CELEX: 62004CJ0317
Tutela delle persone fisiche con riguardo al trattamento dei dati personali
Trasporto aereo
Decisione 2004/496/CE
Accordo tra la Comunità europea e gli Stati Uniti d'America
Schede nominative dei passeggeri aerei trasferite all'Ufficio delle dogane e della protezione delle frontiere degli Stati Uniti d'America
Direttiva 95/46/CE
Art. 25
Stati terzi
Decisione 2004/535/CE
Livello di protezione adeguato

1       Con il suo ricorso nella causa C‑317/04, il Parlamento europeo chiede l’annullamento della decisione del Consiglio 17 maggio
2004, 2004/496/CE, relativa alla conclusione di un accordo tra la Comunità europea e gli Stati Uniti d’America sul trattamento
e trasferimento dei dati di identificazione delle pratiche (Passenger Name Record, PNR) da parte dei vettori aerei all’ufficio
doganale e di protezione dei confini del dipartimento per la sicurezza interna degli Stati Uniti (GU L 183, pag. 83, e rettifica
GU 2005, L 255, pag. 168).
2       Con il suo ricorso nella causa C‑318/04, il Parlamento chiede l’annullamento della decisione della Commissione 14 maggio 2004,
2004/535/CE, relativa al livello di protezione adeguato dei dati personali contenuti nelle schede nominative dei passeggeri
aerei trasferiti all’Ufficio delle dogane e della protezione delle frontiere degli Stati Uniti
United States’ Bureau of Customs and Border Protection
(GU L 235, pag. 11; in prosieguo: la «decisione sull’adeguatezza»).

Contesto normativo
3       L’art. 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, sottoscritta a
Roma il 4 novembre 1950 (in prosieguo: la «CEDU»), così dispone:
«1      Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e della propria corrispondenza.
2      Non può esservi ingerenza di una autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla
legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza,
al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della
morale, o alla protezione dei diritti e delle libertà altrui».
4       L’art. 95, n. 1, seconda frase, CE è del seguente tenore:
«Il Consiglio, deliberando in conformità della procedura di cui all’articolo 251 e previa consultazione del Comitato economico
e sociale, adotta le misure relative al ravvicinamento delle disposizioni legislative, regolamentari ed amministrative degli
Stati membri che hanno per oggetto l’instaurazione ed il funzionamento del mercato interno».
5       La direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche
con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281, pag. 31), come modificata
dal regolamento (CE) del Parlamento europeo e del Consiglio 29 settembre 2003, n. 1882, recante adeguamento alla decisione
1999/468/CE del Consiglio delle disposizioni relative ai comitati che assistono la Commissione nell’esercizio delle sue competenze
di esecuzione previste negli atti soggetti alla procedura prevista all’articolo 251 del Trattato CE (GU L 284, pag. 1; in
prosieguo: la «direttiva»), è stata adottata sul fondamento dell’art. 100 A del Trattato CE (divenuto, in seguito a modifica,
art. 95 CE).
6       Al suo undicesimo ‘considerando’ si afferma che «i principi della tutela dei diritti e delle libertà delle persone, in particolare
del rispetto della vita privata, contenuti dalla presente direttiva precisano ed ampliano quelli enunciati dalla convenzione
del 28 gennaio 1981 del Consiglio d’Europa sulla protezione delle persone con riferimento al trattamento automatizzato dei
dati di carattere personale».
7       Ai sensi del tredicesimo ‘considerando’ della direttiva:
«[L]e attività previste dai titoli V e VI del Trattato sull’Unione europea attinenti alla pubblica sicurezza, alla difesa,
alla sicurezza dello Stato o alle attività dello Stato in materia di diritto penale non rientrano nel campo d’applicazione
del diritto comunitario, fatti salvi gli obblighi che incombono agli Stati membri a norma dell’articolo 56, paragrafo 2, dell’articolo
57 e 100 A del Trattato (...)».
8       Il cinquantasettesimo ‘considerando’ della direttiva enuncia che:
«(...) deve essere vietato il trasferimento di dati personali verso un paese terzo che non offre un livello di protezione
adeguato».
9       L’art. 2 della direttiva prevede quanto segue:
«Ai fini della presente direttiva si intende per:
a)      “dati personali”: qualsiasi informazione concernente una persona fisica identificata o identificabile (“persona interessata”);
si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante
riferimento ad un numero di identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica,
psichica, economica, culturale o sociale;
b)      “trattamento di dati personali” (“trattamento”): qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio
di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l’organizzazione, la conservazione,
l’elaborazione o la modifica, l’estrazione, la consultazione, l’impiego, la comunicazione mediante trasmissione, diffusione
o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, nonché il congelamento, la cancellazione
o la distruzione;
(…)».
10     Ai sensi dell’art. 3 della direttiva:
«Campo d’applicazione
1.      Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato
nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi.
2.      Le disposizioni della presente direttiva non si applicano ai trattamenti di dati personali[:]
–       effettuati per l’esercizio di attività che non rientrano nel campo di applicazione del diritto comunitario, come quelle previste
dai titoli V e VI del Trattato sull’Unione europea e comunque ai trattamenti aventi come oggetto la pubblica sicurezza, la
difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato, laddove tali trattamenti siano connessi a questioni
di sicurezza dello Stato) e le attività dello Stato in materia di diritto penale;
(...)».
11     L’art. 6, n. 1, della direttiva enuncia:
«Gli Stati membri dispongono che i dati personali devono essere:
(...)
b)      rilevati per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità.
Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purché gli Stati
membri forniscano garanzie appropriate;
c)      adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente
trattati;
(...)
e)      conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario
al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati (...)».
12     L’art. 7 della direttiva così dispone:
«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
(...)
c)      è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure
(...)
e)      è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito
il responsabile del trattamento o il terzo a cui vengono comunicati i dati, oppure
f)      è necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono
comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata,
che richiedono tutela ai sensi dell’articolo 1, paragrafo 1».
13     Ai sensi dell’art. 8, n. 5, primo comma, della direttiva:
«I trattamenti riguardanti i dati relativi alle infrazioni, alle condanne penali o alle misure di sicurezza possono essere
effettuati solo sotto controllo dell’autorità pubblica, o se vengono fornite opportune garanzie specifiche, sulla base del
diritto nazionale, fatte salve le deroghe che possono essere fissate dallo Stato membro in base ad una disposizione nazionale
che preveda garanzie appropriate e specifiche. Tuttavia un registro completo delle condanne penali può essere tenuto solo
sotto il controllo dell’autorità pubblica».
14     L’art. 12 della direttiva così dispone:
«Gli Stati membri garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento:
a)      liberamente e senza costrizione, ad intervalli ragionevoli e senza ritardi o spese eccessivi:
–      la conferma dell’esistenza o meno di trattamenti di dati che la riguardano, e l’informazione almeno sulle finalità dei trattamenti,
sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui sono comunicati i dati;
–      la comunicazione in forma intelligibile dei dati che sono oggetto dei trattamenti, nonché di tutte le informazioni disponibili
sull’origine dei dati;
–      la conoscenza della logica applicata nei trattamenti automatizzati dei dati che lo interessano, per lo meno nel caso delle
decisioni automatizzate di cui all’articolo 15, paragrafo 1;
b)      a seconda dei casi, la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non è conforme alle disposizioni
della presente direttiva, in particolare a causa del carattere incompleto o inesatto dei dati;
c)      la notificazione ai terzi, ai quali sono stati comunicati i dati, di qualsiasi rettifica, cancellazione o congelamento, effettuati
conformemente alla lettera b), se non si dimostra che è impossibile o implica uno sforzo sproporzionato».
15     L’art. 13, n. 1, della direttiva è del seguente tenore:
«Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti
dalle disposizioni dell’articolo 6, paragrafo 1, dell’articolo 10, dell’articolo 11, paragrafo 1 e degli articoli 12 e 21,
qualora tale restrizione costituisca una misura necessaria alla salvaguardia:
a)      della sicurezza dello Stato;
b)      della difesa;
c)      della pubblica sicurezza;
d)      della prevenzione, della ricerca, dell’accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia
delle professioni regolamentate;
e)      di un rilevante interesse economico o finanziario di uno Stato membro o dell’Unione europea, anche in materia monetaria, di
bilancio e tributaria;
f)      di un compito di controllo, ispezione o disciplina connesso, anche occasionalmente, con l’esercizio dei pubblici poteri nei
casi di cui alle lettere c), d) ed e);
g)      della protezione della persona interessata o dei diritti e delle libertà altrui».
16     L’art. 22 della direttiva prevede quanto segue:
«Ricorsi
Fatti salvi ricorsi amministrativi che possono essere promossi, segnatamente dinanzi all’autorità di controllo di cui all’articolo
28, prima che sia adita l’autorità giudiziaria, gli Stati membri stabiliscono che chiunque possa disporre di un ricorso giurisdizionale
in caso di violazione dei diritti garantitigli dalle disposizioni nazionali appicabili al trattamento in questione».
17     Gli artt. 25 e 26 della direttiva formano il capo IV, relativo al trasferimento di dati personali verso paesi terzi.
18     L’art. 25 della direttiva, intitolato «Principi», prevede quanto segue:
«1.      Gli Stati membri dispongono che il trasferimento verso un paese terzo di dati personali oggetto di un trattamento o destinati
a essere oggetto di un trattamento dopo il trasferimento può aver luogo soltanto se il paese terzo di cui trattasi garantisce
un livello di protezione adeguato, fatte salve le misure nazionali di attuazione delle altre disposizioni della presente direttiva.
2.      L’adeguatezza del livello di protezione garantito da un paese terzo è valutata con riguardo a tutte le circostanze relative
ad un trasferimento o ad una categoria di trasferimenti di dati; in particolare sono presi in considerazione la natura dei
dati, le finalità del o dei trattamenti previsti, il paese d’origine e il paese di destinazione finale, le norme di diritto,
generali o settoriali, vigenti nel paese terzo di cui trattasi, nonché le regole professionali e le misure di sicurezza ivi
osservate.
3.      Gli Stati membri e la Commissione si comunicano a vicenda i casi in cui, a loro parere, un paese terzo non garantisce un livello
di protezione adeguato ai sensi del paragrafo 2.
4.      Qualora la Commissione constati, secondo la procedura dell’articolo 31, paragrafo 2, che un paese terzo non garantisce un
livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, gli Stati membri adottano le misure necessarie
per impedire ogni trasferimento di dati della stessa natura verso il paese terzo in questione.
5.      La Commissione avvia, al momento opportuno, negoziati per porre rimedio alla situazione risultante dalla constatazione di
cui al paragrafo 4.
6.      La Commissione può constatare, secondo la procedura di cui all’articolo 31, paragrafo 2, che un paese terzo garantisce un
livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, in considerazione della sua legislazione nazionale
o dei suoi impegni internazionali, in particolare di quelli assunti in seguito ai negoziati di cui al paragrafo 5, ai fini
della tutela della vita privata o delle libertà e dei diritti fondamentali della persona.
Gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione».
19     Ai sensi dell’art. 26, n. 1, della direttiva, intitolato «Deroghe»:
«In deroga all’articolo 25 e fatte salve eventuali disposizioni contrarie della legislazione nazionale per casi specifici,
gli Stati membri dispongono che un trasferimento di dati personali verso un paese terzo che non garantisce una tutela adeguata
ai sensi dell’articolo 25, paragrafo 2 può avvenire a condizione che:
a)      la persona interessata abbia manifestato il proprio consenso in maniera inequivocabile al trasferimento previsto, oppure
b)      il trasferimento sia necessario per l’esecuzione di un contratto tra la persona interessata ed il responsabile del trattamento
o per l’esecuzione di misure precontrattuali prese a richiesta di questa, oppure
c)      il trasferimento sia necessario per la conclusione o l’esecuzione di un contratto, concluso o da concludere nell’interesse
della persona interessata, tra il responsabile del trattamento e un terzo, oppure
d)      il trasferimento sia necessario o prescritto dalla legge per la salvaguardia di un interesse pubblico rilevante, oppure per
costatare, esercitare o difendere un diritto per via giudiziaria, oppure
e)      il trasferimento sia necessario per la salvaguardia dell’interesse vitale della persona interessata, oppure
f)      il trasferimento avvenga a partire da un registro pubblico il quale, in forza di disposizioni legislative o regolamentari,
sia predisposto per l’informazione del pubblico e sia aperto alla consultazione del pubblico o di chiunque possa dimostrare
un interesse legittimo, nella misura in cui nel caso specifico siano rispettate le condizioni che la legge prevede per la
consultazione».
20     Sulla base della direttiva, in particolare dell’art. 25, n. 6, la Commissione delle Comunità europee ha adottato la decisione
sull’adeguatezza.
21     L’undicesimo ‘considerando’ di tale decisione così recita:
«Il trattamento da parte del CBP [United States Bureau of Customs and Border Protection (Ufficio delle dogane e della protezione
delle frontiere degli Stati Uniti)] dei dati personali contenuti nei PNR [“Passenger Name Records” (schede nominative dei
passeggeri)] dei passeggeri aerei che gli sono inviati è disciplinato dalle disposizioni che figurano nella “Dichiarazione
d’impegno del Ministero della Sicurezza interna (Department for Homeland Security) – Ufficio delle dogane e della protezione
delle frontiere (CBP) dell’11 maggio 2004” (nel prosieguo: “la dichiarazione d’impegno”) e dalla legislazione americana, alle
condizioni previste dalla dichiarazione d’impegno».
22     Ai sensi del quindicesimo ‘considerando’ della stessa decisione, i dati PNR devono essere utilizzati al solo scopo di prevenire
e di combattere il terrorismo e i reati collegati al terrorismo, altri reati gravi, compresa la criminalità organizzata, che,
per natura, rivestono un carattere transnazionale, e la fuga in caso di mandato d’arresto emesso o di pena detentiva comminata
per quei reati.
23     Ai sensi degli artt. 1‑4 della decisione sull’adeguatezza:
«
Articolo 1
Ai fini dell’articolo 25, paragrafo 2, della direttiva 95/46/CE, l’Ufficio statunitense delle dogane e della protezione delle
frontiere (CBP) è considerato in grado di garantire un livello di protezione adeguato dei dati delle schede nominative dei
passeggeri (PNR) trasmessi dalla Comunità per quanto riguarda i voli con destinazione o partenza dagli Stati Uniti, conformemente
alla dichiarazione d’impegno che figura nell’allegato.
Articolo 2
La presente decisione riguarda il livello di protezione adeguato garantito dal CBP al fine di rispondere ai requisiti posti
dall’articolo 25, paragrafo 1, della direttiva 95/46/CE e non incide sulle condizioni o restrizioni imposte in attuazione
di altre disposizioni della direttiva e che si applicano al trattamento di dati personali negli Stati membri.
Articolo 3
1.      Fatti salvi i poteri che consentono loro di adottare misure volte a garantire il rispetto delle disposizioni nazionali adottate
conformemente alle disposizioni diverse dall’articolo 25 della direttiva 95/46/CE, le autorità competenti degli Stati membri
possono esercitare i poteri di cui dispongono attualmente per sospendere la trasmissione di dati al CBP al fine di proteggere
le persone fisiche per quanto riguarda il trattamento dei loro dati personali in uno dei casi seguenti:
a)      quando un’autorità degli Stati Uniti competente ha accertato che il CBP non rispetta le norme in materia di protezione;
b)      quando è probabile che le norme di protezione stabilite nell’allegato I non siano rispettate; quando vi sono motivi ragionevoli
di credere che il CBP non adotta o non adotterà, in tempi opportuni, le misure che s’impongono per regolare il caso in questione;
quando il proseguimento della trasmissione di dati comporterebbe un rischio imminente di grave pregiudizio per le persone
interessate e le autorità competenti dello Stato membro si sono ragionevolmente sforzate, in tali circostanze, di avvertire
il CBP e di dargli la possibilità di rispondere.
2.      La sospensione della trasmissione cessa dal momento in cui è garantita l’applicazione delle norme di protezione e l’autorità
competente interessata negli Stati membri ne è avvertita.
Articolo 4
1.      Gli Stati membri informano immediatamente la Commissione in merito alle misure adottate in forza dell’articolo 3.
2.      Gli Stati membri e la Commissione si informano reciprocamente in merito a qualsiasi modificazione delle norme di protezione
e ai casi nei quali le misure adottate dalle autorità incaricate di assicurare il rispetto da parte del CBP delle norme di
protezione stabilite nell’allegato I non siano sufficienti a garantire tale rispetto.
3.      Se le informazioni raccolte in virtù dell’articolo 3 e dei paragrafi 1 e 2 del presente articolo dimostrano che principi fondamentali
necessari per assicurare un livello di protezione adeguato delle persone fisiche non sono più rispettati, o che un qualunque
organismo incaricato di assicurare il rispetto da parte del CBP delle norme di protezione stabilite nell’allegato non svolge
efficacemente la sua missione, il CBP ne sarà informato e, se necessario, si applica la procedura di cui all’articolo 31,
paragrafo 2, della direttiva 95/46/CE, al fine di revocare o sospendere la presente decisione».
24     La «[d]ichiarazione d’impegno dell’Ufficio delle dogane e della protezione delle frontiere del Ministero della Sicurezza interna»,
allegata alla decisione sull’adeguatezza, enuncia quanto segue:
«A sostegno del progetto della Commissione europea per l’esercizio dei poteri che le sono conferiti dall’articolo 25, paragrafo
6, della direttiva 95/46/CE (…) e l’adozione di una decisione che riconosca che [il CBP] del Ministero della Sicurezza interna
(Department of Homeland Security) fornisce una protezione adeguata ai fini delle trasmissioni da parte dei vettori aerei dei
dati [PNR], che possono rientrare nell’ambito d’applicazione della direttiva, il CBP assume i seguenti impegni (...)».
25     Tali impegni comprendono 48 punti, raggruppati sotto i titoli seguenti: «Fondamento giuridico del diritto di ottenere il PNR»;
«Uso dei dati del PNR da parte del CBP»; «Requisiti relativi ai dati»; «Trattamento dei dati “sensibili”»; «Metodo di accesso
ai dati del PNR»; «Conservazione dei dati del PNR»; «Sicurezza del sistema informatico del CBP»; «Trattamento e tutela dei
dati del PNR da parte del CBP»; «Trasmissione dei dati del PNR ad altre amministrazioni pubbliche»; «Informazione, accesso
ai dati e mezzi di ricorso per le persone interessate dal PNR»; «Rispetto delle regole»; «Reciprocità»; «Revisione e durata
di validità della dichiarazione d’ impegno», e «Non sono creati diritti privati o precedenti».
26     Tra i detti impegni figurano in particolare i seguenti:
«1)      In virtù della legge [titolo 49, sezione 44909(c)(3), dell’USC – United States Code – Codice degli Stati Uniti] e dei regolamenti
di attuazione (provvisori) (titolo 19, sezione 122.49b, del codice dei regolamenti federali), ciascun vettore aereo che assicura
il trasporto aereo internazionale di passeggeri da e per gli Stati Uniti deve fornire al CBP un accesso elettronico ai dati
del PNR nella misura in cui essi sono raccolti e conservati nei sistemi automatici di prenotazione/controllo delle partenze
(nel prosieguo: i “sistemi di prenotazione”) dei vettori aerei.
(...)
3)      I dati del PNR sono utilizzati dal CBP al solo fine di prevenire e combattere: 1) il terrorismo e i crimini connessi; 2) altri
reati gravi, compresa la criminalità organizzata transnazionale; e 3) la fuga dall’arresto o da pena detentiva per i suddetti
crimini. L’uso dei dati del PNR a tali scopi consente al CBP di concentrare le proprie risorse su casi di elevato rischio,
facilitando e salvaguardando i viaggi bona fide.
4)      I dati richiesti dal CBP sono elencati nell’allegato A (...).
(...)
27)      Nell’ambito di ogni ricorso amministrativo o giudiziario cui dia adito una richiesta, presentata in forza della legge sulla
libertà di informazione, di dati del PNR raccolti dai vettori aerei, il CBP sosterrà che tali archivi non sono soggetti alla
divulgazione prevista dalla legge sulla libertà di informazione.
(...)
29)      Il CBP, nell’esercizio del suo potere discrezionale, trasmetterà i dati del PNR ad altre autorità governative, comprese le
autorità degli altri paesi incaricate di far rispettare la legge o della lotta contro il terrorismo, previo esame del caso
singolo, a fini di prevenzione e lotta contro i reati di cui al punto 3. Le autorità cui il CBP può trasmettere tali informazioni
saranno in prosieguo denominate “autorità designate”.
30)      Il CBP esercita con prudenza il proprio potere discrezionale di trasmettere dati del PNR ai fini di cui al punto 3. Innanzitutto,
esso determinerà se il motivo per la divulgazione dei dati a un’altra autorità designata sia conforme alle finalità indicate
(cfr. punto 29). In caso affermativo, il CBP determinerà se tale autorità designata abbia il compito di prevenire la violazione
di leggi o regolamenti connessi con tali finalità, di condurre indagini o esperire azioni giudiziarie a tal riguardo, o di
attuare o far rispettare dette leggi o regolamenti, laddove il CBP venga a conoscenza di una violazione, concreta o potenziale,
della legge. La fondatezza della divulgazione dovrà essere esaminata alla luce di tutte le circostanze presentate.
(...)
35)      Nessuna disposizione della presente dichiarazione d’impegno può impedire l’uso o la divulgazione di dati del PNR nell’ambito
di un procedimento penale o negli altri casi previsti dalla legge. Il CBP informerà la Commissione in ordine all’adozione,
da parte delle autorità americane, delle leggi che incidono sulle dichiarazioni contenute nella presente dichiarazione d’impegno.
(...)
46)      La presente dichiarazione d’impegno si applica per un periodo di tre anni e sei mesi a decorrere dalla data di entrata in
vigore di un accordo tra gli Stati Uniti e la Comunità europea che autorizzi il trattamento dei dati del PNR da parte dei
vettori aerei ai fini del trasferimento di tali dati al CBP, in conformità con la direttiva (...).
47)      La presente dichiarazione d’impegno non crea o conferisce alcun diritto o beneficio a persone fisiche o giuridiche, private
o pubbliche.
(...)».
27     L’allegato «A» della dichiarazione d’impegno contiene i «[d]ati del PNR» richiesti dal CBP ai vettori aerei. Fanno parte di
tali dati, in particolare, il «[c]odice del documento PNR», la data di prenotazione, il nome, l’indirizzo, le modalità di
pagamento, i recapiti telefonici, l’agenzia viaggi, la «fase di viaggio» del passeggero («travel status of passenger»), l’indirizzo
di posta elettronica, le osservazioni generali, il numero del posto, l’informazione sulle precedenti assenze all’imbarco e
le «informazioni APIS» eventualmente assunte.
28     Il Consiglio ha adottato la decisione 2004/496 in particolare sul fondamento dell’art. 95 CE, in combinato disposto con l’art. 300,
n. 2, primo comma, prima frase, CE.
29     Ai sensi dei tre ‘considerando’ di tale decisione:
«(1)      Il 23 febbraio 2004 il Consiglio ha autorizzato la Commissione a negoziare, in nome della Comunità, un accordo con gli Stati
Uniti d’America sul trattamento e trasferimento dei dati di identificazione delle pratiche (Passenger Name Record, PNR) da
parte dei vettori aerei all’ufficio doganale e di protezione dei confini del dipartimento per la sicurezza interna degli Stati
Uniti.
(2)      Il Parlamento europeo non ha espresso il suo parere nel termine fissato dal Consiglio, ai sensi dell’articolo 300, paragrafo
3, primo comma del Trattato, dato l’urgente bisogno di porre rimedio alla situazione di incertezza in cui si trovano le compagnie
aeree ed i passeggeri, nonché di proteggere gli interessi finanziari degli interessati.
(3)      È opportuno approvare il presente accordo».
30     L’art. 1 della decisione 2004/496 prevede quanto segue:
«L’accordo tra la Comunità europea e gli Stati Uniti d’America sul trattamento e trasferimento dei dati di identificazione
delle pratiche da parte dei vettori aerei all’ufficio doganale e di protezione dei confini del dipartimento per la sicurezza
interna degli Stati Uniti è approvato in nome della Comunità.
Il testo dell’accordo è accluso alla presente decisione».
31     Il detto accordo (in prosieguo: l’«accordo») recita come segue:
«La Comunità europea e gli Stati Uniti d’America,
Riconoscendo l’importanza di rispettare i diritti e le libertà fondamentali, in particolare il diritto alla vita privata,
e l’importanza di rispettare tali valori nella prevenzione e nella lotta contro il terrorismo e i reati ad esso connessi,
nonché altri reati gravi di natura transnazionale, tra cui la criminalità organizzata;
Visti le leggi e i regolamenti statunitensi che impongono a ciascun vettore aereo che assicura il trasporto di passeggeri
da e per gli Stati Uniti nello spazio aereo estero di fornire [al CBP] del dipartimento per la sicurezza interna (Department
of Homeland Security, in seguito denominato “DHS”), un accesso elettronico ai dati di identificazione [PNR] nella misura in
cui questi sono raccolti e conservati nei sistemi automatici di prenotazione/controllo dei vettori aerei;
Vista la direttiva 95/46/CE (…), in particolare l’articolo 7, lettera c);
Viste le dichiarazioni di impegno del CBP dell’11 maggio 2004, che saranno pubblicate nel registro federale (in seguito denominate
le “dichiarazioni di impegno”);
Vista la decisione 2004/535/CE della Commissione adottata il 14 maggio 2004, ai sensi dell’articolo 25, paragrafo 6 della
direttiva 95/46/CE, con cui si ritiene che il CBP, conformemente alle dichiarazioni di impegno allegate, assicuri un livello
di protezione adeguato dei dati PNR trasferiti dalla Comunità europea (in seguito denominata “Comunità”) in relazione ai voli
da o per gli Stati Uniti (in seguito denominata la decisione);
Constatando che i vettori aerei dotati di sistemi di prenotazione/controllo situati nel territorio degli Stati membri della
Comunità europea dovrebbero provvedere a trasmettere i dati PNR al CBP non appena ciò sia tecnicamente possibile, ma che,
fino a quel momento, dovrebbe essere consentito alle autorità statunitensi di accedere direttamente a tali dati, ai sensi
delle disposizioni del presente accordo;
(…)
Hanno convenuto quanto segue:
1)      Il CBP può accedere elettronicamente ai dati PNR provenienti dai sistemi di prenotazione/controllo (“sistemi di prenotazione”)
dei vettori aerei situati nel territorio degli Stati membri della Comunità europea, in assoluta conformità della decisione,
per tutto il periodo in cui la decisione è applicabile e solo finché non sia in vigore un sistema soddisfacente che permetta
la trasmissione di tali dati da parte dei vettori aerei.
[La versione inglese recita come segue: “CBP may electronically access the PNR data from air carriers reservation/departure
control systems (‘reservation systems’) located within the territory of the Member State of the European Community strictly
in accordance with the Decision and for so long as the Decision is applicable and only until there is a satisfactory system
in place allowing for transmission of such data by the air carriers”.]
2)      Ciascun vettore aereo che assicura il trasporto di passeggeri da o per gli Stati Uniti nello spazio aereo estero tratta i
dati PNR contenuti nei suoi sistemi automatizzati di prenotazione come richiesto dal CBP ai sensi della normativa statunitense,
in assoluta conformità della decisione e per tutto il periodo in cui la decisione è applicabile.
3)      Il CBP prende nota della decisione e attesta che sta attuando le dichiarazioni di impegno allegate a detta decisione.
4)      Il CBP tratta i dati PNR ricevuti e i titolari dei dati interessati da tale trattamento in conformità delle leggi e degli
obblighi costituzionali statunitensi applicabili, senza discriminazioni illegittime, in particolare in base alla nazionalità
e al paese di residenza.
(…)
7)      Il presente accordo entra in vigore all’atto della sua firma. Ciascuna parte può denunciare il presente accordo in qualsiasi
momento, mediante notifica per via diplomatica. In tal caso, l’accordo cessa di essere in vigore novanta (90) giorni dopo
la data di tale notifica. Il presente accordo può essere modificato in ogni momento mediante consenso scritto di entrambe
le parti.
8)      Il presente accordo non intende derogare o apportare modifiche alla normativa delle parti; esso non crea né conferisce alcun
diritto o beneficio ad altre persone o enti, pubblici o privati».
32     Secondo l’informazione del Consiglio relativa alla sua data di entrata in vigore (GU 2004, C 158, pag. 1), l’accordo, firmato
a Washington il 28 maggio 2004 da un rappresentante della presidenza in esercizio del Consiglio e dal Segretario del dipartimento
per la sicurezza interna degli Stati Uniti, è entrato in vigore, in conformità del suo punto 7, il giorno della sua firma.

Fatti all’origine della controversia
33     A seguito degli attacchi terroristici dell’11 settembre 2001, nel novembre dello stesso anno gli Stati Uniti hanno adottato
una normativa che disponeva che i vettori aerei che assicuravano collegamenti con destinazione o partenza nel territorio degli
Stati Uniti ovvero traversanti tale territorio fossero tenuti a fornire alle autorità doganali degli Stati Uniti un accesso
elettronico ai dati contenuti nel loro sistema automatico di prenotazione e di controllo delle partenze, denominati «Passenger
Name Records» (in prosieguo: i «dati PNR»). Pur riconoscendo la legittimità degli interessi di sicurezza in gioco, la Commissione,
sin dal giugno 2002, ha informato le autorità statunitensi che tali disposizioni rischiavano di entrare in contrasto con la
legislazione comunitaria e con quella degli Stati membri in materia di tutela dei dati e con talune disposizioni del regolamento
(CEE) del Consiglio 24 luglio 1989, n. 2299, relativo ad un codice di comportamento in materia di sistemi telematici di prenotazione
(GU L 220, pag. 1), come modificato dal regolamento (CE) del Consiglio 8 febbraio 1999, n. 323 (GU L 40, pag. 1). Le autorità
statunitensi hanno rinviato l’entrata in vigore delle nuove disposizioni, rifiutandosi però, in definitiva, di rinunciare
ad infliggere sanzioni alle compagnie aeree che non si fossero conformate alla normativa sull’accesso elettronico ai dati
PNR dopo il 5 marzo 2003. Da allora, numerose grandi compagnie aeree dell’Unione europea hanno fornito alle dette autorità
un accesso ai propri dati PNR.
34     La Commissione ha avviato con le autorità statunitensi negoziati sfociati in un documento contenente determinati impegni («undertakings»)
assunti dal CBP, in vista dell’adozione da parte della Commissione, sulla base dell’art. 25, n. 6, della direttiva, di una
decisione sull’adeguatezza.
35     Il 13 giugno 2003 il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall’art. 29
della direttiva, ha pronunciato un parere in cui esprimeva dubbi circa il livello di tutela dei dati garantito dai detti impegni
riguardo alle forme di trattamento dei dati previste. Tali dubbi sono stati da esso reiterati in un parere del 29 gennaio
2004.
36     Il 1° marzo 2004 la Commissione ha sottoposto al Parlamento il progetto di decisione sull’adeguatezza, in virtù dell’art. 25,
n. 6, della direttiva, accompagnato dal progetto di impegno del CBP.
37     Il 17 marzo 2004 la Commissione ha trasmesso al Parlamento, nell’ottica della consultazione di tale organo ai sensi dell’art. 300,
n. 3, primo comma, CE, una proposta di decisione del Consiglio avente ad oggetto la conclusione di un accordo con gli Stati
Uniti. Con lettera datata 25 marzo 2004 il Consiglio, riferendosi alla procedura d’urgenza, ha chiesto al Parlamento di esprimere
un parere su tale proposta entro il 22 aprile 2004. In tale lettera il Consiglio ha sottolineato quanto segue: «[l]a lotta
contro il terrorismo, che giustifica le misure proposte, costituisce una priorità fondamentale dell’Unione europea, [attualmente]
i vettori aerei e i passeggeri si trovano in una situazione di incertezza cui è urgente porre rimedio [e,] inoltre, [è] essenziale
tutelare gli interessi economici delle parti interessate».
38     Il 31 marzo 2004, in attuazione dell’art. 8 della decisione del Consiglio 28 giugno 1999, 1999/468/CE, recante modalità per
l’esercizio delle competenze di esecuzione conferite alla Commissione (GU L 184, pag. 23), il Parlamento ha adottato una risoluzione
in cui esprimeva un certo numero di riserve di carattere giuridico sulla proposta presentatagli. In tale risoluzione ha considerato,
in particolare, che il progetto di decisione sull’adeguatezza eccedeva le competenze conferite alla Commissione dall’art. 25
della direttiva 95/46, ha invocato la conclusione di un accordo internazionale appropriato che rispettasse i diritti fondamentali
su un certo numero di punti specificati nella risoluzione stessa e ha chiesto alla Commissione di sottoporgli un nuovo progetto
di decisione. Il Parlamento si è inoltre riservato di adire la Corte al fine di verificare la legittimità dell’accordo internazionale
previsto e, in particolare, la sua compatibilità con la tutela del diritto al rispetto della vita privata.
39     Su richiesta del suo presidente, il 21 aprile 2004 il Parlamento ha approvato una raccomandazione della commissione giuridica
e del mercato interno volta ad ottenere, ai sensi dell’art. 300, n. 6, CE, un parere della Corte sulla compatibilità dell’accordo
previsto con le disposizioni del Trattato. Tale procedura è stata avviata lo stesso giorno.
40     Il Parlamento ha inoltre deciso in pari data di rinviare a tale commissione il rapporto sulla proposta di decisione del Consiglio,
respingendo così implicitamente, in questa fase, la domanda di esame urgente della detta proposta presentata dal Consiglio
il 25 marzo.
41     Il seguente 28 aprile il Consiglio, sulla base dell’art. 300, n. 3, primo comma, CE, ha inviato al Parlamento una lettera
chiedendogli di emettere entro il 5 maggio 2004 il suo parere sulla proposta di decisione relativa alla conclusione dell’accordo.
A giustificazione dell’urgenza di tale richiesta, il Consiglio ha ribadito i motivi indicati nella sua lettera del 25 marzo
2004.
42     Avendo avuto notizia della persistente mancanza di tutte le versioni linguistiche della proposta di decisione del Consiglio,
il 4 maggio 2004 il Parlamento ha respinto la domanda di esame urgente della detta proposta che il Consiglio gli aveva presentato
il 28 aprile.
43     Il 14 maggio seguente la Commissione ha adottato la decisione sull’adeguatezza, che forma oggetto della causa C-318/04. Il
17 maggio 2004 il Consiglio ha adottato la decisione 2004/496, che forma oggetto della causa C-317/04.
44     Con lettera del 4 giugno 2004, la presidenza in esercizio del Consiglio ha informato il Parlamento che la decisione 2004/496
prendeva in considerazione la lotta contro il terrorismo – prioritaria per l’Unione –, ma anche la necessità di affrontare
una situazione di incertezza giuridica per le compagnie aeree, oltre che gli interessi finanziari di queste.
45     Con lettera del 9 luglio 2004 il Parlamento ha informato la Corte del ritiro della sua richiesta di parere registrata con
il n. 1/04.
46     Nella causa C‑317/04, con ordinanze del presidente della Corte 18 novembre 2004 e 18 gennaio 2005, sono stati ammessi gli
interventi della Commissione e del Regno Unito di Gran Bretagna e Irlanda del Nord a sostegno delle conclusioni del Consiglio.
47     Nella causa C-318/04, con ordinanza del presidente della Corte 17 dicembre 2004, è stato ammesso l’intervento del Regno Unito
a sostegno delle conclusioni della Commissione.
48     Con ordinanze della Corte 17 marzo 2005 è stato ammesso l’intervento del Garante europeo della protezione dei dati a sostegno
delle conclusioni del Parlamento nelle due dette cause.
49     In considerazione della connessione tra tali cause, confermata nella fase orale, i procedimenti in esame vanno riuniti ai
fini della sentenza a norma dell’art. 43 del regolamento di procedura della Corte.

Sul ricorso nella causa C-318/04
50     Il Parlamento deduce quattro motivi di annullamento, relativi, rispettivamente, ad un eccesso di potere, ad una violazione
dei principi essenziali della direttiva, ad una violazione dei diritti fondamentali e ad una violazione del principio di proporzionalità.

Sulla prima parte del primo motivo, relativa ad una violazione dell’art. 3, n. 2, primo trattino, della direttiva
Argomenti delle parti
51     Il Parlamento sostiene che la decisione della Commissione è stata adottata ultra vires, in quanto non sarebbero state rispettare
le disposizioni emanate con la direttiva e in violazione, in particolare, dell’art. 3, n. 2, primo trattino, della stessa,
relativo all’esclusione delle attività che non rientrano nell’ambito di applicazione del diritto comunitario.
52     Non vi sarebbe dubbio che il trattamento dei dati PNR dopo il trasferimento all’autorità americana di cui alla decisione sull’adeguatezza
è, e sarà, effettuato per l’esercizio di attività proprie degli Stati ai sensi del punto 43 della sentenza 6 novembre 2003,
causa C-101/01, Lindqvist (Rec. pag. I‑12971).
53     La Commissione, sostenuta dal Regno Unito, ritiene che le attività dei vettori aerei rientrino chiaramente nell’ambito di
applicazione del diritto comunitario. Afferma che tali operatori privati trattano i dati PNR all’interno della Comunità e
ne organizzano il trasferimento verso uno Stato terzo. Si tratterebbe dunque di attività dei privati e non dello Stato membro
in cui operano i vettori interessati, o dei suoi pubblici poteri, come definito dalla Corte al punto 43 della citata sentenza
Lindqvist. Nel trattamento dei dati PNR i vettori aerei perseguirebbero semplicemente lo scopo di rispettare le prescrizioni
del diritto comunitario, compreso l’obbligo iscritto al punto 2 dell’accordo. L’art. 3, n. 2, della direttiva farebbe riferimento
alle attività di autorità pubbliche che non rientrano nell’ambito di applicazione del diritto comunitario.
Giudizio della Corte
54     L’art. 3, n. 2, primo trattino, della direttiva esclude dal suo ambito di applicazione i trattamenti di dati personali effettuati
per l’esercizio di attività che non rientrano nell’ambito di applicazione del diritto comunitario, come quelle previste dai
titoli V e VI del Trattato sull’Unione europea e, comunque, i trattamenti aventi come oggetto la pubblica sicurezza, la difesa,
la sicurezza dello Stato e le attività dello Stato in materia di diritto penale.
55     La decisione sull’adeguatezza riguarda solamente i dati PNR trasmessi al CBP. Dal sesto ‘considerando’ di questa decisione
emerge che l’obbligo di tale trasmissione si basa su una legge adottata dagli Stati Uniti nel novembre 2001 e su regolamenti
di attuazione adottati dal CBP in base a tale legge. Ai sensi del settimo ‘considerando’ della stessa decisione, la legislazione
statunitense in questione riguarda il rafforzamento della sicurezza, nonché le condizioni di ingresso negli Stati Uniti e
di uscita dal paese. Ai sensi dell’ottavo ‘considerando’, la Comunità sostiene pienamente gli Stati Uniti nella loro lotta
contro il terrorismo nei limiti imposti dal diritto comunitario. Il quindicesimo ‘considerando’ della stessa decisione enuncia
che i dati PNR devono essere utilizzati al solo scopo di prevenire e di combattere il terrorismo e i reati collegati al terrorismo,
altri reati gravi, compresa la criminalità organizzata, che, per natura, rivestono un carattere transnazionale, e la fuga
in caso di mandato d’arresto emesso o di pena detentiva comminata per quei reati.
56     Ne risulta che il trasferimento dei dati PNR al CBP costituisce un trattamento avente come oggetto la pubblica sicurezza e
le attività dello Stato in materia di diritto penale.
57     Se è giusto considerare che i dati PNR sono inizialmente raccolti dalle compagnie aeree nell’ambito di un’attività che rientra
nel diritto comunitario, ossia la vendita di un biglietto aereo che dà diritto ad una prestazione di servizi, il trattamento
dei dati che viene preso in considerazione nella decisione sull’adeguatezza, tuttavia, possiede una natura del tutto diversa.
Infatti, tale decisione, come già ricordato al punto 55 della presente sentenza, non riguarda un trattamento di dati necessario
alla realizzazione di una prestazione di servizi, ma ritenuto necessario per salvaguardare la pubblica sicurezza e a fini
repressivi.
58     Al punto 43 della citata sentenza Lindqvist, invocato dalla Commissione nella sua difesa, la Corte ha dichiarato che le attività
indicate, a mo’ di esempio, nell’art. 3, n. 2, primo trattino, della direttiva sono, in tutti i casi, attività proprie degli
Stati o delle autorità statali ed estranee ai settori di attività dei singoli. Tuttavia, non ne discende che, per il fatto
che i dati PNR sono stati raccolti da operatori privati a fini commerciali e che sono questi ultimi ad organizzarne il trasferimento
ad uno Stato terzo, tale trasferimento non rientri nell’ambito di applicazione della detta norma. Infatti, il trasferimento
rientra in un ambito istituito dai poteri pubblici e attinente alla pubblica sicurezza.
59     Dalle precedenti considerazioni risulta che la decisione sull’adeguatezza riguarda un trattamento di dati personali ai sensi
dell’art. 3, n. 2, primo trattino, della direttiva. Tale decisione non rientra pertanto nell’ambito di applicazione di quest’ultima.
60     La prima parte del primo motivo, relativa ad una violazione dell’art. 3, n. 2, primo trattino, della direttiva, è quindi fondata.
61     Conseguentemente, senza che sia necessario esaminare le altre parti del primo motivo o gli altri motivi invocati dal Parlamento,
si deve annullare la decisione sull’adeguatezza.

Sul ricorso nella causa C-317/04
62     Il Parlamento deduce sei motivi di annullamento, relativi alla scelta erronea dell’art. 95 CE come fondamento giuridico della
decisione 2004/496 e alla violazione, rispettivamente, dell’art. 300, n. 3, secondo comma, CE, dell’art. 8 della CEDU, del
principio di proporzionalità, dell’obbligo di motivazione e del principio di leale cooperazione.

Sul primo motivo, relativo alla scelta erronea dell’art. 95 CE come fondamento giuridico della decisione 2004/496
Argomenti delle parti
63     Il Parlamento sostiene che l’art. 95 CE non costituisce, per la decisione 2004/496, un fondamento giuridico corretto. La decisione,
infatti, non avrebbe né per oggetto né per contenuto l’instaurazione e il funzionamento del mercato interno contribuendo all’eliminazione
di ostacoli alla libera prestazione dei servizi e non conterrebbe disposizioni volte alla realizzazione di tale scopo. Infatti,
la sua finalità sarebbe piuttosto quella di legittimare il trattamento di dati personali imposto dalla legislazione statunitense.
Del resto, l’art. 95 CE non potrebbe costituire il fondamento della competenza della Comunità a concludere l’accordo, giacché
questo riguarda trattamenti di dati esclusi dall’ambito di applicazione della direttiva.
64     Il Consiglio sostiene che la direttiva, validamente adottata sul fondamento dell’art. 100 A del Trattato, all’art. 25 contiene
disposizioni che prevedono la possibilità di un trasferimento di dati personali verso uno Stato terzo che garantisca un livello
adeguato di protezione, compresa la possibilità di avviare, in caso di necessità, negoziati che conducano alla conclusione
di un accordo tra la Comunità e tale paese. L’accordo riguarderebbe la libera circolazione dei dati PNR tra la Comunità e
gli Stati Uniti in condizioni che rispettino le libertà e i diritti fondamentali delle persone, in particolare la vita privata.
Sarebbe volto a sopprimere qualsiasi distorsione della concorrenza tra le compagnie aeree degli Stati membri e fra queste
ultime e le compagnie degli Stati terzi, che possa risultare dalle condizioni imposte dagli Stati Uniti, per ragioni attinenti
alla tutela dei diritti e delle libertà degli individui. Le condizioni della concorrenza fra le compagnie degli Stati membri
che offrono un servizio di trasporto internazionale di passeggeri verso o dagli Stati Uniti avrebbero potuto essere falsate
per il fatto che solo alcune di esse avrebbero accordato alle autorità statunitensi un accesso alle loro banche dati. L’accordo
intenderebbe imporre obblighi uniformi a tutte le compagnie interessate.
65     La Commissione sottolinea l’esistenza di un «conflitto di leggi», nel senso del diritto internazionale pubblico, tra le leggi
degli Stati Uniti e la normativa comunitaria oltre che la necessità di conciliarle. Rimprovera al Parlamento, che nega che
l’art. 95 CE possa costituire il fondamento normativo della decisione 2004/496, di non aver proposto un fondamento normativo
idoneo. Secondo la Commissione, tale articolo costituirebbe il «fondamento normativo naturale» della decisione, in quanto
l’accordo riguarderebbe la dimensione esterna della protezione dei dati personali nel momento del loro trasferimento all’interno
della Comunità. Gli artt. 25 e 26 della direttiva fonderebbero una competenza esclusiva esterna a favore della Comunità.
66     Inoltre, la Commissione sostiene che il trattamento iniziale di quei dati da parte delle compagnie aeree viene effettuato
a fini commerciali. L’uso che ne fanno le autorità statunitensi non li sottrarrebbe all’incidenza della direttiva.
Giudizio della Corte
67     L’art. 95 CE, in combinato disposto con l’art. 25 della direttiva, non è idoneo a fondare la competenza della Comunità a concludere
l’accordo.
68     Infatti, l’accordo riguarda lo stesso trasferimento di dati della decisione sull’adeguatezza e quindi trattamenti di dati
che, come precedentemente esposto, sono esclusi dall’ambito di applicazione della direttiva.
69     Conseguentemente, la decisione 2004/496 non è stata validamente adottata sul fondamento dell’art. 95 CE.
70     Senza che sia necessario esaminare gli altri motivi invocati dal Parlamento, si deve pertanto annullare la detta decisione.

Sulla limitazione degli effetti della sentenza
71     Dal punto 7 dell’accordo risulta che ciascuna parte può denunciarlo in qualsiasi momento e che esso cessa di essere in vigore
90 giorni dopo la data della notifica della denuncia all’altra parte.
72     Tuttavia, ai sensi dei punti 1 e 2 dell’accordo, il diritto di accesso del CBP ai dati PNR e l’obbligo imposto ai vettori
aerei di trattarli come richiesto dal CBP esistono solo finché la decisione sull’adeguatezza è applicabile. Al punto 3 del
detto accordo, il CBP ha dichiarato di stare attuando le dichiarazioni di impegno allegate alla detta decisione.
73     Dato che la Comunità non può invocare il proprio diritto per giustificare la mancata esecuzione dell’accordo che resta applicabile
per 90 giorni dalla sua denuncia e dato che l’accordo e la decisione sull’adeguatezza sono strettamente collegati, appare
giustificato, per ragioni di certezza del diritto e al fine di proteggere le persone interessate, mantenere gli effetti della
decisione sull’adeguatezza durante tale periodo. Inoltre, occorre tener conto del tempo necessario per adottare le misure
che l’esecuzione della presente sentenza comporta.
74     Gli effetti della decisione sull’adeguatezza devono pertanto essere mantenuti fino al 30 settembre 2006, senza che, tuttavia,
tali effetti siano mantenuti oltre la data di estinzione dell’accordo.

Sulle spese
75     Ai sensi dell’art. 69, n. 2, del regolamento di procedura, la parte soccombente è condannata alle spese se ne è stata fatta
domanda. Poiché il Parlamento ha chiesto la condanna del Consiglio e della Commissione, questi ultimi, rimasti soccombenti,
devono essere condannati alle spese. Ai sensi del n. 4, primo comma, dello stesso articolo, gli intervenienti nelle presenti
cause sopportano le proprie spese.
Per questi motivi, la Corte (Grande Sezione) dichiara e statuisce:
1)
Sono annullate la decisione del Consiglio 17 maggio 2004, 2004/496/CE, relativa alla conclusione di un accordo tra la Comunità
europea e gli Stati Uniti d’America sul trattamento e trasferimento dei dati di identificazione delle pratiche (Passenger
Name Record, PNR) da parte dei vettori aerei all’ufficio doganale e di protezione dei confini del dipartimento per la sicurezza
interna degli Stati Uniti, e la decisione della Commissione 14 maggio 2004, 2004/535/CE, relativa al livello di protezione
adeguato dei dati personali contenuti nelle schede nominative dei passeggeri aerei trasferiti all’Ufficio delle dogane e della
protezione delle frontiere degli Stati Uniti
United States’ Bureau of Customs and Border Protection
.
2)
Gli effetti della decisione 2004/535 sono mantenuti fino al 30 settembre 2006, senza che, tuttavia, tali effetti siano mantenuti
oltre la data di estinzione dell’accordo.
3)
Il Consiglio dell’Unione europea è condannato alle spese nella causa C‑317/04.
4)
La Commissione delle Comunità europee è condannata alle spese nella causa C-318/04.
5)
La Commissione delle Comunità europee sopporterà le proprie spese nella causa C-317/04.
6)
Il Regno Unito di Gran Bretagna e Irlanda del Nord e il Garante europeo della protezione dei dati sopporteranno le proprie
spese.
Firme
*
Lingua processuale: il francese.