Dictamen 1/15
Dictamen emitido con arreglo al artículo 218 TFUE, apartado 11
«Dictamen emitido con arreglo al artículo 218 TFUE, apartado 11 — Proyecto de Acuerdo entre Canadá y la Unión Europea — Transferencia de los datos del registro de nombres de los pasajeros aéreos desde la Unión a Canadá — Bases jurídicas adecuadas — Artículo 16 TFUE, apartado 2, artículo 82 TFUE, apartado 1, párrafo segundo, letra d), y artículo 87 TFUE, apartado 2, letra a) — Compatibilidad con los artículos 7 y 8 y con el artículo 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea»
Sumario — Dictamen del Tribunal de Justicia (Gran Sala) de 26 de julio de 2017
1. Acuerdos internacionales — Celebración — Dictamen previo del Tribunal de Justicia — Objeto — Cuestiones sobre la validez material o formal de un acuerdo a la luz del Tratado — Compatibilidad del acuerdo con la Carta de los Derechos Fundamentales de la Unión Europea
(Arts. 6 TUE, ap. 1, 217 TFUE y 218 TFUE)
2. Actos de las instituciones — Elección de la base jurídica — Criterios — Acto de la Unión que persigue un doble objetivo o tiene un componente doble — Referencia al objetivo o componente principal o preponderante — Finalidades o componentes inseparables —Acumulación de bases jurídicas — Límites — Incompatibilidad de los procedimientos
3. Acuerdos internacionales — Acuerdos de la Unión — Celebración — Acuerdo UE‑Canadá sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros — Base jurídica — Incidencia de los Protocolos n.os 21 y 22 sobre la posición del Reino Unido, de Irlanda y de Dinamarca anejos a los Tratados UE y TFUE — Inaplicabilidad del Acuerdo en Dinamarca
[Arts. 16 TFUE, ap. 2, y 87 TFUE, ap. 2, letra a); Protocolos n.os 21 y 22 anejos a los Tratados UE y FUE]
4. Acuerdos internacionales — Acuerdos de la Unión — Celebración — Acuerdo UE‑Canadá sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros — Acuerdo que tiene por objeto garantizar la seguridad pública y proteger los datos de los pasajeros aéreos — Base jurídica — Artículo 16 TFUE, apartado 2, en relación con el artículo 87 TFUE, apartado 2, letra a)
[Arts. 39 TUE, 16 TFUE, ap. 2, y 87 TFUE, ap. 2, letra a); Protocolos n.os 21 y 22 anejos a los Tratados UE y FUE; Declaración n.º 21 aneja a los Tratados UE y FUE]
5. Derechos fundamentales — Respeto de la vida privada — Protección de datos personales — Ámbito de aplicación — Tratamientos de datos del registro de nombres de los pasajeros aéreos realizados en virtud de un Acuerdo internacional celebrado entre la Unión y un país tercero — Inclusión — Necesidad de garantizar un nivel de protección de los derechos y libertades fundamentales equivalente al garantizado en la Unión — Alcance
(Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8; Directiva 95/46/CE del Parlamento Europeo y del Consejo, art. 25, ap. 6)
6. Acuerdos internacionales — Acuerdos de la Unión — Celebración — Acuerdo con un Estado tercero sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros — Injerencia en los derechos al respeto de la vida privada y a la protección de los datos personales — Obligación de limitar la injerencia a lo estrictamente necesario — Alcance
(Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8)
7. Derechos fundamentales — Carta de los Derechos Fundamentales de la Unión Europea — Limitación del ejercicio de los derechos y libertades consagrados por la Carta — Requisitos — Requisito consistente en que la limitación esté prevista en una ley — Alcance
(Carta de los Derechos Fundamentales de la Unión Europea, art. 52, ap. 1)
8. Derechos fundamentales — Protección de datos personales — Tratamiento basado en el consentimiento del interesado o en otro fundamento legítimo previsto por la ley — Concepto de ley — Acuerdo con un país tercero sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros aéreos — Inclusión
[Arts. 218 TFUE, ap. 6, letra a), inciso v), y 294 TFUE; Carta de los Derechos Fundamentales de la Unión Europea, arts. 8, ap. 2, y 52, ap. 1]
9. Derechos fundamentales — Respeto de la vida privada — Protección de datos personales — Celebración por la Unión de un acuerdo con un país tercero sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros aéreos —Injerencia — Justificación — Protección de la seguridad pública contra el terrorismo y los delitos graves de carácter transnacional — Procedencia
[Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8; Directiva (UE) 2016/681 del Parlamento Europeo y del Consejo, arts. 6, ap. 4, 7, ap. 6, y 13, ap. 4]
10. Derechos fundamentales — Respeto de la vida privada — Protección de datos personales — Celebración por la Unión de un acuerdo con un país tercero sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros aéreos — Datos sensibles — Necesidad de una justificación concreta y sólida, basada en motivos distintos de la protección de la seguridad pública contra el terrorismo y los delitos graves de carácter transnacional
(Carta de los Derechos Fundamentales de la Unión Europea, arts. 7, 8, 21 y 52, ap. 1)
11. Derechos fundamentales — Respeto de la vida privada — Protección de datos personales — Celebración por la Unión de un acuerdo con un país tercero sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros aéreos — Respeto del principio de proporcionalidad — Tratamiento automatizado de los datos — Apreciación en función de los modelos, criterios y bases de datos utilizados para realizar ese tratamiento
(Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8)
12. Derechos fundamentales — Respeto de la vida privada — Protección de datos personales — Celebración por la Unión de un acuerdo con un país tercero sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros aéreos — Respeto del principio de proporcionalidad — Tratamiento conforme a los objetivos del Convenio de Chicago — Procedencia
13. Derechos fundamentales — Respeto de la vida privada — Protección de datos personales — Celebración por la Unión de un acuerdo con un país tercero sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros aéreos — Respeto del principio de proporcionalidad — Necesidad de establecer normas claras y precisas que regulen el acceso a esos datos y su utilización — Alcance
(Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8)
14. Derechos fundamentales — Respeto de la vida privada — Protección de datos personales — Celebración por la Unión de un acuerdo con un país tercero sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros aéreos — Respeto del principio de proporcionalidad — Conservación y utilización de los datos durante la estancia de los pasajeros en el país tercero — Requisitos mínimos
(Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8)
15. Derechos fundamentales — Respeto de la vida privada — Protección de datos personales — Celebración por la Unión de un acuerdo con un país tercero sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros aéreos — Respeto del principio de proporcionalidad —Conservación de los datos tras la partida de los pasajeros del país tercero — Improcedencia — Excepción — Pasajeros que presenten un riesgo en materia de terrorismo o de delincuencia grave de carácter transnacional
(Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8)
16. Derechos fundamentales — Respeto de la vida privada — Respeto en el marco del tratamiento de datos personales — Obligación de permitir al interesado el acceso a los datos que le conciernan para comprobar su exactitud y su licitud — Alcance — Celebración por la Unión de un acuerdo con un país tercero sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros aéreos — Necesidad de contemplar la información a los pasajeros de la transferencia y la utilización de sus datos
(Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 47, párr. 1)
17. Derechos fundamentales — Protección de datos personales — Autoridades de control —Requisito de independencia — Objeto
(Art. 16 TFUE, ap. 2; Carta de los Derechos Fundamentales de la Unión Europea, art. 8, ap. 3)
1. Las disposiciones de un acuerdo internacional celebrado por la Unión, con arreglo a los artículos 217 TFUE y 218 TFUE, forman parte integrante del ordenamiento jurídico de la Unión a partir de su entrada en vigor. Por lo tanto, las disposiciones de dicho acuerdo deben ser plenamente compatibles con los Tratados y con los principios constitucionales que se derivan de ellos. A este respecto, el artículo 218 TFUE, apartado 11, tiene por objeto evitar las complicaciones a que daría lugar la impugnación judicial de la compatibilidad con los Tratados de acuerdos internacionales que obligasen a la Unión. En efecto, una resolución judicial que declarara en su caso, tras la celebración de un acuerdo internacional que obligara a la Unión, que tal acuerdo, a la vista de su contenido o del procedimiento seguido para su celebración, es incompatible con las disposiciones del Tratado no dejaría de provocar, no sólo en el plano interno de la Unión, sino también en el de las relaciones internacionales, serias dificultades y podría perjudicar a todas las partes interesadas, incluidos los terceros Estados. Habida cuenta de la función del procedimiento establecido en el artículo 218 TFUE, apartado 11, el mero riesgo de la invalidación del acto de celebración de un acuerdo internacional basta para que se admita el recurso al Tribunal de Justicia.
De este modo, debe poder examinarse en el marco del procedimiento previsto en el artículo 218 TFUE, apartado 11, cualquier cuestión que pueda suscitar dudas sobre la validez material o formal del acuerdo a la luz de los Tratados. A ese respecto, el juicio sobre la compatibilidad de un acuerdo con los Tratados puede depender no sólo de disposiciones que se refieran a la competencia, al procedimiento o a la organización institucional de la Unión, sino también de disposiciones de Derecho material. Este es el caso de una cuestión relativa a la compatibilidad de un acuerdo internacional con el artículo 6 TUE, apartado 1, párrafo primero, y, por consiguiente, con las garantías consagradas por la Carta de los Derechos Fundamentales de la Unión Europea, puesto que ésta tiene el mismo valor jurídico que los Tratados.
(véanse los apartados 67, 69, 70 y 74)
2. Véase el texto de la resolución.
(véanse los apartados 76 a 78)
3. No cabe recurrir a una doble base jurídica cuando los procedimientos previstos para una y otra base jurídica sean incompatibles. A este respecto, una diferencia en las reglas de voto en el Consejo puede suponer la incompatibilidad de las bases jurídicas en cuestión.
En el caso de una Decisión del Consejo relativa a la celebración de un acuerdo internacional previsto, basada en el artículo 16 TFUE, apartado 2, y en el artículo 87 TFUE, apartado 2, letra a), tal incompatibilidad no resulta de los Protocolos n.º 21, sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, y n.º 22, sobre la posición de Dinamarca, anejos a los Tratados UE y FUE. En efecto, por lo que se refiere al Protocolo n.º 21, dado que Irlanda y el Reino Unido notificaron su deseo de participar en la adopción de esa Decisión, las disposiciones de dicho Protocolo no tienen repercusión alguna sobre las reglas de voto en el Consejo en caso de recurso conjunto al artículo 16 TFUE, apartado 2, y al artículo 87 TFUE, apartado 2, letra a), para fundamentar la referida Decisión.
En cuanto al Protocolo n.º 22, éste tiene por objeto establecer un marco jurídico que permita a los Estados miembros proseguir el desarrollo de su cooperación en el ámbito del espacio de libertad, seguridad y justicia mediante la adopción, sin participación del Reino de Dinamarca, de medidas que no vinculen a dicho Estado miembro, ofreciéndole al mismo tiempo la posibilidad de participar en la adopción de medidas en ese ámbito y de quedar vinculado por ellas en las condiciones previstas en el artículo 8 del mencionado Protocolo. A este respecto, puesto que la Decisión relativa a la celebración del mencionado acuerdo previsto debe basarse a la vez en el artículo 16 TFUE y en el artículo 87 TFUE y está comprendida por tanto en el ámbito de la tercera parte, título V, capítulo 5, del Tratado FUE en la medida en que debe basarse en el citado artículo 87 TFUE, el Reino de Dinamarca no estará vinculado, en virtud de los artículos 2 y 2 bis del Protocolo n.º 22, ni por las disposiciones de la citada Decisión ni, en consecuencia, por el acuerdo previsto. Además, el Reino de Dinamarca no participará, con arreglo al artículo 1 de ese Protocolo, en la adopción de dicha Decisión. Por lo tanto, en este caso, el Protocolo n.º 22 no puede llevar aparejadas reglas de voto en el Consejo diferentes en el supuesto de que se recurra conjuntamente a los artículos 16 TFUE, apartado 2, y 87 TFUE, apartado 2, letra a).
(véanse los apartados 78, 107, 109 a 111, 113 y 117)
4. Habida cuenta a la vez de sus finalidades y de su contenido, el Acuerdo previsto entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros posee un doble componente, uno relativo a la necesidad de garantizar la seguridad pública y el otro relativo a la protección de los datos del registro de nombres de los pasajeros. Estos dos componentes están indisolublemente unidos y por lo tanto debe considerarse que ambos revisten un carácter esencial. En efecto, el contenido del Acuerdo previsto consiste en gran medida en normas detalladas que garanticen que la transferencia de los datos del registro de nombres de los pasajeros a un Estado tercero para su utilización con fines de protección y seguridad públicas se lleve a cabo en condiciones compatibles con la protección de los datos de carácter personal.
En tales circunstancias, la Decisión relativa a la celebración del Acuerdo previsto se vincula directamente, en primer lugar, al objetivo perseguido por el artículo 16 TFUE, apartado 2. En efecto, esta disposición constituye, sin perjuicio del artículo 39 TUE, una base jurídica adecuada cuando la protección de los datos personales es una de las finalidades o uno de los componentes esenciales de las normas adoptadas por el legislador de la Unión, incluso de aquellas que se insertan en el marco de la adopción de medidas en el ámbito de las disposiciones del Tratado FUE relativas a la cooperación judicial en materia penal y a la cooperación policial, como lo confirman el artículo 6 bis del Protocolo n.º 21 y el artículo 2 bis del Protocolo n.º 22, así como la Declaración relativa a la protección de datos de carácter personal en el ámbito de la cooperación judicial en materia penal y de la cooperación policial, aneja al Acta final de la Conferencia intergubernamental que adoptó el Tratado de Lisboa.
En segundo lugar, dicha Decisión debe basarse asimismo en el artículo 87 TFUE, apartado 2, letra a), que establece que, a los efectos del artículo 87 TFUE, apartado 1, según el cual la Unión desarrollará una cooperación policial en la que participen todas las autoridades competentes de los Estados miembros, el Parlamento y el Consejo podrán adoptar medidas relativas a la recogida, almacenamiento, tratamiento, análisis e intercambio de información pertinente. Pues bien, por una parte, la información pertinente, en el sentido del artículo 87 TFUE, apartado 2, letra a), en el ámbito de la prevención, detección e investigación de infracciones penales, puede incluir datos personales y, por otra parte, los términos «tratamiento» e «intercambio» de tales datos comprenden a la vez su transferencia a autoridades de los Estados miembros competentes en la materia y su utilización por dichas autoridades. A este respecto, el hecho de que los datos del registro de nombres de los pasajeros sean inicialmente recogidos por transportistas aéreos con fines comerciales y no por una autoridad competente en el ámbito de la prevención, la detección o la investigación de infracciones penales no es óbice para que dicha disposición constituya asimismo una base jurídica adecuada para la Decisión del Consejo relativa a la celebración del Acuerdo previsto.
(véanse los apartados 90, 92, 94 a 96, 98, 99 y 101)
5. Los diversos tratamientos de que pueden ser objeto, según un acuerdo internacional previsto entre la Unión y un país tercero, los datos de los pasajeros aéreos que tomen vuelos entre la Unión y ese país tercero, a saber, su transferencia desde la Unión a dicho país tercero, el acceso a ellos para su utilización, o incluso su conservación, afectan al derecho fundamental al respeto de la vida privada, garantizado en el artículo 7 de la Carta de los Derechos Fundamentales de la Unión Europea. En efecto, este derecho se refiere a toda información relativa a una persona física identificada o identificable. Además, el artículo 8 de la Carta es también aplicable a los tratamientos de los datos del registro de nombres de los pasajeros, porque constituyen tratamientos de datos de carácter personal en el sentido de dicho artículo y, en consecuencia, deben cumplir necesariamente los requisitos de protección de los datos previstos en él.
A este respecto, el derecho a la protección de los datos de carácter personal exige, en concreto, que en caso de transferencia de tales datos desde la Unión a un país tercero, quede garantizada la continuidad del elevado nivel de protección de los derechos y libertades fundamentales conferido por el Derecho de la Unión. Aunque los medios encaminados a garantizar tal nivel de protección puedan ser diferentes de los aplicados en la Unión para garantizar el cumplimiento de las exigencias derivadas del Derecho de la Unión, tales medios deben ser eficaces en la práctica para asegurar una protección sustancialmente equivalente a la garantizada en la Unión.
Esta exigencia relativa un nivel de protección de los derechos y libertades fundamentales sustancialmente equivalente al garantizado en la Unión se aplica asimismo en el caso de la comunicación de datos del registro de nombres de los pasajeros desde el país tercero a otros países terceros, con la finalidad de evitar que el nivel de protección establecido en el acuerdo de transferencia pueda eludirse mediante la transferencia de datos de carácter personal a otros países y de garantizar la continuidad del nivel de protección que ofrece el Derecho de la Unión. En tales circunstancias, esa comunicación requiere o bien un acuerdo entre la Unión y el país tercero de que se trate equivalente al Acuerdo previsto, o bien una decisión de la Comisión, en virtud del artículo 25, apartado 6, de la Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, por la que se declare que el citado país tercero garantiza un nivel de protección adecuado con arreglo al Derecho de la Unión y que comprenda a las autoridades a las que se pretenda transferir los datos del registro de nombres de los pasajeros.
(véanse los apartados 122, 123, 134 y 214)
6. La comunicación de datos de carácter personal a un tercero, como una autoridad pública, constituye una injerencia en el derecho fundamental consagrado en el artículo 7 de la Carta de los Derechos Fundamentales de la Unión Europea, cualquiera que sea la utilización posterior de la información comunicada. Lo mismo puede decirse de la conservación de los datos de carácter personal y del acceso a esos datos con vistas a su utilización por parte de las autoridades públicas. A este respecto, carece de relevancia que la información relativa a la vida privada de que se trate tenga o no carácter sensible o que los interesados hayan sufrido o no inconvenientes en razón de tal injerencia.
Por lo tanto, tratándose de un acuerdo internacional relativo a la transferencia de los datos del registro de nombres de los pasajeros a un país tercero que la Unión tiene previsto celebrar, tanto la transferencia de esos datos de la Unión a la autoridad competente de ese país tercero como el marco regulador negociado por la Unión con dicho país tercero sobre los requisitos relativos a la conservación de esos datos, su utilización y sus posibles transferencias posteriores a otras autoridades del mismo país, a Europol, a Eurojust, a las autoridades judiciales o policiales de los Estados miembros o a otras autoridades de otros países terceros, constituyen injerencias en el derecho garantizado en el artículo 7 de la Carta. Tales operaciones son asimismo constitutivas de una injerencia en el derecho fundamental a la protección de datos de carácter personal garantizado por el artículo 8 de la Carta, puesto que constituyen tratamientos de datos de carácter personal.
Ello no obstante, los derechos consagrados en los artículos 7 y 8 de la Carta no constituyen prerrogativas absolutas, sino que deben considerarse según su función en la sociedad. A este respecto, la protección del derecho fundamental al respeto de la vida privada en el ámbito de la Unión exige que las excepciones a la protección de los datos personales y las limitaciones de esa protección no excedan de lo estrictamente necesario. Para cumplir este requisito, la normativa controvertida que conlleve la injerencia debe establecer reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión e impongan unas exigencias mínimas, de modo que las personas cuyos datos se hayan transferido dispongan de garantías suficientes que permitan proteger contra los riesgos de abuso. En particular, dicha normativa deberá indicar en qué circunstancias y con arreglo a qué requisitos puede adoptarse una medida que contemple el tratamiento de tales datos, garantizando así que la injerencia se limite a lo estrictamente necesario. La necesidad de disponer de tales garantías reviste especial importancia cuando los datos personales se someten a un tratamiento automatizado. Estas consideraciones son aplicables en particular cuando está en juego la protección de esa categoría particular de datos personales que son los datos sensibles.
(véanse los apartados 124 a 126, 136, 140 y 141)
7. El requisito establecido en el artículo 52, apartado 1, primera frase, de la Carta de los Derechos Fundamentales de la Unión Europea de que cualquier limitación del ejercicio de los derechos fundamentales debe ser establecida por ley implica que la base legal que permita la injerencia en dichos derechos debe definir ella misma el alcance de la limitación del ejercicio del derecho de que se trate.
(véase el apartado 139)
8. Un acuerdo internacional relativo a la transferencia de los datos del registro de nombres de los pasajeros a un país tercero que la Unión tiene previsto celebrar está comprendido en el concepto de ley, en el sentido del artículo 8, apartado 2, de la Carta de los Derechos Fundamentales de la Unión Europea, y, por tanto, del artículo 52, apartado 1, de ésta.
En efecto, el artículo 218 TFUE, apartado 6, refleja, en el plano exterior, el reparto de competencias entre las instituciones aplicable en el plano interno y establece una simetría entre el procedimiento de adopción de medidas de la Unión en el plano interno y el procedimiento de adopción de los Acuerdos internacionales para garantizar que, en relación con un ámbito determinado, el Parlamento y el Consejo dispongan de las mismas competencias, respetando el equilibrio institucional previsto por los Tratados. Por lo tanto, la celebración de Acuerdos internacionales que afecten a ámbitos a los que, en el plano interno, se aplique el procedimiento legislativo ordinario previsto en el artículo 294 TFUE requiere, en virtud del artículo 218 TFUE, apartado 6, letra a), inciso v), la aprobación del Parlamento, de suerte que tal Acuerdo puede considerarse, en el plano exterior, el equivalente de lo que es un acto legislativo en el plano interno.
De ello se desprende que la transferencia de datos del registro de nombres de los pasajeros a un país tercero, tal como está previsto en el Acuerdo internacional en cuestión, se basa en otro fundamento que está previsto por la ley, en el sentido del artículo 8, apartado 2, de la Carta.
(véanse los apartados 145 a 147)
9. Las injerencias en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea que conlleva un acuerdo internacional relativo a la transferencia de los datos del registro de nombres de los pasajeros aéreos a un país tercero que la Unión tiene previsto celebrar pueden estar justificadas por un objetivo de interés general de la Unión y no vulneran el contenido esencial de dichos derechos fundamentales si el Acuerdo previsto pretende garantizar la seguridad pública mediante la transferencia de los datos del registro de nombres de los pasajeros y su utilización en el marco de la lucha contra los delitos de terrorismo y otros delitos graves de carácter transnacional. En efecto, dicho objetivo constituye un objetivo de interés general de la Unión que puede justificar injerencias, incluso graves, en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta. Por lo demás, la protección de la seguridad pública contribuye también a la protección de los derechos y libertades de los demás. En la medida en que la evaluación de los riesgos que presentan los pasajeros aéreos mediante el análisis de dichos datos antes de su llegada facilita y acelera considerablemente los controles fronterizos de seguridad, la transferencia de los datos del registro de nombres de los pasajeros a un país tercero y los tratamientos posteriores de éstos pueden considerarse idóneos para lograr el objetivo perseguido por el acuerdo previsto consistente en garantizar la protección y la seguridad públicas.
(véanse los apartados 148, 149 y 151 a 153)
10. Tratándose de un acuerdo internacional relativo a la transferencia de los datos sensibles del registro de nombres de los pasajeros a un país tercero, que la Unión tiene previsto celebrar, cualquier medida que se base en la premisa de que una o varias de las características enunciadas en el acuerdo previsto, como el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, el estado de salud o la sexualidad podrían, por sí solas y con independencia del comportamiento individual del viajero afectado, ser pertinentes en atención a la finalidad de los tratamientos de datos del registro de nombres de los pasajeros vulneraría los derechos garantizados en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, en relación con el artículo 21 de ésta. Habida cuenta del riesgo de un tratamiento de datos contrario al artículo 21 de la Carta, la transferencia de tales datos al país tercero en cuestión exigiría una justificación concreta y particularmente sólida, basada en motivos distintos de la protección de la seguridad pública contra el terrorismo y los delitos graves de carácter transnacional. A falta de tal justificación, los artículos 7, 8 y 21 así como el artículo 52, apartado 1, de la Carta se oponen tanto a la transferencia de datos sensibles a un Estado tercero como al marco regulador negociado por la Unión con ese Estado tercero sobre los requisitos relativos al uso y la conservación de tales datos por las autoridades de dicho Estado tercero.
(véanse los apartados 164 a 167)
11. En el caso de un acuerdo internacional que la Unión tiene previsto celebrar que trata sobre la transferencia de los datos del registro de nombres de los pasajeros a un Estado tercero y que contempla un tratamiento automatizado de tales datos con el objetivo de proteger la seguridad pública contra el terrorismo y los delitos graves de carácter transnacional, el alcance de la injerencia que suponen los análisis automatizados de los datos del registro de nombres de los pasajeros en los derechos consagrados en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea depende fundamentalmente de los modelos y criterios preestablecidos así como de las bases de datos en que se apoye ese tipo de tratamiento de datos. En consecuencia, los modelos y criterios preestablecidos deberían ser, por una parte, específicos y fiables, de modo que permitan llegar a resultados que seleccionen individuos sobre los que podría recaer una sospecha razonable de participación en actividades terroristas o delitos graves de carácter transnacional, y, por otra parte, no discriminatorios. Asimismo, las bases de datos con las que se cotejan los datos del registro de datos de los pasajeros deben ser fiables, estar actualizadas y limitarse a bases de datos utilizadas por el país tercero en relación con la lucha antiterrorista y los delitos graves de carácter transnacional.
(véanse los apartados 168 y 172)
12. Un acuerdo internacional relativo a la transferencia de los datos del registro de nombres de los pasajeros a un país tercero no excede de los límites de lo estrictamente necesario por el hecho de permitir la transferencia de dichos datos de la totalidad de los pasajeros aéreos a ese país tercero, en la medida en que tales datos permitan, en particular, facilitar los controles de seguridad en las fronteras a los que, a tenor del artículo 13 del Convenio de Chicago sobre Aviación Civil Internacional, están sujetos todos los pasajeros con arreglo a las leyes y reglamentos del país tercero.
(véanse los apartados 187 a 189)
13. En el caso de un acuerdo internacional relativo a la transferencia de los datos del registro de datos de los pasajeros a un país tercero que la Unión tiene previsto celebrar, para garantizar que la conservación de los datos transferidos, el acceso a esos datos por las autoridades nacionales contempladas en el acuerdo previsto y la utilización de dichos datos por éstas se limiten a lo estrictamente necesario, ese acuerdo debe establecer normas claras y precisas que indiquen en qué circunstancias y con qué requisitos dichas autoridades pueden conservarlos, acceder a ellos y utilizarlos.
Por lo que respecta a la conservación de los datos de carácter personal, el acuerdo debe, entre otros requisitos, responder en todo caso a criterios objetivos y ha de existir una relación entre los datos personales que deban conservarse y el objetivo que se pretende lograr. En cuanto a la utilización, por una autoridad, de datos personales legítimamente conservados, la medida no puede limitarse a exigir que el acceso a esos datos responda a alguna de las finalidades de la misma, sino que debe establecer también los requisitos materiales y procedimentales que regulen la referida utilización.
(véanse los apartados 190 a 192)
14. En el caso de un acuerdo internacional que prevé la conservación de los datos del registro de nombres de los pasajeros y su utilización hasta la salida de esos pasajeros del país tercero en cuestión, en particular a efectos de facilitar los controles de seguridad y los controles en las fronteras, su conservación y su utilización con ese fin no pueden, por su propia naturaleza, limitarse a un círculo determinado de pasajeros aéreos ni supeditarse a una autorización previa de un órgano judicial o de una entidad administrativa independiente. Por lo tanto, mientras los pasajeros se encuentren en el país tercero de que se trate o se dispongan a abandonarlo, la relación necesaria entre esos datos y el objetivo perseguido por el acuerdo existe, de modo que éste no excede de lo estrictamente necesario por el sólo hecho de que permita la conservación y la utilización sistemáticas de los datos del registro de nombres de los pasajeros de la totalidad de esos pasajeros. Asimismo, la utilización sistemática de tales datos con el fin de verificar la fiabilidad y la actualidad de los modelos y criterios preestablecidos en que se basen los tratamientos automatizados de esos datos o de definir nuevos modelos y criterios para dichos tratamientos está directamente relacionada con la aplicación de los controles de seguridad y los controles en las fronteras y, por lo tanto, debe considerarse que tampoco sobrepasa los límites de lo estrictamente necesario.
En cuanto a la utilización de los datos del registro de nombres de los pasajeros durante la estancia de los pasajeros aéreos en el país tercero en cuestión, ésta debe basarse en circunstancias nuevas, puesto que los pasajeros aéreos, previa comprobación de sus datos del registro de nombres de los pasajeros, han sido autorizados a entrar en el territorio del país tercero en cuestión. Dicha utilización requiere normas que establezcan los requisitos materiales y procedimentales que la regulen, con la finalidad principal de proteger esos datos contra los riesgos de abusos. Tales normas deben basarse en criterios objetivos para definir las circunstancias y los requisitos conforme a los cuales las autoridades canadienses contempladas en el acuerdo previsto están autorizadas para utilizarlos.
En este sentido, cuando existan elementos objetivos que permitan considerar que los datos del registro de nombres de los pasajeros de uno o varios pasajeros aéreos podrían contribuir de modo efectivo al objetivo de lucha contra los delitos de terrorismo y los delitos graves de carácter transnacional, no parece que la utilización de tales datos exceda de lo estrictamente necesario. Para garantizar en la práctica el pleno cumplimiento de esos requisitos, es esencial que la utilización durante la estancia de los pasajeros aéreos en el país tercero de que se trate de los datos del registro de nombres de los pasajeros conservados se supedite, en principio, salvo en casos de urgencia debidamente justificados, al control previo de un órgano judicial o de una entidad administrativa independiente, y que la decisión de ese órgano judicial o de esa entidad administrativa se adopte a raíz de una solicitud motivada de las autoridades competentes, presentada, en particular, en el marco de procedimientos de prevención, de descubrimiento o de acciones penales.
(véanse los apartados 197 a 202)
15. En el caso de un acuerdo internacional que la Unión tiene previsto celebrar, que trata sobre la transferencia de los datos del registro de nombres de los pasajeros a un país tercero y que contempla la conservación de dichos datos tras la partida de los pasajeros aéreos de ese país tercero con el objetivo de proteger la seguridad pública contra el terrorismo y la criminalidad grave de carácter transnacional, en lo que se refiere a los pasajeros aéreos respecto de los cuales no se haya identificado un riesgo en materia de terrorismo o de delincuencia grave de carácter transnacional a su llegada a dicho país tercero ni hasta su partida de él, no parece que exista, una vez que hayan abandonado el país, relación alguna, siquiera indirecta, entre sus datos del registro de nombres de los pasajeros y el objetivo perseguido por el acuerdo previsto que justifique la conservación de esos datos. El almacenamiento continuado de los datos del registro de nombres de los pasajeros de la totalidad de los pasajeros aéreos después de su partida del país tercero en cuestión no parece, por tanto, limitarse a lo estrictamente necesario. No obstante, en la medida en que se identifiquen, en casos particulares, elementos objetivos que permitan considerar que determinados pasajeros aéreos podrían, incluso después de su partida de dicho país tercero, presentar un riesgo en términos de lucha contra el terrorismo y la delincuencia grave de carácter transnacional, el almacenamiento de los datos del registro de nombres de los pasajeros relativos a ellos parece admisible aun después de concluida su estancia en dicho país tercero. La utilización de los datos del registro de nombres de los pasajeros así almacenados debería basarse en criterios objetivos para definir las circunstancias y requisitos conforme a los cuales las autoridades del país tercero contempladas en el acuerdo previsto pueden tener acceso a esos datos a efectos de su utilización. Asimismo, dicha utilización debería, salvo casos de urgencia debidamente justificados, supeditarse a un control previo efectuado bien por un órgano judicial, bien por una entidad administrativa independiente cuya decisión de autorización de esa utilización se adopte a raíz de una solicitud motivada de las referidas autoridades, presentada, en particular, en el marco de procedimientos de prevención, de descubrimiento o de acciones penales. En lo que se refiere a la duración de conservación de esos datos, una duración de cinco años no parece exceder los límites de lo estrictamente necesario a efectos de la lucha contra el terrorismo y contra los delitos graves de carácter transnacional.
(véanse los apartados 205 a 209)
16. El derecho fundamental al respeto de la vida privada, consagrado en el artículo 7 de la Carta de los Derechos Fundamentales de la Unión Europea, conlleva que la persona de que se trate pueda cerciorarse de la exactitud y de la licitud del tratamiento de sus datos personales. Para poder efectuar las comprobaciones necesarias, esa persona debe disfrutar del derecho de acceso a los datos que le conciernan y sean objeto de tratamiento.
A este respecto, en el caso de un acuerdo internacional relativo a la transferencia de los datos del registro de nombres de los pasajeros aéreos a un país tercero que la Unión tiene previsto celebrar, es importante que los pasajeros aéreos sean informados de la transferencia de sus datos del registro de nombres de los pasajeros al país tercero de que se trate y de la utilización de esos datos, siempre que tal comunicación no pueda perjudicar a las investigaciones llevadas a cabo por las autoridades públicas contempladas en el acuerdo previsto. En efecto, tal información resulta, de hecho, necesaria para que los pasajeros aéreos puedan ejercer su derecho a solicitar el acceso a los datos del registro de nombres de los pasajeros que les conciernan y, en su caso, su rectificación, así como a interponer, con arreglo al artículo 47, párrafo primero, de la Carta, un recurso efectivo ante un tribunal.
Por lo tanto, en los supuestos en que concurren circunstancias objetivas que justifican la utilización de los datos del registro de nombres de los pasajeros para luchar contra el terrorismo y la delincuencia grave de carácter transnacional y requieren una autorización previa de una autoridad judicial o de una entidad administrativa independiente, la información individual de los pasajeros aéreos resulta necesaria. Lo mismo sucede en los casos en que los datos del registro de nombres de los pasajeros aéreos se comunican a otras autoridades públicas o a particulares. No obstante, únicamente debe procederse a esa información siempre que no pueda perjudicar a las investigaciones llevadas a cabo por las autoridades públicas contempladas en el acuerdo previsto.
(véanse los apartados 219, 220, 223 y 224)
17. A tenor del artículo 8, apartado 3, de la Carta de los Derechos Fundamentales de la Unión Europea, el respeto de las exigencias en materia de tratamiento de los datos de carácter personal derivadas del artículo 8, apartados 1 y 2, de la misma estará sujeto al control de una autoridad independiente. La garantía de independencia de esa autoridad de control, cuya creación está asimismo prevista en el artículo 16 TFUE, apartado 2, pretende asegurar un control eficaz y fiable del respeto de la normativa en materia de protección de las personas físicas frente al tratamiento de datos personales y debe interpretarse a la luz de dicho objetivo. La creación de una autoridad de control independiente constituye, pues, un elemento esencial de la protección de las personas frente al tratamiento de datos personales.
(véanse los apartados 228 y 229)