Parere comune relativoalla proposta di decisione quadro del Consiglio sull'uso

dei dati del codice diprenotazione (Passenger Name Record, PNR) nelle attività di contrasto,presentata dalla Commissione il 6 novembre 2007

adottato

dal Gruppo di lavoro articolo29, il 5 dicembre 2007 - WP 145

dal Gruppo di lavoro perla cooperazione giudiziaria e di polizia, il 18 dicembre 2007 - WPPJ 01/07

Sintesi

Il presente parere siprefigge di valutare le conseguenze sui diritti e sulle libertà fondamentali, esul diritto alla privacy dei passeggeri in particolare, della proposta didecisione quadro del Consiglio sull'uso dei dati del codice di prenotazione(Passenger Name Record, PNR) nelle attività di contrasto, presentata dallaCommissione europea il 6 novembre 2007.

La proposta ricalcal’accordo UE/USA sui PNR del luglio 2007, cui si rifà per molti aspetti. Itimori del Gruppo articolo 29 sul livello di tutela della privacy garantitodall’accordo restano quindi immutati in relazione a un paio di punti qui diseguito esposti. Il presente parere tiene poi conto delle conclusioni delprecedente parere 9/2006 del Gruppo articolo 29, del 27 settembre 2006, sulla direttiva 2004/82/CE del Consiglio che pure obbliga i vettori aerei acomunicare alle autorità governative i dati relativi ai passeggeri.

Le autorità europee per laprotezione dei dati ribadiscono il sostegno di sempre alla lotta contro il terrorismo e la criminalità organizzata internazionale, impegno necessario elegittimo in quanto i dati personali, in particolare determinati dati deipasseggeri, possono risultare utili per valutare i rischi e prevenire ecombattere il terrorismo e la criminalità organizzata.

Tuttavia, nel caso di unsistema europeo di dati PNR è necessario giustificare qualsiasi limitazione dei diritti e delle libertà fondamentali e trovare un giusto equilibrio tral'esigenza di tutelare la sicurezza pubblica e quella di limitare il dirittoalla privacy.

L'attuale progetto diproposta prevede la raccolta di un'enorme quantità di dati personali relativi a tutti i passeggeri, sospetti o meno, in volo da e per l'UE, da conservare perun eventuale impiego successivo per 13 anni a fini di profilazione. La misurasi aggiunge al rilevamento delle impronte digitali di tutti i cittadini chefanno domanda di passaporto, e alla conservazione dei dati di traffico ditutte le telecomunicazioni nell'UE¹.

Bisogna guardareall’attuale proposta come a un ulteriore passo decisivo verso una societàeuropea della sorveglianza, in nome della lotta al terrorismo e allacriminalità organizzata.

Le autorità europee per laprotezione dei dati ritengono che nella sua attuale stesura la proposta non solo sia sproporzionata, ma rischi anche di violare principi fondamentalisanciti da norme consolidate sulla protezione dei dati, come all'articolo 8della Convenzione europea dei diritti dell'uomo e alla convenzione 108 delConsiglio d'Europa. Occorre rimettere in discussione l'applicabilità della“decisione quadro del Consiglio sulla protezione dei dati personali trattati nell’ambito della cooperazione giudiziaria e di polizia in materia penale” perquanto riguarda i diritti dell’interessato cui fa riferimento la proposta, inquanto tale decisione quadro disciplina soltanto il trasferimento dei datipersonali tra gli organi di contrasto degli Stati membri dell'UE, e non iltrasferimento dei dati dai vettori aerei alle Unità di informazione suipasseggeri nell'UE.

Gli aspetti di protezionedei dati della proposta sono riassumibili come segue:

1   la propostanon giustifica la necessità urgente di raccogliere dati diversi dai dati API;

2   la quantitàdi dati personali che i vettori aerei sono tenuti a trasmettere è eccessiva;

3   il compitodi filtrare i dati sensibili dovrebbe essere affidato al responsabile deltrattamento;

4   il metodo"push" andrebbe applicato a tutti i vettori aerei;

5   il periododi conservazione dei dati è sproporzionato;

6   il sistemadi protezione dei dati è del tutto insoddisfacente: niente specifica i dirittidegli interessati né gli obblighi dei responsabili del trattamento;

7   l'ampiomargine di discrezionalità lasciato agli Stati membri può dare adito ainterpretazioni divergenti della decisione quadro;

8   non è chiaroil sistema di protezione dei dati previsto per i trasferimenti successivi aipaesi terzi.

Le autorità europee per laprotezione dei dati invitano il Consiglio a tenere conto delle conclusioni e delle raccomandazioni espresse nel presente parere in sede di dibattito perl'adozione della proposta. Per arrivare a un approccio equilibrato èindispensabile un dialogo franco e aperto con tutte le parti interessate:industria del trasporto aereo, responsabili dei sistemi di prenotazione,autorità per la protezione dei dati, Parlamento europeo e Parlamenti nazionali.

Un sistema UE di dati PNRnon può comportare il controllo generalizzato di tutti i passeggeri

Parere delle autoritàeuropee per la protezione dei dati

relativo alla propostadi decisione quadro del Consiglio sull'uso dei dati del codice di

prenotazione (PassengerName Record, PNR) nelle attività di contrasto,

presentata dallaCommissione il 6 novembre 2007

I Osservazioni generali

Il 6 novembre 2007 laCommissione ha presentato una proposta per una futura decisione quadro del Consiglio sull'uso dei dati del codice di prenotazione (Passenger Name Record,PNR) nelle attività di contrasto.

Le autorità indipendentidell'UE per la protezione dei dati e il garante europeo della protezione dei dati ritengono necessario esaminare attentamente questa proposta, che avràprofonde ripercussioni non soltanto sui passeggeri in volo da e per l'UE, maanche sui vettori aerei, sui sistemi di prenotazione e sugli organi dicontrasto.

In passato il Gruppoarticolo 29 ha avuto più volte occasione di esprimersi sull'uso dei dati dei passeggeri a fini di contrasto, in particolare durante i negoziati con gliStati Uniti e il Canada per i rispettivi accordi sui PNR. Nel settembre 2006ha poi emesso un parere circostanziato (WP 127) sull'obbligo dei vettori di comunicareanticipatamente i dati relativi alle persone trasportate, cui sarà fattosovente riferimento nel presente documento, tenuto conto dello stretto legameesistente tra il contenuto del progetto di proposta e la direttiva 2004/82/CE.

Inoltre, il Gruppoarticolo 29 ha promosso attivamente la risoluzione sulla necessità urgente di definire norme globali di protezione dei dati dei passeggeri usati dai governia fini di contrasto e di controlli di frontiera, adottata durante laventinovesima Conferenza internazionale dei commissari in materia diprotezione dei dati e della vita privata, tenutasi a Montreal, Canada, il 26/28settembre 2007.

Per preparare la propostala Commissione europea ha consultato varie parti interessate, per esempio ivettori aerei. Nel gennaio 2007 anche il Gruppo articolo 29 ha avutol'opportunità di esprimere, in un questionario, pareri e timori, alcuni deiquali sono stati affrontati nella proposta. Altri timori, pur segnalati nellerisposte ed esplicitati con il presente parere, devono essere ancora affrontatie chiederanno maggiore attenzione in futuro.

Le autorità europee per laprotezione dei dati (DPA dell'UE) sottolineano che nella lotta contro il terrorismo e la criminalità correlata il rispetto dei diritti fondamentali edelle libertà individuali, compreso il diritto alla privacy e alla protezionedei dati, deve essere garantito e non è negoziabile. Qualsiasi limitazione ditali diritti e libertà va giustificata e deve trovare un giusto equilibrio tra l'esigenza di tutelare la sicurezza pubblica e gli altri interessi pubblici,come il diritto dei cittadini alla privacy.

Le DPA dell'UEsottolineano inoltre che, anche se i dati dei passeggeri sono usati econservati a fini di contrasto, che è materia del terzo pilastro, i vettoriaerei li raccolgono inizialmente a fini commerciali, che è invece materia delprimo pilastro.

Inoltre, va menzionato chele autorità europee per la protezione dei dati sono anche le autorità di controllo dei vettori aerei e delle future Unità di informazione suipasseggeri, e che saranno incaricate di vigilare sull'attuazione delladecisione quadro.

Il presente parereesaminerà attentamente il livello di protezione dei dati garantito dallaproposta, visti gli effetti che avrà su milioni di passeggeri ogni anno econsiderato che potrebbe limitare seriamente il diritto alla privacy di tuttigli interessati. Nel commentare il livello di protezione della proposta, leDPA dell'UE terranno conto di norme consolidate sulla protezione dei dati, come sancite all'articolo 8 della Convenzione europea dei diritti dell'uomo, dalladirettiva 95/46/CE² e dalla Convenzione 108 del Consiglio d'Europa³,nonché di precedenti pareri del Gruppo articolo 29 su temi analoghi⁴.

Le DPA dell'UE osservanoinoltre che la profilazione di tutti i passeggeri, prevista nell'attuale proposta, potrebbe porre problemi costituzionali in alcuni Stati membri.

Tali norme consolidatedevono applicarsi alla proposta non meno che ad ogni altro regolamento che siripercuota sulla privacy dei cittadini. Le sue disposizioni dovrebbero pertantodimostrare di essere:

- necessarie per risolvereun problema specifico ;

- in grado con ogniprobabilità di risolverlo;

- proporzionate alvantaggio per la sicurezza;

- meno invasive per laprivacy delle possibili alternative e

- tali da poter essereperiodicamente riesaminate per stabilire se siano ancora proporzionate.

Qualunque proposta devepoi prevedere la cosiddetta minimizzazione dei dati e limiti chiari al loro uso, alla loro comunicazione e conservazione secondo le finalità del sistema,l’accuratezza dei dati, il diritto di accesso e di rettifica e una revisioneindipendente.

II La proposta

Introduzione

La proposta di decisionequadro del Consiglio sull'uso dei dati del codice di prenotazione (PassengerName Record, PNR) nelle attività di contrasto stabilisce che tutti i vettoriaerei che effettuano voli da e per l'UE devono comunicare alle Unità diinformazione sui passeggeri gli elementi di dati elencati che figurano neiloro sistemi di prenotazione, per consentirne un uso successivo.

La misura proposta siaggiunge all'obbligo imposto ai vettori aerei dalla direttiva 2004/82/CE di trasmettere anticipatamente alle autorità nazionali competenti i dati relativialle persone trasportate (dati API) per migliorare il controllo alle frontieree lottare contro l'immigrazione clandestina, per i voli diretti nell'UE. Lacosiddetta direttiva API esclude quindi i voli all'interno dell'UE.

Le DPA dell'UE accolgono confavore l'iniziativa adottata dalla Commissione per giungere ad un'armonizzazione delle disposizioni, visto che alcuni paesi terzi e singoliStati membri hanno già introdotto sistemi propri per l'analisi dei dati deipasseggeri che potrebbero sfociare in soluzioni tecniche incompatibili e inmodalità divergenti di protezione dei dati. La proposta integra le disposizioni della Convenzione di Schengen e il VIS II, che sono alcuni fra glistrumenti UE di lotta contro l'illegalità.

Tuttavia, il presuppostodi qualsiasi proposta che limiti i diritti e le libertà è che sia comprovata la necessità delle misure richieste. L'articolo 8 della CEDU stabilisce che, lemisure proposte perché ne sia dimostrata la loro necessità devono esseregiustificate da un bisogno sociale imperioso ed essere conformi ai principi diproporzionalità e di sussidiarietà. Ciò significa che qualsiasi limitazionedei diritti deve essere riferita alla finalità delle misure e non può essereottenuta con altri mezzi meno intrusivi. Le DPA dell'UE ribadiscono chel'esame della necessità e della finalità delle misure alla luce degliobiettivi dovrebbe offrire argomentazioni convincenti a favore della proposta.

Il bisogno socialeimperioso di raccogliere e analizzare i dati PNR per prevenire e combattere il terrorismo e la criminalità organizzata non è sufficientemente comprovato negliobiettivi della proposta. Gli esempi riportati a pagina 10 della valutazionedi impatto non costituiscono argomentazioni sufficienti a dimostrare la necessitàdi raccogliere e analizzare i dati PNR.

La sola valutazione dellanecessità e della proporzionalità della proposta finora possibile si basa sull'esperienza acquisita con l'accordo PNR con gli Stati Uniti e nel RegnoUnito. Dato che l'unica revisione congiunta ha riguardato l'accordo con gliStati Uniti e che gli Stati Uniti non hanno mai dimostrato in via definitivache la mole di dati raccolta sui passeggeri sia effettivamente necessaria nella lotta contro il terrorismo e le altre forme gravi di criminalità, lescarse informazioni disponibili in questo contesto rendono difficile, se nonimpossibile, valutare la necessità, l'efficacia e la proporzionalità dellaproposta. Le uniche informazioni documentate disponibili al riguardo indicano un uso privilegiato dei dati API rispetto ai PNR. Neanche la data di attuazioneprevista all'articolo 17 della proposta (31 dicembre 2010) lascia supporre lanecessità di creare urgentemente un sistema UE sui PNR.

In ogni caso, va chiaritaquale sia l'esigenza operativa dell'uso dei dati PNR e quale il suo valore specifico alla luce delle tre alternative attualmente possibili, il SIS, il VISe l'uso dei dati API.

Finora non è stato affattodimostrato che nella lotta contro il terrorismo e la criminalità organizzata siano necessario altro che i dati API. Le DPA dell'UE non sono pertanto ingrado di giungere ad una conclusione quanto alla necessità di creare unsistema UE sui PNR. Ciò è tanto più vero alla luce della direttiva 2004/82/CEche prevede l'obbligo dei vettori aerei di raccogliere e trasmettere, tra l'altro, i dati API per combattere l'immigrazione illegale, attività che nellamaggior parte degli Stati membri rientra tra le attività di contrasto. Ladirettiva non è ancora pienamente in vigore in alcuni Stati membri e non èstato possibile effettuare una valutazione di impatto che dimostrasse la necessità di raccogliere dati aggiuntivi diversi da quelli anagrafici contenutinei passaporti. Le DPA dell'UE avrebbero apprezzato un'analisi approfondita dicome le autorità competenti impiegano i dati API ai fini indicati nelladirettiva, prima che fossero avanzate altre richieste. Nella stessa proposta,a pagina 3 della relazione, si legge che i dati API "possono inoltrecontribuire all'identificazione di terroristi e criminali noti". Se nonsi può provare neppure il valore dei dati API, come si può dimostrare lanecessità di raccogliere un'enorme quantità di dati supplementari?

Date le circostanze, leDPA dell'UE restano scettiche riguardo alla necessità di questo sviluppo invasivo.

Tenuto conto dei lorocompiti consultivi, e malgrado questa loro posizione, le DPA dell'UE esamineranno e analizzeranno il contenuto della proposta per favorire undibattito approfondito tra il Consiglio e le altre parti interessate.

1. Efficacia

La proposta si applica aivettori aerei che effettuano voli da e per l'UE ed esclude ogni altro modo di trasporto, stradale, ferroviario e marittimo. Nel suo campo di applicazione nonsono compresi i voli all'interno dell'UE, a meno che non siano la tratta di unvolo internazionale. In base alla proposta, gli Stati membri non hanno lafacoltà di estendere il campo di applicazione ai voli nazionali. La propostasi applica ai dati PNR dei passeggeri contenuti nei sistemi automatici di prenotazione/controllo delle partenze dei vettori aerei, il che vuol dire chene sono esclusi i vettori non dotati di sistemi elettronici, come alcunecompagnie aeree charter. Le DPA dell'UE si chiedono come la proposta possarisultare proporzionata ed efficace se non è applicata universalmente a tutti i vettori aerei e alle altre forme di trasporto.

Per i minori degli anni 18sono previsti elementi di dati supplementari (cfr. sezione 8).

2. Limitazione dellefinalità

La proposta stabilisce chei vettori aerei mettono a disposizione delle autorità competenti degli Stati membri i dati PNR dei passeggeri dei voli internazionali (esclusi i voliintra-UE) al fine di prevenire e combattere i reati di terrorismo e lacriminalità organizzata, e che queste autorità raccolgono, conservano escambiano tra di loro tali dati (articolo 1). La definizione di reati diterrorismo e criminalità organizzata figura all'articolo 2, lettere h) e i).

In base alla relazione eall'articolo 3 della proposta, i dati sono considerati uno strumento molto importante per effettuare valutazioni di rischio sui passeggeri e ai finidell'intelligence. Non essendo chiaro come saranno usati per le valutazioni dirischio e se saranno confrontati con altri dati in possesso degli organi dicontrasto e dei servizi di intelligence, sono necessari ulteriori approfondimenti. Va poi osservato che per motivi costituzionali i servizi diintelligence di molti Stati membri non hanno funzione di contrasto, e non sicapisce quindi come useranno i dati PNR.

3. Unità di informazionesui passeggeri (UIP)

La proposta privilegia unasoluzione decentrata per la raccolta dei dati personali su un unico punto diingresso europeo. Nell'ottica della protezione dei dati, la soluzionedecentrata potrebbe risultare l'approccio migliore ma anche risolversi nellascelta di livelli di protezione dei dati divergenti e di sistemi tecnicidiversi negli Stati membri. Nel caso di un sistema decentrato occorrepredisporre garanzie appropriate e coerenti, il che richiede l'interventodelle autorità di controllo competenti.

Occorrono poi ulteriorichiarimenti su quale sia la competenza delle autorità per la protezione dei dati in caso di collaborazione tra Stati membri per istituire un'Unità diinformazione sui passeggeri congiunta.

All'articolo 3 dellaproposta la soluzione decentrata prevede che, in ciascuno Stato membro, all'Unità d'informazione sui passeggeri sia affidato il compito di raccogliereed analizzare i dati PNR ricevuti dai vettori e dagli intermediari e dieffettuare le summenzionate valutazioni di rischio. I criteri e le garanzieper le valutazioni di rischio devono essere fissati dalla normativa nazionale. Non è chiaro di quale normativa nazionale si parli e se si tratti di legginuove o vigenti. Le DPA dell'UE avvertono che questo riferimento allanormativa nazionale potrebbe tradursi in quell'adozione di prassi nazionalidivergenti a cui si è già accennato. Questo approccio potrebbe anche essere diostacolo all'obiettivo di armonizzazione della decisione quadro. Le DPA dell'UE sottolineano comunque che in questo caso è necessario tenere conto delledisposizioni nazionali sulla protezione dei dati e che le autorità dicontrollo collaborino strettamente su tutte le questioni collegate.

4. Autorità competenti

L'articolo 4 dellaproposta stabilisce che gli Stati membri adottano l'elenco delle autoritàcompetenti autorizzate a ricevere i dati PNR dall'Unità di informazione suipasseggeri. Le DPA dell'UE ritengono che l’elenco dovrebbe comprenderesoltanto le autorità di contrasto responsabili della prevenzione e della lottacontro i reati di terrorismo e la criminalità organizzata. Le autorità competenti, infatti, possono esercitare più funzioni a livello nazionale, peresempio fare applicare la legge e raccogliere intelligence. È opportuno quindiche la proposta preveda restrizioni per queste autorità, in funzione dellefinalità in essa stabilite.

5. Metodo di trasferimento

Le DPA dell'UE approvanoil principio di cui all'articolo 5 della proposta secondo il quale i vettori devono usare il metodo "push" per trasferire i dati PNR, masottolineano che le misure tecniche di applicazione andrebbero decise dicomune accordo. I vettori aerei saranno comunque coinvolti e sarebbe opportunoprevedere la consulenza delle autorità per la protezione dei dati e di esperti informatici. Non si capisce come faranno le singole UIP con tutti quei vettoristabiliti al di fuori dell'UE che non dispongono ancora dei mezzi tecnicinecessari per trasmettere i dati, i quali dovranno quindi essere estratti damolteplici sistemi diversi tra loro. Non è chiaro neppure come sarà possibileottenere i dati dai vettori che non dispongono di sistemi automatici diprenotazione.

Se poi i dati devonoessere estratti e il vettore di un paese terzo non consente l'accesso dell'UIPdi uno Stato membro, si pone anche il problema di come fare applicare lanormativa.

Ai vettori aerei andrebbeimposto di adottare quanto prima uno specifico sistema "push" per garantire un approccio uniforme. Dal punto di vista della privacy il metodo"push" è l'unico accettabile e per questo motivo i due metodi,"pull" e "push", non dovrebbero coesistere. Le DPA dell'UEritengono poi importante che, al momento di sviluppare il sistema"push", si tenga conto della finora negativa esperienza dell'UE nelcaso dell'accordo sui PNR con gli Stati Uniti per il passaggio dal sistema"pull" a quello "push", ancora da compiersi. Qualsiasiquestione tecnica deve essere risolta insieme a tutte le parti interessateprima dell'attuazione finale del sistema "push". Va esclusacategoricamente l'applicazione di un sistema "pull" prima delpassaggio a quello "push".

Non sono stati esaminatisistemi alternativi meno invasivi della privacy, come la valutazione di rischio basata sui dati pseudonimizzati, che pur consentono di ridurreradicalmente la quantità di dati personali trasferiti alle autoritàcompetenti. Questi sistemi esistono e le DPA dell'UE vorrebbero che fosseropresi in considerazione.

6. Scambio di informazioni

I timori delle DPA dell'UEriguardano anche il richiamo agli accordi internazionali dell'articolo 8, paragrafo 2 e le conseguenze della reciprocità automatica con i paesi terzi chesi avvalgono di un sistema sui PNR. Bisogna riconoscere che l'introduzione diun regime europeo sui PNR potrebbe comportare richieste di PNR su base direciprocità anche da regimi antidemocratici o corrotti, cui sarà facileopporre un rifiuto. Per questo ci si chiede se le conseguenze della reciprocitàsiano state sufficientemente considerate. Per esempio, le informazionicontenute in una carta di credito, che sono spesso comprese fra i dati PNR,nelle mani del funzionario statale corrotto possono diventare un graveproblema. E ancora, in alcuni Stati con l'espressione "lotta contro ilterrorismo" si può intendere qualcosa di molto diverso dal significatoattribuito in Europa. La reciprocità potrebbe permettere ad una dittatura diavvalersi dei dati PNR per un'analisi di rischio dei dissidenti. In pratica,non è possibile prevedere cosa faranno dei risultati di un'analisi di rischioPNR, gli Stati antidemocratici e se in un contesto del genere sarannorispettati i diritti dei passeggeri (non soltanto alla protezione dei dati).

Inoltre, la proposta nonrisolve la questione della possibilità di scambiare in blocco o soltanto caso per caso i dati PNR destinati a paesi terzi. Non è chiaro quale sistema diprotezione dei dati si applichi nei paesi terzi in relazione, per esempio, aiperiodi di conservazione, alla divulgazione delle informazioni, alle revisionie agli aspetti connessi alla sicurezza tecnica. Rimane aperta anche laquestione di come gli interessati saranno informati del trasferimento dei lorodati ad un paese terzo e di come potranno far valere i loro diritti legittimi.Infine, non è accettabile concedere ad un paese terzo l'accesso con metodo"pull" ai dati sui passeggeri contenuti nei sistemi di prenotazione europei, in nome della reciprocità. Sarebbe impossibile, per esempio,immaginare un paese che non tuteli il diritto del cittadino alla privacy epossa per reciprocità, accedere al sistema di prenotazione europeo Amadeusestraendo tutti i dati disponibili sui voli in arrivo e in partenza. Questisono problemi da affrontare e risolvere prima dell'adozione della decisionequadro. Dal punto di vista del rispetto della privacy i trasferimentidovrebbero essere consentiti soltanto caso per caso.

7. Periodo diconservazione

Le DPA dell'UE ribadisconoche un periodo di conservazione è accettabile se basato sull'esigenza debitamente comprovata di elaborare i dati, e se proporzionato e conforme allenorme consolidate sulla protezione dei dati per cui i dati non devono essereconservati più a lungo di quanto necessario per le finalità per le quali sonostati raccolti o successivamente elaborati. L'articolo 9 della proposta prevede che i dati comunicati all'Unità di informazione sui passeggeri sianoconservati per cinque anni e poi per altri otto anni, cioè tredici anni intutto. Le DPA dell'UE ritengono che non sia stata né comprovata la necessitàdi questo periodo di conservazione, né fornita alcuna argomentazione sulla suaproporzionalità. Il periodo di conservazione di 13 anni risulta quindisproporzionato rispetto alle finalità stabilite e inaccettabile.

Il periodo diconservazione proposto non è coerente neppure con altri strumenti europei che prevedono periodi di conservazione per finalità analoghe. Per esempio, ladirettiva 2004/82/CE sul trasferimento dei dati API stabilisce che i datidevono essere cancellati ventiquattro ore dopo l'arrivo; la direttiva2006/24/CE riguardante l'obbligo di conservare i dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica fissa unperiodo di conservazione massimo di due anni.

D'altro canto, non èpossibile nessun confronto con l'accordo UE-USA sui PNR per l'evidente mancanza di giustificazione o di comprovata necessità del periodo diconservazione di 15 anni fissato nell'accordo.

In questo ambito, ilGruppo articolo 29 ribadisce di aver già considerato abbastanza lungo ilperiodo di conservazione di tre anni e mezzo del primo accordo sui PNR con gliStati Uniti del 2004.

Anche l'accordo sui PNRcon il Canada prevede un periodo di conservazione di tre anni e mezzo.

Con un riesame congiuntoche deve però essere ancora organizzato si potrebbe giungere a conclusionisulla proporzionalità di questo periodo di conservazione.

8. Elementi di dati

L'elenco degli elementi didati di cui all'allegato della proposta ricalca grosso modo a quello dell'accordo UE-USA sui PNR del luglio 2007. Vi figurano tutte le 19 serie didati menzionate nell'accordo, anche se in ordine leggermente diverso. Come giàillustrato nel parere 138 del Gruppo articolo 29 relativo all'accordo UE-USAsui PNR, queste serie di dati comprendono più di un elemento informativo perdissimulare il fatto che in realtà ad essere trasferiti non sono 19, ma circa 35 singoli elementi di dati contenuti nei sistemi automatici diprenotazione/controllo delle partenze dei vettori aerei.

Le DPA dell'UE giudicanoquesto elenco troppo lungo non essendoci spiegazione alcuna del perché sianecessario raccogliere così tanti elementi di dati per lottare contro ilterrorismo e la criminalità organizzata. La proposta sembra dare per scontatoche queste informazioni sono utili perché le autorità statunitensi leconsiderano tali, ma non fornisce alcuna prova al riguardo. Le DPA dell'UE rammentano che l'estrapolazione dei dati non è fra gli obiettivi fissati nellaproposta.

Va inoltre ricordato chel'elemento di dato "Lingua/e parlata/e" potrebbe rivelareinformazioni sensibili sull'origine etnica di un minore e dovrebbe esserecomunque cancellato.

Mentre alcuni dati PNR,come le informazioni relative al bagaglio e al numero del posto, sono inseritinel sistema di controllo delle partenze dei vettori prima della partenza,altri, come l'itinerario di viaggio o le informazioni sui viaggiatori abituali«Frequent flyer», sono forniti dal passeggero prenotando il volo. A differenzadei dati API, i dati PNR diversi da quelli contenuti nel sistema di controllodelle partenze non possono essere considerati informazioni convalidate. Talidati sono comunicati da ciascun passeggero su base volontaria quando prenotaun determinato volo, ma potrebbero essere forniti anche arbitrariamente, peresempio, quando ordina un pasto specifico. I vettori aerei non sono in gradodi verificare i dati comunicati, né sono tenuti a farlo; pertanto, non possonoessere considerati responsabili della loro accuratezza. Oltre ad essere moltolimitati nella maggior parte dei casi, i dati PNR di ciascun passeggero nonsono sottoposti a verifica e bisogna chiedersi come possano essere consideratiuna fonte attendibile di informazioni nella valutazione dei rischi. Le DPAdell'UE non sono pertanto convinte che l'elenco degli elementi di datirichiesti sia indispensabile per le finalità stabilite, lo ritengono troppolungo e invitano il Consiglio a ridurlo.

Fanno osservare alriguardo che l'accordo sui PNR con il Canada prevede soltanto 25 elementi di dati singoli ritenuti sufficienti per lottare contro il terrorismo e lacriminalità organizzata.

Le DPA dell'UE sono poipreoccupate per il fatto che dall'elenco dei dati potrebbero essere ricavate informazioni su terzi, come il datore di lavoro, il partner o i familiaridell'interessato, attraverso, per esempio, nomi e recapiti, indirizzi difatturazione o particolari sull'agente alla partenza e all'arrivo.

Il più delle volte ilterzo non è consapevole del trasferimento dei dati personali all'Unità di informazione sui passeggeri e non può pertanto far valere i propri diritti.

9. Dati sensibili e filtro

Gli articoli 3 e 6 dellaproposta prevedono esplicitamente la cancellazione immediata dei dati sensibili che potrebbero rivelare, all'Unità di informazione sui passeggeri oall'intermediario proposto, l'origine razziale o etnica, le opinionipolitiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale oi dati relativi alla salute e alla vita sessuale degli interessati. L'elenco degli elementi di dati di cui all'allegato 1 della proposta non comprende datisensibili, che potrebbero però essere ricavati dai dati al n. 12"osservazioni generali" e al n. 19 "cronistoria delle modifichedel PNR di cui ai numeri da 1 a 18". Come già menzionato, anche la o lelingue parlate da un minore potrebbe rivelarne l'origine etnica.

Uno dei principifondamentali della protezione dei dati, osservano le DPA dell'UE, è lacompetenza del responsabile del trattamento dei dati personali, quale definitaall'articolo 2, lettera d) della direttiva 95/46/CE, in combinato disposto conl'articolo 6, paragrafo 2. Disposizioni analoghe figurano all'articolo 2,lettera d) e all'articolo 5 della Convenzione 108. Dovrebbe pertanto spettare ai vettori aerei filtrare i dati sensibili prima di trasmetterli con sistema"push" ad un intermediario o all'Unità di informazione sui passeggeri.Prima di prendere in considerazione il filtro dei dati sensibili, occorrerebbespiegare chiaramente quale sia la necessità di inserire informazioni così sensibili nell'elenco degli elementi di dati. Le DPA dell'UE ribadiscono chel'accordo sui PNR con il Canada non prevede la raccolta di elementi di datiche potrebbero contenere informazioni sensibili.

Ciò detto, le DPA dell'UEritengono contrario ai principi consolidati di protezione dei dati che la proposta sollevi il responsabile del trattamento, cioè la compagnia aerea,dalla responsabilità di filtrare i dati sensibili che non sono richiestinell'elenco degli elementi di dati.

Nella proposta rimaneirrisolta la questione di come gli intermediari e le Unità di informazione sui passeggeri giungeranno ad una definizione comune di dati sensibili e di comedevono collaborare per una soluzione, che non è puramente tecnica. È poifondamentale osservare che il concetto e l'importanza dei dati sensibilipossono variare col tempo e che pertanto è necessario identificare continuamente i nuovi dati sensibili.

Le DPA dell'UE invitano ilConsiglio a ridurre l'elenco degli elementi di dati in modo da rendere superfluo il filtro dei dati sensibili. Se tuttavia il Consiglio nonmodificherà l'elenco, sarà allora opportuno che il filtro dei dati sensibilisia affidato ai vettori aerei che dovrebbero impegnarsi insieme alle loroautorità di controllo e alla Commissione ad individuare tutti i dati sensibilie ad aggiornare l'elenco di conseguenza. In questo modo si terrà conto nonsoltanto dei principi consolidati di protezione dei dati, ma si garantiràanche un approccio efficace ed uniforme al problema.

10. Disposizioni sullaprotezione dei dati

Le disposizioni sullaprotezione dei dati di cui all'articolo 11 della proposta riprendono quelle del progetto di decisione quadro sulla protezione dei dati personali trattatinell’ambito della cooperazione giudiziaria e di polizia in materia penale, chedeve essere ancora adottato.

Non è chiaro come taledecisione quadro potrebbe assicurare un'adeguata protezione dei dati dal momento che il suo campo di applicazione sarà limitato al trasferimento di datitra gli organi di contrasto degli Stati membri. La proposta ha un diversocampo di applicazione in quanto disciplina il trasferimento dei dati deipasseggeri dai vettori aerei alle UIP. Tale assenza di disposizioni chiare sulla protezione dei dati è inaccettabile e occorre in ogni caso porvi rimedio.

Le DPA dell'UE ritengonoindispensabile indicare disposizioni chiare e specifiche poiché non tutti gliStati membri hanno incluso le attività di giustizia e polizia nella leggenazionale di recepimento della direttiva 95/46/CE. Si propone pertanto diincludere queste disposizioni nella proposta invece di rimandare ad un altrostrumento giuridico. Le disposizioni in questione dovrebbero disciplinare tral'altro i diritti degli interessati, quali il diritto di accesso, rettifica deidati e impugnazione, permettendo così di migliorare la trasparenza efacilitare la protezione degli interessati.

11. Informazione degliinteressati

A norma dell'articolo 5,paragrafo 6 della proposta gli Stati membri assicurano che i vettori aerei informino i passeggeri circa la trasmissione dei dati PNR all'Unitàd'informazione sui passeggeri e, se pertinente, all'intermediario, le finalitàdel trattamento, il periodo di conservazione dei dati e il loro possibile usoper prevenire e combattere i reati di terrorismo e la criminalità organizzata,e circa la possibilità di scambiare e condividere tali dati.

Le DPA dell'UE osservanocon grande preoccupazione che manca ogni indicazione della persona a cuil'interessato deve rivolgersi o del modo in cui può far valere i suoi diritti,soprattutto quello di accesso ai dati. Sottolineano che siffatta disposizioneè fondamentale e raccomandano di integrarla nella proposta.

Inoltre, è necessariostabilire come le autorità di controllo degli Stati membri faranno perrispettare il diritto all'informazione, quali sanzioni saranno previste e dachi saranno applicate se i vettori, gli intermediari e le Unità diinformazione sui passeggeri non informeranno adeguatamente i passeggeri. IlGruppo di lavoro articolo 29 vorrebbe fare presente di avere emesso due pareri⁵in passato per fornire orientamenti ai vettori e sensibilizzare i passeggeri.Inoltre, le DPA dell'UE ritengono necessario, nel caso di un sistema UE suiPNR, giungere ad un approccio armonizzato che tenga conto dei timori di tuttele parti interessate.

12. Sicurezza dei dati e standarddi cifratura

L'articolo 12 dellaproposta riguarda le misure di sicurezza che devono adottare le Unità d'informazione sui passeggeri, gli intermediari e le autorità competenti. Percompletezza, queste disposizioni dovrebbero contemplare anche le necessariemisure organizzative, come la formazione del personale e i provvedimentidisciplinari in caso di inosservanza delle misure di sicurezza.

Dagli articoli 13, 14 e 15si evince che il comitato di cui all'articolo 14 svolgerà un ruolo di consulentenell'elaborazione di protocolli e standard di cifratura comuni. Per ladecisione quadro dovrebbe essere prevista la consulenza di autorità per laprotezione dei dati e di esperti informatici di provata esperienza in questosettore.

Le DPA dell'UE sottolineanoche l'uso di metodi sicuri è essenziale e non va rimandato. Pertanto, l'articolo 15 dovrebbe comunque stabilire che occorre favorire lo sviluppo diun approccio comune e che ogni ritardo nel garantire la sicurezza dellatrasmissione dei dati deve essere giustificato.

13. Dati statistici

Le DPA dell'UE approvanoil fatto che la proposta preveda disposizioni sulle statistiche. Le informazioni sul numero delle conseguenti azioni di contrasto che hannocomportato l'uso di dati PNR potrebbero rivelarsi utili (e eventualmentedimostrare la necessità di ricorrere ai PNR o di modificare il sistema). Siapprezza molto anche il fatto che queste statistiche non conterranno informazioni personali comportanti un’attenta e immediata anonimizzazione. Primache il sistema diventi operativo, sarebbe opportuno studiare norme comuni dianonimizzazione dei dati.

14. Riesame e clausola dicaducità

Le DPA dell'UE approvanoil fatto che la Commissione effettuerà un riesame della proposta di decisionequadro, nutrono però timori perché non è fatta menzione di autorità dicontrollo indipendenti o di esperti esterni che invece dovrebbero essereassociati pienamente, anche attraverso i loro rappresentanti, ad ogni riesameconclusivo, sia nella fase di preparazione che di realizzazione.

La proposta dovrebbespecificare chiaramente quando e come sarà preparato e realizzato il riesame.

Le DPA dell'UEraccomandano inoltre vivamente di presentare la relazione di riesame anche al Parlamento europeo.

Le autorità europee per laprotezione dei dati confidano che il riesame sarà effettuato annualmente e chesaranno formulate raccomandazioni per quanto riguarda il miglioramento delsistema e per tutte le questioni attinenti alla privacy.

Resta che la decisione quadroavrà profonde ripercussioni su tutti i passeggeri in volo da e per l'UE, leDPA dell'UE ritengono necessario esaminare attentamente la misura e valutarnela necessità dopo un certo periodo di tempo, insieme ad esperti indipendenti.Poiché tale valutazione generale approfondita non può essere effettuata inconcomitanza con il riesame previsto all'articolo 17, propongono di introdurreuna clausola di caducità che presenta una valutazione accurata delle disposizioni della decisione quadro, della loro efficacia e della lorogiustificazione, prima di qualsiasi proroga del sistema. Siffatta valutazionesarebbe effettuata insieme ad esperti indipendenti.

15. Altri aspetti relativiall'armonizzazione

Nel presente parere le DPAdell'UE hanno auspicato più volte un approccio armonizzato per evitare che gliStati membri recepiscano in maniera divergente la decisione quadro; rimangonoperò alcuni punti in sospeso.

La proposta consente agliStati membri di continuare ad applicare, o di concludere altri accordi bilaterali o multilaterali, nella misura in cui permettano di realizzare meglioo più agevolmente gli obiettivi della proposta. Le DPA dell'UE ritengono chequeste disposizioni siano contrarie agli obiettivi di armonizzazione dellaproposta.

Va inoltre ricordato chenella relazione si afferma chiaramente che la decisione quadro lascia il più ampio margine di manovra possibile ai responsabili nazionali per attuare ledisposizioni. Spetta agli Stati membri decidere come e se creare il loro sistemasui PNR e stabilirne gli aspetti tecnici.

L'armonizzazione èlimitata allo stretto necessario. Ma ciò potrebbe non bastare. Il timo è che si giunga ad interpretazioni divergenti nei vari Stati membri e che vettori aereie interessati si trovino ad avere a che fare con norme e sistemi diversi. Inquesto contesto le DPA dell'UE si rammaricano che la direttiva 2004/82/CE nonsia stata pienamente attuata da alcuni Stati membri, nonostante che i terminisiano da tempo scaduti. Non è stato possibile effettuare alcuna valutazione diimpatto per esaminare gli aspetti tecnici e di protezione dei dati delle legginazionali che recepiscono la direttiva. Allo stato attuale non sonodisponibili neppure dati su come gli Stati membri hanno esercitato la loro discrezionalitàe sull'eventuale necessità di un'ulteriore armonizzazione per quanto riguardail recepimento della direttiva. Tale esperienza degli Stati membri sarebbemolto utile per valutare il grado di discrezionalità auspicabile e necessarioper recepire l’attuale proposta.

Le DPA dell'UE ritengonoinaccettabile una situazione in cui i vettori aerei e gli interessati debbano fare fronte a sistemi e approcci divergenti. Sono pertanto favorevoli allacreazione di un forum per uno scambio di idee e di migliori pratiche tra gliStati membri per evitare valutazioni di rischio divergenti. Il forum, cheincluderebbe pure le autorità per la protezione dei dati, dovrebbe essere anche la sede per discutere tutte le altre questioni relative all'attuazione delladecisione quadro.

III Conclusione

La proposta dellaCommissione avrà effetti profondi su tutti i passeggeri in volo da e per l'UE,si aggiunge all'obbligo di rilevare le impronte digitali di tutti i cittadiniche fanno domanda di passaporto e si ripercuoterà anche sull’industria deltrasporto aereo, sui sistemi di prenotazione e sugli organi di contrasto. Sesarà attuata l'attuale versione del progetto di decisione quadro, l'Europa muoverà risolutamente verso un’autentica società della sorveglianza, in cuitutti i viaggiatori saranno considerati persone sospette. Come già accade perconservazione dei dati di traffico delle comunicazioni (direttiva 2006/24/CE),enti privati raccoglieranno e conserveranno un'enorme quantità di datidestinati a un possibile uso successivo da parte di agenzie governative,nonostante non sia mai stata dimostrata né l'efficacia né la necessità di unsistema di questo tipo. La raccolta dei dati riguarda tutti i passeggeri,individui sospetti o, come nella maggior parte dei casi, onesti cittadini, econsente di ricostruirne le abitudini di viaggio per molti anni. Per questimotivi, sussiste il grave dubbio che l'approccio scelto dall'UE di sottoporretutti i passeggeri ad una sorveglianza generalizzata e di considerarlisospetti sia il modo migliore per combattere il terrorismo e la criminalitàorganizzata. In particolare, va sottolineato che non esiste ancora nessunaesperienza sull'uso dei dati API nella lotta contro l’illegalità.

Nel complesso, le DPAdell'UE ritengono che l'approccio scelto per la proposta in questione sia più misurato rispetto a quello degli accordi precedenti in materia, primo fra tuttiil recente accordo UE- USA sui PNR, e che le sue finalità siano statespecificate e limitate alla prevenzione e alla lotta contro il terrorismo e lacriminalità organizzata. La proposta tiene conto di alcuni timori già espressi dal Gruppo articolo 29 nelle risposte congiunte al questionario del gennaio2007, ma sussistono altri motivi di preoccupazione che bisogna affrontare. Inparticolare la necessità della proposta, come impone l'articolo 8 della CEDU,che resta ancora da dimostrare. A differenza dei dati API, i PNR non sono daticonvalidati e sono da considerarsi inaffidabili. Inoltre, la proposta non contiene indicazioni sui diritti dei passeggeri e non specifica nessuna garanzia. Silimita a rimandare alla decisione quadro sulla protezione dei dati personalitrattati nell’ambito della cooperazione giudiziaria e di polizia in materiapenale, che non è stata ancora adottata, e le cui disposizioni sulla protezione dei dati restano poco chiare. Sebbene sia preferibile un approccioeuropeo alle iniziative nazionali in questo campo, va notato che la propostalascia ampia discrezionalità agli Stati membri e che il rischio è che ladecisione quadro finisca per essere interpretata in modo divergente e attuata senza uniformità. La proposta non specifica chiaramente né cosa si intenda pervalutazione del rischio, né come i dati raccolti saranno usati a scopi diintelligence. A tale riguardo sono necessari ulteriori approfondimenti.

Gli elementi di dati inallegato alla proposta devono essere considerati eccessivi e il periodo di conservazione di 13 anni sproporzionato.

Le DPA dell'UE apprezzanola preferenza per il metodo "push" di trasmissione dei dati, che ritengono l'unico modo accettabile per il trasferimento dei dati deipasseggeri, un aspetto che non andrebbe lasciato alla discrezionalità deivettori non UE. Dal punto di vista della protezione dei dati, tutti i vettoriaerei andrebbero trattati su un piano di parità, che siano o meno stabiliti in Europa.

Per quanto riguarda i datisensibili, le DPA dell'UE approvano la scelta di sottoporli ad un filtro ma ribadiscono che questo incarico non dovrebbe essere affidato a terzi, ma airesponsabili del trattamento. Il coinvolgimento delle autorità di controllonella definizione dei dati sensibili è fondamentale, vista soprattuttol'esperienza da quelle acquisita partecipando alle attività delle autorità dicontrollo comuni “terzo pilastro”.

Alla luce di tutte questecarenza, le DPA dell'UE ritengono indispensabile che per una misura di cosìvasta portata e con profonde ripercussioni sulla privacy si avvii un dibattitoserio tra il Parlamento europeo, i Parlamenti nazionali e tutte le partiinteressate allo sviluppo di questo sistema, in particolare l’industria deltrasporto aereo e i sistemi di prenotazione. Le DPA dell'UE ritengonoaltrettanto importante trovare una soluzione di giusto equilibrio che rafforziil rispetto della privacy perché, visto il peso economico e politico dell'UE,un suo futuro sistema sui PNR costituirà un precedente per gli altri paesi delmondo che stanno ancora valutando l'introduzione di sistemi analoghi e potrebberoseguire l'esempio. L'Unione europea non dovrebbe perdere l'opportunità distabilire standard elevati di tutela della privacy in questo settore.

Le DPA dell'UEcontinueranno a proporre contributi e pareri. A tale riguardo, sia il Gruppo di lavoro articolo 29 che il Gruppo di lavoro per la cooperazione giudiziaria edi polizia rimangono a disposizione della Commissione e del Consiglio nellaloro veste di organi consultivi indipendenti di esperti per la protezione deidati personali. Il Gruppo di lavoro articolo 29 auspica infine di essere associato all'attuazione della decisione quadro per quanto riguarda l'impattosui vettori aerei, che hanno obblighi ai sensi della direttiva 95/46/CE.

Fatto a Bruxelles,

il 5 e il 18 dicembre 2007

         Peril Gruppo di lavoro articolo 29                  Peril Gruppo di lavoro per la

                                                                           cooperazione giudiziaria e di polizia

                            Ilpresidente                                              Il presidente

                   Peter SCHAAR                                           FrancescoPIZZETTI

NOTE                                   

1 Regolamento(CE) n. 2252/2004 del Consiglio del 13 dicembre 2004 relativo alle norme sullecaratteristiche di sicurezza e sugli elementi biometrici dei passaporti e deidocumenti di viaggio rilasciati dagli Stati membri, GU L 385 del 29.12.2004,pag. 1.

Direttiva2006/24/CE del Parlamento europeo e del Consiglio, del 15 marzo 2006,riguardante la conservazione di dati generati o trattati nell’ambito dellafornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/CE, GU L105 del 13.4.2006, pag. 54.

I dueatti non sono ancora attuati integralmente in tutti gli Stati membri.

2 Direttiva95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativaalla tutela delle persone fisiche con riguardo al trattamento dei datipersonali, nonché alla libera circolazione di tali dati.

3 Convenzionesulla protezione delle persone rispetto al trattamento automatizzato dei datidi carattere personale, adottata a Strasburgo il 28 gennaio 1981.

4 Parere5/2007 relativo al nuovo accordo tra l'Unione europea e gli Stati Unitid'America sul trattamento e sul trasferimento dei dati del codice diprenotazione (Passenger Name Record, PNR) da parte dei vettori aerei al Dipartimentoper la Sicurezza interna degli Stati Uniti, concluso nel luglio 2007, e parere6/2004 sull'attuazione della decisione della Commissione, del 14 maggio 2004,relativa al livello di protezione adeguato dei dati personali contenuti nelleschede nominative dei passeggeri aerei trasferiti all’Ufficio delle dogane edella protezione delle frontiere degli Stati Uniti e dell'accordo tra laComunità europea e gli Stati Uniti d'America sul trattamento e trasferimentodei dati di identificazione delle pratiche (passenger name record, PNR) daparte dei vettori aerei all'ufficio doganale e di protezione dei confini deldipartimento per la sicurezza interna degli Stati Uniti.

5 WP 97"Parere 8/2004 sull’informazione dei passeggeri in merito al trasferimentodi schede nominative dei passeggeri aerei (PNR) sui voli tra l’Unione europeae gli Stati Uniti d’America", adottato il 30 settembre 2004,

WP 132"Parere 2/2007 sull'informazione dei passeggeri in merito al trasferimentodi dati PNR alle autorità statunitensi", adottato il 15 febbraio 2007, e"Nota informativa breve per i voli tra l’Unione europea e gli Stati Uniti".