La Commissione accoglie con favore gli sforzi compiuti dalle autorità nazionali per attuare la direttiva PNR. Alla fine del periodo oggetto del riesame, 24 dei 26 Stati membri avevano notificato alla Commissione il recepimento completo della direttiva. Dei due Stati membri rimanenti, la Slovenia ha notificato il recepimento parziale e la Spagna, che non ha notificato alcuna misura di recepimento, il 2 luglio 2020 è stata deferita alla Corte di giustizia per mancata attuazione della direttiva. La grande maggioranza degli Stati membri ha istituito unità d'informazione sui passeggeri pienamente operative, che sono le unità designate responsabili della raccolta e del trattamento dei dati PNR. Le unità d'informazione sui passeggeri hanno sviluppato buoni livelli di cooperazione con altre autorità nazionali pertinenti e le unità d'informazione sui passeggeri di altri Stati membri. Tutti gli Stati membri hanno designato le autorità competenti autorizzate a chiedere e ricevere dati PNR dall' unità d'informazione sui passeggeri al solo scopo di prevenire, accertare, indagare e perseguire i reati di terrorismo e i reati gravi, quali la polizia e altre autorità responsabili della lotta contro la criminalità.

A livello globale, nel dicembre 2017 le Nazioni Unite hanno adottato la risoluzione 2396 del Consiglio di sicurezza, che impone a tutti gli Stati delle Nazioni Unite di sviluppare la capacità di raccogliere, trattare e analizzare i dati PNR e di garantire che i dati PNR siano utilizzati e condivisi con tutte le autorità nazionali competenti. Per sostenere gli Stati nello sviluppo di tali capacità, nel marzo 2019 l'Organizzazione per l'aviazione civile internazionale (ICAO) ha avviato il processo di elaborazione delle nuove norme PNR. Tali norme, che saranno vincolanti per tutti i paesi membri dell'ICAO salvo che chiedano una deroga, sono state adottate dal Consiglio dell'ICAO il 23 giugno 2020. La Commissione si è impegnata attivamente in questo processo, in qualità di osservatore che rappresenta l'UE, per garantire la compatibilità di tali norme con i requisiti giuridici dell'UE, in modo che possano contribuire a facilitare il trasferimento dei dati PNR.

A livello dell'UE, l'adozione della direttiva PNR nel aprile 2016 ha costituito una tappa importante nella politica interna in materia di PNR. Come indicato in precedenza, la direttiva istituisce un quadro armonizzato per il trattamento dei dati PNR trasferiti dai vettori aerei agli Stati membri. La Commissione ha aiutato gli Stati membri ad attuare la direttiva coordinando riunioni periodiche, agevolando lo scambio di buone pratiche e il sostegno tra pari e fornendo assistenza finanziaria. In particolare, l'autorità di bilancio ha potenziato il bilancio dell'Unione del 2017 con una dotazione di 70 milioni di EUR per il Fondo sicurezza interna – Polizia (ISF – Polizia) e specificamente per iniziative connesse al PNR. La Commissione ha inoltre finanziato 4 progetti PNR nell'ambito delle azioni dell'Unione relative all'ISF – Polizia. Tali progetti miravano a garantire che le unità d'informazione sui passeggeri degli Stati membri elaborassero le capacità necessarie per scambiare tra loro o con Europol dati PNR o i risultati del trattamento di tali dati.

In seguito a una richiesta del Parlamento europeo, il 26 luglio 2017 la Corte di giustizia dell'Unione europea ha emesso un parere in cui ha dichiarato che l'accordo previsto con il Canada non poteva essere concluso nella sua forma prevista, in quanto alcune delle sue disposizioni non soddisfacevano i requisiti derivanti dalla Carta dei diritti fondamentali. Per rispondere alle perplessità espresse dalla Corte, l'UE e il Canada hanno proceduto a rinegoziare l'accordo. Tali negoziati si sono conclusi a livello tecnico nel marzo 2019 e il completamento dell'accordo è attualmente in attesa di riesame giuridico e approvazione politica del testo da parte del Canada. Inoltre il 18 febbraio 2020 il Consiglio ha autorizzato la Commissione ad avviare negoziati con il Giappone per la conclusione di un accordo sul trasferimento dei dati PNR. I negoziati con il Messico, avviati nel luglio 2015, sono attualmente in fase di stallo.

L'uso dei dati PNR è un elemento importante della cooperazione internazionale contro il terrorismo e le forme gravi di criminalità da quasi vent'anni. La comunicazione del 2010 sull'approccio globale ha stabilito una serie di criteri generali che dovevano essere soddisfatti dai futuri accordi bilaterali PNR, tra cui, in particolare, una serie di principi e garanzie in materia di protezione dei dati. Tali accordi hanno costituito la base per la rinegoziazione degli accordi PNR con l'Australia, il Canada e gli Stati Uniti, che ha portato alla conclusione di nuovi accordi PNR con l'Australia e gli Stati Uniti.

In anni recenti un numero crescente di paesi - non limitato agli Stati membri - e di organizzazioni internazionali ha riconosciuto il valore dell'utilizzo dei dati PNR come strumento di applicazione della legge. L'istituzione di un meccanismo PNR e l'attuazione della direttiva PNR dovrebbero essere considerate nel contesto di questa più ampia tendenza internazionale.

Nel preparare il riesame, la Commissione ha raccolto informazioni e feedback tramite diverse fonti e attività di consultazione mirate, ivi inclusi i risultati della valutazione della conformità della direttiva PNR, sulla base dell'analisi delle misure nazionali di recepimento; le discussioni con le autorità nazionali responsabili dell'attuazione della direttiva e con l'industria dei viaggi nel quadro di riunioni periodiche e workshop dedicati; le statistiche presentate dagli Stati membri a norma dell'articolo 20 della direttiva e le visite in loco in sei Stati membri. Per illustrare l'utilizzo pratico dei dati PNR nella lotta al terrorismo e ai reati gravi, ove possibile, la relazione fa riferimento a esempi di vita reale forniti dalle autorità nazionali sulla base della loro esperienza operativa.

La presente relazione risponde all'obbligo imposto alla Commissione dall'articolo 19 della direttiva PNR di procedere al riesame di tutti gli elementi della direttiva e sottoporre una relazione al Parlamento europeo e al Consiglio entro il 25 maggio 2020. La presente relazione definisce la direttiva PNR nel suo contesto generale e presenta le conclusioni cui è giunta la Commissione a seguito del riesame dell'applicazione di tale direttiva due anni dopo la scadenza del termine di recepimento. Come previsto dall'articolo 19 della direttiva, il riesame riguarda tutti gli elementi della direttiva, con particolare attenzione al rispetto del livello applicabile di protezione dei dati personali, alla necessità e alla proporzionalità della raccolta e del trattamento dei dati PNR per ciascuna delle finalità indicate nella direttiva, alla durata del periodo di conservazione dei dati, all'efficacia dello scambio di informazioni fra gli Stati membri e alla qualità delle valutazioni, anche con riferimento alle statistiche elaborate a norma dell'articolo 20.La relazione presenta inoltre un'analisi preliminare della necessità, proporzionalità ed efficacia dell'estensione della raccolta obbligatoria dei dati PNR ai voli intra-UE e l'esigenza di includere gli operatori economici diversi dai vettori aerei nell'ambito di applicazione della direttiva. Inoltre, il riesame descrive le principali questioni e sfide incontrate nell'attuazione e nell'applicazione pratica della direttiva.

La direttiva (UE) 2016/681 sull'uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi (in prosieguo: la "direttiva PNR") è stata adottata dal Parlamento europeo e dal Consiglio il 27 aprile 2016. La direttiva disciplina la raccolta, il trattamento e la conservazione dei dati PNR nell'Unione europea e stabilisce importanti garanzie per la protezione dei diritti fondamentali, in particolare il diritto alla vita privata e la protezione dei dati personali. Il termine per il recepimento della direttiva nel diritto nazionale degli Stati membri era il 25 maggio 2018.

3.2.Rispetto delle norme in materia di protezione dei dati previste dalla direttiva

L'analisi delle misure nazionali di recepimento evidenzia il rispetto generale delle disposizioni in materia di protezione dei dati previste dalla direttiva PNR, anche se alcuni Stati membri non sono riusciti a rispecchiarle pienamente nella loro legislazione nazionale. Inoltre, la panoramica sulla loro applicazione conferma l'impegno delle autorità nazionali a rispettare tali garanzie e ad attuarle nella pratica. La Commissione continuerà a incoraggiare la diffusione delle migliori pratiche sviluppate a tale riguardo attraverso le riunioni periodiche con gli Stati membri e i progetti finanziati nel quadro delle azioni dell'Unione relative all'ISF – Polizia. Al tempo stesso, la Commissione non esiterà ad esercitare le proprie competenze di custode dei trattati, anche avviando se necessario procedure di infrazione, per garantire che gli Stati membri rispettino pienamente i requisiti stabiliti nella direttiva, in particolare per quanto riguarda la protezione dei dati personali.

Le garanzie in materia di protezione dei dati contenute nella direttiva, se attuate correttamente - come è il caso nella maggior parte degli Stati membri - garantiscono la proporzionalità del trattamento dei dati PNR e mirano a prevenire gli abusi da parte delle autorità nazionali o di altri attori. La limitazione della finalità garantisce che il trattamento dei dati sia effettuato unicamente per conseguire gli obiettivi della lotta al terrorismo e ai reati gravi. Il divieto di raccogliere e trattare dati sensibili costituisce un'importante salvaguardia per garantire che il PNR non sia utilizzato in modo discriminatorio. Il fatto che gli Stati membri tengano registri delle operazioni di trattamento, come previsto dalla direttiva, rafforza la trasparenza e consente di controllare in modo efficace la liceità del trattamento dei dati. I responsabili della protezione dei dati possono controllare in modo indipendente la liceità del trattamento dei dati, in particolare quando non sono membri del personale dell'unità d'informazione sui passeggeri e non sono subordinati al direttore dell'unità d'informazione sui passeggeri. Inoltre, la loro presenza nelle unità d'informazione sui passeggeri garantisce che il funzionamento quotidiano di tali unità integri una prospettiva di protezione dei dati.

A livello pratico, sembra che l'interazione tra le unità d'informazione sui passeggeri e i loro responsabili della protezione dei dati stia funzionando bene e il ruolo del responsabile della protezione dei dati è considerato un valore aggiunto alle operazioni dell'unità d'informazione sui passeggeri. I responsabili della protezione dei dati svolgono un ruolo particolarmente importante nel monitoraggio delle operazioni di trattamento dei dati, nell'approvazione e nel riesame dei criteri prestabiliti e nella fornitura di consulenza in materia di protezione dei dati al personale delle unità d'informazione sui passeggeri. Nella maggior parte degli Stati membri, i responsabili della protezione dei dati sono stati designati per legge come punto di contatto delle persone interessate dal trattamento dei dati ed è stata anche resa agevole nella pratica la possibilità di contattarli.

3.3.Altri elementi del riesame

Necessità e proporzionalità della raccolta e del trattamento dei dati PNR

Il riesame mostra vari elementi che confermano la necessità e la proporzionalità della raccolta e del trattamento dei dati PNR ai fini della direttiva. Nel tempo limitato dal termine per il recepimento, il PNR si è dimostrato efficace nel conseguire i suoi obiettivi, il che corrisponde a un obiettivo di interesse generale, ossia tutelare la sicurezza pubblica garantendo la prevenzione, l'accertamento, l'indagine e il perseguimento di reati gravi e del terrorismo nello spazio dell'Unione senza frontiere interne.

Secondo gli Stati membri, i diversi mezzi di trattamento dei dati PNR a loro disposizione (ossia tempo reale, reattivo e proattivo) hanno già prodotto risultati tangibili nella lotta contro il terrorismo e la criminalità. Senza pretesa di esaustività, gli Stati membri hanno fornito alla Commissione elementi di prova qualitativi che illustrano in che modo il confronto dei dati PNR rispetto alle banche dati e a criteri predeterminati abbia contribuito all'individuazione di potenziali terroristi o di persone coinvolte in altre attività criminali gravi, come il traffico di droga, la criminalità informatica, la tratta di esseri umani, l'abuso sessuale di minori, la sottrazione di minori e la partecipazione a gruppi criminali organizzati. In alcuni casi, l'uso di dati PNR ha portato all'arresto di persone precedentemente sconosciute ai servizi di polizia o ha consentito l'ulteriore esame da parte delle autorità competenti di passeggeri che altrimenti non sarebbero stati controllati. Anche la valutazione dei passeggeri prima della partenza o del loro arrivo ha contribuito alla prevenzione dei reati. Le autorità nazionali sottolineano che tali risultati non avrebbero potuto essere conseguiti senza il trattamento dei dati PNR, ad esempio utilizzando esclusivamente altri strumenti quali le informazioni anticipate sui passeggeri.

Ai sensi della direttiva PNR, il trattamento dei dati PNR riguarda tutti i passeggeri dei voli extra-UE in arrivo e in partenza. Dalla valutazione emerge che tale ampia copertura è strettamente necessaria per conseguire gli obiettivi della direttiva. Per quanto riguarda i dati raccolti, le categorie riportate nell'allegato I rispecchiano le norme concordate a livello internazionale, in particolare a livello dell'ICAO. Le autorità nazionali hanno confermato che la possibilità di raccogliere tali categorie di dati PNR corrisponde a quanto strettamente necessario per conseguire gli obiettivi perseguiti.

Per quanto riguarda il livello di interferenza con i diritti fondamentali alla vita privata e alla protezione dei dati personali, sono pertinenti le seguenti considerazioni. È importante osservare che la direttiva PNR vieta rigorosamente il trattamento di dati sensibili. Sebbene i dati PNR possano rivelare informazioni specifiche sulla vita privata delle persone, tali informazioni sono limitate a un aspetto specifico della vita privata, vale a dire ai viaggi aerei. Inoltre, la direttiva PNR prevede rigorose garanzie per limitare ulteriormente il grado di interferenza al minimo assoluto e garantire la proporzionalità dei metodi di trattamento a disposizione delle autorità nazionali, anche per quanto riguarda il trattamento automatizzato. A seguito di tali garanzie, solo i dati personali di un numero molto limitato di passeggeri sono trasferiti alle autorità competenti ai fini di un ulteriore trattamento. Ciò significa che i sistemi PNR forniscono risultati mirati che limitano il livello di interferenza con il diritto alla riservatezza e alla protezione dei diritti personali. Infine, i dati PNR non sono utilizzati per stabilire un profilo individuale di ognuno, ma per creare scenari anonimi o "profili astratti" di rischio.

Durata del periodo di conservazione dei dati

La conservazione dei dati PNR di tutti i passeggeri per un periodo di cinque anni è necessaria per conseguire gli obiettivi di garantire la sicurezza e proteggere la vita e la sicurezza delle persone attraverso la prevenzione, l'accertamento, l'indagine e il perseguimento dei reati di terrorismo e dei reati gravi.

In primo luogo, la necessità di conservare i dati per cinque anni deriva dalla natura dei dati PNR come uno strumento analitico volto non solo a individuare le minacce note, ma anche a scoprire i rischi sconosciuti. I servizi turistici registrati come dati PNR sono utilizzati per individuare specifici modelli di comportamento e fare delle associazioni tra persone note e sconosciute. L'individuazione di tali modelli e associazioni comporta, per definizione, un'analisi a lungo termine. Tale analisi richiede infatti che un numero sufficiente di dati sia disponibile all'unità d'informazione sui passeggeri per un periodo relativamente lungo. Siffatti dati possono poi essere trasmessi alle autorità competenti solo in risposta a richieste "debitamente motivate", caso per caso, nell'ambito di indagini penali.

In secondo luogo, la conservazione dei dati PNR per cinque anni è necessaria per garantire l'efficacia delle indagini e dell'azione penale nei confronti dei reati di terrorismo e dei reati gravi. Solitamente per indagare e perseguire tali reati occorrono mesi e, spesso, anni di lavoro. In quest'ottica, gli Stati membri hanno confermato che il periodo di conservazione di cinque anni è necessario da un punto di vista operativo. La disponibilità di dati storici garantisce che, quando un individuo è accusato di aver commesso un reato grave o di essere coinvolto in attività terroristiche, è possibile riesaminare lo storico dei viaggi e vedere chi ha viaggiato con lui, identificando potenziali complici o altri membri di un gruppo criminale, nonché potenziali vittime.

Inoltre, le garanzie previste dalla direttiva PNR rispetto all'accesso da parte delle autorità competenti ai dati conservati dall'unità d'informazione sui passeggeri e in relazione al rendere anonimi e alla ripersonalizzazione dei dati hanno dimostrato di essere sufficientemente solide da impedire gli abusi.

La Corte di Giustizia ha esaminato i termini per la conservazione dei dati PNR nel suo parere 1/15 sul previsto accordo PNR tra l'UE e il Canada, e la Commissione, per rispondere alle preoccupazioni espresse dalla Corte, ha negoziato un nuovo progetto di accordo con il Canada. A tale proposito, è importante notare che la Commissione ritiene che le circostanze di fatto e di diritto della direttiva PNR siano diverse da quelle considerate dalla Corte di Giustizia in tale causa. In particolare, la direttiva PNR mira chiaramente all'obiettivo di garantire la sicurezza nell'Unione e il suo spazio senza frontiere interne, in cui gli Stati membri condividono la responsabilità per la pubblica sicurezza. Inoltre, a differenza del progetto di accordo con il Canada, la direttiva non riguarda i trasferimenti di dati verso un paese terzo, ma la raccolta di dati sui passeggeri dei voli da e verso l'UE da parte degli Stati membri. A tale riguardo, la natura della direttiva PNR, in quanto diritto derivato, fa sì che la direttiva PNR si applichi sotto il controllo degli organi giurisdizionali degli Stati membri e, in ultima istanza, della Corte di Giustizia. Inoltre, le leggi nazionali di attuazione della direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie si applicano anche al trattamento dei dati previsto dalla direttiva PNR, compreso qualsiasi trattamento successivo da parte delle autorità competenti.

Efficacia dello scambio di informazioni tra gli Stati membri

La cooperazione e lo scambio di dati PNR tra le unità d'informazione sui passeggeri è uno degli elementi più importanti della direttiva. Se da un lato lo scambio di dati tra gli Stati membri basato su richieste debitamente motivate funziona in modo efficace, la possibilità di trasferire i dati PNR su iniziativa della unità d'informazione sui passeggeri è molto meno diffusa. Le informazioni fornite dagli Stati membri suggeriscono che le autorità preposte all'applicazione della legge sono più disposte a ricorrere a procedure di cooperazione basate su regole chiare e precise, come quelle relative ai trasferimenti in risposta a una richiesta. Invece, la formulazione generale e relativamente poco chiara delle disposizioni della direttiva relative ai trasferimenti spontanei ha comportato una certa riluttanza nella sua applicazione.

Qualità delle valutazioni, anche con riferimento alle statistiche elaborate a norma dell'articolo 20