[sommcomm]

Tale direttiva prevede mirati controlli sui flussi di passeggeri aerei all'interno e all'esterno dell'Unione europea, attraverso l'analisi delle informazioni che ciascun passeggero fornisce ai vettori aerei in fase di prenotazione del volo; - lo schema di decreto, che si compone di 27 articoli suddivisi in cinque Capi, è stato emanato in attuazione della delega conferita al Governo dall'articolo 12 della legge n. 163 del 2017, rilevato che: - il Capo I reca disposizioni di carattere generale. In particolare, l'articolo 1 enuncia l'obiettivo dell'intervento normativo e ne definisce l'ambito di applicazione. Oltre all'attuazione della direttiva PNR, è prevista una contestuale rimodulazione della disciplina della trasmissione e del trattamento dei dati API ( Advance Passenger Information ), ovvero dei dati riferiti alle persone effettivamente trasportate dai vettori aerei; - il Capo II individua le specifiche finalità per le quali i dati PNR e i dati API possono essere trattati, ossia prevenire e reprimere reati di terrorismo o altri reati gravi e prevenire il fenomeno della immigrazione irregolare. Dispone, inoltre, che, in caso di ripristino temporaneo dei controlli alle frontiere interne, la disciplina dettata dal presente decreto si estenda anche ai voli intra-UE. In particolare, l'articolo 4 istituisce il Sistema informativo finalizzato alla raccolta e al trattamento dei dati PNR e API e ne definisce le regole di utilizzo; all'articolo 5 è disciplinato l'obbligo per i vettori aerei di trasferire al Sistema informativo i dati PNR relativi ai passeggeri di voli extra-UE e intra-UE in partenza, in arrivo o facenti scalo nel territorio nazionale. Sono quindi previste specifiche modalità di adempimento di tale obbligo; l'articolo 6 reca disposizioni in merito alla composizione e alle funzioni dell'Unità d'informazione sui passeggeri (UIP) nazionale, l'organo incaricato di analizzare i dati PNR trasmessi dai vettori aerei, al fine di individuare i passeggeri che potrebbero essere implicati in reati di terrorismo o in altri reati gravi; l'articolo 7 disciplina il trattamento dei dati API ad opera degli uffici incaricati dei controlli di polizia di frontiera; con gli articoli da 8 a 11 sono definite le modalità operative del trattamento dei dati PNR e API, nonché il periodo di conservazione, le modalità di trasformazione in forma anonima e di cancellazione dei medesimi; - il Capo III è dedicato al flusso informativo dei dati PNR e dei risultati del loro trattamento, in un'ottica di condivisione delle informazioni e di cooperazione europea in materia di prevenzione e repressione dei fenomeni criminosi. Più nel dettaglio, all'articolo 12 è regolamentata la procedura di comunicazione delle informazioni a livello interno, ossia sono stabilite le modalità di cooperazione tra l'UIP nazionale e le autorità competenti nazionali; gli articoli da 13 a 19 definiscono, invece, i meccanismi di comunicazione internazionale, ovvero l'interscambio informativo tra l'UIP nazionale e le UIP o le autorità competenti di altri Stati membri, oltre che il trasferimento dei dati a Europol e ai Paesi terzi; - il Capo IV reca disposizioni riguardanti la tutela dei dati personali oggetto dei trattamenti effettuati ai sensi del presente decreto. In particolare, l'articolo 20 individua nel Garante per la protezione dei dati personali l'autorità deputata a ricoprire il ruolo di Autorità nazionale di controllo, così come delineata dalla direttiva PNR; l'articolo 21 introduce la figura del responsabile della protezione dei dati - figura complementare a quella del Garante - e ne disciplina le attribuzioni e la posizione ordinamentale, collocandolo nell'ambito della Direzione centrale della politica criminale del Dipartimento della pubblica sicurezza del Ministero dell'interno; l'articolo 22 stabilisce che, in relazione ai trattamenti dei dati personali effettuati ai sensi del decreto in esame, si applicano le misure già oggi contemplate dal codice per la protezione dei dati personali; l'articolo 23 riconosce ai soggetti interessati dai trattamenti previsti dal presente decreto i diritti previsti dall'articolo 10 della legge n. 121 del 1981, previa istanza rivolta alla Direzione centrale della polizia criminale; - il Capo V reca la disciplina sanzionatoria e le disposizioni transitorie e finali, tra le quali la clausola di neutralità finanziaria, considerato che il Garante per la protezione dei dati personali, nel parere espresso sul provvedimento in esame, ha formulato alcuni rilievi, meritevoli di attenzione, esprime parere favorevole, con le seguenti osservazioni: - con riguardo ai riferimenti normativi interni, si segnala che lo schema di decreto legislativo opera numerosi rinvii al Codice per la protezione dei dati personali, che prossimamente sarà abrogato, e invece non tiene conto del regolamento (UE) 2016/679 e di recepimento della direttiva (UE) 2016/680, che a breve entreranno in vigore; - all'articolo 4, con riguardo all'utilizzo di un sistema informativo unitario come elemento di semplificazione degli adempimenti in carico ai vettori aerei, si ritiene opportuno adottare misure tecniche e organizzative adeguate, al fine di garantire il rispetto dei principi di necessità, proporzionalità e finalità nel trattamento dei dati PNR e API; - all'articolo 10, relativo al periodo di conservazione dei dati PNR e trasformazione in forma anonima, si prevede che i dati siano resi anonimi mediante mascheramento di una serie di elementi che potrebbero servire a identificare direttamente gli interessati ai quali i dati PNR si riferiscono. Dal momento che il successivo comma 3 consente, dopo sei mesi dall'espletamento della procedura, la comunicazione dei dati PNR integrali a soggetti qualificati, appare più appropriato modificare la terminologia, utilizzando la nozione di "pseudonimizzazione" del dato, introdotta dal regolamento 2016/679/UE, in quanto il dato può considerarsi anonimo solo se in origine, o a seguito di trattamento, non può essere associato a un interessato identificato o identificabile; - con riferimento al trattamento dei dati API, appare necessaria una rivisitazione delle relative disposizioni, in coerenza con il sistema di garanzie previsto, in particolare dalla direttiva 2016/681/UE, a tutela della protezione dei dati personali; - all'articolo 22, riguardante la protezione dei dati personali, si segnala la necessità di modificare la disposizione relativa alla tenuta per cinque anni di registri di raccolta, consultazione, comunicazione e cancellazione dei dati; dal momento che anch'essi contengono dati personali degli interessati, appare opportuno adottare preventive misure di sicurezza per ridurre al minimo i rischi di distruzione o perdita dei registri, di accesso non autorizzato o trattamento non conforme alle finalità previste. Pertanto, al comma 7 dell'articolo 22, dopo le parole "cancellazione dei dati" si ritiene opportuno inserire le seguenti ", adottando misure di sicurezza tali da evitare il rischio di distruzione o di distruzione o perdita, anche accidentale, degli stessi, nonché di accesso non autorizzato ovvero di trattamento non consentito o non conforme alle finalità previste";