| Informe | 2018-0014 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el proyecto ABC4EU (2018-0014)
El informe de la Agencia Española de Protección de Datos (AEPD) analiza la conformidad del proyecto ABC4EU (Automated Border Control Gates for Europe) con la normativa de protección de datos, especialmente la Ley Orgánica 15/1999 y el Reglamento General de Protección de Datos (RGPD, UE 2016/679), cuya aplicación plena comenzó el 25 de mayo de 2018.
Normativa aplicable
El proyecto, que busca mejorar el control automatizado de fronteras mediante tecnologías de la información, implica el tratamiento de datos personales de viajeros en un piloto en España.
Los datos se incorporarán al fichero CONTROL, creado para el «control policial de actividades relevantes para la seguridad ciudadana y de personas que entran y salen del territorio español». Este fichero no está destinado a fines policiales o judiciales, por lo que le aplica el RGPD (no la Directiva UE 2016/680).
Si el proyecto se extiende más allá de mayo de 2018, deberá cumplir con el RGPD, que exige mayor transparencia y derechos para los interesados.
Licitud del tratamiento
El tratamiento está legitimado por el artículo 12.1.A de la Ley Orgánica 2/1986 (competencias de las Fuerzas y Cuerpos de Seguridad en el control de fronteras), sin necesidad de consentimiento explícito.
Se solicitará el consentimiento informado de los participantes para su inclusión en el proyecto, ajustándose a los requisitos del RGPD (artículo 13), que exige información clara sobre:
Finalidad del tratamiento.
Plazos de conservación.
Derechos de los interesados (acceso, rectificación, supresión, portabilidad, etc.).
Posibilidad de decisiones automatizadas (como perfiles).
Encargados del tratamiento y cesiones
Las entidades privadas del consorcio que accedan a los datos deben actuar como encargados del tratamiento, con un contrato que limite su uso a los fines pactados (artículo 12 LOPDGDD).
Las cesiones de datos a terceros (no encargados) requieren consentimiento previo del interesado (artículo 11 LOPDGDD).
Los datos deben ser seudonimizados y cifrados para garantizar su seguridad, aunque la seudonimización no equivale a anonimización (según el Dictamen 5/2014 del Grupo de Trabajo del Artículo 29).
Medidas de seguridad
El responsable debe adoptar medidas técnicas y organizativas para evitar accesos no autorizados, pérdida o alteración de datos (artículo 9 LOPDGDD).
Los datos temporales almacenados (90 días) deben eliminarse tras su uso, salvo que deban conservarse para cumplir obligaciones legales.
Conservación y cancelación
Los datos deben cancelarse cuando dejen de ser necesarios (artículo 4.5 LOPDGDD), bloqueándose para posibles responsabilidades legales y eliminándose tras los plazos de prescripción (generalmente 3 años).
Conclusión
El proyecto ABC4EU cumple con la normativa si:
Se garantiza el consentimiento informado y los derechos de los interesados.
Se aplican medidas de seguridad adecuadas (seudonimización, cifrado).
Los datos se cancelan o bloquean tras su uso.
Las cesiones o accesos a terceros se ajustan a la ley.
Si el proyecto continúa tras mayo de 2018, deberá adaptarse al RGPD, especialmente en transparencia y notificación de violaciones de seguridad.