El Parlamento Europeo ha votado para otorgar a Europol amplios poderes para recopilar y procesar datos sobre personas, incluidas personas que no son sospechosas de ningún delito, en una medida que amplía significativamente el poder de la agencia policial europea.
Los eurodiputados votaron el 4 de mayo para ampliar el mandato de Europol para recopilar datos personales de empresas de tecnología, incluidos proveedores de telecomunicaciones e Internet y empresas de redes sociales, y para recopilar y analizar datos de países fuera de la Unión Europea (UE).
Las propuestas también dan a Europol el visto bueno para desarrollar algoritmos y sistemas de inteligencia artificial (IA) capaces de tomar decisiones automatizadas y desarrollar modelos policiales predictivos.
El proyecto de reglamento del Parlamento anula efectivamente una orden del Supervisor Europeo de Protección de Datos (EDPS) en enero de 2020 que requería que Europol eliminara franjas de datos personales que había recopilado y procesado ilegalmente.
Los eurodiputados votaron por 480 a favor de una expansión significativa del papel de Europol, con 142 en contra y 20 abstenciones, en una medida que ampliará el uso de macrodatos e inteligencia artificial de Europol en las investigaciones criminales.
El reglamento propuesto introduce medidas para proteger la privacidad de las personas, incluido el nombramiento de un responsable de derechos fundamentales en Europol y la supervisión independiente por parte del SEPD.
Una ‘expansión masiva y sin control’ de poderes
Pero la medida ha sido criticada por grupos de la sociedad civil y algunos eurodiputados, que afirman que equivale a una “expansión masiva y sin control” de los poderes de Europol y podría representar un primer paso en el camino hacia la creación de una versión europea de GCHQ o los EE. UU. Agencia de Seguridad Nacional.
“Europol podrá recopilar y compartir datos a diestro y siniestro, sin mucha restricción o control”, dijo Chloé Berthélémy, asesora de derechos políticos de European Digital Rights (EDRi), una red de organizaciones de derechos humanos y civiles en Europa.
El proyecto de ley es en parte una respuesta a las crecientes solicitudes de Europol para analizar conjuntos de datos cada vez más grandes y complejos para identificar delitos en múltiples países dentro y fuera de la Unión Europea.
“Europol podrá recopilar y compartir datos a diestra y siniestra, sin mucha restricción ni control”
Chloé Berthélémy, derechos digitales europeos
Un ejemplo es una operación de la policía francesa y holandesa en 2020 para piratear la red telefónica encriptada EncroChat, recopilando mensajes de texto de decenas de miles de teléfonos junto con detalles de los contactos, notas, videos y mensajes de voz de los usuarios, sus seudónimos. e identificadores únicos de teléfono.
La nueva legislación propuesta ampliará la gama de datos que Europol puede retener y procesar más allá de su mandato actual, que restringe a la agencia policial a procesar datos solo sobre personas que tenían un vínculo claro y establecido con la delincuencia.
El proyecto de ley también permitirá a Europol compartir datos, que podrían incluir direcciones IP, URL y el contenido de las comunicaciones, con empresas, incluidas instituciones financieras y plataformas en línea.
Los estados miembros europeos proporcionan conjuntos de datos a Europol, que se entiende que incluyen registros de vuelos de pasajeros, ubicaciones de teléfonos móviles y conjuntos de datos de fuente abierta que pueden incluir publicaciones en redes sociales extraídas de Internet.
Europol también podrá recibir datos de empresas de tecnología y servicios de Internet, como Google y Facebook, incluidos datos de suscriptores, tráfico y contenido que pueden ser relevantes para investigaciones criminales.
Asumirá un papel adicional para evaluar los riesgos estratégicos que plantean los inversores extranjeros en tecnologías emergentes en Europa, en particular las utilizadas por las fuerzas del orden y la tecnología crítica que podría utilizarse para el terrorismo.
Inteligencia artificial basada en ‘datos sucios’
El proyecto de ley también otorga a Europol el mandato de investigar tecnologías innovadoras, incluida la tecnología de inteligencia artificial y la toma de decisiones algorítmica, que, por ejemplo, podrían usarse para predecir qué personas es probable que estén involucradas en actividades delictivas.
Europol también podrá entrenar legalmente algoritmos en conjuntos de datos que contengan información personal de personas que no son sospechosas de ningún delito, en un movimiento descrito por los legisladores como necesario para eliminar el sesgo de los algoritmos entrenados únicamente en datos criminales.
Los críticos señalan que el respaldo de los eurodiputados al uso de la toma de decisiones automática por parte de Europol está en contradicción con el respaldo del Parlamento Europeo a la prohibición del uso de algoritmos para la vigilancia predictiva.
El Parlamento acordó en octubre de 2021 que es probable que las técnicas de IA utilizadas hoy en día tengan un impacto discriminatorio en los grupos raciales y las comunidades marginales, los niños, los ancianos y las mujeres.
Berthélémy, asesor de políticas de EDRi, dijo que los estados miembros no estaban prestando suficiente atención a la calidad de los datos que enviaban a Europol que se utilizarán para entrenar algoritmos.
“Europol desarrollará y utilizará algoritmos basados en los datos recibidos de las fuerzas policiales nacionales, pero la naturaleza y el origen de estos conjuntos de datos no se han cuestionado lo suficiente”, dijo.
“Pueden estar distorsionados por prejuicios raciales o provenir de prácticas corruptas e ilegales. Estos ‘datos sucios’ darán como resultado que las tecnologías de Europol se dirijan demasiado a ciertos grupos socioeconómicos, raciales o étnicos, lo que en última instancia reforzará las desigualdades estructurales”, agregó.
Las salvaguardias y la supervisión no son suficientes
El proyecto de reglamento incluye “garantías mejoradas, supervisión democrática y mecanismos de rendición de cuentas”, según un informe sobre el reglamento propuesto.
Estos tienen por objeto garantizar que las actividades y tareas de Europol se lleven a cabo en total conformidad con la Carta Europea de los Derechos Fundamentales, señala el informe de la Comisión de Libertades Civiles, Justicia y Asuntos de Interior.
Esto incluye los derechos a la igualdad ante la ley, a la no discriminación ya un recurso efectivo ante el tribunal nacional competente.
El procesamiento de datos personales “se limita a lo estrictamente necesario y proporcionado y está sujeto a condiciones claras, requisitos estrictos y supervisión efectiva” por parte del Supervisor Europeo de Protección de Datos.
Sin embargo, los grupos de la sociedad civil afirman que las garantías de protección de datos propuestas no van lo suficientemente lejos.
El asesor de EDRi, Berthélémy, dijo que los planes de Europol para designar internamente a un oficial de derechos fundamentales (FRO) para proteger los derechos de privacidad de los interesados, junto con los poderes limitados del EDPS, están muy lejos de la regulación independiente que requiere la agencia policial.
El modelo FRO se tomó de la agencia europea de guardias fronterizas y costeras, Frontex, donde ya ha demostrado ser ineficaz, dijo.
“Simplemente están reproduciendo un mecanismo que en realidad no ha demostrado ser eficiente de otra agencia involucrada en violaciones de derechos humanos en las fronteras de la UE”, dijo Berthélémy.
Laure Baudrihaye-Gérard, directora legal en Europa del grupo de campaña Fair Trials, dijo que el aumento de los poderes de Europol debería ir acompañado de un aumento de la supervisión.
“Los eurodiputados deberían haber aprovechado la oportunidad para defender los derechos de las personas en lugar de allanar el camino para un modelo policial que no rinde cuentas y envía una señal preocupante a todas las fuerzas policiales de Europa”, dijo.
También existe la preocupación de que existe una falta de garantías adecuadas y transparencia sobre la calidad y precisión de los datos compartidos por los estados miembros con Europol.
Los datos poco fiables pueden “blanquearse” a través de Europol, compartirse con los estados miembros y utilizarse como prueba en procesos penales, dijo Berthélémy.
Eso haría imposible identificar errores o determinar si las pruebas fueron recopiladas legalmente por el estado miembro que las proporcionó.
“Hemos llamado a Europol una máquina de lavado de datos, porque no estamos seguros de cuán confiables son los datos, si son de buena calidad y si han sido validados por un juez o una autoridad judicial independiente”
Chloé Berthélémy, derechos digitales europeos
“Europol está concluyendo cada vez más acuerdos con terceros países, muchos de los cuales tienen un mal historial en materia de derechos humanos”, dijo. “Hemos llamado a Europol una máquina de lavado de datos, porque no estamos seguros de cuán confiables son los datos, si son de buena calidad y si han sido validados por un juez o una autoridad judicial independiente”.
Berthélémy dijo que Europol también estaba alentando a las organizaciones privadas a compartir datos voluntariamente, que luego pasa a los estados miembros, en un movimiento que podría violar los tratados de la Unión Europea.
Baudrihaye-Gérard dijo que los tribunales no pueden ejercer una supervisión judicial significativa si los datos recopilados y analizados por Europol son correctos.
Los abogados defensores no tienen acceso a la información que necesitan para preparar una defensa. “Realmente nos enfrentamos a un vaciamiento total del derecho a un juicio justo en lo que respecta a Europol”, dijo.
El paso de Europol al big data plantea problemas de cumplimiento
Europol comenzó a ofrecer servicios a los estados miembros europeos para analizar datos de forma forense en 2002. La demanda de estos servicios ha crecido drásticamente a lo largo de los años, ya que las agencias policiales de toda Europa intentaron explotar el poder de los “grandes datos”.
Para 2019, el Supervisor Europeo de Protección de Datos informó que Europol estaba procesando cantidades cada vez mayores de datos no específicos con fines de inteligencia e investigación, incluidos conjuntos de datos que contenían información sobre personas inocentes.
En abril de ese año, la directora ejecutiva de Europol, Catherine De Bolle, informó al SEPD de importantes problemas de cumplimiento, lo que provocó una investigación formal.
En abril siguiente, Europol comenzó a recibir grandes cantidades de datos de una nueva operación de piratería realizada por la policía francesa en la red telefónica encriptada EncroChat.
La agencia recibió datos de 120 millones de mensajes de EncroChat, analizó los datos para identificar el país de origen y los entregó a las fuerzas policiales de Alemania, Francia, Suecia, el Reino Unido y otros países que han realizado miles de arrestos de bandas criminales organizadas.
En septiembre de 2020, el SEPD amonestó a Europol, sin nombrar investigaciones específicas, por poner en riesgo los derechos de privacidad de los interesados al continuar almacenando grandes volúmenes de datos personales, en algunos casos durante años, sin evaluar si los individuos tenían algún vínculo con la delincuencia.
“El procesamiento de datos sobre individuos en una base de datos policial de la UE puede tener graves consecuencias para los involucrados”, escribió en ese momento el supervisor, Wojciech Wiewiórowski.
“Si no se aplican las garantías previstas en el reglamento de Europol, las personas corren el riesgo de ser vinculadas erróneamente a actividades delictivas en toda la UE, con todo el daño potencial que ello conlleva para su vida privada y profesional”, añadió.
Normalización de la recopilación de datos generalizada
El SEPD y Europol no lograron llegar a un acuerdo durante las negociaciones posteriores y, en enero de este año, el SEPD ordenó a Europol que borrara todos los datos que tenía sobre personas “sin vínculo establecido con la delincuencia”.
La orden requería que Europol borrara los conjuntos de datos con más de seis meses de antigüedad, en los casos en que Europol no hubiera podido categorizar a los interesados y no pudiera estar seguro de que no contenían información sobre personas sin vínculos establecidos con el crimen.
Era posible, concluyó el SEPD, que los datos sobre personas inocentes también se hayan extraído y compartido con terceros.
El regulador ordenó a Europol que notifique a terceros que eliminen cualquier dato entregado incorrectamente.
Berthélémy de EDRi dijo a Computer Weekly que uno de los principales objetivos de la última reforma era legalizar el procesamiento de Europol de conjuntos de datos que contienen datos personales de personas que no son sospechosas de ningún delito.
Según el mandato de Europol de 2016, la agencia policial se limita a procesar datos, definidos en una lista conocida como Anexo 2, que se relacionan con personas con conexiones con el terrorismo, el tráfico de drogas y otros delitos organizados transfronterizos.
Las últimas propuestas permiten a Europol hacer excepciones a las restricciones del Anexo 2, sin necesidad de informar al Supervisor Europeo de Protección de Datos hasta que se haya completado una investigación penal, lo que podría llevar años.
Un efecto del cambio, dijo Berthélémy, sería garantizar que la recopilación masiva de datos de Europol durante la operación contra EncroChat, que recopiló mensajes, fotos, videos y otros datos, no todos los cuales pueden no haber estado vinculados a actividades delictivas, es legalizado
“Realmente se trata de normalizar esta recopilación masiva de datos”, dijo.
Patrick Breyer, eurodiputado del Partido Pirata y miembro del Grupo de Control Parlamentario Conjunto, que supervisa Europol, dijo que, a pesar de las preocupaciones de los grupos de la sociedad civil y la reprimenda del Supervisor Europeo de Protección de Datos, se permitiría a Europol recopilar y analizar “ enorme…
