Los Acuerdos PNR (Passenger Name Record, por sus siglas en inglés) son una serie de acuerdos internacionales firmados desde 2004 entre la Unión Europea y Estados Unidos cuya finalidad es compartir determinados datos pertenecientes a pasajeros de vuelos comerciales entre Europa y Norteamérica. El objetivo de estos acuerdos es la prevención, detección, investigación y persecución de actividades terroristas y determinados crímenes transnacionales.

El registro de datos PNR está compuesto por la información que los propios pasajeros facilitan a las aerolíneas en el momento de adquirir un billete (nombre, fecha de nacimiento, número de teléfono, medio de pago, itinerario…) y que estas recogen y almacenan con fines comerciales. El uso de estos registros de forma manual por parte de servicios de aduanas y autoridades policiales de todo el mundo ha sido una práctica habitual desde hace más de medio siglo, sin embargo, los recientes desarrollos tecnológicos, unidos a la globalización de la lucha antiterrorista derivada de los atentados del 11 de septiembre de 2001, han puesto de manifiesto la necesidad de crear un marco legal que permita compartir los datos PNR de forma efectiva y sistematizada, garantizando al mismo tiempo los derechos y libertades civiles de los pasajeros. Es precisamente en este nuevo marco legal donde se encuadran los Acuerdos PNR entre la Unión Europea y los Estados Unidos.

Acuerdo PNR 2004 y Acuerdo provisional de 2006

Como consecuencia de los ataques del 11 de septiembre de 2001, las autoridades estadounidenses impusieron a todas las aerolíneas comerciales que operaban con origen o destino en dicho país la obligatoriedad de transmitir al Departamento de Seguridad Nacional los datos de pasajeros recogidos por sus sistemas PNR, datos tales como el nombre completo, número de teléfono, dirección postal y de correo electrónico, número de pasaporte, número de tarjeta de crédito y medio de pago o solicitudes especiales relativas al regímenes particulares de alimentación y preferencias de asientos durante el vuelo. De no cumplir esta exigencia las aerolíneas se enfrentarían a cuantiosas sanciones pecuniarias e incluso podrían perder sus derechos de despegue y aterrizaje en los Estados Unidos. Esta obligación iba en contra de lo establecido en la Directiva 94/46/CEDirectiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos DO 1995, L 281. relativa a la protección de datos, en la que se exigía «un nivel de protección adecuado» para transferir datos personales a terceros países. La incompatibilidad del Derecho comunitario con las demandas de los Estados Unidos sumió a las aerolíneas comerciales europeas en una situación de incertidumbre y riesgo, por lo que la Comisión Europea inició un proceso de negociación con las autoridades estadounidenses.

La cuestión de la protección de datos se solucionó, aunque solo de forma temporal, mediante la Decisión de la Comisión de 14 de mayo de 2004,Decisión de la Comisión de 14 de mayo de 2004 relativas al carácter adecuado de la protección de los datos personales incluidos en los registros de nombres de los pasajeros que se transfieren al Servicio de aduanas y protección de fronteras de los Estados Unidos (Bureau of Customs and Border Protection) DO 2004, L 235/11. relativa a la Directiva sobre protección de datos. En este texto se establecía que las autoridades estadounidenses utilizarían los datos PNR únicamente con una triple finalidad, prevención y lucha contra el terrorismo y delitos conexos; otros delitos graves, incluida la delincuencia organizada, que tuvieran carácter transnacional y la fuga en caso de orden de arresto o detención por estos delitos señalados. En esta misma Decisión, la Comisión estimaba que la protección de datos PNR por parte de las autoridades estadounidenses resultaba compatible con las disposiciones de la Directiva 94/46/CE. Consecuentemente, el primer Acuerdo PNR fue firmado en Washington D. C. el 28 de mayo de 2004.Acuerdo entre la Comunidad Europea y los estados Unidos de América sobre el tratamiento y la transferencia de los datos de los expedientes de los pasajeros por las compañías aéreas al Departamento de seguridad nacional, Oficina de aduanas y protección de fronteras, de los Estados Unidos. DO 2004, L 183/84.

Sin embargo el 27 de junio, solo un mes después de la firma, el Parlamento Europeo presentó dos recursos ante el Tribunal de Justicia de las Comunidades Europeas (hoy Tribunal de Justicia de la Unión Europea), uno contra la Decisión de la Comisión en la que la transmisión de datos PNR a Estados Unidos se declaraba compatible con la Directiva 94/46/CE y otro contra la decisión del Consejo de la UE mediante la que se había firmado el Acuerdo. El Tribunal de Justicia anuló ambos actos, considerando que la Comunidad no tenía competencia para firmar el Acuerdo y dando así la razón al Parlamento.Sentencia del Tribunal de Justicia de 30 de mayo de 2006 en los asuntos acumulados C-317/04 y C-318/04, Parlamento contra Consejo.

La justificación dada por la Corte se basó en el antiguo artículo 45 de los Tratados de Roma y en el artículo 25 de la Directiva 95/46/CE. En opinión del Tribunal, la transmisión de datos PNR con fines comerciales (para vender billetes a cambio de los cuales se prestarían determinados servicios) sí estaba dentro del ámbito del Derecho comunitario, sin embargo, el tratamiento de estos datos tal y como se presentaba en la Decisión de la Comisión no perseguía un fin comercial sino una finalidad represiva con el objeto de salvaguardar la seguridad pública. A pesar de anular las decisiones de la Comisión y del Consejo, el Tribunal de Justicia decidió prorrogar los efectos del Acuerdo PNR hasta el 30 de septiembre de 2006.

Tras la decisión del Tribunal, la negociación de un nuevo acuerdo ya no podría hacerse desde la lógica comunitaria (primer pilar) sino desde la lógica intergubernamental (tercer pilar), lo que implicaría limitar el papel del Parlamento hasta darle una capacidad meramente consultiva y haría obligatoria la unanimidad en el seno del Consejo. Este método de negociación resultaba mucho más complejo, por lo que, ante la necesidad de alcanzar un acuerdo lo antes posible se decidió adoptar un Acuerdo provisional. De este modo, el 11 de octubre de 2006 el Consejo adoptó una decisión mediante la que autorizaba a la Presidencia Finlandesa a firmar un Acuerdo provisional con las autoridades estadounidenses para continuar transfiriendo datos PNR.Decisión 2006/729/PESC/JAI del Consejo, de 16 de octubre de 2006, relativa a la firma, en nombre de la Unión Europea, de un Acuerdo entre la Unión Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros (PNR) por las compañías aéreas al Departamento de Seguridad del Territorio Nacional de los Estados Unidos. DO 2006, L 298.

Las disposiciones del nuevo Acuerdo provisional (respecto al cual el Parlamento, en su papel consultivo, expresó numerosas reticencias) eran muy similares a las del Acuerdo de 2004. Las autoridades estadounidenses tendrían acceso a los datos PNR para combatir el terrorismo y otros crímenes transnacionales. El método para la obtención de estos datos por parte del Departamento de Seguridad Nacional continuaría siendo el conocido como «método pull», mediante el cual era la agencia receptora de los datos la que iniciaba la solicitud de transmisión accediendo directamente al sistema de reservas de las aerolíneas. Una novedad de este nuevo Acuerdo respecto al anterior sería el mayor número de agencias de seguridad norteamericanas que tendrían acceso a los datos PNR de las aerolíneas europeas. Con el Acuerdo provisional PNR de 2006 cualquier agencia de seguridad estadounidense que tuviera como función luchar contra el terrorismo tendría acceso a estos datos, además, el Departamento de Seguridad Nacional podría ampliar el número de campos exigidos (inicialmente serían 34) y estos podrían ser almacenados durante periodos superiores a tres años y medio.

Acuerdo PNR 2007

Dado el carácter provisional del Acuerdo de 2006 y la necesidad de un Acuerdo permanente que regulara la transmisión de datos PNR, la Unión Europea negoció, una vez más desde la perspectiva del tercer pilar, un nuevo convenio cuya firma se produciría el 29 de junio de 2007.Acuerdo entre la Unión Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros (PNR) por las compañías aéreas al Departamento de Seguridad Nacional de los Estados Unidos. DO 2007, L 204/18. Este acuerdo, que a la espera de ser ratificado por los Estados miembros se aplicaría de forma provisional desde el momento de su firma, se basaba en los antiguos artículos 24 y 38 TUE. Una vez más el Parlamento Europeo, desde su capacidad meramente consultiva, hizo constar su preocupación con respecto a la protección que las autoridades estadounidenses darían a los datos transferidos.Resolución del Parlamento Europeo de 12 de julio de 2007 sobre el acuerdo PNR con los Estados Unidos de América. P6_TA(2007)0347. De este modo, hizo saber al resto de instituciones que el nuevo Acuerdo no respetaba los estándares sobre protección de datos en la UE, además de no prever una autoridad independiente para que supervisara la transferencia ni vías de recurso adecuadas.

El Acuerdo PNR 2007 preveía, entre otras disposiciones, un cambio en el método para la obtención de los datos, pasando del método push al método pull antes del 1 de enero de 2008, lo que implicaba que serían las propias aerolíneas las que transmitirían los datos PNR al Departamento de Seguridad Nacional sin necesidad de que este accediera a su sistema de reservas, sin embargo esta disposición nunca llegó a aplicarse.

Respecto a la composición del nuevo acuerdo conviene señalar que resultó considerablemente más compleja que la de los dos anteriores. El texto firmado por ambas partes iba acompañado de dos cartas anejas, la primera era una declaración en la que los Estados Unidos garantizaban que tratarían los datos PNR de forma adecuada y los utilizarían únicamente para luchar contra el terrorismo, contra otros delitos de carácter transnacional y contra la fuga en caso de orden de arresto o detención por dichos delitos. El Departamento de Seguridad Nacional conservaría además los datos durante un periodo total de 15 años, pasando los últimos ocho a un sistema de almacenamiento no operativo. El segundo anejo era una declaración en la que la UE confirmaba que, sobre la base de las garantías ofrecidas por los Estados Unidos, consideraba que la protección de datos PNR ofrecida por el Departamento de Seguridad Nacional era la adecuada para los niveles de protección europeos. El hecho de que muchas de las disposiciones del Acuerdo estuvieran contenidas en estas cartas despertó numerosas críticas por parte de algunos autores, que consideraron que constituían un peligro desde la perspectiva de la protección de datos.Ver V. Papakonstantinou y P. de Hert. “The PNR Afreement and transatlantic anti-terrorism co-operation: no firm human rights framework on either side of the Atlantic”. Common Market Law Review 2009, nº 46, p885-906.

Acuerdo PNR 2011