiva (UE) 2016/680 relativa a la protección adecuada de los datos personales por parte del Reino Unido,

—

Vistos el Convenio Europeo de Derechos Humanos (CEDH) y el Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal del Consejo de Europa, así como su protocolo de enmienda («Convenio 108+»), en el que el Reino Unido es parte,

—

Visto el Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por los Estados miembros del ejercicio de las competencias de ejecución por la Comisión,

—

Visto el artículo 132, apartado 2, de su Reglamento interno,

—

Vista la propuesta de Resolución de la Comisión de Libertades Civiles, Justicia y Asuntos de Interior,

A.

Considerando que la capacidad de transferir datos personales a través de las fronteras puede ser un motor fundamental de innovación, productividad y competitividad económica, y que reviste una importancia crucial de cara a una cooperación eficaz en la lucha contra la delincuencia organizada y grave transfronteriza y contra el terrorismo, que depende cada vez más del intercambio de datos personales;

B.

Considerando que, en la sentencia Schrems I, el TJUE señaló que el acceso indiscriminado al contenido de las comunicaciones electrónicas por parte de las autoridades de inteligencia lesiona la esencia del derecho a la confidencialidad de las comunicaciones garantizado por el artículo 7 de la Carta y que los Estados Unidos no prevén vías de recurso suficientes contra la vigilancia masiva para los ciudadanos no estadounidenses, lo que vulnera el artículo 47 de la Carta;

C.

Considerando que el Reino Unido ha sido tradicionalmente un importante socio comercial de muchos Estados miembros de la Unión, así como un estrecho aliado en el ámbito de la seguridad; que la Unión Europea y el Reino Unido deben mantener esta estrecha cooperación a pesar de la retirada del Reino Unido de la Unión, ya que será beneficiosa para ambas partes;

D.

Considerando que las empresas europeas necesitan claridad y seguridad jurídicas, ya que la capacidad de transferir datos personales a través de las fronteras es cada vez más importante para todos los tipos de empresas que suministran bienes y servicios a escala internacional; que una decisión de adecuación relativa al Reino Unido en virtud del RGPD reviste una suma importancia, ya que muchas empresas europeas realizan intercambios comerciales a través del canal de la Mancha, en particular teniendo en cuenta que el Brexit sigue siendo muy reciente y que los flujos de datos dentro de la Unión no han estado sujetos a restricciones; que un fracaso en la adopción de un marco de adecuación sólido podría afectar a las transferencias comerciales transfronterizas de datos personales entre la Unión y el Reino Unido, así como generar unos elevados costes de conformidad;

E.

Considerando que el Acuerdo de Comercio y Cooperación incluye una serie de salvaguardias y condiciones para el intercambio de datos personales pertinentes en el contexto de la exigencia del cumplimiento de la ley; que las negociaciones sobre los flujos de datos personales se llevaron a cabo en paralelo a las negociaciones sobre el Acuerdo de Comercio y Cooperación, pero no habían concluido al final del período de transición, el 31 de diciembre de 2020; que en el Acuerdo de Comercio y Cooperación se incluyó una «cláusula pasarela» como solución provisional, supeditada al compromiso del Reino Unido de no modificar su actual régimen de protección de datos, a fin de garantizar la continuidad de los flujos de datos personales entre el Reino Unido y la Unión hasta la adopción de una decisión de adecuación; que el período inicial de cuatro meses se ha prorrogado y expirará a finales de junio de 2021;

F.

Considerando que la evaluación llevada a cabo por la Comisión antes de presentar su proyecto de decisión de ejecución es incompleta y no está en consonancia con los requisitos del TJUE para las evaluaciones de adecuación, como puso de relieve el CEPD en sus dictámenes sobre la adecuación, en los que recomienda a la Comisión que evalúe ulteriormente aspectos específicos de la legislación y la práctica del Reino Unido relativas a la recopilación masiva, la divulgación en el extranjero y los acuerdos internacionales en el ámbito del intercambio de información de inteligencia, el uso adicional de la información recopilada con fines de exigencia de cumplimiento de la ley y la independencia de los comisionados judiciales;

G.

Considerando que la Comisión no ha tenido en cuenta determinados aspectos de la legislación o la práctica del Reino Unido, lo que ha dado lugar a proyectos de decisiones de ejecución que no son coherentes con el Derecho de la Unión; que el artículo 45 del RGPD establece que, al evaluar la adecuación del nivel de protección, la Comisión tendrá en cuenta, en particular «[…] la legislación pertinente, tanto general como sectorial, incluida la relativa a la seguridad pública, la defensa, la seguridad nacional y la legislación penal, y el acceso de las autoridades públicas a los datos personales, así como la aplicación de dicha legislación, las normas de protección de datos, las normas profesionales y las medidas de seguridad, incluidas las normas sobre transferencias ulteriores de datos personales a otro tercer país u organización internacional observadas en ese país u organización internacional, la jurisprudencia, […]» y «[…] los compromisos internacionales asumidos por el tercer país u organización internacional de que se trate, u otras obligaciones derivadas de acuerdos o instrumentos jurídicamente vinculantes, así como de su participación en sistemas multilaterales o regionales, en particular en relación con la protección de los datos personales», lo que incluye los acuerdos internacionales en otros ámbitos que conlleven el acceso a datos o el intercambio de información y, por tanto, requiere una evaluación de esos acuerdos internacionales;

H.

Considerando que el TJUE estableció con claridad en su sentencia Schrems I que «[…] al valorar el nivel de protección ofrecido por un tercer país la Comisión está obligada a apreciar el contenido de las reglas aplicables en ese país, derivadas de la legislación interna o de los compromisos internacionales de este, así como la práctica seguida para asegurar el cumplimiento de esas reglas, debiendo atender esa institución a todas las circunstancias relacionadas con una transferencia de datos personales a un tercer país, conforme al artículo 25, apartado 2, de la Directiva 95/46/CE» (apartado 75);

I.

Considerando que las actividades de los servicios de inteligencia y el intercambio con terceros países están excluidos del ámbito de aplicación del Derecho de la Unión con arreglo a los Tratados en lo que respecta a los Estados miembros, pues se incluyen en el ámbito de la necesaria evaluación de la adecuación del nivel de datos personales ofrecido por terceros países, como confirmó el TJUE en las sentencias Schrems I y II;

J.

Considerando que las normas de protección de datos no solo se basan en la legislación vigente, sino también en su aplicación práctica, y que la Comisión solo evaluó la legislación, pero no su aplicación efectiva en la práctica, al preparar su decisión;

K.

Considerando que la Comisión reconoce actualmente que doce terceros países proporcionan una protección suficiente en virtud del RGPD y ha concluido recientemente conversaciones con la República de Corea a este respecto; que el Reino Unido es el primer país al que la Comisión ha propuesto conceder la adecuación en virtud de la Directiva sobre protección de datos en el ámbito penal;

L.

Considerando que el caso del Reino Unido difiere de todas las evaluaciones de adecuación anteriores, ya que afecta a un antiguo Estado miembro de la Unión que ha incorporado las disposiciones del RGPD a su legislación nacional y que, además, ha establecido que toda la legislación nacional derivada de la Unión, incluida la legislación de transposición de la Directiva sobre protección de datos en el ámbito penal, seguirá aplicándose una vez finalizado el período de transición;

1.

2.

3.

4.

5.

6.

7.

8.

9.

10.

11.

12.

13.

14.

15.

16.

señala asimismo que, en relación con los Estados Unidos, los ciudadanos del Reino Unido están sujetos a algunas salvaguardias informales entre el GCHQ y la Agencia Nacional de Seguridad; expresa su profunda preocupación por el hecho de que estas salvaguardias no protejan a los ciudadanos o residentes de la Unión cuyos datos puedan ser objeto de transferencias ulteriores y de intercambio con la Agencia Nacional de Seguridad;

17.

18.

19.

20.

21.

22.

23.

24.

25.

26.

27.

28.

29.

30.

31.

32.

33.

34.

35.

36.

37.

38.

39.

40.

41.

42.