COM 2010/492 final. Comunicación de la Comisión de 21 de septiembre de 2010 «Sobre el enfoque global de las transferencias de datos de los registros de nombres de los pasajeros (PNR) a los terceros países».

La Unión Europea (UE) ha adoptado nuevas medidas de protección contra las amenazas del terrorismo y la delincuencia organizada que se han plasmado en la Comunicación de la Comisión sobre gestión de la información en el espacio de libertad, seguridad y justicia. Dichas medidas contemplan la utilización de datos de los registros de nombres de los pasajeros (PNR)* para fines represivos. El uso de los datos PNR es cada vez más frecuente, lo que plantea problemas en lo que respecta a la protección de los datos personales. Debido a esta problemática, la Comisión se ha replanteado su política general respecto a las transferencias de datos PNR a terceros países. Por consiguiente, la presente Comunicación establece una serie de criterios generales para los futuros acuerdos bilaterales relativos a los PNR, a fin de contribuir a la lucha contra el terrorismo y las formas graves de delincuencia transnacional, al tiempo que garantiza el respeto de los derechos fundamentales y la coherencia entre los distintos acuerdos en materia de PNR.

Datos de registros de nombres de los pasajeros (PNR)

Los datos PNR se emplean principalmente como instrumento de investigación penal con el objetivo de:

• evaluar los riesgos de los pasajeros e identificar a personas «desconocidas»;
• proporcionar los datos a los servicios represivos con anterioridad a la llegada o salida de los vuelos para otorgarles más tiempo para cualquier actividad de seguimiento;
• identificar a las personas a las que pertenecen las direcciones o tarjetas de crédito concretas relacionadas con delitos;
• identificar a las personas asociadas a los sospechosos.

Los datos PNR se emplean en investigaciones y procesamientos. Asimismo, se utilizan para prevenir delitos y detener a personas cuando se ha cometido un delito, así como para realizar evaluaciones de viajes y comportamientos que faciliten la prevención de tales actos delictivos.

No obstante, en virtud de las leyes de protección de datos de la UE, las compañías aéreas pueden no transmitir datos PNR a terceros países que no proporcionen un nivel adecuado de protección de los datos personales. Por este motivo, la UE firmó acuerdos internacionales en materia de PNR con Estados Unidos, Canadá y Australia. Sin embargo, tales acuerdos se negociaron en el marco de casos concretos y por tanto sus disposiciones en lo que respecta a las normas de aplicación a las compañías aéreas y a la protección de datos no son uniformes. Dado que cabe esperar que el número de acuerdos aumente en un futuro próximo, es preciso establecer normas generales, contenidos y criterios para los mismos.

Enfoque global de los PNR

Un enfoque global de los PNR permitirá una mayor uniformidad en cuanto a las garantías de protección de datos exigidas a los terceros países y a las modalidades de transmisión de datos a disposición de las compañías aéreas.

La recogida y transferencia de datos PNR a terceros países afecta a un gran número de personas y sus respectivos datos personales. Dado que los regímenes de protección de datos de los terceros países pueden diferir del de la UE, es primordial que aseguren una protección legal adecuada para los datos PNR transferidos. Por tanto, los terceros países deberán aplicar los siguientes principios de base de la protección de datos personales:

• la utilización de los datos deberá limitarse a la finalidad de la transferencia;
• el intercambio de datos deberá limitarse al mínimo necesario;
• los datos sensibles sólo deberán utilizarse en circunstancias excepcionales;
• deberán adoptarse las medidas oportunas para preservar la seguridad, confidencialidad e integridad de los datos;
• las autoridades que empleen los datos PNR ostentarán responsabilidad sobre los mismos y estarán sometidas a la supervisión de una autoridad pública independiente;
• deberá informarse a los interesados del tratamiento de sus datos personales;
• a las personas se les permitirá el acceso a sus datos PNR y éstas podrán solicitar su rectificación o supresión;
• toda persona cuya privacidad se haya vulnerado tendrá derecho a tutela judicial y administrativa;
• las decisiones que tengan efectos adversos para las personas no podrán basarse exclusivamente en el tratamiento automatizado de los datos personales;
• el periodo de conservación de los datos deberá limitarse a la finalidad de la transferencia;
• las transferencias posteriores de datos a otras autoridades públicas u otros terceros países deberá limitarse.

Las normas por las que se rige la transmisión de datos a los terceros países por parte de las compañías aéreas deberán racionalizarse para aumentar la seguridad jurídica y reducir al mínimo la carga financiera de tales compañías. Se deberán normalizar al menos las siguientes modalidades de transmisión:

• método de transmisión, que deberá basarse en el sistema de transmisión «push»;
• frecuencia de la transmisión, que deberá limitarse;
• recogida de datos adicionales, que no deberá ser obligatoria.

Asimismo, los acuerdos en materia de PNR con los terceros países deberán ser válidos durante un periodo fijo y estar sujetos a revisión. Deberán establecerse mecanismos de seguimiento de la aplicación, así como de solución de conflictos en lo que respecta a la interpretación o aplicación. Asimismo, es esencial asegurar la reciprocidad entre los países de la UE y los terceros países, especialmente en lo que se refiere a las transferencias de información analítica derivada de datos PNR.

Por último, y desde la perspectiva a largo plazo, si aumentase el número de países que utilizan los datos PNR, la UE deberá considerar la posibilidad de establecer normas a nivel internacional para la transmisión y utilización de los mismos, y por ende sustituir los acuerdos bilaterales en materia de PNR por un acuerdo multilateral.

Términos clave del acto

* Datos PNR: información no verificada que proporcionan los pasajeros y recogen las compañías aéreas para efectuar las reservas y llevar a cabo el proceso de facturación. Se trata de un registro de los requisitos de viaje de cada pasajero que figura en los sistemas de reservas y control de salidas de las compañías. Contiene diversos tipos de información, por ejemplo las fechas y el itinerario de viaje, los datos del billete, datos de contacto, agencia de viajes, información sobre el pago, número de asiento y datos del equipaje.