Novedades en el tratamiento de datos personales en la cooperación policial y judicial penal

La Directiva 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016, cuyo texto íntegro puede consultarse en este enlace, completa la nueva regulación europea en materia de protección de datos delimitada por el Reglamento 2016/679 (el Reglamento General de Protección Datos) y la Directiva 2016/681 (por la que se establece el denominado registro de datos de pasajeros, y que ya analizamos en anteriores entradas de este blog), definiendo las garantías y principios que deben regir el tratamiento, automatizado y/o manual, de datos personales relativos a personas físicas, identificadas o identificables, cuando éste se realice con fines de “prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública”.

A través de dicha Directiva, el legislador europeo pretende agilizar la cooperación judicial y policial, facilitando la libre circulación y el intercambio de datos personales entre los Estados Miembros, todo ello en el pleno respeto del derecho fundamental que ostentan las personas físicas a que se protejan sus datos de carácter personal.

A tal fin, se enumeran los principios que rigen el tratamiento de datos personales, conforme a los cuales los datos en cuestión deben ser exactos, adecuados, pertinentes y no excesivos, siendo obligación de los Estados Miembros adoptar todos los mecanismos que permitan garantizar un adecuado nivel de seguridad y confidencialidad, además de fijar unos plazos “apropiados para la supresión de los datos personales o para una revisión periódica de la necesidad de conservación” de los mismos (artículos 4 y 5). Como es de ver, dichos principios y obligaciones no son más que reflejo de la normativa general existente a nivel de la Unión Europea en materia de protección de datos de carácter personal, cuyo hito más relevante ha sido la aprobación del Reglamento General de Protección de Datos. A la luz de dicha normativa, la Directiva consagra las siguientes obligaciones:

Si procede, y siempre que sea posible, se deberá diferenciar claramente entre los datos personales objeto de tratamiento, según afecten a sospechosos, condenados, víctimas, cómplices y/o testigos de la comisión de una infracción penal (artículo 6), sin que en ningún caso dicha clasificación pueda impedir u obstaculizar la aplicación del derecho a la presunción de inocencia.

Asimismo, se establece la obligación de verificar la calidad de los datos personales objeto de tratamiento, disponiendo expresamente que, en la medida de lo posible, en las transmisiones de datos que se realicen se deberá añadir toda la información necesaria para que el Estado receptor pueda valorar el carácter exacto, completo y fiable de los datos en cuestión (artículo 7). Entre otros aspectos, la Directiva obliga a que los Estados Miembros especifiquen de forma clara qué información se basa única y exclusivamente en apreciaciones personales de los investigadores involucrados.

Se remarca la necesidad de que los datos se traten de forma lícita, es decir, porque concurra un interés público (en otras palabras, el tratamiento de los datos deberá venir justificado por la prevención, detección, investigación o enjuiciamiento de infracciones penales o a la ejecución de sanciones penales, o, en general, por motivos vinculados a la seguridad pública).

En línea con lo preceptuado por el Reglamento General de Protección de Datos, se señala que el tratamiento de datos especialmente sensibles (o “categorías especiales de datos”, como es el caso de datos vinculados al origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la salud, la vida sexual, la afiliación sindical, de naturaleza genética o biométrica) sólo será posible cuando esté autorizado por el derecho de la Unión Europea o un Estado Miembros, sea preciso para proteger los intereses vitales del afectado, o el propio interesado los haya hecho públicos de forma manifiesta.

Se garantiza el ejercicio de los derechos reconocidos a los interesados, sin perjuicio de las limitaciones que puedan establecer los Estados Miembros en los supuestos previstos en la Directiva (artículos 12 a 18).

Los Estados Miembros disponen de un plazo de dos años para proceder a la transposición de la Directiva, de modo que hasta el 6 de mayo de 2018 podrán adaptar su normativa interna en orden a incluir las obligaciones impuestas a nivel comunitario sobre esta materia.

Alessandra Di Cesare y Daniel Urbán