Ley Orgánica 1/2020, de 16 de septiembre, sobre la utilización de los datos del Registro de Nombres de Pasajeros para la prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves
También conocida como: LO 1/2020, LO 1/20Esta ley permite a las autoridades usar los datos de los pasajeros de avión para prevenir y perseguir delitos graves y actos de terrorismo.
Los resúmenes de esta página están escritos en lenguaje sencillo y generados con IA a partir del texto oficial. No son asesoramiento jurídico: lo que vale es el texto publicado en el BOE. Cómo los hacemos.
El texto completo y oficial de la ley, tal como lo publica el Boletín Oficial del Estado (BOE).
Qué ha cambiado
1 modificación desde su publicación, de la más reciente a la más antigua.
- 27 de mayo de 2021Reforma BOE-A-2021-8806Ver qué cambió →
- 17 de septiembre de 2020Versión original BOE-A-2020-10776
Artículo por artículo
Qué dice cada artículo, en lenguaje sencillo (43 artículos con resumen).Pulsa en un artículo para leer su texto oficial en el BOE.
Artículo 1 — Objeto
Ley regula datos PNR para prevenir terrorismo y delitos graves. Incluye transferencia, tratamiento, funciones de la Unidad y régimen sancionador.
Artículo 2 — Ámbito de aplicación
Se aplica a vuelos internacionales (UE y no UE) con salida/llegada a España o escala, comerciales y privados. Excluye vuelos de Estado, fletados para servicios estatales, trabajos aéreos, aviación general no comercial, servicios aeroportuarios, navegación aérea, producción, entrenamiento, traslado y
Artículo 3 — Sujetos obligados
Son obligados: compañías aéreas, operadores de vuelos privados y entidades de gestión de reservas (agencias, turísticos).
Artículo 4 — Delitos de terrorismo y delitos graves
Define delitos de terrorismo (Código Penal) y graves (pena ≥3 años): pertenencia a organización delictiva, trata, explotación infantil, tráfico drogas/armas, corrupción, fraude, blanqueo, ciberdelitos, medio ambiente, homicidio, secuestro, sabotaje, espionaje, entre otros.
Artículo 5 — Datos del Registro de Nombres de Pasajeros (datos PNR)
Los datos PNR incluyen localizador, fechas, nombre, contacto, pago, itinerario, vuelo, equipaje, identidad (API) e historial. En vuelos comerciales también cubren tripulación y otras personas a bordo, tanto en vuelos comerciales como privados.
Artículo 6 — Unidad de Información sobre Pasajeros
La Unidad de Información sobre Pasajeros (UIP) se integra en el Centro de Inteligencia contra el Terrorismo y el Crimen Organizado (Ministerio del Interior). La UIP es responsable del tratamiento de los datos PNR.
Artículo 7 — Funciones y facultades
La UIP recoge, almacena y trata datos PNR, intercambiándolos con UE, Europol y terceros. Analiza datos, elabora informes y estadísticas, colabora con autoridades y pone hechos en conocimiento del órgano sancionador. El tratamiento se realiza en lugares seguros en España.
Artículo 8 — Responsable de protección de datos
La UIP designa un responsable de protección de datos, punto de contacto único para interesados. Este responsable, con cualidades profesionales y medios independientes, accede a todos los datos, vigila la licitud del tratamiento y puede remitir asuntos a la autoridad de control.
Artículo 9 — Obligaciones de transmisión de datos
Las aerolíneas envían datos PNR a la UIP por vía electrónica segura, usando formatos de la Decisión (UE) 2017/759. Se informa a los pasajeros del motivo y destinatario. En fallos técnicos, se usa otro medio seguro. Las aerolíneas sin infraestructura acuerdan con el Ministerio del Interior.
Artículo 10 — Momentos de la transmisión de datos
Las aerolíneas transmiten datos PNR entre 24-48 horas antes del vuelo y tras el cierre. El proveedor de navegación informa de cambios de destino. Ante amenazas reales, todos los obligados deben transmitir datos inmediatamente al requerimiento de la UIP.
Artículo 11 — Régimen jurídico aplicable al tratamiento de datos PNR
El tratamiento por la UIP y autoridades competentes se rige por esta ley y la Directiva UE 2016/680, incluyendo derechos de acceso y supresión. Los sujetos obligados se rigen por el Reglamento UE 2016/679 y su legislación interna.
Artículo 12 — Tratamiento de los datos PNR
La UIP recoge datos PNR, suprime los no permitidos y los trata para evaluar riesgos de terrorismo, responder a autoridades y actualizar criterios (no basados en raza o religión). Si la evaluación es positiva, se revisa manualmente y se transmiten datos a autoridades competentes.
Artículo 13 — Consecuencias de la evaluación
Las evaluaciones no perjudican el derecho de entrada en España de personas con libre circulación en la UE. Para vuelos interiores, las consecuencias se ajustan al Reglamento (UE) 2016/399.
Artículo 15 — Protección de los datos de carácter personal
La UIP suprime datos sensibles (origen, política, salud, etc.). Conserva documentación y registros de operaciones por 5 años para verificación. En caso de violación de datos con alto riesgo, se notifica al interesado y a la autoridad de control. Se aplican medidas de seguridad adecuadas.
Artículo 16 — Intercambio de información entre Estados miembros de la Unión Europea
La UIP transmite datos a otros Estados miembros tras análisis individualizado. Puede solicitar datos no enmascarados si están motivados. Las autoridades nacionales solicitan a través de la UIP, salvo urgencia. En casos excepcionales de amenaza real, se accede fuera de momentos ordinarios.
Artículo 17 — Transferencia de datos a Europol
La UIP transfiere datos a Europol caso por caso, de forma electrónica y motivada, cuando sea estrictamente necesario para delitos bajo su competencia. Europol informa al responsable de protección de datos. El intercambio se realiza a través de la Red SIENA.
Artículo 18 — Transferencias de datos a terceros países no miembros de la Unión Europea
La UIP transfiere datos PNR a terceros países si cumple requisitos legales, es necesario para fines de esta ley y el país se compromete a no retransmitir sin autorización expresa. En casos excepcionales, sin consentimiento del Estado miembro, si es esencial para una amenaza real y no hubo tiempo, se
Artículo 19 — Período de conservación de los datos y despersonalización
Los datos PNR se conservan 5 años. A los 6 meses se despersonalizan (nombres, pagos, API). Solo se transmiten completos con autorización judicial o de Seguridad si es necesario. Se borran al final del plazo, salvo si están en uso en un caso concreto por otra autoridad.
Artículo 20 — Competencias de la Agencia Española de Protección de Datos
La AEPD asesora sobre la aplicación de la Directiva (UE) 2016/681 y controla su aplicación. Conoce reclamaciones contra tratamientos PNR. Verifica la legalidad mediante investigaciones, inspecciones y auditorías, sin perjuicio de las funciones del CGPJ.
Artículo 21 — Sujetos responsables
La responsabilidad por las infracciones cometidas recae directamente en los sujetos obligados que, por acción u omisión, realicen la conducta constitutiva de la infracción.
Artículo 22 — Responsable de tratamiento y responsable de protección de datos
La responsabilidad del responsable de tratamiento y de protección de datos PNR se determina conforme a la legislación que transpone la Directiva (UE) 2016/680, o hasta entonces por las normas españolas sobre tratamiento de datos por autoridades competentes en materia penal.
Artículo 23 — Regla especial
Los incumplimientos de la obligación de transmitir datos PNR en un mismo vuelo constituyen una única infracción.
Artículo 24 — Concurso de normas
Se aplica el precepto especial, el más amplio o la sanción mayor. Si un hecho es varias infracciones, se sanciona con la mayor.
Artículo 25 — Clasificación de las infracciones
Las infracciones tipificadas en la Ley Orgánica 1/2020 se clasifican en tres categorías: muy graves, graves y leves.
Artículo 26 — Infracciones muy graves
Son muy graves: no remitir datos PNR (arts. 10.1-2, 9.4, 10.3) o hacerlo fuera de plazo si hay riesgo grave para la seguridad.
Artículo 27 — Infracciones graves
Son graves: no remitir datos PNR, no adoptar medidas, incumplir plazos/requisitos, omisiones, no comunicar cambios de destino o falta de diligencia en sistemas seguros.
Artículo 28 — Infracciones leves
Son infracciones leves: incumplir el plazo de informar a la UIP sobre formatos y protocolos de transmisión, o cualquier otro incumplimiento de esta ley que no constituya infracción grave o muy grave.
Artículo 29 — Sanciones
Las infracciones muy graves se sancionan con multa de 60.001 a 300.000 euros; las graves, de 20.001 a 60.000 euros; y las leves, de 3.000 a 20.000 euros.
Artículo 30 — Graduación de las sanciones
Las sanciones se gradúan por proporcionalidad, considerando: incidencia en seguridad y derechos; beneficio económico; naturaleza, gravedad, duración y número de afectados; y grado de cooperación para mitigar efectos.
Artículo 31 — Competencia sancionadora
El Ministro del Interior sanciona infracciones muy graves. La Secretaría de Estado de Seguridad sanciona las graves y leves.
Artículo 32 — Medidas provisionales
Los gastos de medidas provisionales corren a cargo del responsable. Se reclaman vía apremio si la sanción es firme.
Artículo 33 — Caducidad del procedimiento
El procedimiento caduca al año sin resolución notificada. Se computan paralizaciones por causas del interesado o suspensión por procedimiento penal coincidente.
Artículo 34 — Acceso a los datos de otras Administraciones públicas
Los órganos sancionadores acceden a datos de otras administraciones relacionados con la infracción, con garantías de seguridad y conforme a la normativa de protección de datos.
Disposición adicional primera — Plazo para comunicar los formatos de datos y protocolos de transmisión
Las compañías aéreas deben comunicar a la UIP el formato y protocolo de transmisión en 40 días desde la publicación de la ley en el BOE. Dichos formatos deben estar entre los previstos en la Decisión de Ejecución (UE) 2017/759 de la Comisión.
Disposición adicional segunda — Transmisión de datos PNR
Las transmisiones de datos PNR se realizan según los medios establecidos por la Secretaría de Estado de Seguridad, de acuerdo con lo dispuesto en el artículo 9 de la ley orgánica.
Disposición adicional tercera — Régimen jurídico del acceso por el Centro Nacional de Inteligencia a datos PNR
El Centro Nacional de Inteligencia accede a datos PNR conforme a esta ley, salvaguardando el secreto de sus actividades. Esto cumple con la Ley 11/2002 reguladora del Centro Nacional de Inteligencia.
Disposición adicional cuarta — Transmisiones de datos PNR a las Direcciones Generales de la Policía y de la Guardia Civil y a las autoridades competentes de las Comunidades Autónomas que cuenten con un cuerpo de policía propio e integral
Las transmisiones a Direcciones Generales de Policía y Guardia Civil, y a autoridades autonómicas con cuerpo propio, se hacen respetando el carácter reservado de las investigaciones sobre terrorismo y delitos graves.
Disposición adicional quinta — Transmisiones de datos PNR a la Dirección Adjunta de Vigilancia Aduanera
Las transmisiones de datos PNR a la Dirección Adjunta de Vigilancia Aduanera se rigen por esta ley, salvaguardando el carácter reservado de los datos tributarios según la Ley 58/2003.
Disposición adicional sexta — Transmisiones de datos PNR a Jueces, Tribunales y Ministerio Fiscal
Las transmisiones de datos PNR a Jueces, Tribunales y Ministerio Fiscal se ajustan a esta ley y a la legislación jurisdiccional. Las transmisiones a Jueces y Tribunales siguen el artículo 14.4.
Disposición final primera — Título competencial
Esta ley se basa en los artículos 149.1.1.ª y 29.ª de la Constitución, que otorgan al Estado competencia exclusiva sobre condiciones básicas de igualdad y seguridad pública.
Disposición final segunda — Preceptos que tienen carácter de ley orgánica
Tienen carácter orgánico los artículos 4 y 5, el capítulo II y la disposición final segunda. El resto de preceptos tienen carácter de ley ordinaria.
Disposición final tercera — Incorporación de derecho de la Unión Europea
Esta ley incorpora al Derecho español la Directiva (UE) 2016/681 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, sobre el uso de datos PNR.
Disposición final cuarta — Entrada en vigor
La ley entra en vigor a los dos meses de su publicación en el BOE. La disposición adicional primera entra al día siguiente de dicha publicación.
Información general
Temas
Leyes en las que se basa
- Ley Orgánica 10/1995, de 23 de noviembre BOE-A-1995-25444
- la Directiva (UE) 2016/681, de 27 de abril DOUE-L-2016-80809
Leyes que la modifican
- el art. 10, por Ley Orgánica 7/2021, de 26 de mayo BOE-A-2021-8806
¿Quieres saber cuándo cambia esta ley?
Cada cambio queda registrado en nuestro repositorio público. Síguelo con cualquier lector de noticias, sin darnos ningún dato: canal de cambios de esta ley · historial en GitHub.