I. Solicitud de dictamen

II. Marco jurídico

A. Convenio de Chicago

B. Protocolo (n.o 21) sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia

C. Protocolo (n.o 22) sobre la posición de Dinamarca

D. Directiva 95/46/CE

E. Directiva 2004/82/CE

III. Antecedentes del Acuerdo previsto

IV. Proyecto de Decisión del Consejo relativa a la celebración del Acuerdo previsto

V. Acuerdo previsto

VI. Apreciaciones formuladas por el Parlamento en su solicitud de dictamen

A. Sobre la base jurídica adecuada de la Decisión del Consejo relativa a la celebración del Acuerdo previsto

B. Sobre la compatibilidad del Acuerdo previsto con las disposiciones del Tratado FUE y de la Carta de los Derechos Fundamentales de la Unión Europea

VII. Resumen de las observaciones presentadas ante el Tribunal de Justicia

A. Sobre la admisibilidad de la solicitud de dictamen

B. Sobre la base jurídica adecuada de la Decisión del Consejo relativa a la celebración del Acuerdo previsto

C. Sobre la compatibilidad del Acuerdo previsto con las disposiciones del Tratado FUE y de la Carta

VIII. Opinión del Tribunal de Justicia

A. Sobre la admisibilidad de la solicitud de dictamen

B. Sobre la base jurídica adecuada de la Decisión del Consejo relativa a la celebración del Acuerdo previsto

1. Sobre la finalidad y el contenido del Acuerdo previsto

2. Sobre la base jurídica adecuada a la luz del Tratado FUE

3. Sobre la compatibilidad de los procedimientos previstos en el artículo 16 TFUE, apartado 2, y en el artículo 87 TFUE, apartado 2, letra a)

C. Sobre la compatibilidad del Acuerdo previsto con las disposiciones del Tratado FUE y de la Carta

1. Sobre los derechos fundamentales afectados y la injerencia en ellos

2. Sobre la justificación de las injerencias resultantes del Acuerdo previsto

a) Sobre el fundamento de los tratamientos de datos del PNR contemplados por el Acuerdo previsto

b) Sobre el objetivo de interés general y el respeto del contenido esencial de los derechos fundamentales afectados

c) Sobre la idoneidad de los tratamientos de datos del PNR contemplados por el Acuerdo previsto atendiendo al objetivo de garantizar la seguridad pública

d) Sobre el carácter necesario de las injerencias que implica el Acuerdo previsto

1) Sobre los datos del PNR que contempla el Acuerdo previsto

i) Sobre el carácter suficientemente preciso del Acuerdo previsto con respecto a los datos del PNR que han de transferirse

ii) Sobre los datos sensibles

2) Sobre el tratamiento automatizado de los datos del PNR

3) Sobre las finalidades de los tratamientos de datos del PNR

i) Prevención, detección o enjuiciamiento de delitos de terrorismo o delitos graves de carácter transnacional

ii) Otras finalidades

4) Sobre las autoridades canadienses contempladas por el Acuerdo previsto

5) Sobre los pasajeros aéreos afectados

6) Sobre la conservación y la utilización de los datos del PNR

i) Sobre la conservación y la utilización de los datos del PNR antes de la llegada de los pasajeros aéreos, durante su estancia en Canadá y a su salida

ii) Sobre la conservación y la utilización de los datos del PNR tras la partida de los pasajeros aéreos de Canadá

7) Sobre la divulgación de los datos del PNR

i) Comunicación de los datos del PNR a autoridades públicas

ii) Divulgación de los datos del PNR a particulares

3. Sobre los derechos individuales de los pasajeros aéreos

a) Sobre el derecho de información, de acceso y de rectificación

b) Sobre el derecho a interponer un recurso

4. Sobre la supervisión de las garantías en materia de protección de los datos del PNR

IX. Respuesta a la solicitud de dictamen

–

en nombre del Parlamento Europeo, por los Sres. F. Drexler, A. Caiola y D. Moore, en calidad de agentes;

–

en nombre del Gobierno búlgaro, por las Sras. M. Georgieva y E. Petranova, en calidad de agentes;

–

en nombre del Gobierno estonio, por la Sra. K. Kraavi-Käerdi, en calidad de agente;

–

en nombre de Irlanda, por las Sras. E. Creedon y G. Hodge y el Sr. A. Joyce, en calidad de agentes, asistidos por el Sr. D. Fennelly, BL, y el Sr. C. Doyle, BL;

–

en nombre del Gobierno español, por los Sres. A. Rubio González y M. Sampol Pucurull, en calidad de agentes;

–

en nombre del Gobierno francés, por los Sres. G. de Bergues, D. Colas y F.‑X. Bréchot, en calidad de agentes;

–

en nombre del Gobierno del Reino Unido, por la Sra. C. Brodie y el Sr. D. Robertson, en calidad de agentes, asistidos por el Sr. D. Beard, QC, y la Sra. S. Ford, Barrister;

–

en nombre del Consejo de la Unión Europea, por las Sras. M.‑M. Joséphidès y S. Boelaert y el Sr. E. Sitbon, en calidad de agentes;

–

en nombre de la Comisión Europea, por los Sres. P. Van Nuffel y D. Nardi y las Sras. D. Maidani y P. Costa de Oliveira, en calidad de agentes;

–

en nombre del Supervisor Europeo de Protección de Datos (SEPD), por las Sras. A. Buchta y G. Zanfir y por el Sr. R. Robert, en calidad de agentes;

1

La solicitud de dictamen presentada al Tribunal de Justicia por el Parlamento Europeo está formulada en los siguientes términos:

«¿El Acuerdo previsto [entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros] es compatible con las disposiciones de los Tratados (artículo 16 [TFUE]) y de la Carta de los Derechos Fundamentales de la Unión Europea (artículos 7, 8 y 52, apartado 1) por lo que respecta al derecho de las personas a la protección de sus datos personales?

¿El artículo 82 [TFUE], apartado 1, letra d), y el artículo 87 [TFUE], apartado 2, letra a), […] constituyen la base jurídica adecuada del acto del Consejo [de la Unión Europea] relativo a la celebración del Acuerdo previsto, o debe basarse en el artículo 16 [TFUE]?»

2

El Parlamento ha transmitido al Tribunal de Justicia como anexos de su solicitud de dictamen, entre otros, los siguientes documentos:

3

El Convenio sobre Aviación Civil Internacional, firmado en Chicago el 7 de diciembre de 1944 (Recopilación de Tratados de las Naciones Unidas, volumen 15, n.o 102; en lo sucesivo, «Convenio de Chicago»), fue ratificado por Canadá y por todos los Estados miembros de la Unión Europea, si bien ésta como tal no es parte de dicho Convenio.

4

El artículo 13 del citado Convenio dispone:

«Las leyes y reglamentos de un Estado contratante relativos a la admisión o salida de su territorio de pasajeros, tripulación o carga transportados por aeronaves, tales como los relativos a entrada, despacho, inmigración, pasaportes, aduanas y sanidad serán cumplidos por o por cuenta de dichos pasajeros, tripulaciones y carga, ya sea a la entrada, a la salida o mientras se encuentren dentro del territorio de ese Estado.»

5

El Convenio de Chicago creó la Organización de Aviación Civil Internacional (OACI), que a tenor del artículo 44 de dicho Convenio tiene por objeto, en particular, desarrollar los principios y técnicas de la navegación aérea internacional.

6

El artículo 1 del Protocolo (n.o 21) sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia (DO 2010, C 83, p. 295; en lo sucesivo, «Protocolo n.o 21»), establece lo siguiente:

«Con sujeción a lo dispuesto en el artículo 3, el Reino Unido e Irlanda no participarán en la adopción por el Consejo de medidas propuestas en virtud del título V de la tercera parte del Tratado de Funcionamiento de la Unión Europea. Las decisiones del Consejo que deban adoptarse por unanimidad requerirán la unanimidad de los miembros del Consejo, exceptuados los representantes de los gobiernos del Reino Unido y de Irlanda.

[...]»

7

El artículo 3, apartado 1, de dicho Protocolo tiene la siguiente redacción:

«El Reino Unido o Irlanda podrán notificar por escrito al Presidente del Consejo, en un plazo de tres meses a partir de la presentación al Consejo de una propuesta o iniciativa en virtud del título V de la tercera parte del Tratado de Funcionamiento de la Unión Europea, su deseo de participar en la adopción y aplicación de la medida propuesta de que se trate, tras lo cual dicho Estado tendrá derecho a hacerlo.»

8

Los párrafos tercero a quinto del Preámbulo del Protocolo (n.o 22) sobre la posición de Dinamarca (DO 2010, C 83, p. 299; en lo sucesivo, «Protocolo n.o 22»), declaran que las Altas Partes Contratantes:

«[son] conscientes de que el mantenimiento en el marco de los Tratados del régimen jurídico originado por la Decisión de Edimburgo limitará de forma significativa la participación de Dinamarca en importantes ámbitos de cooperación de la Unión, y de que es conveniente para la Unión garantizar la integridad del acervo en el ámbito de la libertad, la seguridad y la justicia,

[desean], por consiguiente, establecer un marco jurídico que ofrezca a Dinamarca la posibilidad de participar en la adopción de las medidas propuestas sobre la base del título V de la tercera parte del Tratado de Funcionamiento de la Unión Europea, y [celebran] la intención de Dinamarca de acogerse a esta posibilidad cuando sea posible de conformidad con sus normas constitucionales,

[toman nota] de que Dinamarca no impedirá que los demás Estados miembros sigan desarrollando su cooperación en relación con medidas que no vinculen a Dinamarca».

9

El artículo 1 de este Protocolo dispone:

«Dinamarca no participará en la adopción por el Consejo de medidas propuestas en virtud del título V de la tercera parte del Tratado de Funcionamiento de la Unión Europea. Las decisiones del Consejo que deban adoptarse por unanimidad requerirán la unanimidad de los miembros del Consejo, exceptuado el representante del Gobierno de Dinamarca.

A efectos del presente artículo, la mayoría cualificada se definirá de conformidad con el apartado 3 del artículo 238 del Tratado de Funcionamiento de la Unión Europea.»

10

El artículo 2 de dicho Protocolo está redactado en los siguientes términos:

«Ninguna de las disposiciones del título V de la tercera parte del Tratado de Funcionamiento de la Unión Europea, ninguna medida adoptada en virtud de dicho título, ninguna disposición de Acuerdo internacional alguno celebrado por la Unión en virtud de dicho título y ninguna decisión del Tribunal de Justicia de la Unión Europea interpretativa de cualquiera de dichas disposiciones o medidas, ni ninguna medida modificada o modificable en virtud de dicho título vinculará a Dinamarca ni le será aplicable; estas disposiciones, medidas o decisiones no afectarán en modo alguno a las competencias, derechos y obligaciones de Dinamarca; dichas disposiciones, medidas o decisiones no afectarán en modo alguno al acervo comunitario o de la Unión, ni formarán parte del Derecho de la Unión, tal y como éstos se aplican a Dinamarca. En particular, los actos de la Unión en el ámbito de la cooperación policial y judicial en materia penal adoptados antes de la entrada en vigor del Tratado de Lisboa que sean modificados seguirán siendo vinculantes y aplicables a Dinamarca sin cambios.»

11

El artículo 2 bis de ese mismo Protocolo dispone lo siguiente:

«El artículo 2 del presente Protocolo se aplicará igualmente a las normas establecidas sobre la base del artículo 16 del Tratado de Funcionamiento de la Unión Europea que se refieran al tratamiento de datos de carácter personal por los Estados miembros en el ejercicio de las actividades comprendidas en el ámbito de aplicación de los capítulos 4 o 5 del título V de la tercera parte de dicho Tratado.»

12

El artículo 25 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31), está redactado en los siguientes términos:

«1.   Los Estados miembros dispondrán que la transferencia a un país tercero de datos personales que sean objeto de tratamiento o destinados a ser objeto de tratamiento con posterioridad a su transferencia, únicamente pueda efectuarse cuando, sin perjuicio del cumplimiento de las disposiciones de Derecho nacional adoptadas con arreglo a las demás disposiciones de la presente Directiva, el país tercero de que se trate garantice un nivel de protección adecuado.

2.   El carácter adecuado del nivel de protección que ofrece un país tercero se evaluará atendiendo a todas las circunstancias que concurran en una transferencia o en una categoría de transferencias de datos; en particular, se tomará en consideración la naturaleza de los datos, la finalidad y la duración del tratamiento o de los tratamientos previstos, el país de origen y el país de destino final, las normas de Derecho, generales o sectoriales, vigentes en el país tercero de que se trate, así como las normas profesionales y las medidas de seguridad en vigor en dichos países.

[...]

6.   La Comisión podrá hacer constar, de conformidad con el procedimiento previsto en el apartado 2 del artículo 31, que un país tercero garantiza un nivel de protección adecuado de conformidad con el apartado 2 del presente artículo, a la vista de su legislación interna o de sus compromisos internacionales, suscritos especialmente al término de las negociaciones mencionadas en el apartado 5, a efectos de protección de la vida privada o de las libertades o de los derechos fundamentales de las personas.

[...]»

13

El artículo 3, apartados 1 y 2, de la Directiva 2004/82/CE del Consejo, de 29 de abril de 2004, sobre la obligación de los transportistas de comunicar los datos de las personas transportadas (DO 2004, L 261, p. 24), dispone:

«1.   Los Estados miembros adoptarán las disposiciones necesarias para imponer a los transportistas la obligación de comunicar, a más tardar al término del embarque, cuando lo soliciten las autoridades encargadas de los controles de personas en las fronteras exteriores, la información relativa a las personas que van a transportar a un paso fronterizo habilitado por el que entrarán en el territorio de un Estado miembro.

2.   La información contendrá:

14

El 18 de julio de 2005, el Consejo adoptó la Decisión 2006/230/CE relativa a la celebración de un Acuerdo entre la Comunidad Europea y el Gobierno de Canadá sobre el tratamiento de datos API/PNR (DO 2006, L 82, p. 14), mediante la cual aprobó dicho Acuerdo (en lo sucesivo, «Acuerdo de 2006»). De conformidad con su preámbulo, el citado Acuerdo se celebró debido a «la exigencia del Gobierno de Canadá de que las compañías aéreas que transport[asen] pasajeros con destino a Canadá proporcion[asen] a las autoridades canadienses competentes datos procedentes del sistema de información anticipada sobre pasajeros (Advance Passenger Information) y de los expedientes de los pasajeros (Passenger Name Record) (en lo sucesivo, “los datos API/PNR”), en la medida en que se recopil[asen] y est[uviesen] incluidos en los sistemas informatizados de reserva y de control de salidas de las compañías aéreas (Departure Control Systems-DCS)».

15

Según el artículo 1, apartado 1, del Acuerdo de 2006, éste tenía «por objeto garantizar que la transmisión de datos API/PNR referentes a personas que efect[uasen] viajes pertinentes se reali[zase] dentro del estricto respeto de los derechos y libertades fundamentales, en particular, el derecho a la intimidad». En virtud del artículo 3, apartado 1, de dicho Acuerdo, «las Partes conv[enían] en que los datos API/PNR referentes a personas que efect[uasen] viajes pertinentes ser[ían] objeto del tratamiento previsto en los compromisos suscritos por la autoridad competente que obt[enía] los citados datos». La autoridad competente en Canadá era, con arreglo al anexo I del mismo Acuerdo, la Canada Border Services Agency (CBSA).

16

Basándose en estos compromisos, la Comisión de las Comunidades Europeas adoptó, el 6 de septiembre de 2005, la Decisión 2006/253/CE relativa al carácter adecuado de la protección de los datos personales incluidos en los registros de nombres de los pasajeros (Passenger Name Records, PNR) que se transfieren a la Canada Border Services Agency (Agencia de Servicios de Fronteras de Canadá) (DO 2006, L 91, p. 49). El artículo 1 de dicha Decisión disponía que «a efectos del artículo 25, apartado 2, de la Directiva [95/46], se considera que la [CBSA] ofrece un nivel adecuado de protección de los datos del PNR que se transfieren desde la Comunidad relativos a vuelos con destino a Canadá, con arreglo a los [compromisos de la CBSA relativos a su programa PNR] que figuran en el anexo» de dicha Decisión. En virtud de su artículo 7, esta misma Decisión preveía que «expirar[ía] tres años y seis meses después de la fecha de su notificación, salvo que la Decisión [fuese] prorrogada con arreglo al procedimiento expuesto en el apartado 2 del artículo 31 de la Directiva [95/46]». Tal prórroga no se produjo.

17

El período de validez del Acuerdo de 2006 estaba vinculado, con arreglo a su artículo 5, apartados 1 y 2, al de la Decisión 2006/253, por lo que dicho Acuerdo expiró en septiembre de 2009.

18

El 5 de mayo de 2010, el Parlamento adoptó una Resolución sobre el inicio de las negociaciones para los Acuerdos relativos al registro de nombres de los pasajeros (PNR) con los Estados Unidos, Australia y Canadá (DO 2011, C 81 E, p. 70). En el punto 7 de dicha Resolución, el Parlamento pedía «un planteamiento coherente para el uso de datos PNR con fines represivos y de seguridad, y que se estable[ciese] un conjunto único de principios que sirv[iese] como base para los Acuerdos con terceros países» y solicitaba «a la Comisión que [...] present[ase] una propuesta de modelo único, así como un proyecto de mandato para las negociaciones con terceros países», al tiempo que enunciaba, en el punto 9 de la citada Resolución, los requisitos mínimos que debía cumplir la utilización de los datos de los pasajeros aéreos en los países terceros.

19

El 2 de diciembre de 2010, el Consejo adoptó, junto con unas directrices de negociación, la Decisión por la que se autorizaba a la Comisión a iniciar negociaciones con Canadá, en nombre de la Unión, con vistas a celebrar un Acuerdo sobre transferencia y utilización de los registros de nombres de los pasajeros (en lo sucesivo, «datos del PNR»), con objeto de prevenir y combatir el terrorismo y otros delitos graves de carácter transnacional.

20

El Acuerdo previsto, resultado de las negociaciones con Canadá, fue rubricado el 6 de mayo de 2013. El 18 de julio de 2013, la Comisión adoptó una propuesta de Decisión del Consejo sobre la celebración del Acuerdo entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros [COM(2013) 528 final; en lo sucesivo, «propuesta de Decisión del Consejo sobre la celebración del Acuerdo previsto»] así como una propuesta de Decisión del Consejo sobre la firma del Acuerdo entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros [COM(2013) 529 final].

21

La exposición de motivos de la propuesta de Decisión del Consejo sobre la celebración del Acuerdo previsto incluía los siguientes pasajes:

«La legislación canadiense autoriza a la [CBSA] a requerir a cada una de las compañías aéreas que operan vuelos de pasajeros con origen o destino en Canadá, que le permitan acceso electrónico a los datos del [PNR] antes de que estos lleguen o salgan de Canadá. Las solicitudes de las autoridades canadienses se basan en el artículo 107.1 de la Ley de aduanas, los reglamentos sobre información sobre pasajeros (aduanas), el artículo 148.1.d) de la Ley de inmigración y protección de los refugiados, y la norma 269 del Reglamento sobre inmigración y protección de los refugiados.

El objetivo de esta legislación es obtener datos del PNR por vía electrónica antes de la llegada de un vuelo, lo que mejora significativamente la capacidad de la [CBSA] para llevar a cabo una evaluación eficiente y eficaz por adelantado de los riesgos que presenten los pasajeros y facilita los viajes legítimos, al tiempo que refuerza la seguridad de Canadá. La Unión Europea, en la cooperación con Canadá en la lucha contra el terrorismo y otras formas graves de delincuencia transnacional, considera que la transferencia de los datos del PNR a Canadá fomenta la cooperación policial y judicial internacional. Esto se logrará a través de la puesta en común de información analítica que contenga datos del PNR obtenidos por Canadá con las autoridades judiciales y policiales competentes de los Estados miembros, así como con Europol y Eurojust, dentro de sus respectivos mandatos.

[...]

Los transportistas aéreos tienen la obligación de facilitar a la [CBSA] el acceso a determinados datos del PNR en la medida en que los recojan y se encuentren en sus sistemas de control automático de reservas y salidas.

Las normas de protección de datos de la UE no permiten a los transportistas aéreos europeos y de terceros países que realizan vuelos desde la [Unión] transmitir los datos del PNR de sus pasajeros a terceros países que no aseguren un nivel adecuado de protección de los datos personales al no proporcionar unas garantías idóneas. Se requiere una solución que ofrezca una base jurídica para la transferencia de los datos del PNR de la UE a Canadá como reconocimiento de la necesidad e importancia del uso de los datos del PNR en la lucha contra el terrorismo y otros delitos graves de carácter transnacional, y que aporte seguridad jurídica a los transportistas aéreos. Además, esta solución debería aplicarse de forma homogénea en toda la Unión Europea con el fin de garantizar la seguridad jurídica de las compañías aéreas y el respeto de los derechos de las personas a la protección de sus datos personales y su seguridad física.

[...]»

22

El 30 de septiembre de 2013, el Supervisor Europeo de Protección de datos (SEPD) emitió un dictamen sobre estas propuestas de Decisiones. El texto íntegro de dicho dictamen, del que se publicó un resumen en el Diario Oficial de la Unión Europea (DO 2014, C 51, p. 12), se encuentra disponible en el sitio de Internet del SEPD.

23

El 5 de diciembre de 2013, el Consejo adoptó la Decisión relativa a la firma del Acuerdo entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros. Ese mismo día, dicha institución decidió que se solicitaría la aprobación del Parlamento sobre su proyecto de Decisión relativa a la celebración del Acuerdo previsto.

24

El Acuerdo previsto fue firmado el 25 de junio de 2014.

25

Mediante escrito de 7 de julio de 2014, el Consejo solicitó al Parlamento que aprobase el proyecto de Decisión del Consejo relativa a la celebración del Acuerdo previsto.

26

El 25 de noviembre de 2014, el Parlamento adoptó la Resolución sobre la solicitud al Tribunal de Justicia de un dictamen sobre la compatibilidad con los Tratados del Acuerdo entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros.

27

El proyecto de Decisión del Consejo relativa a la celebración del Acuerdo previsto designa como bases jurídicas de dicha Decisión el artículo 82 TFUE, apartado 1, párrafo segundo, letra d), y el artículo 87 TFUE, apartado 2, letra a), en relación con el artículo 218 TFUE, apartado 6, letra a).

28

Los considerandos 5 y 6 del proyecto de Decisión están redactados en los siguientes términos:

29

El artículo 1 de dicho proyecto de Decisión dispone:

«Queda aprobado, en nombre de la Unión Europea, el Acuerdo entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros.

El texto del Acuerdo se adjunta a la presente Decisión.»

30

El Acuerdo previsto tiene la siguiente redacción:

«Canadá,

y la Unión Europea,

“las Partes”,

Deseando prevenir, combatir, reprimir y eliminar el terrorismo y los delitos relacionados con el terrorismo, así como otros delitos graves de carácter transnacional, como medio para proteger a sus respectivas sociedades democráticas y los valores que comparten a fin de promover la seguridad y el Estado de Derecho;

Reconociendo la importancia de prevenir, combatir, reprimir y eliminar el terrorismo y los delitos relacionados con el terrorismo, así como otros delitos graves de carácter transnacional, respetando al mismo tiempo los derechos y libertades fundamentales, en particular la intimidad y la protección de los datos personales;

Con ánimo de mejorar y alentar la cooperación entre las Partes dentro del espíritu de cooperación entre Canadá y la Unión Europea;

Reconociendo que el intercambio de información es un componente fundamental para combatir el terrorismo y los delitos relacionados con el terrorismo, así como otros delitos graves de carácter transnacional, y que, en este contexto, el uso de los datos del registro de nombres de los pasajeros (PNR) constituye una herramienta esencial para alcanzar estos objetivos;

Reconociendo que, para salvaguardar la seguridad pública y a efectos de aplicación de la Ley, deben establecerse normas que regulen la transferencia de datos del PNR por los transportistas aéreos a Canadá;

Reconociendo que las Partes comparten valores comunes por lo que respecta a la protección de datos y de la intimidad, tal como se refleja en su respectiva legislación;

Teniendo presentes los compromisos de la Unión Europea en virtud del artículo 6 del Tratado de la Unión Europea sobre el respeto de los derechos fundamentales, el derecho a la protección respecto del tratamiento de datos personales regulado en el artículo 16 del Tratado de Funcionamiento de la Unión Europea, los principios de proporcionalidad y necesidad relativos al derecho a la vida privada y familiar, el respeto de la privacidad y la protección de los datos personales conforme a los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, al artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, el Convenio n.o 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal[, firmado en Estrasburgo el 28 de enero de 1981] y su Protocolo adicional 181[, firmado en Estrasburgo el 8 de noviembre de 2001];

Teniendo en cuenta las disposiciones pertinentes de la Carta Canadiense de los Derechos y las Libertades y la legislación canadiense sobre protección de la intimidad;

Observando el compromiso de la Unión Europea de garantizar que no se impida a los transportistas aéreos cumplir con la legislación canadiense relativa a la transferencia de datos del PNR generados en la Unión Europea a Canadá de conformidad con el presente Acuerdo;

Reconociendo la revisión conjunta que se llevó a cabo satisfactoriamente en 2008 del Acuerdo de 2006 entre las Partes sobre la transferencia de datos del PNR;

Reconociendo que el presente Acuerdo no se aplicará a la información anticipada sobre los pasajeros recogida y transmitida por los transportistas aéreos a Canadá a efectos del control de fronteras;

Reconociendo también que el presente Acuerdo no impedirá que Canadá continúe tratando información procedente de los transportistas aéreos, en circunstancias excepcionales, cuando sea necesario para mitigar cualquier amenaza grave e inmediata al transporte aéreo o a la seguridad nacional, dentro del respeto de las estrictas limitaciones establecidas en la legislación canadiense y, en cualquier caso, sin exceder las limitaciones previstas en el presente Acuerdo;

Destacando el interés de las Partes, así como de los Estados miembros de la Unión Europea, en el intercambio de información relacionada con el método de transmisión de datos del PNR y la transferencia ulterior de datos del PNR fuera de Canadá previstos en los artículos pertinentes del presente Acuerdo, y destacando también el interés de la Unión Europea por tratarlo en el marco del mecanismo de consulta y revisión previsto en el presente Acuerdo;

Destacando la posibilidad de que las Partes examinen la necesidad y viabilidad de un Acuerdo similar para el tratamiento de datos del PNR por lo que se refiere al transporte marítimo de pasajeros;

Destacando el compromiso de Canadá en virtud del cual la autoridad canadiense competente procesará los datos del PNR con el propósito de prevenir, detectar, investigar y enjuiciar delitos de terrorismo y delitos graves de carácter transnacional en estricto cumplimiento de las salvaguardias de privacidad y la protección de datos e información personales, establecidas en el presente Acuerdo;

Recalcando la importancia de la puesta en común de datos del PNR y de los datos analíticos pertinentes y adecuados obtenidos del PNR por Canadá con las autoridades judiciales y policiales competentes de los Estados miembros de la Unión Europea, Europol y Eurojust, como medio para fomentar la cooperación policial y judicial;

Afirmando que el presente Acuerdo no constituye un precedente de ningún Acuerdo futuro entre Canadá y la Unión Europea, ni entre una Parte y cualquier otra Parte, relativo al tratamiento y la transferencia de datos del PNR, o relativo a la protección de datos;

Visto el compromiso mutuo de ambas partes de aplicar y desarrollar normas internacionales para el tratamiento de datos del PNR;

han convenido en lo siguiente:

Disposiciones generales

Artículo 1

Finalidad del Acuerdo

Para garantizar la protección y seguridad del público en general, las Partes estipulan en el presente Acuerdo las condiciones de transferencia y utilización de los datos del registro de nombres de los pasajeros (PNR) y la manera en que deben protegerse esos datos.

Artículo 2

Definiciones

A los efectos del presente Acuerdo se aplicarán las siguientes definiciones:

Artículo 3

Utilización de los datos del PNR

1.   Canadá velará por que las autoridades canadienses competentes traten los datos del PNR recibidos en virtud del presente Acuerdo con el propósito exclusivo de prevenir, detectar, investigar y enjuiciar los delitos de terrorismo o los delitos graves de carácter transnacional.

2.   A efectos del presente Acuerdo, por “delitos de terrorismo” se entenderá:

3.   Delitos graves de carácter transnacional: todo delito castigado en Canadá con una pena máxima de privación de libertad no inferior a cuatro años o una pena más grave, tal como se definen en la legislación canadiense, si el delito es de carácter transnacional.

A efectos del presente Acuerdo, el delito se considerará de carácter transnacional si se ha cometido en:

4.   En casos excepcionales, la autoridad canadiense competente podrá tratar los datos del PNR cuando sea necesario para la protección de los intereses vitales de las personas, tales como:

5.   Canadá también podrá tratar los datos del PNR, en casos concretos, a efectos de:

Artículo 4

Garantizar el suministro de los datos del PNR

1.   La Unión Europea velará por que no se impida a los transportistas aéreos transferir datos del PNR a las autoridades canadienses competentes en virtud del presente Acuerdo.

2.   Canadá no deberá pedir a los transportistas aéreos que suministren elementos de los datos del PNR distintos de los recogidos y conservados en la actualidad en sus sistemas de reserva.

3.   Canadá suprimirá, en cuanto los reciba, los datos que le transfiera un transportista aéreo, en virtud del presente Acuerdo, si el elemento de los datos en cuestión no figura en la lista del anexo.

4.   Las Partes deberán garantizar que los transportistas aéreos puedan transferir datos del PNR a la autoridad canadiense competente, a través de agentes autorizados que actúen en nombre y bajo la responsabilidad del transportista aéreo, a los efectos y en las condiciones establecidas en el presente Acuerdo.

Artículo 5

Adecuación

Sin perjuicio de lo dispuesto en el presente Acuerdo, las autoridades canadienses competentes deberán garantizar un nivel de protección adecuado, con arreglo a la correspondiente legislación de la Unión Europea sobre protección de datos, al tratamiento y la utilización de los datos del PNR. Se considerará que las compañías que han suministrado los datos del PNR a Canadá en cumplimiento del presente Acuerdo, han cumplido los requisitos legales aplicables en la Unión Europea para la transmisión de datos del PNR de la Unión Europea a Canadá.

Artículo 6

Cooperación policial y judicial

1.   Canadá garantizará, tan pronto como sea posible, la disponibilidad de la información analítica adecuada y pertinente que contenga datos del PNR obtenidos con arreglo al presente Acuerdo, para Europol y Eurojust, en sus respectivos ámbitos de competencia, o para la policía o las autoridades judiciales de los Estados miembros de la Unión Europea. Canadá velará por que esta información se comparta de conformidad con otros Acuerdos y otros compromisos en materia de aplicación de las leyes o de intercambio de información entre Canadá y Europol, Eurojust, o cualquier Estado miembro.

2.   Canadá comunicará, a solicitud de Europol o Eurojust, en sus respectivos ámbitos de competencia, o de la policía o una autoridad judicial de un Estado miembro de la Unión Europea, los datos del PNR o la información analítica adecuada y pertinente obtenida de los datos del PNR en virtud del presente Acuerdo, que sea necesaria en un caso específico para prevenir, detectar, investigar o enjuiciar en la Unión Europea un delito terrorista o un delito grave de carácter transnacional. Canadá garantizará la disponibilidad de esta información de conformidad con otros Acuerdos y otros compromisos en materia de aplicación de las leyes, cooperación judicial o de intercambio de información entre Canadá y Europol, Eurojust, o cualquier Estado miembro.

Garantías aplicables al tratamiento de los datos del PNR

Artículo 7

No discriminación

Canadá garantizará que las salvaguardias aplicables al tratamiento de los datos del PNR se apliquen a todos los pasajeros en igualdad de condiciones y evitando toda discriminación contraria a Derecho.

Artículo 8

Uso de datos sensibles

1.   En el caso de que los datos del PNR de un pasajero incluyan datos sensibles, Canadá velará por que la autoridad canadiense competente utilice sistemas automatizados para filtrar y enmascarar los datos sensibles. Canadá velará por que la autoridad canadiense competente no vuelva a tratar dichos datos, salvo con arreglo a los apartados 3, 4 y 5.

2.   En los 90 días siguientes a la entrada en vigor del presente Acuerdo, Canadá facilitará a la Comisión Europea una lista de códigos y términos que identifiquen los datos sensibles que serán enmascarados.

3.   Canadá podrá tratar los datos sensibles de forma individual y en circunstancias excepcionales cuando dicho tratamiento sea indispensable por razones de peligro para la vida de una persona o riesgo de daño grave.

4.   Canadá garantizará que los datos sensibles se traten de conformidad con el apartado 3, siguiendo procedimientos estrictos, en particular los siguientes:

5.   Los datos sensibles serán suprimidos permanentemente por Canadá en los 15 días siguientes a la fecha de su recepción, a no ser que Canadá los conserve de conformidad con el artículo 16, apartado 5.

6.   Si, de conformidad con los apartados 3, 4 y 5, la autoridad canadiense competente trata datos sensibles de un ciudadano de un Estado miembro de la Unión Europea, Canadá velará por que dicha autoridad notifique cuanto antes el tratamiento a las autoridades de dicho Estado miembro. Canadá expedirá esta notificación de conformidad con los Acuerdos o disposiciones sobre aplicación de las leyes o sobre intercambio de la información entre Canadá y dicho Estado miembro.

Artículo 9

Seguridad e integridad de los datos

1.   Canadá aplicará las normas, las disposiciones organizativas y las medidas técnicas adecuadas para proteger los datos del PNR contra el acceso, tratamiento o pérdida accidentales, ilegales o no autorizados.

2.   Canadá garantizará la verificación de la conformidad y la protección, seguridad, confidencialidad e integridad de los datos. Canadá garantizará, en particular:

3.   En caso de que se revelen o se acceda a los datos del PNR de un individuo sin autorización, Canadá adoptará medidas para notificarlo a la persona afectada, a fin de reducir el riesgo de daños y de adoptar las medidas correctoras.

4.   Canadá velará por que la autoridad canadiense competente informe sin demora a la Comisión Europea de los incidentes significativos de acceso, tratamiento o pérdida accidentales, ilegales o no autorizados de los datos del PNR.

5.   Canadá velará por que cualquier violación de la seguridad de los datos, y en particular la que resulte en una destrucción accidental o ilegal o en una pérdida accidental, alteración, comunicación o acceso no autorizados o cualquier forma ilegal de tratamiento conllevará medidas correctivas efectivas y disuasorias que podrán incluir sanciones.

Artículo 10

Supervisión

1.   Las garantías de protección de datos aplicables al tratamiento de los datos del PNR con arreglo al presente Acuerdo estarán sujetas a la supervisión por parte de una autoridad pública independiente, o de una autoridad administrativa que ejerza sus funciones de manera imparcial y que tenga un historial acreditado de autonomía (la “autoridad de supervisión”). Canadá velará por que la autoridad de supervisión tenga poderes efectivos para investigar el cumplimiento de las normas relativas a la recogida, utilización, comunicación, retención o eliminación de los datos del PNR. La autoridad de supervisión podrá revisar e investigar el cumplimiento, comunicar los resultados y hacer recomendaciones a la autoridad canadiense competente. Canadá velará por que la autoridad de supervisión tenga la facultad de someter las violaciones de la ley relacionadas con el presente Acuerdo para su enjuiciamiento o acción disciplinaria, cuando proceda.

2.   Canadá velará por que la autoridad competente se asegure, en particular, de que las quejas relativas al incumplimiento del presente Acuerdo se reciban, investiguen y reciban respuesta y, en su caso, reparación.

Artículo 11

Transparencia

1.   Canadá velará por que la autoridad canadiense competente tenga disponible en su sitio web lo siguiente:

2.   Las Partes colaborarán con las partes interesadas, tales como el sector de los viajes aéreos, para fomentar la transparencia, preferiblemente en el momento de la reserva, facilitando la siguiente información a los viajeros:

Artículo 12

Acceso de las personas

1.   Canadá velará por que cualquier persona pueda acceder a sus datos del PNR.

2.   Canadá velará por que la autoridad canadiense competente, en un período razonable:

3.   Canadá podrá someter la divulgación de información a requisitos y limitaciones legales razonables, y en particular a las limitaciones necesarias para prevenir, detectar, investigar o enjuiciar delitos penales, o para proteger el orden público o la seguridad nacional, teniendo debidamente en cuenta los intereses legítimos de la persona interesada.

Artículo 13

Corrección o rectificación solicitadas por las personas

1.   Canadá velará por que cualquier persona pueda solicitar la corrección de sus datos del PNR.

2.   Canadá velará por que la autoridad canadiense competente estudie todas las solicitudes de corrección presentadas por escrito y, en un período razonable:

Artículo 14

Recurso administrativo y judicial

1.   Canadá velará por que una autoridad pública independiente, o una autoridad administrativa que ejerza sus funciones de manera imparcial y que tenga un historial acreditado de autonomía, reciba, investigue y dé respuesta a las denuncias presentadas por cualquier persona en relación con su solicitud de acceso, corrección o rectificación de sus datos del PNR. Canadá velará por que la autoridad competente comunique al denunciante las vías de recurso judicial previstas en el apartado 2.

2.   Canadá velará por que toda persona que estime que sus derechos han sido violados por una decisión o una acción en relación con sus datos del PNR, pueda obtener reparación de conformidad con la legislación canadiense interponiendo un recurso jurisdiccional o cualquier otra acción que pueda incluir una indemnización.

Artículo 15

Decisiones basadas en el tratamiento automático

Canadá no tomará decisiones que afecten gravemente a un pasajero únicamente en razón del tratamiento automático de los datos del PNR.

Artículo 16

Conservación de los datos del PNR

1.   Canadá no conservará los datos del PNR durante más de cinco años a partir de la fecha de la recepción de los mismos.

2.   Canadá restringirá el acceso a un número limitado de funcionarios específicamente autorizados.

3.   Canadá despersonalizará, enmascarándolos, los nombres de todos los pasajeros 30 días después de recibir los datos del PNR.

Dos años después de recibir los datos del PNR, Canadá despersonalizará asimismo los datos, enmascarando los siguientes elementos:

4.   Canadá podrá desenmascarar los datos del PNR únicamente si, sobre la base de la información disponible, resulta necesario para llevar a cabo investigaciones en el ámbito del artículo 3, de la manera siguiente:

5.   No obstante lo dispuesto en el apartado 1:

6.   Una vez concluido el período de conservación, Canadá eliminará de forma definitiva los datos del PNR.

Artículo 17

Registro y documentación del tratamiento de los datos del PNR

Canadá registrará todo el tratamiento de los datos del PNR. Canadá solamente utilizará un registro o documento para:

Artículo 18

Intercambios internos

1.   Canadá garantizará que la autoridad canadiense competente no comparta los datos del PNR con otras autoridades públicas de Canadá salvo si se cumplen las siguientes condiciones:

2.   Las salvaguardas aplicables a los datos del PNR en virtud del presente artículo deberán respetarse a la hora de transferir información analítica que contenga datos del PNR obtenidos con arreglo al presente Acuerdo.

Artículo 19

Transferencia a las autoridades de terceros países

1.   Canadá garantizará que la autoridad canadiense competente no comparte los datos del PNR con autoridades públicas de terceros países salvo si se cumplen las siguientes condiciones:

2.   Si, de conformidad con el apartado 1, la autoridad canadiense competente revela datos del PNR de un particular que sea ciudadano de un Estado miembro de la Unión Europea, Canadá garantizará que esa autoridad notifique a las autoridades de dicho Estado miembro este hecho cuanto antes. Canadá expedirá esta notificación de conformidad con los Acuerdos o las disposiciones sobre aplicación de las leyes o sobre intercambio de la información entre Canadá y dicho Estado miembro.

3.   Las salvaguardas aplicables a los datos del PNR en virtud del presente artículo deberán respetarse a la hora de transferir información analítica que contenga datos del PNR obtenidos con arreglo al presente Acuerdo.

Artículo 20

Método de transmisión

Las Partes deberán garantizar que los transportistas aéreos transfieren a la autoridad canadiense competente los datos del PNR exclusivamente mediante el método push y de Acuerdo con los siguientes procedimientos:

Artículo 21

Frecuencia de la transmisión

1.   Canadá garantizará que la autoridad canadiense competente exija que los transportistas aéreos transfieran los datos del PNR:

2.   Canadá velará por que la autoridad canadiense competente comunique a los transportistas aéreos las ocasiones especificadas para las transferencias.

3.   En casos concretos en los que existan indicios de la necesidad de facilitar un acceso adicional con el fin de responder a una amenaza específica relacionada con el ámbito a que se refiere el artículo 3, la autoridad canadiense competente podrá pedir a un transportista aéreo que facilite datos del PNR antes de la primera transferencia prevista, entre las transferencias o después de éstas. En el ejercicio de esta facultad discrecional, Canadá actuará de forma razonable y proporcionada y se servirá únicamente del método descrito en el artículo 20.

Disposiciones de aplicación y disposiciones finales

Artículo 22

Datos del PNR recibidos antes de la entrada en vigor del presente Acuerdo

Canadá tratará todos los datos del PNR conservados en el momento de la entrada en vigor del presente Acuerdo con arreglo a las disposiciones del mismo.

Artículo 23

Reciprocidad

1.   Si la Unión Europea adopta un régimen de tratamiento de datos del PNR para su territorio, las Partes celebrarán consultas para determinar si el presente Acuerdo debe modificarse a fin de garantizar la plena reciprocidad.

2.   Las autoridades canadienses y de la Unión Europea respectivas cooperarán en aras de la coherencia de sus regímenes de tratamiento de datos del PNR, reforzando de este modo la seguridad de los ciudadanos de Canadá, de la Unión Europea y de otros países.

Artículo 24

No exención

Ninguna de las disposiciones del presente Acuerdo eximirá de las obligaciones existentes entre Canadá y los Estados miembros de la Unión Europea o terceros países de solicitar o atender las solicitudes de ayuda en virtud de un instrumento de asistencia judicial recíproca.

[...]

Artículo 26

Consulta, revisión y modificación

   [...]

2.   Las Partes revisarán conjuntamente la ejecución del presente Acuerdo un año después de su entrada en vigor y, posteriormente, a intervalos regulares y adicionalmente, a petición de cualquiera de las Partes y por decisión conjunta.

[...]

Artículo 28

Duración

1.   A reserva de lo dispuesto en el apartado 2, el presente Acuerdo permanecerá en vigor durante un período de siete años a partir de su entrada en vigor.

2.   Una vez concluido cada período de siete años, el Acuerdo se prorrogará automáticamente durante otro período suplementario de siete años, a menos que una de las Partes notifique a la otra por escrito por vía diplomática, con al menos seis meses de antelación, su intención de no prorrogarlo.

3.   Canadá continuará aplicando los términos del presente Acuerdo a todos los datos del PNR obtenidos antes de la terminación del mismo.

[...]

Anexo

Elementos de los datos del [PNR] a que se refiere el artículo 2, letra b)

31

Según el Parlamento, si bien el Acuerdo previsto persigue, con arreglo a su artículo 1, dos finalidades, a saber, por una parte, garantizar la protección y la seguridad del público en general y, por otra, estipular la manera en que deben protegerse los datos del PNR, su finalidad principal es, no obstante, la protección de los datos personales. Dicha institución sostiene, en efecto, que el Derecho de la Unión en materia de protección de datos de esta naturaleza se opone a la transferencia de datos del PNR a terceros países que no garanticen un nivel de protección adecuado de los datos de carácter personal. Así, advierte, el Acuerdo previsto pretende crear una especie de «decisión de adecuación», en el sentido del artículo 25, apartado 6, de la Directiva 95/46, que ofrezca una base jurídica para la transferencia legal de datos del PNR de la Unión a Canadá. El Parlamento señala que este enfoque es idéntico al previamente adoptado en el Acuerdo de 2006 y en la Decisión 2006/253, Decisión que se tomó sobre la base del artículo 25, apartado 6, de la Directiva 95/46.

32

Así pues, según el Parlamento, la elección del artículo 82 TFUE, apartado 1, párrafo segundo, letra d), y del artículo 87 TFUE, apartado 2, letra a), como bases jurídicas de la Decisión del Consejo relativa a la celebración del Acuerdo previsto es errónea. Esta Decisión debería más bien basarse en el artículo 16 TFUE, puesto que dicho artículo se aplica a todos los ámbitos del Derecho de la Unión, incluidos los contemplados en el título V de la tercera parte del Tratado FUE, relativo al espacio de libertad, seguridad y justicia, extremo que, según el Parlamento, se ve confirmado por la Declaración relativa a la protección de datos de carácter personal en el ámbito de la cooperación judicial en materia penal y de la cooperación policial, aneja al Acta final de la Conferencia intergubernamental que adoptó el Tratado de Lisboa (DO 2010, C 83, p. 345).

33

El contenido del Acuerdo previsto confirma, según el Parlamento, su apreciación de que el componente principal de dicho Acuerdo trata sobre la protección de los datos de carácter personal. El Parlamento afirma, en efecto, que la gran mayoría de las disposiciones del Acuerdo previsto, en particular sus artículos clave, a saber, el artículo 4, apartado 1, y el artículo 5, que constituyen la base jurídica de la transferencia legal de los datos del PNR de la Unión a Canadá, se refieren a la protección de los datos de carácter personal. Además, señala que el Acuerdo previsto contempla no ya la transferencia de los datos del PNR por las autoridades europeas a las canadienses, sino la transferencia de esos datos por unos particulares, las compañías aéreas, a estas últimas autoridades. Por lo tanto, en opinión del Parlamento, resulta difícil concluir que tales disposiciones pertenezcan al ámbito de la cooperación judicial y policial propiamente dicha. Por otra parte, según la misma institución, el artículo 6 del Acuerdo previsto, titulado «Cooperación policial y judicial», únicamente reviste un carácter accesorio con respecto a sus artículos 4 y 5, puesto que no puede aplicarse sin que estos últimos artículos hayan sido a su vez aplicados previamente. El Parlamento observa, en efecto, que Canadá no puede comunicar la información en cuestión sin haber recibido previamente los datos del PNR de los transportistas aéreos, los cuales, por su parte, únicamente pueden transmitir los datos del PNR a Canadá sobre la base de una «decisión de adecuación». Añade que ese mismo artículo 6 no regula el intercambio de información entre las autoridades de que se trata, sino que se limita a remitirse a otros Acuerdos internacionales en la materia.

34

El Parlamento señala que, si el Tribunal de Justicia considerase, no obstante, que el Acuerdo previsto persigue finalidades indisociables unas de otras, la Decisión del Consejo relativa a la celebración de dicho Acuerdo podría basarse simultáneamente en el artículo 16 TFUE, en el artículo 82 TFUE, apartado 1, párrafo segundo, letra d), y en el artículo 87 TFUE, apartado 2, letra a). Por lo que se refiere a la eventual aplicabilidad de los Protocolos n.os 21 y 22, el Parlamento recuerda la jurisprudencia del Tribunal de Justicia resultante de la sentencia de 27 de febrero de 2014, Reino Unido/Consejo (C‑656/11, EU:C:2014:97), apartado 49, según la cual carece de influencia sobre la legalidad de la elección de la base jurídica de un acto de la Unión la consecuencia que dicha elección pueda tener en cuanto a la aplicación o no de alguno de los Protocolos anejos a los Tratados.

35

El Parlamento considera, habida cuenta de las serias dudas expresadas por el SEPD, especialmente en su dictamen de 30 de septiembre de 2013, y de la jurisprudencia resultante de la sentencia de 8 de abril de 2014, Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238), que existe incertidumbre jurídica en cuanto a si el Acuerdo previsto es compatible con el artículo 16 TFUE y con los artículos 7, 8 y 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

36

Según el Parlamento, la transferencia de los datos del PNR de la Unión a Canadá a efectos del posible acceso de las autoridades canadienses a ellos, tal como contempla el Acuerdo previsto, está comprendida en el ámbito de aplicación de los artículos 7 y 8 de la Carta. Dicha institución señala, en efecto, que tales datos, tomados en su conjunto, permiten extraer conclusiones muy precisas sobre la vida privada de las personas cuyos datos se tratan, como sus lugares de estancia permanente o temporal, sus desplazamientos y sus actividades. Por lo tanto, concluye que el Acuerdo previsto supone una injerencia de gran alcance y particularmente grave en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta.

37

Recordando las exigencias establecidas, por una parte, en el artículo 52, apartado 1, de la Carta y, por otra, en su artículo 8, apartado 2, el Parlamento estima que cabe preguntarse si el Acuerdo previsto constituye una «ley» en el sentido de dichas disposiciones y si puede servir de fundamento para establecer limitaciones al ejercicio de los derechos garantizados en los artículos 7 y 8 de la Carta. Pues bien, según dicha institución, mientras que el término «ley» coincide con el concepto de «acto legislativo» previsto por el Tratado FUE, un Acuerdo internacional no constituye tal acto legislativo, de modo que se plantea la cuestión de si no sería más adecuado adoptar un acto interno, basado en el artículo 16 TFUE, en lugar de celebrar un Acuerdo internacional al amparo del artículo 218 TFUE, como el Acuerdo previsto.

38

Por lo que respecta al principio de proporcionalidad, el Parlamento se remite a la jurisprudencia del Tribunal de Justicia dimanante de la sentencia de 8 de abril de 2014, Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238), apartados 47 y 48, y considera que, en el caso de autos, la facultad de apreciación del legislador de la Unión resulta limitada y que el control jurisdiccional del cumplimiento de los requisitos derivados de dicho principio debe ser estricto, habida cuenta, en particular, de que se trata de injerencias en los derechos fundamentales.

39

El Parlamento añade que se desprende de la jurisprudencia del Tribunal Europeo de Derechos Humanos resultante de la sentencia del TEDH de 1 de julio de 2008, Liberty y otros c. Reino Unido (CE:ECHR:2008:0701JUD005824300), §§ 62 y 63, y de la del Tribunal de Justicia resultante de la sentencia de 8 de abril de 2014, Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238), apartado 54 y jurisprudencia citada, que el Acuerdo previsto debe contemplar unas normas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión e impongan unos requisitos mínimos, de manera que las personas cuyos datos sean objeto de tratamiento dispongan de garantías suficientes para la protección eficaz de sus datos personales frente a los riesgos de abusos y frente a cualquier posible acceso o uso ilícitos de los mismos.

40

El Parlamento se pregunta, en primer lugar, con carácter general, sobre la necesidad, en el sentido del artículo 52, apartado 1, segunda frase, de la Carta, de la instauración de un «sistema PNR». Según dicha institución, en efecto, el Consejo y la Comisión no han demostrado hasta la fecha, basándose en los elementos objetivos, que la celebración del Acuerdo previsto sea efectivamente necesaria.

41

En segundo lugar, el Parlamento expone que el Acuerdo previsto afecta de forma global al conjunto de los pasajeros aéreos, sin que éstos se encuentren en una situación que pueda motivar la incoación de diligencias penales y sin que se exija la existencia de relación alguna entre sus datos del PNR y un riesgo para la seguridad pública. Afirma que a esta ausencia general de límites se añade el hecho de que los criterios y requisitos enunciados en el Acuerdo previsto son vagos y no permiten limitar el tratamiento de los datos del PNR por las autoridades canadienses a lo estrictamente necesario. Pone de relieve que el citado Acuerdo no supedita el acceso a esos datos por las autoridades canadienses a un control previo efectuado, bien por un órgano judicial, bien por un organismo administrativo autónomo, con objeto de limitar ese acceso a los datos y su utilización a lo estrictamente necesario para alcanzar el objetivo perseguido, y que se produzca a raíz de una solicitud motivada dirigida a ese órgano judicial o a ese organismo administrativo, presentada en el marco de procedimientos de prevención, detección o investigación de delitos.

42

En tercer lugar, en cuanto al período de conservación de los datos del PNR, fijado en cinco años por el artículo 16 del Acuerdo previsto, el Parlamento señala que se aplica sin distinción alguna al conjunto de los pasajeros aéreos. Añade que el Consejo no ha proporcionado ninguna justificación, basada en criterios objetivos, con respecto a la elección de ese período. Aun suponiendo que el período de tres años y medio previsto en el Acuerdo de 2006 fuese aceptable, habría que preguntarse, según el Parlamento, por qué se consideró necesario ampliar ese período a cinco años.

43

En cuarto y último lugar, el Parlamento sostiene que el Acuerdo previsto no garantiza que las medidas que corresponda adoptar a las autoridades canadienses sean adecuadas y cumplan los requisitos esenciales del artículo 8 de la Carta y del artículo 16 TFUE.

44

Han presentado ante el Tribunal de Justicia observaciones escritas relativas a la presente solicitud de dictamen los Gobiernos búlgaro y estonio, Irlanda, los Gobiernos español, francés y del Reino Unido, así como el Consejo y la Comisión.

45

Además, el Tribunal de Justicia ha formulado preguntas para su respuesta por escrito a los Estados miembros y a las instituciones, al amparo del artículo 196, apartado 3, del Reglamento de Procedimiento del Tribunal de Justicia, y ha pedido asimismo al SEPD, con arreglo a lo dispuesto en el artículo 24, párrafo segundo, del Estatuto del Tribunal de Justicia de la Unión Europea, que responda a dichas preguntas. Éste ha transmitido sus observaciones al Tribunal de Justicia.

46

El Gobierno francés y el Consejo dudan acerca de la admisibilidad de la segunda pregunta de la presente solicitud de dictamen. Señalan, por una parte, que al plantear esta pregunta, el Parlamento no cuestiona ni la competencia de la Unión para celebrar el Acuerdo previsto ni el reparto de competencias entre la Unión y los Estados miembros a esos efectos. Y por otra parte, que el recurso, aun erróneo, a los artículos 82 TFUE y 87 TFUE no afecta en modo alguno al procedimiento a seguir para la adopción de la Decisión del Consejo relativa a la celebración del Acuerdo previsto, puesto que, tanto si se aplica el artículo 16 TFUE como si se aplican los artículos 82 TFUE y 87 TFUE, debe seguirse el procedimiento legislativo ordinario. Por lo tanto, afirman, en uno y otro caso es aplicable el artículo 218 TFUE, apartado 6, letra a), inciso v), de modo que se requiere la aprobación del Parlamento.

47

Los Gobiernos búlgaro y estonio, Irlanda, los Gobiernos francés y del Reino Unido, así como el Consejo y la Comisión consideran que el objetivo principal del Acuerdo previsto es garantizar la protección y la seguridad del público en general, como se desprende en particular de los párrafos primero y tercero a quinto de su Preámbulo y también de sus artículos 1 y 3. Señalan que si la protección de los datos personales hubiera de considerarse asimismo un objetivo de dicho Acuerdo, sería accesorio con respecto al objetivo principal.

48

El Consejo y la Comisión añaden que, si bien es cierto que la transferencia de los datos del PNR a terceros países debe respetar la Carta, las disposiciones del Acuerdo previsto relativas a la protección de esos datos no constituyen, sin embargo, sino el instrumento mediante el cual dicho Acuerdo persigue el objetivo de lucha contra el terrorismo y los delitos graves de carácter transnacional. Sostienen que el hecho de que el Acuerdo establezca, a través de un número significativo de disposiciones, los procedimientos y requisitos de la transferencia de datos del PNR respetando los derechos fundamentales, y cree una forma de «decisión de adecuación», no desvirtúa la circunstancia de que el objetivo principal de ese mismo Acuerdo sigue siendo la protección y la seguridad del público en general. Según dichas instituciones, el artículo 16 TFUE únicamente constituye la base jurídica adecuada de un acto cuando el objetivo principal de éste es la protección de los datos personales. Y a la inversa, los actos que tengan como finalidad la realización de políticas sectoriales que requieran determinados tratamientos de datos personales deben tomar como base jurídica la correspondiente a la política de que se trate, respetando al mismo tiempo el artículo 8 de la Carta y los actos de la Unión adoptados sobre la base del artículo 16 TFUE.

49

Por lo que respecta a la posible acumulación de los artículos 16 TFUE, 82 TFUE, apartado 1, párrafo segundo, letra d), y 87 TFUE, apartado 2, letra a), como bases jurídicas materiales de la Decisión del Consejo relativa a la celebración del Acuerdo previsto, el Gobierno francés sostiene, con carácter subsidiario, que tal acumulación es viable, ya que dichas bases jurídicas son compatibles entre sí por contemplar todas ellas el procedimiento legislativo ordinario. Observa que, efectivamente, en principio, habida cuenta de que Irlanda y el Reino Unido, así como el Reino de Dinamarca, no participan, en virtud de los Protocolos n.os 21 y 22, en la adopción de los actos comprendidos en el ámbito del título V de la tercera parte del Tratado FUE, un acto no puede basarse simultáneamente en disposiciones que están comprendidas dentro del ámbito de dicho título y en disposiciones que no lo están. No obstante señala que, en caso de adopción, con fundamento en el artículo 16 TFUE, de normas relativas al tratamiento de datos personales por los Estados miembros en el ejercicio de actividades comprendidas dentro del ámbito de aplicación de los capítulos 4 o 5 del título V de la tercera parte del Tratado FUE, Irlanda y el Reino Unido, así como el Reino de Dinamarca, no participarían en su adopción, puesto que dichos Estados miembros, con arreglo al artículo 6 bis del Protocolo n.o 21 y al artículo 2 bis del Protocolo n.o 22, no están obligados por tales normas.

50

En cambio, según el Consejo, la acumulación del artículo 16 TFUE, por una parte, y los artículos 82 TFUE y 87 TFUE, por otra, no es legalmente admisible, habida cuenta de las reglas específicas que rigen los procedimientos de voto en el Consejo resultantes de los Protocolos n.os 21 y 22 con respecto a la participación de Irlanda y el Reino Unido y de Dinamarca, respectivamente.

51

La totalidad de los Estados miembros que han presentado observaciones ante el Tribunal de Justicia, así como el Consejo y la Comisión, concluyen, en lo sustancial, que el Acuerdo previsto es compatible con las disposiciones del Tratado FUE y de la Carta.

52

Por lo que respecta a la existencia de una injerencia en los derechos fundamentales reconocidos en los artículos 7 y 8 de la Carta, los Gobiernos estonio y francés se adhieren a la postura defendida por el Parlamento, según la cual el Acuerdo previsto implica tal injerencia dado que obliga a la Unión, en su artículo 4, apartado 1, a no impedir las transferencias de datos del PNR a las autoridades canadienses competentes, y contempla, en su artículo 3, el tratamiento de esos datos por dichas autoridades. No obstante, el Gobierno francés considera que tal injerencia no debería calificarse como particularmente grave, habida cuenta de que su alcance es menor al resultante de la Directiva 2006/24/CE del Parlamento Europeo y del Consejo, de 15 de marzo de 2006, sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones y por la que se modifica la Directiva 2002/58/CE (DO 2006, L 105, p. 54), que era objeto del asunto que dio lugar a la sentencia de 8 de abril de 2014, Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238). Además, según el Gobierno francés, los datos del PNR no permiten extraer conclusiones muy precisas con respecto a la vida privada de los pasajeros aéreos.

53

La totalidad de los Estados miembros que han presentado observaciones, así como el Consejo y la Comisión, consideran que el Acuerdo previsto persigue un objetivo de interés general, a saber, la lucha contra el terrorismo y la delincuencia grave de carácter transnacional.

54

Por lo que respecta a las exigencias derivadas del principio de proporcionalidad, el Consejo y la Comisión convienen con el Parlamento y ponen de manifiesto en especial, remitiéndose a la jurisprudencia del Tribunal de Justicia resultante de la sentencia de 8 de abril de 2014, Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238), apartado 54, y al artículo 6, apartado 1, letra c), de la Directiva 95/46, que el Acuerdo previsto debe establecer normas claras y precisas que regulen el alcance y la aplicación de la injerencia examinada y garantías suficientes que permitan proteger eficazmente los datos personales contra los riesgos de abusos y contra cualquier acceso o utilización ilícitos.

55

En particular, en cuanto al carácter necesario de la transferencia de los datos del PNR a Canadá, la Comisión, apoyada por el Consejo, admite que no existen estadísticas concretas que permitan determinar la contribución de tales datos a la prevención y detección de la delincuencia y el terrorismo así como a su investigación y enjuiciamiento. No obstante, señala que el carácter indispensable de la utilización de los datos del PNR se ve corroborado por la información procedente de terceros países y Estados miembros que utilizan ya esos datos con fines represivos. Destaca que la exposición de motivos de la propuesta de Directiva del Parlamento Europeo y del Consejo, de 2 de febrero de 2011, relativa a la utilización de datos del registro de nombres de los pasajeros para la prevención, detección, investigación y enjuiciamiento de delitos terroristas y delitos graves [COM(2011) 32 final], expone a ese respecto que la experiencia adquirida en determinados países muestra que la utilización de los datos del PNR ha permitido realizar progresos fundamentales en la lucha contra el tráfico de drogas, la trata de seres humanos y el terrorismo, y conocer mejor la composición y el funcionamiento de las redes terroristas y otras redes delictivas.

56

Además, la Comisión señala que las autoridades canadienses facilitaron información que demostraba que los datos del PNR contribuyeron de forma decisiva a la identificación de potenciales sospechosos de actos de terrorismo u otros delitos graves de carácter transnacional. Por ejemplo, de los 28 millones de pasajeros aéreos que tomaron un vuelo entre la Unión Europea y Canadá durante el período comprendido entre abril de 2014 y marzo de 2015, esos datos permitieron controlar a 178 personas y aprehender productos estupefacientes en 71 casos y material pedopornográfico en dos casos. Dichos datos permitieron asimismo iniciar o proseguir investigaciones relacionadas con el terrorismo en 169 casos. Por último, añade que, según se desprende de la Comunicación de la Comisión de 21 de septiembre de 2010, sobre el enfoque global de las transferencias de datos de los registros de nombres de los pasajeros (PNR) a los terceros países [COM(2010) 492 final; en lo sucesivo, «Comunicación COM(2010) 492»], la Unión tiene la obligación «respecto de sí misma y los terceros países de cooperar con éstos en la lucha contra [las amenazas terroristas y los delitos graves de carácter transnacional]».

57

El Gobierno estonio, Irlanda, los Gobiernos español, francés y del Reino Unido así como el Consejo y la Comisión opinan, en esencia, que el Acuerdo previsto respeta las exigencias derivadas del principio de proporcionalidad y que el presente asunto se distingue del enjuiciado en la sentencia de 8 de abril de 2014, Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238). Sostienen que el mecanismo previsto por dicho Acuerdo se asemeja más al control sistemático efectuado en las fronteras exteriores y a los controles de seguridad efectuados en los aeropuertos que a una conservación de los datos como la contemplada en la Directiva 2006/24. Además, según ellos, el citado Acuerdo, cuya naturaleza y efectos son claramente más limitados que los de dicha Directiva, contiene, a diferencia de ésta, estrictas normas relativas a los requisitos y límites del acceso a los datos y de su utilización, así como normas relativas a la seguridad de tales datos. Por último, ese mismo Acuerdo contempla la supervisión por parte de una autoridad independiente del cumplimiento de dichas normas, la información a las personas afectadas sobre la transferencia y el tratamiento de sus datos, un derecho de acceso y de rectificación así como recursos administrativos y judiciales con el fin de garantizar los derechos de tales personas.

58

Con respecto a la alegación del Parlamento de que el Acuerdo previsto no supedita la transferencia de los datos del PNR a la existencia de una amenaza para la seguridad pública, los Gobiernos estonio, francés y del Reino Unido así como la Comisión exponen, en lo sustancial, que la utilización de tales datos tiene por objeto identificar a personas hasta entonces desconocidas por los servicios competentes y que sean potencialmente peligrosas para la seguridad, puesto que las personas ya conocidas como tales pueden ser identificadas gracias a la información anticipada sobre pasajeros (API). Añaden que si únicamente se autorizase la transmisión de los datos del PNR relativos a personas ya identificadas como potencialmente peligrosas para la seguridad, no podría lograrse el objetivo de prevención.

59

En cuanto a los límites relativos a la utilización de los datos del PNR, el Consejo y la Comisión sostienen que la remisión al Derecho canadiense que figura en el artículo 3, apartado 3, del Acuerdo previsto no permite concluir que el Acuerdo sea excesivamente vago. Dichas instituciones ponen de manifiesto a este respecto que resulta difícil introducir exclusivamente, en un Acuerdo internacional, conceptos previstos por el Derecho de la Unión. Por lo que respecta al artículo 3, apartado 5, letra b), del Acuerdo, las mencionadas instituciones exponen que esa disposición refleja la obligación impuesta por la Constitución canadiense a todos los poderes públicos canadienses de acatar una resolución de la autoridad judicial dotada de fuerza obligatoria. Además, observan que dicha disposición presupone que el acceso a los datos del PNR sea examinado por la autoridad judicial atendiendo a los criterios de necesidad y proporcionalidad y que se motive en la resolución judicial. Por último, añaden que, en la práctica, las autoridades canadienses no han aplicado nunca la referida disposición desde la entrada en vigor del Acuerdo de 2006.

60

Por lo que respecta a los límites relativos a las autoridades y personas que tienen acceso a los datos del PNR, el Consejo y la Comisión consideran que el hecho de que el Acuerdo previsto no identifique a la autoridad canadiense competente es una cuestión de índole procedimental que no afecta en modo alguno a la observancia, por dicho Acuerdo, del principio de proporcionalidad. Añaden que, en cualquier caso, en junio de 2014, Canadá informó a la Unión de que la autoridad canadiense competente, en el sentido del artículo 2, letra d), de dicho Acuerdo, era la CBSA. Observan que, puesto que según el artículo 16, apartado 2, del Acuerdo previsto, Canadá debe restringir el acceso a los datos del PNR «a un número limitado de funcionarios específicamente autorizados», resulta de ello que únicamente los agentes de la CBSA están habilitados para recibir y tratar dichos datos. Por último, señalan que el artículo 9, apartado 2, letras a) y b), y el artículo 9, apartados 4 y 5, del Acuerdo contienen garantías adicionales.

61

En cuanto al hecho de que el Acuerdo previsto no supedite el acceso a los datos del PNR a un control previo ejercido por una autoridad judicial o administrativa independiente, Irlanda estima que no es indispensable un control de este tipo habida cuenta de las garantías ya establecidas en los artículos 11 a 14, 16, 18 y 20 de dicho Acuerdo. Los Gobiernos estonio y del Reino Unido consideran que no es posible determinar anticipadamente los criterios correspondientes a los datos del PNR que deban ser tratados, de forma que no puede exigirse sistemáticamente la obtención de una autorización previa. Sostienen que tal autorización sólo podría ser de carácter general, por lo que no aportaría ningún valor añadido.

62

Respecto a la cuestión de la comunicación de los datos del PNR a otras autoridades, la Comisión señala que los artículos 1, 3, 18 y 19 del Acuerdo previsto definen estrictamente las finalidades para las que pueden tratarse estos datos y las condiciones de su divulgación. En cualquier caso, como subraya esta institución, con arreglo al artículo 17 de dicho Acuerdo, cualquier comunicación de datos del PNR debe ser registrada y documentada y debe ser objeto de un control a posteriori por la autoridad independiente.

63

Por lo que atañe al período de conservación de los datos del PNR, los Gobiernos estonio y francés, Irlanda y el Gobierno del Reino Unido sostienen que no excede de lo estrictamente necesario dentro del contexto global del Acuerdo previsto. Observan que, dada la complejidad y la dificultad de las investigaciones relacionadas con los delitos de terrorismo y otros delitos graves de carácter transnacional, puede transcurrir cierto lapso de tiempo entre el viaje efectuado por un pasajero relacionado con tales delitos y el momento en que las autoridades represivas necesiten acceder a los datos del PNR para detectar, investigar y enjuiciar los hechos. La conclusión de los procedimientos penales podría incluso tener lugar más de cinco años después de la transmisión de los datos del PNR. Además, señalan que debe tenerse en cuenta lo dispuesto en el artículo 16 del Acuerdo previsto, que impone estrictos procedimientos en cuanto al enmascaramiento y desenmascaramiento de los datos del PNR con el fin de ofrecer una mayor protección de los datos de carácter personal, y en el artículo 8, apartado 5, del mismo Acuerdo, que prevé un régimen especial para los datos sensibles.

64

El Consejo y la Comisión añaden que el período de conservación de los datos del PNR debe determinarse, de conformidad con el artículo 6 de la Directiva 95/46, en función del carácter necesario de dichos datos desde la perspectiva de la realización de las finalidades perseguidas por su recogida, de forma que la proporcionalidad de un determinado período de conservación no puede apreciarse en abstracto. Dichas instituciones subrayan que el período de conservación de cinco años establecido en el Acuerdo previsto fue considerado por las Partes del propio Acuerdo como estrictamente necesario para alcanzar los objetivos perseguidos por éste. Añaden que, en cambio, un período de tres años y medio, como el previsto en el Acuerdo de 2006, pudo haber impedido, según Canadá, que los datos del PNR fuesen tratados de forma efectiva para detectar las situaciones que presentaban un elevado riesgo de terrorismo o de delincuencia grave de carácter transnacional, puesto que las investigaciones requieren tiempo. Además, recuerdan que en su artículo 16, apartado 3, el Acuerdo previsto contempla una primera despersonalización de los datos del PNR 30 días después de su recepción y una despersonalización adicional después de dos años.

65

En cuanto al control del cumplimiento de las normas sobre protección de datos personales por una autoridad independiente, exigido en el artículo 8, apartado 3, de la Carta y en el artículo 16 TFUE, apartado 2, el Consejo y la Comisión consideran que el hecho de que el Acuerdo previsto no identifique a la autoridad canadiense competente no cuestiona la idoneidad de las medidas que haya de adoptar Canadá. Dichas instituciones añaden que la identidad de las autoridades competentes a que se refieren los artículos 10 y 14 del Acuerdo previsto fue comunicada a la Comisión.

66

En cuanto al respeto de la jurisprudencia del Tribunal de Justicia resultante, entre otras, de la sentencia de 9 de marzo de 2010, Comisión/Alemania (C‑518/07, EU:C:2010:125), apartado 30, según la cual una autoridad de control debe gozar de una independencia que le permita ejercer sus funciones sin estar sometida a ninguna influencia externa, la Comisión pone de manifiesto que el Commissaire canadien à la protection de la vie privée (Comisario canadiense para la protección de la vida privada) es una autoridad independiente tanto desde el punto de vista institucional como desde el punto de vista funcional. La Comisión añade que, habida cuenta de que la normativa canadiense no establece un derecho de acceso para los extranjeros que no permanezcan en Canadá, hubo que contemplar, en los artículos 10 y 14 del Acuerdo previsto, la institución de una «autoridad administrativa» para garantizar que todas las personas potencialmente afectadas pudiesen ejercitar sus derechos, incluido el derecho de acceso.

67

Con carácter preliminar, procede recordar que, según jurisprudencia reiterada del Tribunal de Justicia, las disposiciones de un Acuerdo internacional celebrado por la Unión, con arreglo a los artículos 217 TFUE y 218 TFUE, forman parte integrante del ordenamiento jurídico de la Unión a partir de su entrada en vigor [véanse, en este sentido, las sentencias de 30 de abril de 1974, Haegeman, 181/73, EU:C:1974:41, apartado 5, y de 11 de marzo de 2015, Oberto y O’Leary, C‑464/13 y C‑465/13, EU:C:2015:163, apartado 29, así como el dictamen 2/13 (Adhesión de la Unión al CEDH), de 18 de diciembre de 2014, EU:C:2014:2454, apartado 180]. Por lo tanto, las disposiciones de dicho Acuerdo deben ser plenamente compatibles con los Tratados y con los principios constitucionales que se derivan de ellos.

68

A tenor del artículo 218 TFUE, apartado 11, un Estado miembro, el Parlamento, el Consejo o la Comisión podrán solicitar el dictamen del Tribunal de Justicia sobre la compatibilidad con los Tratados de cualquier Acuerdo que se prevea celebrar.

69

Con arreglo a la jurisprudencia reiterada del Tribunal de Justicia, esta disposición tiene por objeto evitar las complicaciones a que daría lugar la impugnación judicial de la compatibilidad con los Tratados de los Acuerdos internacionales que obligan a la Unión. En efecto, una resolución judicial que declarara en su caso, tras la conclusión de un Acuerdo internacional que obligara a la Unión, que tal Acuerdo, a la vista de su contenido o del procedimiento seguido para su celebración, es incompatible con las disposiciones del Tratado no dejaría de provocar, no sólo en el plano interno de la Unión, sino también en el de las relaciones internacionales, serias dificultades y podría perjudicar a todas las partes interesadas, incluidos los terceros Estados [dictamen 2/13 (Adhesión de la Unión al CEDH), de 18 de diciembre de 2014, EU:C:2014:2454, apartados 145 y 146 y jurisprudencia citada].

70

De este modo, debe poder examinarse en el marco del procedimiento previsto en el artículo 218 TFUE, apartado 11, cualquier cuestión que pueda suscitar dudas sobre la validez material o formal del Acuerdo a la luz de los Tratados. A ese respecto, el juicio sobre la compatibilidad de un Acuerdo con los Tratados puede depender no sólo de disposiciones que se refieran a la competencia, al procedimiento o a la organización institucional de la Unión, sino también de disposiciones de Derecho material [véase en este sentido, en relación con el artículo 300 CE, apartado 6, el dictamen 1/08 (Acuerdos modificativos de las listas de compromisos específicos en el ámbito del AGCS), de 30 de noviembre de 2009, EU:C:2009:739, apartado 108 y jurisprudencia citada]. Este es el caso de una cuestión relativa a la compatibilidad de un Acuerdo internacional con el artículo 6 TUE, apartado 1, párrafo primero, y, por consiguiente, con las garantías consagradas por la Carta, puesto que ésta tiene el mismo valor jurídico que los Tratados.

71

Por lo que respecta a la cuestión relativa a la base jurídica adecuada de la Decisión del Consejo relativa a la celebración del Acuerdo previsto, procede recordar que la elección de la base jurídica adecuada reviste una importancia de naturaleza constitucional, toda vez que, dado que la Unión sólo dispone de competencias de atribución, debe engarzar los actos que adopta en las disposiciones del Tratado FUE que la habilitan efectivamente para ello (véase, en este sentido, la sentencia de 1 de octubre de 2009, Comisión/Consejo, C‑370/07, EU:C:2009:590, apartado 47).

72

Así pues, el recurso a una base jurídica errónea puede invalidar el propio acto de celebración y, por consiguiente, viciar el consentimiento de la Unión en obligarse por el Acuerdo suscrito.

73

La alegación del Gobierno francés y del Consejo, según la cual el posible error en la elección de la base jurídica carecería en este caso de consecuencias sobre la competencia de la Unión para celebrar el Acuerdo previsto, sobre el reparto de competencias entre la Unión y los Estados miembros a esos efectos, o sobre el procedimiento a seguir para su adopción, no implica la inadmisibilidad de la segunda cuestión suscitada por la presente solicitud de dictamen.

74

En efecto, habida cuenta de la función, recordada en el apartado 69 del presente dictamen, del procedimiento establecido en el artículo 218 TFUE, apartado 11, consistente en evitar, mediante el pronunciamiento previo del Tribunal de Justicia, posibles complicaciones en el ámbito de la Unión y en el ámbito internacional derivadas de la invalidación del acto de celebración de un Acuerdo internacional, el mero riesgo de tal invalidación basta para que se admita el recurso al Tribunal de Justicia. Además, la cuestión de qué consecuencias efectivas tendría, en un caso determinado, el error en la elección de la base o las bases jurídicas sobre la validez del acto de celebración de un Acuerdo internacional, como la Decisión del Consejo relativa a la celebración del Acuerdo previsto, está indisolublemente unida al examen del fondo de la cuestión relativa a la base jurídica adecuada y no puede, por tanto, apreciarse en el marco de la admisibilidad de una solicitud de dictamen.

75

De lo anterior se desprende que la presente solicitud de dictamen es admisible en su totalidad.

76

Según reiterada jurisprudencia del Tribunal de Justicia, la elección de la base jurídica de un acto de la Unión, incluso el adoptado a fin de concluir un Acuerdo internacional, debe fundarse en elementos objetivos susceptibles de control judicial, entre los que figuran la finalidad y el contenido de dicho acto (sentencias de 6 de mayo de 2014, Comisión/Parlamento y Consejo, C‑43/12, EU:C:2014:298, apartado 29, y de 14 de junio de 2016, Parlamento/Consejo, C‑263/14, EU:C:2016:435, apartado 43 y jurisprudencia citada).

77

Si el examen de un acto de la Unión muestra que éste persigue un doble objetivo o que tiene un componente doble y si uno de estos objetivos o componentes puede calificarse de principal, mientras que el otro sólo es accesorio, el acto debe fundarse en una sola base jurídica, a saber, aquella que exige el objetivo o componente principal o preponderante. Excepcionalmente, si se demuestra, en cambio, que el acto persigue a la vez varios objetivos o tiene varios componentes vinculados de manera inseparable, sin que uno de ellos sea accesorio del otro de forma que son aplicables diferentes disposiciones del Tratado, tal medida debe basarse en las distintas bases jurídicas pertinentes (sentencia de 14 de junio de 2016, Parlamento/Consejo, C‑263/14, EU:C:2016:435, apartado 44 y jurisprudencia citada).

78

Sin embargo, no cabe recurrir a una doble base jurídica cuando los procedimientos previstos para una y otra base jurídica sean incompatibles (sentencia de 6 de noviembre de 2008, Parlamento/Consejo, C‑155/07, EU:C:2008:605, apartado 37 y jurisprudencia citada).

79

La base jurídica adecuada para la Decisión del Consejo relativa a la celebración del Acuerdo previsto debe determinarse a la luz de estas consideraciones.

80

Las Partes contratantes pretenden, como se desprende del párrafo tercero del Preámbulo del Acuerdo previsto, mejorar y alentar su cooperación mediante dicho Acuerdo. A tal efecto, el artículo 1 del mismo, titulado «Finalidad del Acuerdo», declara que «para garantizar la protección y seguridad del público en general, las Partes estipulan en el presente Acuerdo las condiciones de transferencia y utilización de los datos del [PNR] y la manera en que deben protegerse esos datos».

81

Por lo que respecta al objetivo consistente en garantizar la protección y seguridad del público en general, enunciado en el citado artículo 1, el párrafo primero del Preámbulo del Acuerdo previsto señala que las Partes actúan con el deseo de prevenir, combatir, reprimir y eliminar el terrorismo y los delitos relacionados con el terrorismo, así como otros delitos graves de carácter transnacional. Con esta perspectiva, dicho Preámbulo destaca, en sus párrafos segundo y cuarto, la importancia, por una parte, de la lucha contra el terrorismo, los delitos relacionados con el terrorismo y otros delitos graves de carácter transnacional, y, por otra parte, del uso de los datos del PNR y del intercambio de información a los fines de esa lucha. Basándose en estas constataciones, el párrafo quinto del Preámbulo señala que deben establecerse normas que regulen la transferencia de datos del PNR por los transportistas aéreos a Canadá para salvaguardar la seguridad pública y a efectos de aplicación de la ley. Por último, el párrafo decimosexto de ese mismo Preámbulo recalca la importancia de la puesta en común de datos del PNR y de los datos analíticos pertinentes y adecuados obtenidos del PNR por Canadá con las autoridades judiciales y policiales competentes de los Estados miembros de la Unión, de Europol y de Eurojust, como medio para fomentar la cooperación policial y judicial.

82

Por lo tanto, ha de considerarse que el Acuerdo previsto persigue el objetivo de garantizar la seguridad pública mediante la transferencia de los datos del PNR a Canadá y su utilización en el marco de la lucha contra los delitos de terrorismo y otros delitos graves de carácter transnacional, inclusive mediante el intercambio de dichos datos con las autoridades competentes de los Estados miembros de la Unión así como con Europol y Eurojust.

83

En cuanto al segundo objetivo enunciado en el artículo 1 del Acuerdo previsto, a saber, el establecimiento de los medios de protección de los datos del PNR, es de señalar, por una parte, que los párrafos segundo, sexto y séptimo del Preámbulo de dicho Acuerdo subrayan la necesidad de respetar los derechos fundamentales, de conformidad con los compromisos de la Unión en virtud del artículo 6 TUE, en particular el derecho a la intimidad y el derecho a la protección de los datos personales, garantizados respectivamente en los artículos 7 y 8 de la Carta, recordando que las Partes contratantes comparten valores comunes por lo que respecta a la protección de datos y de la intimidad.

84

Por otra parte, según se desprende de las disposiciones del artículo 5 del Acuerdo previsto, se considera que las normas que la autoridad canadiense competente ha de respetar al tratar datos del PNR garantizan un nivel de protección adecuado, exigido por el Derecho de la Unión, en materia de protección de datos personales, de modo que dicho Acuerdo persigue asimismo el objetivo de garantizar tal nivel de protección de los mencionados datos.

85

A la luz de estas consideraciones, el artículo 1 del Acuerdo previsto enuncia expresamente los dos objetivos perseguidos por dicho Acuerdo.

86

En cuanto al contenido del Acuerdo previsto, procede señalar que su primera parte, titulada «Disposiciones generales» (artículos 1 a 6), incluye el artículo 5, que establece que las autoridades canadienses competentes, sin perjuicio de lo dispuesto en dicho Acuerdo, deberán garantizar un nivel de protección adecuado, con arreglo a la legislación de la Unión sobre protección de datos, al tratamiento y la utilización de los datos del PNR, y que se considerará que las compañías que han suministrado dichos datos a Canadá en cumplimiento de ese mismo Acuerdo han cumplido los requisitos legales aplicables en la Unión para la transmisión de tales datos de la Unión a Canadá. Esta primera parte también incluye el artículo 4 del Acuerdo previsto, cuyo apartado 1 dispone que la Unión velará por que no se impida a los transportistas aéreos transferir datos del PNR a la autoridad canadiense competente, que, en virtud del artículo 2, letra d), del propio Acuerdo, es responsable de la recepción y el tratamiento de esos datos. Por otra parte, el artículo 3 del Acuerdo, que establece las finalidades que justifican el tratamiento de los datos del PNR por las autoridades canadienses competentes, estipula, en su apartado 1, que dicho tratamiento se autoriza con el propósito exclusivo de prevenir, detectar, investigar y enjuiciar los delitos de terrorismo o los delitos graves de carácter transnacional, contemplando al mismo tiempo, en sus apartados 4 y 5, excepciones bien delimitadas a dicha regla. Por último, según el artículo 6 del Acuerdo, los datos del PNR así como la información analítica adecuada y pertinente que contenga tales datos se comunicará o se hará accesible a las autoridades judiciales o policiales competentes de los Estados miembros, a Europol y a Eurojust, de conformidad con otros Acuerdos y compromisos en materia de aplicación de las leyes o de intercambio de información.

87

En su segunda parte, titulada «Garantías aplicables al tratamiento de los datos del PNR» (artículos 7 a 21), el Acuerdo previsto enuncia normas y principios que regulan y delimitan la utilización de los datos del PNR en Canadá por la autoridad canadiense competente así como su divulgación a otras autoridades públicas de dicho país tercero y a autoridades públicas de otros países terceros. Por ejemplo, el Acuerdo previsto contiene, en su artículo 7, una cláusula de no discriminación y, en su artículo 8, una norma específica relativa a los datos sensibles acompañada de condiciones restrictivas en cuanto a la utilización de tales datos. Esta segunda parte establece asimismo, en los artículos 9 y 10, respectivamente, normas relativas a la seguridad y la integridad de los datos del PNR, por una parte, y a la supervisión de la observancia de las garantías establecidas en dicho Acuerdo, por otra. En cuanto a los artículos 11 a 14 de ese mismo Acuerdo, enuncian una norma de transparencia y fijan los derechos de las personas cuyos datos del PNR se vean afectados, como el derecho de acceso a los datos, el derecho de rectificación y el derecho de recurso.

88

También en esta segunda parte, el Acuerdo previsto exige, en su artículo 15, que Canadá se abstenga de tomar decisiones que afecten gravemente a un pasajero únicamente en razón del tratamiento automático de los datos del PNR y establece, en su artículo 16, normas relativas, entre otros extremos, al período de conservación de dichos datos así como a su enmascaramiento y desenmascaramiento. Esta segunda parte establece, asimismo, en sus artículos 18 y 19, normas relativas a la divulgación de los referidos datos por la autoridad canadiense competente y enuncia, en sus artículos 20 y 21, normas que regulan el método y la frecuencia de la transmisión de esos mismos datos.

89

Se desprende de las diversas constataciones relativas al contenido del Acuerdo previsto que éste trata fundamentalmente sobre el establecimiento de un sistema compuesto por un conjunto de normas destinadas a proteger los datos personales y que Canadá se compromete a respetar al tratar los datos del PNR, como declara el párrafo decimoquinto del Preámbulo de dicho Acuerdo.

90

Habida cuenta a la vez de sus finalidades y de su contenido, el Acuerdo previsto posee por tanto un doble componente, uno relativo a la necesidad de garantizar la seguridad pública y el otro relativo a la protección de los datos del PNR.

91

En cuanto a la cuestión de cuál de esos dos componentes es preponderante, es preciso señalar que, ciertamente, la transferencia de los datos del PNR por los transportistas aéreos a Canadá y la utilización de esos datos por las autoridades canadienses competentes únicamente se justifican, como tales, por el objetivo consistente en garantizar la seguridad pública en ese país tercero y en la Unión Europea.

92

No obstante, el contenido del Acuerdo previsto consiste en gran medida en normas detalladas que garanticen que la transferencia de los datos del PNR a Canadá para su utilización con fines de protección y seguridad públicas se lleve a cabo en condiciones compatibles con la protección de los datos de carácter personal.

93

A este respecto, procede señalar que la transferencia de datos personales, como los datos del PNR, de la Unión a un país tercero únicamente puede verificarse legalmente si en ese país existen normas que garanticen un nivel de protección de los derechos y libertades fundamentales sustancialmente equivalente al garantizado en la Unión (véase, en ese sentido, la sentencia de 6 de octubre de 2015, Schrems, C‑362/14, EU:C:2015:650, apartados 68 y 74).

94

De lo anterior se desprende que los dos componentes del Acuerdo previsto están indisolublemente unidos. Debe considerarse, por lo tanto, que ambos revisten un carácter esencial.

95

Habida cuenta de las consideraciones anteriores, la Decisión relativa a la celebración del Acuerdo previsto se vincula, en primer lugar, directamente al objetivo perseguido por el artículo 16 TFUE, apartado 2.

96

En efecto, esta disposición constituye, sin perjuicio del artículo 39 TUE, una base jurídica adecuada cuando la protección de los datos personales es una de las finalidades o uno de los componentes esenciales de las normas adoptadas por el legislador de la Unión, incluso de aquellas que se insertan en el marco de la adopción de medidas en el ámbito de las disposiciones del Tratado FUE relativas a la cooperación judicial en materia penal y a la cooperación policial, como lo confirman el artículo 6 bis del Protocolo n.o 21 y el artículo 2 bis del Protocolo n.o 22, así como la Declaración mencionada en el apartado 32 del presente dictamen.

97

De ello se desprende que la Decisión del Consejo relativa a la celebración del Acuerdo previsto debe basarse en el artículo 16 TFUE.

98

En segundo lugar, dicha Decisión debe basarse asimismo en el artículo 87 TFUE, apartado 2, letra a). En efecto, esta disposición establece que, a los efectos del artículo 87 TFUE, apartado 1, según el cual «la Unión desarrollará una cooperación policial en la que participen todas las autoridades competentes de los Estados miembros», el Parlamento y el Consejo podrán adoptar medidas relativas a «la recogida, almacenamiento, tratamiento, análisis e intercambio de información pertinente».

99

Pues bien, a este respecto, cabe señalar, por una parte, que la información pertinente, en el sentido del artículo 87 TFUE, apartado 2, letra a), en el ámbito de la prevención, detección e investigación de infracciones penales, puede incluir datos personales y, por otra parte, que los términos «tratamiento» e «intercambio» de tales datos comprenden a la vez su transferencia a autoridades de los Estados miembros competentes en la materia y su utilización por dichas autoridades. Por lo tanto, las medidas relativas a la transferencia de datos de carácter personal a autoridades competentes en el ámbito de la prevención, detección e investigación de infracciones penales y al tratamiento de tales datos por esas mismas autoridades pertenecen al ámbito de la cooperación policial contemplada en el artículo 87 TFUE, apartado 2, letra a), y pueden basarse en esa disposición.

100

En el caso de autos, el Acuerdo previsto establece, entre otras, normas que regulan tanto la transferencia de datos del PNR a la autoridad canadiense competente como la utilización de tales datos por esa autoridad. Dicha autoridad es, con arreglo al artículo 2, letra d), en relación con el artículo 3, apartado 1, del Acuerdo, competente para tratar los datos del PNR con el fin de prevenir, detectar, investigar y enjuiciar los delitos de terrorismo o los delitos graves de carácter transnacional. Además, el artículo 6 del citado Acuerdo dispone, por una parte, que Canadá garantizará, tan pronto como sea posible, la disponibilidad de la información analítica adecuada y pertinente que contenga datos del PNR para Europol y Eurojust, o para la policía o las autoridades de los Estados miembros. Por otra parte, dicho artículo estipula que, a solicitud de esas agencias y autoridades, Canadá comunicará los datos del PNR o la información analítica adecuada y pertinente obtenida de ellos que sea necesaria en un caso específico para prevenir, detectar, investigar o enjuiciar en la Unión un delito terrorista o un delito grave de carácter transnacional. Como señala el Abogado General en los puntos 105 y 106 de sus conclusiones, el Acuerdo previsto versa por tanto sobre el tratamiento e intercambio de información pertinente en el sentido del artículo 87 TFUE, apartado 2, letra a), y está vinculado asimismo, como se desprende en particular del apartado 80 del presente dictamen, con la finalidad del artículo 87 TFUE, apartado 1.

101

En tales circunstancias, el hecho de que los datos del PNR sean inicialmente recogidos por transportistas aéreos con fines comerciales y no por una autoridad competente en el ámbito de la prevención, la detección o la investigación de infracciones penales no es óbice, contrariamente a lo que sostiene el Parlamento, para que el artículo 87 TFUE, apartado 2, letra a), constituya asimismo una base jurídica adecuada para la Decisión del Consejo relativa a la celebración del Acuerdo previsto.

102

En cambio, dicha Decisión no puede basarse en el artículo 82 TFUE, apartado 1, párrafo segundo, letra d), que prevé la posibilidad de que el Parlamento y el Consejo adopten medidas tendentes a «facilitar la cooperación entre las autoridades judiciales o equivalentes de los Estados miembros en el marco del procedimiento penal y de la ejecución de resoluciones».

103

En efecto, como ha señalado el Abogado General en el punto 108 de sus conclusiones, ninguna de las disposiciones del Acuerdo previsto tiene por objeto facilitar tal cooperación. Por lo que respecta a la autoridad canadiense competente, ésta no es una autoridad judicial ni una autoridad equivalente.

104

Así pues, habida cuenta de la jurisprudencia citada en el apartado 77 del presente dictamen, la Decisión del Consejo relativa a la celebración del Acuerdo previsto debería basarse tanto en el artículo 16 TFUE, apartado 2, como en el artículo 87 TFUE, apartado 2, letra a), a menos que tal combinación de bases jurídicas esté excluida con arreglo a la jurisprudencia recordada en el apartado 78 del presente dictamen.

105

Con carácter preliminar, ha de recordarse que, en el marco del procedimiento de celebración de un Acuerdo internacional con arreglo al artículo 218 TFUE, son las bases jurídicas materiales de la decisión por la que se celebra ese Acuerdo las que determinan el tipo de procedimiento aplicable en virtud del artículo 218 TFUE, apartado 6 (sentencia de 24 de junio de 2014, Parlamento/Consejo, C‑658/11, EU:C:2014:2025, apartado 58).

106

Las dos bases jurídicas materiales aplicables en el caso de autos, a saber, el artículo 16 TFUE, apartado 2, y el artículo 87 TFUE, apartado 2, letra a), prevén el recurso al procedimiento legislativo ordinario, que implica el voto por mayoría cualificada en el Consejo y la plena participación del Parlamento. Así pues, el recurso conjunto a una y otra de estas disposiciones no implica, en principio, procedimientos de aprobación diferentes.

107

No obstante, el Consejo expone, en esencia, que como consecuencia de las disposiciones contenidas en los Protocolos nos 21 y 22, las reglas de voto en el Consejo difieren en función de que una decisión de celebración de un Acuerdo internacional se base en el artículo 16 TFUE, apartado 2, o en el artículo 87 TFUE, apartado 2, letra a).

108

A este respecto, procede señalar que, ciertamente, el Tribunal de Justicia ya ha declarado que los Protocolos nos 21 y 22 no pueden tener influencia de ningún tipo en la determinación de la base jurídica adecuada para la adopción de la Decisión de que se trate (véase, en este sentido, la sentencia de 22 de octubre de 2013, Comisión/Consejo, C‑137/12, EU:C:2013:675, apartado 73).

109

No obstante, en la medida en que una diferencia de las reglas de voto en el Consejo pueda suponer la incompatibilidad de las bases jurídicas en cuestión (véanse, en este sentido, las sentencias de 10 de enero de 2006, Comisión/Parlamento y Consejo, C‑178/03, EU:C:2006:4, apartado 58, y de 19 de julio de 2012, Parlamento/Consejo, C‑130/10, EU:C:2012:472, apartados 47 y 48), es preciso verificar qué consecuencias tienen dichos Protocolos sobre las reglas de voto en el Consejo en caso de recurso conjunto al artículo 16 TFUE, apartado 2, y al artículo 87 TFUE, apartado 2, letra a), para fundamentar la Decisión del Consejo relativa a la celebración del Acuerdo previsto.

110

Por lo que respecta al Protocolo n.o 21, se desprende del considerando 5 del proyecto de Decisión del Consejo sobre la celebración del Acuerdo previsto que Irlanda y el Reino Unido notificaron su deseo de participar en la adopción de esta Decisión. Por lo tanto, como ha señalado el Abogado General en el punto 128 de sus conclusiones, las disposiciones de dicho Protocolo no tienen repercusión alguna sobre las reglas de voto en el Consejo en caso de recurso conjunto al artículo 16 TFUE, apartado 2, y al artículo 87 TFUE, apartado 2, letra a), para fundamentar la referida Decisión.

111

En lo que atañe al Protocolo n.o 22, éste tiene por objeto, como se desprende de los considerandos tercero a quinto de su Preámbulo y como ha señalado el Abogado General en el punto 132 de sus conclusiones, establecer un marco jurídico que permita a los Estados miembros proseguir el desarrollo de su cooperación en el ámbito del espacio de libertad, seguridad y justicia mediante la adopción, sin participación del Reino de Dinamarca, de medidas que no vinculen a dicho Estado miembro, ofreciéndole al mismo tiempo la posibilidad de participar en la adopción de medidas en ese ámbito y de quedar vinculado por ellas en las condiciones previstas en el artículo 8 del mencionado Protocolo.

112

A tal efecto, el artículo 1, párrafo primero, del Protocolo n.o 22 dispone que el Reino de Dinamarca no participará en la adopción por el Consejo de medidas propuestas en virtud del título V de la tercera parte del Tratado FUE. Además, el artículo 2 del mismo Protocolo establece que tales medidas no vincularán a Dinamarca. Este artículo 2, con arreglo al artículo 2 bis del propio Protocolo, «se aplicará igualmente a las normas establecidas sobre la base del artículo 16 [TFUE] que se refieran al tratamiento de datos de carácter personal por los Estados miembros en el ejercicio de las actividades comprendidas en el ámbito de aplicación de los capítulos 4 o 5 del título V de la tercera parte de dicho Tratado», a saber, las relacionadas con la cooperación policial y judicial en materia penal.

113

En el caso de autos, puesto que la Decisión relativa a la celebración del Acuerdo previsto debe basarse a la vez en el artículo 16 TFUE y en el artículo 87 TFUE y está comprendida por tanto en el ámbito de la tercera parte, título V, capítulo 5, del Tratado FUE en la medida en que debe basarse en el citado artículo 87 TFUE, el Reino de Dinamarca no estará vinculado, en virtud de los artículos 2 y 2 bis del Protocolo n.o 22, ni por las disposiciones de la citada Decisión ni, en consecuencia, por el Acuerdo previsto. Además, el Reino de Dinamarca no participará, con arreglo al artículo 1 de ese Protocolo, en la adopción de dicha Decisión.

114

Contrariamente a lo que parece sugerir el Consejo, no desmiente esta conclusión la circunstancia de que el artículo 2 bis del Protocolo n.o 22 se limite a remitir al artículo 2 del propio Protocolo sin excluir explícitamente, sin embargo, la participación del Reino de Dinamarca en la adopción de normas basadas en el artículo 16 TFUE y contempladas en él.

115

A este respecto, se desprende de una lectura sistemática de dicho Protocolo que el artículo 2 del mismo no puede interpretarse y aplicarse independientemente de su artículo 1. En efecto, la norma establecida en el citado artículo 2, según la cual las medidas, disposiciones y decisiones a que éste se refiere no vincularán al Reino de Dinamarca, está intrínsecamente ligada a la establecida en el artículo 1, según la cual dicho Estado miembro no participará en la adopción de medidas en virtud del título V de la tercera parte del Tratado FUE, de forma que ninguna de estas dos normas puede comprenderse sin la otra. En tales circunstancias, la remisión hecha por el artículo 2 bis al artículo 2 del Protocolo n.o 22 debe necesariamente interpretarse en el sentido de que también se refiere al artículo 1 de éste.

116

Además, como ha señalado el Abogado General en el punto 132 de sus conclusiones, sería contrario al objetivo del Protocolo n.o 22, al que se ha hecho referencia en el apartado 111 del presente dictamen, permitir al Reino de Dinamarca participar en la adopción de un acto de la Unión que tenga como base jurídica tanto el artículo 16 TFUE como alguna de las disposiciones del Tratado FUE relativas a la cooperación policial y judicial en materia penal, sin quedar vinculado por dicho acto.

117

Por lo tanto, el Protocolo n.o 22 no puede llevar aparejadas, en este caso, reglas de voto en el Consejo diferentes en caso de que se recurra conjuntamente a los artículos 16 TFUE, apartado 2, y 87 TFUE, apartado 2, letra a).

118

En consecuencia, procede responder a la segunda pregunta de la presente solicitud de dictamen que la Decisión del Consejo relativa a la celebración del Acuerdo previsto debe basarse conjuntamente en el artículo 16 TFUE, apartado 2, y en el artículo 87 TFUE, apartado 2, letra a).

119

Como quiera que la cuestión relativa a la compatibilidad del Acuerdo previsto con las disposiciones del Tratado FUE y de la Carta se refiere al artículo 16 TFUE y a los artículos 7 y 8 de la Carta, y a la luz de las apreciaciones formuladas por el Parlamento en su solicitud de dictamen, debe considerarse que dicha institución solicita el dictamen del Tribunal de Justicia sobre la compatibilidad del Acuerdo previsto, en particular, con el derecho al respeto de la vida privada y el derecho a la protección de los datos de carácter personal.

120

Siempre que las apreciaciones que se formulan a continuación traten sobre la compatibilidad del Acuerdo previsto con el derecho a la protección de los datos personales, consagrado tanto en el artículo 16 TFUE, apartado 1, como en el artículo 8 de la Carta, el Tribunal de Justicia se referirá exclusivamente a la segunda disposición. En efecto, si bien es cierto que ambas disposiciones declaran que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan, únicamente el artículo 8 de la Carta prescribe de manera más específica, en su apartado 2, las condiciones en que tales datos pueden ser objeto de tratamiento.

121

Con arreglo a la enumeración que figura en el anexo del Acuerdo previsto, los datos del PNR que éste contempla incluyen, en particular, además del nombre del pasajero o pasajeros aéreos, información necesaria para efectuar la reserva, como las fechas de viaje previstas, el itinerario del viaje, la información sobre el billete, los grupos de personas registrados con el mismo número de reserva, los datos del pasajero o de los pasajeros, datos de pago y facturación, la información relativa al equipaje y observaciones generales relativas a los pasajeros.

122

Toda vez que los datos del PNR incluyen, pues, información sobre personas físicas identificadas, a saber, los pasajeros aéreos que toman vuelos entre la Unión y Canadá, los diversos tratamientos de que dichos datos pueden ser objeto según el Acuerdo previsto, esto es, su transferencia desde la Unión a Canadá, el acceso a ellos para su utilización, o incluso su conservación, afectan al derecho fundamental al respeto de la vida privada, garantizado en el artículo 7 de la Carta. En efecto, este derecho se refiere a toda información relativa a una persona física identificada o identificable (véanse, en este sentido, las sentencias de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert, C‑92/09 y C‑93/09, EU:C:2010:662, apartado 52; de 24 de noviembre de 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 y C‑469/10, EU:C:2011:777, apartado 42, y de 17 de octubre de 2013, Schwarz, C‑291/12, EU:C:2013:670, apartado 26).

123

Además, el artículo 8 de la Carta es también aplicable a los tratamientos de los datos del PNR contemplados por el Acuerdo previsto, porque constituyen tratamientos de datos de carácter personal en el sentido de dicho artículo y, en consecuencia, deben cumplir necesariamente los requisitos de protección de los datos previstos en él (véanse, en este sentido, las sentencias de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert, C‑92/09 y C‑93/09, EU:C:2010:662, apartado 49; de 5 de mayo de 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, apartado 52, y de 8 de abril de 2014, Digital Rights Ireland y otros, C‑293/12 y C‑594/12, EU:C:2014:238, apartado 29).

124

Como ya ha declarado el Tribunal de Justicia, la comunicación de datos de carácter personal a un tercero, como una autoridad pública, constituye una injerencia en el derecho fundamental consagrado en el artículo 7 de la Carta, cualquiera que sea la utilización posterior de la información comunicada. Lo mismo puede decirse de la conservación de los datos de carácter personal y del acceso a esos datos con vistas a su utilización por parte de las autoridades públicas. A este respecto, carece de relevancia que la información relativa a la vida privada de que se trate tenga o no carácter sensible o que los interesados hayan sufrido o no inconvenientes en razón de tal injerencia (véanse, en este sentido, las sentencias de 20 de mayo de 2003, Österreichischer Rundfunk y otros, C‑465/00, C‑138/01 y C‑139/01, EU:C:2003:294, apartados 74 y 75; de 8 de abril de 2014, Digital Rights Ireland y otros, C‑293/12 y C‑594/12, EU:C:2014:238, apartados 33 a 35, y de 6 de octubre de 2015, Schrems, C‑362/14, EU:C:2015:650, apartado 87).

125

Así pues, tanto la transferencia de los datos del PNR de la Unión a la autoridad canadiense competente como el marco regulador negociado por la Unión con Canadá sobre los requisitos relativos a la conservación de esos datos, su utilización y sus posibles transferencias posteriores a otras autoridades canadienses, a Europol, a Eurojust, a las autoridades judiciales o policiales de los Estados miembros o a otras autoridades de otros países terceros, que permiten, entre otros, los artículos 3, 4, 6, 8, 12, 15, 16, 18 y 19 del Acuerdo previsto, constituyen injerencias en el derecho garantizado en el artículo 7 de la Carta.

126

Dichas operaciones son asimismo constitutivas de una injerencia en el derecho fundamental a la protección de datos de carácter personal garantizado por el artículo 8 de la Carta, puesto que constituyen tratamientos de datos de carácter personal (véanse, en este sentido, las sentencias de 17 de octubre de 2013, Schwarz, C‑291/12, EU:C:2013:670, apartado 25, y de 8 de abril de 2014, Digital Rights Ireland y otros, C‑293/12 y C‑594/12, EU:C:2014:238, apartado 36).

127

A este respecto, procede señalar, por una parte, que el Acuerdo previsto permite la transferencia sistemática y continua de los datos del PNR de la totalidad de los pasajeros aéreos que tomen vuelos entre la Unión y Canadá.

128

Por otra parte, aun cuando algunos de los datos del PNR, aisladamente considerados, no parezcan poder revelar información importante sobre la vida privada de las personas afectadas, no deja de ser cierto que, conjuntamente considerados, dichos datos pueden revelar, entre otros extremos, un itinerario de viaje completo, hábitos de viaje, relaciones existentes entre dos o varias personas así como información sobre la situación económica de los pasajeros aéreos, sus hábitos alimentarios o su estado de salud, y podrían incluso proporcionar datos sensibles sobre dichos pasajeros, tal como se define en el artículo 2, letra e), del Acuerdo previsto.

129

Las características inherentes al régimen relativo a la transferencia y al tratamiento de los datos del PNR, establecido en el Acuerdo previsto, confirman la realidad de las injerencias autorizadas por dicho Acuerdo.

130

Tales datos deben ser transferidos, en efecto, con arreglo al artículo 21, apartado 1, del Acuerdo previsto, previamente a la salida programada del pasajero aéreo correspondiente y sirven principalmente, como se desprende, en particular, de las observaciones del Consejo, de la Comisión y del SEPD, así como del punto 2.1 de la Comunicación COM(2010) 492, como «instrumento de investigación».

131

Con ese fin, como se deduce del punto 2.2 de dicha Comunicación, y como han confirmado en particular el Parlamento, el Consejo, la Comisión y el SEPD en sus respuestas a las preguntas formuladas por el Tribunal de Justicia, los datos del PNR transferidos están destinados, con arreglo al Acuerdo previsto, a ser analizados de forma sistemática antes de la llegada de la aeronave a Canadá mediante procedimientos automatizados, basados en modelos y criterios preestablecidos. Dichos datos pueden asimismo verificarse automáticamente mediante cotejo con otras bases de datos. Ahora bien, tales tratamientos pueden proporcionar información adicional sobre la vida privada de los pasajeros aéreos.

132

Estos análisis pueden además dar lugar a comprobaciones adicionales en las fronteras respecto de los pasajeros aéreos identificados como potencialmente peligrosos para la seguridad pública y, en su caso, a la adopción de decisiones individuales basadas en estas comprobaciones que tengan efectos perjudiciales para ellos. Además, dichos análisis se efectúan sin que existan razones fundadas en circunstancias individuales que permitan considerar que las personas afectadas podrían presentar un riesgo para la seguridad pública. Por último, dado que, con arreglo al artículo 16, apartado 1, del Acuerdo previsto, el período de conservación de los datos del PNR puede extenderse hasta cinco años, dicho Acuerdo permite disponer de información sobre la vida privada de los pasajeros aéreos durante un período particularmente largo.

133

El artículo 7 de la Carta garantiza el derecho de toda persona al respeto de su vida privada y familiar, de su domicilio y de sus comunicaciones. Además, el artículo 8, apartado 1, de la Carta atribuye expresamente a toda persona el derecho a la protección de los datos de carácter personal que le conciernan.

134

Este derecho a la protección de los datos de carácter personal exige, en concreto, que en caso de transferencia de tales datos desde la Unión a un país tercero, quede garantizada la continuidad del elevado nivel de protección de los derechos y libertades fundamentales conferido por el Derecho de la Unión. Aunque los medios encaminados a garantizar tal nivel de protección puedan ser diferentes de los aplicados en la Unión para garantizar el cumplimiento de las exigencias derivadas del Derecho de la Unión, tales medios deben ser eficaces en la práctica para asegurar una protección sustancialmente equivalente a la garantizada en la Unión (véase, por analogía, la sentencia de 6 de octubre de 2015, Schrems, C‑362/14, EU:C:2015:650, apartados 72 a 74).

135

En este contexto, ha de señalarse asimismo que, según el párrafo cuarto del Preámbulo de la Carta, es necesario «reforzar la protección de los derechos fundamentales a tenor de la evolución de la sociedad, del progreso social y de los avances científicos y tecnológicos».

136

No obstante, los derechos consagrados en los artículos 7 y 8 de la Carta no constituyen prerrogativas absolutas, sino que deben considerarse según su función en la sociedad (véanse, en este sentido, las sentencias de 12 de junio de 2003, Schmidberger, C‑112/00, EU:C:2003:333, apartado 80; de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert, C‑92/09 y C‑93/09, EU:C:2010:662, apartado 48, y de 17 de octubre de 2013, Schwarz, C‑291/12, EU:C:2013:670, apartado 33).

137

A este respecto, debe asimismo ponerse de relieve que, a tenor del artículo 8, apartado 2, de la Carta, los datos de carácter personal deben tratarse «para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley».

138

Además, con arreglo al artículo 52, apartado 1, primera frase, de la Carta, cualquier limitación del ejercicio de los derechos y libertades reconocidos por ésta deberá ser establecida por la ley y respetar su contenido esencial. Según el artículo 52, apartado 1, segunda frase, de la Carta, dentro del respeto del principio de proporcionalidad, sólo podrán introducirse limitaciones a dichos derechos y libertades cuando sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás.

139

Cabe añadir que el requisito de que cualquier limitación del ejercicio de los derechos fundamentales deba ser establecida por ley implica que la base legal que permita la injerencia en dichos derechos debe definir ella misma el alcance de la limitación del ejercicio del derecho de que se trate (véase, en este sentido, la sentencia de 17 de diciembre de 2015, WebMindLicenses, C‑419/14, EU:C:2015:832, apartado 81).

140

En cuanto a la observancia del principio de proporcionalidad, la protección del derecho fundamental al respeto de la vida privada en el ámbito de la Unión exige, con arreglo a la jurisprudencia reiterada del Tribunal de Justicia, que las excepciones a la protección de los datos personales y las limitaciones de esa protección no excedan de lo estrictamente necesario (sentencias de 16 de diciembre de 2008, Satakunnan Markkinapörssi y Satamedia, C‑73/07, EU:C:2008:727, apartado 56; de 8 de abril de 2014, Digital Rights Ireland y otros, C‑293/12 y C‑594/12, EU:C:2014:238, apartados 51 y 52; de 6 de octubre de 2015, Schrems, C‑362/14, EU:C:2015:650, apartado 92, y de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros, C‑203/15 y C‑698/15, EU:C:2016:970, apartados 96 y 103).

141

Para cumplir este requisito, la normativa controvertida que conlleve la injerencia debe establecer reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión e impongan unas exigencias mínimas, de modo que las personas cuyos datos se hayan transferido dispongan de garantías suficientes que permitan proteger de manera eficaz sus datos de carácter personal contra los riesgos de abuso. En particular, dicha normativa deberá indicar en qué circunstancias y con arreglo a qué requisitos puede adoptarse una medida que contemple el tratamiento de tales datos, garantizando así que la injerencia se limite a lo estrictamente necesario. La necesidad de disponer de tales garantías reviste especial importancia cuando los datos personales se someten a un tratamiento automatizado. Estas consideraciones son aplicables en particular cuando está en juego la protección de esa categoría particular de datos personales que son los datos sensibles (véanse, en este sentido, las sentencias de 8 de abril de 2014, Digital Rights Ireland y otros, C‑293/12 y C‑594/12, EU:C:2014:238, apartados 54 y 55, y de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros, C‑203/15 y C‑698/15, EU:C:2016:970, apartados 109 y 117; véase, en este sentido, TEDH, sentencia de 4 de diciembre de 2008, S. y Marper c. Reino Unido, ECLI:CE:ECHR:2008:1204JUD003056204, § 103).

142

Por lo que respecta a la cuestión de si la transferencia de los datos del PNR a Canadá y los posteriores tratamientos de éstos se basan en el «consentimiento» de los pasajeros aéreos o en «otro fundamento legítimo previsto por la ley», en el sentido del artículo 8, apartado 2, de la Carta, debe señalarse que tales tratamientos de los datos del PNR persiguen una finalidad diferente de aquella para la que dichos datos son recogidos por los transportistas aéreos.

143

Por lo tanto, no puede considerarse que los referidos tratamientos estén basados en el consentimiento que prestan los pasajeros aéreos para que los transportistas aéreos recojan esos datos a efectos de la reserva, de modo que requieren, como tales, esos datos, o bien el consentimiento específico de los pasajeros aéreos o bien otro fundamento legítimo previsto por la ley.

144

Como quiera que ninguna disposición del Acuerdo previsto supedita la transferencia a Canadá de los datos del PNR y los posteriores tratamientos de éstos al consentimiento de los pasajeros aéreos afectados, procede verificar si dicho Acuerdo constituye otro fundamento legítimo previsto por la ley, en el sentido del artículo 8, apartado 2, de la Carta.

145

A este respecto, ha de señalarse que la alegación del Parlamento según la cual el Acuerdo previsto no está comprendido en el concepto de «ley», en el sentido del artículo 8, apartado 2, de la Carta y, por tanto, del artículo 52, apartado 1, de ésta, puesto que no constituye un «acto legislativo», no puede, en ningún caso, prosperar.

146

En efecto, por una parte, el artículo 218 TFUE, apartado 6, refleja, en el plano exterior, el reparto de competencias entre las instituciones aplicable en el plano interno y establece una simetría entre el procedimiento de adopción de medidas de la Unión en el plano interno y el procedimiento de adopción de los Acuerdos internacionales para garantizar que, en relación con un ámbito determinado, el Parlamento y el Consejo dispongan de las mismas competencias, respetando el equilibrio institucional previsto por los Tratados (sentencia de 24 de junio de 2014, Parlamento/Consejo, C‑658/11, EU:C:2014:2025, apartado 56). Por lo tanto, la celebración de Acuerdos internacionales que afecten a ámbitos a los que, en el plano interno, se aplique el procedimiento legislativo ordinario previsto en el artículo 294 TFUE requiere, en virtud del artículo 218 TFUE, apartado 6, letra a), inciso v), la aprobación del Parlamento, de suerte que, como señaló el Abogado General en el punto 192 de sus conclusiones, tal Acuerdo puede considerarse, en el plano exterior, el equivalente de lo que es un acto legislativo en el plano interior. Por otra parte, no se ha afirmado en absoluto en el presente procedimiento que el Acuerdo previsto pueda no reunir los requisitos de accesibilidad y de previsibilidad exigidos para que las injerencias que implica puedan considerarse previstas por la ley en el sentido del artículo 8, apartado 2, y del artículo 52, apartado 1, de la Carta.

147

De ello se desprende que la transferencia de datos del PNR a Canadá se basa en «otro fundamento» que está «previsto por la ley», en el sentido del artículo 8, apartado 2, de la Carta. En cuanto a si dicho fundamento es legítimo, en el sentido de esta última disposición, esta cuestión se confunde, en el caso de autos, con la relativa a la calificación como de interés general del objetivo perseguido por el Acuerdo previsto, que se examinará en los apartados 148 y siguientes del presente dictamen.

148

Como se ha observado en el apartado 82 del presente dictamen, el Acuerdo previsto persigue el objetivo de garantizar la seguridad pública mediante la transferencia de los datos del PNR a Canadá y su utilización en el marco de la lucha contra los delitos de terrorismo y otros delitos graves de carácter transnacional.

149

Tal objetivo constituye, como se desprende de la jurisprudencia del Tribunal de Justicia, un objetivo de interés general de la Unión que puede justificar injerencias, incluso graves, en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta. Por lo demás, la protección de la seguridad pública contribuye también a la protección de los derechos y libertades de los demás. A este respecto, el artículo 6 de la Carta enuncia el derecho de toda persona no sólo a la libertad, sino también a la seguridad (véanse, en este sentido, las sentencias de 8 de abril de 2014, Digital Rights Ireland y otros, C‑293/12 y C‑594/12, EU:C:2014:238, apartados 42 y 44, y de 15 de febrero de 2016, N., C‑601/15 PPU, EU:C:2016:84, apartado 53).

150

Por lo que respecta al contenido esencial del derecho fundamental al respeto de la vida privada, consagrado en el artículo 7 de la Carta, aunque los datos del PNR puedan, en su caso, revelar información muy precisa sobre la vida privada de una persona, la naturaleza de esa información se limita a determinados aspectos de esa vida privada, relativos en particular a los viajes aéreos entre Canadá y la Unión. En cuanto al contenido esencial del derecho a la protección de los datos de carácter personal, consagrado en el artículo 8 de la Carta, el Acuerdo previsto circunscribe, en su artículo 3, las finalidades del tratamiento de los datos del PNR y establece, en su artículo 9, normas destinadas a garantizar, entre otros aspectos, la seguridad, la confidencialidad y la integridad de esos datos, y a protegerlos contra los accesos y los tratamientos ilegales.

151

En tales circunstancias, las injerencias que conlleva el Acuerdo previsto pueden estar justificadas por un objetivo de interés general de la Unión y no vulneran el contenido esencial de los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta.

152

Por lo que respecta a la cuestión de si la transferencia de los datos del PNR a Canadá y los posteriores tratamientos de éstos en dicho país tercero son idóneos para garantizar la seguridad pública, del punto 2.2 de la Comunicación COM(2010) 492 se desprende que la evaluación de los riesgos que presentan los pasajeros aéreos mediante el análisis de dichos datos antes de su llegada «facilita y acelera considerablemente los controles fronterizos de seguridad». Además, la Comisión ha señalado en sus observaciones escritas que, según la información facilitada por la CBSA, el tratamiento de los datos del PNR había permitido, entre otros resultados, la detención de 178 personas de entre los 28 millones de pasajeros que habían tomado un vuelo entre la Unión y Canadá durante el período comprendido entre abril de 2014 y marzo de 2015.

153

En tales circunstancias, la transferencia de los datos del PNR a Canadá y los tratamientos posteriores de éstos pueden considerarse idóneos para lograr el objetivo perseguido por el Acuerdo previsto consistente en garantizar la protección y la seguridad públicas.

154

En cuanto al carácter necesario de las injerencias que implica el Acuerdo previsto, es preciso verificar, de conformidad con la jurisprudencia citada en los apartados 140 y 141 del presente dictamen, si tales injerencias se limitan a lo estrictamente necesario y, en ese contexto, si dicho Acuerdo enuncia reglas claras y precisas que regulen el alcance y la aplicación de las medidas que establece.

155

Por lo que se refiere a los datos que contempla el Acuerdo previsto, éste debería definir de forma clara y precisa los datos del PNR que los transportistas aéreos han de transferir a Canadá en aplicación de dicho Acuerdo.

156

A este respecto, si bien las 19 categorías de datos del PNR enumeradas en el anexo del Acuerdo previsto se corresponden, según las observaciones de la Comisión, con el anexo I de las directrices de la Organización de la Aviación Civil Internacional (OACI) relativas a los datos del PNR, conviene subrayar no obstante, como ha señalado el Abogado General en el punto 217 de sus conclusiones, que la categoría 5, relativa a «información sobre viajeros frecuentes y ventajas correspondientes (billetes gratuitos, paso a la categoría superior, etc.)», y la categoría 7 que comprende «toda la información de contacto disponible (incluida la información del expedidor)», no definen de forma suficientemente clara y precisa los datos del PNR que han de transferirse.

157

En efecto, en el caso de la categoría 5, el empleo del vocablo «etc.» no especifica suficientemente el alcance de los datos que han de transferirse. Además, el enunciado de esta categoría no permite determinar si se refiere exclusivamente a la información relativa al estatus de los pasajeros aéreos en los programas de fidelización o si, por el contrario, se refiere a la totalidad de la información relativa a los viajes aéreos y a las transacciones efectuadas en el contexto de tales programas.

158

Del mismo modo, la categoría 7, al emplear los términos «toda la información de contacto disponible», no determina suficientemente el alcance de los datos que han de transferirse. En particular, no especifica el tipo de datos de contacto a que se refiere, ni si esos datos de contacto incluyen asimismo, como puede deducirse de la respuesta escrita de la Comisión a las preguntas formuladas por el Tribunal de Justicia, los de los terceros que hayan efectuado la reserva del vuelo para el pasajero aéreo, los de aquellos por medio de los cuales pueda entrarse en contacto con el pasajero aéreo, o los de aquellos que deban ser informados en caso de urgencia.

159

Por lo que respecta a la categoría 8, ésta tiene por objeto «todos los datos de pago y facturación (excluidos los demás detalles de la transacción relacionados con una tarjeta de crédito o cuenta y no relacionados con la transacción correspondiente al viaje)». Es cierto que esta categoría podría parecer particularmente amplia por cuanto emplea la expresión «todos los datos». No obstante, como se desprende de la respuesta de la Comisión a las preguntas formuladas por el Tribunal de Justicia, debe considerarse que dicha categoría únicamente se refiere a la información relativa a los medios de pago y a la facturación del billete de avión, excluyendo cualquier otra información que no esté directamente relacionada con el vuelo. Interpretada en este sentido, la categoría 8 puede considerarse acorde con los requisitos de claridad y precisión.

160

En cuanto a la categoría 17, ésta tiene por objeto las «observaciones generales, incluida la información sobre otros servicios (OSI), información sobre servicios especiales (SSI) y sobre servicios especiales solicitados (SSR)». Según las explicaciones facilitadas, en particular, por la Comisión, esta categoría es de las denominadas «de texto libre» (free text), y está destinada a incluir «toda la información adicional», además de la ya enumerada en otras categorías del anexo. Así pues, una categoría de este tipo no proporciona indicación alguna sobre la naturaleza y el alcance de la información que debe transmitirse, e incluso parece poder englobar información carente de relación alguna con la finalidad de la transferencia de datos del PNR. Además, puesto que la información a que se refiere esta categoría únicamente se facilita a modo de ejemplo, como lo demuestra el empleo del término «incluida», dicha categoría no establece limitación alguna en cuanto a la naturaleza y el alcance de la información que puede figurar en ella. En consecuencia, no puede considerarse que la categoría 17 se halle delimitada con la suficiente claridad y precisión.

161

Por último, en lo que se refiere a la categoría 18, ésta tiene por objeto «cualquier información recogida en el sistema de información anticipada sobre los pasajeros (sistema API) a efectos de la reserva». Según las aclaraciones facilitadas por el Consejo y la Comisión, esta información se corresponde con la contemplada en el artículo 3, apartado 2, de la Directiva 2004/82, a saber, el número y tipo de documento de viaje utilizado, la nacionalidad, el nombre y apellidos, la fecha de nacimiento, el paso fronterizo de entrada en el territorio de los Estados miembros, el código de transporte, la hora de salida y de llegada del transporte, el número total de personas transportadas en ese medio y el lugar inicial de embarque. Esta categoría, siempre que se interprete en el sentido de que únicamente comprende la información expresamente contemplada en esta última disposición, puede considerarse acorde con los requisitos de claridad y precisión.

162

Las disposiciones del artículo 4, apartado 3, del Acuerdo previsto, que establecen la obligación de Canadá de suprimir cualquier dato del PNR que le haya sido transferido si no figura en la lista del anexo del mismo Acuerdo, no permiten paliar la imprecisión de que adolecen las categorías 5, 7 y 17 de dicho anexo. En efecto, en la medida en que esa lista no delimita, por sí misma, con la suficiente claridad y precisión, los datos del PNR que han de transferirse, aquellas disposiciones no pueden subsanar la incertidumbre en cuanto a los datos del PNR que han de ser objeto de la transferencia.

163

Por lo tanto, en lo que respecta a los datos del PNR que han de transferirse a Canadá, las categorías 5, 7 y 17 del anexo del Acuerdo previsto no delimitan de manera suficientemente clara y precisa el alcance de la injerencia en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta.

164

En cuanto a la transferencia de los datos sensibles, en el sentido del artículo 2, letra e), del Acuerdo previsto, esta disposición los define como todos aquellos datos personales que revelen «el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos», o relativos «a la salud o a la sexualidad». Si bien ninguna de las 19 categorías que figuran en el anexo de dicho Acuerdo contempla expresamente datos de esta naturaleza, podrían no obstante estar comprendidos, como confirmó, en particular, la Comisión en su respuesta a las preguntas formuladas por el Tribunal de Justicia, en la categoría 17. Además, el hecho de que los artículos 8 y 16 del Acuerdo previsto contemplen normas específicas relativas al uso y la conservación de los datos sensibles implica necesariamente que las Partes de ese mismo Acuerdo han admitido la posibilidad de que tales datos puedan ser transferidos a Canadá.

165

A este respecto, es de señalar que cualquier medida que se base en la premisa de que una o varias de las características enunciadas en el artículo 2, letra e), del Acuerdo previsto podrían, por sí solas y con independencia del comportamiento individual del viajero afectado, ser pertinentes en atención a la finalidad de los tratamientos de datos del PNR, a saber, la lucha contra el terrorismo y los delitos graves de carácter transnacional, vulneraría los derechos garantizados en los artículos 7 y 8 de la Carta, en relación con el artículo 21 de ésta. Habida cuenta del riesgo de un tratamiento de datos contrario al artículo 21 de la Carta, la transferencia de datos sensibles a Canadá exigiría una justificación concreta y particularmente sólida, basada en motivos distintos de la protección de la seguridad pública contra el terrorismo y los delitos graves de carácter transnacional. Ahora bien, en el caso de autos no existe tal justificación.

166

Cabe observar, por añadidura, que el legislador de la Unión excluyó el tratamiento de los datos sensibles en el artículo 6, apartado 4, en el artículo 7, apartado 6, y en el artículo 13, apartado 4, de la Directiva (UE) 2016/681 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la utilización de datos del registro de nombres de los pasajeros (PNR) para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave (DO 2016, L 119, p. 132).

167

Habida cuenta de las apreciaciones expuestas en los dos apartados anteriores, es preciso declarar que los artículos 7, 8 y 21 así como el artículo 52, apartado 1, de la Carta se oponen tanto a la transferencia de datos sensibles a Canadá como al marco regulador negociado por la Unión con ese Estado tercero sobre los requisitos relativos al uso y la conservación de tales datos por las autoridades de dicho Estado tercero.

168

Como se desprende de los apartados 130 a 132 del presente dictamen y ha señalado el Abogado General en el punto 252 de sus conclusiones, los datos del PNR transferidos a Canadá están principalmente destinados a ser sometidos a análisis por medios automatizados, basados en modelos y criterios preestablecidos y en el cotejo con diversas bases de datos.

169

Ahora bien, la evaluación de los riesgos que presentan los pasajeros aéreos para la seguridad pública se lleva a cabo, según se deduce de los apartados 130 y 131 del presente dictamen, por medio de análisis automatizados de los datos del PNR antes de la llegada de esos pasajeros a Canadá. En la medida en que tales análisis se efectúan partiendo de datos personales no verificados y se basan en modelos y criterios preestablecidos, presentan necesariamente cierto margen de error, como han admitido, entre otros, el Gobierno francés y la Comisión en la vista.

170

Según se desprende del punto 30 del dictamen del SEPD acerca de la propuesta de Decisión marco del Consejo sobre utilización de datos del registro de nombres de los pasajeros (Passenger Name Record — PNR) con fines represivos (DO 2008, C 110, p. 1), al que ha hecho referencia el SEPD en su respuesta a las preguntas formuladas por el Tribunal de Justicia, ese margen de error resulta significativo.

171

Es cierto que, en relación con las consecuencias de un tratamiento automatizado de los datos del PNR, el artículo 15 del Acuerdo previsto dispone que Canadá no tomará «decisiones que afecten gravemente a un pasajero únicamente en razón del tratamiento automático de los datos del PNR». Asimismo, el artículo 3 de dicho Acuerdo, que delimita las finalidades de cualquier tratamiento de esos datos por la autoridad canadiense competente, y su artículo 4, que contiene una cláusula de no discriminación, se aplican a ese tipo de tratamiento.

172

Dicho esto, el alcance de la injerencia que suponen los análisis automatizados de los datos del PNR en los derechos consagrados en los artículos 7 y 8 de la Carta depende fundamentalmente de los modelos y criterios preestablecidos así como de las bases de datos en que se apoye ese tipo de tratamiento de datos. En consecuencia, y habida cuenta de las consideraciones que figuran en los apartados 169 y 170 del presente dictamen, los modelos y criterios preestablecidos deberían ser, por una parte, específicos y fiables, de modo que permitan llegar, como ha señalado el Abogado General en el punto 256 de sus conclusiones, a resultados que seleccionen individuos sobre los que podría recaer una «sospecha razonable» de participación en actividades terroristas o delitos graves de carácter transnacional, y, por otra parte, no discriminatorios. Asimismo, debería precisarse que las bases de datos con las que se cotejan los datos del PNR deben ser fiables, estar actualizadas y limitarse a bases de datos utilizadas por Canadá en relación con la lucha antiterrorista y los delitos graves de carácter transnacional.

173

Además, puesto que los análisis automatizados de los datos del PNR conllevan necesariamente cierto margen de error, como se ha observado en el apartado 169 del presente dictamen, cualquier resultado positivo obtenido gracias a un tratamiento automatizado de dichos datos debe, en virtud del artículo 15 del Acuerdo previsto, reexaminarse individualmente por medios no automatizados antes de adoptar una medida individual que produzca efectos perjudiciales para los pasajeros aéreos afectados. Así pues, con arreglo al citado artículo 15, una medida de este tipo no puede basarse de forma decisiva exclusivamente en el resultado de un tratamiento automatizado de los datos del PNR.

174

Por último, para garantizar, en la práctica, que los modelos y criterios preestablecidos, el uso que se haga de ellos y las bases de datos utilizadas no tengan carácter discriminatorio y se limiten a lo estrictamente necesario, la fiabilidad y la actualidad de esos modelos y criterios preestablecidos y de las bases de datos utilizadas deberían ser objeto, teniendo en cuenta datos estadísticos y los resultados de la investigación internacional, de la evaluación conjunta de la aplicación del Acuerdo previsto contemplada en el artículo 26, apartado 2, de éste.

175

El artículo 3, apartado 1, del Acuerdo previsto dispone que las autoridades canadienses competentes únicamente podrán tratar los datos del PNR con el propósito exclusivo de prevenir, detectar, investigar y enjuiciar los delitos de terrorismo o los delitos graves de carácter transnacional.

176

Por lo que respecta a la expresión «delitos de terrorismo», el artículo 3, apartado 2, del Acuerdo previsto define de manera clara y precisa a la vez las actividades a que se refieren esos términos y las personas, grupos y organizaciones que pueden considerarse una «organización terrorista».

177

Asimismo, en lo que atañe a la expresión «delitos graves de carácter transnacional», el artículo 3, apartado 3, párrafo primero, del Acuerdo previsto define con claridad y precisión el grado de gravedad de los delitos de que se trata, exigiendo que estén castigados con una pena de privación de libertad no inferior a cuatro años o una pena más grave. Además, en cuanto a la naturaleza de esos delitos, la citada disposición debe también considerarse suficientemente precisa por cuanto remite a los delitos definidos por el Derecho canadiense. Por último, el artículo 3, apartado 3, párrafo segundo, de dicho Acuerdo, enuncia de manera clara y precisa los diferentes supuestos en que un delito se considera de carácter transnacional.

178

Así pues, el artículo 3, apartados 1 a 3, del Acuerdo previsto contiene normas claras, precisas y limitadas a lo estrictamente necesario.

179

El artículo 3, apartado 4, del Acuerdo previsto permite a la autoridad canadiense competente tratar los datos del PNR cuando sea necesario para la protección de los intereses vitales de las personas, en casos excepcionales, tales como riesgo de muerte o de heridas graves, o riesgo significativo para la salud pública, en particular de conformidad con las normas internacionalmente reconocidas. El artículo 3, apartado 5, letras a) y b), del citado Acuerdo autoriza también a Canadá a tratar los datos del PNR, «en casos concretos», a efectos de «supervisión o determinación de la responsabilidad de la Administración pública» y de «cumplimiento de una citación o exhorto, o de una orden de un tribunal», respectivamente.

180

Como quiera que el artículo 3, apartado 4, del Acuerdo previsto limita a la protección de los intereses vitales de las personas los casos en que la autoridad canadiense competente puede utilizar, con fines ajenos a los inherentes al Acuerdo previsto, que son la lucha contra el terrorismo y los delitos graves de carácter transnacional, los datos del PNR recogidos en virtud de ese Acuerdo, dicha disposición define de manera clara y precisa los casos en que tal utilización es admisible. Por otra parte, dado que establece que la autoridad canadiense competente únicamente está autorizada a ello en casos excepcionales, procede considerar que esa misma disposición contiene normas que se limitan a lo estrictamente necesario.

181

En cambio, la redacción de los supuestos en que, en virtud del artículo 3, apartado 5, letras a) y b), del Acuerdo previsto, Canadá puede tratar los datos del PNR es demasiado vaga y genérica para cumplir los requisitos de claridad y precisión exigidos. Por lo tanto, las normas enunciadas en la citada disposición no parecen limitarse a lo estrictamente necesario para alcanzar el objetivo perseguido por dicho Acuerdo.

182

A tenor del artículo 2, letra d), del Acuerdo previsto, la autoridad canadiense competente es responsable de la recepción y el tratamiento de los datos del PNR con arreglo a dicho Acuerdo. Según el artículo 5 de éste, dicha autoridad deberá garantizar un nivel de protección adecuado, con arreglo a la legislación de la Unión, en el tratamiento y la utilización de los datos del PNR. Además, como se desprende del párrafo decimoquinto del preámbulo del Acuerdo, Canadá se compromete a que esa autoridad cumpla las salvaguardias en materia de privacidad y de protección de datos e información personales establecidas en el propio Acuerdo.

183

Aunque la identidad de la autoridad canadiense competente no se enuncia como tal en el Acuerdo previsto, el artículo 30, apartado 2, letra a), del mismo obliga a Canadá a notificar dicha identidad a la Comisión antes de la entrada en vigor del Acuerdo. Por lo tanto, este último es suficientemente claro y preciso en cuanto a la identidad de la autoridad canadiense competente.

184

Además, ha de señalarse que, efectivamente, el artículo 18, apartado 1, del Acuerdo previsto no precisa la identidad de las «otras autoridades públicas de Canadá» a las que la autoridad canadiense competente está autorizada, con las condiciones establecidas por dicha disposición, a comunicar los datos del PNR. No obstante, del artículo 18, apartado 1, letras a), c) y e), del Acuerdo previsto se desprende claramente que los datos del PNR únicamente pueden comunicarse a autoridades «cuyas funciones estén directamente relacionadas con el ámbito de aplicación del artículo 3», cuando la comunicación sea «necesaria para los fines especificados en el artículo 3» y a condición de que dichas autoridades apliquen «unas salvaguardias equivalentes o comparables a las previstas en el presente Acuerdo».

185

En la medida en que diversas disposiciones del Acuerdo previsto, a saber, el artículo 3, apartado 5, el artículo 6, apartados 1 y 2, el artículo 8, apartados 3 a 5, el artículo 12, apartado 3, el artículo 16 y el artículo 17, designan a «Canadá» como la instancia responsable de los tratamientos de datos del PNR contemplados por dichas disposiciones, debe interpretarse que el citado Acuerdo designa o bien a la autoridad canadiense competente o bien a las contempladas en el artículo 18 de éste. Interpretados en este sentido, el artículo 3, apartado 5, el artículo 6, apartados 1 y 2, el artículo 8, apartados 3 a 5, el artículo 12, apartado 3, el artículo 16 y el artículo 17 del Acuerdo previsto pueden considerarse acordes con las exigencias de claridad y de precisión.

186

El Acuerdo previsto abarca los datos del PNR de la totalidad de los pasajeros aéreos que tomen vuelos entre la Unión y Canadá. La transferencia de esos datos a Canadá se lleva a cabo con independencia de cualquier elemento objetivo que permita considerar que los pasajeros pueden presentar un riesgo para la seguridad pública en Canadá.

187

A este respecto, es de señalar que, como se ha recordado en los apartados 152 y 169 del presente dictamen, los datos del PNR están principalmente destinados a someterse a un tratamiento automatizado. Pues bien, como han expuesto diversos intervinientes, ese tratamiento tiene por objeto identificar el riesgo para la seguridad pública que podrían presentar personas que, hasta ese momento, no son conocidas por los servicios competentes y que, debido a ese riesgo, podrían ser sometidas a un examen exhaustivo. En este sentido, el tratamiento automatizado de esos datos previamente a la llegada de los pasajeros a Canadá facilita y acelera los controles de seguridad, especialmente en las fronteras. Por otra parte, la exclusión de determinadas categorías de personas o de determinadas zonas de origen podría obstaculizar la realización del objetivo del tratamiento automatizado de los datos del PNR, que es la identificación, mediante la comprobación de esos datos, de aquellas personas que puedan presentar un riesgo para la seguridad pública entre el conjunto de los pasajeros aéreos, y permitir que se eludiese esa comprobación.

188

Por lo demás, con arreglo al artículo 13 del Convenio de Chicago, al que se han referido en particular el Consejo y la Comisión en sus respuestas a las preguntas formuladas por el Tribunal de Justicia, todos los pasajeros aéreos deben, a la entrada, en el interior y a la salida del territorio de un Estado contratante, cumplir las leyes y reglamentos de ese Estado relativos a la entrada o la salida de los pasajeros aéreos de su territorio. La totalidad de los pasajeros aéreos que deseen entrar o salir de Canadá están por tanto sujetos, en virtud de dicho artículo, a los controles fronterizos y obligados a cumplir los requisitos de entrada y de salida prescritos por el Derecho canadiense vigente. Además, como se desprende de los apartados 152 y 187 del presente dictamen, la identificación, mediante los datos del PNR, de los pasajeros que puedan presentar un riesgo para la seguridad pública forma parte de los controles fronterizos. Por consiguiente, dado que son objeto de dichos controles, los pasajeros aéreos que deseen entrar y permanecer en Canadá están, por la propia naturaleza de esa medida, sujetos a la comprobación de sus datos del PNR.

189

En tales circunstancias, no consta que el Acuerdo previsto exceda de lo estrictamente necesario por cuanto permite la transferencia de los datos del PNR de la totalidad de los pasajeros aéreos a Canadá.

190

Para garantizar que la conservación de los datos del PNR transferidos, el acceso a esos datos por las autoridades canadienses contempladas en el Acuerdo previsto y la utilización de dichos datos por éstas se limiten a lo estrictamente necesario, el Acuerdo previsto debería establecer, conforme a la reiterada jurisprudencia del Tribunal de Justicia citada en el apartado 141 del presente dictamen, normas claras y precisas que indicasen en qué circunstancias y con qué requisitos dichas autoridades pueden conservarlos, acceder a ellos y utilizarlos.

191

Por lo que respecta a la conservación de los datos de carácter personal, cabe señalar que la normativa en cuestión, entre otros requisitos, debe responder en todo caso a criterios objetivos y ha de existir una relación entre los datos personales que deban conservarse y el objetivo que se pretende lograr (véanse, en este sentido, las sentencias de 6 de octubre de 2015, Schrems, C‑362/14, EU:C:2015:650, apartado 93, y de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros, C‑203/15 y C‑698/15, EU:C:2016:970, apartado 110).

192

En cuanto a la utilización, por una autoridad, de datos de carácter personal legítimamente conservados, ha de recordarse que el Tribunal de Justicia ha declarado que una normativa de la Unión no puede limitarse a exigir que el acceso a esos datos responda a alguna de las finalidades de dicha normativa, sino que debe establecer también los requisitos materiales y procedimentales que regulen la referida utilización (véase, por analogía, la sentencia de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros, C‑203/15 y C‑698/15, EU:C:2016:970, apartados 117 y 118 y jurisprudencia citada).

193

En el caso de autos, como se ha señalado en el apartado 171 del presente dictamen, el Acuerdo previsto delimita, en su artículo 3, las finalidades de la utilización de los datos del PNR por la autoridad canadiense competente, establece, en su artículo 7, una cláusula de no discriminación y contiene, en su artículo 15, una disposición relativa a las decisiones de Canadá que se basen en un tratamiento automatizado de datos.

194

Además, el artículo 16, apartado 1, del Acuerdo previsto establece que los datos del PNR podrán ser conservados por Canadá durante un período de cinco años a partir de su recepción, y el artículo 16, apartado 3, de dicho Acuerdo precisa que una parte de esos datos deberá ser enmascarada 30 días o dos años a partir de esa fecha. Como quiera que estas disposiciones no establecen distinción alguna en función de los pasajeros afectados, permiten la conservación de los datos del PNR de la totalidad de los pasajeros aéreos.

195

Por último, en virtud del artículo 16, apartado 4, del Acuerdo previsto, los datos enmascarados pueden ser desenmascarados cuando resulte necesario para llevar a cabo investigaciones en el ámbito del artículo 3 del propio Acuerdo, efectuándose el desenmascaramiento, según el caso, bien por un número limitado de funcionarios expresamente autorizados, bien con el permiso previo del Director de la autoridad canadiense competente o de un alto funcionario específicamente autorizado por el Director.

196

El Acuerdo previsto permite, pues, durante todo el período de conservación, la utilización de los datos del PNR de la totalidad de los pasajeros aéreos a los efectos establecidos en su artículo 3.

197

Pues bien, en relación con la conservación de los datos del PNR y su utilización hasta la salida de los pasajeros aéreos de Canadá, procede señalar que dichos datos permiten, en particular, facilitar los controles de seguridad y los controles en las fronteras. Su conservación y su utilización con ese fin no pueden, por su propia naturaleza, limitarse a un círculo determinado de pasajeros aéreos ni supeditarse a una autorización previa de un órgano judicial o de una entidad administrativa independiente. Por lo tanto, y de conformidad con las apreciaciones formuladas en los apartados 186 a 188 del presente dictamen, procede considerar que, mientras los pasajeros se encuentren en Canadá o se dispongan a abandonar dicho país tercero, la relación necesaria entre esos datos y el objetivo perseguido por el Acuerdo existe, de modo que éste no excede de lo estrictamente necesario por el sólo hecho de que permita la conservación y la utilización sistemáticas de los datos del PNR de la totalidad de los pasajeros.

198

Asimismo, la utilización sistemática de los datos del PNR con el fin de verificar la fiabilidad y la actualidad de los modelos y criterios preestablecidos en que se basen los tratamientos automatizados de esos datos, como se ha indicado en el apartado 174 del presente dictamen, o de definir nuevos modelos y criterios para dichos tratamientos, está directamente relacionada con la aplicación de los controles a que se hace referencia en el apartado anterior del presente dictamen, y, por lo tanto, debe considerarse que tampoco sobrepasa los límites de lo estrictamente necesario.

199

Por otra parte, es importante poner de relieve que, durante la estancia de los pasajeros aéreos en Canadá y con independencia del resultado del análisis automatizado de los datos del PNR efectuado antes de su llegada a dicho país tercero, pueden presentarse situaciones en las que la autoridad canadiense competente disponga de indicios, recogidos durante esa estancia, de que la utilización de sus datos puede resultar necesaria para luchar contra el terrorismo y los delitos graves de carácter transnacional.

200

Por lo que respecta, no obstante, a la utilización de los datos del PNR en las situaciones contempladas en el apartado anterior, es preciso señalar que, puesto que los pasajeros aéreos, previa comprobación de sus datos del PNR, han sido autorizados a entrar en el territorio de Canadá, la utilización de tales datos durante su estancia en ese país tercero debe basarse en circunstancias nuevas que la justifiquen. Dicha utilización requiere, por lo tanto, con arreglo a la jurisprudencia citada en los apartados 141 y 192 del presente dictamen, normas que establezcan los requisitos materiales y procedimentales que la regulen, con la finalidad principal de proteger esos datos contra los riesgos de abusos. Tales normas deben basarse en criterios objetivos para definir las circunstancias y los requisitos conforme a los cuales las autoridades canadienses contempladas en el Acuerdo previsto están autorizadas para utilizarlos.

201

En este sentido, cuando existan elementos objetivos que permitan considerar que los datos del PNR de uno o varios pasajeros aéreos podrían contribuir de modo efectivo al objetivo de lucha contra los delitos de terrorismo y los delitos graves de carácter transnacional, no parece que la utilización de tales datos exceda de lo estrictamente necesario (véase, por analogía, la sentencia de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros, C‑203/15 y C‑698/15, EU:C:2016:970, apartado 119 y jurisprudencia citada).

202

Por otra parte, para garantizar en la práctica el pleno cumplimiento de los requisitos enunciados en los dos apartados anteriores, es esencial que la utilización durante la estancia de los pasajeros aéreos en Canadá de los datos del PNR conservados se supedite, en principio, salvo en casos de urgencia debidamente justificados, al control previo de un órgano judicial o de una entidad administrativa independiente, y que la decisión de ese órgano judicial o de esa entidad administrativa se adopte a raíz de una solicitud motivada de las autoridades competentes, presentada, en particular, en el marco de procedimientos de prevención, de descubrimiento o de acciones penales (véase, por analogía, la sentencia de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros, C‑203/15 y C‑698/15, EU:C:2016:970, apartado 120 y jurisprudencia citada).

203

En la medida en que el Acuerdo previsto no responde a las exigencias enunciadas en los dos apartados anteriores, dicho Acuerdo no garantiza que la utilización, por parte de las autoridades canadienses contempladas en él, de los datos del PNR de los pasajeros aéreos durante su estancia en Canadá se limite a lo estrictamente necesario.

204

Los pasajeros aéreos que hayan abandonado Canadá habrán sido objeto, por lo general, de controles a la entrada en su territorio y a la salida de éste. Asimismo, sus datos del PNR habrán sido verificados antes de su llegada a Canadá y, en su caso, durante su estancia y a su partida de dicho país tercero. En tales circunstancias, hay que considerar que tales pasajeros no presentarán, en principio, un riesgo en materia de terrorismo o de delincuencia grave de carácter transnacional, en la medida en que ni esos controles y verificaciones ni ninguna otra circunstancia habrán revelado la existencia de elementos objetivos en ese sentido. En cualquier caso, no parece que el conjunto de los pasajeros aéreos que hayan viajado a Canadá presente, tras su partida de ese país, un riesgo más elevado que otras personas que no hayan viajado a dicho país durante los últimos cinco años y de las que, por lo tanto, Canadá no disponga de datos del PNR.

205

Por lo tanto, en lo que se refiere a los pasajeros aéreos respecto de los cuales no se haya identificado tal riesgo a su llegada a Canadá ni hasta su partida de dicho país tercero, no parece que exista, una vez que hayan abandonado el país, relación alguna, siquiera indirecta, entre sus datos del PNR y el objetivo perseguido por el Acuerdo previsto que justifique la conservación de esos datos. Las consideraciones expuestas, en particular por el Consejo y la Comisión, ante el Tribunal de Justicia, basadas en la duración de vida media de las redes internacionales de criminalidad grave y en la duración y la complejidad de las investigaciones relativas a tales redes no justifican un almacenamiento continuado de los datos del PNR de la totalidad de los pasajeros aéreos después de su partida de Canadá a efectos del eventual acceso a dichos datos, con independencia de todo vínculo con la lucha contra el terrorismo y los delitos graves de carácter transnacional (véase, por analogía, la sentencia de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros, C‑203/15 y C‑698/15, EU:C:2016:970, apartado 119).

206

El almacenamiento continuado de los datos del PNR de la totalidad de los pasajeros aéreos después de su partida de Canadá no parece, por tanto, limitarse a lo estrictamente necesario.

207

No obstante, en la medida en que se identifiquen, en casos particulares, elementos objetivos que permitan considerar que determinados pasajeros aéreos podrían, incluso después de su partida de Canadá, presentar un riesgo en términos de lucha contra el terrorismo y la delincuencia grave de carácter transnacional, el almacenamiento de los datos del PNR de tales pasajeros parece admisible aun después de concluida su estancia en Canadá (véase, por analogía, la sentencia de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros, C‑203/15 y C‑698/15, EU:C:2016:970, apartado 108).

208

En cuanto a la utilización de los datos del PNR así almacenados, ésta debería, de conformidad con la jurisprudencia citada en los apartados 201 y 202 del presente dictamen, basarse en criterios objetivos para definir las circunstancias y requisitos conforme a los cuales las autoridades canadienses contempladas en el Acuerdo previsto pueden tener acceso a esos datos a efectos de su utilización. Asimismo, dicha utilización debería, salvo casos de urgencia debidamente justificados, supeditarse a un control previo efectuado bien por un órgano judicial, bien por una entidad administrativa independiente cuya decisión de autorización de esa utilización se adopte a raíz de una solicitud motivada de las referidas autoridades, presentada, en particular, en el marco de procedimientos de prevención, de descubrimiento o de acciones penales.

209

En lo que se refiere a la duración de conservación de los datos del PNR de los pasajeros aéreos contemplados en el apartado 207 del presente dictamen, debe señalarse que la duración general establecida en el artículo 16, apartado 1, del Acuerdo previsto, ha sido prolongada en un año y medio en relación con la que figuraba en el Acuerdo de 2006. A este respecto, debe admitirse no obstante, especialmente a la luz de las consideraciones expuestas, en particular, por el Consejo y la Comisión, que se mencionan en el apartado 205 del presente dictamen, que la duración de cinco años establecida en el artículo 16, apartado 1, del Acuerdo previsto no parece exceder los límites de lo estrictamente necesario a efectos de la lucha contra el terrorismo y contra los delitos graves de carácter transnacional.

210

Por último, siempre y cuando, por una parte, el artículo 9, apartado 2, del Acuerdo previsto, que establece que Canadá garantizará que los datos del PNR se mantengan «en un entorno físico seguro y protegido con controles para impedir las intrusiones», signifique que esos datos deben conservarse en el territorio de Canadá y, por otra parte, el artículo 16, apartado 6, de dicho Acuerdo, según el cual una vez concluido el período de conservación, Canadá eliminará de forma definitiva los datos del PNR, deba interpretarse en el sentido de que impone una destrucción irreversible de dichos datos, podrá considerarse que esas disposiciones cumplen los requisitos de claridad y precisión (véase, por analogía, la sentencia de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros, C‑203/15 y C‑698/15, EU:C:2016:970, apartado 122 y jurisprudencia citada).

211

Habida cuenta de las consideraciones que figuran en los apartados 204 a 206 y 208 del presente dictamen, el Acuerdo previsto no garantiza que la conservación y la utilización de los datos del PNR por las autoridades canadienses tras la partida de los pasajeros aéreos de Canadá se limiten a lo estrictamente necesario.

212

Los artículos 18 y 19 del Acuerdo previsto permiten la comunicación de los datos del PNR por la autoridad canadiense competente a otras autoridades públicas canadienses y a autoridades públicas de otros países terceros. Como quiera que, de hecho, tal comunicación confiere a dichas autoridades el acceso a esos datos y la posibilidad de utilizarlos, debería cumplir los requisitos que rigen la utilización de tales datos, recordados en los apartados 200 a 202 del presente dictamen.

213

Por lo que se refiere, más específicamente, a la comunicación de los datos del PNR a autoridades públicas de otros países terceros, es preciso señalar además que el artículo 19, apartado 1, letra e), del Acuerdo previsto confiere a la autoridad canadiense competente una facultad discrecional para apreciar el nivel de protección garantizado en esos países.

214

A este respecto, procede recordar que sólo puede efectuarse una transferencia de datos personales de la Unión a un país tercero si ese país garantiza un nivel de protección de los derechos y libertades fundamentales sustancialmente equivalente al garantizado en la Unión. Esta exigencia se aplica asimismo en el caso de la comunicación de datos del PNR desde Canadá a otros países terceros, contemplada en el artículo 19 del Acuerdo previsto, con la finalidad de evitar que el nivel de protección establecido en dicho Acuerdo pueda eludirse mediante la transferencia de datos de carácter personal a otros países y de garantizar la continuidad del nivel de protección que ofrece el Derecho de la Unión (véase, por analogía, la sentencia de 6 de octubre de 2015, Schrems, C‑362/14, EU:C:2015:650, apartados 72 y 73). En tales circunstancias, esa comunicación requiere o bien un acuerdo entre la Unión y el país tercero de que se trate equivalente al Acuerdo previsto, o bien una decisión de la Comisión, en virtud del artículo 25, apartado 6, de la Directiva 95/46, por la que se declare que el citado país tercero garantiza un nivel de protección adecuado con arreglo al Derecho de la Unión y que comprenda a las autoridades a las que se pretenda transferir los datos del PNR.

215

En la medida en que los artículos 18 y 19 del Acuerdo previsto no cumplen los requisitos establecidos en los apartados 212 a 214 del presente dictamen, dicho Acuerdo no garantiza que la comunicación de los datos del PNR por la autoridad canadiense competente a otras autoridades públicas canadienses o a autoridades públicas de otros países terceros se limite a lo estrictamente necesario.

216

El artículo 12, apartado 3, del Acuerdo previsto permite a Canadá divulgar cualquier información, siempre que se someta «a requisitos y limitaciones legales razonables [...], teniendo debidamente en cuenta los intereses legítimos de la persona interesada». Ahora bien, ni la naturaleza de la información que puede divulgarse, ni los beneficiarios de esa divulgación ni tampoco el uso que se dará a esa información se delimitan en el Acuerdo.

217

Por añadidura, el Acuerdo previsto no define los términos «requisitos y limitaciones legales razonables» ni los términos «intereses legítimos de la persona interesada», como tampoco exige que la divulgación de los datos del PNR a un particular esté relacionada con la lucha contra el terrorismo y la delincuencia grave de carácter transnacional, ni que esa divulgación se supedite a la autorización de una autoridad judicial o de una entidad administrativa independiente. En tales circunstancias, la referida disposición rebasa los límites de lo estrictamente necesario.

218

El artículo 8, apartado 2, segunda frase, de la Carta garantiza que las personas cuyos datos de carácter personal hayan sido recogidos tengan derecho a acceder a ellos y a obtener su rectificación.

219

Además, respecto al artículo 7 de la Carta, el Tribunal de Justicia ya ha declarado que el derecho fundamental al respeto de la vida privada, consagrado en dicho artículo, conlleva que la persona de que se trate pueda cerciorarse de la exactitud y de la licitud del tratamiento de sus datos personales. Para poder efectuar las comprobaciones necesarias, esa persona debe disfrutar del derecho de acceso a los datos que le conciernan y sean objeto de tratamiento (véase, en este sentido, la sentencia de 7 de mayo de 2009, Rijkeboer, C‑553/07, EU:C:2009:293, apartado 49).

220

Para garantizar el respeto de esos derechos, es importante que los pasajeros aéreos sean informados de la transferencia de sus datos del PNR a Canadá y de la utilización de esos datos, siempre que tal comunicación no pueda perjudicar a las investigaciones llevadas a cabo por las autoridades públicas contempladas en el Acuerdo previsto. En efecto, tal información resulta, de hecho, necesaria para que los pasajeros aéreos puedan ejercer su derecho a solicitar el acceso a los datos del PNR que les conciernan y, en su caso, su rectificación, así como a interponer, con arreglo al artículo 47, párrafo primero, de la Carta, un recurso efectivo ante un tribunal (véase, por analogía, la sentencia de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros, C‑203/15 y C‑698/15, EU:C:2016:970, apartado 121 y jurisprudencia citada).

221

Si bien los artículos 12 y 13 del Acuerdo previsto confieren a los pasajeros aéreos el derecho de acceso a sus datos del PNR así como el derecho a solicitar su corrección, dichas disposiciones no exigen que tales pasajeros sean informados de la transferencia de sus datos del PNR a Canadá ni de su utilización.

222

A este respecto, el Acuerdo previsto se limita a establecer, en su artículo 11, una regla de transparencia que obliga a la autoridad canadiense competente a publicar en su sitio de Internet determinada información de carácter general relativa a la transferencia de los datos del PNR y a su utilización, y no crea ninguna obligación de informar individualmente a los pasajeros aéreos.

223

Cierto es que esta regla de transparencia permite suficientemente informar a los pasajeros aéreos tanto de la transferencia de sus datos del PNR a Canadá como de la utilización sistemática de éstos contemplada en los apartados 197 y 198 del presente dictamen, a efectos de los controles de seguridad y de los controles en las fronteras. En cambio, esa información general de los pasajeros aéreos, establecida en el artículo 11 del Acuerdo previsto, no les da la posibilidad de saber si sus datos han sido utilizados, al margen de esos controles, por la autoridad canadiense competente. Así pues, en los supuestos contemplados en los apartados 199 y 207 del presente dictamen, en los que concurren circunstancias que justifican tal utilización y requieren una autorización previa de una autoridad judicial o de una entidad administrativa independiente, la información individual de los pasajeros aéreos resulta necesaria. Lo mismo sucede en los casos en que los datos del PNR de los pasajeros aéreos se comunican a otras autoridades públicas o a particulares.

224

No obstante, con arreglo a la jurisprudencia citada en el apartado 220 del presente dictamen, únicamente debe procederse a esa información siempre que no pueda perjudicar a las investigaciones llevadas a cabo por las autoridades públicas contempladas en el Acuerdo previsto.

225

Dicho Acuerdo debería por tanto precisar que los pasajeros aéreos cuyos datos del PNR hayan sido utilizados y conservados por la autoridad canadiense competente en los casos contemplados en los apartados 199 y 207 del presente dictamen y aquellos cuyos datos hayan sido comunicados a otras autoridades públicas o a particulares deben ser informados por dicha autoridad de esa utilización y de esa comunicación en las condiciones mencionadas en el apartado anterior del presente dictamen.

226

Por lo que respecta al derecho de los pasajeros aéreos a interponer un recurso, el artículo 14, apartado 2, del Acuerdo previsto dispone que Canadá velará por que toda persona que estime que sus derechos han sido violados por una decisión o una acción en relación con sus datos del PNR, pueda obtener reparación de conformidad con la legislación canadiense interponiendo un recurso jurisdiccional o cualquier otra acción que pueda incluir una indemnización.

227

Como quiera que esta disposición hace referencia a «toda persona que estime que sus derechos han sido violados», abarca la totalidad de los pasajeros aéreos, con independencia de su nacionalidad, residencia, domicilio o de su presencia en Canadá. Además, debe interpretarse, como ha puesto de manifiesto el Consejo, en el sentido de que los pasajeros aéreos disponen de un recurso ante un tribunal, como exige el artículo 47, párrafo primero, de la Carta. El hecho de que el artículo 14, apartado 2, del Acuerdo previsto establezca que el «recurso jurisdiccional» pueda completarse con una acción de indemnización no tiene el efecto, contrariamente a lo que afirma el Parlamento, de privar a los pasajeros aéreos de tal recurso efectivo, sino que más bien refuerza, como señaló el Abogado General en el apartado 324 de sus conclusiones, la protección jurisdiccional de las personas afectadas.

228

A tenor del artículo 8, apartado 3, de la Carta, el respeto de las exigencias derivadas del artículo 8, apartados 1 y 2, de la misma estará sujeto al control de una autoridad independiente.

229

Con arreglo a la jurisprudencia reiterada del Tribunal de Justicia, la garantía de independencia de esa autoridad de control, cuya creación está asimismo prevista en el artículo 16 TFUE, apartado 2, pretende asegurar un control eficaz y fiable del respeto de la normativa en materia de protección de las personas físicas frente al tratamiento de datos personales y debe interpretarse a la luz de dicho objetivo. La creación de una autoridad de control independiente constituye, pues, un elemento esencial de la protección de las personas frente al tratamiento de datos personales (sentencia de 9 de marzo de 2010, Comisión/Alemania, C‑518/07, EU:C:2010:125, apartado 25; de 8 de abril de 2014, Comisión/Hungría, C‑288/12, EU:C:2014:237, apartado 48, y de 6 de octubre de 2015, Schrems, C‑362/14, EU:C:2015:650, apartado 41).

230

En el caso de autos, el artículo 10, apartado 1, primera frase, del Acuerdo previsto estipula que las garantías de protección de datos aplicables al tratamiento de los datos del PNR estarán sujetas a la supervisión de una «autoridad pública independiente» o de «una autoridad administrativa que ejerza sus funciones de manera imparcial y que tenga un historial acreditado de autonomía». En la medida en que dicha disposición establece que esa supervisión será ejercida por una autoridad independiente, responde a la exigencia que figura en el artículo 8, apartado 3, de la Carta. En cambio, su formulación alternativa parece permitir que dicha supervisión pueda llevarla a cabo, en todo o en parte, una autoridad que no ejerza sus funciones con total independencia, sino que se halle supeditada a una autoridad de tutela, de la que pueda recibir instrucciones, y que por tanto no esté protegida frente a toda influencia externa que pueda orientar sus decisiones.

231

En tales circunstancias, y como ha señalado el Abogado General en el punto 316 de sus conclusiones, el artículo 10 del Acuerdo previsto no garantiza de manera suficientemente clara y precisa que el control del cumplimiento de las normas establecidas en dicho Acuerdo, relativas a la protección de las personas físicas frente al tratamiento de los datos del PNR, sea efectuado por una autoridad independiente, en el sentido del artículo 8, apartado 3, de la Carta.

232

A la vista de las consideraciones anteriores en su conjunto, procede declarar que:

1)

La Decisión del Consejo relativa a la celebración, en nombre de la Unión, del Acuerdo entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros debe basarse conjuntamente en el artículo 16 TFUE, apartado 2, y en el artículo 87 TFUE, apartado 2, letra a).

2)

El Acuerdo entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros es incompatible con los artículos 7, 8 y 21, así como con el artículo 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea, en tanto en cuanto no excluye la transferencia de datos sensibles desde la Unión Europea a Canadá ni la utilización y conservación de esos datos.

3)

Para ser compatible con los artículos 7 y 8 y con el artículo 52, apartado 1, de la Carta de los Derechos Fundamentales, el Acuerdo entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros debe: