08-44 Dictamen de la Autoridad Común de Control relativo al nivel

08-44 Dictamen de la Autoridad Común de Control relativo al nivel

EUROPOL JOINT SUPERVISORY BODY
AUTORIDAD COMÚN DE CONTROL
DE EUROPOL
Dictamen 08/44 de la Autoridad Común de Control relativo al
nivel de protección de datos en la Federación de Rusia
LA AUTORIDAD COMÚN DE CONTROL DE EUROPOL
A.
1.
Observaciones preliminares
Se ha solicitado a la ACC que emita un dictamen sobre la legislación y la práctica
administrativa de la Federación de Rusia en el ámbito de la protección de datos, sobre la base del
informe del fichero nº 2641-61 de 24 de junio de 2008.
2.
El Consejo de Administración de Europol ha presentado dicho informe a la ACC, de
conformidad con el artículo 1, apartado 5, de la Decisión del Consejo por la que se autoriza al
Director de Europol a entablar negociaciones sobre acuerdos con terceros Estados y organismos no
relacionados con la Unión Europea 1 .
3.
En el artículo 3, apartado 3, segunda parte, de las normas para la transmisión de datos
personales a Estados y organismos terceros se reconoce expresamente que habrá de obtenerse el
dictamen de la ACC en el marco del procedimiento en el que corresponde al Consejo de la Unión
Europea decidir si autoriza o no el acuerdo negociado entre Europol y la Federación de Rusia. La
ACC subraya, en consecuencia, que el presente dictamen se refiere únicamente a la cuestión de si
Europol puede entablar negociaciones con la Federación de Rusia tendentes a la conclusión de un
acuerdo sobre la transmisión de datos personales por parte de Europol a la Federación de Rusia.
1
DO C 106 de 13.4.2000.
No vincula en modo alguno a la ACC en lo que se refiere a la elaboración de dictámenes relativos a
proyectos de acuerdo que se puedan celebrar entre Europol y la Federación de Rusia.
4.
La ACC señala que el presente dictamen se basa en el informe de Europol correspondiente al
fichero nº 2644-61 de 24 de junio de 2008.
B.
5.
Nivel de protección de datos en la Federación de Rusia
De acuerdo con el artículo 1, apartado 5, de la Decisión del Consejo de 27 de marzo de 2000,
la consulta de la ACC se inscribe dentro de un procedimiento que obliga al Consejo de
Administración a elaborar un informe destinado al Consejo en el que facilitará al Consejo la
información necesaria para decidir si existen o no obstáculos para entablar negociaciones. En su
decisión, el Consejo deberá tener en cuenta la legislación y la práctica administrativa en materia de
protección de datos, incluida la autoridad responsable en materia de protección de datos.
6.
En vista de ello, la ACC evalúa si el nivel de protección de datos del tercer Estado no
plantea obstáculos para iniciar las negociaciones. Cuando en determinadas materias el nivel de
protección de datos difiera ostensiblemente del requerido por Europol en virtud del Convenio
Europol, o cuando no se cumplan determinadas obligaciones de protección aplicables por Europol,
la ACC evaluará si en virtud de un acuerdo negociado entre Europol y dicho país cabrá la
posibilidad de regular dichas materias de manera que dejen de existir obstáculos (en materia de
protección de datos) cuando deba adoptarse una decisión sobre la celebración del acuerdo.
2
7.
La ACC señala que la Federación de Rusia ha firmado y ratificado el Convenio nº 108 del
Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de
datos de carácter personal, aunque la notificación de las ratificaciones todavía no se ha producido
debido a que la ley de desarrollo del artículo 4 del Convenio 108 está en fase de preparación. La
Federación de Rusia también firmó, el 13 de marzo de 2006, el Protocolo Adicional de dicho
Convenio relativo a las autoridades de control y a los flujos transfronterizos de datos 2 .
8.
El informe sobre la protección de datos aporta una descripción exhaustiva de la legislación
en materia de protección de datos de la Federación de Rusia aplicable a los cuerpos y fuerzas de
seguridad, así como de la legislación que regula las actividades de tratamiento de datos de estos
cuerpos.
Según el informe de protección de datos, la ley general nº 152-FZ sobre protección de datos, que
contiene los principios generales sobre protección de datos, es aplicable a las actividades de los
cuerpos y fuerzas de seguridad. El informe también menciona que la legislación específica sobre
protección de datos para el tratamiento de datos por parte de las autoridades policiales también está
formada por los actos jurídicos ministeriales y de otros organismos oficiales, autoridades policiales
así como por los acuerdos en materia de cooperación entre el Ministerio de Asuntos Interiores de la
Federación de Rusia y las autoridades policiales de Estados terceros.
Esta interrelación entre instrumentos jurídicos, que abarcan desde leyes federales hasta actos
jurídicos de diversos organismos oficiales, constituye el nivel de protección de datos aplicable a los
cuerpos y fuerzas de seguridad. No obstante, el contenido de esta legislación no se especifica y,
aparentemente, a menudo se clasifica como restringido 3 .
Por lo tanto, no es posible evaluar las consecuencias de esta interrelación para la aplicabilidad de la
legislación general sobre protección de datos y las implicaciones que podría tener sobre el nivel de
protección de datos.
2
3
CETS nº 181
Informe sobre protección de datos 2641-61, nota al pie de la página 7
3
9.
Otro aspecto que complica la evaluación de la aplicación de la legislación sobre protección
de datos es la exclusión del tratamiento de los datos personales cuando se lleva a cabo para
determinadas actividades, como las consideradas secretos de Estado. Según el informe de
protección de datos, y en particular lo relativo a las leyes sobre secretos de Estado (Ley federal
nº 5485-1 de 21 de julio de 1993) y a las actividades de búsquedas operativas (Ley federal
nº 144-FZ de 12 de agosto de 1995), los resultados de una actividad de búsqueda operativa serán
considerados secretos de Estado, quedando así excluidos de la aplicación de la legislación general
sobre protección de datos. Dado que las actividades de búsqueda operativa incluirán sin lugar a
dudas actividades de inteligencia explícitas y encubiertas por parte de los cuerpos y fuerzas de
seguridad, y, por tanto, importantes para la cooperación con Europol, parece que existe una
diferencia considerable entre el nivel de protección de datos en Rusia y el aplicable a Europol, al
menos en lo que se refiere a los datos personales que pueden ser susceptibles de intercambio en el
futuro.
A fin de explorar si la relación entre la Ley federal sobre protección de datos y las leyes en materia
de secretos de Estados y actividades de búsqueda operativa puede constituir un obstáculo para la
celebración de un acuerdo y, por ende, para el comienzo de las negociaciones, se debería aclarar si
los datos personales que se espera que sean intercambiados entre la Federación de Rusia y Europol
serán clasificados, de conformidad con la legislación nacional, como secretos de Estado.
10.
A este respecto, también será necesario recibir información sobre la legislación específica en
materia de protección de datos vigente, como se indica en el punto 8.
11.
Como ya se indicó en el punto 6, es posible superar las diferencias en el nivel de protección
de datos si en el acuerdo entre la Federación de Rusia y Europol se recoge un nivel de protección
adecuado. Por lo tanto, es importante establecer si las disposiciones de dicho acuerdo tendrán
primacía y si serán directamente aplicables. La ACC entiende que esta primacía queda garantizada
si así lo establece la legislación federal 4 . Dado que la Ley federal sobre protección de datos podría
no ser de aplicación y dado que las demás leyes específicas sobre protección de datos aplicables a
los cuerpos y fuerzas de seguridad (véase el punto 9) no se consideran leyes federales, no está
garantizado que un acuerdo entre Europol y la Federación de Rusia pueda servir para superar
cualquier posible obstáculo derivado de las diferencias existentes en los niveles de protección de
datos.
4
Informe de protección de datos 2641-61, capítulo 2.1
4
12.
La ACC señaló que las actividades del Servicio Federal encargado de la supervisión de la
protección de datos están dirigidas por el Gobierno de la Federación de Rusia. En vista de la
obligación de contar con una supervisión independiente de la protección de datos, la relación entre
este servicio y el gobierno se debe aclarar a fin de evaluar si dicha supervisión independiente está
consagrada en los instrumentos jurídicos que tratan de la protección de datos en el ámbito de los
cuerpos y fuerzas de seguridad. También cabría señalar que el informe sobre protección de datos no
ofrece información sobre la práctica de la supervisión de la protección de datos ni de las
inspecciones reales que se efectúan del tratamiento de la información policial.
C.
Dictamen sobre el nivel de protección de datos en la Federación de Rusia
La ACC entiende que la cooperación entre las autoridades de los cuerpos y fuerzas de seguridad de
la Federación de Rusia y Europol es necesaria. Esta cooperación, que incluye el intercambio de
datos personales, sólo puede producirse sobre la base de un acuerdo operativo. De conformidad con
el Convenio Europol y sus normas de aplicación, este tipo de acuerdos sólo se pueden negociar una
vez evaluado el nivel de protección de datos del país en cuestión.
Aunque el informe de protección de datos ofrece una descripción exhaustiva de la legislación rusa,
la información presentada sobre los distintos instrumentos jurídicos en relación con la protección de
datos y la aplicación de la ley, la interrelación entre estos instrumentos jurídicos y la clasificación
restringida de algunos de ellos plantean ciertas dudas. La naturaleza de estas dudas es un indicio de
que el comienzo de las negociaciones podría verse obstaculizado. También cabe señalar que, con la
información disponible, no es posible evaluar si estos obstáculos potenciales pueden solventarse en
un acuerdo entre Europol y la Federación de Rusia.
La ACC sugiere al Consejo de Administración y a Europol que busquen respuestas a las diferentes
dudas planteadas en los puntos 8 a 12 del presente dictamen. Una vez que haya recibido más
información, la ACC evaluará el nivel de protección de datos en la Federación de Rusia.
Hecho en Bruselas
8 de octubre de 2008
David Smith
Presidente
5