Recogida y transferencia de información anticipada sobre los pasajeros

PUNTOS CLAVE

Ámbito de aplicación y aplicabilidad

Ambos Reglamentos se aplican a las compañías aéreas que operan vuelos de pasajeros, incluidas aquellas que transportan pasajeros que se conectan a otros destinos (pasajeros en tránsito) y miembros de la tripulación fuera de servicio. El Reglamento (UE) 2025/13 se aplica también a los miembros de la tripulación en servicio.

• El Reglamento (UE) 2025/12 se aplica a los vuelos procedentes de países no pertenecientes a la UE con destino a los Estados miembros de la UE que aplican el presente Reglamento y a los países asociados a Schengen (Islandia, Liechtenstein, Noruega y Suiza).
• El Reglamento (UE) 2025/13 se aplica a:
  • vuelos entre Estados miembros que aplican el presente Reglamento y países no pertenecientes a la UE (vuelos exteriores de la UE);
  • vuelos seleccionados dentro de la UE (vuelos interiores de la UE), pero solo si el Estado miembro aplica las normas sobre el uso de datos PNR a dichos vuelos.

Estos Reglamentos no se aplican a vuelos militares, de emergencia, médicos o escolares.

Obligaciones de las compañías aéreas

Las compañías aéreas deberán:

• recopilar datos API para cada pasajero y miembro de la tripulación, entre ellos:
  • nombre completo, fecha de nacimiento, sexo, nacionalidad,
  • datos del documento de viaje (tipo, número, fecha de caducidad, país de expedición),
  • el número de vuelo, el número de asiento y la información sobre el equipaje (si está disponible),
  • el localizador de registro PNR (si está disponible),
  • el método de recogida (automatizado/manual);
• utilizar medios automatizados (por ejemplo, escanear zonas legibles por máquina de los documentos de viaje) para garantizar la exactitud y la integridad: la introducción manual solo se permite durante un período transitorio o en circunstancias excepcionales en las que la recogida automatizada sea técnicamente imposible;
• transferir datos de forma electrónica y segura al enrutador API/PNR de la UE:
  • una vez en la facturación (por pasajero), y
  • otra vez después del cierre del vuelo (para todos los pasajeros y tripulantes a bordo).

Enrutador único para la transferencia de datos

El enrutador único API/PNR de la UE, gestionado por eu-LISA, es la interfaz exclusiva para la transferencia de datos API y PNR. Recibe datos API y PNR de las compañías aéreas, valida el formato técnico y la integridad y envía automáticamente los datos API a las autoridades fronterizas nacionales [para el Reglamento (UE) 2025/12] o los datos API y PNR a las Unidades de Información sobre los Pasajeros (UIP) [para el Reglamento (UE) 2025/13]. El enrutador suprime los datos inmediatamente después de la transmisión, reteniéndolos solo temporalmente para fines de enrutamiento.

Todas las transmisiones deben usar cifrado de extremo a extremo. El enrutador garantiza la compatibilidad con los sistemas informáticos pertinentes de la UE, como el Sistema de Entradas y Salidas (SES), el Sistema Europeo de Información y Autorización de Viajes (SEIAV), y el Sistema de Información de Visados (VIS). También elimina la necesidad de múltiples conexiones directas entre las compañías aéreas y las autoridades nacionales.

Utilización de datos de información anticipada sobre los pasajeros

En virtud del Reglamento (UE) 2025/12, los datos API se utilizan exclusivamente para mejorar y facilitar las inspecciones en las fronteras exteriores y detectar la inmigración ilegal. Queda prohibido el uso de datos con fines de elaboración de perfiles o discriminatorios. Las autoridades fronterizas pueden almacenar los datos hasta cuarenta y ocho horas, con una posible prórroga de otras cuarenta y ocho horas en casos individuales en los que un pasajero no se presente en la frontera.

En virtud del Reglamento (UE) 2025/13, los datos API se tratan conjuntamente con los datos PNR para identificar a las personas de alto riesgo, prevenir y detectar los delitos graves y el terrorismo y apoyar la cooperación policial y judicial transfronteriza. Para vuelos interiores de la UE, los datos API solo podrán transferirse a las UIP si el Estado miembro aplica las normas PNR a dichos vuelos y los selecciona utilizando criterios objetivos y basados en el riesgo. Esta selección debe ser revisada al menos una vez al año. Los datos de los vuelos no seleccionados deben ser eliminados inmediatamente del enrutador, y no se debe informar a las compañías aéreas de qué vuelos se seleccionan.

Derechos de los pasajeros y protección de datos

Los Reglamentos complementan las normas de protección de datos establecidas en la Directiva (UE) 2016/681 y exigen que todo tratamiento de datos API y PNR cumpla las normas aplicables de la UE en materia de protección de datos. Estas incluyen:

• la Carta de los Derechos Fundamentales de la Unión Europea;
• el Reglamento (UE) 2016/679 (Reglamento general de protección de datos – véase la síntesis), que establece las normas sobre la forma en que las compañías aéreas tratan los datos personales y se aplican a las autoridades nacionales que tratan datos API con fines de gestión de fronteras;
• la Directiva (UE) 2016/680 (véase la síntesis), que establece las normas de la UE sobre protección de datos para las autoridades policiales y de justicia penal que se aplican a las autoridades nacionales que tratan datos API con fines policiales;
• el Reglamento (UE) 2018/1725 (véase la síntesis), que establece las normas de la UE sobre protección de datos aplicables a las instituciones y agencias de la UE que aplican eu-LISA (operando el enrutador).

Los Reglamentos establecen garantías clave, que incluyen:

• la limitación estricta de la finalidad: los datos solo podrán utilizarse para los fines definidos en los Reglamentos;
• la prohibición de la recogida o el uso de datos biométricos como parte de los datos API;
• la prohibición de la discriminación y la elaboración de perfiles;
• el derecho a la información: los pasajeros deberán ser informados en el momento de la reserva y la facturación sobre la recogida de sus datos y sus derechos;
• normas estrictas sobre la duración de la conservación de los datos.

Autoridades nacionales

Cada Estado miembro deberá designar:

• a una autoridad fronteriza competente para recibir datos API para las inspecciones fronterizas;
• la UIP que recibirá datos API con fines policiales y datos PNR, de conformidad con la Directiva (UE) 2016/681;
• una autoridad nacional de supervisión de API para controlar el cumplimiento y hacer cumplir las normas.

Gobernanza y supervisión

eu-LISA es responsable de:

• diseñar, desarrollar, alojar y operar el enrutador;
• proporcionar apoyo técnico y formación a las partes interesadas;
• garantizar la seguridad del sistema y la interoperabilidad con otros sistemas.

Las estructuras de gobernanza de eu-LISA incluyen:

• un consejo de administración del programa responsable de supervisar la aplicación;
• un grupo consultivo API-PNR que proporciona asesoramiento técnico y operativo;
• un grupo de contacto API para facilitar la participación de las partes interesadas.

Además, la Comisión Europea debe establecer un grupo de expertos API para permitir la comunicación entre los Estados miembros y las compañías aéreas sobre cuestiones de políticas relacionadas con la API y el PNR.

Supervisión y sanciones

Los Estados miembros deberán:

• supervisar y garantizar el cumplimiento por parte de las compañías aéreas y las autoridades;
• imponer sanciones por incumplimiento, en particular:
  • multas de hasta el 2 % del volumen de negocios global de la compañía aérea en caso de fallo recurrente en la transferencia de datos API,
  • otras medidas administrativas o correctoras, según proceda.

Las autoridades de supervisión de las API deben tener en cuenta la naturaleza, la gravedad y la duración de la infracción, ya sea intencionada o negligente, las categorías de datos afectados, cualquier infracción anterior y el grado de cooperación.

Medidas transitorias

Durante un período transitorio, las compañías aéreas podrán seguir utilizando métodos manuales para recopilar datos API. También podrán optar por conectarse al enrutador de la UE de forma voluntaria, siempre que estén autorizados a ello por el Estado miembro de que se trate. La Comisión determinará la fecha a partir de la cual el enrutador API/PNR de la UE entre en funcionamiento, una vez que eu-LISA haya informado a la Comisión de la finalización satisfactoria de la prueba exhaustiva del enrutador.

Competencias de la Comisión

La Comisión está facultada para adoptar:

• actos delegados para:
  • poner fin al período transitorio para la recogida manual de datos API,
  • definir normas relativas a los medios automatizados para la recogida de datos API legibles por máquina y para la recogida manual en circunstancias excepcionales y durante el período transitorio,
  • establecer normas sobre los protocolos comunes y los formatos de datos admitidos para la transferencia de datos API al enrutador,
  • definir normas sobre la corrección de la cumplimentación y actualización de los datos API.
• actos de ejecución para:
  • fijar la fecha de inicio de las operaciones del enrutador,
  • definir normas para las verificaciones y notificaciones de datos y para la transmisión de datos API y PNR desde el enrutador a las autoridades competentes de los Estados miembros,
  • especificar normas para las conexiones de las compañías aéreas y los Estados miembros y su integración en el enrutador,
  • definir las responsabilidades de los Estados miembros y de los corresponsables del tratamiento y la relación entre los corresponsables del tratamiento y eu-LISA como encargado del tratamiento.

Seguimiento y evaluación

La Comisión evaluará la repercusión de los Reglamentos, incluidos sus efectos en:

• los derechos de los pasajeros;
• las operaciones de las compañías aéreas y competitividad;
• la eficacia y eficiencia del enrutador API/PNR de la UE.

Para apoyar la aplicación y el seguimiento de la aplicación de los Reglamentos, eu-LISA se encarga de publicar estadísticas sobre el funcionamiento del enrutador y sobre el cumplimiento por parte de las compañías aéreas de las obligaciones establecidas en los reglamentos. Estas estadísticas se basan en datos anónimos de pasajeros y vuelos transmitidos y gestionados automáticamente por el repositorio central para la presentación de informes y estadísticas (RCIE). Estas estadísticas deben ser anónimas y no pueden utilizarse para identificar a las personas.