EXPOSICIÓN DE MOTIVOS
CONTEXTO DE LA RECOMENDACIÓN
A fin de hacer frente a las amenazas que plantean el terrorismo y los delitos transnacionales graves, es fundamental reforzar la cooperación internacional en el ámbito policial, en particular, por lo que respecta al intercambio de información. El último informe de evaluación de la amenaza de la delincuencia grave y organizada de la Unión Europea (SOCTA) publicado por Europol ilustra la dimensión internacional de las actividades de la mayoría de las organizaciones implicadas en la delincuencia grave. Además, su último informe sobre la situación y las tendencias del terrorismo en Europa (TE-SAT) hace hincapié no solo en la existencia de vínculos directos entre los viajes transnacionales y la organización de actividades terroristas y delitos graves, sino también en la importancia de detectar, investigar y enjuiciar eficazmente otros delitos graves para prevenir y detectar los delitos de terrorismo.
Los datos del registro de nombres de los pasajeros (PNR) consisten en información que facilitan los pasajeros y que las compañías aéreas recogen y conservan en sus sistemas de reservas y control de salidas para sus propios fines comerciales. El contenido de los datos del PNR varía en función de la información facilitada durante el proceso de reserva y facturación y puede incluir, por ejemplo, las fechas de viaje y el itinerario de viaje completo del pasajero o grupo de pasajeros que viajan juntos, datos de contacto como la dirección y el número de teléfono, información sobre el pago, el número de asiento e información sobre el equipaje.
La recogida y análisis de los datos del PNR puede proporcionar a las autoridades elementos importantes para la detección de pautas de viaje sospechosas y la identificación de los cómplices de delincuentes y terroristas, en particular, aquellos que antes fueran desconocidos para las autoridades policiales. En consecuencia, el tratamiento de los datos del PNR se ha convertido en una herramienta policial ampliamente utilizada, dentro y fuera de la UE, para detectar los delitos de terrorismo y otras formas de delincuencia grave, como los delitos relacionados con las drogas, la trata de seres humanos y la explotación sexual de menores, así como para prevenir su comisión. Además, ha demostrado ser una importante fuente de información para apoyar la investigación y el enjuiciamiento de casos en los que se hayan cometido esas actividades ilegales.
A pesar de ser clave para la lucha contra el terrorismo y la delincuencia grave, la transferencia de datos del PNR a terceros países y el tratamiento por sus autoridades suponen una injerencia en la protección de los derechos de las personas en lo referente a sus datos personales. Por ese motivo, es preciso que exista una base jurídica con arreglo al Derecho de la UE y que la transferencia y el tratamiento sean necesarios y proporcionados y estén sujetos a limitaciones estrictas y a salvaguardias efectivas, como se garantiza en la Carta de los Derechos Fundamentales de la UE, especialmente en sus artículos 6, 7, 8, 21, 47 y 52. La consecución de tan importantes objetivos exige lograr un equilibrio justo entre el objetivo legítimo de mantener la seguridad pública y el derecho de toda persona a la protección de sus datos personales y su vida privada.
En el contexto descrito, la Comisión estableció por primera vez las líneas generales de la política exterior de la UE en materia de PNR en una Comunicación de 2003 sobre el enfoque de la UE respecto a la transferencia de datos del PNR de la UE a terceros países, y esas líneas generales se revisaron en una Comunicación adoptada en 2010. En la actualidad, hay tres acuerdos internacionales en vigor entre la UE y terceros países —a saber, Australia, los Estados Unidos (2012) y el Reino Unido (2020)— relativos a la transferencia de datos del PNR desde la UE y al tratamiento de tales datos. A raíz del dictamen emitido por el Tribunal en 2017 sobre el acuerdo previsto entre la UE y Canadá, las negociaciones en curso relativas al PNR se centran, en particular, en dicho país.
Entre tanto, en 2016, el Parlamento Europeo y el Consejo de la Unión Europea adoptaron la Directiva (UE) 2016/681, relativa a la utilización de datos del PNR para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave («Directiva PNR»). Dicha Directiva regula la transferencia y el tratamiento de datos del PNR en la Unión Europea y establece importantes garantías para la protección de los derechos fundamentales, en particular, el derecho a la intimidad y el derecho a la protección de los datos personales. En junio de 2022, en su sentencia en el asunto C-817/19, el Tribunal de Justicia de la UE confirmó la validez de la Directiva y su conformidad con la Carta de los Derechos Fundamentales de la UE y los Tratados de la Unión.
A nivel internacional, son cada vez más los terceros países que han empezado a desarrollar sus capacidades para la recogida de datos del PNR procedentes de las compañías aéreas. La tendencia se ha visto impulsada por las resoluciones del Consejo de Seguridad de las Naciones Unidas (de 2017 y 2019), en las que se exigía a todos los Estados que desarrollaran sus capacidades para la recogida y el uso de datos del PNR, sobre la base de las cuales la Organización de Aviación Civil Internacional (OACI) adoptó en 2020 normas y métodos recomendados internacionales en relación con el PNR mediante la enmienda 28 del anexo 9 del Convenio de Chicago, aplicable desde febrero de 2021.
La posición de la Unión, establecida en la Decisión (UE) 2021/121 del Consejo, es la de acoger con satisfacción las normas y métodos recomendados internacionales de la OACI en relación con el PNR, pues establecen garantías ambiciosas en materia de protección de datos y, de ese modo, permiten avances significativos que deben realizarse a escala internacional. Al mismo tiempo, dicha Decisión del Consejo consideraba, al exigirse a los Estados miembros que registren las diferencias entre sus propios métodos y lo establecido por la norma internacional, que los requisitos derivados del Derecho de la Unión (incluida la jurisprudencia pertinente) son más estrictos que determinadas normas de la OACI y que las transferencias de la UE a terceros países exigen una base jurídica que establezca normas y salvaguardias claras y precisas en relación con el uso de los datos del PNR por parte de las autoridades competentes de un tercer país.
En el contexto descrito, la presente Recomendación, a pesar de referirse específicamente a las negociaciones con Islandia, se inscribe en un esfuerzo más amplio de la Comisión por aplicar un enfoque coherente y eficaz en relación con la transferencia de datos del PNR a terceros países, tal y como se anunció en la Estrategia para una Unión de la Seguridad 2020-2025, sobre la base de las normas y métodos recomendados internacionales de la OACI en relación con el PNR, y en consonancia con el Derecho y la jurisprudencia de la Unión. En sus Conclusiones de junio de 2021, el Consejo también pidió que se aplicase ese mismo enfoque. Por otra parte, a través de la presente Recomendación, la Comisión trata de atender las exigencias de las compañías aéreas, que reclaman una mayor claridad jurídica y previsibilidad en lo referente a la transferencia de datos PNR a terceros países.
A tal fin, la Comisión considera que demostrar la conformidad con las normas de la OACI en relación con el PNR es un elemento importante que debe tenerse en cuenta para entablar un diálogo relativo al PNR con cualquier tercer país. Ese diálogo sobre el PNR tendrá por objeto establecer una base jurídica que permita a las compañías aéreas transferir los datos del PNR de la UE a la autoridad competente en cuestión del tercer país y garantizar que el uso de los datos del PNR recibidos de la UE esté sujeto a salvaguardias adecuadas según lo exigido por el Derecho de la Unión.
OBJETIVOS DE LA RECOMENDACIÓN
Islandia y los Estados miembros de la UE que son Partes Contratantes en el Convenio de Schengen comparten la responsabilidad de garantizar la seguridad interior dentro de un espacio común sin controles en las fronteras interiores, incluido mediante el intercambio de la información pertinente.
El tratamiento de datos del PNR ha demostrado su potencial para reforzar la seguridad del espacio Schengen al mejorar la prevención y detección de la delincuencia grave y el terrorismo en las fronteras exteriores y proporcionar un enfoque basado en los datos y en los riesgos que los Estados miembros pueden utilizar dentro del espacio Schengen como medida compensatoria por la ausencia de controles en las fronteras interiores.
En 2016, la Directiva PNR estableció un sistema a escala de la UE entre los Estados miembros que constituye una importante herramienta para contribuir a la mejora de la seguridad interior de la UE. Islandia no está vinculada por dicha Directiva, ya que ni constituye un desarrollo del acervo de Schengen ni se refiere a un ámbito que entre dentro del ámbito de aplicación del Acuerdo EEE, en el que Islandia es parte junto con los Estados miembros de la Unión y otros dos Estados de la Asociación Europea de Libre Comercio.
En el marco de los intercambios preliminares a nivel técnico, Islandia declaró que había adoptado normas internas en relación con el PNR y que en noviembre de 2021 se había creado oficialmente una autoridad competente designada para recibir y tratar los datos del PNR de los vuelos que aterrizan o salen de sus aeropuertos.
En virtud del Derecho de la Unión, solo pueden transferirse datos personales de la Unión a un tercer país si este garantiza un nivel de protección de los datos sustancialmente equivalente al garantizado en el seno de la Unión.
A ese respecto, cabe señalar que Islandia no es un tercer país en el sentido del capítulo V del Reglamento (UE) 2016/679, dado que dicho Reglamento se ha incorporado con adaptaciones al anexo XI del Acuerdo del Espacio Económico Europeo (EEE). No obstante, el marco normativo establecido en dicho Reglamento no se aplica al tratamiento de datos personales, incluidos los datos del PNR, por parte de las autoridades policiales islandesas con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluidas la protección frente a las amenazas contra la seguridad pública y su prevención. Además, debe tenerse en cuenta que, a pesar de incorporar las normas a su ordenamiento jurídico en lo referente a la aplicación del acervo de Schengen, Islandia no está vinculada por la Directiva (UE) 2016/680, dado que no es un Estado miembro de la UE.
En tales circunstancias, y, en particular, ante la ausencia de salvaguardias adecuadas en relación con el tratamiento específico de los datos del PNR que deben establecerse mediante una base jurídica válida, tal y como exige el Derecho de la UE, Islandia no puede legalmente recibir ni tratar datos del PNR relativos a los vuelos operados por compañías aéreas entre la Unión y dicho país.
Por tanto, se necesita una solución para colmar esa laguna en materia de seguridad existente en el espacio Schengen y para permitir la transferencia de datos del PNR de la Unión a Islandia, habida cuenta de la necesidad de utilizar tales datos en cuanto que herramienta fundamental en la lucha contra el terrorismo y otras formas de delincuencia grave.
Teniendo presente lo anterior, el objetivo de celebrar un acuerdo PNR es que Islandia pueda recibir legalmente datos del PNR procedentes de la Unión y que la autoridad islandesa competente designada pueda hacer uso de los datos de tal manera que se garanticen, al mismo tiempo, la seguridad de las personas que se desplacen dentro del espacio común sin controles en las fronteras interiores y la protección de los datos personales de dichas personas.
En los últimos años, Islandia ha manifestado su interés por recibir datos del PNR de los vuelos procedentes de la Unión y entablar negociaciones con miras a la celebración de un acuerdo PNR con la Unión. En ese contexto, Islandia ha transmitido la información pertinente sobre su legislación nacional en materia de PNR y, en particular, sobre su adhesión a las normas de la OACI relativas al PNR.
Por los motivos expuestos, la Comisión considera prioritario entablar negociaciones con Islandia, en paralelo con Noruega y Suiza, sobre un acuerdo bilateral por el que se permita a la autoridad islandesa competente designada recibir y tratar datos del PNR procedentes de la Unión, a reserva de la aplicación de las salvaguardias adecuadas. Además, el acuerdo constituiría un medio para fomentar la cooperación policial al ofrecer mayores posibilidades de intercambio de datos del PNR entre las autoridades competentes islandesas y de los Estados miembros de la UE con fines de prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave.
ASPECTOS JURÍDICOS DE LA PROPUESTA
La presente Recomendación se basa en el artículo 218, apartados 3 y 4, del Tratado de Funcionamiento de la Unión Europea. Las directrices de negociación, adjuntas a la presente Recomendación para la apertura de negociaciones con Islandia sobre un acuerdo PNR, toman en consideración el marco jurídico aplicable de la UE en materia de protección de datos [a saber, el Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680] y en materia de transferencia y tratamiento de datos del PNR [a saber, la Directiva (UE) 2016/681], conforme a la interpretación del Tribunal de Justicia de la Unión Europea en la jurisprudencia pertinente, en particular, el Dictamen 1/15 de 26 de julio de 2017 y la sentencia en el asunto C-817/2019 de 21 de junio de 2022, así como el marco jurídico establecido en los Tratados y la Carta de los Derechos Fundamentales de la Unión Europea.
Recomendación de
DECISIÓN DEL CONSEJO
por la que se autoriza la apertura de negociaciones sobre un acuerdo entre la Unión Europea e Islandia relativo a la transferencia de datos del registro de nombres de los pasajeros de la UE a Islandia con fines de prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave
EL CONSEJO DE LA UNIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 218, apartados 3 y 4,
Vista la Recomendación de la Comisión Europea,
Considerando lo siguiente:
(1) Procede entablar negociaciones con miras a la celebración de un acuerdo entre la Unión e Islandia relativo a la transferencia de datos del registro de nombres de los pasajeros (PNR) de la Unión a Islandia con fines de prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave.
(2) El acuerdo debe respetar los derechos fundamentales y observar los principios reconocidos en la Carta de los Derechos Fundamentales de la Unión Europea, conforme a la interpretación del Tribunal de Justicia de la Unión Europea, en particular, el derecho a la vida privada y familiar, reconocido en su artículo 7, el derecho a la protección de datos de carácter personal, reconocido en su artículo 8, y el derecho a la tutela judicial efectiva y a un juez imparcial, reconocido en su artículo 47. El acuerdo ha de aplicarse de conformidad con dichos derechos y principios y atendiendo al principio de proporcionalidad de conformidad con el artículo 52, apartado 1, de la Carta.
(3) Las disposiciones del acuerdo deben servir de respaldo a las normas internacionales aplicables en relación con el PNR contenidas en el Convenio sobre Aviación Civil Internacional, a saber, en el capítulo 9 (Sistemas de intercambio de datos sobre pasajeras y pasajeros), sección D [Datos del registro de nombres de pasajeros y pasajeras (PNR)], de su anexo 9 (Facilitación).
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
Se autoriza a la Comisión a entablar negociaciones, en nombre de la Unión, sobre un acuerdo entre la Unión e Islandia relativo a la transferencia de datos del registro de nombres de los pasajeros (PNR) de la Unión a Islandia con fines de prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave.
Artículo 2
Las directrices de negociación figuran en el anexo.
Artículo 3
Las negociaciones se llevarán a cabo en consulta con el [nombre del comité especial, que insertará el Consejo].
Artículo 4
El destinatario de la presente Decisión es la Comisión.
Hecho en Bruselas, el
Por el Consejo
El Presidente / La Presidenta