La Comisión Europea anunció este jueves que ha iniciado un procedimiento de infracción contra España por incumplimiento de la normativa de la UE sobre protección de datos de los pasajeros y tratamiento de estos datos por parte de la policía, al considerar excesivas las categorías de datos almacenados y el tiempo durante el cual las autoridades los conservan.
El procedimiento de infracción comienza con el envío de una carta de requerimiento, en la que se informa al Estado miembro de las irregularidades y se le concede un plazo de dos meses para adoptar las medidas necesarias para subsanarlas.
Si no se resuelve el incumplimiento, Bruselas podrá emitir un dictamen motivado, lo que deja algo más de tiempo para el diálogo, pero es el paso previo a la fase final del proceso, que pasa por llevar al Estado miembro ante el Tribunal de Justicia de la Unión Europea (TJUE).
En este caso, la Comisión Europea señala que la Directiva sobre protección de datos en materia penal regula el tratamiento de datos personales por parte de las autoridades policiales en el desempeño de sus funciones de forma que se proteja el derecho fundamental a la protección de datos.
España exige que los proveedores de alojamiento, las plataformas en línea y las empresas de alquiler de coches recopilen, almacenen y transmitan los datos personales de los viajeros a una base de datos gubernamental centralizada a la que pueden acceder las autoridades encargadas de hacer cumplir la ley, pero Bruselas considera que esto infringe la legislación de la UE.
Por lo tanto, las autoridades de la UE consideran que las categorías de datos personales recopilados y almacenados son “excesivas”, debido a la variedad de conjuntos de datos, incluidos los datos de pago y GPS. Además, el acceso de las autoridades encargadas de hacer cumplir la ley no se limita a fines específicos y explícitos, como exige la Directiva, y las autoridades conservan los datos durante un período de tres años, lo que Bruselas considera “desproporcionado”.
La medida podría generar nuevas preguntas sobre los controles fronterizos de entrada y salida del EES, que recopilan muchos más datos sobre pasajeros no pertenecientes a la UE, como los británicos. llegando a la UE y la zona Schengen. En noviembre del año pasado, justo cuando comenzaba el despliegue del SES, la Agencia Española de Protección de Datos (AEPD) impuso una multa de más de 10 millones de euros a la autoridad aeroportuaria española Aena por desplegar sistemas de reconocimiento facial sin realizar primero una evaluación de impacto válida que, entre otras cuestiones, examine la necesidad, idoneidad y proporcionalidad de la medida. En total, la multa asciende a 10.043.002 € por incumplimiento del artículo 35 del Reglamento General de Protección de Datos (RGPD).
En una resolución el organismo también confirmó la suspensión temporal de todo procesamiento de datos biométricos. En particular, añade el texto, esto se aplica al sistema de identificación por reconocimiento facial utilizado para controlar el acceso de los pasajeros a determinadas zonas de los aeropuertos gestionados por Aena, hasta que este operador realice una evaluación de impacto en materia de protección de datos (DPIA) de acuerdo con los términos del RGPD.
Y es que, el pasado verano, la Confederación Española de Hoteles y Alojamientos Turísticos (Cehat) acogió con satisfacción el comunicado de la Agencia Española de Protección de Datos (AEPD) informando de que los proveedores de alojamiento no podían solicitar copia del DNI o pasaporte de sus clientes, aunque subrayan que el problema con el Real Decreto 933/2021 -el nuevo registro de viajeros- es ‘más amplio’.
Cehat, que advirtió que fotocopiar el DNI es ilegal, señaló que el real decreto aún estaba pendiente de desarrollo legislativo, pero que su aplicación estaba generando “múltiples conflictos” con la normativa de protección de datos, así como confusión entre los cuerpos policiales.