3.

Protección de los datos personales: a) Legitimidad, equidad y transparencia del tratamiento: el tratamiento de datos personales debe tener una base legítima, de forma que los particulares puedan tener conocimiento de los riesgos, las garantías y los derechos relacionados con el tratamiento de sus datos personales y de las vías existentes para ejercer sus derechos en relación con ese tratamiento. b) Limitación de la finalidad: los fines para los que los datos PNR pueden ser utilizados por las autoridades deben establecerse claramente y no ir más allá de lo necesario para alcanzar los objetivos perseguidos, en particular los de lucha contra el terrorismo y los delitos graves, en defensa de la aplicación de la ley y la seguridad de las fronteras. c) Alcance de los datos PNR: los elementos de los datos PNR que deben transferir las compañías aéreas han de identificarse claramente y enumerarse de forma exhaustiva. La lista en la que figuren debe armonizarse para garantizar que dichos datos se limiten al mínimo, evitándose al mismo tiempo el tratamiento de datos sensibles, como los que revelen el origen racial o étnico, las opiniones políticas o las creencias religiosas o filosóficas, la afiliación sindical, el estado de salud y la vida u orientación sexual de una persona. d) Uso de los datos PNR: todo tratamiento ulterior de los datos PNR debe ceñirse a los fines de la transferencia original, basarse en criterios objetivos y estar sujeto a condiciones sustantivas y procedimentales acordes con los requisitos aplicables a las transferencias de datos personales. e) Tratamiento automatizado de los datos PNR: el tratamiento automatizado debe basarse en criterios previamente establecidos, no discriminatorios y fiables, y no utilizarse como criterio único para la toma de decisiones con efectos jurídicos adversos o que afecten gravemente a una persona. f) Conservación de los datos: el período de conservación de los datos PNR debe estar limitado y no ser más largo de lo necesario para alcanzar el objetivo inicial. Debe garantizarse la supresión de los datos de conformidad con los requisitos legales del país de origen. Al final del período de conservación, los datos PNR deberán suprimirse o anonimizarse. g) Divulgación de datos PNR a las autoridades autorizadas: la comunicación ulterior de datos PNR a otras autoridades públicas del mismo Estado o a otros Estados miembros de la OACI solo podrá tener lugar atendiendo a las circunstancias de cada caso y si la autoridad destinataria ejerce funciones relacionadas con la lucha contra el terrorismo o los delitos graves de carácter transnacional y dispensa a dichos datos una protección idéntica a la otorgada por la autoridad que comunica los datos. h) Seguridad de los datos: deberán adoptarse medidas adecuadas para proteger la seguridad, la confidencialidad y la integridad de los datos PNR. i) Transparencia y notificación: sin perjuicio de la aplicación de restricciones necesarias y proporcionadas, deberá informarse a los particulares sobre el tratamiento de sus datos PNR y sobre los derechos y vías de recurso que les asisten. j) Acceso, rectificación y supresión: sin perjuicio de la aplicación de restricciones necesarias y proporcionadas, los particulares deben tener derecho a acceder a sus datos PNR y a rectificarlos. k) Recurso: los particulares deben tener derecho a vías efectivas de recurso administrativo y judicial si consideran que se han vulnerado sus derechos a la privacidad y a la protección de datos. l) Supervisión y obligación de rendir cuentas: las autoridades que utilicen datos PNR deberán rendir cuentas y estar sujetas a supervisión por una autoridad pública independiente con competencias efectivas de investigación y ejecución, la cual deberá poder desempeñar su cometido al resguardo de cualquier influencia, en particular de las autoridades policiales y judiciales.