Agencia Estatal Boletín Oficial del Estado

 

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2024/982 del Parlamento Europeo y del Consejo, de 13 de marzo de 2024, relativo a la búsqueda y al intercambio automatizados de datos para la cooperación policial, y por el que se modifican las Decisiones 2008/615/JAI y 2008/616/JAI del Consejo y los Reglamentos (UE) 2018/1726, (UE) 2019/817 y (UE) 2019/818 del Parlamento Europeo y del Consejo (Reglamento Prüm II) (1), y en particular su artículo 31 y su artículo 44, apartado 6,

Considerando lo siguiente:

(1)	El Reglamento (UE) 2024/982 establece un marco para la búsqueda y el intercambio automatizados de determinadas categorías de datos para la cooperación policial transfronteriza.

(2)	De conformidad con el Reglamento (UE) 2024/982, la Comisión debe especificar el procedimiento técnico para la búsqueda y el intercambio automatizados de antecedentes policiales que se efectúen mediante el Sistema Europeo de Índice de Antecedentes Policiales (EPRIS).

(3)

Es necesario establecer especificaciones técnicas y operativas uniformes para el funcionamiento del EPRIS a fin de garantizar el intercambio eficaz, seguro e interoperable de antecedentes policiales. Dichas especificaciones deben definir los procedimientos, formatos, protocolos y requisitos de seguridad para que el intercambio automatizado de información en virtud del Reglamento (UE) 2024/982 sea coherente y fiable.

(4)

La infraestructura central de enrutamiento del EPRIS, que gestionará Europol, debe servir de intermediario de confianza para el intercambio de consultas y resultados entre los índices nacionales de antecedentes policiales. El diseño técnico de dicha infraestructura debe garantizar el cifrado de extremo a extremo, la seudonimización de los datos y la estricta separación entre las funciones de enrutamiento y el contenido de los datos, de forma que se preserve la protección y la confidencialidad de los datos en todas las transacciones del EPRIS.

(5)

Para mantener la continuidad operativa y la confianza mutua entre las entidades participantes, es necesario establecer requisitos comunes para la disponibilidad del sistema, la gestión de la configuración y el registro, así como procedimientos para el tratamiento de errores y la información estadística. Estos requisitos deben apoyar el seguimiento, la evaluación y la mejora del rendimiento del EPRIS en consonancia con los principios de rendición de cuentas, transparencia y minimización de datos.

(6)

De conformidad con los artículos 1 y 2 del Protocolo n.o 22 sobre la posición de Dinamarca, anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, Dinamarca no participó en la adopción del Reglamento (UE) 2024/982 y no queda vinculada por este ni sujeta a su aplicación. Dinamarca no está por lo tanto obligada por la presente Decisión ni está sujeta a su aplicación.

(7)	Irlanda está vinculada por el Reglamento (UE) 2024/982 y, por lo tanto, está vinculada por la presente Decisión.

(8)

El EPRIS contribuye a la prestación de un servicio público digital transfronterizo. Dado que la presente Decisión introduce requisitos vinculantes que afectan a su desarrollo, se requiere una evaluación de la interoperabilidad en virtud del artículo 3 del Reglamento (UE) 2024/903 del Parlamento Europeo y del Consejo (2) (Reglamento sobre la Europa Interoperable). Se ha llevado a cabo la evaluación, y el informe resultante se publicará en el portal de la Europa Interoperable.

(9)	El Supervisor Europeo de Protección de Datos emitió su dictamen el 27 de enero de 2026.

(10)	Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité Prüm II establecido por el artículo 77 del Reglamento (UE) 2024/982.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

A efectos de la presente Decisión, se entenderá por:

a)	«entidad»: un Estado miembro o Europol;

b)	«entidad requirente»: un Estado miembro o Europol que inicia una consulta;

c)	«entidad requerida»: un Estado miembro que recibe una búsqueda;

d)	«transacción»: una consulta, convertida en una o varias búsquedas y sus correspondientes resultados;

e)	«consulta»: la entrada iniciada y enviada por una entidad requirente al servicio de consulta desplegado en su propia infraestructura;

f)	«búsqueda»: un mensaje enviado por el servicio de consulta de una entidad requirente al servicio de búsqueda de las entidades requeridas para obtener una lista de resultados;

g)	«resultado»: la información enviada desde el servicio de búsqueda de una entidad requerida al servicio de consulta de una entidad requirente tras una búsqueda, en la que se indica una coincidencia, incluidos sus datos conexos, o un resultado sin coincidencia;

h)	«respuesta»: la agregación de todos los resultados relacionados con una consulta;

i)	«servicio de consulta»: microservicio para enviar búsquedas a las entidades;

j)	«servicio de búsqueda»: microservicio para gestionar y buscar los índices.

Artículo 2

Las especificaciones relativas a las normas técnicas para la búsqueda y el intercambio automatizados de antecedentes policiales por medio del EPRIS serán las que figuran en el anexo.

Artículo 3

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Hecho en Bruselas, el 10.6.2026.

Por la Comisión

La Presidenta

Ursula VON DER LEYEN

(1)   DO L 2024/982, 5.4.2024, ELI: http://data.europa.eu/eli/reg/2024/982/oj.

(2)  Reglamento (UE) 2024/903 del Parlamento Europeo y del Consejo, de 13 de marzo de 2024, por el que se establecen medidas a fin de garantizar un alto nivel de interoperabilidad del sector público en toda la Unión (Reglamento sobre la Europa Interoperable) (DO L, 2024/903, 22.3.2024, ELI: http://data.europa.eu/eli/reg/2024/903/oj).

ANEXO

Normas técnicas para la búsqueda y el intercambio automatizados de antecedentes policiales por medio del EPRIS a que se refiere el artículo 2

CAPÍTULO 1

EPRIS

1.   Cuadro de códigos de entidades

Se identificarán las entidades requirente y requerida mediante un código de dos letras de la norma ISO 3166. Si la entidad no tiene un código ISO reservado, este documento define uno en el cuadro 1.

Cuadro 1

Lista de códigos de entidad utilizados en los intercambios automatizados Prüm II

Nombre de la entidad	Código
Austria	AT
Bélgica	BE
Bulgaria	BG
Chipre	CY
Chequia	CZ
Alemania	DE
Estonia	EE
España	ES
Finlandia	FI
Francia	FR
Grecia	GR
Croacia	HR
Hungría	HU
Irlanda	IE
Italia	IT
Lituania	LT
Luxemburgo	LU
Letonia	LV
Malta	MT
Países Bajos	NL
Polonia	PL
Portugal	PT
Rumanía	RO
Suecia	SE
Eslovenia	SI
Eslovaquia	SK
Europol	EP

2.   Procedimiento técnico para que el EPRIS consulte los índices de antecedentes policiales de los Estados miembros

El EPRIS utilizará las interconexiones de redes acordadas entre Europol y los Estados miembros para el intercambio de datos con las entidades. El EPRIS y las entidades intercambiarán datos por medio de transacciones que utilizarán una infraestructura central de enrutamiento. Este servicio prestado por Europol se denominará «infraestructura central de enrutamiento del EPRIS» y sus detalles técnicos los determinará Europol.

Cada Estado miembro participante desplegará: i) al menos un índice nacional de antecedentes policiales; ii) microservicios para gestionar los índices y realizar búsquedas en ellos (servicios de búsqueda); y iii) microservicios para consultar a las entidades (servicios de consulta).

Europol desplegará servicios para consultar a las entidades (servicios de consulta).

La infraestructura central de enrutamiento del EPRIS y los servicios se proporcionarán de forma que sea compatible con la infraestructura de los Estados miembros.

El flujo de trabajo de una transacción EPRIS constará de los siguientes pasos:

1)	La entidad requirente inicia una consulta que se envía a su servicio de consulta.

2)	El servicio de consulta de la entidad requirente seudonimizará los parámetros de consulta y enviará una búsqueda al servicio de búsqueda de cada entidad requerida por medio de la infraestructura central de enrutamiento del EPRIS.

3)

El servicio de búsqueda de cada entidad requerida procederá a la búsqueda automatizada de su índice nacional de antecedentes policiales. Si una entidad requerida utiliza múltiples índices nacionales, un intermediario de búsqueda recibirá y enviará la consulta a los múltiples servicios de búsqueda nacionales y recopilará los resultados.

4)	El servicio de búsqueda (o el intermediario de búsqueda, si procede) de las entidades requeridas enviará los resultados a través de la infraestructura central de enrutamiento del EPRIS al servicio de consulta de la entidad requirente.

5)	El servicio de consulta de la entidad requirente recopilará los resultados en una respuesta.

Cada consulta de una entidad requirente al servicio de consulta desplegado en su propia infraestructura incluirá los parámetros de búsqueda y la información relativa a las entidades requeridas que determine Europol.

La entidad requirente podrá iniciar varias consultas en el marco de una única interacción con su servicio de consulta.

Cada búsqueda que envíe el servicio de consulta de la entidad requirente contendrá información específica sobre el enrutamiento, tal como se define en la documentación técnica sobre la aplicación del EPRIS. La información de enrutamiento se añadirá a la consulta realizada por el servicio de consulta sobre la base de datos de configuración.

Los parámetros de búsqueda contenidos dentro de la carga útil de datos de una búsqueda se seudonimizarán de conformidad con el artículo 25, apartado 2, del Reglamento (UE) 2024/982.

La carga útil de datos para la búsqueda y el consiguiente resultado se cifra mediante un certificado de seguridad antes de intercambiarse, excepto en el caso de la información de enrutamiento.

El servicio de consulta de la entidad requirente validará la carga útil de datos.

La infraestructura central de enrutamiento del EPRIS no podrá leer ni validar la carga útil de datos, ya que está cifrada.

El servicio de búsqueda de la entidad requerida validará la carga útil de datos para garantizar que pueda procesarse correctamente.

Si el servicio de búsqueda de la entidad requerida no puede procesar correctamente la carga útil de datos, se enviará un error a la entidad requirente a través de la infraestructura central de enrutamiento del EPRIS. Europol determinará el formato y los detalles de estos errores, en particular los códigos de error relacionados con los servicios web y la infraestructura central de enrutamiento del EPRIS.

3.   Conceptos de búsqueda

El EPRIS admitirá al menos dos conceptos de búsqueda que permitan comparar los antecedentes policiales seudonimizados de manera exacta (búsqueda estricta) y de manera inexacta (búsqueda tolerante). Europol determinará los conceptos de búsqueda.

La entidad requirente decidirá qué conceptos de búsqueda utilizar en cada caso concreto.

4.   Formato y número máximo de respuestas

Cada búsqueda y su resultado posterior, tal como se describe en el artículo 28 del Reglamento (UE) 2024/982, se identificarán mediante un identificador de transacción (TId) que consistirá en el código de dos letras de la entidad requirente seguido de un código único de identificación de la transacción, que estará vinculado a la fecha y hora que consten en los registros del servicio de consulta. El servicio de búsqueda receptor registrará la transacción conservando la TId a efectos de trazabilidad.

Todas las búsquedas enviadas por el servicio de consulta que correspondan a una única consulta iniciada por la entidad requirente tendrán la misma TId.

Cada resultado que se envíe al servicio de consulta de la entidad requirente hará referencia a la TId de la búsqueda.

Cada entidad requerida enviará un solo resultado por búsqueda.

El resultado incluirá el número total de coincidencias, el número de referencia de los datos (NRD) de los antecedentes policiales de las entidades requeridas en los que se haya detectado la coincidencia e información sobre la calidad de la coincidencia, incluida la calidad de la coincidencia para cada parámetro utilizado en la búsqueda. Los números de referencia de los datos y la información sobre la calidad de la coincidencia se indicarán para un máximo de diez mejores coincidencias por entidad requerida.

El número máximo de coincidencias que puede contener un resultado por cada índice nacional de antecedentes policiales mediante la infraestructura central de enrutamiento del EPRIS será de cien. El umbral de cien coincidencias constituye la limitación técnica del sistema. Europol podrá ajustar este umbral si así lo exigieran razones operativas o técnicas. Si se supera el umbral de cien coincidencias, el servicio de búsqueda de la entidad requerida no notificará ninguna coincidencia ni arrojará ningún candidato. En su lugar, el EPRIS notificará un mensaje de error que indicará que hay demasiados candidatos. En este caso, la entidad requirente afinará su consulta.

5.   Disponibilidad del sistema

La infraestructura central de enrutamiento del EPRIS se construirá y gestionará como un sistema de alta disponibilidad totalmente redundante.

De conformidad con el artículo 46, apartado 1, del Reglamento (UE) 2024/982, cuando por un fallo de la infraestructura de Europol resulte técnicamente imposible utilizar el EPRIS para consultar uno o varios de los índices de antecedentes policiales nacionales, Europol lo notificará a los Estados miembros de manera automatizada. Europol adoptará sin demora las medidas necesarias para subsanar la imposibilidad técnica de utilizar el EPRIS.

Europol verificará periódicamente si los servicios de búsqueda de las entidades están disponibles. Europol determinará el proceso para comprobar la disponibilidad de los servicios de búsqueda de las entidades.

Cada entidad supervisará la disponibilidad de sus propios servicios de búsqueda y consulta y actuará de conformidad con el artículo 46, apartado 2, del Reglamento (UE) 2024/982.

En caso de indisponibilidad técnica de un servicio de búsqueda de más de 24 horas, Europol se pondrá en contacto con la entidad de que se trate para ayudar y encontrar una solución a dicha indisponibilidad.

6.   Datos de configuración

Todos los parámetros necesarios para que el EPRIS funcione correctamente se gestionarán en los datos de configuración global y en los datos de configuración local.

Europol comprobará periódicamente y gestionará activamente los datos de configuración global. Contienen la lista de participantes, los parámetros comunes de búsqueda (como umbrales, semáforos, tabla de mezcla de colores, nacionalidades válidas), la configuración común de tratamiento de nombres, el suministro de parámetros de seudonimización y otros elementos. Europol determinará los parámetros comunes de búsqueda, la configuración común de tratamiento de nombres, los parámetros de seudonimización y los valores de tiempo de espera.

Los datos de configuración global se publican de forma centralizada y están a disposición de las entidades. Todas las entidades utilizarán exactamente el mismo conjunto de datos de configuración global. Los parámetros de seudonimización se modificarán en un plazo estándar y sin demora tras un incidente de seguridad relacionado con los parámetros de seudonimización.

Las entidades participantes gestionarán los datos de configuración local, que incluirán los datos de conexión a los servicios locales, a la infraestructura nacional, a las bases de datos fuente y a otros.

7.   Tiempo de tramitación previsto

Para la búsqueda de ficheros policiales, las consultas se tramitarán mediante un procedimiento totalmente automatizado. Los resultados se enviarán de forma que lleguen a la entidad requirente con arreglo a los plazos de respuesta que determine Europol.

8.   Recogida de registros

Todas las consultas y respuestas se registrarán de manera estructurada y uniforme por cada entidad, ya sea una entidad requirente o una entidad requerida, a nivel nacional, de forma descentralizada.

Conforme al artículo 45, apartado 1, del Reglamento (UE) 2024/982, estos indicadores incluyen:

a)	la entidad requirente;

b)	la fecha y la hora de la búsqueda,

c)	la fecha y la hora del resultado;

d)	los índices nacionales a los que se ha enviado una búsqueda;

e)	el índice o índices nacionales que han proporcionado un resultado.

Los registros contendrán los siguientes campos adicionales:

f)	el identificador de la transacción (TId);

g)	el número de coincidencias o la información de ausencia de coincidencias.

Los elementos de registro enumerados en las letras a) a g) se utilizarán con fines estadísticos.

Para apoyar la generación de estadísticas con fines operativos y técnicos, podrá incluirse más información en los registros, como:

h)	el modo de búsqueda utilizado;

i)	el color de la mejor coincidencia arrojada;

j)	el índice o índices nacionales que han arrojado un error y el tipo de error;

k)	el índice o índices nacionales que han arrojado demasiados candidatos;

l)	la combinación de parámetros utilizada en la búsqueda.

9.   Recopilación de estadísticas y presentación de informes

Todas las entidades registrarán los datos estadísticos localmente.

De conformidad con el artículo 72, apartados 3 y 4, del Reglamento (UE) 2024/982, Europol recopilará y almacenará los siguientes datos estadísticos anonimizados de las entidades requirentes:

a)	el número de consultas por entidad requirente;

b)	el número de búsquedas realizadas a cada entidad requerida;

c)	el número de coincidencias o la información de ausencia de coincidencias por cada entidad requerida.

Pueden recogerse otros datos estadísticos anonimizados (como el tiempo de respuesta, la disponibilidad del sistema, el modo de búsqueda utilizado, el color de la mejor coincidencia arrojada, el tipo de error arrojado en caso de error, demasiados candidatos, la combinación de parámetros utilizada en la búsqueda) con fines operativos y técnicos.

Europol creará y gestionará una plataforma centralizada para recopilar estos datos estadísticos de cada entidad. La plataforma centralizada elaborará informes y estadísticas personalizables a petición de las autoridades competentes de los Estados miembros, la Comisión y Europol.

10.   Protocolos y normas que deben utilizarse para el cifrado

Se utilizará el protocolo de seguridad de la capa de transporte mutua (mTLS) para autenticar los servicios web y cifrar los datos. Además, pueden utilizarse otras normas para garantizar la seguridad de los servicios web.

11.   Normas de seguridad y protección de datos

De conformidad con el artículo 53, apartado 3, letra g), del Reglamento (UE) 2024/982, Europol garantizará, mediante identidades de usuario individuales y modos de acceso seguros exclusivamente, que cada miembro del personal de Europol autorizado para acceder al EPRIS tenga únicamente acceso a los datos a que se refiere su autorización de acceso.

Los Estados miembros también garantizarán, mediante identidades de usuario individuales y modos de acceso seguros exclusivamente, que el personal de sus autoridades competentes autorizado para acceder al EPRIS solo tenga acceso a los datos a que se refiere su autorización de acceso.

CAPÍTULO 2

Índices de antecedentes policiales nacionales

1.   Procedimiento de gestión del índice

Los Estados miembros actualizarán al menos cada 24 horas su índice de antecedentes policiales nacionales mediante un procedimiento totalmente automatizado.

De conformidad con el artículo 74, apartado 7, del Reglamento (UE) 2024/982, los Estados miembros participantes notificarán a los demás Estados miembros, a la Comisión y a Europol el contenido de sus índices de antecedentes policiales nacionales (como el número de registros, el número de interesados indexados, la situación de estos interesados, el tipo de infracciones penales, el conjunto de datos contenidos en el índice, el número del índice, etc.) y de las bases de datos nacionales utilizadas para el establecimiento de dichos índices, así como las condiciones para las búsquedas automatizadas.

Además, Europol centralizará y facilitará información sobre el contenido de todos los índices nacionales de antecedentes policiales conectados a todas las entidades participantes.

2.   Número de referencia de los datos

Cada antecedente policial es creado por la entidad en el índice o índices nacionales de antecedentes policiales y etiquetado con un número de referencia de los datos (NRD) único de conformidad con el artículo 27 del Reglamento (UE) 2024/982. El NRD es una secuencia única de caracteres alfanuméricos que es persistente a lo largo del tiempo e identifica de manera única el antecedente policial.

El NRD no revelará ningún dato personal. Los Estados miembros serán responsables de la composición de sus números de referencia. Los Estados miembros utilizarán su código de país al principio de todos sus números de referencia. El NRD se vinculará irrevocablemente a un único registro en el índice nacional de antecedentes penales.

De conformidad con el artículo 27 del Reglamento (UE) 2024/982, los números de referencia de los antecedentes policiales serán la combinación de lo siguiente:

a)	un número de referencia que, en caso de coincidencia, permita a los Estados miembros obtener datos biográficos y otra información de los índices de antecedentes policiales nacionales o las bases de datos fuente con el fin de proporcionarlos a otro, otros o todos los demás Estados miembros;

b)	un código que indique el Estado miembro que posee los antecedentes policiales.

De conformidad con el artículo 28, apartado 2, letra e), del Reglamento (UE) 2024/982, en la respuesta se indicará el NRD del antecedente policial en el que se haya producido una concordancia.

El NRD se utilizará al presentar una solicitud de seguimiento por medio de SIENA.