Hay normas europeas que nacen con titular y otras que se cuelan de puntillas en el Diario Oficial un día de agosto. Las cuatro publicadas el 6 de agosto pertenecen al segundo grupo, y precisamente por eso conviene mirarlas dos veces. Detrás de un lenguaje administrativo —dos decisiones del Consejo y los dos acuerdos que aprueban— se esconde una decisión de fondo: la Unión Europea extiende a Noruega y a Islandia su sistema de tratamiento de datos de los pasajeros aéreos, el llamado PNR. Es decir, comparte con dos vecinos uno de los instrumentos de vigilancia más discutidos que tiene en su caja de herramientas.
Merece la pena entender qué es exactamente lo que se ha aprobado, porque toca de lleno el equilibrio entre seguridad y privacidad que el propio Tribunal de Justicia de la UE recolocó hace apenas tres años.
Qué es el PNR y qué se acaba de firmar
Cada vez que alguien reserva un vuelo deja un rastro: nombre, itinerario, forma de pago, equipaje, contacto, a veces incluso preferencias de asiento o de comida. Ese conjunto de datos es el Passenger Name Record, el PNR. Desde la Directiva europea de 2016 (Directiva (UE) 2016/681), las aerolíneas están obligadas a entregar esa información a unas unidades nacionales que la cruzan con bases de datos y con criterios de riesgo para prevenir y perseguir el terrorismo y la delincuencia grave.
Lo que se ha publicado ahora son dos acuerdos gemelos: uno entre la Unión y el Reino de Noruega y otro entre la Unión e Islandia, aprobados por sendas decisiones del Consejo de 4 de junio de 2026 (las Decisiones (UE) 2026/1916 y 2026/1918). No son países cualesquiera: ambos están fuera de la UE pero dentro del espacio Schengen y del Espacio Económico Europeo, de modo que comparten fronteras y flujos de viajeros con los Veintisiete sin ser miembros. Los acuerdos permiten que las compañías aéreas transfieran los datos de sus pasajeros a las autoridades noruegas e islandesas, con un esquema reconocible: la información se envía hasta cinco veces por vuelo, empezando unas 48 horas antes de la salida; se conserva un máximo de cinco años; y queda expresamente prohibido tratar datos sensibles como el origen étnico, la religión, las opiniones políticas o la orientación sexual.
El fantasma de Luxemburgo
Aquí es donde la aparente rutina se vuelve interesante. El PNR no es un instrumento pacífico. En junio de 2022, en la sentencia Ligue des droits humains (asunto C‑817/19), el Tribunal de Justicia salvó la validez de la Directiva, pero al precio de reinterpretarla con bisturí: solo es admisible en lo «estrictamente necesario». Y de ahí extrajo consecuencias muy concretas. La conservación indiscriminada de los datos de todos los pasajeros más allá de un plazo inicial debe limitarse a quienes presenten un vínculo objetivo con el terrorismo o la delincuencia grave. Las coincidencias que arroje el sistema no pueden dar lugar a decisiones automáticas: exigen revisión humana. Y —este punto es capital— el tribunal prohibió que el análisis de riesgo se apoye en sistemas de inteligencia artificial de autoaprendizaje, esas «cajas negras» cuya lógica no puede explicarse ni controlarse. Dicho de otro modo: Luxemburgo puso límites a la vigilancia algorítmica de los viajeros antes incluso de que el Reglamento de Inteligencia Artificial entrara en escena.
Esa sentencia es el trasfondo obligado de cualquier acuerdo PNR posterior. Cuando la Unión firma con Noruega o con Islandia, no parte de cero: parte de un marco que su propio tribunal ha declarado constitucionalmente frágil y que solo se sostiene si las salvaguardias se toman en serio. Los acuerdos invocan, como no podía ser de otro modo, los artículos 7 y 8 de la Carta de los Derechos Fundamentales —vida privada y protección de datos— y prometen «garantías adecuadas». La pregunta, a mi juicio, es si esas garantías reproducen de verdad el estándar de 2022 o se limitan a nombrarlo.
Exportar el modelo… y sus contradicciones
Conviene detenerse en lo que este movimiento significa más allá del caso. La Unión Europea lleva años presentándose como la potencia reguladora que exporta su modelo de protección de datos al resto del mundo; es el célebre «efecto Bruselas». Los acuerdos con Noruega e Islandia son una manifestación menor pero reveladora de esa lógica: Europa no solo comparte su vigilancia con los vecinos, también les traslada las reglas y los límites que la acompañan. En la teoría, quien recibe datos europeos hereda el nivel europeo de garantías.
El matiz, y es un matiz incómodo, es que el propio modelo que se exporta está internamente en tensión. El PNR es tratamiento masivo y preventivo de datos de personas que, en su inmensa mayoría, no son sospechosas de nada. La sentencia de 2022 lo toleró, pero a regañadientes y con condiciones. Extenderlo a nuevos socios multiplica los puntos donde esas condiciones pueden diluirse: en cómo cada autoridad depura los datos, en cuánto tiempo los guarda de facto, en qué herramientas usa para puntuar el riesgo. Un acuerdo internacional es más difícil de fiscalizar que una ley interna, porque su cumplimiento depende de mecanismos de supervisión conjunta que rara vez tienen la contundencia de un tribunal.
Qué vigilar a partir de aquí
No se trata de dramatizar dos acuerdos con dos democracias avanzadas y garantistas; Noruega e Islandia no son precisamente sospechosas de laxitud en materia de derechos. Se trata de reconocer que cada nueva pieza de esta red merece la misma exigencia que la norma matriz. Hay tres cosas que conviene seguir de cerca. La primera, si el texto íntegro de los acuerdos incorpora de manera operativa —no solo retórica— la revisión humana de las coincidencias y el veto a los algoritmos opacos que impuso el tribunal. La segunda, cómo se articula la supervisión: quién audita, con qué poderes y con qué transparencia. Y la tercera, si este esquema se convierte en plantilla para futuros acuerdos con socios menos escrupulosos, donde la misma letra puede producir resultados muy distintos.
Los grandes debates sobre la privacidad no siempre llegan con estruendo. A veces llegan así, en cuatro referencias del Diario Oficial un 6 de agosto, mientras media Europa está de vacaciones. Y es justo entonces cuando conviene leerlas con atención.
