Qué pregunta Bélgica al TJUE y por qué afecta a toda la vigilancia masiva en la UE
La Cour constitutionnelle de Belgique ha elevado al Tribunal de Justicia de la Unión Europea una cuestión prejudicial (asunto C-846/25, publicada en el DOUE C/2026/1586 el 23 de marzo de 2026) que cuestiona la compatibilidad del concepto de «riesgo para la seguridad» del Reglamento ETIAS —Reglamento (UE) 2018/1240— con el derecho fundamental a la protección de datos. El asunto tiene implicaciones directas para cualquier profesional de protección de datos o compliance que trabaje con sistemas de información a gran escala.
La Ligue des droits humains, asociación belga de derechos civiles que ya promovió ante el TJUE el asunto C-817/19 sobre la Directiva PNR, impugna la definición del artículo 3. 1.6 del Reglamento ETIAS —«riesgo de amenaza para el orden público, la seguridad interior o las relaciones internacionales»— por carecer de la precisión que exigen el artículo 5.1.b) del RGPD, el artículo 16 TFUE y los artículos 7 y 8 de la Carta de Derechos Fundamentales. El argumento de fondo es conocido en la litigación europea sobre vigilancia masiva: una finalidad de tratamiento formulada de modo demasiado genérico no satisface el principio de limitación de la finalidad y permite un perímetro de vigilancia desproporcionado.
El TJUE tendrá que valorar si el legislador europeo definió con suficiente concreción el propósito del tratamiento masivo de datos que ETIAS implica. Este tribunal ya estrechó los márgenes de la retención generalizada de datos en La Quadrature du Net (asuntos acumulados C-511/18 y C-512/18) y limitó el uso automatizado de datos PNR en el citado C-817/19. Si aplica el mismo estándar de precisión al Reglamento ETIAS, la Comisión Europea podría verse obligada a reformular elementos nucleares de un sistema que aún no ha entrado en pleno funcionamiento.
La respuesta del TJUE condicionará el alcance legítimo del tratamiento de datos personales en todo el ecosistema de seguridad interior de la UE. Para el ámbito español, esto afecta de forma concreta a operadores de transporte, compañías aéreas y administraciones que deban intercambiar datos con los sistemas europeos de fronteras e inmigración: el margen de tratamiento que hoy contemplan sus evaluaciones de impacto puede quedar redefinido por la sentencia.
Javier Mena