La Ley Orgánica 1/2020, de 16 de septiembre, sobre la utilización de los datos del Registro de Nombres de Pasajeros para la prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves, contiene la regulación de la transferencia de datos del registro de nombres de los pasajeros (PNR), así como de la información de la tripulación, correspondientes a vuelos internacionales y, en su caso, nacionales, el sistema de recogida, uso, almacenamiento, tratamiento, protección, acceso y conservación de los datos PNR, la transmisión de dichos datos a las autoridades competentes, así como el intercambio de los mismos con los Estados miembros de la Unión Europea, con Europol y con terceros países, así como la determinación y atribución de las funciones de la Unidad de Información sobre Pasajeros española y el régimen sancionador aplicable a las infracciones.

Ámbito de aplicación objetiva y subjetiva

La norma es aplicable a los datos PNR correspondientes a las personas que viajen en los vuelos comerciales y privados internacionales, tanto interiores como exteriores de la Unión Europea, que tengan origen, destino o tránsito en España, incluyendo los pasajeros en tránsito o en conexión. Como medida extraordinaria y por el tiempo que resulte imprescindible, será aplicable a las rutas o a los vuelos concretos nacionales, que no efectúen escalas en ningún otro Estado, siempre que existan indicios suficientes de una clara y contrastada situación de riesgo, con la finalidad de prevenir, detectar, investigar y enjuiciar delitos de terrorismo y aquellos que específicamente califica como graves.

Por el contrario, no será de aplicación a los vuelos realizados por aeronaves de Estado y por aeronaves privadas, fletadas por el Estado para la prestación o apoyo de servicios de interés militar y en general servicios estatales no comerciales, durante los vuelos dedicados exclusivamente a materializar tal prestación o apoyo, que se asimilarán a las aeronaves de Estado, a los trabajos aéreos, a la aviación general que no tenga por objeto el transporte de personas, a los servicios aeroportuarios, a los servicios de navegación aérea, a los vuelos relacionados con la producción de aeronaves civiles, a los vuelos de entrenamiento de tripulaciones, a los vuelos de traslado para mantenimiento y revisión y a los vuelos relacionados con funciones regulatorias.

Por otra parte, el texto dispone que son sujetos obligados las compañías aéreas, entendiendo como tales las empresas de transporte aéreo con una licencia de explotación válida o similar para el transporte por vía aérea. En el caso de los vuelos privados serán sujetos obligados los operadores de las aeronaves bien sea como propietarios, arrendatarios o en virtud de otro título posesorio reconocido por la legislación vigente.

Asimismo, son también sujetos obligados las entidades de gestión de reserva de vuelos, entendiendo como tales a las entidades que gestionen reservas de vuelos de pasajeros y recaben datos PNR de los mismos, cualesquiera que sean los medios utilizados para ello, tales como los operadores turísticos o las agencias de viajes.

Datos del Registro de Nombres de Pasajeros

Los datos PNR son el conjunto de datos relativos al viaje de un pasajero, reservado por él o en su nombre, que recoge la información necesaria para la gestión de la reserva, tales como:

a) Localizador de registro PNR.
b) Fecha de reserva y de emisión del billete.
c) Fechas previstas del viaje.
d) Nombres y apellidos.
e) Dirección y datos de contacto (número de teléfono, dirección de correo electrónico).
f) Todos los datos de pago, incluida la dirección de facturación.
g) Itinerario completo del viaje para el PNR específico.
h) Información sobre viajeros frecuentes.
i) Agencia de viajes u operador de viajes.
j) Situación de vuelo del pasajero: confirmaciones, facturación, no comparecencia o pasajeros de última hora sin reserva.
k) Información PNR escindida o dividida.
l) Observaciones generales, incluida toda la información disponible sobre menores de dieciocho años no acompañados, como nombre, apellidos, y sexo del menor, edad, idiomas que habla, nombre, apellidos y dirección de contacto del acompañante en el aeropuerto de salida y vínculo con el menor, nombre, apellidos y dirección de contacto del acompañante en el aeropuerto de llegada y vínculo con el menor, agente en el lugar de salida y de llegada.
m) Información sobre el billete, incluidos el número del billete, la fecha de emisión, los billetes solo de ida y la indicación de la tarifa de los billetes electrónicos (Automatic Ticket Fare Quote).
n) Datos del asiento, incluido el número.
ñ) Información sobre códigos compartidos.
o) Toda la información relativa al equipaje.
p) Número de viajeros y otros nombres de viajeros que figuran en el PNR.
q) Cualquier información recogida en el sistema de información anticipada sobre los pasajeros (sistema API), incluidos el tipo, número, país de emisión y fecha de expiración de cualquier documento de identidad, nacionalidad, apellidos, nombre, sexo, fecha de nacimiento, compañía aérea, número de vuelo, fecha de salida, fecha de llegada, aeropuerto de salida, aeropuerto de llegada, hora de salida y hora de llegada.
r) Todo el historial de cambios de los datos PNR indicados en los párrafos a) a q).

Deberá enviarse también cierta información sobre la tripulación correspondiente a los datos API. Y en el caso de los vuelos privados, se deberán enviar dichos datos tanto de los pasajeros como de los tripulantes.

Tratamiento de los datos PNR

La Unidad de Información sobre Pasajeros española (UIP), órgano incardinado en la estructura del Centro de Inteligencia contra el Terrorismo y el Crimen Organizado y dependiente de la Secretaría de Estado de Seguridad, es la responsable del tratamiento de los datos PNR. La norma detalla sus funciones y facultades y regula la figura del responsable de la protección de los datos PNR, a designar por la UIP, cuyo principal cometido será el de garantizar la rigurosa observancia de la legislación vigente en materia de protección de datos de carácter personal durante todo el proceso de recepción, tratamiento, transmisión, conservación y supresión de los datos PNR.

El texto concreta el régimen jurídico aplicable al tratamiento de datos PNR, así como los propósitos para los que la UIP realizará el tratamiento de los datos PNR mediante la utilización de una definida metodología: evaluar a las personas a bordo de la aeronave a fin de identificar a aquellas que pudieran tener relación con delitos de terrorismo o delitos graves; revisar individualmente los resultados de dicha evaluación previa automatizada; responder peticiones de las autoridades competentes o de Europol y establecer criterios predeterminados a utilizar en esas evaluaciones.    

Por lo que respecta a la transmisión de los datos, el texto incorpora el procedimiento para llevarla a cabo, debiendo utilizarse los formatos determinados y los protocolos definidos en la Decisión de Ejecución de la Comisión UE 2017/759, de 28 de abril de 2017, relativa a los protocolos comunes y los formatos de datos que deberán utilizar las compañías aéreas para la transmisión de los datos PNR a las Unidades de Información sobre Pasajeros.

Las compañías aéreas deben transmitir los datos PNR a la UIP entre las veinticuatro y las cuarenta y ocho horas antes de la hora de salida programada del vuelo, e inmediatamente después del cierre del vuelo, una vez que los pasajeros hayan embarcado en el avión en preparación de la salida y no sea posible embarcar o desembarcar. Además, deben comunicar cualquier cambio producido previamente o durante el trayecto, respecto al destino donde se tuviera previsto aterrizar o a la realización de una escala no programada.

Cuando sea necesario acceder a los datos PNR para responder a una amenaza real y concreta en momentos distintos a los anteriores, caso por caso, las compañías aéreas deberán transmitir a la UIP dichos datos con carácter inmediato al requerimiento recibido.

Por otra parte, la norma especifica las autoridades competentes para solicitar o recibir de la UIP datos PNR o el resultado del tratamiento de dichos datos a fin de seguir examinando esa información o de adoptar las medidas adecuadas para prevenir, detectar, investigar y enjuiciar delitos de terrorismo y delitos graves: la Dirección General de la Policía, la Dirección General de la Guardia Civil, el Centro Nacional de Inteligencia, la Dirección Adjunta de Vigilancia Aduanera, el  Ministerio Fiscal y las correspondientes de las Comunidades Autónomas que hayan asumido estatutariamente competencias para la protección de personas y bienes y para el mantenimiento de la seguridad ciudadana, y cuenten con un cuerpo de policía propio.

Las peticiones de las autoridades competentes deben ser debidamente motivadas y con suficiente base, no admitiéndose en ningún caso peticiones masivas y no fundamentadas. Todo tratamiento que lleven a cabo estas autoridades competentes sobre los datos recibidos de la UIP, lo será para los fines propios de la lucha contra delitos de terrorismo y delitos graves.

Plazos de conservación de datos y despersonalización

Los datos PNR facilitados a la UIP por los sujetos obligados serán conservados durante cinco años a contar desde su transmisión. Una vez transcurridos seis meses desde su recepción, los datos PNR que permitan la identificación directa del pasajero serán despersonalizados mediante enmascaramiento, y solo se permitirá el acceso a la totalidad de los mismos previa aprobación por la autoridad judicial o por la persona titular de la Secretaría de Estado de Seguridad.

Cumplido el plazo de los cinco años serán suprimidos definitivamente, sin perjuicio de su utilización por parte de las autoridades competentes que los hayan recibido y que los estén utilizando en el marco de un asunto concreto a efectos de prevenir, detectar, investigar o enjuiciar delitos de terrorismo o delitos graves.

Intercambio de datos PNR

España podrá enviar datos PNR o el resultado de su tratamiento a otros Estados miembros, de oficio o atendiendo una solicitud concreta, pero las peticiones entre Estados han de ser motivadas y siempre orientadas al cumplimiento de los fines previstos en la presente norma.

Además, el texto recoge la posibilidad de que una autoridad competente española pueda dirigirse directamente a la Unidad de Información sobre Pasajeros de otro Estado miembro para una solicitud de información, siempre que se den conjuntamente las circunstancias de urgencia e imposibilidad de comunicación con la UIP nacional, remitiendo en todo caso una copia de la petición a la UIP española.

La norma señala que la UIP transferirá los datos PNR específicos o el resultado de su tratamiento solicitados por Europol, caso por caso, de forma electrónica y debidamente motivada, cuando sea estrictamente necesario para apoyar y reforzar la acción de un Estado miembro de la Unión Europea a efectos de prevenir, detectar, investigar o enjuiciar delitos de terrorismo o delitos graves, siempre que el delito entre dentro del ámbito de competencias de Europol y para el desempeño de sus funciones.

Asimismo, regula el procedimiento de transmisión de datos a terceros países.

Régimen sancionador

La norma establece las especialidades estrictamente necesarias por razón de la materia, aplicándose en lo demás el régimen general previsto en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.

Define los sujetos responsables, los regímenes especiales de responsabilidad y el concurso de normas, tipifica las infracciones que se clasifican en muy graves, graves y leves y determina las sanciones correspondientes a las mismas, para cuya graduación se tendrá en cuenta la repercusión en la seguridad pública, la gravedad, o el beneficio obtenido, entre otras circunstancias. Además, determina la competencia sancionadora e incluye las normas procedimentales especiales sobre los gastos derivados de la adopción de posibles medidas provisionales por parte del órgano competente para resolver, así como sobre la caducidad del procedimiento

Modificaciones legislativas

Mediante esta ley orgánica se incorpora al Derecho español la Directiva (UE) 2016/681 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 relativa a la utilización de datos del registro de nombres de los pasajeros (PNR) para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave.

Entrada en vigor

La Ley Orgánica 1/2020, de 16 de septiembre, entrará en vigor el día 17 de noviembre de 2020, a los dos meses de su publicación en el Boletín Oficial del Estado, excepto la disposición adicional primera, que fija el plazo para comunicar los formatos de datos y protocolos de transmisión por parte de las compañías aéreas, la cual entra en vigor el 18 de septiembre de 2020, al día siguiente de dicha