Datos clave
| Normativa | Acuerdo UE-Noruega sobre transferencia de datos PNR (Registro de Nombres de Pasajeros) para prevención del terrorismo y delitos graves |
|---|---|
| Referencia oficial | OJ:L_202601917 |
| Publicación | 6 de agosto de 2026 |
| Entrada en vigor | No especificada en el texto publicado |
| Afectados principales | Aerolíneas con rutas entre la UE y Noruega, pasajeros aéreos, autoridades de seguridad de ambas partes |
| Categoría | Normativa Europea |
| Ámbito | Seguridad, antiterrorismo, protección de datos en aviación |
Las compañías aéreas con rutas entre la Unión Europea y Noruega tienen desde el 6 de agosto de 2026 un nuevo marco legal de obligado cumplimiento: el Acuerdo UE-Noruega sobre transferencia de datos PNR (Passenger Name Record), publicado bajo la referencia OJ:L_202601917. Este acuerdo internacional obliga a las aerolíneas a ceder datos de reserva de sus pasajeros a las autoridades de seguridad, con el objetivo de prevenir, detectar, investigar y enjuiciar delitos de terrorismo y delitos graves.
Noruega no es miembro de la UE, pero sí forma parte del Espacio Schengen, lo que hace especialmente relevante este tipo de cooperación en materia de seguridad. El acuerdo refuerza la colaboración entre las autoridades policiales y antiterroristas de ambas partes bajo condiciones estrictamente reguladas.
¿Qué establece esta normativa?
El acuerdo regula de forma detallada cinco grandes bloques de obligaciones y derechos:
| Bloque | Contenido principal |
|---|---|
| Obligación de transmisión | Las aerolíneas con rutas UE-Noruega deben transmitir los datos PNR de reserva a las autoridades competentes designadas en ambas partes |
| Finalidad del tratamiento | Prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves |
| Plazos de conservación | El acuerdo establece plazos concretos de conservación de los datos (no se especifica la duración exacta en el resumen publicado) |
| Garantías de protección de datos | Se establecen salvaguardas específicas para el tratamiento de datos personales de los pasajeros |
| Derechos de los pasajeros | Los pasajeros tienen derechos reconocidos en el acuerdo respecto al tratamiento de sus datos PNR |
| Acceso de autoridades | Las autoridades policiales y antiterroristas de la UE y Noruega pueden acceder y analizar los datos bajo condiciones estrictamente reguladas |
Los datos PNR son los datos de reserva que los pasajeros proporcionan al comprar un billete o hacer el check-in: nombre, itinerario, información de pago, datos de contacto, equipaje, entre otros. Su cesión a autoridades de seguridad es una práctica ya consolidada en la UE con terceros países, y este acuerdo extiende ese marco a Noruega de forma bilateral.
Impacto económico y operativo
Para las aerolíneas, el impacto es fundamentalmente operativo y de cumplimiento normativo. No se trata de un coste directo en forma de tasa o arancel, sino de una obligación de adaptación de sistemas, procesos y contratos que genera costes indirectos:
- Adaptación tecnológica: Los sistemas de reserva y gestión de pasajeros (PNR/DCS) deben estar configurados para extraer y transmitir los datos en el formato y con la frecuencia exigidos por las autoridades competentes.
- Protocolos de protección de datos: Las aerolíneas deben actualizar sus políticas de privacidad, registros de actividades de tratamiento y acuerdos con proveedores de sistemas de reserva para reflejar esta nueva obligación de cesión.
- Formación interna: Los equipos de operaciones, cumplimiento y atención al cliente deben conocer los derechos de los pasajeros reconocidos en el acuerdo y saber cómo gestionarlos.
- Coordinación con autoridades: Será necesario establecer canales de comunicación con las autoridades competentes designadas en cada Estado miembro de la UE y en Noruega.
El riesgo de incumplimiento no es menor: la cesión incorrecta, incompleta o tardía de datos PNR puede derivar en responsabilidades legales tanto en el ámbito de la normativa de seguridad como en el de protección de datos personales, que en la UE está regulada por el Reglamento General de Protección de Datos (RGPD).
¿A quién afecta?
- Aerolíneas con rutas directas UE-Noruega: Cualquier compañía aérea que opere vuelos entre un aeropuerto de la UE y un aeropuerto noruego, independientemente de su país de matriculación.
- Aerolíneas de bajo coste con presencia en rutas nórdicas: Operadoras como las que conectan capitales europeas con Oslo, Bergen, Stavanger u otras ciudades noruegas.
- Proveedores de sistemas de reserva (GDS): Plataformas tecnológicas que gestionan los datos PNR en nombre de las aerolíneas pueden verse implicadas como encargados del tratamiento.
- Pasajeros aéreos: Cualquier persona que viaje en rutas UE-Noruega verá sus datos de reserva transmitidos a autoridades de seguridad, con los derechos que el acuerdo les reconoce.
- Autoridades de seguridad y policiales: Las Unidades de Información sobre Pasajeros (PIU) de los Estados miembros de la UE y la autoridad equivalente en Noruega son los receptores y gestores de estos datos.
- Departamentos de cumplimiento y protección de datos de aerolíneas: DPOs (Delegados de Protección de Datos) y equipos legales que deben adaptar los marcos de cumplimiento existentes.
Ejemplo práctico
Una aerolínea española que opera la ruta Madrid-Oslo con varios vuelos semanales debe, a partir de la entrada en vigor del acuerdo, transmitir los datos PNR de cada pasajero a la autoridad competente designada. Esto incluye los datos de reserva: nombre completo, número de vuelo, fecha, información de pago, datos de contacto y cualquier otro campo PNR recogido en el proceso de compra o check-in.
Si esa misma aerolínea utiliza un sistema de reservas gestionado por un proveedor externo (GDS), deberá revisar su contrato con ese proveedor para asegurarse de que la transmisión de datos a las autoridades se realiza de forma conforme al acuerdo y al RGPD. Además, deberá actualizar su política de privacidad para informar a los pasajeros de esta cesión de datos, los plazos de conservación aplicables y los derechos que pueden ejercer.
El incumplimiento de la obligación de transmisión, o una transmisión defectuosa de los datos, podría exponer a la aerolínea a reclamaciones por parte de las autoridades de seguridad y, simultáneamente, a sanciones por parte de la autoridad de protección de datos si el tratamiento no se ajusta a las garantías establecidas en el acuerdo.
¿Qué deben hacer las empresas ahora?
- Identificar si operan rutas UE-Noruega: Confirmar qué rutas de la compañía quedan dentro del ámbito de aplicación del acuerdo (cualquier vuelo entre un aeropuerto de la UE y un aeropuerto noruego).
- Revisar los sistemas PNR actuales: Comprobar si los sistemas de reserva y gestión de pasajeros están preparados para extraer y transmitir datos en el formato requerido por las autoridades competentes.
- Actualizar contratos con proveedores de sistemas de reserva: Asegurarse de que los GDS y otros proveedores tecnológicos actúan como encargados del tratamiento conforme al RGPD y al acuerdo.
- Revisar y actualizar la política de privacidad: Informar a los pasajeros de la cesión de sus datos PNR a autoridades de seguridad de la UE y Noruega, los plazos de conservación y sus derechos.
- Identificar las autoridades competentes designadas: Localizar las Unidades de Información sobre Pasajeros (PIU) de los Estados miembros relevantes y la autoridad equivalente en Noruega para establecer los canales de transmisión.
- Consultar al DPO o asesor legal especializado: Evaluar el impacto concreto en los registros de actividades de tratamiento y en la evaluación de impacto de protección de datos (EIPD) si ya existe una para operaciones PNR.
Preguntas frecuentes
¿Qué aerolíneas están obligadas por el acuerdo PNR UE-Noruega?
Todas las compañías aéreas que operen rutas entre cualquier aeropuerto de un Estado miembro de la UE y cualquier aeropuerto de Noruega, independientemente de su país de matriculación o sede. Esto incluye tanto aerolíneas de bandera como operadoras de bajo coste que cubran rutas nórdicas.
¿Qué datos PNR hay que transmitir a las autoridades?
Los datos PNR son los datos de reserva del pasajero: nombre completo, itinerario de vuelo, fechas, información de pago, datos de contacto, información de equipaje y otros campos recogidos en el proceso de compra o check-in. El acuerdo regula qué campos concretos deben transmitirse, con qué frecuencia y bajo qué condiciones de seguridad.
¿Cuándo entra en vigor el acuerdo PNR UE-Noruega?
El acuerdo fue publicado el 6 de agosto de 2026 bajo la referencia OJ:L_202601917. La fecha exacta de entrada en vigor no ha sido especificada en el texto publicado. Las aerolíneas deben monitorizar la publicación de la fecha oficial para planificar su adaptación.
¿Cómo afecta este acuerdo al RGPD y a la protección de datos de los pasajeros?
El acuerdo establece garantías específicas de protección de datos compatibles con el marco europeo. Las aerolíneas deben asegurarse de que la transmisión de datos PNR se realiza conforme tanto al acuerdo como al RGPD: base legal adecuada, información a los pasajeros en la política de privacidad, plazos de conservación definidos y derechos de acceso, rectificación y supresión reconocidos a los pasajeros.
¿Qué pasa si una aerolínea no cumple con la obligación de transmitir los datos PNR?
El incumplimiento puede generar responsabilidades legales en el ámbito de la normativa de seguridad (obligación de cooperación con autoridades) y, simultáneamente, en el ámbito de protección de datos si el tratamiento no se ajusta a las garantías del acuerdo y el RGPD. Las aerolíneas deben consultar con su asesor legal para evaluar el régimen sancionador aplicable en cada Estado miembro.
Fuente oficial
Consultar normativa completa en fuente oficial
Aviso: Este artículo tiene carácter meramente informativo y no constituye asesoramiento legal. Para decisiones específicas, consulte a un profesional cualificado. Fuente: https://eur-lex.europa.eu/./legal-content/AUTO/?uri=OJ:L_202601917