El Tribunal de Justicia estima que el respeto de los derechos fundamentales exige que las facultades previstas por la Directiva PNR se limiten a lo estrictamente necesario
| Autor | vLex |
En ausencia de amenaza terrorista real y actual o previsible a la que deba hacer frente un Estado miembro, el Derecho de la Unión se opone a una legislación nacional que prevé la transferencia y el tratamiento de los datos PNR de los vuelos interiores de la UE y de los transportes realizados por otros medios en el interior de la Unión
La Directiva PNR prevé el tratamiento sistemático de un elevado número de datos PNR (Passenger Name Record) de los pasajeros aéreos de los vuelos exteriores de la Unión al entrar en la Unión o al salir de ella. Este tratamiento se orienta a la lucha contra el terrorismo y los delitos graves. Asimismo, el artículo 2 de esta Directiva contempla la posibilidad de que los Estados miembros también la apliquen a los vuelos interiores de la UE (CP n.º 19/22).
La Ligue des droits humains (LDH) es una asociación sin ánimo de lucro que en junio de 2017 interpuso ante el Tribunal Constitucional de Bélgica un recurso de anulación contra la Ley de 25 de diciembre de 2016, que transpone al Derecho belga la Directiva PNR, la Directiva API y la Directiva 2010/65. Según la LDH, esta ley vulnera el derecho al respeto de la vida privada y a la protección de los datos personales, garantizado tanto por el Derecho belga como por el Derecho de la Unión. Critica, por una parte, la enorme amplitud de los datos PNR y, por otra parte, el carácter general de la recogida, la transferencia y el tratamiento de estos datos. A juicio de la LDH, la Ley también es contraria a la libre circulación de las personas, ya que reestablece indirectamente los controles en las fronteras al extender el sistema PNR a los vuelos interiores de la Unión y a los transportes realizados por otros medios en el interior de la Unión (CP n.º 19/22).
En octubre de 2019, el Tribunal Constitucional belga planteó al Tribunal de Justicia diez cuestiones prejudiciales relativas, en particular, a la validez de la Directiva PNR y a la compatibilidad de la Ley de 25 de diciembre de 2016 con el Derecho de la Unión.
En su sentencia dictada en el día de hoy, el Tribunal de Justicia declara, en primer lugar, que, dado que la interpretación de las disposiciones de la Directiva PNR a la luz de los derechos fundamentales garantizados en los artículos 7, 8, 21 y 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta») dada por el Tribunal de Justicia garantiza la conformidad de esta Directiva con estos artículos, el examen de las cuestiones prejudiciales planteadas no ha puesto de manifiesto ningún elemento que pueda afectar a la validez de dicha Directiva.
Con carácter preliminar, el Tribunal de Justicia recuerda que un acto de la Unión debe interpretarse, en la medida de lo posible, de un modo que no cuestione su validez y de conformidad con el conjunto del Derecho primario y, en particular, con las disposiciones de la Carta, de modo que los Estados miembros deben procurar no basarse en una interpretación del mismo que entre en conflicto con los derechos fundamentales tutelados por el ordenamiento jurídico de la Unión o con los demás principios generales reconocidos en este ordenamiento jurídico. En relación con la Directiva PNR, el Tribunal de Justicia precisa que muchos de sus considerandos y disposiciones exigen que se lleve a cabo tal interpretación conforme, haciendo énfasis en la importancia que el legislador de la Unión atribuye, cuando se refiere a un elevado nivel de protección de los datos, al pleno respeto de los derechos fundamentales consagrados por la Carta.
El Tribunal de Justicia constata que la Directiva PNR comporta injerencias de una gravedad cierta en los derechos garantizados por los artículos 7 y 8 de la Carta, ya que tiene por objeto la implantación de un régimen de vigilancia continuo, no selectivo y sistemático que incluye la evaluación automatizada de datos de carácter personal de todas las personas que utilizan servicios de transporte aéreo. El Tribunal de Justicia recuerda que la posibilidad de que los Estados miembros justifiquen tal injerencia debe apreciarse ponderando su gravedad y comprobando que la importancia del objetivo de interés general perseguido se corresponde con esta gravedad.
El Tribunal de Justicia concluye que cabe considerar que la recogida, la transferencia, el tratamiento y la conservación de los datos PNR previstos por esta Directiva se limitan a lo estrictamente necesario para luchar contra los delitos terroristas y los delitos graves, siempre que las facultades previstas por esta Directiva sean objeto de una interpretación restrictiva, A este respecto, la sentencia dictada en el día de hoy precisa, en particular, que:
- El sistema establecido por la Directiva PNR únicamente debe comprender las informaciones claramente identificables y delimitadas en las categorías que figuran en su anexo I y que guardan relación con el vuelo realizado y el pasajero de que se trate, lo que implica que, respecto de determinadas categorías de ese anexo, sólo estén cubiertas las informaciones contempladas expresamente.
- La aplicación del sistema establecido por la Directiva PNR debe limitarse a los delitos terroristas y únicamente a los delitos graves que presenten un vínculo objetivo, cuando menos indirecto, con el transporte aéreo de pasajeros. Por lo que respecta a estos últimos delitos, la aplicación de este sistema no puede extenderse a delitos que, pese a cumplir el criterio previsto por esta Directiva relativo al umbral de gravedad y a pesar de quedar contemplados en su anexo II, forman parte de la delincuencia común con arreglo a las particularidades del sistema penal nacional.
- La eventual extensión de la aplicación de la Directiva PNR a todos o parte de los vuelos interiores de la Unión, opción por la que un Estado miembro puede decantarse en ejercicio de la facultad prevista por esta Directiva, debe quedar limitada a lo estrictamente necesario. A tal efecto, esta extensión debe poder quedar sujeta al control efectivo de un órgano jurisdiccional o de un organismo administrativo independiente, cuyas resoluciones tengan efecto vinculante. A este respecto, el Tribunal de Justicia precisa que:
- Únicamente en cuando dicho Estado miembro constate la existencia de circunstancias suficientemente concretas para considerar que se enfrenta a una amenaza terrorista que se revela real y actual o previsible, la aplicación de esta Directiva a todos los vuelos interiores de la Unión con origen o destino en este Estado miembro, por un período de tiempo limitado a lo estrictamente necesario, si bien prorrogable, no debe exceder los límites de lo estrictamente necesario.
- Cuando no exista tal amenaza terrorista, la aplicación de dicha Directiva no puede extenderse a la totalidad de los vuelos interiores de la Unión, sino que debe limitarse a los vuelos interiores de la Unión que cubran determinadas conexiones aéreas o que respondan a planes de viaje o que se refieran a determinados aeropuertos respecto de los que existen, según la apreciación del Estado miembro de que se trate, indicios que permitan justificar esa aplicación. El carácter estrictamente necesario de esta aplicación a los vuelos interiores de la Unión seleccionados de este modo debe ser objeto de un reexamen regular, en función de la evolución de las circunstancias que justificaran su selección.
A efectos de la evaluación previa de los datos PNR, destinada a identificar las personas respecto de las que resulta necesario un examen más en profundidad antes de su llegada o partida y que, en una primera fase, se realiza mediante tratamientos automatizados, la Unidad de Información sobre los Pasajeros (UIP) solo puede, por una parte, confrontar esos datos únicamente con las bases de datos relativas a las personas u objetos buscados o bajo alerta. Estas bases de datos deben ser no discriminatorias y deben utilizarse, por las autoridades competentes, en relación con la lucha contra los delitos terroristas y los delitos graves que presenten un vínculo objetivo, siquiera indirecto, con el transporte aéreo de pasajeros. Por lo que se refiere, por otra parte, a la evaluación previa con arreglo a criterios predefinidos, la UIP no tiene permitido utilizar tecnologías de inteligencia artificial en el marco de sistemas de autoaprendizaje («machine learning»), capaces de modificar, sin intervención y control del hombre, el proceso de evaluación y, en particular, los criterios de evaluación en los que se basa el resultado de la aplicación de este procedimiento y la ponderación de estos criterios. Estos criterios deben determinarse de forma que su aplicación cribe específicamente los individuos respecto de los cuales puede existir una sospecha razonable de participación en delitos terroristas o en delitos graves y de manera que se tenga en cuenta tanto los elementos «de cargo» como los elementos «de descargo», evitando en cualquier caso que se produzcan discriminaciones directas o indirectas.
Habida cuenta del porcentaje de error propio de tales tratamientos automatizados de los datos PNR y del correspondiente número elevado de resultados «falsos positivos», registrados durante su aplicación a lo largo de los años 2018 y 2019, la aptitud del sistema establecido por la Directiva PNR para alcanzar los objetivos perseguidos depende fundamentalmente del buen funcionamiento de la comprobación de los resultados positivos obtenidos a raíz de esos tratamientos que debe llevar a cabo la UIP, en un segundo momento, a través de medios no automatizados. A este respecto, los Estados miembros deben establecer reglas claras y precisas que permitan guiar y delimitar el análisis efectuado por los agentes de la UIP encargados de este reexamen individual con el fin de garantizar el pleno respeto de los derechos fundamentales consagrados en los artículos 7, 8 y 21 de la Carta y, en particular, de seguir una práctica administrativa coherente en el seno de la UIP que respete el principio de no discriminación. En particular deben asegurarse de que la UIP establece criterios de reexamen objetivos que permitan a sus agentes verificar, por una parte, si y en qué medida una concordancia positiva (hit) se refiere efectivamente a un individuo que puede estar implicado en delitos terroristas o en delitos graves y, por otra parte, el carácter no discriminatorio de los tratamientos automatizados. En este contexto, el Tribunal de Justicia destaca asimismo que las autoridades competentes deben asegurarse de que el interesado pueda comprender el funcionamiento de los criterios de evaluación preestablecidos y de los programas que aplican estos criterios, de forma que pueda decidir, con pleno conocimiento de causa, si ejerce o no su derecho a una acción judicial. Igualmente, en el marco de tal acción, el juez encargado del control de la legalidad de la resolución adoptada por las autoridades competentes y, a salvo de los casos de amenazas para la seguridad del Estado, el propio interesado, deben poder acceder al conjunto tanto de los motivos como de las pruebas sobre la base de los cuales se ha adoptado esta resolución, incluyendo los criterios de evaluación preestablecidos y el funcionamiento de los programas que aplican estos criterios.
- La comunicación y la evaluación posteriores de los datos PNR, esto es tras la llegada o la salida de la persona en cuestión, sólo pueden realizarse con base en circunstancias nuevas y elementos objetivos que, o bien permitan dar credibilidad a una sospecha razonable de implicación de esta persona en delitos graves que presenten un vínculo objetivo, siquiera indirecto, con el transporte aéreo de pasajeros, o bien permitan considerar que estos datos podrían, en un caso concreto, suponer una contribución activa a la lucha contra delitos terroristas que presentan tal vínculo. La comunicación de los datos PNR a efectos de tal evaluación posterior debe, en principio, salvo en casos de urgencia debidamente justificada, quedar supeditada a un control previo realizado por un órgano jurisdiccional o por una autoridad administrativa independiente a petición motivada de las autoridades competentes, y ello con independencia de la cuestión de si esta petición se presenta antes o después de la expiración del plazo de los seis meses siguientes a la transferencia de esos datos a la UIP.
En segundo lugar, el Tribunal de Justicia considera que la Directiva PNR, interpretada a la luz de la Carta, se opone a una legislación nacional que autoriza el tratamiento de PNR recogidos de conformidad con esta Directiva para fines diferentes de los expresamente indicados en el artículo 1, apartado 2, de dicha Directiva.
En tercer lugar y por lo que se refiere al plazo de conservación de los datos PNR, el Tribunal de Justicia resuelve que el artículo 12 de la Directiva PNR, interpretado a la luz de los artículos 7, 8 y 52, apartado 1, de la Carta, se opone a una legislación nacional que prevé una duración general de conservación de estos datos de cinco años, aplicable a todos los pasajeros aéreos sin distinción.
Así, según el Tribunal de Justicia, tras la expiración del período de conservación inicial de seis meses, la conservación de los datos PNR no resulta limitada a lo estrictamente necesario en lo que se refiere a los pasajeros aéreos respecto de los cuales ni la evaluación previa, ni las eventuales comprobaciones efectuadas durante el periodo de conservación inicial de seis meses, ni ninguna otra circunstancia, han revelado la existencia de elementos objetivos ―como el hecho de que los datos PNR de los pasajeros en cuestión hayan dado lugar a una concordancia positiva verificada en el marco de la evaluación previa― que permitan apreciar la existencia de un riesgo en materia de delitos terroristas o de delitos graves que tengan una relación, siquiera indirecta, con el viaje aéreo realizado por esos pasajeros. Por el contrario, el Tribunal de Justicia, estima que, durante el período inicial de seis meses, la conservación de los datos PNR de todos los pasajeros aéreos cubiertos por el sistema establecido por esta Directiva no parece, en principio, exceder los límites de lo estrictamente necesario.
En cuarto lugar, el Tribunal de Justicia estima que el Derecho de la Unión se opone a una legislación nacional que prevé, en ausencia de una amenaza terrorista real y actual o previsible a la que deba enfrentarse el Estado miembro en cuestión, un sistema de transferencia, por parte de las compañías aéreas y los operadores de viaje, y un sistema de tratamiento, por parte de las autoridades competentes, de los datos PNR de la totalidad de los vuelos interiores de la Unión y de los transportes efectuados por otros medios dentro de la Unión, con origen o destino en ese Estado miembro o en tránsito por el mismo, para luchar contra los delitos terroristas y los delitos graves. Así, en tal situación, la aplicación del sistema establecido por la Directiva PNR debe limitarse a la transferencia y al tratamiento de los datos PNR de los vuelos o los transportes relativos, en particular, a determinadas conexiones o planes de viaje o a determinados aeropuertos y estaciones o puertos marítimos respecto de los que existan indicios que permitan justificar esta aplicación. Asimismo, el Tribunal de Justicia precisa que el Derecho de la Unión se opone a una legislación nacional que prevé tal sistema de transferencia y de tratamiento de esos datos para mejorar los controles fronterizos y luchar contra la inmigración clandestina.
Fuente de la noticia: Curia
