Document ID: 32004D0535

DECISIONE DELLA COMMISSIONE
del 14 maggio 2004
relativa al livello di protezione adeguato dei dati personali contenuti nelle schede nominative dei passeggeri aerei trasferiti all'Ufficio delle dogane e della protezione delle frontiere degli Stati Uniti United States' Bureau of Customs and Border Protection
[notificata con il numero C(2004) 1914]
(Testo rilevante ai fini del SEE)
(2004/535/CE)
LA COMMISSIONE DELLE COMUNITÀ EUROPEE,
visto il trattato che istituisce la Comunità europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l'articolo 25, paragrafo 6,
considerando quanto segue:
(1)
In virtù della direttiva 95/46/CE gli Stati membri dispongono che la trasmissione di dati personali ad un paese terzo possa aver luogo soltanto se il paese terzo di cui si tratta garantisce un livello di protezione adeguato e se le leggi nazionali di attuazione delle altre disposizioni della direttiva sono rispettate prima della trasmissione.
(2)
La Commissione può constatare che un paese terzo garantisce un livello di protezione adeguato. Sulla base di tale constatazione, dati personali possono essere trasmessi dagli Stati membri senza che sia necessaria alcuna garanzia supplementare.
(3)
In virtù della direttiva 95/46/CE il livello di protezione dei dati è valutato con riguardo a tutte le circostanze relative ad una trasmissione o a una categoria di trasmissioni di dati e tenendo conto, in particolare, delle condizioni elencate all'articolo 25, paragrafo 2.
(4)
Nell'ambito dei trasporti aerei, la scheda nominativa del passeggero (Passenger Name Record, nel prosieguo «PNR») è una scheda comprendente le informazioni relative al viaggio di ciascun passeggero. Essa contiene tutte le informazioni necessarie per consentire il trattamento e il controllo delle prenotazioni da parte delle compagnie aeree della prenotazione e delle compagnie aeree partecipanti. Ai fini della presente decisione i termini «passeggero» e «passeggeri» comprendono i membri dell'equipaggio. Per «compagnia aerea della prenotazione» s'intende la compagnia aerea presso la quale il passeggero ha fatto la sua prenotazione originale, o presso la quale delle prenotazioni addizionali sono state fatte dopo l'inizio del viaggio. Per «compagnie aeree partecipanti» s'intende qualsiasi compagnia aerea alla quale la compagnia aerea della prenotazione ha chiesto un posto per un passeggero su uno o vari voli.
(5)
L'ufficio statunitense delle dogane e della protezione delle frontiere (United States Bureau of Customs and Border Protection, nel prosieguo «CBP») del ministero della Sicurezza interna (Department of Homeland Security) richiede a ciascuna compagnia aerea che garantisce un servizio internazionale di trasporto di passeggeri con destinazione o in partenza dagli Stati Uniti di fornirgli un accesso elettronico ai dati PNR, nella misura in cui tali dati siano stati raccolti e memorizzati nei sistemi informatici di prenotazione della compagnia aerea.
(6)
L'obbligo di trasmissione dei dati personali contenuti nei PNR dei passeggeri aerei al CBP si basa su una legge adottata dagli Stati Uniti nel novembre 2001 (2), e su regolamenti di attuazione adottati dal CBP in base a tale legge (3).
(7)
La legislazione statunitense in questione riguarda il rafforzamento della sicurezza, nonché le condizioni di ingresso negli Stati Uniti e di uscita dal paese. Si tratta di questioni su cui gli Stati Uniti hanno un potere di decisione nell'ambito della propria sovranità. Del resto tali esigenze non sono incompatibili con gli impegni internazionali che il paese ha contratto. Gli Stati Uniti sono un paese democratico, governato dal principio dello stato di diritto e dotato di una solida tradizione in materia di libertà civili. La legittimità del suo procedimento legislativo e la forza e l'indipendenza del suo apparato giudiziario non sono in discussione. La libertà di stampa costituisce un'ulteriore solida garanzia contro le violazioni delle libertà civili.
(8)
La Comunità sostiene pienamente gli Stati Uniti nella loro lotta contro il terrorismo nei limiti imposti dal diritto comunitario. La legislazione comunitaria provvede a trovare l'equilibrio necessario tra le esigenze della sicurezza e il rispetto della vita privata. Ad esempio, l'articolo 13 della direttiva 95/46/CE consente agli Stati membri di adottare le misure legislative intese a limitare la portata degli obblighi e dei diritti previsti da tale direttiva, qualora tale restrizione sia giustificata dalla necessità di salvaguardare la sicurezza dello Stato, la difesa, la pubblica sicurezza, nonché la prevenzione, le indagini, l'accertamento e la punizione di reati.
(9)
Le trasmissioni di dati riguardano dei responsabili specifici del trattamento, vale a dire le compagnie aeree che garantiscono i collegamenti tra la Comunità e gli Stati Uniti, e un solo destinatario negli Stati Uniti, vale a dire il CBP.
(10)
Qualunque accordo volto a stabilire una disciplina normativa per le trasmissioni di PNR agli Stati Uniti, in particolare attraverso la presente decisione, deve essere limitato nel tempo. È stato concordato un periodo di tre anni e mezzo. Nel corso di tale lasso di tempo, il contesto può cambiare in modo radicale e la Comunità e gli Stati Uniti convengono che è necessaria una futura revisione degli accordi.
(11)
Il trattamento da parte del CBP dei dati personali contenuti nei PNR dei passeggeri aerei che gli sono inviati è disciplinato dalle disposizioni che figurano nella «Dichiarazione d'impegno del ministero della Sicurezza interna (Department for Homeland Security) - Ufficio delle dogane e della protezione delle frontiere (CBP) dell'11 maggio 2004» (nel prosieguo «la dichiarazione d'impegno») e dalla legislazione americana, alle condizioni previste dalla dichiarazione d'impegno.
(12)
Per quanto riguarda la legislazione americana, la legge sulla libertà d'informazione (Freedom of Information Act) è rilevante nel contesto attuale nella misura in cui disciplina le condizioni alle quali il CBP può opporsi alle domande di trasmissioni di dati e trattare in tale modo i dati dei PNR in modo confidenziale. Detta legge disciplina inoltre la trasmissione dei PNR alle persone interessate, elemento che è strettamente collegato al diritto di accesso di cui esse dispongono. La legge sulla libertà d'informazione si applica senza distinzione ai cittadini americani e stranieri.
(13)
Per quanto riguarda la dichiarazione d'impegno, e conformemente a quanto previsto al paragrafo 44, le disposizioni della dichiarazione sono state o saranno recepite da leggi, direttive o altri atti normativi negli Stati Uniti e hanno, pertanto, diversi gradi di efficacia giuridica. La dichiarazione d'impegno è pubblicata integralmente nel registro federale sotto la responsabilità del ministero della Sicurezza interna. Essa rappresenta indubbiamente un impegno politico serio e maturo da parte del ministero della Sicurezza interna e il suo rispetto è controllato congiuntamente dagli Stati Uniti e dalla Comunità. L'inadempimento può essere eventualmente fatto valere attraverso mezzi giuridici, amministrativi e politici e, se persistente, comporta la sospensione degli effetti della presente decisione.
(14)
I criteri in virtù dei quali il CBP tratta i dati PNR dei passeggeri sulla base della legislazione americana e della dichiarazione d'impegno comprendono i principi fondamentali necessari per assicurare un livello di protezione adeguato delle persone fisiche.
(15)
Per quanto riguarda la limitazione delle trasmissioni di dati ad una finalità specifica, i dati personali dei passeggeri aerei contenuti nei PNR che sono trasmessi al CBP sono trattati per uno scopo specifico e sono utilizzati o comunicati ulteriormente soltanto nella misura in cui ciò non sia incompatibile con la finalità della trasmissione. In particolare, i dati dei PNR devono essere utilizzati al solo scopo di prevenire e di combattere il terrorismo e i reati collegati al terrorismo, altri reati gravi, compresa la criminalità organizzata transnazionale, la fuga in caso di mandato d'arresto emesso o di pena detentiva comminata per quei reati.
(16)
Per quanto riguarda la qualità dei dati e il principio di proporzionalità, che devono essere considerati in rapporto agli importanti motivi d'interesse pubblico che giustificano la trasmissione dei dati dei PNR, i dati dei PNR non devono essere ulteriormente modificati dal CBP. Un massimo di trentaquattro categorie di dati PNR sono trasmesse e le autorità americane sono tenute a consultare la Commissione prima di aggiungere nuovi elementi. Ulteriori informazioni personali ricercate sulla base di quanto è stato direttamente ricavato dai dati PNR sono ottenute da fonti diverse da quelle governative soltanto mediante ricorso a mezzi legittimi. In linea generale, i PNR sono cancellati dopo un periodo massimo di tre anni e sei mesi, ad eccezione dei dati consultati nell'ambito di inchieste specifiche ovvero manualmente.
(17)
Per quanto riguarda il principio di trasparenza, il CBP fornisce informazioni ai viaggiatori in merito alla finalità della trasmissione e del trattamento, nonché all'identità del responsabile del trattamento nel paese terzo, ed altre informazioni.
(18)
Per quanto riguarda il principio di sicurezza, il CBP adotta le misure di sicurezza tecniche e organizzative adeguate al rischio presentato dal trattamento.
(19)
Il diritto di accesso e di rettifica sono riconosciuti, in quanto le persone interessate possono chiedere una copia dei loro dati PNR, nonché una rettifica dei dati inesatti. Le eccezioni previste sono in linea di massima paragonabili alle restrizioni che possono essere imposte da uno Stato membro in forza dell'articolo 13 della direttiva 95/46/CE.
(20)
Le trasmissioni successive di dati vengono effettuate, caso per caso, ad altre autorità governative, anche di altri paesi, incaricate della lotta contro il terrorismo o dell'applicazione della legge, per finalità corrispondenti a quelle stabilite nella dichiarazione di limitazione ad una finalità specifica. Le trasmissioni possono anche essere effettuate ai fini della protezione degli interessi vitali della persona interessata o di altre persone, in particolare nei casi di importanti rischi sanitari o nell'ambito di un procedimento penale o negli altri casi previsti dalla legge. Le autorità che ricevono i dati devono, in virtù delle condizioni esplicite di diffusione, impiegare i dati unicamente ai fini previsti e non possono procedere ad una trasmissione successiva senza l'accordo delle CBP. Nessun'altra autorità straniera, federale, statale o locale dispone di un accesso elettronico diretto ai dati del PNR attraverso le basi di dati del CBP. Il CBP si oppone alla divulgazione pubblica dei PNR sulla base delle deroghe previste dalle relative disposizioni della legge sulla libertà di informazione.
(21)
Il CBP non utilizza i dati sensibili di cui all'articolo 8 della direttiva 95/46/CE e, in attesa della creazione di un sistema di selezione che consenta di escludere tali dati dai PNR trasferiti, si impegna ad introdurre gli strumenti per la loro cancellazione e nel frattempo a non utilizzarli.
(22)
Per quanto riguarda i meccanismi di attuazione volti a garantire il rispetto di questi principi da parte del CBP, è previsto un sistema di formazione e d'informazione del personale del CBP, nonché di sanzioni per i membri del personale. Il rispetto da parte del CBP della vita privata in generale sarà controllato dal responsabile della Protezione della vita privata (Chief Privacy Officer) presso il ministero della Sicurezza interna, il quale, pur essendo un funzionario di tale ministero, dispone di un'ampia autonomia organizzativa e deve rendere conto ogni anno al Congresso. Le persone i cui dati PNR sono stati trasmessi possono inviare i loro reclami al CBP o, in caso di mancata risoluzione, al responsabile della Protezione della vita privata, direttamente o tramite le autorità incaricate della protezione dei dati negli Stati membri. L'ufficio responsabile della Protezione della vita privata del ministero della Sicurezza interna esamina con procedura d'urgenza i reclami che gli sono trasmessi dalle autorità incaricate della protezione dei dati negli Stati membri a nome dei residenti della Comunità, se questi ultimi ritengono che i loro reclami non siano stati trattati in modo soddisfacente dal CBP o dall'ufficio responsabile della protezione della vita privata del ministero della Sicurezza interna. Il rispetto della dichiarazione d'impegno è oggetto di un esame annuale congiunto, effettuato dal CBP in collaborazione con il ministero della Sicurezza interna e da un gruppo diretto dalla Commissione.
(23)
Al fine di contribuire alla trasparenza e di assicurare la capacità delle autorità competenti negli Stati membri di garantire la protezione degli individui per quanto riguarda il trattamento dei loro dati personali, è opportuno precisare le circostanze eccezionali nelle quali la sospensione di specifici flussi di dati possa essere giustificata, indipendentemente dalla constatazione del livello di protezione adeguato.
(24)
Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall'articolo 29 della direttiva 95/46/CE, ha espresso numerosi pareri sul livello di protezione garantito dalle autorità americane per quanto riguarda i dati PNR, i quali hanno guidato la Commissione nel corso del negoziato con il ministero della Sicurezza interna. La Commissione ha preso atto di questi pareri nell'elaborazione di questa decisione (4).
(25)
Le misure di cui alla presente decisone sono conformi al parere del comitato istituito dall'articolo 31, paragrafo 1, della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Ai fini dell'articolo 25, paragrafo 2, della direttiva 95/46/CE, l'Ufficio statunitense delle dogane e della protezione delle frontiere (CBP) è considerato in grado di garantire un livello di protezione adeguato dei dati delle schede nominative dei passeggeri (PNR) trasmessi dalla Comunità per quanto riguarda i voli con destinazione o partenza dagli Stati Uniti, conformemente alla dichiarazione d'impegno che figura nell'allegato.
Articolo 2
La presente decisione riguarda il livello di protezione adeguato garantito dal CBP al fine di rispondere ai requisiti posti dall'articolo 25, paragrafo 1, della direttiva 95/46/CE e non incide sulle condizioni o restrizioni imposte in attuazione di altre disposizioni della direttiva e che si applicano al trattamento di dati personali negli Stati membri.
Articolo 3
1. Fatti salvi i poteri che consentono loro di adottare misure volte a garantire il rispetto delle disposizioni nazionali adottate conformemente alle disposizioni diverse dall'articolo 25 della direttiva 95/46/CE, le autorità competenti degli Stati membri possono esercitare i poteri di cui dispongono attualmente per sospendere la trasmissione di dati al CBP al fine di proteggere le persone fisiche per quanto riguarda il trattamento dei loro dati personali in uno dei casi seguenti:
a)
quando un'autorità degli Stati Uniti competente ha accertato che il CBP non rispetta le norme in materia di protezione;
b)
quando è probabile che le norme di protezione stabilite nell'allegato I non siano rispettate; quando vi sono motivi ragionevoli di credere che il CBP non adotta o non adotterà, in tempi opportuni, le misure che s'impongono per regolare il caso in questione; quando il proseguimento della trasmissione di dati comporterebbe un rischio imminente di grave pregiudizio per le persone interessate e le autorità competenti dello Stato membro si sono ragionevolmente sforzate, in tali circostanze, di avvertire il CBP e di dargli la possibilità di rispondere.
2. La sospensione della trasmissione cessa dal momento in cui è garantita l'applicazione delle norme di protezione e l'autorità competente interessata negli Stati membri ne è avvertita.
Articolo 4
1. Gli Stati membri informano immediatamente la Commissione in merito alle misure adottate in forza dell'articolo 3.
2. Gli Stati membri e la Commissione si informano reciprocamente in merito a qualsiasi modificazione delle norme di protezione e ai casi nei quali le misure adottate dalle autorità incaricate di assicurare il rispetto da parte del CBP delle norme di protezione stabilite nell'allegato I non siano sufficienti a garantire tale rispetto.
3. Se le informazioni raccolte in virtù dell'articolo 3 e dei paragrafi 1 e 2 del presente articolo dimostrano che principi fondamentali necessari per assicurare un livello di protezione adeguato delle persone fisiche non sono più rispettati, o che un qualunque organismo incaricato di assicurare il rispetto da parte del CBP delle norme di protezione stabilite nell'allegato non svolge efficacemente la sua missione, il CBP ne sarà informato e, se necessario, si applica la procedura di cui all'articolo 31, paragrafo 2, della direttiva 95/46/CE, al fine di revocare o sospendere la presente decisione.
Articolo 5
L'applicazione della presente decisione è oggetto di un controllo sistematico e le constatazioni relative sono comunicate al comitato istituito dall'articolo 31 della direttiva 95/46/CE, con particolare riguardo ad elementi che possano incidere sulla valutazione di cui all'articolo 1 della presente decisione relativa all'adeguatezza del livello di protezione dei dati personali contenuti nei PNR dei passeggeri aerei trasmessi al CBP in forza dell'articolo 25 della direttiva 95/46/CE.
Articolo 6
Gli Stati membri adottano tutte le misure necessarie per conformarsi alla presente decisione entro quattro mesi a decorrere dalla notificazione della medesima.
Articolo 7
La presente decisione scade tre anni e sei mesi dopo la data della sua notificazione, a meno che la sua vigenza non sia prorogata secondo la procedura di cui all'articolo 31, paragrafo 2, della direttiva 95/46/CE.
Articolo 8
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 14 maggio 2004.

Labels: 11
8
0
12
18