Datos clave
| Normativa | Acuerdo UE-Islandia sobre transferencia de datos PNR (Registro de Nombres de Pasajeros) |
|---|---|
| Referencia oficial | OJ:L_202601919 |
| Publicación | 06 de agosto de 2026 |
| Entrada en vigor | No especificada en el texto publicado |
| Afectados directos | Aerolíneas con rutas entre la UE e Islandia |
| Categoría | Protección de Datos / Seguridad Pública |
| Finalidad | Prevención, detección, investigación y enjuiciamiento del terrorismo y delitos graves |
Las aerolíneas con rutas UE-Islandia tienen una nueva obligación de cumplimiento: transmitir datos del Registro de Nombres de Pasajeros (PNR) a las autoridades islandesas. El acuerdo internacional publicado el 6 de agosto de 2026 bajo la referencia OJ:L_202601919 establece el marco legal para esta transferencia de datos con fines de seguridad pública, incluyendo la lucha contra el terrorismo y los delitos graves.
No se trata de una recomendación ni de una medida voluntaria: es una obligación vinculante para todas las compañías aéreas que operen en estas rutas, con requisitos técnicos y legales concretos que deben implementarse.
¿Qué establece esta normativa?
El acuerdo regula la transferencia de datos PNR desde las aerolíneas hacia las autoridades islandesas competentes en materia de seguridad. El PNR (Passenger Name Record) es el expediente de reserva que cada pasajero genera al comprar un billete de avión.
Los tipos de datos que deben transmitirse incluyen:
- Nombre del pasajero
- Itinerario de vuelo (origen, destino, escalas, fechas)
- Forma de pago utilizada en la reserva
- Información sobre el equipaje
- Otros datos de reserva incluidos en el expediente PNR
El acuerdo establece además:
- Plazos de conservación de los datos por parte de las autoridades islandesas (determinados en el texto del acuerdo, aunque no se especifican los plazos exactos en el resumen publicado).
- Garantías de protección de datos que deben respetarse en el tratamiento de la información.
- Limitación de uso: los datos solo pueden utilizarse para la prevención, detección, investigación y enjuiciamiento del terrorismo y los delitos graves. Ningún otro uso está permitido bajo este acuerdo.
- Requisitos técnicos y legales que las aerolíneas deben cumplir para la transmisión de los datos.
Este tipo de acuerdo sigue el modelo ya existente entre la UE y otros terceros países (como Canadá, Australia o Estados Unidos) en materia de intercambio de datos PNR, y extiende ahora esa red a Islandia, que aunque forma parte del Espacio Schengen, no es miembro de la UE.
Impacto económico y operativo
El impacto principal para las aerolíneas no es económico en términos de tasas o pagos directos, sino operativo y de cumplimiento. Las compañías afectadas deberán asumir costes de adaptación en tres áreas:
| Área de impacto | Descripción |
|---|---|
| Sistemas de transmisión de datos | Adaptación técnica para enviar datos PNR en el formato y protocolo exigido por las autoridades islandesas |
| Procesos legales y de cumplimiento | Revisión de contratos, políticas de privacidad y procedimientos internos de tratamiento de datos de pasajeros |
| Formación interna | Actualización de equipos de operaciones, IT y cumplimiento normativo sobre las nuevas obligaciones |
| Auditoría y control | Verificación de que los datos transmitidos se ajustan a los tipos permitidos y que no se comparte información fuera del alcance del acuerdo |
El riesgo de incumplimiento puede derivar en sanciones tanto por parte de las autoridades islandesas como de las autoridades europeas de protección de datos, dado que el acuerdo incorpora garantías bajo el marco del RGPD europeo.
¿A quién afecta?
- Aerolíneas con rutas directas UE-Islandia: son las principales obligadas. Deben transmitir los datos PNR de todos los pasajeros en esas rutas.
- Aerolíneas con conexiones que incluyan Islandia: dependiendo de la interpretación técnica del acuerdo, pueden verse afectadas también las rutas con escala en Islandia.
- Departamentos de IT y sistemas de reservas de las compañías aéreas: responsables de la adaptación técnica.
- Departamentos legales y de cumplimiento (compliance) de las aerolíneas: responsables de garantizar que el tratamiento de datos se ajusta al acuerdo y al RGPD.
- Pasajeros aéreos en rutas UE-Islandia: sus datos de reserva serán transmitidos a autoridades islandesas, aunque el acuerdo establece garantías de protección.
- Autoridades de seguridad islandesas: receptoras de los datos y responsables de su tratamiento conforme a las limitaciones del acuerdo.
Ejemplo práctico
Una aerolínea española que opera vuelos directos entre Madrid-Barajas y Reikiavik tiene pasajeros que reservan sus billetes con distintos métodos de pago y diferentes itinerarios. Con la entrada en vigor de este acuerdo, la compañía deberá transmitir a las autoridades islandesas competentes, para cada vuelo en esa ruta, los datos PNR de todos los pasajeros: su nombre completo, el itinerario exacto (Madrid-Reikiavik, fechas y número de vuelo), la forma de pago utilizada en la reserva y la información de equipaje registrada.
Para hacerlo, el departamento de IT de la aerolínea debe configurar un canal de transmisión de datos compatible con los requisitos técnicos del acuerdo, y el departamento legal debe actualizar la política de privacidad informando a los pasajeros de esta transferencia internacional de datos. Si la aerolínea no adapta sus sistemas antes de la fecha de aplicación efectiva del acuerdo, se expone a sanciones por incumplimiento tanto en España como en Islandia.
¿Qué deben hacer las empresas ahora?
- Identificar si operas rutas UE-Islandia: confirma si alguna de tus rutas conecta un aeropuerto de la UE con Islandia, ya sea en vuelo directo o con escala.
- Auditar tus sistemas de gestión de datos PNR: revisa si tu sistema de reservas puede generar y transmitir los datos requeridos (nombre, itinerario, forma de pago, equipaje) en el formato exigido por las autoridades islandesas.
- Consultar el texto completo del acuerdo: accede a la normativa publicada en el Diario Oficial de la UE para conocer los plazos exactos de conservación de datos y los requisitos técnicos de transmisión.
- Actualizar la política de privacidad: informa a los pasajeros de la transferencia de sus datos PNR a autoridades islandesas, en cumplimiento del RGPD.
- Coordinar con el DPO (Delegado de Protección de Datos): asegúrate de que el tratamiento de datos bajo este acuerdo está documentado en el registro de actividades de tratamiento.
- Establecer un plan de adaptación técnica con el equipo de IT para implementar el canal de transmisión de datos antes de la fecha de aplicación efectiva del acuerdo.
Preguntas frecuentes
¿Qué datos PNR deben transmitir las aerolíneas a Islandia?
Las aerolíneas deben transmitir los datos del Registro de Nombres de Pasajeros incluidos en la reserva: nombre del pasajero, itinerario de vuelo, forma de pago utilizada e información sobre el equipaje. El acuerdo delimita expresamente estos tipos de datos y prohíbe el uso de la información para finalidades distintas a la prevención, detección, investigación y enjuiciamiento del terrorismo y los delitos graves.
¿Cuándo entra en vigor el acuerdo PNR UE-Islandia?
El acuerdo fue publicado el 6 de agosto de 2026, pero la fecha exacta de entrada en vigor no está especificada en el texto publicado. Las aerolíneas deben consultar el texto completo del acuerdo en el Diario Oficial de la UE (referencia OJ:L_202601919) para conocer la fecha de aplicación efectiva y planificar su adaptación con suficiente antelación.
¿Afecta este acuerdo solo a aerolíneas con vuelos directos a Islandia?
El acuerdo afecta a las aerolíneas que operen rutas entre la UE e Islandia. Esto incluye, como mínimo, los vuelos directos entre aeropuertos de la UE y aeropuertos islandeses. Las aerolíneas con rutas que incluyan Islandia como escala deben revisar el texto completo del acuerdo para determinar si también quedan obligadas en esos casos.
¿Qué garantías de protección de datos incluye el acuerdo?
El acuerdo establece garantías de protección de datos alineadas con el marco europeo, limita el uso de los datos PNR exclusivamente a fines de seguridad pública (terrorismo y delitos graves), y fija plazos determinados de conservación. El tratamiento de los datos por parte de las autoridades islandesas queda sujeto a estas limitaciones, y las aerolíneas deben informar a sus pasajeros de la transferencia en cumplimiento del RGPD.
¿Qué pasa si una aerolínea no adapta sus sistemas para transmitir los datos PNR?
El incumplimiento de las obligaciones de transmisión de datos PNR puede derivar en sanciones por parte de las autoridades competentes, tanto en el ámbito de la normativa de seguridad como en el del RGPD europeo. Las aerolíneas deben adaptar sus sistemas técnicos y sus procesos legales antes de la fecha de aplicación efectiva del acuerdo para evitar riesgos de incumplimiento.
Fuente oficial
Consultar normativa completa en fuente oficial
Aviso: Este artículo tiene carácter meramente informativo y no constituye asesoramiento legal. Para decisiones específicas, consulte a un profesional cualificado. Fuente: https://eur-lex.europa.eu/./legal-content/AUTO/?uri=OJ:L_202601919