Resumen del Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta por la que se crea un Sistema Europeo de Información y Autorización de Viajes (SEIAV) (ESTIAS).

I. INTRODUCCIÓN

1. La iniciativa de la Comisión Europea para crear un Sistema Europeo de Información y Autorización de Viajes (en lo sucesivo, «SEIAV») se remonta a la Comunicación de 2008 titulada «Preparación de los próximos pasos en la gestión de las fronteras en la Unión Europea». En esta Comunicación, la Comisión proponía nuevos instrumentos para la gestión futura de las fronteras europeas —en particular el Sistema de Entradas y Salidas («SES») y el Programa de Viajeros Registrados («PVR»)— y consideraba por primera vez la introducción del SEIAV, denominado por entonces Sistema Electrónico de Autorización de Viaje («ESTA», por sus siglas en inglés) de la UE. El SEPD emitió sus observaciones preliminares sobre esta Comunicación ese mismo año.
2. En febrero de 2011, la Comisión publicó un Estudio en el que analizaba cuatro opciones para la introducción de un ESTA en la UE. El estudio llegaba a la conclusión de que en ese momento no se cumplían las condiciones para justificar la creación de un ESTA. En una Comunicación  de 2012 relativa a las fronteras inteligentes, la Comisión consideraba que había que descartar temporalmente la creación de un ESTA, pero anunciaba su intención de seguir trabajando en el SES y el PVR.
3. En la Comunicación  de 6 de abril de 2016 titulada «Sistemas de información más sólidos e inteligentes para la gestión de las fronteras y la seguridad», la Comisión anunciaba que examinaría la necesidad, viabilidad técnica y proporcionalidad de crear un futuro Sistema de autorización e información sobre viajes. Ese mismo año, la Comisión realizó un estudio de viabilidad, que utilizó para efectuar un análisis comparativo con otros tres sistemas de autorización de viajes ya existentes en el mundo: el ESTA de los Estados Unidos, el eTA de Canadá y el eVisitor de Australia.
4. El 16 de noviembre, la Comisión publicó el Informe final del estudio de viabilidad (en lo sucesivo «Estudio de viabilidad de 2016»), así como la propuesta para la creación del SEIAV (en lo sucesivo, «Propuesta»).
5. El SEPD agradece haber sido consultado de manera informal por los servicios de la Comisión antes de la adopción de la Propuesta. Sin embargo, lamenta que, debido a lo ajustado de los plazos, así como la importancia y complejidad de la Propuesta, no haya sido posible realizar una contribución significativa a tiempo.

V. CONCLUSIÓN

113. El SEPD celebra la atención concedida a la protección de datos en toda la Propuesta por la que se crea el SEIAV.
114. Con pleno respeto por el papel del legislador para evaluar la necesidad y proporcionalidad de las medidas propuestas, el SEPD recuerda que el Tribunal de Justicia de la UE puede examinar esos dos requisitos legales de alto nivel consagrados en la Carta y que el SEPD tiene la tarea de protegerlos. Subraya que la falta de una evaluación de impacto (en materia de protección de datos) impide examinar la necesidad y proporcionalidad del SEIAV, tal como se propone actualmente.
115. Puesto que la Propuesta crea un sistema adicional que procesa una cantidad importante de datos personales de nacionales de terceros países con objetivos de inmigración y seguridad, el SEPD recomienda al legislador que haga un inventario de todas las medidas que implican tratamiento de datos con fines de inmigración y seguridad a nivel de la UE y que lleve a cabo un análisis exhaustivo de sus metas y logros.
116. En este contexto, el SEPD recomienda que se incluya en la Propuesta una definición de riesgos de migración irregular y riesgos de seguridad para cumplir el principio de limitación.
117. Por otra parte, el SEPD está interesado en saber si el uso de las normas de control del SEIAV se ajusta plenamente a los derechos fundamentales consagrados en la Carta. Recomienda que las normas de control propuestas para el SEIAV sean objeto de una evaluación previa exhaustiva de su impacto en los derechos fundamentales. Asimismo, se pregunta si existen hechos objetivos suficientes para justificar la necesidad de utilizar instrumentos de elaboración de perfiles para los fines del SEIAV y, quod non, alienta al legislador a que vuelva a considerar su uso.
118. El SEPD cuestiona la pertinencia y eficiencia de la recopilación y tratamiento de datos de salud, tal como se prevé en la Propuesta, debido a su falta de fiabilidad. Se pregunta igualmente si es necesario el tratamiento de estos datos debido a que existe muy poca relación entre los riesgos de salud y los viajeros exentos de visados.
119. En cuanto al acceso de las fuerzas de seguridad y Europol a los datos del SEIAV, el SEPD destaca que actualmente no existen datos objetivos convincentes que justifiquen la necesidad de dicho acceso. El SEPD recuerda que la necesidad y proporcionalidad de los nuevos regímenes deben evaluarse tanto de forma general, teniendo en cuenta los sistemas informáticos a gran escala que ya existen en la UE, como de forma específica, en el caso concreto de aquellos nacionales de terceros países que visitan y entran legalmente en la UE.
120. Aparte de las principales objeciones antes mencionadas, las recomendaciones del SEPD en el presente Dictamen se refieren a los siguientes aspectos de la Propuesta:
— la necesidad y proporcionalidad del conjunto de datos recopilados,
— los periodos de conservación de datos previstos,
— la interoperabilidad del SEIAV con otros sistemas informáticos,
— los derechos de los interesados y los recursos ofrecidos,
— el examen independiente de las condiciones de acceso por parte de las fuerzas de seguridad,
— la división de las funciones y responsabilidades entre la Guardia Europea de Fronteras y Costas, y eu-LISA,
— la verificación por parte de la Unidad Central del SEIAV,
— la arquitectura y seguridad de la información del SEIAV,
— las estadísticas generadas por el sistema, y
— la función del SEPD.
121. El SEPD está a disposición de la Comisión para ofrecerle asesoramiento adicional sobre la Propuesta, incluso en relación con cualquier acto delegado o de ejecución adoptado en virtud de las propuestas de Reglamento que puedan tener un impacto en el tratamiento de los datos personales (Texto completo del resumen). [El texto completo del presente dictamen está disponible en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu].