Entra en vigor la ley que obliga a las aerolíneas a entregar datos privados de sus pasajeros a los gobiernos occidentales

España regula el empleo del Registro de Nombres de Pasajeros (PNR) para luchar contra delitos de terrorismo y delitos graves. No obstante, esta polémica norma que entra en vigor en Europa fruto de la presión de los Estados Unidos, permite la trasmisión de datos privados de los pasajeros a terceros países y sigue planteando dudas sobre su legalidad en lo que respecta a la intimidad del ciudadano.

El Departamento de Seguridad Nacional (DSN) ha informado hoy de que el pasado 18 de noviembre entró en vigor la Ley Orgánica 1/2020, sobre la utilización de los datos del registro de nombres de pasajeros (PNR) para la prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves (artículo 4).

El objeto de la Ley es la transferencia de los datos PNR por las compañías aéreas; la recogida, el tratamiento y la protección de los datos; y, por último, su transmisión a las autoridades competentes, así como el intercambio con otros Estados miembros (EEMM) de la Unión Europea (UE) y EUROPOL, entre otros. Como recoge la ley orgánica, los datos del PNR solo se pueden utilizar para prevenir, detectar, investigar y enjuiciar delitos de terrorismo y delitos graves, y también subraya que, a los cinco años, todos los datos serán suprimidos de forma definitiva.

Los principales aspectos regulados son la transferencia de los datos PNR —especificados en el artículo 5— por parte de las compañías aéreas y otras entidades obligadas; la recogida, el tratamiento y la protección de esos datos, su transmisión a las autoridades competentes y el intercambio de dichos datos con otros EEMM UE, EUROPOL y terceros Estados.  La Unidad de Información sobre Pasajeros (UIP) española —encargada de la recogida y custodia de los datos—  se ubica en el Centro de Inteligencia contra el Terrorismo y el Crimen Organizado (CITCO) del Ministerio del Interior.

En cuanto al ámbito de aplicación, según el DSN, el texto legal contempla que serán todos los vuelos internacionales que tengan origen, destino o tránsito en España, tanto de carácter comercial como privados y, excepcionalmente, vuelos nacionales. Por tanto, no será de aplicación a los vuelos realizados por aeronaves de Estado y por aeronaves privadas, fletadas por el Estado para la prestación o apoyo de servicios de interés militar y en general servicios estatales no comerciales.

Y respecto a su utilización, estos datos PNR se pueden utilizar únicamente como herramienta para luchar contra el terrorismo y delitos graves, y con el objetivo de evaluar a las personas a bordo de la aeronave e identificar a aquellas que pudieran tener relación con estos actos delictivos. Para ello, la UIP cotejará los datos PNR con las bases de datos disponibles. Estos datos serán enviados entre las veinticuatro y las cuarenta y ocho horas antes de la hora de salida programada del vuelo, y también una vez que el embarque en el avión esté completamente cerrado. Si durante el trayecto se produce alguna modificación en el destino final, también deberá ser transmitida, así como la realización de una escala no programada.

Desde el DSN informan además de que las autoridades competentes que, justificadamente y caso por caso, pueden solicitar o recibir datos PNR o el resultado del tratamiento de dichos datos por la UIP, son la Policía Nacional, la Guardia Civil, el Centro Nacional de Inteligencia, Vigilancia Aduanera, el Ministerio Fiscal y las Comunidades Autónomas con competencias de seguridad ciudadana. Asimismo, España podrá enviar datos PNR o el resultado de su tratamiento a otros EEMM UE, de oficio o atendiendo una solicitud concreta a otras UIP de distintos países del mundo.

Otro asunto trascendental es la custodia, empleo y eliminación de los datos. Una vez transcurridos seis meses desde su recepción, los datos PNR que permitan la identificación directa del pasajero serán despersonalizados. A partir de esos seis meses, solo se permitirá acceder a esos datos a las autoridades competentes —recogidas en el artículo 14— con la autorización previa de una autoridad judicial o de la persona titular de la Secretaría de Estado de Seguridad. Como se refería, cumplido el plazo de los cinco años serán suprimidos definitivamente. Por último, la Ley 1/2020 recoge que la Agencia Española de Protección de Datos es la autoridad nacional de control de datos PNR; y también regula un régimen sancionador ante posibles incumplimientos.

Antecedentes

Tras los atentados de 2015 en Paris y Bruselas, el Consejo de Justicia y Asuntos de Interior de la UE aprobó, el 21 de abril de 2016, la Directiva (UE) 2016/681, que regula la transmisión de datos por parte de las compañías aéreas a los EEMM. En virtud de la misma, las compañías aéreas están obligadas a proporcionar a las autoridades de los EEMM los datos sobre vuelos que entran o salen de la UE. Para ello, la Directiva requiere que cada EEMM establezca una Unidad de Información sobre Pasajeros que reciba y gestione los datos PNR de las compañías aéreas. Para dar cumplimento al requerimiento de la UE, fue publicado en el Boletín Oficial del Estado número 248 del pasado 17 de septiembre la Ley Orgánica 1/2020, de 16 de septiembre.