Reflexiones sobre el intercambio automatizado de ciertos datos entre las autoridades policiales de los Estados miembros de la UE, a la luz de la propuesta de Reglamento Prüm II, desde la perspectiva de la protección de los derechos fundamentales

669 REFLEXIONES SOBRE EL INTERCAMBIO AUTOMATIZADO DE CIERTOS DATOS ENTRE LAS AUTORIDADES POLICIALES DE LOS ESTADOS MIEMBROS DE LA UE, A LA LUZ DE LA PROPUESTA DE REGLAMENTO PRÜM II, DESDE LA PERSPECTIVA DE LA PROTECCIÓN DE LOS DERECHOS FUNDAMENTALES1 Joaquín Sarrión Esteve2 Universidad Nacional de Educación a Distancia «El derecho tiene la misión de aprehender y proteger los intereses materiales e ideales del hombre en la medida en que éstos se presentan como dignos de protección.» K. Engisch, Introducción al pensamiento jurídico, Comares, 2001, p. 219. 1 Reconocimientos. Este trabajo que pretende homenajear al querido profesor Gregorio Cámara Villar se ha desarrollado en el ámbito y como resultado de los siguientes proyectos: Cátedra Jean Monnet Gobernanza y Regulación en la Era Digital —Proyecto 101127331 GovReDig, ERASMUSJMO-2023-HEI-TCH-RSCH, financiado por la Unión Europea; y el Centro de Excelencia Jean Monnet «Baldus. Building the Age of a Lawful and sustainable Data-USe», ERASMUS-JMO-2021HEI-TCH-RSCH, financiado por la Unión Europea; ambos en el ámbito del Programa Erasmus+. Los puntos de vista y opiniones expresados son los del autor y no reflejan necesariamente los de la Unión Europea ni los de la Agencia Ejecutiva en el Ámbito Educativo y Cultural Europeo (EACEA). Ni la Unión Europea ni la EACEA pueden ser consideradas responsables de las mismas. Asimismo, en el ámbito de actividades de la Cátedra ISAAC. Derechos Individuales, Investigación Científica y Cooperación, UNED— CNR/IFAC., formada por la UNED en colaboración con el CNR-IFAC. Además, el autor forma parte del Grupo de Investigación consolidado «Derechos Fundamentales Multinivel» de la UNED, así como el Grupo de Investigación «Regulation Research Group» de la Universitat de València. Por último, también se reconoce que algunas de las reflexiones que se plasman aquí derivan, si bien en una parte inicial, de la investigación desarrollada en el marco de los siguientes proyectos «Intercambio y protección de datos personales en la UE: la prueba pericial de ADN y su eficacia procesal en España, Plan Nacional, ref. DER 2009-08071, 2010-2014; y «Avances en la incorporación de la prueba científica de ADN en el proceso penal y su aplicabilidad a otras Ciencias Forenses», Plan Nacional. ref. DER2014-57133-R, 2015-2017. 2 Profesor Titular de Derecho Constitucional. Catedrático Jean Monnet de Gobernanza y Regulación en la Era Digital (GovReDig). Co-director de la Cátedra ISAAC. Derechos individuales, Investigación Científica y Cooperación. Universidad Nacional de Educación a Distancia (UNED). [email protected] ORCID: 0000-0002-6803-283X. 670 ESTUDIOS SOBRE ELESTADO SOCIAL YDEMOCRÁTICODE DERECHO I. Introducción Como es sabido, en el ámbito europeo, varios Estados miembros de la Unión Europea (Bélgica, Alemania, España, Francia, Luxemburgo, Holanda y Austria) firmaron en 2005 un tratado internacional para reforzar la lucha contra el terrorismo, la delincuencia transfronteriza y la migración ilegal, conocido como el Tratado de Prüm3 que regulaba el intercambio automatizado de datos para la cooperación policial4; si bien hay que incidir en que establecía unas bases de una cooperación gubernamental de carácter internacional o multilateral, no tratándose de una cooperación reforzada de carácter comunitario, sino regida por el Derecho internacional5. Esto fue objeto de crítica, por lo que podía suponer de huida del proceso de cooperación comunitario. Sin embargo, apenas dos años después, y bajo presidencia alemana, y ya en el sistema jurídico de la Unión Europea (UE), y a la vista del potencial de Prüm, se decidió incorporar el contenido sustancial de dicho Tratado internacional al Derecho de la UE, plasmándose en dos decisiones: la Decisión 2008/615/JAI del Consejo, de 23 de junio de 2008 sobre la profundización de la cooperación transfronteriza, en particular en materia de lucha contra el terrorismo y la delincuencia transfronteriza (en adelante Decisión 2008/615) conocida como 3 Tratado entre el Reino de Bélgica, la República Federal de Alemania, el Reino de España, la República Francesa, el Gran Ducado de Luxemburgo, el Reino de los Países Bajos y la República de Austria relativo a la profundización de la cooperación transfronteriza, en particular en materia de lucha contra el terrorismo, la delincuencia transfronteriza y la migración ilegal, firmado en Prüm el 27 de mayo de 2005. 4 También regulaba otro tipo de información de interés policial como las impresiones dactilares, y la información sobre registros de matriculación de vehículos. 5 Como muy bien apuntaba en un primer análisis de la Convención de Prüm, desde la perspectiva de la garantía de los derechos fundamentales, el profesor Gregorio Cámara, véase Cámara Villar, Gregorio, «La garantía de los derechos fundamentales afectados por la Convención de Prüm», ReDCE, 2007, nº 7. La ReDCE dedicó una parte monográfica del número 7, enero-junio de 2007, a varios estudios relativos al Tratado de Prüm, que son merecedores de atención para considerar lo que supuso la adopción del Tratado y que incluyen, también, los trabajos de Freixes San Juan, T., «Protección de Datos y Globalización. La Convención de Prüm», ReDCE, 2007, nº 7; Ziller, J., «El Tratado de Prüm», ReDCE, 2007, nº 7; Dietrich Plaza, C., «El Tratado de Prüm en el marco de la regulación de protección de datos personales en la Unión Europea», ReDCE, 2007, nº 7; Aced Félez, E., «Ejercicio y garantía del derecho a la protección de datos personales en el Convenio de Prüm», ReDCE, 2007, nº 7; Pérez Francesch, J. L., «Cooperación policial y judicial en la Convención de Prüm», ReDCE, 2007, nº 7; Gómez Sánchez, Y., «Los datos genéticos en el Tratado de Prüm», ReDCE, 2007, nº 7; Zambrano Gómez, E., «La regulación de los ficheros policiales en España y su tratamiento en la Convención de Prüm. La perspectiva de las autoridades nacionales de protección de datos», ReDCE, 2007, nº 7; Remotti Carbonell, J. C., «Las medidas contra el terrorismo en el marco del Tratado de Prüm», ReDCE, 2007, nº 7; Rovira, A., «Los defensores del pueblo y la Convención de Prüm», ReDCE, 2007, nº 7; Bar Cendón, A., «El Tratado de Prüm y la inmigración ilegal», ReDCE, 2007, nº 7. 671 JOAQUÍN SARRIÓN ESTEVE REFLEXIONES SOBRE EL INTERCAMBIO AUTOMATIZADO… Decisión Prüm, y la Decisión 2008/616/JAI del Consejo de 23 de junio de 2008 relativa a la ejecución de la anterior (en adelante Decisión 2008/616) conocida como Decisión de ejecución de Prüm, aunque a ambas se las suele llamar decisiones Prüm; estas normas prevén el intercambio automatizado de ADN, datos dactiloscópicos (huellas dactilares), así como también los datos de matriculación de vehículos entre las autoridades policiales nacionales. No obstante, la aplicación del sistema Prüm en la Unión Europea no ha estado exento de dificultades y desafíos. Así, hay que considerar que el intercambio de datos automatizado, y por tanto la obligación de acceso a estos datos a autoridades de otros Estados, presupone, en primer lugar, una confianza mutua entre Estados y sus respectivos sistemas jurídicos, tanto desde el punto de vista del Estado que realiza la búsqueda en el Estado responsable del fichero, en lo que respecta a las garantías en la obtención de los datos, su conservación, así como por parte del Estado responsable del fichero en relación con el Estado que realiza la búsqueda, en relación con las garantías en el acceso y la búsqueda (autoridades que realizan la búsqueda, finalidad legítima de la búsqueda, etc.); en segundo lugar, como se infiere claramente, obligaba a los Estados a crear ficheros o sistemas nacionales para que las autoridades de los otros Estados puedan acceder y realizar búsquedas de datos, lo que, teniendo en consideración las diferencias existentes entre Estados miembros, no era tarea fácil: algunos no tenían ficheros, otros tenían ficheros pero no a nivel nacional, sino regional, o bien tenían varios a nivel nacional que había que integrar o conectar, lo que planteaba desafíos, más que jurídicos de carácter técnico, que no se pueden obviar. Y todo ello en un momento donde no había siquiera una mínima armonización de la regulación sustantiva en esta materia. Además, desde el punto de vista de las diferentes finalidades de tratamiento de las distintas categorías de datos, el sistema a implementar debía ser diferente. Piénsese que la búsqueda de los datos de ADN tenía como fin la investigación de un delito («consulta automatizada de los perfiles de ADN», art. 3 Decisión 2008/615/JAI), mientras que los datos dactiloscópicos podían ser objeto de búsqueda para la prevención e investigación de delitos («consulta automatizada de datos dactiloscópicos», art. 9 Decisión 2008/615/JAI), y los datos de matriculación de vehículos podían servir no solo para la prevención y persecución de delitos, sino también para otras infracciones, e incluso para el mantenimiento del orden púbico («consulta automatizada de datos procedentes de los registros de matriculación de vehículos», art. 12); esto junto a otras diferencias que se manifestaban en el procedimiento de acceso y búsqueda de datos por parte de las autoridades de otros Estados miembros. Con carácter general podemos decir que, tanto en el caso de datos de ADN como de datos dactiloscópicos, se trata de un sistema de intercambio de datos 672 ESTUDIOS SOBRE ELESTADO SOCIAL YDEMOCRÁTICODE DERECHO basado en dos (sub)fases, primero en el acceso y comparación transferencia de datos mienta una puesta en red de datos nacionales de unos Estados a otros6 que permite obtener resultados de hit/not hit, que en caso afirmativo, concordancia o de match (hit)7, lleva a la segunda (sub)fase de solicitud de los datos de identificación, que serán los que se utilizarán a nivel interno por parte del Estado receptor para la investigación del delito8; mientras que en el caso de los datos de matriculación de vehículos, se utiliza en realidad un sistema común, el Sistema Europeo de Información sobre Vehículos y Permisos de Conducir (Eucaris)9. 6 Considerandos 12 y 13 de la Decisión 2008/615/JAI, de 23 de junio de 2008 (2008/615/JAI). Y es que tanto el Tratado de Prüm como las Decisiones que en el ámbito de la Unión Europea han incorporado al acerco comunitario el contenido sustancial de dicho Tratado, regulan el intercambio de perfiles de ADN, esto es, el acceso en condiciones de reciprocidad a las bases de datos nacionales, conforme a las recomendaciones del Programa de la Haya para la consolidación de la libertad, la seguridad y la justicia, que dejaba la creación de bases de datos europeas centralizadas si se hubieran realizado estudios que demostraran su valor añadido. Vid. Considerando nº 7 de la 2008/615/JAI. 7 Se explica de la siguiente forma, en palabras de Prainsack y Toom: «so-called hit/not hit basis means that the automatic Exchange results only in a ‘yes’ or ‘no’ answer regarding the presence of a match with another profile». Véase Prainsack, B., Toom, V., «The Prüm Regimen. Situated Dis/Empowerment in Transnational DNA Profile Exchange», Brit. J. Criminol, 2010, nº 50, p. 1123. 8 Aunque algunos autores hablan propiamente de dos fases dentro del intercambio de datos; por ejemplo, Fiodorova, A., «Hacia el acceso directo a las bases de datos en la cooperación policial transfronteriza», en Fontestad Portalés, L. (dir.), Jimémez López, M. de las Nives (coord.), La transformación digital de la cooperación penal internacional, Thomsom Reuters Aranzadi, Madrid, 2021, pp. 5657; yo me inclino por considerar que en realidad se trata de dos subfases, porque el intercambio de datos constituye una fase en si misma dentro del uso de estas tecnologías, que en lo aquí interesa, al menos lo que supone el uso de tecnologías biométricas como son la tecnología del ADN y la de reconocimiento facial, incluyen básicamente tres fases o partes: 1) la fase de obtención de los datos a nivel interno por parte de los Estados que los han obtenido, con sus distintas subfases (toma de muestras, imágenes, extracción de datos, inclusión o incorporación de datos en las bases de datos), 2) el intercambio, con las dos subfases de acceso a las bases de datos de otros Estados para realizar la búsqueda, y en caso de concordancia o match (hit), entonces solicitud de datos para su recepción ; 3) la utilización de los datos por el Estado receptor a nivel interno para la investigación penal y, en su caso, su utilización en un proceso judicial. Evidentemente, cada una de estas fases y todas las actuaciones deben realizarse con las máximas garantías para la protección de los derechos fundamentales, como indica Cabezudo Bajo en relación con el uso forense de la tecnología del ADN con el propósito, en última instancia, de obtener una prueba válida en un proceso penal interno, véase «La regulación del Uso forense de la tecnología del ADN en España y en la UE: identificación de cinco nuevas cuestiones controvertidas», Revista General de Derecho Procesal, 2012, nº. 26. Sobre la tecnología forense del ADN véase la nota a pie de más abajo que desarrolla la posición de Cabezudo Bajo. Es cierto, no obstante, que podríamos considerar que la finalidad puede ser, en última instancia, llegar a poder obtener si fuera necesaria, una prueba válida en un proceso penal, pero esto no es necesariamente así en todos los casos, y la finalidad inicial puede limitarse a llevar a cabo la investigación penal, pues la identificación de una persona sospechosa, a través de una tecnología biométrica, sea la tecnología del uso forense del ADN, sea la tecnología biométrica de reconocimiento facial, puede facilitar el descarte de la persona sospechosa una vez interrogada, tras su identificación. 9 Fiodorova, A., «Hacia el acceso directo a las bases de datos en la cooperación policial transfronteriza», op. cit., pp. 57 y ss. 673 JOAQUÍN SARRIÓN ESTEVE REFLEXIONES SOBRE EL INTERCAMBIO AUTOMATIZADO… Desde el punto de vista técnico, los problemas eran tales que, aunque el régimen de las decisiones Prüm entró en vigor el 26 de junio de 2008, y los Estados tuvieron posteriormente un plazo de tres años para su implementación, algunos países todavía no habían conseguido una implementación eficaz que diera acceso a los otros Estados, y en el resto de casos, dadas las diferencias de software utilizado, siempre ha habido problemas para garantizar un intercambio eficaz entre todos los Estados, de forma que incluso en algunos casos, solo es posible el intercambio entre algunos de ellos, lo que ha propiciado una fragmentación de lo que pretendía ser un sistema de intercambio eficaz de datos10. Y desde la perspectiva de la protección de los derechos fundamentales, se ha evidenciado que existen diferencias en el tratamiento e intercambio de datos de ADN, datos dactilares, y de matrículas de vehículos; siendo, por supuesto, el uso de los perfiles de ADN el que plantea más desafíos jurídicos, en particular de tutela de derechos, si consideramos las diferencias existentes en el Derecho interno de los diferentes Estados miembros que potencialmente pueden participar en un intercambio de perfiles de ADN a través de las decisiones Prüm, en relación con las distintas fases de lo que se ha denominado por la doctrina como «el uso forense de la tecnología del ADN»11, y que incluyen desde la propia toma 10 Véase Consejo de la Unión Europea, «Implementation of the provisions of information exchange of the Prüm Decisions», 18 de junio de 2021, 5383/2/21 REV 2, Accesible en: https://data. consilium.europa.eu/doc/document/ST-5383-2021-REV-2/en/pdf [Último acceso 17.12.2023] 11 Acuñada así por la profesora M. J. Cabezudo Bajo, y que exige que en todas sus fases se garantice el máximo respeto de los derechos fundamentales y de las garantías legales exigibles, para poder obtener, en última instancia, una prueba que pueda ser objeto de valoración en un proceso penal, lo que requiere una armonización que resulta esencial. Véase, entre otros, los siguientes trabajos de la misma: Cabezudo Bajo, M. J., «Valoración del sistema de protección del dato de ADN en el ámbito europeo», Revista General de Derecho Europeo, 2011, nº 25; «La regulación del Uso forense de la tecnología del ADN en España y en la UE: identificación de cinco nuevas cuestiones controvertidas», op. cit.; «La necesidad de armonizar la regulación relativa al análisis del perfil de ADN (1)», La ley penal: revista de derecho penal, procesal y penitenciario, 2019, nº 137. Debo decir que, gracias Cabezudo Bajo, y en el marco de dos proyectos de investigación de Plan Nacional que coordinó y en los que participé (Intercambio y protección de datos personales en la UE: la prueba pericial de ADN y su eficacia procesal en España, Plan Nacional, ref. DER 2009-08071, 2010-2014; y Avances en la incorporación de la prueba científica de ADN en el proceso penal y su aplicabilidad a otras Ciencias Forenses, Plan Nacional. ref. DER2014-57133-R, 2015-2017) tuve la oportunidad de interesarme, desde la perspectiva de la protección de los derechos fundamentales, en el uso forense de la tecnología del ADN, con diversos trabajos, véase, entre otros, Sarrión Esteve, J, «La garantía del plazo de cancelación de datos en el intercambio de perfiles de ADN en la Unión Europea», en Cabezudo Bajo, M. J. (coord.), Las bases de datos policiales de ADN: ¿son una herramienta realmente eficaz en la lucha contra la criminalidad grave nacional y transfronteriza?, Dykinson, Madrid, 2013, pp. 297-323; «Derechos fundamentales afectados en la toma de muestras biológicas para la obtención de medios de prueba de ADN válidos y eficaces, desde el punto de vista del Derecho interno y del Derecho de la Unión Europea», Revista de derecho y genoma humano: genética, biotecnología y medicina avanzada, 2014 nº Extra 1, (Ejemplar dedicado a: Jornadas del XX Aniversario), pp. 319-330; «DNA data exchange between EU Member 674 ESTUDIOS SOBRE ELESTADO SOCIAL YDEMOCRÁTICODE DERECHO de muestras biológicas, el análisis y extracción del perfil de ADN, el tratamiento con su inclusión en la base de datos de ADN12, y su posterior puesta a disposición de otros Estados para el intercambio de datos de ADN; puesto que se pueden ver afectados, en función de la fase, y del caso particular, de forma potencial, distintos derechos fundamentales, desde el derecho a la libertad de movimientos (libertad ambulatoria), el derecho a la integridad física, el derecho a la intimidad, el derecho a la inviolabilidad del domicilio, la libertad religiosa, el derecho a no declarar contra sí mismo y a no confesarse culpable, hasta el derecho a la protección de datos de carácter personal13, aparte de las eventuales potenciales cuestiones éticas14, sin pretender aquí de ser exhaustivos, y debiendo tener en consideración que, la finalidad del uso de datos de ADN, cuando son objeto de intercambio, y uso en un Estado miembro diferente a aquel en el que se han obtenido, puede plantear problemas de estándar o nivel de protección de derechos; nótese que, un antiguo Estado miembro, como es el caso del Reino Unido, y que participa en Prüm, fue condenado por establecer una conservación de carácter indefinido e indiscriminado de datos de ADN de sospechosos, por parte del Tribunal Europeo de Derechos Humanos (Marper c. Reino Unido) al entender que se había producido una vulneración del art. 8 del Convenio EuroStates and fundamental rights protection», Amicus Curiae, nº 98, 2014, pp. 10-13; «La garantía de los derechos fundamentales en la toma de muestras de ADN para la obtención de una prueba de ADN eficaz», CEFLegal: Revista práctica de derecho. Comentarios y casos prácticos, 2015, nº 172, pp. 85-108; y con Cabezudo Bajo, M. J., «El intercambio de perfiles de ADN en la UE y la armonización de su nivel de protección: el plazo de cancelación de los perfiles en la base de datos», en Pérez Gil, J. (coord)., El proceso penal en la sociedad de la información: las nuevas tecnologías para investigar probar el delito, La Ley, Madrid, 2012, pp. 437-460. 12 Conviene precisar que las bases de datos de ADN están formadas por un soporte informático que acumula datos alfanuméricos, números, así como letras, todos asociados a un código de identificación a los que se puede acceder de forma automática; diferenciándose de los llamados «archivos de ADN», que contienen muestras de ADN, es decir, el ADN «ya extraído del núcleo celular y de las mitocondrias, dispuesto para ser analizado»; y de los archivos de muestras biológicas, que serían los almacenes donde, en su caso, se conservan las muestras biológicas de las que se ha extraído el perfil. Véase Lorente Acosta, J.A., «Identificación genética criminal: importancia médico legal de las bases de datos del ADN», en Romeo Casabona, C. M. (Ed.), Bases de datos de perfiles de ADN y criminalidad, Comares, Catedra de Derecho y Genoma humano-Comares, Bilbao-Granada, 2002, pp. 4 y 5. 13 Véase el exhaustivo análisis de Romeo Casabona, C. Mª, y Romeo Malanda, S., «Los identificadores del ADN en el Sistema de Justicia Penal», Revista Aranzadi de Derecho y Proceso Penal, nº 23, 2010, pp. 49-70. 14 Guillén, M., Lareu, M. V., Pestoni, C., Salas, A., y Carracedo, A., «Ethical-Legal problems of DNA databases in criminal investigations», Journal of Medical Ethics, 2000, nº 26, pp. 266-271; y Casado M., «Reflexiones bioético-jurídicas sobre el uso de muestras, perfiles, datos y bancos de ADN», en Casado M., Guillen, M. (coords.), ADN forense: problemas éticos y jurídicos, Cátedra UNESCO de Bioética de la Universtiat de Barcelona, Observatori de Bioètic i Dret, Publicacions i Edicions de la Universitat de Barcelona, 2014, pp. 13-23. 675 JOAQUÍN SARRIÓN ESTEVE REFLEXIONES SOBRE EL INTERCAMBIO AUTOMATIZADO… peo de Derechos Humanos, lo que obligó a una modificación de su normativa interna15. Pues bien, los problemas que se han planteado en relación con la implementación de las decisiones Prüm han motivado una profunda reflexión, para revisar el sistema y mejorarlo, lo que ha llevado finalmente al planteamiento de un nuevo sistema Prüm mejorado, de segunda generación, Prüm II. No es menor el hecho de que se haya avanzado de un modo muy significativo en la UE en materia de protección de los datos y la libre circulación de datos, con el objetivo de crear un espacio seguro de circulación de datos en la Unión Europea, siendo muy relevantes, a estos efectos, en particular el Reglamento (UE) 2016/79, el Reglamento General de Protección de Datos (RGPD)16 que es la regulación general aplicable a los datos de carácter personal, así como, en el ámbito de la investigación penal, y en lo que aquí interesa, para el régimen de Prüm y Prüm II, la Directiva (UE) 2016/680 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos, y que pretende contribuir a la creación de un espacio de libertad, seguridad y justicia en la Unión Europea17. II. La revisión de Prüm en el contexto de la nueva estrategia dedatos de la Unión Europea: perspectivas y desafíos Los problemas detectados en el sistema auspiciado por las Decisiones Prüm se evidencian ya en las Conclusiones del consejo sobre la aplicación de las decisio15 STEDH de 4 de diciembre de 2008, asunto S. y Marper c. Reino Unido. En el Derecho interno inglés aplicable a las bases de datos policiales de ADN, se contemplaba —además de la conservación de muestras biológicas— la conservación de perfiles de ADN, tanto dubitados como indubitados, con carácter indefinido, conforme al art. 82.(6b) de la Ley sobre justicia penal y policía de 2001 (Criminal Justice and Police Act 2001). Sobre esta problemática de la legislación inglesa, ya resuelta, véase Sarrión Esteve, J. y Cabezudo Bajo, M. J., «El intercambio de perfiles de ADN en la UE y la armonización de su nivel de protección: el plazo de cancelación de los perfiles en la base de datos», op. cit, pp. 238 y ss. 16 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). 17 Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. 676 ESTUDIOS SOBRE ELESTADO SOCIAL YDEMOCRÁTICODE DERECHO nes Prüm de 2018, en la que se reconocía que a finales del primer semestre de 2018 únicamente 24 Estados miembros estaban operativos para el intercambio automatizado de datos, con el establecimiento de un número significativo de conexiones bilaterales entre los miembros operativos, así como la necesidad de ampliar la conectividad entre los Estados, la utilización, con más frecuencia de los instrumentos ofrecidos por las Decisiones Prüm, que se invite al grupo de expertos DAPIX18 a evaluar la evolución de los trabajos de Prüm para introducir más avances para utilizar «posibles tecnologías biométricas nuevas como los sistemas de reconocimiento facial», y que promuevan el potencial de Prüm, pidiendo a la Comisión Europea a que apoye a los Estados miembros a la aplicación de los instrumentos, así como que estudio la ampliación del ámbito de ampliación de las decisiones, e invita a Europol a que apoye el intercambio de información entre Estados miembros, y estudie la posibilidad de convertirse en socio del marco de Prüm19. La Estrategia europea para desarrollar una Unión de la Seguridad, centrada en el periodo 2020-2025, ha propiciado el impulso del intercambio de información en el marco de la lucha contra la delincuencia organizada, al destacar los desafíos que se presentan para la seguridad, la prosperidad y el bienestar de la ciudadanía europea, vinculados los retos que plantean las tecnologías digitales, sobre todo por los riesgos de la ciberseguridad, pues la dependencia progresiva del mundo online ha abierto la puerta a la ciberdelincuencia, con la posibilidad de ataques híbridos20; que requiere de una respuesta coordinada de la Unión para el conjunto de la sociedad, que se centra en diversos objetivos, incluyendo el desarrollo de capacidades y medios para la detección temprana, la prevención y la respuesta rápida a las crisis, el rendimiento y centrarse en los resultados, lo que requiere de información estratégica, y la conexión de todos los actores de los sectores público y privado en un esfuerzo común21. Esta estrategia llama tanto a la adaptación de los profesionales de la policía y de la administración de justicia a los avances tecnológicos y amenazas existentes, como a la adopción de medidas para la mejora y capacidad de una aplicación «moderna» de la ley, entiendo por tal, «mejorar la capacidad para hacer aplicar la 18 Grupo de expertos sobre Protección de Datos e Intercambio de Información (DAPIX). 19 Consejo de la Unión Europea, «Conclusiones del Consejo sobre la aplicación de las ‘Decisiones Prüm’ diez años después de su adopción», 18 de julio de 2018, 11227/18, accesible en: https:// data.consilium.europa.eu/doc/document/ST-11227-2018-INIT/es/pdf. [Último acceso 17.12.2023] 20 Comisión Europea, «Comunicación de la Comisión al Parlamento Europeo, al Consejo Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones sobre la Estrategia de la UE para una Unión de la Seguridad», 24 de julio de 2020, COM(2020) 605 final, accesible aquí: eur-lex.europa.eu/legal-content/ES/TXT/PDF/?uri=CELEX:52020DC0605, pp. 3-5. [Último acceso 17.12.2023] 21 Ídem, pp. 6-7. 677 JOAQUÍN SARRIÓN ESTEVE REFLEXIONES SOBRE EL INTERCAMBIO AUTOMATIZADO… ley en las investigaciones digitales, definiendo cómo hacer el mejor uso posible de la investigación y el desarrollo para crear nuevos instrumentos de aplicación de la ley»22, y el desarrollo de un «ecosistema de seguridad europeo sólido», que requiere el reforzamiento de los instrumentos y estrategias sectoriales para seguir con el desarrollo de la cooperación policial operativa, con una mejora del «enramado legal», lo que exige la actualización de los instrumentos de intercambio de información, que incluye las Decisiones Prüm, de forma que se pueda permitir el intercambio automático «de categorías de datos adicionales que ya están disponibles en las bases de datos penales o de otro tipo de los Estados miembros a efectos de las investigaciones penales»23. Esto motivó la creación de diversos grupos de trabajo para avanzar en la revisión de Prüm, en lo que se ha conocido como Prüm II o Prüm nueva generación, y que incluía el estudio de la utilización bajo el sistema de los datos de ADN24, datos dactiloscópicos25, y datos de registro de vehículos26, así como también su ampliación, dentro de las nuevas tecnologías biométricas27, al reconocimiento fa22 Ídem, p. 14 23 Añade que «Además, la Comisión estudiará la posibilidad de intercambiar ficheros policiales para ayudar a identificar si existe un fichero policial de una persona en otro Estado miembro y facilitar el acceso al mismo una vez identificado, con todas las salvaguardias necesarias». Ibidem, pp. 25— 27. 24 Como resultado del trabajo se propuso la mejora de las Decisiones Prüm, incluyendo la preparación de un nuevo instrumento normativo que sea más flexible, la creación de una unidad de ayuda (help desk), la facilitación automática en la 1ª fase de algunos datos biométricos, y la ampliación de las bases de datos de ADN para incluir los datos de personas desaparecidas, personas sin identificar, y personas sospechosas de delitos. Véase Consejo de la Unión Europea, «Next generation Prüm (Prüm ng). report on DNA data exchange», 31 de octubre de 2019, 13511/19, pp. 7 y ss., accesible aquí: https://www.politico.eu/wp-content/uploads/2020/03/Pru%CC%88m-DNA.pdf [Último acceso 17.12.2023] 25 También se constata la necesidad de mejorar el instrumento normativo, la creación de una unidad de ayuda centralizada (help desk), y facilitar de forma automática algunos datos en la 1ª fase, entre otras cuestiones. Véase Consejo de la Unión Europea, «Next generation Prüm (Prüm ng). Report on Fingerprints», 4 de noviembre de 2019, 13556/19, accesible aquí: https://www.politico.eu/wp-content/uploads/2020/03/Pru%CC%88m-Fingerprints.pdf [Último acceso 17.12.2023] 26 Aquí se plantea la conveniencia de facilitar de forma automatizada tanto datos obligatorios como opcionales, y dar acceso a la base de datos a agencias como Europol, y desarrollar la interoperatibilidad con el sistema de Schengen, facilitar el intercambio de información sobre el permiso de conducir, y ampliar, si bien a largo plazo, la cooperación a cualquier tipo de actuación policial. Váse Consejo de la Unión Europea, «Next generation Prüm (Prüm ng). Report on vehicle registration data (VRD)», 8 de octubre de 2019, 11264/19, accesible aquí: https:// www.politico.eu/wp-content/uploads/2020/03/Pru%CC%88m-VRD.pdf [Último acceso 17.12.2023] 27 Algunas tecnologías biométricas, gracias al uso masivo de datos (Big Data), permiten ya el reconocimiento facial de las personas a partir de imágenes, además de servir para otras finalidades. Cabe advertir, no obstante, que la tecnología del reconocimiento facial es una más de las tecnologías biométricas, en las que podríamos ubicar también la tecnología del ADN. Véase Sarrión Esteve, J. y Benlloch Domènech, C., «Biometric Technologies Trends in Relation to Fundamental Rights Protec- 684 ESTUDIOS SOBRE ELESTADO SOCIAL YDEMOCRÁTICODE DERECHO No obstante, sí se pueden adelantar algunas consideraciones. Así, y en relación con las categorías de datos de ADN, datos dactilares, datos de imágenes, y datos de ficheros policiales, y ante la falta de una armonización de la legislación sustantiva que regula estas bases de datos, existía, existe y va a seguir existiendo una amplia heterogeneidad entre los distintos países o Estados miembros que disponen de estas bases de datos: en relación a cómo están organizadas y formadas, las condiciones de incorporación de los datos, a veces vinculados a personas sospechosas, o bien condenadas por ciertos delitos —con manifiestas diferencias entre países—, o incluso otros supuestos de incorporación de datos (personas desaparecidas, consentimiento, etc.), distintos plazos de conservación de los datos en función de categoría de datos y país48, que en principio podrían plantear no sólo problemas desde la perspectiva de los derechos fundamentales a la vida privada (art. 7 CDFUE) y al derecho fundamental a la protección de datos de carácter personal (art. 8 CDFUE)49, y que está reconocido en el propio texto de Prüm II, sino también para otros derechos, sin pretensión de exhaustividad, el derecho de igualdad ante la ley (art. 20 CDFUE) el principio de no discriminación (art. 21 CDFUE) los derechos del menor (art. 24 CDFUE), o el derecho a la tutela judicial efectiva (art. 47 CDFUE). Atendiendo en particular a algunas de las categorías de datos, quizá las categorías de mayor riesgo, desde el punto de vista de la protección de los derechos fundamentales, son los datos de ADN, que son ya muy conocidos; los datos de imágenes, que van a permitir el intercambio de datos sobre imágenes faciales, con los problemas derivados de estas tecnologías, de la problemática de los propios intercambios de datos biométricos, y en su caso del potencial riesgo aquí de la aplicación de algoritmos y sistemas de Inteligencia Artificial, para realizar la búsqueda de concordancia entre imágenes faciales, a través de un sistema también de hit/no hit, para alcanzar una concordancia o match (hit) , que puede tener más problemas que la conocida tecnología del ADN que permite hacerlo a través de datos no codificantes, mientras 48 Que podría plantear problemas de vulneración de derechos, como se evidenció en la STEDH de 4 de diciembre de 2008, asunto S. y Marper c. Reino Unido, ya citada. Sobre los problemas derivados o vinculados, precisamente a esta falta de harmonización, en lo que respecta a las bases de datos de ADN, así como al diferente nivel de protección que se podría plantear comparativemente a nivel internacional, europeo y nacional, se puede ver el riguroso análisis de Cabezudo Bajo, M. J., «Assessment of the DNA data protection system in the European Framework (The lack of data level protection harmonization at and between the international, european and national levels),» en Cabezudo Bajo, M. J. (coord.), Las bases de datos policiales de ADN: ¿son una herramienta realmente eficaz en la lucha contra la criminalidad grave nacional y transfronteriza?, Dykinson, 2013, pp. 43-62; sobre este mismo problema pero en relación a la falta de harmonización entre bases de datos nacionales de Estados miembros para el intercambio de datos de ADN, y los problemas derivados, el trabajo Sarrión Esteve, J., «La garantía del plazo de cancelación de datos en el intercambio de perfiles de ADN en la Unión Europea», op. cit. 49 Que lógicamente, exigirá la aplicación de la Directiva (UE) 2016/680, ya citada, así como de la legislación nacional de trasposición, tanto en el Estado responsable de las bases de datos como en el Estado receptor de los mismos. 685 JOAQUÍN SARRIÓN ESTEVE REFLEXIONES SOBRE EL INTERCAMBIO AUTOMATIZADO… que en el caso de los datos biométricos, pueden ser en sí mismo datos codificantes que aporten en su caso información sensible (con el potencial riesgo para otros derechos como la salud), y los eventuales sesgos algorítmicos de discriminación que permitan, en función de la cantidad de datos existentes, una mayor probabilidad de identificación en unos casos que en otros (por motivos de origen étnico, racial, color de cabello, iris, u otros); así como los datos de ficheros policiales. 3) Cabe considerar, como se ha apuntado antes, y se puede inferir sencillamente, que los desafíos y potencial afectación, desde la perspectiva de la protección de los derechos fundamentales, no se circunscribe al intercambio de datos, incluyendo en dicho intercambio tanto la subfase consistente en el cotejo de datos por parte del Estado que pretende buscar e identificar datos (hit/no hit); y la subsiguiente subfase de solicitud de los datos en caso de concordancia o match (hit); sino que también cabe considerar que existen desafíos y un potencial riesgo de afectación de derechos en las fases anteriores y posteriores al intercambio de datos, y surge la duda sobre si éstas fases recaen dentro del ámbito de aplicación del Derecho de la UE, o es una cuestión interna; y si en el caso de entrar dentro del ámbito de aplicación del Derecho de la UE, cabe aplicar el estándar nacional o solo el estándar de la UE. Así, habrá que analizar si las fases previas, que son las que implican la obtención y recogida de muestras biológicas y la extracción del perfil de ADN para su incorporación a las bases de datos nacionales (en el caso de datos de ADN), la obtención y captación de imágenes, para su incorporación, o la de sus datos, a las bases o bancos nacionales (en el caso de datos de imágenes), y la recogida de datos en ficheros policiales para su posterior incorporación a la base de datos nacional (en el caso de datos de ficheros policiales), pueden ser una cuestión más bien de Derecho interno, y por tanto sometidas, desde la perspectiva de la protección de los derechos fundamentales, a la protección del estándar nacional establecido en la respectiva Constitución. La misma pregunta cabe abrir en relación con la fase posterior, es decir, a la utilización de los datos obtenidos a través del intercambio de datos para la investigación penal y, en su caso, para su valoración como medio de prueba en un proceso judicial en un Estado miembro. En relación con las eventuales dudas relativas a la fase inicial ya tenemos una respuesta derivada de un reciente e interesante caso, vinculado al uso de la tecnología forense del ADN, y por tanto a la toma de muestras biológicas para la extracción de un perfil de ADN y su posterior tratamiento en Bulgaria. El Tribunal de Justicia, en su sentencia V.S. (2023)50 ha tenido oportunidad de pronunciarse en el sentido de entender que esta fase entra dentro del ámbito de aplicación del 50 Sentencia del Tribunal de Justicia (Sala Quinta) de 26 de enero de 2023, V. S. c. Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police), C-205/21, ECLI:EU:C:2023:49. 686 ESTUDIOS SOBRE ELESTADO SOCIAL YDEMOCRÁTICODE DERECHO Derecho de la UE, y en concreto de la Directiva 2016/680, y por tanto también de la CDFUE; entendiendo que una normativa nacional que establecía, en caso de negativa de la persona investigada por un delito público doloso a colaborar voluntariamente en la recogida de sus datos biométricos y genéticos para su registro, la obligación del órgano jurisdiccional penal competente a autorizar una medida forzosa de recogida de dichos datos para su registro sería compatible con el Derecho de la Unión y en particular con los artículos 47 y 48 de la CDFUE, y el art. 6 letra a) de la Directiva 2016/680, siempre que el Derecho nacional garantice el control jurisdiccional efectivo posterior de las condiciones de la investigación de la que se deriva la autorización para la recogida de los datos (apartados 109 y 110); y sin embargo, se opondría a una normativa nacional que establece una recogida sistemática de datos biométricos y genéticos de cualquier persona investigada por un delito público doloso para su registro, siendo necesario que se compruebe y acredite por la autoridad competente que la recogida es estrictamente necesaria para alcanzar los objetivos perseguidos sin que sea posible a través de otros medios menos gravosos (apartados 129, 135). Si la respuesta es que la primera fase entra dentro del ámbito de aplicación del Derecho de la UE porque la toma de muestras biológicas (el TJUE habla de recogida de datos, pero en realidad para la obtención de estos datos se requiere la previa toma de muestra biológica y la extracción del perfil) se realiza para el tratamiento posterior de datos sujeto a la Directiva 2016/680, y ese criterio de conexión es suficiente para entender que estamos bajo el orden jurídico del Derecho de la UE, entonces también cabrá entender, con mayor fundamento, que, si los eventuales datos son objeto de intercambio (intercambio que se realizará, una vez adoptado el texto, bajo el paraguas de Prüm II), una vez recibidos por el Estado receptor, esta fase estará sujeta y entra dentro del ámbito de aplicación del Derecho de la UE, puesto que se trata de un uso o tratamiento de datos bajo la Directiva 2016/680. Lo que cabría plantearse es si la Directiva 2016/680, que no es un Reglamento, como sí lo es el Reglamento General de Protección de Datos, permite una mayor flexibilidad que Prüm II, en relación a la protección de los derechos fundamentales en las fases no cubiertas por Prüm II y, por tanto, sí habría margen para la aplicación del estándar nacional de protección, lo que requiere de un estudio más amplio del que hemos tenido oportunidad de hacer aquí, para dar una respuesta fundamentada y satisfactoria. III. Conclusiones provisionales A pesar del innegable éxito que ha tenido el régimen de Prüm para reforzar y estrechar la cooperación penal de los Estados miembros de la Unión Europea, al- 687 JOAQUÍN SARRIÓN ESTEVE REFLEXIONES SOBRE EL INTERCAMBIO AUTOMATIZADO… gunos Estados miembros han enfrentado, y siguen enfrentando, algunos desafíos para propiciar una participación plena y eficaz en el intercambio de todas las categorías de datos que son susceptibles de ser solicitadas e intercambiadas al amparo del actual sistema (datos de ADN, datos dactilares, y de matrículas de vehículos), por ejemplo, la falta de establecimiento inicial de bases de datos nacionales, las diferencias de software utilizado en los distintos Estados, lo que facilita la fragmentación y la consecuente colaboración entre unos Estados (cuando comparten software compatible) frente a otros, o las potenciales diferencias de regulación interna, por la falta de armonización de la regulación sustantiva en relación a los requisitos, condiciones, etc., que se manifiesta en particular en el caso de los datos de ADN y de datos dactiloscópicos, no en el caso de los datos de matrículas de vehículos porque en ese caso sí existe un sistema común (Eucaris). Por ello, Prüm II pretende dar un paso hacia delante, en el marco de la estrategia de datos europea, y potenciar esta cooperación en materia de investigación penal, que permita una mayor eficacia en la lucha contra la delincuencia, en particular introduciendo algunas mejoras técnicas, preservando el actual intercambio automatizado existente sobre perfiles de ADN, datos dactiloscópicos y datos de matriculación de vehículos, y los avances producidos, y ampliando el objeto de cooperación a los datos de imágenes y los datos de ficheros policiales. También se prevé la participación o inclusión de Europol en el marco jurídico del sistema Prüm para reforzar la cooperación. Desde la perspectiva de la protección de los derechos fundamentales, siempre se han evidenciado desafíos y retos importantes en el uso de todas estas tecnologías, en particular las biométricas, como las que usan para la identificación datos de ADN, dactilares, o de imágenes; esto es así en las distintas fases del uso de esta tecnología, desde la obtención o recogida de los datos, su tratamiento para la incorporación a la base de datos, hasta lo que se ha denominado el intercambio, y su posterior obtención en el Estado receptor para la investigación penal, y en su caso, en un proceso judicial; ya que es necesario que se garantice adecuadamente la tutela y garantía de los derechos afectados, que pueden ser distintos en cada una de las fases. Si bien tras la reciente aprobación del acuerdo político por parte del trílogo (Comisión, Parlamento Europeo y Consejo de la Unión Europea) está pendiente la adopción formal del Reglamento Prüm II, en esta pequeña aproximación al texto objeto de acuerdo, hemos tratado de realizar algunas reflexiones, si quiera iniciales y provisionales, sobre la protección de los derechos fundamentales, que se pueden sintetizar de la siguiente manera: Primero.— Hay un claro mandato de garantía de los derechos fundamentales que pueden verse afectados a través del estándar de la CDFUE que no deja margen a la aplicación del estándar nacional de protección de derechos fundamentales, en lo que respecta al intercambio de datos bajo el régimen de Prüm II. 688 ESTUDIOS SOBRE ELESTADO SOCIAL YDEMOCRÁTICODE DERECHO Segundo.— Los desafíos del intercambio de datos afectan, en particular, al derecho a la vida privada y al derecho a la protección de datos, como se reconoce de forma explícita en el texto del acuerdo, pero es una lista abierta, puesto que la potencial afectación del intercambio de estas categorías de datos se puede extender a otros derechos, teniendo en consideración la casuística de las diferentes categorías de datos, y en particular del uso datos biométricos para identificación, como podrían ser el derecho de igualdad ante la ley, el principio de no discriminación, los derechos del menor, o incluso el derecho a la tutela judicial efectiva. Tercero.— Los riesgos para la protección de los derechos fundamentales se extienden a la fase previa y posterior al intercambio de datos, que se encuentran también dentro del ámbito de aplicación del Derecho de la Unión, y en particular en el ámbito de la Directiva 2016/680, y por tanto de la Carta de Derechos Fundamentales de la Unión Europea, si bien sería necesario estudiar con mayor detalle si existe margen para una eventual aplicabilidad del estándar nacional interno de protección de derechos, en estas fases. ESTUDIOS SOBRE EL ESTADO SOCIAL YDEMOCRÁTICODE DERECHO LIBER AMICORUM GREGORIO CÁMARA VILLAR Centro de Estudios Políticos y Constitucionales consejo editorial Luis Aguiar de Luque José Álvarez Junco Manuel Aragón Reyes Paloma Biglino Campos Carlos Closa Montero Elías Díaz Arantxa Elizondo Lopetegi Ricardo García Cárcel Rosario García Mahamut Yolanda Gómez Sánchez Pedro González-Trevijano Carmen Iglesias Francisco J. Laporta Encarnación Lemús López Emilio Pajares Montolío Benigno Pendás Mayte Salvador Crespo Mónica Sánchez Redonet Antonio Torres del Moral ESTUDIOS SOBRE ELESTADO SOCIAL YDEMOCRÁTICO DE DERECHO LIBER AMICORUM GREGORIO CÁMARA VILLAR Francisco Balaguer Callejón, JuanFernando López Aguilar y María Luisa Balaguer Callejón (coord.) Tomo II XII ESTUDIOS SOBRE ELESTADO SOCIAL YDEMOCRÁTICODE DERECHO Modelos de parlamentarismo racionalizado .................................... 963 Agustín Ruiz Robledo La especial configuración de la libertad de asociación política .... 977 María Salvador Martínez En defensa del bicameralismo. Coda sobre el senado español ........ 1007 José Tudela Aranda ESTUDIOS SOBRE EL ESTADO SOCIAL YDEMOCRÁTICODE DERECHO LIBER AMICORUM GREGORIOCÁMARAVILLAR TOMO II