El Ministerio del Interior mantiene operativo un registro en el que almacena todos los datos personales de los viajeros que le entregan las aerolíneas, más allá del límite de 24 horas que establece la ley con carácter general. Esa base de datos, desconocida hasta ahora, fue descubierta por funcionarios de la Agencia Española de Protección de Datos (AEPD) durante una investigación el pasado enero, motivada por la denuncia de un ciudadano contra el que la Policía había utilizado información alojada al menos durante seis meses en el citado registro.
La base de datos se denomina Control y almacena la información del sistema API (Información Avanzada de Pasajeros, en sus siglas en inglés), que incluye la identidad del pasajero, su pasaporte, fecha de nacimiento, fecha del vuelo, el lugar de donde despegó y el origen del embarque, si fuera distinto. Las compañías de transporte están obligadas a entregar esa información a la Policía para trayectos procedentes de fuera del espacio Schengen.
El sistema API fue concebido para luchar contra la inmigración ilegal, por lo que su objeto se debería limitar a ciudadanos extranjeros. Sin embargo, el sistema también informa de los viajes que realizan a países de fuera de la Unión Europea ciudadanos nacionales, así como de cuándo se produjeron. Su almacenamiento indiscriminado permitiría, por ejemplo, consultar en cualquier momento cuando un político español ha viajado en el pasado a un país de fuera de la UE.
La directiva de la Comisión Europea 2004/82 establece, en su artículo 6, que los estados miembros “procederán a borrar los datos en un plazo de 24 horas desde su comunicación”, con la excepción de que se conozca en ese momento que dichos datos van a ser “necesarios posteriormente para el ejercicio de funciones legales”. Esto es, la directiva no ampara el almacenaje de los datos preventivamente, por si hubiera que recurrir a ellos en algún momento.
La denuncia del ciudadano A.A.A -iniciales falsas que ocultan su identidad en el procedimiento- dio pie a una investigación de la Agencia de Protección de Datos. En el marco de la misma, el subdirector general de Logística de la Policía descubrió el 19 de enero a la Agencia que la conocida como aplicación Atlas sirve también para acceder a una base de datos denominada Control. Según confirmaron a eldiario.es fuentes de la Agencia de Protección de Datos, la existencia de Control era desconocida hasta ese momento.
Este fichero se ubica físicamente en el Centro de Proceso de Datos de El Escorial y su responsable es la Comisaría General de Extranjería y Fronteras. Control tiene como función, añadía la Dirección de la Policía, “gestionar información sobre actividades de control de personas y objetos de interés policial”. Sin más detalles, afirmaba que su objeto son “personas cuyo paso sea controlado en puestos fronterizos, o controladas como consecuencia del alquiler de vehículos, compraventa o pignoración”.
Al día siguiente, y después de haber avisado la semana anterior, dos inspectores de la Agencia de Protección de Datos se personaron en la unidad policial que había investigado al ciudadano denunciante. Allí supieron que Control incluye los datos del sistema API, sobre pasajeros.
La resolución de Protección de Datos sobre el caso de A.A.A, a la que ha tenido acceso este diario, recoge una afirmación de los policías que revela el almacenamiento masivo de información: “Los datos se almacenan por un plazo no fijo, sino determinado por la operatividad policial”. A lo que añadían: “Los datos de los pasajeros se almacenan y conservan de forma general, sin realizar ningún tipo de selección sobre las personas sobre las que se almacenan los datos”.
Un inspector de Protección de Datos se encuentra en el registro
Los policías explicaron a los inspectores de la AEPD que para acceder al sistema hay que tener el usuario “investigador” y una clave. Con el perfil de un agente, uno de los inspectores introdujo su propio nombre para realizar una búsqueda entre el 1 de diciembre de 2013 y el 1 de abril de 2014. Y allí estaba un viaje suyo fuera del espacio Schengen, realizado el 1 de diciembre de 2013. El archivo retenía datos del pasajero 13 meses después de que hubiera viajado. Su compañero, que no había salido de la Unión Europea, repitió la operación, con resultado negativo. Antes de irse, los inspectores de Protección de Datos encargaron a los policías que les remitieran la legislación en la que se apoyan para almacenar datos “por un periodo no fijo” en el archivo Control.
Un mes y medio después, Protección de Datos recibió la respuesta de la Policía. Los agentes recurrían a la Ley de Protección de Datos para justificar que, como Fuerza de Seguridad, traten datos que la propia ley define como de “carácter personal”. Para justificar excepciones al límite máximo de 24 horas para archivar datos, la Policía aludía a la Ley de Extranjería. Y sin más precisiones, añadía: “Periódicamente se produce el borrado de los referidos datos cuando se considera que ya no son necesarios para el cumplimiento de los fines que originaron su almacenamiento”.
Por “periódicamente” era imposible determinar si se borraban pasados los seis meses del viaje, cuando se produjo la consulta al ciudadano investigado, o 13 meses después, el tiempo que había transcurrido desde que el inspector de Protección de Datos había viajado.
Con estas evidencias, ocho meses después de la inspección, llegó la segunda sorpresa. La Agencia de Española de Protección de Datos avalaba las explicaciones de la Policía y archivaba la denuncia de A.A.A, quien ha presentado recurso de reposición ante la propia AEPD.
Una alto cargo cercana a Cospedal
La resolución de archivo de las actuaciones tiene fecha 2 de septiembre de 2015 y va firmada por Mar España Martí, directora de la Agencia Española de Protección de Datos desde julio. España Martí es una persona muy próxima a la secretaria general del PP, María Dolores de Cospedal. Fue viceconsejera de Presidencia y de Administraciones Públicas en el Gobierno de Castilla-La Mancha hasta que las elecciones de mayo provocaron el relevo político en la Comunidad. Tres semanas después de abandonar su puesto de viceconsejera, se convirtió en directora de Protección de Datos.
En su recurso, el abogado de A.A.A defiende que la excepción de los “fines policiales” que recoge la directiva europea no ha sido traspuesta a la norma correspondiente española y que la ley a la que alude Interior y Protección de Datos, la de Extranjería, no recoge la excepción para “fines policiales”. El texto español dice que podrán conservarse más allá de 24 horas los datos “salvo necesidades en el ejercicio de sus funciones”. Según el razonamiento de Interior y la AEPD, esas necesidades pueden producirse en cualquier momento.
Pero hay otro punto de la directiva europea que podría justificar el archivo masivo, según la AEPD. En el considerando 12, la directiva se refiere a conservar datos “como elemento de prueba en procedimientos destinados a la aplicación de las leyes y reglamentos relativos a la entrada y a la inmigración, incluidas sus disposiciones sobre la protección del orden público y la seguridad nacional”. Y añade: “Cualquier otro tratamiento de datos incompatible con dichos fines sería contrario a la letra b) del apartado 1 del artículo 6 de la Directiva 95/46/CE”.
La Agencia de Protección de Datos remite a un punto de la directiva que, por tanto, va exactamente en la dirección opuesta a su tesis: ni la Policía guarda los datos porque sean elemento de prueba, ni dice que lo haga por cuestiones estrictamente relacionadas con la inmigración.
Ante esto, el abogado del denunciante concluye en su escrito: “La conservación de los datos comunicados es contraria a la LOPD, a la Constitución española y a la Carta Europea de Derechos Humanos”. El letrado denunció el caso ante la Comisión Europea de Justicia y aún está a la espera de respuesta.
Asimismo, Protección de Datos alega que durante el proceso, el denunciante no puso objeción a la utilización de esos datos. A.A.A estaba acusado de un delito de violencia de género del que fue absuelto en primera y segunda instancia. Su abogado asegura en el recurso que se opuso a la utilización de los datos durante la vista y que si después no lo ha hecho es porque no hay causa en la que hacerlo, archivada como lo fue definitivamente.
Pero las filigranas de la Agencia de Protección de Datos para justificar a Interior van más allá. La AEPD dice que la ley de Protección de Datos no contempla los términos “supresión o borrado” de datos sino “cancelación”, lo que permitiría a la Policía conservarlos para cuando los necesite. La directiva europea, sin embargo, es clara a este respecto cuando se refiere a “borrar”.
Próxima parada: Twitter
El almacenaje de los datos de API sin control es, en cualquier caso, una amenaza menor a las libertades, según los activistas de los derechos civiles y la privacidad, si se compara con los planes que desarrolla ahora mismo el Ejecutivo. El Gobierno ha encargado una herramienta para detectar “terroristas” y otro tipo de delincuentes antes de que tomen un avión o cojan un tren. Interior aspira a identificar personas que todavía no han cometido un delito, por lo que no duda en incluir en la oferta pública que lanza la exigencia de que la herramienta construya el “perfil demográfico y sociológico” de los pasajeros.
La herramienta supondrá en la práctica la implantación en España del PNR, el fichero de pasajeros que ya opera en otros países europeos como Francia e Italia, y Estados Unidos y Australia fuera del continente. En 2010, España y otros países de la UE propusieron a la Comisión Europea su puesta en marcha. La propuesta conjunta llegó dos años después al Parlamento Europeo, cuya comisión de Libertades Civiles, Justicia y Asuntos de Interior se mostró taxativa al tumbarla.
Sin embargo, tras los atentados de París en enero pasado, los gobiernos defensores del PNR se sintieron reforzados en sus argumentos. El Ministerio del Interior español encargó la herramienta informática sin que haya acuerdo en Europa para su funcionamiento y coordinación.
En el pliego de prescripciones técnicas, la Secretaría de Estado de Seguridad detalla, a lo largo de 58 páginas, los objetivos que quiere satisfacer con la herramienta informática. A un paso de las películas de ciencia-ficción, con máquinas que adivinan las intenciones de los delincuentes, Interior pretende cruzar al instante miles de datos de una persona para detectar a aquellos que podrían estar planeando un acto terrorista. Entre esos datos estarán los incluidos en el API que la Policía acumula ya irregularmente.
En el pliego de la oferta pública, dotada con 1,6 millones de euros, se precisa que las redes sociales de las que puede “captar la información” son Twitter, Google Plus, Linkedln, Tumblr, Instagram y Flickr. Curiosamente, los técnicos de Interior dejan fuera a Facebook, la primera red social del mundo por número de usuarios. También deberá obtener información de foros, blogs y “páginas genéricas”. Junto a ellas, lo que llama “fuentes multimedia de vídeo: YouTube, Vimeo y LiveLeak”. Y buscadores: Google, Bing, Yahoo y Duck Duck Go. El actual Ejecutivo pretendía despedirse con la herramienta concluida, pero los plazos se han ampliado de diciembre al mes de mayo de 2016.