El tratamiento y la transferencia a las autoridades estadounidenses de registros de nombres de los pasajeros por las compañías aéreas fue objeto de varios Acuerdos entre la Unión Europea y los Estados Unidos. El último se firmó el 23/07/2007 (1). Se aplicará por un período de tiempo de siete años. Ese acuerdo autoriza las compañías aéreas a comunicar al  Departamento de Seguridad del Territorio Nacional (DHS) de los Estados Unidos una serie de datos personales relativos a los pasajeros con origen o destino en los Estados Unidos.

Estas informaciones podrán conservarse en una base de datos activa durante siete años, y al terminarse ese periodo, ser transferidas hacia una base inactiva donde se conservarán por un período de tiempo suplementario de ocho años, durante el cual el acceso solo será posible en situaciones excepcionales y bajo condiciones estrictas.

El DHS se ha comprometido en filtrar y suprimir sin demora los datos « sensibles » (o sea , datos personales que indiquen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a un sindicato o el estado de salud o la vida sexual del viajero) excepto para un « caso excepcional » que ponga en peligro la vida o la integridad física del titular de los datos o de otras personas. El Acuerdo preve que otras autoridades estadounidenses (agencias federales) podrán acceder a los datos a fin de prevenir el terrorismo y otras formas de criminalidad grave y de luchar contra éstos.

Con arreglo al Acuerdo se podrán trasmitir los datos siguientes :

1- Código del localizador de registro de nombres de los pasajeros

2-  Fecha de reserva/emisión del billete

3- Fecha o fechas de viaje previstas

4- Nombre o nombres de los interesados

5- Información disponible sobre viajeros frecuentes y ventajas correspondientes (billetes gratuitos, paso a la categoría superior, etc.)

6- Otros nombres recogidos en el PNR, incluido el número de viajeros del PNR

7- Toda la información de contacto disponible (incluida la información del expedidor)

8- Todos los datos de pago/facturación disponibles (excluidos los demás detalles de la transacción relacionados con una tarjeta de crédito o una cuenta y no relacionados con la transacción correspondiente al viaje)

9- Itinerario de viaje para ciertos datos de PNR

10- Agencia/agente de viaje

11- Información sobre códigos compartidos

12- Información escindida/dividida

13- Situación de vuelo del viajero (incluidas confirmaciones y paso por el mostrador de facturación en el aeropuerto)

14- Información sobre el billete, incluidos el número del billete, los billetes de ida solo y la indicación de la tarifa de los billetes electrónicos (Automatic Ticket Fare Quote, ATFQ)

15- Toda la información relativa al equipaje

16- Datos del asiento, incluido el número

17- Observaciones generales, incluida la información sobre otros servicios (OSI), información sobre servicios especiales (SSI) y sobre servicios especiales solicitados (SSR)

18- Cualquier información recogida en el sistema de información anticipada sobre los pasajeros (sistema API)

19- Todo el historial de cambios de los datos de PNR indicados en los números 1 a 18.

La cantidad de datos parece importante aunque se haya reducido en comparación de lo que era en los Acuerdos anteriores (que permitían la transferencia de 34 datos) y de la cantidad pedida por los negociadores estadounidenses. 

Sin embargo, las autoridades europeas de protección de datos no estan conformes con el Acuerdo. En Francia, por ejemplo, la Comisión Nacional de Informática y Libertades (CNIL) denunció una amenaza para las numerosas garantías defendidas por las autoridades europeas de protección de datos y una « escalada americana » cuya consecuencia es un aflojamiento de los derechos de los ciudadanos europeos (2)

La CNIL reproba la extensión del número de autoridades autorizadas a acceder a los datos, la posibilidad para los Estados Unidos de decidir de forma unilateral de modificar les finalidades de utilización de los datos, la posibilidad para les autoridades americanas de comunicar datos a países terceros sin consulta previa de las autoridades europeas, la reducción engañosa de la cantidad de datos transmisibles, dado que se operó esta reducción... gracias a la reagrupación artificial de varios campos de datos en uno.

Otras critícas evocan la duración excesiva de conservación de los datos, la posibilidad de acceso, aunque limitado, a los datos sensibles, la evaluación de la aplicación del acuerdo por el  Comisario europeo competente en materia de Justicia, Libertad y Seguridad, sin que las Autoridades nacionales de protección de datos sean asociadas  claramente a ese procedimiento.

Basta con leer los dictamenes del Supervisor Europeo de Protección de Datos o del Grupo "del Artículo 29" para constatar que la opinión de la CNIL es ampliamente compartida.

El debate solo empieza ya que la Comisión Europea anunció hace poco su intención de proponer a los 27 países de la Unión europea dotarse con un sistema de conservación de los datos PNR de los pasajeros con destino en sus países, siempre con motivo de lucha contra el terrorismo. Esta propuesta podría presentarse al otoño.

14/08/2007

Saber más: Otros artículos sobre este tema: génesis y evolución de los Acuerdos sobre la transferencia de los datos PNR (en francès)

Contestation des transferts d’informations personnelles aux autorités américaines 

La Cour de justice des Communautés européennes juge illégal le transfert d’informations personnelles aux autorités américaines

Concessions de l’Union européenne sur le transfert des données PNR (fichiers des passagers aériens) aux Etats-Unis 

Transfert des fichers des passagers aériens (PNR) aux autorités nord américaines, nouveau mandat de négociation pour la Commission 

1- Acuerdo entre la Unión Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros (PNR) por las compañías aéreas al Departamento de Seguridad del Territorio Nacional de los Estados Unidos (Acuerdo PNR 2007),  23/07/2007 (Diario Oficial de la Unión Europea, L204 del 04/08/2007) .

2- CNIL, Conférence de presse du 09-07-2007, Présentation du 27^ème rapport d’activité 2006 p.6

3- Creado por la Directiva europea 95/46 relativa a la protección de las personas fisícas en lo que respecta al tratamiento de datos personales (DOUE L281 de 23/11/1995), el Grupo "del artículo 29" se compone de representantes de las autoridades nacionales de protección de datos, de un representante de la autoridad o las autoridades creadas para las instituciones y organismos comunitarios y de un representante de la Comisión europea. Tiene por misión de emitir dictámenes sobre la aplicación de la Directiva.

Más información acerca del Grupo

Página del SEPD

Agencia Española de Protección de Datos

Notas de Prensa de la Agencia Española de Protección de Datos