relativa alla posizione da adottare a nome dell'Unione europea in sede di Consiglio dell'Organizzazione per l'aviazione civile internazionale in merito alla revisione dell'allegato 9 ("Facilitazioni"), capo 9, della convenzione relativa all'aviazione civile internazionale per quanto riguarda gli standard e le pratiche raccomandate sui dati del codice di prenotazione

Le discussioni per il riesame degli standard e delle pratiche raccomandate dell'ICAO sui dati PNR sono ancora in fase iniziale. Una volta adottati, gli standard previsti saranno vincolanti per tutti i membri dell'ICAO, tra cui tutti gli Stati membri dell'UE, in conformità della convenzione di Chicago ed entro i limiti fissati dalla stessa. L'articolo 38 della convenzione di Chicago fa obbligo agli Stati contraenti di avvertire l'ICAO qualora intendano discostarsi da uno standard, nell'ambito del meccanismo di notifica delle differenze.

Nel marzo 2019 il comitato dei trasporti aerei dell'ICAO ha istituito una task force Facilitazioni, incaricata di prendere in esame proposte di standard e pratiche raccomandate sulla raccolta, l'utilizzo, il trattamento e la protezione dei dati PNR in linea con la risoluzione 2396 (2017) del Consiglio di sicurezza delle Nazioni Unite. La task force ha il compito di: a) riesaminare gli attuali standard e pratiche raccomandate sui dati PNR figuranti nell'allegato 9, capo 9, della convenzione di Chicago; b) stabilire se tali standard e pratiche raccomandate debbano essere integrati da altri standard e pratiche raccomandate e/o orientamenti, tenendo conto della decisione e delle considerazioni del Consiglio di sicurezza; c) se necessario, elaborare nuove disposizioni (standard, pratiche raccomandate e/o orientamenti) per la raccolta, l'utilizzo, il trattamento e la protezione dei dati PNR.

In tale contesto, il 18 luglio 2019 il Consiglio dell'Unione europea ha approvato il documento informativo "Norme e principi in materia di raccolta, uso, trattamento e protezione dei dati del codice di prenotazione (Passenger Name Record — PNR)" da presentare alla 40ª sessione dell'assemblea dell'ICAO. Tale documento informativo è stato presentato per consultazione alla conferenza europea dell'aviazione civile.

La risoluzione 2396 del Consiglio di sicurezza delle Nazioni Unite, adottata il 21 dicembre, impone agli Stati membri delle Nazioni Unite di "sviluppare la capacità di raccogliere, trattare e analizzare, in linea con gli standard e le pratiche raccomandate dell'ICAO, i dati del codice di prenotazione e di garantire che tali dati siano usati e condivisi con tutte le autorità nazionali competenti, nel pieno rispetto dei diritti umani e delle libertà fondamentali". La risoluzione esorta inoltre l'ICAO a "collaborare con i suoi Stati membri per stabilire uno standard per la raccolta, l'utilizzo, il trattamento e la protezione dei dati PNR".

Conformemente all'articolo 54, lettera l), della convenzione di Chicago, il Consiglio dell'ICAO adotta standard e pratiche raccomandate. Gli standard e le pratiche raccomandate sui dati PNR figurano nell'allegato 9 ("Facilitazioni"), capo 9, parti A e D, della convenzione di Chicago. Sono integrati da ulteriori orientamenti, in particolare il documento 9944 dell'ICAO che definisce gli orientamenti sui dati PNR. I dati PNR sono dati personali dei passeggeri raccolti dalle compagnie aeree a fini professionali, a differenza di altri dati connessi al viaggio raccolti per conto di governi come le informazioni anticipate sui passeggeri.

Il Consiglio dell'ICAO è un organo permanente dell'ICAO costituito da 36 Stati contraenti eletti dall'assemblea dell'ICAO per un periodo di tre anni. Per il periodo 2016-2019 sette Stati membri dell'UE vi sono rappresentati.

La Convenzione di Chicago mira a disciplinare il trasporto aereo internazionale. È entrata in vigore il 4 aprile 1947 e ha istituito l'Organizzazione per l'aviazione civile internazionale.

La presente proposta riguarda la decisione che stabilisce la posizione da adottare a nome dell'Unione europea in sede di organi dell'Organizzazione per l'aviazione civile internazionale ("ICAO") in merito alla prevista adozione degli emendamenti dell'allegato 9 ("Facilitazioni"), capo 9, della convenzione relativa all'aviazione civile internazionale ("convenzione di Chicago") volti a definire i nuovi standard ICAO sui dati del codice di prenotazione (Passenger Name Record, "PNR").

Il trattamento dei dati PNR costituisce uno strumento essenziale della risposta comune dell'UE al terrorismo e ai reati gravi, e un elemento costitutivo dell'Unione della sicurezza. Individuare e rintracciare i modelli di viaggio sospetti trattando i dati PNR per raccogliere prove e, se del caso, individuare gli autori di reati gravi e i loro complici e smantellare le reti criminali si sta rivelando essenziale per prevenire, accertare, indagare e perseguire i reati di terrorismo e i reati gravi.

Il 27 aprile 2016 il Parlamento europeo e il Consiglio hanno adottato la direttiva (UE) 2016/681 sull'uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi. La direttiva consente alle autorità nazionali di accedere direttamente a informazioni essenziali detenute dalle compagnie aeree, nel pieno rispetto dei diritti di protezione dei dati. Fornisce a tutti gli Stati membri uno strumento importante per prevenire, accertare e indagare i reati di terrorismo e i reati gravi, compresi il traffico di stupefacenti, la tratta di esseri umani e lo sfruttamento sessuale di minori. Il termine per il recepimento della direttiva PNR nel diritto nazionale degli Stati membri è scaduto il 25 maggio 2018.

Per agevolare il processo di collegamento dei vettori aerei alle unità d'informazione sui passeggeri degli Stati membri, ossia le unità responsabili della raccolta e del trattamento dei dati PNR, il 28 aprile 2017 la Commissione europea ha adottato una decisione di esecuzione sui protocolli comuni e i formati dei dati che i vettori aerei devono utilizzare per trasferire i dati PNR agli Stati membri. La decisione di esecuzione è divenuta applicabile nell'aprile 2018.

Attualmente sono in vigore due accordi internazionali tra l'UE e due paesi terzi (Australia e Stati Uniti) sul trattamento e il trasferimento dei dati PNR. Il 26 luglio 2017 la Corte di giustizia dell'Unione europea ha adottato un parere sull'accordo previsto tra l'UE e il Canada firmato il 25 giugno 2014. La Corte ha statuito che l'accordo non può essere concluso nella sua forma prevista, in quanto alcune disposizioni sono incompatibili con i diritti fondamentali alla vita privata e alla protezione dei dati personali riconosciuti dall'UE. In particolare, la Corte ha fissato ulteriori requisiti giuridici in materia di vigilanza da parte di un'autorità indipendente, dati sensibili, trattamento automatizzato dei dati PNR, finalità per cui i dati PNR possono essere trattati, e conservazione, uso, divulgazione e ulteriore trasferimento dei dati PNR. A seguito dell'autorizzazione del Consiglio ricevuta dalla Commissione nel dicembre 2017, nel giugno 2018 sono stati avviati nuovi negoziati PNR con il Canada. In occasione del 17º vertice UE-Canada svoltosi a Montreal dal 17 al 18 luglio 2019, l'UE e il Canada hanno accolto con favore la conclusione di tali negoziati. Sebbene il Canada abbia fatto presente il proprio obbligo di esame giuridico, le parti si sono impegnate, fatto salvo tale esame, a concludere l'accordo quanto prima riconoscendo il ruolo fondamentale di tale accordo per rafforzare la sicurezza e garantire al tempo stesso la tutela della vita privata e la protezione dei dati personali.

Un numero crescente di paesi terzi raccoglie i dati PNR dai vettori aerei e negli ultimi anni molti di tali paesi terzi hanno manifestato alla Commissione il loro interesse a concludere con l'UE un accordo internazionale sui dati PNR. In assenza di una base giuridica, i vettori aerei sono esposti a una situazione di conflitto di leggi e a un rischio di multe e altre sanzioni. Parallelamente, in seguito all'attuazione della direttiva PNR, gli Stati membri dell'UE chiedono ai vettori aerei dei paesi terzi di trasmettere i dati PNR alle rispettive unità d'informazione sui passeggeri. Lamentando la mancanza di reciprocità, alcuni paesi terzi hanno rifiutato tali trasferimenti e altri minacciano altrettanto, compromettendo così l'efficacia del meccanismo PNR dell'UE.

A norma dell'articolo 3, paragrafo 2, del trattato sul funzionamento dell'Unione europea (TFUE), l'Unione ha competenza esclusiva "per la conclusione di accordi internazionali [...] nella misura in cui [tale conclusione] può incidere su norme comuni o modificarne la portata". Un accordo internazionale può incidere su norme comuni o modificarne la portata quando il settore da esso contemplato si sovrappone alla legislazione dell'Unione o è già disciplinato in larga misura dal diritto dell'Unione. Inoltre, per valutare se un settore sia già disciplinato in larga misura da norme comuni, occorre tener conto non solo dello stato attuale del diritto dell'Unione nel settore di cui trattasi, ma anche delle sue prospettive di evoluzione, qualora esse siano prevedibili.

Alla luce delle norme comuni summenzionate e dell'imminente riesame a norma dell'articolo 19 della direttiva (UE) 2016/681, si può concludere che la materia oggetto della decisione proposta rientra nella competenza esclusiva dell'Unione.

3.Posizione da adottare a nome dell'Unione

In considerazione dell'importanza della questione per la politica interna ed esterna dell'UE e alla luce di quanto precede, è necessario stabilire una posizione dell'Unione sui trasferimenti di dati PNR ai fini dei lavori (multilaterali) in corso a livello dell'ICAO. In particolare, l'UE dovrebbe mirare a far incorporare nei nuovi standard ICAO i principi fondamentali sulle modalità di trasmissione e trattamento dei dati PNR e sulla protezione dei dati personali - da specificare nella posizione comune. A tale riguardo, è essenziale orientare le discussioni in sede di ICAO sui nuovi standard PNR in modo compatibile con il quadro normativo dell'UE e con la pertinente giurisprudenza della Corte di giustizia, in particolare per quanto riguarda i diritti fondamentali alla vita privata e alla protezione dei dati.

La posizione dell'Unione, rilevante sia per la decisione definitiva del Consiglio dell'ICAO sia per le discussioni preparatorie in altri organi dell'ICAO, è definita conformemente al quadro giuridico dell'UE applicabile in materia di protezione dei dati e di PNR, vale a dire il regolamento (UE) 2016/679, la direttiva (UE) 2016/680 e la direttiva (UE) 2016/681, nonché al trattato e alla Carta dei diritti fondamentali dell'Unione europea, come interpretati nella pertinente giurisprudenza della Corte di giustizia dell'Unione europea, in particolare nel parere 1/15 della Corte.

4.Base giuridica

4.1.Base giuridica procedurale

4.1.1.Principi

L'articolo 218, paragrafo 9, del TFUE prevede l'adozione di decisioni che stabiliscono "le posizioni da adottare a nome dell'Unione in un organo istituito da un accordo, se tale organo deve adottare atti che hanno effetti giuridici, fatta eccezione per gli atti che integrano o modificano il quadro istituzionale dell'accordo".

L'articolo 218, paragrafo 9, del TFUE si applica indipendentemente dal fatto che l'Unione sia un membro dell'organo o parte dell'accordo.

Rientrano nel concetto di "atti che hanno effetti giuridici" gli atti che producono effetti giuridici in forza delle norme di diritto internazionale che disciplinano l'organo in questione. Vi rientrano anche gli atti sprovvisti di carattere vincolante ai sensi del diritto internazionale ma che "sono tali da incidere in modo determinante sul contenuto della normativa adottata dal legislatore dell'Unione".

4.1.2.Applicazione al caso di specie

Il Consiglio dell'ICAO è un organo istituito da un accordo, ossia la convenzione di Chicago.

Qualsiasi emendamento dell'allegato 9, capo 9, della convenzione di Chicago adottato dal Consiglio dell'ICAO a norma dell'articolo 54, lettera l), della medesima convenzione costituirà un atto avente effetti giuridici. Un siffatto emendamento è tale da incidere in modo determinante sul contenuto della normativa adottata dal legislatore dell'Unione, segnatamente la direttiva (UE) 2016/681, nonché sugli accordi internazionali esistenti e futuri tra l'UE e paesi terzi sui dati PNR.