Sintesidel parere del Garante europeo della protezione dei dati sulle proposte didecisioni del Consiglio relative alla conclusione e alla firma dell'accordo trail Canada e l'Unione europea sul trasferimento e sul trattamento dei dati delcodice di prenotazione (Passenger Name Record — PNR) (Pubblicatosulla GUUE n. C 51 del 22.2.2014)
I. 1. Il 19 luglio2013 la Commissione europea ha adottato le proposte di decisioni del Consigliorelative alla conclusione e alla firma dell'accordo tra il Canada e l'Unioneeuropea sul trasferimento e sul trattamento dei dati del codice di prenotazione(Passenger Name Record — PNR) ( 2. Il GEPD hainoltre avuto la possibilità di fornire il proprio parere prima dell'adozionedelle proposte. Il GEPD è lieto di essere stato previamente consultato.Tuttavia, poiché il parere del GEPD è stato richiesto a negoziati conclusi, nonè stato possibile prendere in considerazione il suo contributo. Il presenteparere si basa sulle osservazioni fornite in quell'occasione. II. 3. Comeaffermato in precedenti occasioni ( 4.Ciononostante, il GEPD accoglie con favore le garanzie di protezione dei datifornite nell'accordo, pur rammaricandosi del fatto che il periodo diconservazione sia stato prorogato rispetto al precedente accordo sui PNR con ilCanada. 5. Il GEPDaccoglie inoltre con favore gli sforzi intrapresi dalla Commissione in materiadi supervisione e ricorso nell'ambito dei vincoli imposti dalla natura dell'accordo.Tuttavia, è preoccupato per le limitazioni del controllo giurisdizionale e peril fatto che, in alcuni casi, per il ricorso amministrativo sia possibile adireun'autorità interna che non è indipendente. Il GEPD mette altresì in dubbio cheun accordo esecutivo sia lo strumento appropriato per conferire dirittiadeguati ed effettivi agli interessati. 6. L'accordodisciplina l'utilizzo, da parte della «autorità canadese competente», di datiPNR trasferiti da vettori aerei dell'UE e di paesi terzi che effettuano voli inpartenza dall'Unione ( 6
IV. 47. Comeprecedentemente affermato, il GEPD mette in dubbio la necessità e laproporzionalità dei sistemi PNR e dei trasferimenti in massa di dati PNR apaesi terzi. Contesta inoltre la scelta della base giuridica e raccomanda chele proposte si basino sull'articolo 16 del TFUE, in combinato disposto con gliarticoli 218, paragrafo 5, e 218, paragrafo 6, lettera a), del TFUE. 48. Il GEPD èinoltre preoccupato per la limitata disponibilità del ricorso amministrativoindipendente e del pieno ricorso giudiziario per i cittadini dell'UE nonpresenti in Canada e mette in dubbio che un accordo esecutivo sia idoneo agarantire tali diritti. Il GEPD raccomanda altresì di esigere la conferma chenessun'altra autorità canadese possa accedere direttamente ai dati PNR o farnerichiesta ai vettori contemplati dall'accordo. 49. Per quantoriguarda le disposizioni specifiche dell'accordo, il GEPD accoglie con favorele garanzie fornite in materia di protezione dei dati. Ciononostante, l'accordodeve: —escludere completamente il trattamento di dati sensibili, —prevedere la cancellazione o l'anonimizzazione dei dati subito dopo l'analisi eal massimo entro 30 giorni dalla loro ricezione e, in ogni caso, ridurre egiustificare il periodo di conservazione proposto, che è stato prorogatorispetto al precedente accordo sui PNR con il Canada, —limitare le categorie di dati PNR da trattare, —indicare espressamente che sarà un'autorità indipendente ad avere laresponsabilità della supervisione generale. 50. Il GEPDraccomanda inoltre di specificare, nell'accordo o nei documenti annessi, quantosegue: —restringere e chiarire ulteriormente i concetti che definiscono le finalitàdell'accordo, —precisare quali tipi di discriminazione «legittima» saranno possibili, —prevedere l'obbligo di notificare le violazioni dei dati alla Commissioneeuropea e alle autorità di protezione dei dati, —completare le disposizioni sulla trasparenza, —estendere il divieto di decidere soltanto sulla base del trattamentoautomatizzato dei dati PNR a tutte le decisioni che danneggiano i passeggerisulla base dell'accordo, —indicare a quali autorità canadesi possono essere ulteriormente trasferiti idati PNR, aggiungendo il requisito della previa autorizzazione giudiziaria odell'esistenza di una minaccia immediata, prevedendo l'obbligo di includereadeguate garanzie di protezione dei dati negli accordi o nelle intese conaltri/e paesi o autorità destinatari/e nonché la loro notifica alla Commissioneeuropea e alle autorità di protezione dei dati dell'UE, —nominare le autorità competenti e stabilire sanzioni dissuasive per il mancatorispetto dell'accordo, —indicare quali meccanismi hanno a disposizione le persone non residenti inCanada per chiedere il controllo giurisdizionale ai sensi del diritto canadese, —chiarire se il diritto al controllo giurisdizionale può essere esercitato anchese la decisione o azione pertinente non è stata comunicata alla personainteressata, in particolare qualora siano violate disposizioni dell'accordodiverse da quelle riguardanti l'accesso e la rettifica/l'annotazione, —specificare a quale «altro rimedio che consenta il risarcimento dei danni» siriferisce l'articolo 14, paragrafo 2, —indicare la frequenza delle verifiche dell'attuazione dell'accordo, il lorocontenuto (che deve comprendere anche la valutazione della sua necessità e proporzionalità)e includere espressamente nel gruppo di verifica dell'Unione europea le autoritàdi protezione dei dati dell'UE. Fatto aBruxelles, il 30 settembre 2013 Peter HUSTINX
( http://www.edps.europa.eu/EDPSWEB/edps/cache/bypass/Consultation/OpinionsC).Cfr. anche i pareri del gruppo di lavoro «articolo 29» sui dati del codice diprenotazione (Passenger Name Record, PNR), disponibili all'indirizzohttp://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/indexen.htm#datatransfers ( ( ( (
|