Directive (EU) 2016/681 of the European Parliament and of the Council of 27 April 2016 on the use of passenger name record (PNR) data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime
Date: 2016-04-27

num: Articolo 1
title: Oggetto e ambito di applicazione
paragraphs: 1. La presente direttiva prevede:
a)
il trasferimento a cura dei vettori aerei dei dati del codice di prenotazione dei passeggeri (PNR) dei voli extra-UE;
b)
il trattamento dei dati di cui alla lettera a), comprese le operazioni di raccolta, uso e conservazione a cura degli Stati membri e il loro scambio tra gli Stati membri.
2. I dati PNR raccolti a norma della presente direttiva possono essere trattati unicamente a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi, secondo quanto previsto all'articolo 6, paragrafo 2, lettere a), b) e c).
num: Articolo 2
title: Applicazione della presente direttiva ai voli intra-UE
paragraphs: 1. Se uno Stato membro decide di applicare la presente direttiva ai voli intra-UE, lo notifica per iscritto alla Commissione. Uno Stato membro può effettuare o revocare tale notifica in qualsiasi momento. La Commissione pubblica tale notifica e ogni sua eventuale revoca nella Gazzetta ufficiale dell'Unione europea.
2. Qualora sia effettuata una notifica di cui al paragrafo 1, tutte le disposizioni della presente direttiva si applicano ai voli intra-UE come se fossero voli extra-UE e ai dati PNR riguardanti voli intra-UE come se fossero dati PNR riguardanti voli extra-UE.
3. Uno Stato membro può decidere di applicare la presente direttiva solo a voli intra-UE selezionati. Nell'adottare tale decisione, lo Stato membro seleziona i voli che ritiene necessari per perseguire gli obiettivi della presente direttiva. Lo Stato membro può decidere di modificare la selezione dei voli intra-UE in qualsiasi momento.
num: Articolo 3
title: Definizioni
paragraphs: Ai fini della presente direttiva si intende per:
1)
«vettore aereo», un'impresa di trasporto aereo titolare di una licenza di esercizio in corso di validità o equivalente che le consente di effettuare trasporti aerei di passeggeri;
2)
«volo extra-UE», un volo di linea o non di linea effettuato da un vettore aereo in provenienza da un paese terzo e che deve atterrare nel territorio di uno Stato membro oppure in partenza dal territorio di uno Stato membro e che deve atterrare in un paese terzo, compresi, in entrambi i casi, i voli con scali nel territorio di Stati membri o di paesi terzi;
3)
«volo intra-UE», un volo di linea o non di linea effettuato da un vettore aereo in provenienza dal territorio di uno Stato membro e che deve atterrare nel territorio di uno o più altri Stati membri, senza alcuno scalo nel territorio di un paese terzo;
4)
«passeggero», chiunque, compresi i passeggeri in trasferimento o in transito ed esclusi i membri dell'equipaggio, sia trasportato o da trasportare in un aeromobile con il consenso del vettore aereo, risultante dalla registrazione di tali passeggeri nell'elenco dei passeggeri;
5)
«codice di prenotazione» o «PNR», le informazioni relative al viaggio di ciascun passeggero comprendenti i dati necessari per il trattamento e il controllo delle prenotazioni a cura dei vettori aerei e di prenotazione interessati per ogni volo prenotato da qualunque persona o per suo conto, siano esse registrate in sistemi di prenotazione, in sistemi di controllo delle partenze utilizzato per la registrazione dei passeggeri sui voli, o in altri sistemi equivalenti con le stesse funzionalità;
6)
«sistema di prenotazione», il sistema interno del vettore aereo in cui sono raccolti i dati PNR ai fini della gestione delle prenotazioni;
7)
«metodo push», il metodo in base al quale i vettori aerei trasferiscono i dati PNR elencati nell'allegato I alla banca dati dell'autorità richiedente;
8)
«reati di terrorismo», i reati ai sensi del diritto nazionale di cui agli articoli da 1 a 4 della decisione quadro 2002/475/GAI;
9)
«reati gravi», i reati elencati nell'allegato II, che siano punibili con una pena detentiva o una misura di sicurezza privativa della libertà personale non inferiore a tre anni conformemente al diritto nazionale di uno Stato membro;
10)
«rendere anonimo mediante mascheratura degli elementi dei dati», rendere invisibili per un utente quegli elementi dei dati che potrebbero servire a identificare direttamente l'interessato.
CAPO II
Competenze degli stati membri
num: Articolo 4
title: Unità d'informazione sui passeggeri
paragraphs: 1. Ciascuno Stato membro stabilisce o designa un'autorità competente in materia di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi, o una sua sezione, che agisca in qualità di «unità d'informazione sui passeggeri» (UIP).
2. La UIP è incaricata di:
a)
raccogliere i dati PNR presso i vettori aerei, conservare, trattare e trasferire tali dati o i risultati del loro trattamento alle autorità competenti di cui all'articolo 7;
b)
scambiare sia i dati PNR che i risultati del trattamento di tali dati con le UIP degli altri Stati membri e con Europol conformemente agli articoli 9 e 10.
3. I membri del personale delle UIP possono essere funzionari distaccati delle autorità competenti. Gli Stati membri dotano le UIP delle risorse adeguate per svolgere i loro compiti.
4. Due o più Stati membri (Stati membri partecipanti) possono istituire o designare una stessa autorità che agisca in qualità di UIP. Tale UIP è stabilita in uno degli Stati membri partecipanti ed è considerata la UIP di tutti gli Stati membri partecipanti. Gli Stati membri partecipanti ne concordano congiuntamente le modalità di funzionamento e rispettano le prescrizioni di cui alla presente direttiva.
5. Entro un mese dall'istituzione del suo UIP ciascuno Stato membro ne dà notifica alla Commissione e può modificare la sua notifica in qualsiasi momento. La Commissione pubblica la notifica e le eventuali modifiche della stessa nella Gazzetta ufficiale dell'Unione europea.
num: Articolo 5
title: Responsabile della protezione dei dati all'interno dell'UIP
paragraphs: 1. L'UIP nomina un responsabile della protezione dei dati incaricato di sorvegliare il trattamento dei dati PNR e di attuare le pertinenti garanzie.
2. Gli Stati membri forniscono al responsabile della protezione dei dati i mezzi per adempiere alle funzioni e ai compiti che gli incombono a norma del presente articolo in modo efficace e indipendente.
3. Gli Stati membri assicurano che gli interessati abbiano il diritto di contattare il responsabile della protezione dei dati, che funge da punto di contatto unico, in merito a tutte le questioni connesse al trattamento dei dati PNR che li riguardano.
num: Articolo 6
title: Trattamento dei dati PNR
paragraphs: 1. I dati PNR trasferiti dai vettori aerei sono raccolti dall'UIP dello Stato membro interessato secondo quanto previsto all'articolo 8. Qualora nei dati PNR trasferiti dai vettori aerei siano compresi dati diversi da quelli elencati nell'allegato I, l'UIP li cancella in via definitiva non appena li riceve.
2. L'UIP provvede al trattamento dei dati PNR unicamente per le seguenti finalità:
a)
valutare i passeggeri prima dell'arrivo previsto nello Stato membro o della partenza prevista dallo Stato membro per identificare quelli da sottoporre a ulteriore verifica da parte delle autorità competenti di cui all'articolo 7 e, se del caso, da parte di Europol, a norma dell'articolo 10, in considerazione del fatto che gli stessi potrebbero essere implicati in reati di terrorismo o in reati gravi;
b)
rispondere, caso per caso, a una richiesta debitamente motivata e basata su motivi sufficienti da parte delle autorità competenti di trasmettere e trattare dati PNR in casi specifici a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi, e di comunicare i risultati di tale trattamento alle stesse autorità competenti o, se del caso, a Europol; e
c)
analizzare i dati PNR per aggiornare i criteri esistenti o definire nuovi criteri da usare nelle valutazioni effettuate ai sensi del paragrafo 3, lettera b), al fine di identificare le persone che potrebbero essere implicate in reati di terrorismo o in reati gravi.
3. Nell'effettuare la valutazione di cui al paragrafo 2, lettera a), l'UIP può:
a)
confrontare i dati PNR rispetto a banche dati pertinenti a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi, comprese le banche dati riguardanti persone o oggetti ricercati o segnalati, conformemente alle norme dell'Unione, internazionali e nazionali applicabili a tali banche dati; o
b)
trattare i dati PNR sulla base di criteri prestabiliti.
4. Ogni valutazione dei passeggeri secondo criteri prestabiliti di cui al paragrafo 3, lettera b), prima dell'arrivo previsto nello Stato membro o della partenza prevista dallo Stato membro, è effettuata in modo non discriminatorio. Tali criteri prestabiliti devono essere mirati, proporzionati e specifici. Gli Stati membri assicurano che detti criteri siano stabiliti dall'UIP e periodicamente rivisti in cooperazione con le autorità competenti di cui all'articolo 7. Detti criteri non sono in alcun caso basati sull'origine razziale o etnica, sulle opinioni politiche, sulla religione o sulle convinzioni filosofiche, sull'appartenenza sindacale, sullo stato di salute, sulla vita sessuale o sull'orientamento sessuale dell'interessato.
5. Gli Stati membri provvedono affinché i riscontri positivi a seguito del trattamento automatizzato dei dati PNR effettuato a norma del paragrafo 2, lettera a), siano singolarmente sottoposti a un esame non automatizzato per verificare se sia necessario un intervento dell'autorità competente di cui all'articolo 7 conformemente al diritto nazionale.
6. L'UIP di uno Stato membro trasmette i dati PNR dei passeggeri identificati conformemente al paragrafo 2, lettera a), o il risultato del trattamento di tali dati, per ulteriore verifica, alle autorità competenti di cui all'articolo 7 dello stesso Stato membro. Tali trasferimenti sono effettuati solo caso per caso e, in caso di trattamento automatizzato dei dati PNR, dopo l'esame individuale non automatizzato.
7. Gli Stati membri assicurano che il responsabile della protezione dei dati abbia accesso a tutti i dati trattati dall'UIP. Se ritiene che il trattamento dei dati non sia stato lecito, il responsabile della protezione dei dati può rinviare la questione all'autorità nazionale di controllo.
8. La conservazione, il trattamento e l'analisi dei dati PNR da parte dell'UIP sono effettuati esclusivamente in un luogo o in luoghi sicuri all'interno del territorio degli Stati membri.
9. Le conseguenze delle valutazioni dei passeggeri di cui al paragrafo 2, lettera a), del presente articolo non pregiudicano il diritto delle persone che godono del diritto di libera circolazione dell'Unione di entrare nel territorio dello Stato membro interessato secondo quanto previsto dalla direttiva 2004/38/CE del Parlamento europeo e del Consiglio (11). Inoltre, se le valutazione sono effettuate in relazione a voli intra-UE tra Stati membri cui si applica il regolamento (CE) n. 562/2006 del Parlamento europeo e del Consiglio (12), le conseguenze di tali valutazioni devono rispettare tale regolamento.
num: Articolo 7
title: Autorità competenti
paragraphs: 1. Ciascuno Stato membro adotta l'elenco delle autorità competenti autorizzate a chiedere o ricevere dalle UIP i dati PNR o i risultati del loro trattamento ai fini di un'ulteriore verifica delle informazioni o di interventi appropriati per prevenire, accertare, indagare e perseguire reati di terrorismo o reati gravi.
2. Le autorità di cui al paragrafo 1 sono le autorità responsabili della prevenzione, dell'accertamento, dell'indagine o del perseguimento dei reati di terrorismo o dei reati gravi.
3. Ai fini dell'articolo 9, paragrafo 3, entro il 25 maggio 2017 ciascuno Stato membro notifica alla Commissione l'elenco delle proprie autorità competenti e può modificare la sua notifica in qualsiasi momento. La Commissione pubblica la notifica e le eventuali modifiche della stessa nella Gazzetta ufficiale dell'Unione europea.
4. Le autorità competenti degli Stati membri possono sottoporre a ulteriore trattamento i dati PNR e i risultati del loro trattamento ricevuti dall'UIP unicamente al fine specifico di prevenire, accertare, indagare o perseguire reati di terrorismo o reati gravi.
5. Il paragrafo 4 non pregiudica le competenze delle autorità di contrasto e giudiziarie nazionali qualora siano individuati altri reati o indizi di reato durante l'azione di contrasto determinata da tale trattamento.
6. Le autorità competenti non devono adottare decisioni che comportino conseguenze giuridiche negative per l'interessato, o lo danneggino in modo significativo, soltanto sulla base del trattamento automatizzato dei dati PNR. Tali decisioni non devono essere adottate sulla base dell'origine razziale o etnica, delle opinioni politiche, della religione o delle convinzioni filosofiche, dell'appartenenza sindacale, dello stato di salute, della vita sessuale o dell'orientamento sessuale dell'interessato.
num: Articolo 8
title: Obblighi dei vettori aerei riguardanti i trasferimenti di dati
paragraphs: 1. Gli Stati membri adottano i necessari provvedimenti affinché i vettori aerei trasferiscano, attraverso il «metodo push», i dati PNR elencati nell'allegato I, a condizione che abbiano già raccolto tali dati nel normale svolgimento della loro attività, alla banca dati dell'UIP dello Stato membro nel cui territorio atterra o dal cui territorio parte il volo. Qualora il volo sia operato in code-sharing da uno o più vettori aerei, l'obbligo di trasferire i dati PNR di tutti i passeggeri del volo spetta al vettore aereo che opera il volo. Qualora un volo extra-UE faccia uno o più scali negli aeroporti degli Stati membri, i vettori aerei trasferiscono i dati PNR di tutti i passeggeri alle UIP di tutti gli Stati membri interessati. Lo stesso vale qualora un volo intra-UE faccia uno o più scali negli aeroporti di diversi Stati membri, ma solo in relazione agli Stati membri che raccolgono i dati PNR dei voli intra-UE.
2. Nel caso in cui i vettori aerei abbiano raccolto le informazioni anticipate sui passeggeri (API) di cui all'allegato I, punto 18, ma non conservino tali dati con gli stessi mezzi tecnici di quelli per gli altri dati PNR, gli Stati membri adottano le misure necessarie affinché i vettori aerei trasferiscano, attraverso il «metodo push», anche detti dati all'UIP dello Stato membro di cui al paragrafo 1. In caso di trasferimento, tutte le disposizioni della presente direttiva si applicano in relazione a tali dati API.
3. I vettori aerei trasferiscono i dati PNR elettronicamente utilizzando i protocolli comuni e i formati di dati supportati da adottare secondo la procedura d'esame di cui all'articolo 17, paragrafo 2, o, in caso di guasto tecnico, con altro mezzo appropriato che assicuri un adeguato livello di sicurezza dei dati, conformemente alle seguenti condizioni:
a)
da 24 a 48 ore prima dell'ora prevista di partenza del volo; e
b)
immediatamente dopo la chiusura del volo, vale a dire una volta che i passeggeri sono saliti a bordo dell'aeromobile pronto per la partenza e non è più possibile l'imbarco o lo sbarco di passeggeri.
4. Gli Stati membri consentono ai vettori aerei di limitare il trasferimento di cui al paragrafo 3, lettera b), agli aggiornamenti dei trasferimenti di cui alla lettera a) di detto paragrafo.
5. Quando l'accesso ai dati PNR è necessario per rispondere a una minaccia specifica e reale connessa a reati di terrorismo o a reati gravi, i vettori aerei, caso per caso, trasferiscono i dati PNR in momenti diversi da quelli di cui al paragrafo 3, su richiesta di un'UIP conformemente al diritto nazionale.
num: Articolo 9
title: Scambio di informazioni tra Stati membri
paragraphs: 1. Gli Stati membri provvedono affinché, per quanto riguarda le persone identificate da un'UIP a norma dell'articolo 6, paragrafo 2, questa trasmetta tutti i dati PNR pertinenti e necessari o i risultati del loro trattamento alle corrispondenti UIP degli altri Stati membri. Le UIP degli Stati membri destinatari trasmettono, ai sensi dell'articolo 6, paragrafo 6, le informazioni ricevute alle rispettive autorità competenti.
2. L'UIP di uno Stato membro è autorizzata a chiedere, se necessario, all'UIP di qualsiasi altro Stato membro di trasmetterle i dati PNR conservati nella sua banca dati e che non sono stati ancora resi anonimi mediante mascheratura degli elementi dei dati a norma dell'articolo 12, paragrafo 2, e, se necessario, anche i risultati di qualsiasi trattamento di tali dati, se è già stato effettuato ai sensi dell'articolo 6, paragrafo 2, lettera a). Tale richiesta deve essere debitamente motivata. Può riguardare uno o più elementi di dati combinati fra loro, secondo quanto ritenga necessario l'UIP richiedente in relazione a un caso specifico di prevenzione, accertamento, indagine o azione penale nei confronti di reati di terrorismo o di reati gravi. L'UIP comunica le informazioni richieste appena possibile. Nel caso in cui i dati richiesti siano stati resi anonimi mediante mascheratura degli elementi dei dati a norma dell'articolo 12, paragrafo 2, l'UIP trasmette i dati PNR integrali solo se è ragionevolmente ritenuto necessario ai fini dell'articolo 6, paragrafo 2, lettera b), e solo se autorizzata in tal senso da un'autorità di cui all'articolo 12, paragrafo 3, lettera b).
3. Le autorità competenti di uno Stato membro hanno facoltà di chiedere direttamente all'UIP di qualsiasi altro Stato membro di trasmettere loro i dati PNR conservati nella sua banca dati solo se necessario in situazioni di emergenza e alle condizioni previste al paragrafo 2. Le richieste delle autorità competenti devono essere motivate. Una copia della richiesta è sempre trasmessa all'UIP dello Stato membro richiedente. In tutti gli altri casi, le autorità competenti inoltrano le richieste tramite l'UIP del proprio Stato membro.
4. In circostanze eccezionali, se è necessario accedere a dati PNR per rispondere a una minaccia specifica e reale connessa a reati di terrorismo o reati gravi, l'UIP di uno Stato membro è autorizzata a chiedere all'UIP di un altro Stato membro di ottenere dati PNR ai sensi dell'articolo 8, paragrafo 5, e di trasmettere tali dati all'UIP richiedente.
5. Lo scambio di informazioni ai sensi del presente articolo può avvenire tramite qualsiasi canale esistente di cooperazione tra le autorità competenti degli Stati membri. La lingua utilizzata per la richiesta e lo scambio di informazioni è quella applicabile al canale utilizzato. Nell'effettuare le notifiche a norma dell'articolo 4, paragrafo 5, gli Stati membri comunicano alla Commissione anche gli estremi dei punti di contatto cui possono essere trasmesse le richieste in casi di emergenza. La Commissione comunica tali estremi agli Stati membri.
num: Articolo 10
title: Condizioni per l'accesso di Europol ai dati PNR
paragraphs: 1. Europol ha il diritto di chiedere i dati PNR o i risultati del trattamento di tali dati alle UIP degli Stati membri entro i limiti delle sue competenze e per l'adempimento dei suoi compiti.
2. Europol, per il tramite dell'unità nazionale Europol, può presentare, caso per caso, all'UIP di uno Stato membro una richiesta elettronica e debitamente motivata di trasmissione di dati PNR o dei risultati del trattamento di tali dati. Europol può presentare tale richiesta qualora ciò si riveli strettamente necessario per sostenere e rafforzare l'azione degli Stati membri volta a prevenire, accertare o indagare uno specifico reato di terrorismo o reato grave, nella misura in cui si tratti di un reato di competenza di Europol conformemente alla decisione 2009/371/GAI. Detta richiesta espone i ragionevoli motivi in base ai quali Europol ritiene che la trasmissione dei dati PNR o dei risultati del trattamento di tali dati contribuisca significativamente alla prevenzione, all'accertamento o all'indagine nei confronti del reato in questione.
3. Europol informa il responsabile della protezione dei dati nominato a norma dell'articolo 28 della decisione 2009/371/GAI di qualsiasi scambio di informazioni ai sensi del presente articolo.
4. Lo scambio di informazioni ai sensi del presente articolo avviene tramite l'applicazione SIENA e conformemente alla decisione 2009/371/GAI. La lingua utilizzata per la richiesta e lo scambio di informazioni è quella applicabile a SIENA.
num: Articolo 11
title: Trasferimento dei dati a paesi terzi
paragraphs: 1. Uno Stato membro può trasferire a un paese terzo i dati PNR nonché i risultati del trattamento di tali dati che sono conservati dall'UIP conformemente all'articolo 12 soltanto caso per caso e se:
a)
ricorrono le condizioni di cui all'articolo 13 della decisione quadro 2008/977/GAI;
b)
il trasferimento è necessario per le finalità di cui all'articolo 1, paragrafo 2, della presente direttiva;
c)
il paese terzo accetta di trasferire i dati a un altro paese terzo soltanto se il trasferimento è strettamente necessario per le finalità di cui all'articolo 1, paragrafo 2, della presente direttiva e soltanto previa autorizzazione esplicita di tale Stato membro; e
d)
sono rispettate le stesse condizioni di cui all'articolo 9, paragrafo 2.
2. Nonostante l'articolo 13, paragrafo 2, della decisione 2008/977/GAI, i trasferimenti di dati PNR senza consenso preliminare dello Stato membro dal quale sono stati ottenuti i dati sono autorizzati in circostanze eccezionali soltanto se:
a)
tali trasferimenti sono indispensabili per rispondere a una minaccia specifica e reale connessa a reati di terrorismo o reati gravi in uno Stato membro o un paese terzo; e
b)
il consenso preliminare non può essere ottenuto in tempo utile.
L'autorità responsabile di dare il consenso è informata senza indugio e il trasferimento è debitamente registrato e soggetto a verifica a posteriori.
3. Gli Stati membri trasferiscono i dati PNR alle autorità competenti di paesi terzi soltanto a condizioni conformi alla presente direttiva e soltanto previo accertamento che l'uso che intendono farne i destinatari è conforme alle condizioni e garanzie previste dalla presente direttiva.
4. Il responsabile della protezione dei dati dell'UIP dello Stato membro che ha trasferito i dati PNR è informato ogni volta che uno Stato membro trasferisce dati PNR a norma del presente articolo.
num: Articolo 12
title: Periodo di conservazione dei dati e anonimato
paragraphs: 1. Gli Stati membri provvedono affinché i dati PNR trasmessi dai vettori aerei all'UIP siano da questa conservati in una banca dati per un periodo di cinque anni dal trasferimento all'UIP dello Stato membro dal cui territorio parte o nel cui territorio atterra il volo.
2. Allo scadere del periodo di sei mesi dal trasferimento dei dati PNR di cui al paragrafo 1, tutti i dati PNR sono resi anonimi mediante mascheratura dei seguenti elementi che potrebbero servire a identificare direttamente il passeggero cui i dati PNR si riferiscono:
a)
il nome o i nomi, compresi i nomi di altri passeggeri figuranti nel PNR e il numero di viaggiatori che viaggiano insieme figurante nel PNR;
b)
l'indirizzo e gli estremi;
c)
informazioni su tutte le modalità di pagamento, compreso l'indirizzo di fatturazione, nella misura in cui contenga informazioni che potrebbero servire a identificare direttamente il passeggero cui si riferiscono i dati PNR o altre persone;
d)
informazioni sui viaggiatori abituali («Frequent flyer»);
e)
osservazioni generali contenenti informazioni che potrebbero servire a identificare direttamente il passeggero cui si riferiscono i dati PNR; e
f)
i dati API eventualmente raccolti.
3. Allo scadere del periodo di sei mesi di cui al paragrafo 2, la comunicazione dei dati PNR integrali è consentita solo se:
a)
è ragionevolmente ritenuta necessaria ai fini dell'articolo 6, paragrafo 2, lettera b); e
b)
è approvata da:
i)
un'autorità giudiziaria; o
ii)
un'altra autorità nazionale competente ai sensi del diritto nazionale per verificare se sono soddisfatte le condizioni per la comunicazione, fatti salvi l'informazione e l'esame a posteriori del responsabile della protezione dei dati dell'UIP.
4. Gli Stati membri provvedono affinché i dati PNR siano cancellati in via definitiva allo scadere del periodo di cui al paragrafo 1. Questo obbligo non incide sui casi in cui dati PNR specifici sono stati trasferiti a un'autorità competente e sono usati nell'ambito di un caso specifico a fini di prevenzione, accertamento, indagine e azione penale dei reati di terrorismo o reati gravi, nel qual caso la loro conservazione presso l'autorità competente è disciplinata dal diritto nazionale.
5. I risultati del trattamento di cui all'articolo 6, paragrafo 2, lettera a), sono conservati presso l'UIP soltanto per il tempo necessario a informare di un riscontro positivo le autorità competenti e, conformemente all'articolo 9, paragrafo 1, a informare di un riscontro positivo le UIP degli altri Stati membri. Il risultato di un trattamento automatizzato, anche qualora risulti negativo a seguito dell'esame individuale non automatizzato di cui all'articolo 6, paragrafo 5, può comunque essere memorizzato in modo da evitare futuri «falsi» riscontri positivi fino a che i dati di riferimento non sono cancellati a norma del paragrafo 4 del presente articolo.
num: Articolo 13
title: Protezione dei dati personali
paragraphs: 1. Ciascuno Stato membro dispone che, in relazione a qualsiasi trattamento di dati personali a norma della presente direttiva, ogni passeggero goda di un diritto di protezione dei dati personali, dei diritti di accesso, di rettifica, cancellazione e limitazione, così come dei diritti a compensazione e di proporre un ricorso giurisdizionale identici a quelli previsti dal diritto dell'Unione e nazionale e in attuazione degli articoli 17, 18, 19 e 20 della decisione quadro 2008/977/GAI. Si applicano pertanto le disposizioni di tali articoli.
2. Ciascuno Stato membro dispone che le norme nazionali di attuazione degli articoli 21 e 22 della decisione quadro 2008/977/GAI riguardanti la riservatezza del trattamento e la sicurezza dei dati si applichino anche a qualsiasi trattamento di dati personali effettuato a norma della presente direttiva.
3. La presente direttiva fa salva l'applicabilità della direttiva 95/46/CE del Parlamento europeo e del Consiglio (13) al trattamento di dati personali da parte dei vettori aerei, in particolare i loro obblighi relativi all'adozione di adeguate misure tecniche e organizzative a tutela della sicurezza e della riservatezza dei dati personali.
4. Gli Stati membri vietano il trattamento dei dati PNR che riveli l'origine razziale o etnica, le opinioni politiche, la religione o le convinzioni filosofiche, l'appartenenza sindacale, lo stato di salute, la vita o l'orientamento sessuali dell'interessato. Qualora l'UIP riceva dati PNR che rivelano tali informazioni, questi sono cancellati immediatamente.
5. Gli Stati membri provvedono affinché l'UIP conservi la documentazione relativa a tutti i sistemi e tutte le procedure di trattamento sotto la propria responsabilità. Tale documentazione comprende almeno:
a)
il nome e le coordinate di contatto dell'organizzazione e del personale dell'UIP incaricati del trattamento dei dati PNR e i diversi livelli di autorizzazione d'accesso;
b)
le richieste delle autorità competenti e delle UIP di altri Stati membri;
c)
tutte le richieste e i trasferimenti di dati PNR verso un paese terzo.
Su richiesta, l'UIP mette a disposizione dell'autorità nazionale di controllo tutta la documentazione disponibile.
6. Gli Stati membri provvedono affinché l'UIP tenga registri almeno delle seguenti operazioni di trattamento: raccolta, consultazione, comunicazione e cancellazione. I registri delle consultazioni e comunicazioni indicano, in particolare, la finalità, la data e l'ora dell'operazione e, nella misura del possibile, l'identità della persona che ha consultato o comunicato i dati PNR, nonché l'identità dei destinatari di tali dati. I registri sono usati esclusivamente a fini di verifica, di autocontrollo, per garantire l'integrità e la sicurezza dei dati o di audit. Su richiesta, l'UIP mette i registri a disposizione dell'autorità nazionale di controllo.
Tali registri sono conservati per un periodo di cinque anni.
7. Gli Stati membri provvedono affinché l'UIP metta in atto adeguate misure e procedure tecniche e organizzative per garantire un livello elevato di sicurezza che sia appropriato ai rischi che il trattamento comporta e alla natura dei dati PNR.
8. Gli Stati membri provvedono affinché, quando una violazione di dati personali è suscettibile di determinare un rischio elevato per la protezione dei dati personali o di incidere negativamente sulla vita privata dell'interessato, l'UIP comunichi la violazione all'interessato e all'autorità nazionale di controllo senza ingiustificato ritardo.
num: Articolo 14
title: Sanzioni
paragraphs: Gli Stati membri stabiliscono le sanzioni applicabili alle violazioni delle disposizioni nazionali adottate a norma della presente direttiva e adottano le misure necessarie per garantirne l'attuazione. Tali sanzioni devono essere effettive, proporzionate e dissuasive.
In particolare, gli Stati membri stabiliscono le norme relative alle sanzioni, anche pecuniarie, a carico dei vettori aerei che non trasmettono i dati, come previsto dall'articolo 8, o non li trasmettono nel formato richiesto.
Le sanzioni previste devono essere effettive, proporzionate e dissuasive.
num: Articolo 15
title: Autorità nazionale di controllo
paragraphs: 1. Ogni Stato membro dispone che l'autorità nazionale di controllo di cui all'articolo 25 della decisione quadro 2008/977/GAI sia incaricata di fornire consulenza e di esercitare la sorveglianza, nel suo territorio, riguardo all'applicazione delle disposizioni adottate dagli Stati membri conformemente alla presente direttiva. Si applica l'articolo 25 della decisione quadro 2008/977/GAI.
2. Tali autorità nazionali di controllo svolgono le attività di cui al paragrafo 1, così da tutelare i diritti fondamentali in relazione al trattamento dei dati personali.
3. Ciascuna autorità nazionale di controllo:
a)
tratta i reclami presentati dagli interessati, svolge le relative indagini e informa gli interessati, entro un termine ragionevole, dello stato e dell'esito del reclamo;
b)
verifica la liceità del trattamento dei dati, svolge indagini, ispezioni e audit conformemente al diritto nazionale, di propria iniziativa o a seguito di un reclamo di cui alla lettera a).
4. Ciascuna autorità nazionale di controllo, su richiesta, consiglia l'interessato in merito all'esercizio dei diritti derivanti dalle disposizioni adottate conformemente alla presente direttiva.
CAPO III
Misure di esecuzione
num: Articolo 16
title: Protocolli comuni e formati di dati supportati
paragraphs: 1. Tutti i trasferimenti di dati PNR dai vettori aerei alle UIP ai fini della presente direttiva sono effettuati con un mezzo elettronico che offra sufficienti garanzie rispetto alle misure di sicurezza tecniche e alle misure organizzative relative ai trattamenti da effettuare. In caso di guasto tecnico, i dati PNR possono essere trasferiti con altro mezzo appropriato, purché sia mantenuto lo stesso livello di sicurezza e sia pienamente rispettato il diritto dell'Unione in materia di protezione dei dati.
2. Un anno dopo la data di prima adozione da parte della Commissione dei protocolli comuni e dei formati di dati supportati a norma del paragrafo 3, tutti i trasferimenti di dati PNR dai vettori aerei alle UIP ai fini della presente direttiva sono effettuati elettronicamente e con metodi sicuri conformi a tali protocolli comuni. Tali protocolli sono identici per tutti i trasferimenti, che garantiscano la sicurezza dei dati PNR durante il trasferimento. I dati PNR sono trasferiti in un formato di dati supportato che ne garantisca la leggibilità a tutti gli interessati. Tutti i vettori aerei hanno l'obbligo di scegliere e notificare all'UIP il protocollo comune e il formato di dati che intendono usare per i loro trasferimenti.
3. La Commissione stabilisce l'elenco dei protocolli comuni e dei formati di dati supportati e, se necessario, lo adegua mediante atti di esecuzione. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 17, paragrafo 2.
4. Il paragrafo 1 si applica, finché non sono disponibili i protocolli comuni e i formati di dati supportati di cui ai paragrafi 2 e 3.
5. Entro un anno dall'adozione dei protocolli comuni e dei formati di dati supportati di cui al paragrafo 2, ciascuno Stato membro provvede affinché siano adottate le necessarie misure tecniche per poter usare tali protocolli comuni e i formati di dati.
num: Articolo 17
title: Procedura di comitato
paragraphs: 1. La Commissione è assistita da un comitato. Tale comitato è un comitato ai sensi del regolamento (UE) n. 182/2011.
2. Nei casi in cui è fatto riferimento al presente paragrafo, si applica l'articolo 5 del regolamento (UE) n. 182/2011.
Nel caso in cui il comitato non esprima alcun parere, la Commissione non adotta il progetto di atto di esecuzione e si applica l'articolo 5, paragrafo 4, terzo comma, del regolamento (UE) n. 182/2011.
CAPO IV
Disposizioni finali
num: Articolo 18
title: Recepimento
paragraphs: 1. Gli Stati membri mettono in vigore le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla presente direttiva entro entro il 25 maggio 2018. Essi ne informano immediatamente la Commissione.
Le disposizioni adottate dagli Stati membri contengono un riferimento alla presente direttiva o sono corredate di tale riferimento all'atto della pubblicazione ufficiale. Le modalità del riferimento sono stabilite dagli Stati membri.
2. Gli Stati membri comunicano alla Commissione il testo delle disposizioni fondamentali di diritto interno che adottano nel settore disciplinato dalla presente direttiva.
num: Articolo 19
title: Riesame
paragraphs: 1. Sulla scorta delle informazioni fornite dagli Stati membri, tra cui le statistiche di cui all'articolo 20, paragrafo 2, la Commissione procede a un riesame di tutti gli elementi della presente direttiva e sottopone e inoltra una relazione al Parlamento europeo e al Consiglio entro entro il 25 maggio 2020.
2. Nell'ambito di tale riesame, la Commissione presta particolare attenzione:
a)
al rispetto del livello applicabile di protezione dei dati personali;
b)
alla necessità e alla proporzionalità della raccolta e del trattamento dei dati PNR per ciascuna delle finalità di cui alla presente direttiva;
c)
alla durata del periodo di conservazione dei dati;
d)
all'efficacia dello scambio di informazioni fra gli Stati membri; e
e)
alla qualità delle valutazioni anche con riferimento alle statistiche elaborate a norma dell'articolo 20.
3. La relazione di cui al paragrafo 1 comprende altresì un riesame della necessità, della proporzionalità e dell'efficacia dell'inclusione, nell'ambito di applicazione della presente direttiva, della raccolta obbligatoria e del trasferimento dei dati PNR riguardanti tutti i voli intra-UE o i voli intra-UE selezionati. La Commissione prende in considerazione l'esperienza maturata dagli Stati membri, in particolare da quelli che attuano questa direttiva ai voli intra-UE a norma dell'articolo 2. La relazione esamina anche la necessità di inserire operatori economici diversi dai vettori aerei, come le agenzie di viaggio e gli operatori turistici, che forniscono servizi connessi ai viaggi, fra cui la prenotazione di voli, nell'ambito di applicazione della presente direttiva.
4. Se del caso, alla luce del riesame condotto a norma del presente articolo, la Commissione presenta al Parlamento europeo e al Consiglio una proposta legislativa intesa a modificare la presente direttiva.
num: Articolo 20
title: Statistiche
paragraphs: 1. Gli Stati membri forniscono annualmente alla Commissione una serie di statistiche sui dati PNR trasmessi alle PIU. Tali statistiche non contengono dati personali.
2. Le statistiche indicano quanto meno:
a)
il numero totale di passeggeri i cui dati PNR sono stati raccolti e scambiati;
b)
il numero di passeggeri identificati a fini di ulteriore esame.
num: Articolo 21
title: Relazione con altri strumenti
paragraphs: 1. Gli Stati membri possono continuare ad applicare tra loro gli accordi o le intese bilaterali o multilaterali sullo scambio di informazioni tra autorità competenti in vigore il entro il 24 maggio 2016, purché siano compatibili con quest'ultima.
2. La presente direttiva fa salva l'applicabilità della direttiva 95/46/CE al trattamento dei dati personali da parte dei vettori aerei.
3. La presente direttiva non pregiudica gli obblighi e impegni degli Stati membri o dell'Unione derivanti da accordi bilaterali o multilaterali conclusi con paesi terzi.