I Paesi membri dovranno istituire una Unità di informazione sui passeggeri (Uip), che richiederà i dati alle compagnie aeree e li custodirà per cinque anni. Dopo i primi sei mesi verrà garantito l' anonimato oscurando le parti che consentirebbero di individuare il passeggero (nome, indirizzo, contatti telefonici e e-mail). Le Uip gestiranno il trasferimento delle informazioni alle autorità giudiziarie e a organismi sovranazionali come Europol. Le richieste dovranno essere «caso per caso» e giustificate con reali esigenze di contrasto del terrorismo o di altri gravi reati. Tutti i trattamenti dei Pnr dovranno essere registrati per permettere le verifiche di correttezza. Nelle Uip dovrà essere nominato un controllore delle pratiche per evitare anomale schedature dei cittadini. Gli Stati membri dovranno vietare raccolte di dati su origine razziale o etnica, opinioni politiche, religione, convinzioni filosofiche, appartenenza sindacale, stato di salute, comportamento e orientamento sessuale. Al momento la direttiva si applica ai voli da e per l' Ue. I governi possono estendere la raccolta del Pnr ai collegamenti interni ai 28 Paesi membri.