Directiva (UE) 2016/681 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la utilización de datos del registro de nombres de los pasajeros (PNR) para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave

1 La presente Directiva regula: a) la transferencia por las compañías aéreas de datos del registro de nombres de los pasajeros (PNR) de vuelos exteriores de la UE; b) el tratamiento de los datos a que se refiere la letra a), incluida su recogida, utilización y conservación por los Estados miembros, así como el intercambio de los mismos entre dichos Estados miembros.

2 Los datos PNR obtenidos con arreglo a la presente Directiva podrán tratarse únicamente con fines de prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y los delitos graves contemplados en el artículo 6, apartado 2, letras a), b) y c).

1 En caso de que un Estado miembro decida aplicar la presente Directiva a los vuelos interiores de la UE, lo notificará por escrito a la Comisión. Cualquier Estado miembro podrá efectuar o revocar esta notificación en cualquier momento. La Comisión publicará dicha notificación y cualquier revocación de la misma en el Diario Oficial de la Unión Europea.

2 Cuando se efectúe la notificación a que se refiere el apartado 1, todas las disposiciones de la presente Directiva se aplicarán a los vuelos interiores de la UE de igual modo que si se tratara de vuelos al exterior de la UE, y a los datos PNR de vuelos interiores de la UE de igual modo que si se tratara de datos PNR de vuelos al exterior de la UE.

3 Cada Estado miembro podrá decidir aplicar la presente Directiva exclusivamente a vuelos interiores de la UE seleccionados. Al adoptar tal decisión, el Estado miembro deberá elegir los vuelos que considere necesarios a fin de perseguir los objetivos de la presente Directiva. El Estado miembro podrá decidir modificar la selección de vuelos interiores de la UE en todo momento.

A efectos de la presente Directiva, se entenderá por: 1)«compañía aérea»empresa de transporte aéreo con una licencia de explotación válida o similar que le permita llevar a cabo el transporte de pasajeros por vía aérea;2)«vuelo exterior de la UE»cualquier vuelo, programado o no programado por una compañía aérea, procedente de un tercer país que tenga previsto aterrizar en el territorio de un Estado miembro o volar procedente del territorio de un Estado miembro y que tenga previsto aterrizar en un tercer país, incluidos en ambos casos los vuelos que hagan escala en el territorio de Estados miembros o de terceros países;3)«vuelo interior de la UE»cualquier vuelo, programado o no programado por una compañía aérea, procedente del territorio de un Estado miembro y que tenga previsto aterrizar en el territorio de otro u otros Estados miembros, sin escalas en el territorio de un tercer país;4)«pasajero»toda persona, incluidos los pasajeros en tránsito o en conexión y exceptuados los miembros de la tripulación, transportada o que vaya a ser transportada a bordo de una aeronave con el consentimiento de la compañía aérea, lo cual se manifiesta en la inclusión de la persona en la lista de pasajeros;5)«registro de nombres de los pasajeros» o «PNR»una relación de los requisitos de viaje impuestos a cada pasajero, que incluye toda la información necesaria para el tratamiento y el control de las reservas por parte de las compañías aéreas que las realizan y participan en el sistema PNR, por cada viaje reservado por una persona o en su nombre, ya estén contenidos en sistemas de reservas, en sistemas de control de salidas utilizado para embarcar a los pasajeros en el vuelo o en sistemas equivalentes que posean las mismas funcionalidades;6)«sistema de reserva»el sistema de reservas interno de la compañía aérea en el cual se recogen los datos PNR para el tratamiento de las reservas;7)«método de transmisión»método por el cual las compañías aéreas envían los datos PNR incluidos en el anexo I a la base de datos de la autoridad requirente;8)«delitos de terrorismo»los delitos con arreglo al derecho nacional a que se refieren los artículos 1 a 4 de la Decisión marco 2002/475/JAI;9)«delitos graves»los delitos incluidos en el anexo II que son punibles con una pena privativa de libertad o un auto de internamiento de una duración máxima no inferior a tres años con arreglo al derecho nacional de un Estado miembro;10)«despersonalizar mediante enmascaramiento de elementos de los datos»hacer invisibles para un usuario aquellos elementos de los datos que servirían para identificar directamente al interesado.

1 Cada Estado miembro establecerá o designará una autoridad competente para la prevención, detección, investigación o enjuiciamiento de los delitos de terrorismo y delitos graves, o una sucursal de esa autoridad, para actuar como su Unidad de Información sobre los Pasajeros («UIP»).

2 La UIP será responsable de: a) recoger los datos PNR de las compañías aéreas, almacenar y procesar esos datos y transferir dichos datos o el resultado de su tratamiento a las autoridades competentes a que hace mención el artículo 7; b) intercambiar tanto los datos PNR como de los resultados de su tratamiento con las UIP de otros Estados miembros y con Europol, de conformidad con los artículos 9 y 10.

3 El personal de la UIP podrá ser enviado en comisión de servicios por las autoridades competentes. Los Estados miembros dotarán a las UIP de los recursos adecuados para que realicen su cometido.

4 Dos o más Estados miembros (los Estados miembros participantes) podrán establecer o designar una autoridad única para que actúe como su UIP. Esta UIP se establecerá en uno de los Estados miembros participantes y se considerará la UIP de todos los Estados miembros participantes. Los Estados miembros participantes acordarán conjuntamente las normas detalladas de funcionamiento de la UIP y respetarán los requisitos establecidos en la presente Directiva.

5 En el plazo de un mes desde la creación de su UIP, cada Estado miembro se lo notificará a la Comisión, y podrá modificar su notificación en cualquier momento. La Comisión publicará la notificación, y sus eventuales modificaciones, en el Diario Oficial de la Unión Europea.

1 La UIP designará a un responsable de la protección de datos para controlar el tratamiento de los datos PNR y aplicar las garantías oportunas.

2 Los Estados miembros dotarán al responsable de la protección de datos de los medios necesarios para que desempeñe sus funciones y cometidos con arreglo al presente artículo de manera eficaz e independiente.

3 Los Estados miembros velarán por que el interesado tenga derecho a ponerse en contacto con el responsable de la protección de datos, como punto de contacto único, para todas las cuestiones relacionadas con el tratamiento de sus datos PNR.

1 Los datos PNR transmitidos por las compañías aéreas serán recopilados por la UIP del Estado miembro que corresponda, con arreglo a lo dispuesto en el artículo 8. Si los datos PNR transmitidos por las compañías aéreas incluyeran datos distintos de los enumerados en el anexo I, la UIP los suprimirá inmediatamente y de manera definitiva en el momento de su recepción.

2 La UIP tratará los datos PNR solo para realizar: a) una evaluación de los pasajeros antes de su llegada o salida programada del Estado miembro, a fin de identificar a toda persona que deba ser examinada de nuevo por las autoridades competentes a que se refiere el artículo 7 y, en su caso, por Europol, de conformidad con el artículo 10, ante la posibilidad de que pudiera estar implicada en un delito de terrorismo o delito grave; b) responder en cada caso particular, a las peticiones debidamente razonadas y con suficiente base de las autoridades competentes de que se suministren y traten datos PNR en casos específicos a efectos de prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves, y facilitar a las autoridades competentes o, en su caso, a Europol, los resultados de dicho tratamiento, y c) analizar los datos PNR con el fin de actualizar o establecer nuevos criterios que deben utilizarse en las evaluaciones realizadas en virtud del apartado 3, letra b), a fin de identificar a toda persona que pueda estar implicada en un delito de terrorismo o delito grave.

3 Al realizar la evaluación a que se refiere el artículo 2, letra a), la UIP podrá: a) comparar los datos PNR con las bases de datos pertinentes a los efectos de la prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves, incluidas las bases de datos sobre personas u objetos buscados o bajo alerta, de acuerdo con las normas de la Unión, internacionales y nacionales aplicables a dichas bases de datos, o b) tratar los datos PNR con arreglo a criterios predeterminados.

4 La evaluación de los pasajeros antes de su llegada o salida programada del Estado miembro mencionado, efectuada de conformidad con los criterios predeterminados a que se refiere a que se refiere el apartado 3, la letra b), se realizará de forma no discriminatoria con arreglo a criterios de evaluación establecidos por su UIP. Estos criterios predeterminados de evaluación deben ser orientados, proporcionados y específicos. Los Estados miembros se asegurarán de que las UIP establezcan esos criterios y los revisen periódicamente, en cooperación con las autoridades competentes mencionadas en el artículo 7. Los criterios no se basarán en ningún caso en el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas, la pertenencia a un sindicato, la salud o la vida u orientación sexual de la persona.

5 Los Estados miembros velarán por que se revise individualmente, por medios no automatizados, todo resultado positivo que arroje el tratamiento automatizado de los datos PNR efectuado con arreglo al artículo 2, letra a), con el fin de comprobar si es necesario que las autoridades competentes a que hace referencia el artículo 7 emprendan una acción en virtud del derecho nacional.

6 La UIP de un Estado miembro transmitirá los datos PNR de las personas identificadas con arreglo al apartado 2, letra a), o los resultados del tratamiento de esos datos PNR a las autoridades competentes pertinentes a que hace referencia el artículo 7 del mismo Estado miembro para su ulterior examen. Dicha transmisión solo se llevará a cabo tras un análisis de cada caso y, en caso de tratamiento automatizado de los datos PNR, tras una revisión individualizada por medios no automatizados.

7 Los Estados miembros velarán por que el responsable de la protección de datos tenga acceso a todos los datos tratados por la UIP. Si el responsable de la protección de datos considera que el tratamiento de un dato cualquiera no ha sido lícito, podrá remitirlo a la autoridad nacional de control.

8 El almacenamiento, el tratamiento y análisis de los datos PNR por parte de la UIP se realizará exclusivamente en uno o varios lugares seguros, dentro del territorio de los Estados miembros.

9 Las consecuencias de las evaluaciones de los pasajeros a que se refiere la letra a) del apartado 2 del presente artículo no perjudicarán el derecho de entrada de las personas que gocen del derecho de la Unión de libre circulación en el territorio del Estado miembro en cuestión tal como se establece en la Directiva 2004/38/CE del Parlamento Europeo y del Consejo . Por otra parte, en caso de que se efectúen en relación con vuelos interiores de la UE entre Estados miembros a los que sea aplicable el Reglamento (CE) n.o 562/2006 del Parlamento Europeo y del Consejo , las consecuencias de tales evaluaciones se ajustarán a dicho Reglamento.

1 Cada Estado miembro elaborará la lista de autoridades competentes para solicitar o recibir datos PNR o el resultado del tratamiento de los mismos de las UIP, a fin de seguir examinando esa información o de tomar las medidas adecuadas para prevenir, detectar, investigar y enjuiciar los delitos de terrorismo y los delitos graves.

2 Las autoridades a que se refiere el apartado 1 serán del Estado miembro competentes para la prevención, detección, investigación o enjuiciamiento de los delitos de terrorismo y delitos graves.

3 A efectos del artículo 9, apartado 3, cada Estado miembro notificará a la Comisión la lista de sus autoridades competentes a la Comisión antes del 25 de mayo de 2017, y podrá modificar su notificación en todo momento. La Comisión publicará la notificación, y sus eventuales modificaciones, en el Diario Oficial de la Unión Europea.

4 Los datos PNR y los resultados del tratamiento de dichos datos recibidos por la UIP podrán ser objeto de tratamiento posterior por las autoridades competentes de los Estados miembros únicamente con el fin específico de prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves.

5 El apartado 4 se entiende sin perjuicio de las facultades policiales o judiciales con arreglo al derecho nacional en el caso de que, en el curso de la acción ejercida después del tratamiento, se detecten otros delitos o indicios de delitos.

6 Las autoridades competentes no adoptarán ninguna decisión que produzca efectos jurídicos adversos para una persona o que afecte significativamente a una persona únicamente en razón del tratamiento automatizado de datos PNR. Dichas decisiones no deberán basarse en la raza o el origen étnico, las opiniones políticas, las creencias religiosas o filosóficas, la pertenencia a un sindicato, la salud o la vida u orientación sexual de la persona.

1 Los Estados miembros adoptarán las medidas necesarias para garantizar que las compañías aéreas envíen, mediante el método de transmisión, los datos PNR relacionados en el anexo I, en la medida en que ya los hayan recopilado en el transcurso normal de su actividad, a la base de datos de la UIP del Estado miembro en cuyo territorio aterrizará o de cuyo territorio saldrá el vuelo. En los casos en que el código de un vuelo internacional sea compartido con una o más compañías aéreas, la obligación de transmitir los datos PNR de todos los pasajeros de dicho vuelo recaerá en la compañía aérea que explote el vuelo. Si un vuelo exterior de la UE realiza una o varias escalas en los aeropuertos de los Estados miembros, las compañías aéreas transmitirán los datos PNR de todos los pasajeros a las UIP de todos los Estados miembros interesados. Lo mismo se aplica a los vuelos interiores de la UE con una o varias escalas en aeropuertos de diversos Estados miembros, pero solo en relación con los Estados miembros que estén recogiendo datos PNR de vuelos interiores de la UE.

2 En caso de que las compañías aéreas hayan recopilado los datos de información anticipada sobre los pasajeros (API, por sus siglas en inglés de «advance passenger information») enumerados en el punto 18 del anexo I, pero no los conserven con los mismos medios técnicos que otros datos PNR, los Estados miembros adoptarán las medidas necesarias para garantizar que las compañías aéreas envíen también esos datos, mediante el método de transmisión, a la UIP del Estado miembro a que se refiere el apartado 1. En caso de que se lleve a cabo esta transmisión, se aplicarán todas las disposiciones de la presente Directiva en relación con los mencionados datos API.

3 Las compañías aéreas transmitirán los datos PNR por medios electrónicos utilizando los protocolos y los formatos de datos comunes que deberán adoptarse conforme al procedimiento de examen a que se refiere el artículo 17, apartado 2 o, en caso de fallo técnico, por cualquier otro medio apropiado que garantice un nivel adecuado de seguridad de los datos: a) 24 a 48 horas antes de la hora de salida programada del vuelo, e b) inmediatamente después del cierre del vuelo, es decir, una vez que los pasajeros hayan embarcado en el avión en preparación de la salida y no sea posible embarcar o desembarcar pasajeros.

4 Los Estados miembros permitirán a las compañías aéreas que limiten la transmisión a que se refiere el apartado 3, letra b), a actualizaciones de la transmisión a que se refiere la letra a) de dicho apartado.

5 Cuando sea necesario acceder a los datos PNR para responder a una amenaza concreta y real relacionada con delitos de terrorismo o delitos graves, las compañías aéreas, caso por caso, transmitirán los datos PNR en momentos distintos de los mencionados en el apartado 3, a petición de una UIP y de conformidad con el derecho nacional.

1 En lo que respecta a las personas identificadas por una UIP de conformidad con el artículo 6, apartado 2, los Estados miembros garantizarán que todos los datos PNR pertinentes y necesarios, o el resultado de su tratamiento, sean transmitidos por la UIP en cuestión a las unidades correspondientes de los demás Estados miembros. Las UIP de los Estados miembros receptores remitirán la información recibida, de conformidad con el artículo 6, apartado 6, a sus autoridades competentes.

2 La UIP de un Estado miembro tendrá derecho a solicitar, en caso necesario, a la UIP de cualquier otro Estado miembro que le suministre los datos PNR almacenados en la base de datos de esta última y que aún no hayan sido despersonalizados mediante enmascaramiento de elementos de los datos, de conformidad con el artículo 12, apartado 2, así como, si fuera necesario, el resultado de cualquier tratamiento de los mismos, si este ya se hubiera realizado de conformidad con el artículo 6, apartado 2, letra a). La solicitud deberá ser debidamente motivada. Podrá basarse en cualquier elemento de los datos o en una combinación de los mismos, según estime necesario la UIP solicitante en cada caso concreto para la prevención, detección, investigación o enjuiciamiento de delitos de terrorismo o delitos graves. Las UIP deberán proporcionar la información solicitada lo antes posible. En caso de que los datos solicitados hayan sido despersonalizados mediante enmascaramiento de elementos de los datos de conformidad con el artículo 12, apartado 2, la UIP únicamente deberá proporcionar los datos PNR completos cuando crea razonablemente que es necesario a los efectos a que se refiere el artículo 6, apartado 2, letra b), y solo cuando lo haya autorizado una autoridad competente conforme a lo dispuesto en el artículo 12, apartado 3, letra b).

3 Las autoridades competentes de un Estado miembro pueden solicitar directamente a la UIP de cualquier otro Estado miembro que les facilite los datos PNR almacenados en la base de datos de este último únicamente cuando sea necesario en casos de urgencia y en las condiciones establecidas en el apartado 2. Las solicitudes de las autoridades competentes deberán ser motivadas. Siempre se enviará una copia de ellas a la UIP del Estado miembro solicitante, En todos los demás casos las autoridades competentes canalizarán sus solicitudes a través de la UIP de su propio Estado miembro.

4 Excepcionalmente, cuando sea necesario acceder a los datos PNR para responder a una amenaza concreta y real relacionada con delitos de terrorismo o delitos graves, la UIP de un Estado miembro tendrá derecho a solicitar a la UIP de otro Estado miembro acceder a datos PNR, de conformidad con el artículo 8, apartado 5, y facilitarlos a la UIP solicitante.

5 El intercambio de información previsto en el presente artículo podrá realizarse utilizando cualquiera de las vías existentes de cooperación entre las autoridades competentes de los Estados miembros. Para la solicitud y el intercambio de información se utilizará la lengua aplicable a la vía de cooperación utilizada. Los Estados miembros, al efectuar sus notificaciones de conformidad con el artículo 4, apartado 5, informarán también a la Comisión de los puntos de contacto a los que se podrán enviar las solicitudes en caso de emergencia. La Comisión comunicará estos detalles a los Estados miembros.

1 Europol tendrá derecho a solicitar datos PNR o el resultado del procesamiento de dichos datos a las UIP de los Estados miembros dentro de los límites de sus competencias y para el desempeño de sus funciones.

2 Europol podrá dirigir, caso por caso, a la UIP de cualquier Estado miembro, a través de la unidad nacional de Europol, una solicitud electrónica debidamente motivada de transmisión de datos PNR específicos o del resultado del tratamiento de los mismos. Europol podrá dirigir dicha solicitud cuando sea estrictamente necesario para apoyar y reforzar la acción de los Estados miembros a efectos de prevenir, detectar o investigar un delito de terrorismo específico o delitos graves, siempre que el delito entre dentro de las competencias de Europol de conformidad con la Decisión 2009/371/JAI. La solicitud indicará las causas razonables por las que Europol considera que la transmisión de los datos PNR o de los resultados de su tratamiento va a contribuir significativamente a prevenir, detectar o investigar la infracción penal en cuestión.

3 Europol informará al responsable de la protección de datos designado de conformidad con el artículo 28 de la Decisión 2009/371/JAI de cada uno de los intercambios de información en virtud del presente artículo.

4 El intercambio de información en virtud del presente artículo se realizará a través de SIENA y de conformidad con la Decisión 2009/371/JAI. Para la solicitud y el intercambio de información se utilizará la lengua aplicable a SIENA.

1 Un Estado miembro podrá transmitir a un tercer país los datos PNR y el resultado del tratamiento de dichos datos conservados por la UIP con arreglo al artículo 12 en casos concretos y si: a) se cumplen las condiciones establecidas en el artículo 13 de la Decisión marco 2008/977/JAI; b) la transmisión es necesaria para los fines de la presente Directiva a que se refiere el artículo 1, apartado 2; c) el tercer país acuerda transmitir los datos a otro tercer país únicamente si fuera estrictamente necesario para los fines de la presente Directiva a que se refiere el artículo 1, apartado 2, y solo con la autorización expresa del Estado miembro, y d) se reúnen unas condiciones idénticas a las establecidas en el artículo 9, apartado 2.

2 No obstante lo dispuesto en el artículo 13, apartado 2 de la Decisión marco 2008/977/JAI, las transmisiones de datos PNR sin consentimiento previo del Estado miembro del que fueron obtenidos los datos, se permitirán en circunstancias excepcionales y solamente si: a) son esenciales para responder a una amenaza específica y real relacionada con delitos de terrorismo o delitos graves de un Estado miembro o de un tercer país, y b) el consentimiento previo no puede obtenerse a su debido tiempo. Se informará sin demora a la autoridad responsable de dar el consentimiento y la transmisión se registrará debidamente y podrá ser objeto de una verificación posterior.

3 Los Estados miembros transmitirán datos PNR a las autoridades competentes de terceros países únicamente en condiciones acordes con la presente Directiva y exclusivamente después de asegurarse de que la utilización de los datos PNR prevista por los receptores se ajusta a dichas condiciones y garantías.

4 Se informará al responsable de la protección de datos del Estado miembro que haya transmitido los datos PNR cada vez que el Estado miembro transfiera datos PNR en virtud del presente artículo.

1 Los Estados miembros se asegurarán de que los datos PNR proporcionados por las compañías aéreas a la UIP se conservan en una base de datos de la Unidad durante un plazo de cinco años a partir de su transmisión a la UIP del Estado miembro en cuyo territorio tenga su punto de aterrizaje u origen el vuelo.

2 Al finalizar un plazo de seis meses desde la transmisión de datos PNR mencionada en el apartado 1, todos los datos PNR deberán ser despersonalizados mediante enmascaramiento de los siguientes elementos que podrían servir para identificar directamente al pasajero al que se refieren los datos PNR: a) nombre(s) y apellido(s), incluidos los de otros pasajeros que figuran en el PNR y número de personas que figuran en el PNR que viajan juntas; b) dirección y datos de contacto; c) rodos los datos sobre el pago, incluida la dirección de facturación, en la medida en que contengan información que pueda servir para identificar directamente al pasajero al que se refiere el PNR, o a cualquier otra persona; d) información sobre viajeros asiduos; e) observaciones generales, en la medida en que contengan información que pueda servir para identificar directamente al pasajero al que se refiere el PNR, y f) toda la API recopilada.

3 Al finalizar el período de seis meses mencionado en el apartado 2, solo se permitirá la divulgación de los datos PNR completos cuando: a) se crea razonablemente que es necesario a los efectos establecidos en el artículo 6, apartado 2, letra b), y b) haya sido aprobado por: i) una autoridad judicial, u ii) otra autoridad nacional competente para verificar si se cumplen las condiciones para la divulgación conforme al derecho nacional, con sujeción a la información y revisión a posteriori del responsable de la protección de datos de la UIP.

4 Los Estados miembros se asegurarán de que los datos PNR sean suprimidos de modo permanente al finalizar el período a que se refiere el apartado 1. Esta obligación se entenderá sin perjuicio de aquellos casos en que se hayan transferido datos PNR específicos a una autoridad competente y se estén utilizando en el marco de un asunto específico a efectos de prevenir, detectar, investigar o enjuiciar los actos de terrorismo o delitos graves, en cuyo caso la conservación de los datos por la autoridad competente se regirá por el derecho nacional.

5 Los resultados del tratamiento a que se refiere el artículo 6, apartado 2, letra a), serán conservados por laUIP únicamente durante el tiempo necesario para informar de un resultado positivo a las autoridades competentes y, de conformidad con el artículo 9, apartado 1, a las UIP de otros Estados miembros. Cuando el resultado de un tratamiento automatizado, tras un examen individual por medios no automatizados, contemplado en el artículo 6, apartado 5, arroje un resultado negativo, este se podrá almacenar para evitar falsos resultados positivos mientras los datos de base no se hayan eliminado con arreglo al apartado 4 del presente artículo.

1 Cada Estado miembro establecerá que, en lo que respecta al tratamiento de datos personales con arreglo a la presente Directiva, todo pasajero tendrá los mismos derechos de protección de sus datos personales, derechos de acceso, rectificación, supresión y restricción y derechos de indemnización y recurso judicial que los establecidos en el derecho de la Unión y nacional y en aplicación de los artículos 17, 18, 19 y 20 de la Decisión marco 2008/977/JAI. Se aplicarán, por lo tanto, dichos artículos.

2 Cada Estado miembro establecerá que las disposiciones adoptadas en el marco del derecho nacional en aplicación de los artículos 21 y 22 de la Decisión marco 2008/977/JAI sobre la confidencialidad del tratamiento y la seguridad de los datos se aplicarán también a todo tratamiento de datos personales con arreglo a la presente Directiva.

3 La presente Directiva se entenderá sin perjuicio de la aplicabilidad de la Directiva 95/46/CE del Parlamento Europeo y del Consejo al tratamiento de datos personales por las compañías aéreas, en particular sus obligaciones de tomar las medidas técnicas y de organización adecuadas para proteger la seguridad y la confidencialidad de los datos personales.

4 Los Estados miembros prohibirán el tratamiento de datos PNR que revele el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas, la pertenencia a un sindicato, la salud, la vida sexual o la orientación sexual de una persona. En el caso de que la UIP reciba datos PNR que revelen tal información, los suprimirá inmediatamente.

5 Los Estados miembros garantizarán que las UIP conserven la documentación relativa a todos los sistemas y procedimientos de tratamiento bajo su responsabilidad. Dicha documentación constará como mínimo de los siguientes elementos: a) el nombre y los datos de contacto de la organización y del personal de la UIP encargados del tratamiento de los datos PNR y los distintos niveles de autorización de acceso; b) las solicitudes cursadas por las autoridades competentes y por las UIP de otros Estados miembros; c) todas las solicitudes y transmisiones de datos PNR a un tercer país. La UIP pondrá toda la documentación a disposición de la autoridad nacional de control a petición de esta.

6 Los Estados miembros velarán por que la UIP lleve registros de, al menos, las operaciones de tratamiento siguientes: recogida, consulta, divulgación y supresión. Los registros de consulta y divulgación mostrarán, en particular, la finalidad, la fecha y la hora de tales operaciones y, en la medida de lo posible, la identidad de la persona que consultó o divulgó los datos PNR y la identidad de los receptores de dichos datos. Los registros se utilizarán exclusivamente a efectos de verificación, de autocontrol, de garantizar la integridad de los datos y su seguridad o de auditoría. La UIP pondrá los registros a disposición de la autoridad nacional de control a petición de esta. Dichos registros se conservarán por un período de cinco años.

7 Los Estados miembros velarán por que sus UIP apliquen las medidas y los procedimientos técnicos y organizativos adecuados para garantizar el elevado nivel de seguridad correspondiente a los riesgos que entrañen el tratamiento y las características de los datos PNR.

8 Los Estados miembros garantizarán que, cuando sea probable que una violación de los datos personales dé lugar a un elevado riesgo para la protección de estos o afecte negativamente a la intimidad del interesado, la UIP comunique, sin demora injustificada, dicha violación al interesado y a la autoridad supervisora nacional.

Los Estados miembros establecerán el régimen de sanciones aplicables a los incumplimientos de las disposiciones nacionales adoptadas en aplicación de la presente Directiva y adoptarán toda medida necesaria para garantizar la aplicación de estas. En particular, los Estados miembros establecerán sanciones, incluidas las pecuniarias, contra las compañías aéreas que no transmitan datos con arreglo a lo establecido en el artículo 8, o no lo hagan en el formato exigido. Dichas sanciones deberán ser efectivas, proporcionadas y disuasorias.

1 Cada Estado miembro dispondrá que la autoridad nacional de control a que se refiere el artículo 25 de la Decisión marco 2008/977/JAI sea responsable de asesorar sobre la aplicación en su territorio de las disposiciones adoptadas por los Estados miembros de conformidad con la presente Directiva y de controlar dicha aplicación. Será aplicable el artículo 25 de la Decisión marco 2008/977/JAI.

2 Las autoridades nacionales de control realizarán las actividades a que se refiere el apartado 1 con el fin de proteger los derechos fundamentales relativos al tratamiento de los datos personales.

3 Cada autoridad nacional de control: a) conocerá de las reclamaciones presentadas por cualquier interesado, investigará el asunto e informará al interesado de los progresos y el resultado de su reclamación en un plazo de tiempo razonable; b) verificará la legalidad del tratamiento de los datos, realizará investigaciones, inspecciones y auditorías de conformidad con el derecho nacional, bien por propia iniciativa, bien sobre la base de la reclamación a que se refiere la letra a).

4 Cada autoridad nacional de control asesorará, previa solicitud, a cualquier interesado en el ejercicio de los derechos establecidos en las disposiciones adoptadas con arreglo a la presente Directiva.

1 Todas las transmisiones de datos PNR por las compañías aéreas a las UIP a efectos de la presente Directiva se efectuarán por medios electrónicos que ofrezcan garantías suficientes en relación con las medidas de seguridad técnicas y las medidas organizativas que rigen el tratamiento de datos que se va a llevar a cabo. En caso de fallo técnico, los datos PNR podrán ser transmitidos por cualquier otro medio adecuado, siempre que se mantenga el mismo nivel de seguridad y que se cumpla íntegramente el derecho de la Unión en materia de protección de datos.

2 Un año después de la fecha de la primera adopción por la Comisión, de conformidad con el apartado 3, de los protocolos comunes y los formatos de datos admitidos, toda transmisión de datos PNR por las compañías aéreas a las UIP a efectos de la presente Directiva se efectuará electrónicamente utilizando métodos seguros de conformidad con dichos protocolos comunes. Tales protocolos serán comunes a todas las transmisiones para garantizar la seguridad de los datos PNR durante la transmisión. Los datos PNR serán transmitidos en un formato de datos admitido que garantice su legibilidad por todas las partes interesadas. Se exigirá a todas las compañías aéreas que seleccionen e indiquen a la UIP el protocolo común y el formato de datos que se proponen utilizar en sus transmisiones.

3 Se elaborará una lista de los protocolos comunes y los formatos de datos admitidos que, en caso necesario, la Comisión adaptará mediante actos de ejecución. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen a que se refiere el artículo 17, apartado 2.

4 Será de aplicación el apartado 1 mientras no se disponga de los protocolos comunes aceptados y de los formatos de datos admitidos a que se refieren los apartados 2 y 3.

5 En el plazo de un año desde la fecha de adopción de los protocolos comunes y formatos de datos admitidos a que se hace referencia en el apartado 2, cada Estado miembro se asegurará de que se adopten las medidas técnicas necesarias para poder utilizar los protocolos comunes y formatos de datos.

1 La Comisión estará asistida por un comité que será un comité con arreglo al Reglamento (UE) n.o 182/2011.

2 En los casos en que se haga referencia al presente apartado, será de aplicación el artículo 5 del Reglamento (UE) n.o 182/2011. Si el comité no emite un dictamen, la Comisión no adoptará el proyecto de acto de ejecución y se aplicará el artículo 5, apartado 4, párrafo tercero del Reglamento (UE) n.o 182/2011.

1 Los Estados miembros pondrán en vigor a más tardar el 25 de mayo de 2018 las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo dispuesto en la presente Directiva. Informarán inmediatamente a la Comisión del texto de dichas disposiciones. Cuando los Estados miembros adopten dichas disposiciones, estas incluirán una referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.

2 Los Estados miembros comunicarán a la Comisión el texto de las principales disposiciones de Derecho interno que adopten en el ámbito regulado por la presente Directiva.

1 Atendiendo a la información que le faciliten los Estados miembros, incluida la información estadística a que se refiere el artículo 20, apartado 2, la Comisión, a más tardar el 25 de mayo de 2020, realizará una revisión de todos los elementos de la presente Directiva y presentará y someterá un informe al Parlamento Europeo y al Consejo.

2 Al realizar la revisión, la Comisión prestará especial atención: a) al cumplimiento de las normas aplicables de protección de los datos personales; b) a la necesidad y la proporcionalidad de la recogida y del tratamiento de datos PNR para cada uno de los fines establecidos en la presente Directiva; c) a la duración del período de conservación de datos; d) a la eficacia del intercambio de información entre los Estados miembros, y e) a la calidad de las evaluaciones, también con respecto a la información estadística recopilada de conformidad con el artículo 20.

3 El informe a que se refiere el apartado 1, incluirá asimismo un estudio de la necesidad, la proporcionalidad y la eficacia de la inclusión en el ámbito de aplicación de la presente Directiva, de la recogida y transmisión obligatoria de los datos PNR relativos a todos o determinados vuelos interiores de la UE. La Comisión tendrá en cuenta la experiencia adquirida por los Estados miembros, en especial por aquellos que aplican la presente Directiva a los vuelos interiores de la UE, de conformidad con el artículo 2. El informe estudiará también la necesidad de incluir en el ámbito de aplicación de la presente Directiva a agentes económicos que no sean compañías aéreas, tales como agencias de viaje y operadores turísticos que prestan servicios relacionados con los viajes, como la reserva de vuelos.

4 La Comisión presentará, en su caso, a la luz de la revisión efectuada con arreglo al presente artículo, una propuesta legislativa al Parlamento Europeo y al Consejo con vistas a la modificación de la presente Directiva.

1 Los Estados miembros proporcionarán anualmente a la Comisión un conjunto de información estadística sobre los datos PNR comunicados a las UIP. Las estadísticas no contendrán datos personales.

2 Las estadísticas incluirán, como mínimo: a) el número total de pasajeros cuyos datos PNR hayan sido recopilados e intercambiados; b) el número de pasajeros identificados para un examen ulterior.

1 Los Estados miembros podrán seguir aplicando los convenios bilaterales o multilaterales o los acuerdos que mantengan entre sí sobre el intercambio de información entre las autoridades competentes, que estén en vigor el 24 de mayo de 2016, siempre que dichos acuerdos o disposiciones sean compatibles con la presente Directiva.

2 La presente Directiva se entenderá sin perjuicio de la aplicabilidad de la Directiva 95/46/CE al tratamiento de datos personales por las compañías aéreas.

3 La presente Directiva se entiende sin perjuicio de las obligaciones y compromisos de los Estados miembros o de la Unión en virtud de convenios bilaterales o multilaterales con terceros países.

La presente Directiva entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. Los destinatarios de la presente Directiva son los Estados miembros de conformidad con los Tratados.