22

I considerando da 4 a 12, 15, 19, 20, 22, 25, 27, 28, 33, 36 e 37 della direttiva PNR così recitano: «(4) La direttiva [API] disciplina la trasmissione, da parte dei vettori aerei, dei dati delle informazioni anticipate sui passeggeri (API) alle competenti autorità nazionali al fine di migliorare i controlli alle frontiere e combattere l’immigrazione irregolare. (5) Gli obiettivi della presente direttiva sono, tra l’altro, garantire la sicurezza, proteggere la vita e l’incolumità delle persone, nonché creare un quadro normativo per la tutela dei dati PNR per quanto riguarda il loro trattamento da parte delle autorità competenti. (6) L’uso efficace dei dati PNR, ad esempio confrontando i dati PNR rispetto a varie banche dati relative a persone e oggetti ricercati, è necessario per prevenire, accertare, indagare e perseguire i reati di terrorismo e i reati gravi e rafforzare così la sicurezza interna, per raccogliere prove e, se del caso, scoprire complici e smantellare reti criminali. (7) La valutazione dei dati PNR consente l’identificazione di persone mai sospettate di reati di terrorismo o di reati gravi prima di tale valutazione, per cui è opportuno che le autorità competenti procedano a ulteriori verifiche. Usando i dati PNR è possibile far fronte alla minaccia di reati di terrorismo e reati gravi da una prospettiva diversa rispetto al trattamento di altre categorie di dati personali. Tuttavia, affinché il trattamento dei dati PNR rimanga nei limiti di ciò che è necessario, è opportuno che la definizione e l’applicazione dei criteri di valutazione siano limitate ai reati di terrorismo e a reati gravi per cui l’uso di tali criteri risulta pertinente. Inoltre, i criteri di valutazione dovrebbero essere definiti in maniera da ridurre al minimo il numero di persone innocenti erroneamente identificate dal sistema. (8) I vettori aerei già raccolgono e trattano i dati PNR dei loro passeggeri a fini commerciali. La presente direttiva non dovrebbe imporre ai vettori aerei l’obbligo di raccogliere dati supplementari dai passeggeri o di conservarli, né ai passeggeri di fornire altri dati oltre a quelli già forniti ai vettori aerei. (9) Alcuni vettori aerei conservano, come parte dei dati PNR, i dati API che raccolgono, mentre altri non lo fanno. L’uso dei dati PNR e dei dati API ha costituito un valore aggiunto in termini di assistenza apportata agli Stati membri nel verificare l’identità delle persone, rinforzando così il valore di tale risultato ai fini delle attività di contrasto e riducendo al minimo il rischio di effettuare controlli e indagini su persone innocenti. È importante pertanto garantire che i vettori aerei che raccolgono dati API li trasferiscano, indipendentemente dal fatto che conservino i dati API con mezzi tecnici diversi da quelli per gli altri dati PNR. (10) Per prevenire, accertare, indagare e perseguire i reati di terrorismo e i reati gravi è essenziale che tutti gli Stati membri introducano disposizioni che stabiliscano a carico dei vettori aerei che effettuano voli extra-UE obblighi di trasferimento dei dati PNR raccolti, compresi i dati API. Gli Stati membri dovrebbero avere altresì la possibilità di estendere tale obbligo anche ai vettori aerei che effettuano voli intra-UE. Tali disposizioni dovrebbero lasciare impregiudicata la direttiva [API]. (11) Il trattamento dei dati personali dovrebbe essere proporzionato agli obiettivi specifici di sicurezza perseguiti dalla presente direttiva. (12) È opportuno che la definizione di reati di terrorismo applicata nella presente direttiva corrisponda alla definizione data nella decisione quadro 2002/475/GAI del Consiglio[, del 13 giugno 2002 sulla lotta contro il terrorismo (GU 2002, L 164, pag. 3)]. La definizione di reati gravi dovrebbe comprendere le categorie di reati di cui all’allegato II della presente direttiva. (...) (15) Un elenco dei dati PNR, che deve essere ottenuto da una [unità d’informazione sui passeggeri (UIP)], dovrebbe essere compilato con l’obiettivo di riflettere l’esigenza legittima delle autorità pubbliche di prevenire, accertare, indagare e perseguire reati di terrorismo o reati gravi, migliorando così la sicurezza interna nell’Unione e la protezione dei diritti fondamentali, in particolare il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali. A tal fine si dovrebbero applicare norme elevate conformemente alla [Carta], alla convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale (“convenzione n. 108”) e alla convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali [, firmata a Roma il 4 novembre 1950 (“CEDU”)]. Tale elenco non dovrebbe fondarsi sull’origine razziale o etnica, sulla religione o sulle convinzioni personali, sulle opinioni politiche o di qualsiasi altra natura, sull’appartenenza sindacale, sullo stato di salute, sulla vita sessuale o sull’orientamento sessuale dell’interessato. I dati PNR dovrebbero contenere solo i dati della prenotazione e degli itinerari di viaggio del passeggero sulla cui base le autorità competenti possano identificare i passeggeri aerei che rappresentano una minaccia per la sicurezza interna. (...) (19) Ciascuno Stato membro dovrebbe essere responsabile di valutare le minacce potenziali connesse ai reati di terrorismo o ai reati gravi. (20) Nel pieno rispetto del diritto alla protezione dei dati personali e del diritto alla non discriminazione, non dovrebbero essere adottate decisioni che comportino conseguenze giuridiche negative per l’interessato o lo danneggino in modo significativo, soltanto sulla base del trattamento automatizzato dei dati PNR. Inoltre, ai sensi degli articoli 8 e 21 della Carta, decisioni di questo tipo non dovrebbero operare alcuna discriminazione fondata sul sesso, la razza, il colore della pelle, l’origine etnica o sociale, le caratteristiche genetiche, la lingua, la religione o le convinzioni personali, le opinioni politiche o di qualsiasi altra natura, l’appartenenza a una minoranza nazionale, il patrimonio, la nascita, la disabilità, l’età o l’orientamento sessuale dell’interessato. La Commissione [europea] dovrebbe altresì tener conto di tali principi quando procede al riesame dell’applicazione della presente direttiva. (...) (22) Tenendo pienamente conto dei principi delineati nella recente giurisprudenza della Corte di giustizia dell’Unione europea in materia, è opportuno che l’applicazione della presente direttiva garantisca il pieno rispetto dei diritti fondamentali, del diritto al rispetto della vita privata e del principio di proporzionalità. È opportuno altresì che risponda effettivamente agli obiettivi di quanto è necessario e proporzionato per garantire gli interessi generali riconosciuti dall’Unione e alla necessità di tutelare i diritti e le libertà altrui nella lotta contro i reati di terrorismo e ai reati gravi. L’applicazione della presente direttiva dovrebbe essere debitamente giustificata e dovrebbero essere previste le garanzie necessarie ad assicurare la liceità di qualsiasi conservazione, analisi, trasferimento e uso dei dati PNR. (...) (25) Il periodo di conservazione dei dati PNR dovrebbe essere lungo quanto necessario e proporzionato agli obiettivi di prevenire, accertare, indagare e promuovere un’azione penale nei confronti dei reati di terrorismo e dei reati gravi. Tenuto conto della loro natura e del loro uso, occorre che i dati PNR siano conservati per un periodo sufficientemente lungo per poter effettuare analisi e utilizzarli nelle indagini. Per evitare un uso sproporzionato, è opportuno che dopo il periodo iniziale i dati PNR siano resi anonimi mediante mascheratura degli elementi dei dati. Per garantire il massimo livello di protezione dei dati, è opportuno che l’accesso alla serie integrale di dati PNR, che consenta l’identificazione diretta dell’interessato, sia concesso soltanto a condizioni molto rigorose e limitate dopo detto periodo iniziale. (...) (27) Il trattamento dei dati PNR effettuato in ciascuno Stato membro dall’UIP e dalle autorità competenti dovrebbe essere soggetto a una norma di protezione dei dati personali ai sensi della legislazione nazionale in linea con la decisione quadro [2008/977] e agli specifici requisiti in materia di protezione dei dati previsti dalla presente direttiva. I riferimenti alla decisione quadro [2008/977] dovrebbero essere intesi come riferimenti alla normativa attualmente in vigore nonché alla normativa destinata a sostituirla. (28) In considerazione del diritto alla protezione dei dati personali, è opportuno che i diritti degli interessati in relazione al trattamento dei dati PNR che li riguardano, vale a dire i diritti di accesso, di rettifica, cancellazione e limitazione, così come i diritti a compensazione e di proporre un ricorso giurisdizionale, siano conformi sia alla decisione quadro [2008/977] sia all’elevato grado di tutela offerto dalla Carta e dalla CEDU. (...) (33) La presente direttiva non pregiudica la possibilità che gli Stati membri istituiscano, ai sensi del diritto nazionale, un sistema di raccolta e trattamento dei dati PNR provenienti da operatori economici diversi dai vettori aerei, come le agenzie di viaggio e gli operatori turistici, che forniscono servizi connessi ai viaggi, fra cui la prenotazione di voli per i quali raccolgono e trattano dati PNR, o da imprese di trasporto diverse da quelle previste nella presente direttiva, purché tale diritto nazionale sia conforme al diritto dell’Unione. (...) (36) La presente direttiva rispetta i diritti fondamentali e i principi della Carta, in particolare il diritto alla protezione dei dati personali, il diritto al rispetto della vita privata e il diritto alla non discriminazione, tutelati dagli articoli 8, 7 e 21 della stessa, e dovrebbe essere attuata di conseguenza. La presente direttiva è compatibile con i principi di protezione dei dati e le sue disposizioni sono in linea con la decisione quadro [2008/977]. Inoltre, per rispettare il principio di proporzionalità, in specifici ambiti la presente direttiva prevede norme di protezione dei dati più severe rispetto alla decisione quadro [2008/977]. (37) L’ambito di applicazione della presente direttiva è quanto più possibile limitato, dal momento che prevede la conservazione dei dati PNR nelle UIP per un periodo non superiore a cinque anni, scaduto il quale i dati dovrebbero essere cancellati, dal momento che prevede che i dati dovrebbero essere resi anonimi mediante mascheratura dopo un periodo iniziale di sei mesi e dal momento che vieta la raccolta e l’uso di dati sensibili. Per assicurare una protezione dei dati efficace e di livello elevato, gli Stati membri sono tenuti a provvedere affinché un’autorità nazionale di controllo indipendente e, in particolare, un responsabile della protezione dei dati, siano incaricati di dare consulenza e sorvegliare le modalità di trattamento dei dati PNR. Tutti i trattamenti di dati PNR dovrebbero essere registrati o documentati al fine di verificare la liceità del trattamento e dell’autocontrollo e garantire la totale integrità e il trattamento sicuro dei dati. Gli Stati membri dovrebbero altresì provvedere affinché i passeggeri siano informati in modo chiaro e preciso della raccolta dei dati PNR e dei loro diritti».