COMISIÓN EUROPEA
Bruselas, 13.5.2022
COM(2022) 208 final
Propuesta de
ANEXO
de la
DECISIÓN DEL CONSEJO
relativa a la celebración del Acuerdo entre la Unión Europea, por una parte, y Nueva Zelanda, por otra, sobre el intercambio de datos de carácter personal entre la Agencia de la Unión Europea para la Cooperación Policial (Europol) y las autoridades neozelandesas competentes en materia de lucha contra la delincuencia grave y el terrorismo
ANEXO
LA UNIÓN EUROPEA, denominada en lo sucesivo «Unión» o «UE»,
y
Nueva Zelanda,
denominadas en lo sucesivo «Partes contratantes»,
Considerando lo siguiente:
(1)Al autorizar el intercambio de datos personales entre Europol y las autoridades competentes neozelandesas, el presente Acuerdo creará el marco para una cooperación operativa reforzada entre la Unión Europea y Nueva Zelanda en el ámbito policial, salvaguardando al mismo tiempo los derechos humanos y las libertades fundamentales de todas las personas afectadas, incluidas la intimidad y la protección de datos.
(2)El presente Acuerdo se entiende sin perjuicio de los acuerdos de asistencia judicial mutua entre Nueva Zelanda y los Estados miembros de la UE que permitan el intercambio de datos personales.
(3)El presente Acuerdo no impone a las autoridades competentes ningún requisito para la transferencia de datos personales. La transferencia de datos personales solicitados en virtud del presente Acuerdo sigue siendo voluntaria.
(4)El Acuerdo reconoce que las Partes aplican principios comparables de proporcionalidad y razonabilidad. La esencia común de estos principios es el requisito de garantizar un equilibrio justo entre todos los intereses afectados, ya sean públicos o privados, en vista de todas las circunstancias del caso en cuestión. Dicho equilibrio implica, por un lado, el derecho a la intimidad de las personas junto con otros derechos e intereses humanos y, por otro lado, los objetivos legítimos compensatorios que pueden perseguirse, como los fines del tratamiento de datos personales reflejados en el presente Acuerdo.
Han acordado lo siguiente:
CAPÍTULO I - Disposiciones generales
Artículo 1
Objetivo
El objetivo del presente Acuerdo es permitir la transferencia de datos personales entre la Agencia de la Unión Europea para la Cooperación Policial (Europol) y las autoridades competentes de Nueva Zelanda para apoyar y reforzar la actuación de las autoridades de los Estados miembros de la Unión Europea y de Nueva Zelanda, así como su cooperación mutua en la prevención y la lucha contra los delitos, entre ellas la delincuencia grave y el terrorismo, al mismo tiempo que se proporcionan salvaguardias apropiadas con respecto a los derechos humanos y las libertades fundamentales de las personas, incluidas la intimidad y la protección de datos.
Artículo 2
Definiciones
A efectos del presente Acuerdo, se entenderá por:
a)«Partes contratantes»: por una parte, la Unión Europea y, por otra, Nueva Zelanda.
b) «Europol»: Agencia de la Unión Europea para la Cooperación Policial, instituida en virtud del Reglamento (UE) 2016/794 1 o de cualquier modificación del mismo («Reglamento de Europol»).
c)«Autoridad competente»: en el caso de Nueva Zelanda, autoridades policiales nacionales responsables, en virtud de la legislación nacional neozelandesa, de prevenir y combatir los delitos enumerados en el anexo II del presente Acuerdo («autoridades competentes de Nueva Zelanda») y, en el caso de la Unión Europea, Europol.
d)«Organismos de la Unión»: instituciones, entidades, misiones, oficinas y agencias creadas por o sobre la base del Tratado de la Unión Europea y el Tratado de Funcionamiento de la Unión Europea, enumerados en el anexo III del presente Acuerdo.
e)«Delitos»: tipos de delitos enumerados en el anexo I y los delitos conexos. Los delitos están relacionadas con los tipos de delitos enumerados en el anexo I si se cometen con objeto de procurarse los medios para perpetrar, facilitar o cometer y asegurar la impunidad de quienes cometen este tipo de delitos.
f)«Datos personales»: toda información sobre un interesado.
g)«Interesado»: persona física identificada o identificable; es decir, persona cuya identidad pueda determinarse, directa o indirectamente en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.
h)«Datos genéticos»: todos los datos personales relativos a las características genéticas de una persona que hayan sido heredadas o adquiridas, que proporcionen una información única sobre la fisiología o la salud de esa persona y que sean obtenidos en particular del análisis de una muestra biológica de dicha persona.
i)«Tratamiento»: cualquier operación o conjunto de operaciones, efectuadas o no con medios automáticos, aplicadas a datos personales o a conjuntos de datos personales, como la recogida, la anotación, organización, conservación, adaptación o alteración, extracción, consulta, utilización, la divulgación mediante transmisión, difusión o cualquier otra forma puesta a disposición, alineación o combinación, bloqueo y cancelación o destrucción.
j)«Información»: datos personales.
k)«Violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione, de forma accidental o ilícita, la destrucción, la pérdida o alteración, la comunicación no autorizada o el acceso a datos personales transmitidos, conservados o tratados de otra forma.
l)«Autoridad de control»: una o varias autoridades nacionales independientes que sean, por separado o en conjunto, responsables de la protección de datos en el sentido del artículo 16 del presente Acuerdo y que hayan sido notificadas de conformidad con dicho artículo. Es posible que esto incluya a aquellas autoridades cuya responsabilidad abarque también otros derechos humanos.
m)«Organización internacional»: una organización y sus organismos subordinados de Derecho internacional público, o cualquier otro organismo creado por, o basado en, un acuerdo entre dos o más países.
Artículo 3
Finalidades del tratamiento de datos personales
1.Los datos personales solicitados y recibidos en virtud del presente Acuerdo serán tratados únicamente con fines de prevención, investigación, detección o enjuiciamiento de delitos o de ejecución de sanciones penales, dentro de los límites del artículo 4, apartado 5, y de los mandatos respectivos de las autoridades competentes.
2.Las autoridades competentes indicarán claramente, a más tardar en el momento de la transferencia de datos personales, la finalidad o finalidades específicas para las que se transfieren los datos. Para transferencias a Europol, el fin o fines de dicha transferencia se especificará de acuerdo con los fines específicos de tratamiento establecidos en el mandato de Europol.
Capítulo II - Intercambio de información y protección de datos
Artículo 4
Principios generales en materia de protección de datos
1.Las Partes contratantes dispondrán que los datos personales intercambiados en virtud del presente Acuerdo sean:
a)tratados de manera leal, lícita y exclusivamente para los fines para los que hayan sido transferidos de conformidad con el artículo 3;
b)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados;
c)exactos y actualizados, para lo que las Partes contratantes dispondrán que las autoridades competentes tomen todas las medidas razonables para garantizar que los datos personales que sean inexactos con respecto a los fines para los que son tratados se supriman o rectifiquen sin demora injustificada;
d)conservados en una forma que permita identificar al interesado durante un período no superior al necesario para lo fines para los que son tratados;
e)tratados de un modo que garantice una seguridad adecuada de los mismos.
2.La autoridad competente transmisora podrá indicar, en el momento de la transferencia de los datos personales, cualquier limitación del acceso a los mismos o el uso que deba hacerse de ellos, en términos generales o específicos, así como en lo que se refiere a su transferencia ulterior, supresión o destrucción después de un determinado período, o al tratamiento ulterior de los mismos. Cuando la necesidad de tales limitaciones se manifieste después de que se hayan facilitado los datos personales, la autoridad competente transmisora informará de ello a la autoridad receptora.
3.Las Partes contratantes velarán por que la autoridad competente receptora cumpla cualquier restricción de acceso o de ulterior utilización de los datos personales indicada por la autoridad competente transmisora, tal como se describe en el apartado 2.
4.Las Partes contratantes dispondrán que sus autoridades competentes apliquen las medidas técnicas y organizativas apropiadas para poder demostrar que el tratamiento de datos será conforme con el presente Acuerdo y que se protegerán los derechos de los interesados afectados.
5.Las Partes contratantes velarán por que sus autoridades competentes no transfieran los datos personales que se hayan obtenido en vulneración manifiesta de los derechos humanos reconocidos por las normas de Derecho internacional vinculantes para las Partes contratantes. Las Partes contratantes garantizarán que los datos personales recibidos no se utilizarán para solicitar, dictar o ejecutar la pena capital u otra forma de trato cruel o inhumano.
6.Las Partes contratantes velarán por que se lleve un registro de todas las transferencias de datos personales con arreglo al presente Acuerdo y de la finalidad o finalidades de dichas transferencias.
Artículo 5
Categorías especiales de datos personales y categorías diferentes de interesados
1.Se prohíbe la transferencia de datos personales de víctimas de un delito, testigos u otras personas que pudieran facilitar información sobre delitos, así como de menores de dieciocho años, a menos que la transferencia sea estrictamente necesaria, razonable y proporcionada en casos concretos para la prevención o la lucha contra un delito.
2.Solo se permitirá la transferencia de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, así como el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, o de datos relativos a la salud, a la vida sexual o a las orientaciones sexuales de una persona física cuando sea estrictamente necesario, razonable y proporcionado en casos individuales para prevenir o combatir un delito y si dichos datos, salvo los datos biométricos, complementan otros datos personales.
3.Las Partes contratantes velarán por que el tratamiento de datos personales en virtud de los apartados 1 y 2 esté sujeto a salvaguardias adicionales ante riesgos específicos, entre ellas las restricciones de acceso, las medidas de seguridad adicionales en el sentido del artículo 15 y las limitaciones a las transferencias ulteriores en virtud del artículo 7.
Artículo 6
Tratamiento automatizado de datos personales
Se prohíben las decisiones basadas únicamente en un tratamiento automatizado de los datos personales intercambiados, incluida la elaboración de perfiles, que produzcan efectos jurídicos negativos para el interesado o le afecten significativamente, salvo que la ley lo autorice para la prevención y lucha contra delitos, y que ofrezca garantías adecuadas para salvaguardar los derechos y libertades del interesado, incluido al menos el derecho a obtener la intervención humana.
Artículo 7
Transferencia ulterior de los datos personales recibidos
1.Nueva Zelanda velará por que sus autoridades competentes solo transfieran datos personales recibidos en virtud del presente Acuerdo a otras autoridades de Nueva Zelanda si:
a)Europol ha dado su autorización explícita previa;
b)la finalidad de la transferencia ulterior es la misma que la finalidad original de la transferencia por parte de Europol o está directamente relacionada, dentro de los límites del artículo 3 apartado 1, con dicha finalidad original; y
c)la transferencia ulterior está sujeta a las mismas condiciones y garantías que las aplicables a la transferencia original.
2.Sin perjuicio de lo dispuesto en el artículo 4, apartado 2, no se requerirá autorización previa cuando la autoridad receptora sea ella misma una autoridad competente de Nueva Zelanda. Lo mismo se aplica a la capacidad de Europol de compartir datos personales con las autoridades responsables en los Estados miembros de la Unión Europea a efectos de la prevención y la lucha contra los delitos y con los organismos de la Unión enumerados en el Anexo III.
3.Nueva Zelanda velará por que se prohíban las transferencias ulteriores de datos personales recibidos por sus autoridades competentes en virtud del presente Acuerdo a las autoridades de un tercer país o a una organización internacional, a menos que se cumplan las condiciones siguientes:
a)la transferencia se refiere a datos personales distintos a los contemplados en el artículo 5 del Acuerdo;
b)Europol ha dado su autorización explícita previa;
c)la finalidad de la transferencia ulterior es la misma que la finalidad original de la transferencia por parte de Europol, y;
d)la transferencia ulterior está sujeta a las mismas condiciones y garantías que las aplicables a la transferencia original.
4.Europol solo podrá conceder su autorización con arreglo al apartado 3, letra b), para una transferencia ulterior a la autoridad de un tercer país o a una organización internacional si existe una decisión de adecuación, un acuerdo internacional que ofrezca garantías apropiadas con respecto a la protección de la intimidad y los derechos y libertades fundamentales de las personas, un acuerdo de cooperación o cualquier otro motivo futuro de Derecho para las transferencias de datos personales el sentido del Reglamento de Europol que regule la transferencia ulterior.
5.La Unión Europea velará por que se prohíban las transferencias ulteriores de datos personales recibidos por parte de Europol en virtud del presente Acuerdo a los organismos de la Unión Europea no enumerados en el anexo III, a las autoridades de terceros países o a una organización internacional, a menos que:
a)la transferencia se refiera a datos personales distintos a los contemplados en el artículo 5 del Acuerdo;
b)Nueva Zelanda haya dado su autorización explícita previa;
c)la finalidad de la transferencia ulterior sea la misma que la finalidad original de la transferencia por parte de Nueva Zelanda, y;
d)haya vigente una decisión de adecuación, un acuerdo internacional que ofrezca salvaguardias adecuadas con respecto a la protección de la intimidad y de los derechos y libertades fundamentales de las personas o un acuerdo de cooperación en el sentido del Reglamento de Europol con ese tercer país u organización internacional.
Artículo 8
Valoración de la fiabilidad de la fuente y la exactitud de la información
1.Las autoridades competentes indicarán, en la medida de lo posible, a más tardar en el momento de la transferencia de la información, la fiabilidad de la fuente de información sobre la base de uno o varios de los criterios siguientes:
1.cuando no quepa duda sobre la autenticidad, veracidad y competencia de la fuente, o si la información es suministrada por una fuente que en el pasado haya resultado ser fiable en todos los casos;
2.cuando la información sea facilitada por una fuente que en el pasado haya resultado ser fiable en la mayoría de los casos;
3.cuando la información sea facilitada por una fuente que haya resultado ser poco fiable en la mayoría de los casos;
4.cuando no pueda determinarse la fiabilidad de la fuente.
2.Las autoridades competentes indicarán, en la medida de lo posible, a más tardar en el momento de la transferencia de la información, la exactitud de la información sobre la base de uno o varios de los criterios siguientes:
1.información cuya exactitud no se ponga en duda en el momento de la transferencia;
2.información conocida personalmente por la fuente, pero no conocida personalmente por el funcionario que la transmite;
3.información no conocida personalmente por la fuente, pero corroborada por otra información ya registrada;
4.cuando la información no sea conocida personalmente por la fuente y no pueda ser corroborada de ninguna manera.
3.Cuando la autoridad competente receptora, sobre la base de la información que ya posea, llegue a la conclusión de que se debe corregir la evaluación de la información o de la fuente facilitada por la autoridad competente de transferencia, de conformidad con los apartados 1 y 2, informará a la autoridad competente e intentará acordar una modificación de dicha evaluación. La autoridad competente receptora no modificará la evaluación de la información recibida o de su fuente sin ese acuerdo.
4.Si una autoridad competente recibe información sin una evaluación, tratará de evaluar, en la medida de lo posible y de acuerdo con la autoridad competente de transferencia, la fiabilidad de la fuente o la exactitud de la información sobre la base de los datos que ya obren en su poder.
5.Si no se puede hacer una evaluación fiable, la información se evaluará de conformidad con los apartados 1.4 y 2.4.
DERECHOS DE LOS INTERESADOS
Artículo 9
Derecho de acceso
1.Las Partes contratantes velarán por que el interesado tenga derecho a obtener información sobre si los datos personales que le conciernen se tratan en el marco del presente Acuerdo y, en su caso, el acceso al menos a la información siguiente:
a)confirmación de si se han tratado o no datos que guarden relación con su persona;
b)información sobre, al menos, los fines de la operación de tratamiento, las categorías de datos implicadas y, en su caso, los destinatarios o categorías de destinatarios a quienes se divulguen los datos;
c)la existencia del derecho a solicitar al responsable del tratamiento la rectificación, corrección, supresión o eliminación de los datos personales relativos al interesado, o la limitación de su tratamiento;
d)indicación de la base jurídica con arreglo a la cual se realizará el tratamiento de los datos;
e)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
f)comunicación en forma inteligible de los datos personales objeto de tratamiento, así como de cualquier información disponible sobre el origen de los datos.
2.En los casos en que se ejerza el derecho de acceso, se consultará a la Parte que realiza la transferencia sobre una base no vinculante antes de que se adopte una decisión definitiva sobre la solicitud.
3.Las Partes contratantes podrán disponer que el suministro de información en respuesta a cualquier solicitud con arreglo al apartado 1 se retrase, deniegue o limite en la medida y durante el tiempo en que dicha denegación o limitación constituya una medida necesaria, razonable y proporcionada, teniendo en cuenta los derechos e intereses fundamentales del interesado, con el fin de:
a)garantizar que no se pongan en peligro ninguna investigación ni enjuiciamiento penal, o
b)proteger los derechos y libertades de terceros, o
c)proteger la seguridad nacional y el orden público y prevenir delitos.
4.Las Partes contratantes velarán por que la autoridad competente informe por escrito al interesado de cualquier retraso, denegación o restricción de acceso y de los motivos de tal retraso, denegación o limitación. Dichos motivos podrán omitirse cuando ello menoscabe la finalidad del retraso, la denegación o la restricción con arreglo al apartado 3. La autoridad competente informará al interesado de las posibilidades de presentar una reclamación ante las autoridades de control respectivas y de otras vías de recurso disponibles previstas en sus respectivos marcos jurídicos.
Artículo 10
Derecho de rectificación, corrección, supresión, eliminación y restricción
1.Las Partes contratantes dispondrán que todo interesado tenga derecho a solicitar a las autoridades competentes que corrijan y rectifiquen los datos personales inexactos relativos al interesado transferidos en virtud del presente Acuerdo. Teniendo en cuenta los fines del tratamiento, esto incluye el derecho a que se completen los datos personales incompletos transferidos en virtud del Acuerdo.
2.La rectificación y corrección incluirá la supresión y eliminación de datos personales que ya no sean necesarios para los fines para los que se tratan.
3.Las Partes contratantes podrán prever la restricción del tratamiento en lugar de la supresión y eliminación de los datos personales, tal y como se contempla en el apartado 2, en caso de que hubiera motivos razonables para suponer que la supresión y eliminación podría perjudicar intereses legítimos del interesado.
4.Las autoridades competentes se informarán mutuamente de las medidas tomadas en virtud de los apartados 1, 2 y 3. La autoridad competente receptora rectificará, corregirá, suprimirá o restringirá el tratamiento de dichos datos de conformidad con las medidas adoptadas por la autoridad competente transmisora.
5.Las Partes contratantes dispondrán que la autoridad competente que haya recibido la petición informe al interesado por escrito, sin demora indebida, y en cualquier caso en el plazo de tres meses a partir de la recepción de la solicitud, de conformidad con los apartados 1 o 2, de que los datos que le conciernen han sido rectificados, corregidos, suprimidos, eliminados o restringidos en su tratamiento.
6.Las Partes contratantes velarán por que la autoridad competente que haya recibido la solicitud informe por escrito al interesado sin demora indebida y en cualquier caso en el plazo de tres meses a partir de la recepción de la solicitud de cualquier denegación de rectificación, corrección, supresión, eliminación o restricción del tratamiento, de las razones de dicha denegación y de la posibilidad de presentar una reclamación ante las autoridades de control respectivas y de otras vías de recurso disponibles en los marcos jurídicos respectivos.
Artículo 11
Notificación de una violación de la seguridad de los datos personales a las autoridades afectadas
1.Las Partes contratantes velarán, en el caso de una violación de la seguridad de los datos personales que afecte a los datos personales transferidos en virtud del Acuerdo, por que las respectivas autoridades competentes se notifiquen dicha violación sin demora, así como a sus respectivas autoridades de control, y adopten medidas para mitigar sus posibles efectos adversos.
2.La notificación deberá, como mínimo:
a)describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
b)describir las posibles consecuencias de la violación de la seguridad de datos personales;
c)describir las medidas adoptadas o propuestas por la autoridad competente para poner remedio a la violación de la seguridad de los datos personales, incluidas las medidas adoptadas para mitigar los posibles efectos negativos.
3.En la medida en que no sea posible facilitar toda la información requerida al mismo tiempo, podrá facilitarse por fases. La información pendiente se facilitará sin más demora injustificada.
4.Las Partes contratantes dispondrán que sus respectivas autoridades competentes documenten toda violación de la seguridad de los datos personales que afecte a datos personales transferidos en virtud del presente Acuerdo, incluidos los hechos relativos a la violación, sus efectos y las medidas correctoras adoptadas, permitiendo así a sus respectivas autoridades de control verificar los requisitos legales aplicables.
Artículo 12
Comunicación de una violación de la seguridad de los datos personales al interesado
1.Las Partes contratantes dispondrán que, cuando sea probable que la violación de la seguridad de los datos personales mencionada en el artículo 11 tenga un efecto adverso grave para los derechos y libertades de las personas físicas, sus respectivas autoridades competentes comuniquen al interesado, sin dilación indebida, la violación de la seguridad de los datos personales.
2.En la comunicación al interesado según lo dispuesto en el apartado 1 se describirá, a ser posible, la naturaleza de la violación de la seguridad de los datos personales, se recomendarán medidas para mitigar los posibles efectos adversos de la violación y, además, se incluirán el nombre y los datos de contacto del punto de contacto donde se puede obtener más información.
3.La comunicación al interesado citada en el apartado 1 no será necesaria si:
a)los datos personales afectados por la violación han sido objeto de medidas de protección tecnológica adecuadas que hagan ininteligibles los datos para cualquier persona que no esté autorizada a acceder a ellos;
b)se han tomado medidas ulteriores que garantizan que ya no sea probable que los derechos y libertades del interesado se vean gravemente afectados; o
c)dicha comunicación supone una carga desproporcionada, en particular habida cuenta del número de casos afectados. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados.
4.La comunicación al interesado podrá retrasarse, restringirse u omitirse cuando sea probable que dicha comunicación:
a)obstruya indagaciones, investigaciones o procedimientos administrativos o judiciales;
b)perjudique la prevención, detección, investigación y enjuiciamiento de delitos o la ejecución de sanciones penales, el orden público o la seguridad nacional;
c)afecte a los derechos y libertades de terceros;
siempre y cuando ello sea una medida necesaria y proporcionada, teniendo debidamente en cuenta los intereses legítimos del interesado.
Artículo 13
Conservación, revisión, corrección y supresión de datos personales
1.Las Partes contratantes dispondrán que se establezcan plazos adecuados para la conservación de los datos personales recibidos en virtud del presente Acuerdo o para la revisión periódica de la necesidad de conservación de dichos datos, de modo que no se conserven más tiempo del necesario para el fin para el que se transfieren.
2.En cualquier caso, la necesidad de seguir conservando dichos datos se revisará a más tardar tres años después de su transferencia y, si no se adopta ninguna decisión justificada y documentada sobre la continuación del almacenamiento de los datos personales, dichos datos se borrarán de forma automáticamente transcurridos tres años.
3.Cuando una autoridad competente tenga motivos para creer que los datos personales anteriormente transferidos por ella son incorrectos, inexactos, han dejado de estar actualizados o no deberían haber sido transmitidos, informará de ello a la autoridad competente receptora, quien corregirá o suprimirá los datos personales y lo notificará a la autoridad transmisora.
4.Cuando una autoridad competente tenga motivos para creer que los datos personales anteriormente recibidos por ella son incorrectos, inexactos, han dejado de estar actualizados o no deberían haber sido transmitidos, informará de ello a la autoridad competente transmisora, quien expondrá su posición al respecto. Cuando la autoridad competente transmisora llegue a la conclusión de que los datos personales son incorrectos, inexactos, han dejado de estar actualizados o no deberían haber sido transmitidos, informará de ello a la autoridad competente receptora, quien corregirá o suprimirá los datos personales y lo notificará a la autoridad transmisora.
Artículo 14
Registro y documentación
Las Partes contratantes dispondrán la conservación de registros de la recogida; la modificación; el acceso; la divulgación, incluidas las transferencias ulteriores; la combinación y la supresión de datos personales.
Dichos registros o documentación se pondrán a disposición de la autoridad de control respectiva previa solicitud para la verificación de la legalidad del tratamiento de datos, el autocontrol y la garantía de la integridad y seguridad adecuadas de los datos.
Artículo 15
Seguridad de los datos
Las Partes contratantes garantizarán la aplicación de medidas técnicas y organizativas para proteger los datos personales intercambiados en virtud del presente Acuerdo.
En lo que respecta al tratamiento automatizado de datos, las Partes contratantes velarán por la aplicación de medidas destinadas a:
a)denegar a las personas no autorizadas el acceso a los equipamientos utilizados para el tratamiento de datos personales (control del acceso a los equipamientos);
b)impedir que los soportes de datos se puedan leer, copiar, modificar o retirar sin autorización (control de los soportes de datos);
c)impedir que se introduzcan sin autorización datos personales conservados, o que estos puedan inspeccionarse, modificarse o suprimirse sin autorización (control del almacenamiento);
d)impedir que los sistemas de tratamiento automatizado de datos puedan ser utilizados por personas no autorizadas por medio de equipamientos de transmisión de datos (control del usuario);
e)garantizar que las personas autorizadas para utilizar un sistema de tratamiento automatizado solo puedan tener acceso a los datos personales para los que han sido autorizados (control del acceso a los datos);
f)garantizar la posibilidad de verificar y determinar a qué organismos pueden transmitirse o se han transmitido datos personales utilizando equipamientos de transmisión de datos (control de la transmisión);
g)garantizar la posibilidad de verificar y determinar qué datos personales se han introducido en los sistemas de tratamiento automatizado de datos, en qué momento y por quién (control de la introducción de datos);
h)garantizar que sea posible verificar y establecer qué miembro del personal ha accedido a qué datos y a qué hora (registro de acceso);
i)impedir que durante las transferencias de datos personales o durante el transporte de soportes de datos, los datos personales puedan ser leídos, copiados, modificados o suprimidos sin autorización (control del transporte);
j)garantizar que los sistemas utilizados puedan repararse rápidamente en caso de avería (restablecimiento);
k)garantizar que las funciones del sistema no presenten defectos, que los errores de funcionamiento se señalen de forma inmediata (fiabilidad) y que los datos almacenados no se falseen por defectos de funcionamiento del sistema (autenticidad).
Artículo 16
Autoridad de control
1.Las Partes contratantes garantizarán que una autoridad pública independiente responsable de la protección de datos (autoridad de control) supervise aquellos asuntos que afectan a la intimidad de las personas, incluidas las normas nacionales relevantes en virtud del presente Acuerdo, para proteger los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos personales. Las Partes contratantes se notificarán mutuamente la autoridad que cada una de ellas considere autoridad de control en el sentido del presente artículo.
2.Las Partes contratantes garantizarán que la autoridad de control actúe con total independencia en el desempeño de sus funciones y en el ejercicio de sus poderes. Dicha autoridad actuará sin influencia externa y no solicitará ni aceptará instrucciones. Sus miembros tendrán un mandato seguro, que incluya garantías contra la destitución arbitraria.
3.Las Partes contratantes velarán por que cada autoridad de control disponga de los recursos humanos, técnicos y financieros, así como de los locales e infraestructuras necesarios para el desempeño efectivo de sus funciones y el ejercicio de sus competencias.
4.Las Partes contratantes velarán por que cada autoridad de control disponga de poderes efectivos de investigación e intervención para supervisar los organismos que supervisa y para emprender acciones judiciales.
5.Las Partes contratantes velarán por que cada autoridad de control esté facultada para conocer de las reclamaciones de particulares sobre el uso de sus datos personales por las autoridades competentes bajo su supervisión.
Artículo 17
Recursos administrativos y judiciales
Los interesados tendrán derecho a un recurso administrativo y judicial efectivo en caso de violación de los derechos y garantías reconocidos en el presente Acuerdo como consecuencia del tratamiento de sus datos personales. Las Partes contratantes se notificarán mutuamente la legislación nacional que cada una de ellas considere que consagra los derechos garantizados en virtud del presente artículo.
Capítulo III - Diferencias
Artículo 18
Solución de diferencias
Todas las diferencias que puedan surgir en relación con la interpretación, aplicación o ejecución del presente Acuerdo, así como cualquier asunto relacionado con el mismo, darán lugar a consultas y negociaciones entre representantes de las Partes contratantes con vistas a alcanzar una solución mutuamente aceptable.
Artículo 19
Cláusula suspensiva
1.En caso de incumplimiento grave o incumplimiento de las obligaciones derivadas de las disposiciones del presente Acuerdo, las Partes contratantes podrán suspender el presente Acuerdo de forma temporal por completo o parcialmente mediante notificación escrita a la otra Parte por vía diplomática. Dicha notificación por escrito no podrá efectuarse hasta después de que las Partes contratantes hayan abierto un período razonable de consulta sin llegar a una resolución, y la suspensión entrará en vigor veinte días después de la fecha de recepción de dicha notificación. Dicha suspensión podrá ser levantada por la Parte contratante que lo suspenda previa notificación por escrito a la otra Parte contratante. El levantamiento de la suspensión tendrá lugar inmediatamente después de la recepción de la citada notificación.
2.A pesar de la suspensión del presente Acuerdo, los datos personales que entren en el ámbito de su aplicación y hayan sido transferidos con anterioridad a dicha suspensión seguirán tratándose de conformidad con las disposiciones del presente Acuerdo.
Artículo 20
Denuncia del Acuerdo
1.Cualquiera de las Partes contratantes podrá denunciar el presente Acuerdo en cualquier momento mediante notificación escrita por vía diplomática, con un preaviso de tres meses.
2.Los datos personales incluidos en el ámbito de aplicación del presente Acuerdo y transferidos antes de su denuncia seguirán siendo tratados de conformidad con las disposiciones del presente Acuerdo en el momento de la denuncia.
3.En caso de denuncia, las Partes contratantes llegarán a un acuerdo sobre la continuación de la utilización y el almacenamiento de la información ya comunicada entre ellas.
Capítulo IV - Disposiciones finales
Artículo 21
Relación con otros instrumentos internacionales
1.El presente Acuerdo no prejuzgará ni afectará de otro modo a las disposiciones jurídicas con respecto al intercambio de información previsto por cualquier tratado de asistencia judicial mutua, por cualquier otro acuerdo de cooperación o en las relaciones de trabajo en materia policial para el intercambio de información entre Nueva Zelanda y cualquier Estado miembro de la Unión Europea.
2.El presente Acuerdo complementará el Acuerdo de trabajo por el que se establecen relaciones de cooperación entre la Policía de Nueva Zelanda y la Agencia de la Unión Europea para la Cooperación Policial.
Artículo 22
Acuerdo administrativo de aplicación
Los pormenores de la cooperación entre las Partes contratantes a efectos de la aplicación del presente Acuerdo serán objeto de un acuerdo administrativo de aplicación celebrado entre Europol y las autoridades competentes de Nueva Zelanda de conformidad con el Reglamento de Europol.
Artículo 23
Acuerdo administrativo sobre confidencialidad
El intercambio de información clasificada de la UE, si es necesario en virtud del presente Acuerdo, será regulado por un acuerdo administrativo sobre confidencialidad celebrado entre Europol y las autoridades competentes de Nueva Zelanda.
Artículo 24
Punto de contacto nacional y funcionarios de enlace
1.Nueva Zelanda designará un punto de contacto nacional que actuará como el punto de contacto central entre Europol y las autoridades competentes de Nueva Zelanda. Las tareas específicas del punto de contacto serán enumeradas en el acuerdo administrativo de aplicación con arreglo al artículo 22, apartado 1. El punto de contacto nacional designado para Nueva Zelanda se indica en el anexo IV.
2.Europol y Nueva Zelanda reforzarán su cooperación tal y como se establece en el presente Acuerdo mediante el despliegue de funcionarios de enlace por parte de Nueva Zelanda. Europol podrá enviar uno o varios funcionarios de enlace a Nueva Zelanda.
Artículo 25
Gastos
Las Partes contratantes velarán por que las autoridades competentes sufraguen sus propios gastos derivados de la aplicación del presente Acuerdo, salvo disposición en contrario del mismo o del acuerdo administrativo.
Artículo 26
Notificación de la aplicación
1.Las Partes contratantes dispondrán que las autoridades competentes pongan a disposición del público un documento en el que se expongan de forma inteligible las disposiciones relativas al tratamiento de los datos personales transferidos en virtud del presente Acuerdo, incluidos los medios disponibles para el ejercicio de los derechos de los interesados. Las Partes contratantes velarán por que se notifique una copia de dicho documento a la otra Parte contratante.
2.Cuando aún no existan, las autoridades competentes adoptarán normas que especifiquen cómo se garantizará en la práctica el cumplimiento de las disposiciones relativas al tratamiento de datos personales. Se notificará una copia de estas normas a la otra Parte contratante y a las respectivas autoridades de control.
Artículo 27
Entrada en vigor y aplicación
1.El presente Acuerdo será aprobado por las Partes contratantes de conformidad con sus propios procedimientos.
2.El presente Acuerdo entrará en vigor en la fecha de recepción de la última notificación escrita en la que las Partes contratantes se hayan notificado mutuamente, por vía diplomática, que han concluido los procedimientos a que se hace referencia en el apartado 1.
3.El presente Acuerdo entrará en vigor el primer día siguiente a la fecha en que se cumplan todas las condiciones siguientes:
a)el acuerdo administrativo de aplicación establecido en el artículo 22 haya pasado a ser aplicable; y
b)las Partes contratantes se hayan notificado mutuamente que se han cumplido las obligaciones establecidas en el presente Acuerdo, incluidas las establecidas en el artículo 26, y dicha notificación haya sido aceptada.
4.Las Partes contratantes intercambiarán por vía diplomática notificaciones escritas que confirmen el cumplimiento de las condiciones mencionadas.
Artículo 28
Modificaciones y suplementos
1.El presente Acuerdo podrá modificarse por escrito en cualquier momento, de común acuerdo entre las Partes contratantes, mediante notificación escrita intercambiada entre ellas por vía diplomática. Las modificaciones entrarán en vigor con arreglo al mismo procedimiento legal establecido en el artículo 27, apartados 1 y 2.
2.Los anexos del presente Acuerdo podrán actualizarse, cuando sea necesario, mediante el intercambio de notas diplomáticas. Dichas actualizaciones entrarán en vigor de conformidad con el artículo 27, apartados 1 y 2.
3.Las Partes contratantes iniciarán consultas sobre la modificación del presente Acuerdo o de sus anexos a petición una de las Partes.
Artículo 29
Revisión y evaluación
1.Las Partes contratantes revisarán conjuntamente la aplicación del presente Acuerdo un año después de su entrada en vigor y, posteriormente, a intervalos regulares y adicionalmente, a petición de cualquiera de las Partes y por decisión conjunta.
2.Las Partes contratantes evaluarán conjuntamente el presente Acuerdo cuatro años después de su entrada en vigor.
3.Las Partes contratantes decidirán por adelantado las modalidades de la revisión de la aplicación del Acuerdo y se comunicarán mutuamente la composición de sus respectivos equipos. Los equipos incluirán expertos pertinentes en los ámbitos de la protección de datos y policial. Sin perjuicio de las disposiciones legales aplicables, los participantes en la revisión conjunta deberán contar con la correspondiente habilitación de seguridad y tendrán la obligación de respetar el carácter confidencial de los debates. A efectos de cualquier revisión, Nueva Zelanda y la Unión Europea garantizarán el acceso a la documentación, los sistemas y el personal pertinentes.
Artículo 30
Aplicación territorial
1.El presente Acuerdo se aplicará en el territorio en el que son aplicables el Tratado de la Unión Europea y el Tratado de Funcionamiento de la Unión Europea y en el territorio de Nueva Zelanda.
2.El presente Acuerdo solo se aplicará al territorio de Dinamarca o Irlanda si la Unión Europea notifica por escrito a Nueva Zelanda que Dinamarca o Irlanda han decidido quedar vinculados al presente Acuerdo.
3.Si la Unión Europea notifica a Nueva Zelanda antes de la entrada en vigor del presente Acuerdo que este se aplicará al territorio de Dinamarca o de Irlanda, el presente Acuerdo se aplicará al territorio de dicho Estado miembro el mismo día en que se aplique a los demás Estados miembros de la Unión Europea.
4.Si la Unión Europea notifica a Nueva Zelanda después de la entrada en vigor del presente Acuerdo que este se aplica al territorio de Dinamarca o de Irlanda, el presente Acuerdo se aplicará al territorio de dicho Estado miembro 30 días después de la fecha de la notificación.
Hecho en ..., el ... , en doble ejemplar, en alemán, búlgaro, checo, croata, danés, eslovaco, esloveno, español, estonio, finés, francés, griego, húngaro, inglés, italiano, letón, lituano, maltés, neerlandés, polaco, portugués, rumano y sueco, siendo todos los textos igualmente auténticos.
Por Nueva Zelanda Por la Unión Europea
Anexo I - : Ámbitos delictivos
Los delitos se definen en el artículo 2, letra e), como:
–terrorismo,
–delincuencia organizada,
–narcotráfico,
–actividades de blanqueo de capitales,
–delitos relacionados con materiales nucleares o sustancias radiactivas,
–tráfico de inmigrantes,
–trata de seres humanos,
–delincuencia relacionada con vehículos de motor,
–homicidio voluntario, agresión con lesiones graves,
–tráfico ilícito de órganos y tejidos humanos,
–secuestro, detención ilegal y toma de rehenes,
–racismo y xenofobia,
–robo y hurto con agravantes,
–tráfico ilícito de bienes culturales, incluidas las antigüedades y obras de arte,
–estafa y fraude,
–delitos contra los intereses financieros de la Unión,
–operaciones con información privilegiada y manipulación del mercado financiero,
–chantaje y extorsión,
–falsificación y piratería,
–falsificación de documentos administrativos y tráfico de documentos administrativos falsos,
–falsificación de moneda y de medios de pago,
–ciberdelincuencia,
–corrupción,
–tráfico ilícito de armas, municiones y explosivos,
–tráfico ilícito de especies en peligro de extinción,
–tráfico ilícito de especies y variedades vegetales protegidas,
–delitos contra el medio ambiente, incluida la contaminación procedente de buques,
–tráfico ilícito de sustancias hormonales y otros factores de crecimiento,
–abusos sexuales y explotación sexual, incluido el material sobre abuso de menores y la captación de menores con fines sexuales,
–genocidio, crímenes contra la humanidad y crímenes de guerra.
Las formas de delincuencia a las que se refiere el presente anexo serán evaluadas por las autoridades competentes de Nueva Zelanda de conformidad con la legislación de Nueva Zelanda.
Anexo II - Autoridades competentes de Nueva Zelanda y sus competencias
Las autoridades competentes de Nueva Zelanda a las que Europol podrá transferir datos son las siguientes:
|
Autoridad |
|
|
Policía de Nueva Zelanda (New Zealand Police, como autoridad competente principal) |
|
|
Administración Aduanera de Nueva Zelanda (New Zealand Customs Service) |
|
|
Servicio de Inmigración de Nueva Zelanda (New Zealand Immigration Service) |
|
Anexo III - Lista de organismos de la Unión
Misiones y operaciones comunes de seguridad y defensa, limitadas a las actividades policiales
Oficina Europea de Lucha contra el Fraude (OLAF)
Agencia Europea de la Guardia de Fronteras y Costas (Frontex)
Banco Central Europeo (BCE)
Fiscalía Europea
Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust)
Oficina de Propiedad Intelectual de la Unión Europea (OPIUE)
Anexo IV - Punto de contacto nacional
El punto de contacto nacional de Nueva Zelanda que actuará como punto de contacto central entre Europol y las autoridades competentes de Nueva Zelanda queda designado como:
Policía de Nueva Zelanda
Nueva Zelanda tendrá la obligación de informar a Europol en caso de que cambie el punto de contacto.