La UE negocia en secreto la entrega de datos biométricos de los europeos a EE. UU. a cambio de mantener los viajes sin visado
Bruselas cede ante las exigencias de la Administración Trump en una negociación que expertos en protección de datos consideran incompatible con el derecho europeo
Desde 2022, Washington ha venido dejando clara una condición para que los ciudadanos de los 43 países que forman parte del Programa de Exención de Visado (Visa Waiver Program, VWP) —entre ellos casi todos los países miembros de la Unión Europea— sigan pudiendo entrar en Estados Unidos sin dicho visado: que sus gobiernos le concedan acceso a las bases de datos biométricas nacionales a través de un nuevo tipo de acuerdo bilateral, la llamada EBSP o “Enhanced Border Security Partnership” (Asociación Reforzada de Seguridad Fronteriza).
Ahora, cuatro años después, Estados Unidos está a punto de salirse con la suya en lo que respecta a los datos de los ciudadanos de la UE, y lo peor es que, como denuncia la organización European Digital Rights (EDRi), la Comisión Europea ha cedido en prácticamente todos los puntos clave de la negociación.
Una condición impuesta por Washington, no negociada por Bruselas
El Departamento de Seguridad Nacional estadounidense (DHS) fijó el 31 de diciembre de este año como fecha límite para que los acuerdos operativos estén en marcha, momento a partir del cual evaluará el cumplimiento de cada país como parte de sus revisiones periódicas del programa de exención de visado. Los países que no satisfagan las expectativas de Washington se arriesgan a la suspensión o limitación de la posibilidad de sus ciudadanos de viajar a EE. UU. sin visado.
El mandato negociador que el Consejo de la UE entregó a la Comisión para representar a los Estados miembros no llegó hasta diciembre de 2025, tres años después de que EE. UU. planteara la exigencia por primera vez. Desde entonces, la Comisión ha llevado las conversaciones con tal nivel de secretismo que ha generado fricciones incluso dentro de las instituciones europeas: el texto negociado no se ha hecho público, y buena parte de lo que se sabe procede únicamente de filtraciones.
La más relevante de ellas tuvo lugar hace dos meses, cuando el grupo de investigación Statewatch —organización socia de EDRi— obtuvo una versión revisada del borrador de acuerdo marco. Según el análisis de Statewatch, la propuesta de la Comisión Europea violaría la propia legislación de la UE si se llevara a cabo, ya que iría mucho más allá del limitado mandato de negociación otorgado por el Consejo y contravendría las salvaguardas esenciales de protección de datos fijadas por las autoridades europeas en la materia.
Qué datos están sobre la mesa
Y es que el EBSP no se limita a huellas dactilares o fotografías faciales. Aunque el objetivo declarado del programa es el de poder verificar la identidad de los viajeros y determinar si representan una amenaza para la seguridad de EE. UU., la letra pequeña del acuerdo contempla el intercambio “continuo y sistemático” de datos biométricos entre bases de datos nacionales europeas y estadounidenses, y —según algunas versiones del borrador— también otras categorías de datos sensibles asociadas a investigaciones criminales o antiterroristas, siempre sujetas, sobre el papel, a pruebas de necesidad y proporcionalidad.
El propio texto normativo europeo que sirve de base a la negociación reconoce que la transferencia de datos que revelen origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos para identificación unívoca, o datos relativos a la salud y la orientación sexual, solo debería permitirse cuando sea estrictamente necesaria y proporcionada para prevenir delitos graves o terrorismo, y bajo garantías específicas. La pregunta que plantean tanto EDRi como Statewatch es si el texto que está sobre la mesa se atiene a dicha limitación.
Uno de los puntos más señalados por organizaciones pro-derechos digitales es que el borrador filtrado no prohíbe explícitamente el uso de sistemas de decisión automatizada (algoritmos) por parte de las autoridades fronterizas estadounidenses a la hora de evaluar a los viajeros europeos, lo que abriría la puerta a perfiles de riesgo generados por máquinas sin supervisión humana efectiva.
La advertencia del propio supervisor europeo de protección de datos
La institución llamada a velar por que estos acuerdos respeten el derecho comunitario, la Supervisora Europea de Protección de Datos (EDPS), ha sido inusualmente clara sobre la magnitud de lo que está en juego. Su titular, Wojciech Wiewiórowski, ha calificado el futuro acuerdo como el primer pacto de ámbito europeo que permitiría transferencias masivas de datos personales a las autoridades fronterizas de otro país. Aunque el EDPS ha respaldado la idea de un marco único a nivel de la UE como alternativa preferible a una maraña de acuerdos bilaterales descoordinados entre cada Estado miembro y Washington, ha insistido en que el intercambio de datos debe limitarse en la mayor medida posible y ceñirse, en principio, a las personas que efectivamente viajan a Estados Unidos.
Ese matiz —“en principio”— es precisamente el que preocupa a EDRi: según la organización, el requisito de que la agencia europea de protección de datos exija un nivel de protección esencialmente equivalente al europeo para cualquier transferencia internacional de datos personales —un estándar consolidado por la jurisprudencia del Tribunal de Justicia de la UE— no se cumple en el texto conocido hasta ahora. De confirmarse, el propio Tribunal de Justicia de la UE tendría motivos de sobra para declarar el acuerdo incompatible con el derecho europeo si en algún momento es impugnado, como ya ocurrió con anteriores pactos de transferencia de datos entre la UE y EE. UU.
Divisiones dentro de la propia UE
Pese a la presión del calendario impuesto por Washington, la unidad entre los Estados miembros dista de ser total. Según un documento interno del Consejo consultado por medios especializados, varios gobiernos mantienen “preocupaciones sustanciales” sobre el alcance del acuerdo, su modelo de intercambio de información y las garantías relativas al tratamiento posterior de los datos, las transferencias a terceros, los plazos de conservación y el tratamiento de categorías especiales de datos personales.
Para que el acuerdo entre en vigor, además, no bastará con el visto bueno de la Comisión: necesitará la aprobación del Consejo y el consentimiento del Parlamento Europeo, dos instancias donde las dudas planteadas por los supervisores de protección de datos y las organizaciones de la sociedad civil podrían encontrar, todavía, una vía de bloqueo o de renegociación.
La respuesta de la sociedad civil
Frente a lo que describe como un caso más de presión estadounidense sobre Europa para desmantelar salvaguardas clave, EDRi ha lanzado una campaña pública pidiendo a la Comisión y al Consejo que resistan lo que denomina “chantaje” del Gobierno estadounidense y se nieguen a vender los datos personales de los europeos a un país con, en palabras de la organización, un historial preocupante en materia de derechos humanos y un retroceso democrático acelerado. La entidad ha publicado también un análisis jurídico detallado del borrador filtrado y ha promovido una carta abierta dirigida al Consejo, en la que reclama que cualquier acuerdo final respete el principio de proporcionalidad, incluya garantías reales contra la discriminación y sea sometido a un escrutinio democrático mucho mayor del que ha tenido hasta ahora.
Qué puede pasar a partir de ahora
Con el plazo del 31 de diciembre de 2026 acercándose y la Comisión decidida a cerrar un marco general antes de esa fecha, el margen para introducir cambios sustanciales en el texto se estrecha semana a semana. Las opciones sobre la mesa son, a grandes rasgos, tres:
Que la Comisión logre incorporar salvaguardas adicionales antes del cierre de la negociación.
Que el acuerdo se firme tal como está y quede después expuesto a una eventual impugnación judicial ante el Tribunal de Justicia de la UE, como ya sucedió con marcos anteriores de transferencia de datos entre la UE y EE. UU..
Que las divisiones entre Estados miembros y las objeciones del Parlamento Europeo retrasen la ratificación final, con el riesgo de que Washington cumpla su amenaza de excluir a los ciudadanos europeos —o a los de algunos países en concreto— del programa de viajes sin visado.
Lo que está claro, coinciden las distintas fuentes, es que el resultado de esta negociación marcará un precedente: será el primer acuerdo de ámbito europeo que autorice transferencias masivas de datos personales a las autoridades fronterizas de un tercer país, y su desenlace probablemente condicionará cómo la UE aborde futuras exigencias similares de otros socios internacionales.