El 21 de abril de 2016 el Consejo adoptó una Directiva relativa a la utilización de datos del registro de nombres de los pasajeros (PNR) para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave.

Los datos PNR son informaciones personales que proporcionan los pasajeros y que recogen y conservan las compañías aéreas. Incluyen datos como el nombre del pasajero, fechas de vuelos, itinerarios, asientos, equipaje, información de contacto y medios de pago.

La Directiva tiene por objeto regular la transferencia, de las compañías aéreas a los Estados miembros, de datos PNR de los pasajeros de vuelos internacionales, así como el tratamiento de estos datos por las autoridades competentes.

Con arreglo a esta Directiva, las compañías aéreas tendrán la obligación de facilitar a las autoridades de los Estados miembros los datos PNR de los vuelos que entren en la UE o salgan de ésta. También permitirá, aunque no será obligatorio, que los Estados miembros recopilen los datos PNR sobre vuelos interiores de la UE seleccionados. No obstante, teniendo en cuenta la situación actual de la seguridad en Europa, todos los Estados miembros han declarado que, a más tardar en la fecha de transposición de la Directiva, aprovecharán plenamente la posibilidad prevista en el artículo 2 de incluir también dichos vuelos.

Con objeto de no vulnerar los derechos fundamentales de protección de datos personales, intimidad y no discriminación, la directiva incluye una serie de limitaciones de la transferencia, el tratamiento y la conservación de los datos PNR, como prohíbe la recogida y el uso de datos sensibles, los datos PNR sólo pueden conservarse durante un periodo de cinco años y deben despersonalizarse pasados seis meses, de forma que el interesado deje de ser identificable inmediatamente, cada Estado miembro tendrá que crear una Unidad de Información sobre los pasajeros encargada de manejar y proteger los datos; dicha unidad deberá contar con un responsable de la protección de datos, los Estados miembros deberán asegurarse de que los pasajeros reciban una información clara sobre la recogida de datos PNR y sus derechos, el tratamiento automatizado de los datos PNR no podrá ser la única base para tomar decisiones que tengan consecuencias jurídicas adversas o que afecten gravemente a una persona, la transferencia de datos PNR a terceros países sólo podrá producirse en circunstancias muy particulares y deberá estudiarse caso por caso.

En el plazo de un año desde la aprobación de la Directiva, la Comisión aprobará mediante actos de ejecución una lista de los protocolos comunes y los formatos de datos admitidos para la transmisión de datos PNR por parte de las compañías aéreas a las Unidades de Información de los Pasajeros. Tales protocolos serán comunes a todas las transmisiones para garantizar la seguridad de los datos PNR durante la transmisión. Con esta disposición se pretende evitar que los Estados miembros puedan adoptar protocolos de transmisión diferentes entre sí, lo que supondría costes y recursos adicionales para las compañías.

Los Estados miembros dispondrán de dos años para aplicar las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo dispuesto en la Directiva.