María Luisa García Torres. Dra. en Derecho Procesal. Jefe de estudios del área de Derecho .Facultad Business & Tech La decisión de la Comisión Europea de iniciar un procedimiento de infracción contra España por el denominado Registro de Viajeros trasciende ampliamente el ámbito de la protección de datos. Lo que se encuentra en discusión no es únicamente la legalidad de un sistema de recogida de información personal, sino una cuestión mucho más profunda: cuáles son los límites que el Estado de Derecho impone a la recopilación masiva de datos cuando ésta se justifica en nombre de la seguridad pública.
 |
||
| Maria Luisa Garcia, experta en derecho y tic y proteccion de datos (Imagen cedida por la autora) | ||
La Comisión considera que determinados aspectos del modelo implantado mediante el Real Decreto 933/2021 podrían resultar incompatibles con el Derecho de la Unión Europea -en adelante, UE-, especialmente en relación con la amplitud de los datos exigidos, los fines para los que pueden ser utilizados y los plazos de conservación previstos.
La cuestión merece una reflexión pausada y alejada de planteamientos simplistas. No se trata de elegir entre seguridad o privacidad, ya que ambas constituyen exigencias legítimas de una sociedad democrática. La seguridad pública es una obligación del Estado y la protección de los datos personales es un derecho fundamental; el verdadero desafío consiste en encontrar un equilibrio jurídicamente sostenible entre ambas.
Sin embargo, la experiencia demuestra que la tecnología y la capacidad de almacenamiento de información generan una tentación recurrente: asumir que disponer de más datos equivale necesariamente a disponer de más seguridad. Se trata de una premisa que no siempre es cierta, pues la eficacia de las políticas públicas no depende únicamente de la cantidad de información recopilada, sino de la calidad de los análisis realizados, de la correcta identificación de riesgos y, sobre todo, de la existencia de mecanismos de control que impidan tratamientos excesivos o desproporcionados.
El anclaje jurisprudencial del Tribunal de Justicia de la Unión Europea
La preocupación expresada por Bruselas no surge en el vacío. Se inserta en una consolidada línea jurisprudencial del Tribunal de Justicia de la Unión Europea -en adelante, TJUE- cuya piedra angular se encuentra en la Sentencia Digital Rights Ireland, de 8 de abril de 2014 -asuntos acumulados C-293/12 y C-594/12-. En aquella Resolución histórica, el TJUE declaró inválida la Directiva 2006/24/CE sobre conservación de datos al considerar que imponía una recopilación y almacenamiento generalizados de información personal que suponían una injerencia particularmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de datos reconocidos en los art. 7 y 8 de la Carta de Derechos Fundamentales de la UE.
La relevancia de esta Sentencia trasciende el caso concreto y radica en una idea que continúa plenamente vigente: la lucha contra la delincuencia y la protección de la seguridad pública, por legítimas que sean, no permiten cualquier forma de recopilación de datos. Las medidas adoptadas deben superar un riguroso juicio de necesidad, proporcionalidad e idoneidad, al tiempo que deben estar acompañadas de garantías efectivas de supervisión y control. Precisamente desde esta perspectiva deben analizarse las objeciones formuladas por la Comisión Europea al sistema español.
Si efectivamente se están recopilando categorías de datos cuya necesidad para la prevención o investigación de delitos no aparece suficientemente justificada, si los fines de acceso policial no se encuentran delimitados con la precisión exigida por el Derecho europeo o si los plazos de conservación resultan excesivos respecto de la finalidad perseguida, nos encontraríamos ante un problema que trasciende la mera técnica legislativa.
El verdadero riesgo no reside en que el Estado recopile datos para proteger la seguridad pública, sino en normalizar sistemas de recopilación masiva cuya necesidad y proporcionalidad no hayan sido suficientemente justificadas. Estaríamos, por tanto, ante una clara cuestión de derechos fundamentales.
El marco normativo: el impacto de la Ley Orgánica 7/2021
Llegados a este punto, resulta obligado plantear una pregunta relevante: ¿existen mecanismos suficientes de supervisión y control sobre un sistema de estas características? Desde una perspectiva estrictamente jurídica, la respuesta exige prudencia. La apertura de un procedimiento de infracción por parte de la Comisión Europea no implica automáticamente la existencia de una vulneración acreditada del Derecho de la Unión. Corresponde a las autoridades competentes analizar el contenido del sistema, valorar la adecuación de los tratamientos efectuados y determinar, en su caso, la existencia de incumplimientos concretos.
No obstante, si de dicho análisis resultara que el sistema exige la recopilación de categorías de datos que exceden de lo estrictamente necesario para la finalidad de seguridad pública perseguida, o que los supuestos de acceso, utilización y conservación de la información carecen de la delimitación y garantías exigidas por el ordenamiento jurídico, podría plantearse una eventual vulneración de los principios que rigen el tratamiento de datos personales para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales.
En este ámbito cobra especial protagonismo la Ley Orgánica 7/2021, de 26 de mayo, que transpone al ordenamiento español la Directiva (UE) 2016/680 y regula el tratamiento de datos personales por las autoridades competentes para fines policiales y penales. Esta norma incorpora principios específicos para el tratamiento de datos por autoridades competentes, entre ellos los de limitación de la finalidad, exactitud, minimización y tratamiento adecuado, pertinente y no excesivo respecto de los fines perseguidos.
Todo ello debe interpretarse, además, a la luz del art. 18.4 de la Constitución Española y de la doctrina consolidada del TJUE. Como ya señaló este Tribunal en la citada Sentencia Digital Rights Ireland, la conservación generalizada de datos personales constituye una injerencia especialmente intensa en los derechos fundamentales, por lo que únicamente puede considerarse legítima cuando se limita a lo estrictamente necesario para alcanzar una finalidad de interés general y se acompaña de garantías efectivas frente a usos abusivos o desproporcionados.
La protección de la seguridad pública no puede desligarse del respeto a los derechos reconocidos en los arts. 7 y 8 de la Carta de Derechos Fundamentales de la UE, que constituyen hoy uno de los principales parámetros de control de la actuación pública en materia de tratamiento de datos personales.
Bajo esta premisa, cualquier sistema de recopilación masiva de información exige mecanismos efectivos de trazabilidad, supervisión, auditoría y rendición de cuentas. Cuanto más intensivo sea el tratamiento de datos personales, mayor debe ser la exigencia de justificar su necesidad y proporcionalidad.
Desde esta perspectiva, el debate jurídico no debería centrarse exclusivamente en la existencia misma del Registro de Viajeros, sino en determinar si su diseño normativo incorpora las garantías suficientes para evitar tratamientos excesivos o desproporcionados y si los datos exigidos guardan una relación objetiva y necesaria con las finalidades de seguridad pública perseguidas.
Delimitación de responsabilidades institucionales
Ahora bien, el debate sobre una eventual responsabilidad suele plantearse de forma incorrecta. La cuestión verdaderamente relevante no es determinar si existe o no una hipotética sanción administrativa, sino identificar quién ostenta la responsabilidad jurídica sobre el diseño, implantación y supervisión del sistema y quién debería asumir la obligación de corregir las eventuales deficiencias detectadas.
Si las objeciones formuladas por la Comisión Europea terminaran confirmándose tras los procedimientos correspondientes, la responsabilidad institucional recaería fundamentalmente sobre la Administración Pública responsable del tratamiento y sobre los órganos competentes en la configuración normativa y operativa del sistema.
No se trataría, en principio, de una responsabilidad atribuible a los establecimientos turísticos, agencias de viaje u otros operadores obligados a comunicar los datos en cumplimiento de una obligación legal, sino de una eventual responsabilidad derivada del propio diseño normativo del Registro de Viajeros, en la medida en que éste pudiera resultar incompatible con los principios de necesidad, proporcionalidad y limitación de la finalidad que informan el Derecho europeo.
Una oportunidad de mejora para el Estado de Derecho
La respuesta, por tanto, no debería ser defensiva. España dispone de una oportunidad inmejorable para revisar el modelo y adaptarlo a los estándares más exigentes de gobernanza de datos y protección de derechos fundamentales. Ello exige, al menos, cuatro actuaciones: redefinir las categorías de información exigibles, limitar de forma precisa los supuestos de acceso a los datos, revisar los plazos de conservación y reforzar los mecanismos de auditoría y supervisión independiente.
La transformación digital de la seguridad pública constituye una necesidad incuestionable, pero también lo es la preservación de los derechos fundamentales. La tecnología amplía la capacidad de actuación de los poderes públicos, pero también incrementa sus deberes de justificación, transparencia y rendición de cuentas. Cuanto más intensivo sea el tratamiento de datos personales, mayor debe ser la exigencia de demostrar que la medida resulta necesaria, proporcionada y respetuosa con los derechos fundamentales.
El expediente abierto por la Comisión Europea no debe interpretarse únicamente como una controversia sobre protección de datos. Constituye, en realidad, una oportunidad para reflexionar sobre cómo construir políticas públicas de seguridad compatibles con los valores del Estado de Derecho. Porque la legitimidad de una democracia digital no depende de la cantidad de información que es capaz de recopilar sobre sus ciudadanos, sino de su capacidad para proteger simultáneamente la seguridad colectiva y los derechos fundamentales que la definen.