Datos clave
| Normativa | Decisión (UE) 2026/1918 del Consejo, de 4 de junio de 2026 |
|---|---|
| Publicación | 6 de agosto de 2026 |
| Entrada en vigor | 4 de junio de 2026 |
| Afectados | Aerolíneas con vuelos entre la UE e Islandia, pasajeros y autoridades de seguridad |
| Categoría | Protección de Datos / Seguridad Internacional |
| Ejercicio | 2026 |
| Referencia oficial | OJ:L_202601918 |
Las aerolíneas que operan rutas entre la Unión Europea e Islandia tienen una nueva obligación de cumplimiento desde el 4 de junio de 2026: transferir los datos del registro de nombres de los pasajeros (PNR) a las autoridades competentes islandesas. La Decisión (UE) 2026/1918 del Consejo, publicada en el Diario Oficial de la UE el 6 de agosto de 2026, formaliza el acuerdo bilateral entre la UE e Islandia para el uso de estos datos en la prevención y persecución del terrorismo y los delitos graves.
No se trata de una novedad conceptual: la UE ya tiene acuerdos PNR vigentes con Estados Unidos, Canadá y Australia. Islandia se incorpora ahora a este marco internacional de intercambio de datos de seguridad. Lo que cambia para las aerolíneas es la obligación operativa concreta en estas rutas.
¿Qué establece esta normativa?
El acuerdo regula la transferencia de datos PNR, es decir, la información que las aerolíneas recogen de los pasajeros en el momento de la reserva de un vuelo. Estos datos son cedidos a las autoridades islandesas para los siguientes fines exclusivos:
- Prevención de delitos de terrorismo y delitos graves
- Detección de estos delitos
- Investigación de los mismos
- Enjuiciamiento de los responsables
El acuerdo incluye garantías de protección de datos y establece limitaciones de uso estrictas: los datos solo pueden emplearse para los fines enumerados, no para cualquier finalidad de seguridad o administrativa. Este marco de garantías sigue el modelo de los acuerdos ya en vigor con terceros países.
| Elemento | Detalle |
|---|---|
| Datos transferidos | Datos PNR (Passenger Name Record): información recogida por aerolíneas al reservar vuelos |
| Destinatario | Autoridades competentes de Islandia |
| Finalidad permitida | Prevención, detección, investigación y enjuiciamiento de terrorismo y delitos graves |
| Garantías | Protección de datos y limitaciones de uso establecidas en el acuerdo |
| Modelo de referencia | Acuerdos PNR con EE.UU., Canadá y Australia |
| Obligados | Aerolíneas que operen vuelos entre la UE e Islandia |
Impacto económico y operativo
El impacto directo recae sobre las aerolíneas con rutas UE-Islandia. Las implicaciones operativas son concretas:
- Adaptación de sistemas de transmisión de datos: Las aerolíneas deben garantizar que sus sistemas tecnológicos son capaces de enviar los datos PNR a las autoridades islandesas en el formato y los plazos requeridos por el acuerdo.
- Actualización de políticas de privacidad: Los pasajeros deben ser informados de que sus datos PNR se transfieren a Islandia. Las políticas de privacidad y los avisos legales de las aerolíneas deben reflejar esta nueva transferencia internacional.
- Cumplimiento normativo internacional: Las aerolíneas ya familiarizadas con los acuerdos PNR con EE.UU., Canadá o Australia tienen una base de partida, pero deben extender sus procedimientos a la ruta islandesa específicamente.
- Riesgo de incumplimiento: No transmitir los datos PNR conforme al acuerdo puede derivar en responsabilidades legales tanto en el ámbito de la UE como en el de las autoridades islandesas.
La normativa no establece costes económicos directos (tasas, multas concretas) en el texto del acuerdo, pero el incumplimiento de las obligaciones de transferencia de datos puede activar los mecanismos sancionadores del Reglamento General de Protección de Datos (RGPD) y de la normativa de seguridad aplicable.
¿A quién afecta?
- Aerolíneas con rutas directas UE-Islandia: Son las principales obligadas. Deben transmitir los datos PNR de cada vuelo a las autoridades islandesas.
- Aerolíneas con conexiones o escalas en rutas UE-Islandia: Deben verificar si sus operaciones quedan dentro del ámbito de aplicación del acuerdo.
- Departamentos de cumplimiento normativo y protección de datos (DPO): Responsables de adaptar políticas internas, contratos y sistemas de transferencia.
- Proveedores tecnológicos de sistemas de reservas (GDS): Pueden verse implicados en la cadena de transmisión de datos PNR.
- Pasajeros de vuelos UE-Islandia: Sus datos personales de reserva quedan sujetos a esta transferencia internacional, con las garantías establecidas en el acuerdo.
- Autoridades de seguridad islandesas: Receptoras de los datos y responsables de su uso conforme a las limitaciones pactadas.
Ejemplo práctico
Una aerolínea española que opera vuelos regulares entre Madrid y Reikiavik debe, desde el 4 de junio de 2026, transmitir a las autoridades islandesas competentes los datos PNR de cada pasajero embarcado en esas rutas. Estos datos incluyen la información recogida en el momento de la reserva: nombre, itinerario, datos de contacto, información de pago y otros campos del registro de nombres del pasajero.
Si esta aerolínea ya tenía implantado un sistema de transmisión PNR para sus vuelos a EE.UU. o Canadá, el proceso técnico es análogo: debe extender ese sistema para cubrir también las rutas a Islandia y actualizar su política de privacidad para informar a los pasajeros de esta nueva transferencia internacional de datos. Si no contaba con ningún sistema PNR previo para terceros países, debe implantarlo desde cero para estas rutas.
¿Qué deben hacer las empresas ahora?
- Identificar si operáis rutas UE-Islandia: El primer paso es confirmar si la aerolínea tiene vuelos directos o conexiones que queden dentro del ámbito del acuerdo. Si es así, la obligación es inmediata (en vigor desde el 4 de junio de 2026).
- Revisar los sistemas de transmisión de datos PNR: Verificar si los sistemas actuales permiten enviar datos PNR a las autoridades islandesas en el formato requerido. Si ya existe integración con otros países (EE.UU., Canadá, Australia), extenderla a Islandia.
- Actualizar las políticas de privacidad y avisos a pasajeros: Los pasajeros de vuelos UE-Islandia deben ser informados de la transferencia de sus datos PNR a Islandia. Revisar y actualizar todos los documentos de información al pasajero.
- Consultar con el Delegado de Protección de Datos (DPO): El DPO debe validar que la transferencia cumple con el RGPD y con las garantías establecidas en el acuerdo bilateral.
- Revisar contratos con proveedores tecnológicos (GDS): Si la transmisión de datos PNR se realiza a través de sistemas de distribución global o proveedores externos, verificar que estos también cumplen con las nuevas obligaciones.
- Documentar el cumplimiento: Registrar las medidas adoptadas para acreditar el cumplimiento ante posibles inspecciones o requerimientos de las autoridades de protección de datos.
Preguntas frecuentes
¿Qué son los datos PNR y qué información incluyen?
Los datos PNR (Passenger Name Record) son los datos que las aerolíneas recogen de los pasajeros en el momento de realizar una reserva de vuelo. Incluyen información como el nombre del pasajero, el itinerario, los datos de contacto, la información de pago y otros campos registrados en el sistema de reservas. Son estos datos los que, bajo el acuerdo UE-Islandia, deben transferirse a las autoridades islandesas competentes.
¿Desde cuándo están obligadas las aerolíneas a transferir datos PNR a Islandia?
La obligación está en vigor desde el 4 de junio de 2026, fecha de entrada en vigor de la Decisión (UE) 2026/1918 del Consejo. La publicación en el Diario Oficial de la UE se produjo el 6 de agosto de 2026, pero la fecha de aplicación es la anterior.
¿Para qué pueden usar Islandia los datos PNR recibidos?
El acuerdo limita estrictamente el uso de los datos PNR a cuatro finalidades: prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves. No pueden utilizarse para ninguna otra finalidad administrativa o de seguridad distinta a las expresamente pactadas. El acuerdo incluye garantías de protección de datos y limitaciones de uso.
¿Este acuerdo es nuevo o sigue un modelo ya existente?
Sigue el modelo de acuerdos PNR que la UE ya tiene en vigor con Estados Unidos, Canadá y Australia. Islandia se incorpora a este marco internacional de intercambio de datos de seguridad. Las aerolíneas que ya cumplen con esos acuerdos tienen una base de partida, pero deben extender sus procedimientos a las rutas con Islandia.
¿Qué pasa si una aerolínea no transmite los datos PNR a Islandia?
El incumplimiento de las obligaciones de transferencia de datos establecidas en el acuerdo puede activar los mecanismos sancionadores del RGPD y de la normativa de seguridad aplicable en la UE. Aunque el acuerdo no detalla importes de sanción específicos, las aerolíneas quedan expuestas a responsabilidades legales tanto en el ámbito europeo como en el islandés. Se recomienda consultar con el DPO y con asesoría legal especializada.
Fuente oficial
Consultar normativa completa en fuente oficial
Aviso: Este artículo tiene carácter meramente informativo y no constituye asesoramiento legal. Para decisiones específicas, consulte a un profesional cualificado. Fuente: https://eur-lex.europa.eu/./legal-content/AUTO/?uri=OJ:L_202601918