IT Gazzetta ufficiale dell'Unione europea C 48/3

Sintesi del parere del Garante europeo della protezione dei dati in merito alla comunicazione della Commissione al Parlamento europeo e al Consiglio «Una nuova era per il trasporto aereo — Aprire il mercato del trasporto aereo all’uso civile dei sistemi aerei a pilotaggio remoto in modo sicuro e sostenibile»

(Il testo completo del presente parere è reperibile in francese, inglese e tedesco sul sito web del GEPD (www.edps.europa.eu))

(2015/C 48/04)

I. Introduzione

I.1 Consultazione del GEPD

1. L’8 aprile 2014 la Commissione ha adottato una comunicazione al Parlamento europeo e al Consiglio su «Una nuova era per il trasporto aereo — Aprire il mercato del trasporto aereo all’uso civile dei sistemi aerei a pilotaggio remoto in modo sicuro e sostenibile» (in appresso «la comunicazione») (1).

2. I sistemi aerei a pilotaggio remoto (RPAS) sono sistemi aerei pilotati a distanza o, in altri termini, aerei in grado di volare senza che sia necessaria la presenza di un pilota a bordo. Quasi sempre non vengono utilizzati come un semplice sistema aereo e comprendono apparecchiature come macchine fotografiche, microfoni, sensori, GPS, che possono consentire il trattamento di dati personali.

3. Come illustrato nel prosieguo del presente parere, i diritti al rispetto della vita privata e familiare e alla protezione dei dati, garantiti dall’articolo 8 della Convenzione del Consiglio d’Europa per la salvaguardia dei diritti dell’uomo e dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’UE, si applicano a questa tecnologia emergente. Inoltre, i sistemi aerei a pilotaggio remoto devono essere esaminati con molta attenzione, poiché hanno lo stesso potenziale di interferire gravemente con i diritti al rispetto della vita privata e familiare e alla protezione dei dati delle tecnologie online esaminate dalla Corte di giustizia dell’Unione europea nelle sentenze Digital Rights Ireland (2) e Google Spain/AEPD (3).

4. Il GEPD si compiace pertanto di essere stato consultato dalla Commissione in merito a questa comunicazione.

IV. Conclusioni

65. Il GEPD apprezza il fatto di essere stato consultato dalla Commissione in merito a questa comunicazione e sottolinea che gli usi civili dei sistemi RPAS comprendono tutti gli ambiti che non rientrano negli usi militari, quindi non solo gli usi commerciali. Si compiace inoltre del fatto che la comunicazione, non solo evidenzi i benefici sociali ed economici dell’uso civile dei RPAS, ma indica altresì la tutela della vita privata, la protezione dei dati e la sicurezza quali elementi chiave di cui occorre garantire il rispetto per la loro diffusione.

66. I sistemi RPAS dovrebbero essere considerati distinti dagli aerei e dalle telecamere a circuito chiuso, perché la loro caratteristica di «mobilità e discrezione» consente di utilizzarli in un maggior numero di circostanze. Inoltre, possono essere combinati con altre tecnologie, quali telecamere, sensori wi-fi, microfoni, sensori biometrici, sistemi GPS, sistemi di lettura di indirizzi IP, sistemi di tracciamento RFID, che offrono la possibilità di trattare dati personali e creare strumenti di sorveglianza potenzialmente altrettanto efficaci.

67. Il GEPD desidera pertanto ribadire che gli usi dei sistemi RPAS che comportano il trattamento di dati personali costituiscono nella maggior parte dei casi un’interferenza con il diritto al rispetto della vita privata e familiare garantito dall’articolo 8 della Convenzione del Consiglio d’Europa per la salvaguardia dei diritti dell’uomo (in prosieguo «CEDU») e dall’articolo 7 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo «la Carta»), in quanto mettono in discussione il diritto all’intimità e alla vita privata garantito a tutti gli individui nell’Unione europea e possono quindi essere consentiti solo quando ricorrono specifiche condizioni e garanzie. In ogni caso, ogniqualvolta il trattamento di dati personali sia effettuato — come di frequente avviene — mediante sistemi RPAS gestiti nell’Unione europea, si applica il diritto alla protezione dei dati personali sancito dall’articolo 8 della Carta e dovrebbe essere rispettato il quadro giuridico dell’UE per la protezione dei dati.

68. In pratica, quindi, gli usi dei sistemi RPAS da parte di individui per attività private saranno di norma soggetti ai requisiti della direttiva 95/46/CE e raramente beneficeranno dell’eccezione relativa alle attività a carattere domestico. In ogni caso, come condizione preliminare per le norme sulla protezione dei dati, il trattamento dei dati personali deve essere legale in tutti gli aspetti. Questo significa rispettare anche altre norme pertinenti in ambiti quali il diritto civile o penale e il diritto in materia di proprietà intellettuale, di trasporto aereo o di ambiente.

69. Il trattamento dei dati personali tramite un sistema RPAS a fini commerciali o professionali deve essere conforme alla legislazione nazionale di attuazione della direttiva 95/46/CE.

70. Inoltre, il GEPD rammenta che la mera pubblicazione di dati su Internet o su un giornale, senza alcuno scopo di divulgare al pubblico informazioni, opinioni o idee, non è sufficiente affinché possa applicarsi la deroga relativa alle attività giornalistiche di cui all’articolo 9 della direttiva 95/46/CE.

71. Anche gli usi di sistemi RPAS a fini di polizia devono rispettare il diritto fondamentale alla vita privata in modo che tali attività siano fondate su una legge chiara e accessibile, mirate a un obiettivo legittimo, necessarie in una società democratica e proporzionate allo scopo perseguito. Quando comportano il trattamento di dati personali, tali usi sono soggetti alle garanzie di protezione dei dati stabilite a livello dell’UE e del Consiglio d’Europa.

72. L’uso di sistemi RPAS a fini di intelligence deve rispettare i principi di necessità e proporzionalità.

73. In considerazione della necessità imperativa di garantire il rispetto dei requisiti in materia di vita privata, protezione dei dati e sicurezza in relazione a questa nuova tecnologia potenzialmente molto indiscreta, il GEPD sostiene la Commissione nel riconsiderare la sua incompetenza per la regolamentazione dei RPAS con un peso inferiore a 150 kg.

74. Il GEPD accoglie con favore anche le iniziative e i progetti di sensibilizzazione che dovrebbero accompagnare l’introduzione dei sistemi RPAS sul mercato civile dell’UE.

75. Il GEPD raccomanda che la Commissione incoraggi i produttori di RPAS ad attuare la tutela della vita privata fin dalla progettazione (privacy by design) e per impostazione predefinita (privacy by default) e che i responsabili del trattamento svolgano valutazioni d’impatto sulla protezione dei dati nei casi in cui le operazioni di trattamento presentano rischi specifici per i diritti e le libertà degli interessati, a causa della loro natura, portata o finalità.

76. Sono altresì necessarie ulteriori azioni per promuovere misure che agevolino l’identificazione del responsabile di un RPAS.

Fatto a Bruxelles, il 26 novembre 2014 Giovanni BUTTARELLI Garante europeo aggiunto della protezione dei dati

(1) COM(2014) 207 finale dell’8.4.2014.

(2) Cause riunite C-293/12 e C-594/12, Digital Rights Ireland Ltd/Minister for Communications, Marine and Natural Resources, Minister for Justice, Equality and Law Reform, The Commissioner of the Garda Síochána, Ireland and the Attorney General, e Kärntner Landesregierung, Michael Seitlinger, Christof Tschohl e altri, sentenza della Corte (Grande Sezione) dell’8 aprile 2014 [domande di pronuncia pregiudiziale della High Court of Ireland (Irlanda) e del Verfassungsgerichtshof (Austria)].

(3) Causa C-131/12, Google Spain SL e Google Inc./Agencia Española de Protección de Datos (AEPD), sentenza della Corte del 13 maggio 2014.