La corte europea limita el uso de los registros de pasajeros en los vuelos interiores de la UE

En ausencia de amenaza terrorista real y actual o previsible a la que deba hacer frente un Estado miembro, el derecho de la Unión se opone a una legislación nacional que prevé la transferencia y el tratamiento de los datos PNR (Passenger Name Record) o registros de pasajeros de los vuelos interiores de la UE y de los transportes realizados por otros medios en el interior de la Unión. Así lo ha dictaminado el Tribunal de Justicia de la Unión Europea (TJUE) en contestación a varias cuestiones prejudiciales planteadas por el Tribunal Constitucional belga.

El caso analizado por el TJUE está relacionado con la Directiva PNR, relativa a la utilización de datos del registro de nombres de los pasajeros (PNR) para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave. Esta directiva prevé el tratamiento sistemático de un elevado número de datos de los pasajeros aéreos de los vuelos exteriores de la Unión al entrar en la Unión o al salir de ella.

La Ligue des droits humains (LDH) belga, interpuso en junio de 2017 ante el Tribunal Constitucional de ese país un recurso de anulación contra la Ley de 25 de diciembre de 2016, que transpone al derecho belga la Directiva PNR. En octubre de 2019, el Tribunal Constitucional belga planteó a la corte europea diez cuestiones prejudiciales relativas, en particular, a la validez de la Directiva PNR y a la compatibilidad de la Ley de 25 de diciembre de 2016 con el Derecho de la Unión.

El tribunal europeo declara en primer lugar que “el examen de las cuestiones prejudiciales planteadas no ha puesto de manifiesto ningún elemento que pueda afectar a la validez de dicha Directiva”. Constata, sin embargo, que la Directiva PNR comporta “injerencias de una gravedad cierta en los derechos garantizados por los artículos 7 y 8 de la Carta [de Derechos Fundamentales de la Unión], ya que tiene por objeto la implantación de un régimen de vigilancia continuo, no selectivo y sistemático que incluye la evaluación automatizada de datos de carácter personal de todas las personas que utilizan servicios de transporte aéreo. El tribunal de justicia recuerda que la posibilidad de que los Estados miembros justifiquen tal injerencia debe apreciarse ponderando su gravedad y comprobando que la importancia del objetivo de interés general perseguido se corresponde con esta gravedad.

Tribunal de Justicia de la Unión Europea. (Foto: Hispanidad)

Solo transferencias necesarias

El tribunal concluye que cabe considerar que la recogida, la transferencia, el tratamiento y la conservación de los datos PNR previstos por la Directiva “se limitan a lo estrictamente necesario para luchar contra los delitos terroristas y los delitos graves, siempre que las facultades previstas por esta Directiva sean objeto de una interpretación restrictiva”. De este modo, el fallo hace una serie de precisiones.

Por un lado, “el sistema establecido por la Directiva PNR únicamente debe comprender las informaciones claramente identificables y delimitadas en las categorías que figuran en su anexo I y que guardan relación con el vuelo realizado y el pasajero de que se trate”.

En segundo término, “la aplicación del sistema establecido por la Directiva PNR debe limitarse a los delitos terroristas y únicamente a los delitos graves que presenten un vínculo objetivo, cuando menos indirecto, con el transporte aéreo de pasajeros”.

Asimismo, “la eventual extensión de la aplicación de la Directiva PNR a todos o parte de los vuelos interiores de la Unión debe quedar limitada a lo estrictamente necesario. A tal efecto, esta extensión debe poder quedar sujeta al control efectivo de un órgano jurisdiccional o de un organismo administrativo independiente, cuyas resoluciones tengan efecto vinculante.

El TJUE precisa a este respecto que solo en el caso de que un Estado miembro tenga constancia de que se enfrenta a una amenaza terrorista real se puede aplicar la Directiva a todos los vuelos interiores de la Unión con origen o destino en este Estado miembro, si bien esta medida no debe exceder los límites de lo estrictamente necesarios. Además, cuando no exista tal amenaza terrorista, la aplicación de dicha Directiva no puede extenderse a la totalidad de los vuelos interiores de la Unión.

Dispositivo de seguridad en un aeropuerto. (Foto: Las Provincias)

Según se destaca en la sentencia, a efectos de la evaluación previa de los datos PNR, la Unidad de Información sobre los Pasajeros (UIP) solo puede, por una parte, confrontar esos datos únicamente con las bases de datos relativas a las personas u objetos buscados o bajo alerta. Estas bases de datos deben ser no discriminatorias y deben utilizarse, por las autoridades competentes, en relación con la lucha contra los delitos terroristas y los delitos graves que presenten un vínculo objetivo, siquiera indirecto, con el transporte aéreo de pasajeros.

Por lo que se refiere, por otra parte, a la evaluación previa con arreglo a criterios predefinidos, la UIP no tiene permitido utilizar tecnologías de inteligencia artificial en el marco de sistemas de autoaprendizaje (machine learning).

El Tribunal de Justicia considera que la Directiva PNR, interpretada a la luz de la Carta, se opone a una legislación nacional que autoriza el tratamiento de PNR recogidos de conformidad con esta Directiva para fines diferentes de los expresamente indicados en el artículo 1, apartado 2, de dicha Directiva.

Por lo que se refiere al plazo de conservación de los datos PNR, el tribunal de justicia resuelve que el artículo 12 de la Directiva PNR, interpretado a la luz de los artículos 7, 8 y 52, apartado 1, de la Carta, se opone a una legislación nacional que prevé una duración general de conservación de estos datos de cinco años, aplicable a todos los pasajeros aéreos sin distinción.

Por último, el TJUE estima que el derecho de la Unión se opone a una legislación nacional que prevé, en ausencia de una amenaza terrorista real y actual o previsible a la que deba enfrentarse el Estado miembro en cuestión, un sistema de transferencia, por parte de las compañías aéreas y los operadores de viaje, y un sistema de tratamiento, por parte de las autoridades competentes, de los datos PNR de la totalidad de los vuelos interiores de la Unión y de los transportes efectuados por otros medios dentro de la Unión, con origen o destino en ese Estado miembro o en tránsito por el mismo, para luchar contra los delitos terroristas y los delitos graves.

Así, en tal situación, la aplicación del sistema establecido por la Directiva PNR debe limitarse a la transferencia y al tratamiento de los datos PNR de los vuelos o los transportes relativos, en particular, a determinadas conexiones o planes de viaje o a determinados aeropuertos y estaciones o puertos marítimos respecto de los que existan indicios que permitan justificar esta aplicación. Asimismo, el tribunal de justicia precisa que el derecho de la Unión se opone a una legislación nacional que prevé tal sistema de transferencia y de tratamiento de esos datos para mejorar los controles fronterizos y luchar contra la inmigración clandestina.