Sintesi del parere del Garante europeo della protezione dei dati sul mandato di negoziazione concernente un accordo tra l’UE e il Giappone sul trasferimento e sull’uso dei dati del codice di prenotazione (PNR)

(Il testo integrale del presente parere è disponibile in francese, inglese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2019/C 419/04)

Il 27 settembre 2019 la Commissione europea ha adottato una raccomandazione di decisione del Consiglio che autorizza l’avvio di negoziati per concludere un accordo tra l’Unione europea e il Giappone sul trasferimento e sull’uso dei dati del codice di prenotazione (Passenger Name Record, PNR) per prevenire e combattere il terrorismo e altri reati gravi di natura transnazionale. L’accordo previsto mira a stabilire la base giuridica e le condizioni alle quali i vettori aerei saranno autorizzati a trasferire in Giappone i dati PNR dei passeggeri che volano tra l’UE e il Giappone, in conformità con i requisiti del diritto dell’Unione, tra cui la Carta dei diritti fondamentali dell’Unione europea.

Il GEPD accoglie con favore il fatto che il mandato di negoziazione miri a garantire il pieno rispetto dei diritti e delle libertà fondamentali sanciti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, nonché dei principi di necessità e proporzionalità, come interpretati dalla Corte di giustizia nel suo parere 1/15 sull’accordo UE-Canada in materia di PNR.

Considerato l’impatto dell’accordo previsto sui diritti fondamentali di un numero molto elevato di soggetti non implicati in attività criminali, il GEPD ritiene che tale accordo dovrebbe contenere tutte le garanzie sostanziali e procedurali indispensabili per assicurare la proporzionalità del sistema PNR e limitare l’ingerenza con il diritto al rispetto della vita privata e alla protezione dei dati soltanto a quanto strettamente necessario e giustificato dall’interesse generale dell’Unione. A tal fine il GEPD formula una serie di raccomandazioni destinate a migliorare le direttive di negoziato, quali:

— un approccio rigoroso per quanto concerne la necessità e la proporzionalità del sistema PNR;

— in linea con il principio di limitazione delle finalità, qualsiasi ulteriore utilizzo dei dati PNR trasferiti per altre finalità dovrebbe essere debitamente giustificato, specificato in maniera chiara e precisa e limitato a quanto strettamente necessario;

— la decisione del Consiglio che autorizza l’avvio di negoziati dovrebbe contenere un riferimento non soltanto ai fondamenti giuridici procedurali, ma anche a quelli sostanziali, compreso l’articolo 16 del TFUE;

— occorre prestare un’attenzione particolare per prevenire il rischio di rivelare indirettamente categorie speciali di dati sui passeggeri aerei, nonché il rischio di reidentificazione delle persone fisiche dopo l’anonimizzazione dei dati PNR ad esse relativi;

— l’accordo previsto dovrebbe contenere clausole che ne consentano la sospensione in caso di violazione delle relative norme, nonché la sua risoluzione se l’inosservanza è grave e persistente.

Ulteriori raccomandazioni dettagliate sono formulate dal GEPD nel presente parere.

Il GEPD resta a disposizione delle istituzioni per ulteriore assistenza nel corso dei negoziati; inoltre si attende di essere consultato nelle fasi successive del completamento del progetto di accordo ai sensi dell’articolo 42 del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (1).

I. INTRODUZIONE E CONTESTO

1. Il 27 settembre 2019 la Commissione ha adottato una raccomandazione di decisione del Consiglio che autorizza l’avvio di negoziati in vista di un accordo tra l’Unione europea (UE) e il Giappone sul trasferimento e sull’uso dei dati del codice di prenotazione (PNR) per prevenire e combattere il terrorismo e altri reati gravi di natura transnazionale. L’allegato della raccomandazione (in appresso «l’allegato») stabilisce le direttive di negoziato impartite dal Consiglio alla Commissione, ossia gli obiettivi che quest’ultima dovrebbe perseguire a nome dell’UE nel corso dei negoziati.

2. La raccomandazione è stata adottata in base alla procedura stabilita nell’articolo 218 del trattato sul funzionamento dell’Unione europea (TFUE) per gli accordi conclusi tra l’UE e i paesi terzi. Mediante la suddetta raccomandazione la Commissione intende ottenere l’autorizzazione del Consiglio a essere nominata negoziatore a nome dell’UE e avviare i negoziati con il Giappone, in linea con le direttive di negoziato. Una volta portati a termine i negoziati, al fine di concludere l’accordo, il Parlamento europeo dovrà approvare il testo dell’accordo negoziato, dopodiché il Consiglio dovrà adottare la decisione di conclusione dell’accordo.

3. Il quadro giuridico per il trattamento dei dati PNR nell’Unione è costituito dalla direttiva (UE) 2016/681 del Parlamento europeo e del Consiglio sull’uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi (direttiva PNR), adottata il 27 aprile 2016. Gli Stati membri erano tenuti a mettere in vigore le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla direttiva entro il 25 maggio 2018. La Commissione europea deve condurre il primo riesame della direttiva PNR entro il 25 maggio 2020.

4. Attualmente, sono in vigore due accordi internazionali tra l’UE e paesi terzi sul trattamento e sul trasferimento di dati PNR: con l’Australia ( 2 ) e con gli Stati Uniti ( 3 ) , entrambi in vigore dal 2011. Su richiesta del Parlamento europeo, ai sensi dell’articolo 218, paragrafo 11, TFUE, la Corte di giustizia dell’Unione europea (CGUE) ha adottato il parere 1/15 del 26 luglio 2017 ( 4 ) concernente l’accordo previsto tra l’UE e il Canada sul trasferimento e sul trattamento dei dati PNR, firmato il 25 giugno 2014. La Corte ha concluso che l’accordo è incompatibile con gli articoli 7, 8 e 21 e con l’articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea (Carta) nella misura in cui non esclude il trasferimento di dati sensibili dall’UE al Canada nonché l’uso e la conservazione di tali dati. Inoltre, la Corte ha stabilito una serie di condizioni e misure di salvaguardia per il trattamento lecito e il trasferimento di dati PNR. Sulla base del parere 1/15, nel giugno 2018 sono stati avviati nuovi negoziati sui dati PNR con il Canada; che, secondo la Commissione, sono entrati nella fase finale.

5. A livello globale, la questione dei dati PNR è trattata dalla Convenzione relativa all’aviazione civile internazionale (la «Convenzione di Chicago») del 1947, che disciplina il trasporto aereo internazionale e ha istituito l’Organizzazione per l’aviazione civile internazionale (ICAO). Il consiglio dell’ICAO ha adottato le norme e prassi raccomandate in materia di PNR, che costituiscono parte dell’allegato 9 («Facilitazione») della convenzione di Chicago. Tali norme e prassi sono integrate da orientamenti supplementari, in particolare dal documento 9944 dell’ICAO che definisce gli «Orientamenti sui dati del codice di prenotazione (PNR)» ( 5 ) . Tutti gli Stati membri dell’UE sono parti contraenti della convenzione di Chicago.

6. Inoltre, la risoluzione 2396 (2017) del Consiglio di sicurezza delle Nazioni Unite sulle minacce alla pace e alla sicurezza internazionali causate dal ritorno di combattenti terroristi stranieri, adottata il 21 dicembre 2017, impone agli Stati membri delle Nazioni Unite di «sviluppare la capacità di raccogliere, elaborare e analizzare, a sostegno delle norme e prassi raccomandate dell’ICAO, i dati i del codice di prenotazione (PNR) e garantire che i dati PNR siano utilizzati e condivisi con tutte le loro autorità nazionali competenti, nel pieno rispetto dei diritti umani e delle libertà fondamentali», così come «ove opportuno, incoraggia gli Stati membri a condividere i dati PNR con gli Stati membri pertinenti o interessati al fine di individuare i combattenti terroristi stranieri» ( 6 )

7. Il GEPD accoglie con favore il fatto di essere stato consultato a seguito dell’adozione della raccomandazione da parte della Commissione europea e si attende l’inclusione di un riferimento al presente parere nel preambolo della decisione del Consiglio. Il presente parere non pregiudica le eventuali altre osservazioni che il GEPD potrebbe formulare sulla base di ulteriori informazioni disponibili in una fase successiva.

V. CONCLUSIONI

34. Il GEPD accoglie con favore il fatto che il mandato di negoziazione miri a garantire il pieno rispetto dei diritti e delle libertà fondamentali sanciti dagli articoli 7 e 8 della Carta, nonché dei principi di necessità e proporzionalità, come interpretati dalla CGUE nel suo parere 1/15 sull’accordo UE-Canada in materia di PNR.

35. Considerato l’impatto dell’accordo previsto sui diritti fondamentali di un numero molto elevato di soggetti non implicati in attività criminali, il GEPD ritiene che l’accordo futuro dovrebbe contenere tutte le garanzie sostanziali e procedurali indispensabili, al fine di assicurare la proporzionalità del sistema PNR, nonché di limitare l’interferenza con il diritto al rispetto della vita privata e alla protezione dei dati soltanto a quanto strettamente necessario e giustificato dall’interesse generale dell’UE.

36. A tal fine, come raccomandazione principale, il GEPD sottolinea la necessità di adottare un approccio rigoroso per quanto concerne la necessità e la proporzionalità del sistema PNR. Inoltre, si dovrebbe prestare particolare attenzione all’attuazione pratica del principio di limitazione delle finalità in merito all’uso dei dati PNR trasferiti. Il GEPD ribadisce inoltre la propria posizione illustrata nei propri precedenti pareri ( 7 ) secondo cui la decisione del Consiglio che autorizza l’avvio di negoziati ai sensi dell’articolo 218 del TFUE dovrebbe contenere un riferimento non soltanto ai fondamenti giuridici procedurali ma anche a quelli sostanziali pertinenti, che dovrebbero includere l’articolo 16 del TFUE.

37. Le ulteriori raccomandazioni del GEPD di cui al presente parere riguardano il quadro giuridico adeguato per il trasferimento di dati personali operativi; la necessità di prevenire il rischio di rivelare indirettamente categorie speciali di dati sui passeggeri aerei, nonché il rischio di reidentificazione di persone fisiche dopo l’anonimizzazione dei dati PNR ad esse correlati. Il GEPD sottolinea altresì la necessità di chiarire il controllo indipendente del trattamento dei dati PNR da parte delle autorità giapponesi competenti, che è una delle garanzie essenziali per il diritto alla protezione dei dati. Inoltre, il GEPD raccomanda l’introduzione di clausole che consentano la sospensione dell’accordo futuro in caso di violazione delle sue disposizioni, nonché la sua risoluzione in caso di inosservanza grave e persistente.

38. Il GEPD resta a disposizione della Commissione, del Consiglio e del Parlamento europeo per fornire ulteriore assistenza nelle prossime fasi del suddetto processo. Le osservazioni nel presente parere non pregiudicano eventuali osservazioni aggiuntive che il GEPD potrebbe formulare qualora sorgano altre questioni e che sarebbero quindi affrontate non appena siano disponibili ulteriori informazioni. A tale fine il GEPD si attende di essere consultato successivamente in merito alle disposizioni del progetto di accordo prima del suo completamento.

Bruxelles, 25 ottobre 2019 Wojciech Rafał WIEWIÓROWSKI Garante europeo della protezione dei dati

(1) GU L 295 del 28.11.2018, pag. 39.

(2) GU L 186 del 14.7.2012, pag. 4.

(3) GU L 215 dell’11.8.2012, pag. 5.

(4) Parere 1/15 della Corte del 26 luglio 2017, emesso ai sensi dell’articolo 218, paragrafo 11, TFUE, sul progetto di accordo tra il Canada e l’Unione europea sul trasferimento e il trattamento di dati PNR, ECLI:EU:C:2017:592.

(5) ICAO, Doc 9944 Guidelines on Passenger Name Record (PNR) Data, Prima edizione — 2010.

(6) Risoluzione 2396 (2017) del Consiglio di sicurezza sulle minacce alla pace e alla sicurezza internazionali causate dal ritorno di combattenti terroristi stranieri, adottata dal Consiglio di sicurezza nella sua 8 148a riunione, il 21 dicembre 2017, punto 12.

(7) Cfr. il parere 2/2019 del GEPD sul mandato di negoziato concernente un accordo tra l’UE e gli USA sull’accesso transfrontaliero alle prove elettroniche e il parere 3/2019 del GEPD concernente la partecipazione ai negoziati in vista di un secondo protocollo addizionale alla Convenzione di Budapest sulla criminalità informatica, disponibili qui:

https://edps.europa.eu/sites/edp/files/publication/19-04-02_edps_opinion_on_eu_us_agreement_on_e-evidence_en.pdf e

https://edps.europa.eu/sites/edp/files/publication/19-04-02_edps_opinion_budapest_convention_en.pdf.