Document ID: 32006D0253

DECISIONE DELLA COMMISSIONE
del 6 settembre 2005
che constata il livello di protezione adeguato dei dati personali contenuti nei PNR (Passenger Name Record) dei passeggeri aerei trasferiti all’Agenzia dei servizi di frontiera del Canada (Canada Border Services Agency - CBSA)
[notificata con il numero C(2005) 3248]
(Testo rilevante ai fini del SEE)
(2006/253/CE)
LA COMMISSIONE DELLE COMUNITÀ EUROPEE,
visto il trattato che istituisce la Comunità europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l'articolo 25, paragrafo 6,
considerando quanto segue:
(1)
La direttiva 95/46/CE prescrive agli Stati membri di disporre che il trasferimento di dati personali verso un paese terzo possa aver luogo soltanto se tale paese terzo garantisce un livello di protezione adeguato e se le leggi nazionali di attuazione di altre disposizioni della direttiva sono rispettate prima del trasferimento.
(2)
Se la Commissione constata che un paese terzo garantisce un livello di protezione adeguato, dati personali possono essere trasferiti dagli Stati membri senza che siano necessarie garanzie supplementari.
(3)
La direttiva 95/46/CE prevede che il livello di protezione dei dati sia valutato alla luce di tutte le circostanze relative ad un trasferimento o ad una categoria di trasferimenti di dati, prendendo in particolare considerazione alcuni aspetti relativi al trasferimento elencati all'articolo 25, paragrafo 2.
(4)
Nell’ambito dei trasporti aerei, il Passenger Name Record (PNR) contiene i dati relativi al viaggio di ciascun passeggero e tutte le informazioni necessarie per consentire il trattamento e il controllo delle prenotazioni da parte delle compagnie aeree che effettuano le prenotazioni e delle compagnie aeree partecipanti (2). Ai fini della presente decisione, il termine «passeggero/i» comprende i membri dell’equipaggio. Per «compagnia aerea che effettua la prenotazione» si intende la compagnia presso la quale il passeggero ha effettuato la prenotazione originaria o prenotazioni successive una volta iniziato il viaggio. Per «compagnia partecipante» si intende ogni compagnia a cui quella che effettua la prenotazione abbia chiesto di riservare un posto per un passeggero, su uno o più voli.
(5)
L’Agenzia dei servizi di frontiera del Canada (Canada Border Services Agency - CBSA) esige che tutte le compagnie aeree che effettuano un servizio di trasporto passeggeri con destinazione nel Canada le forniscano l’accesso elettronico ai dati PNR nella misura in cui essi siano raccolti e memorizzati nei loro sistemi informatici di prenotazione e di controllo delle partenze.
(6)
L’obbligo di trasferire alla CBSA i dati personali dei passeggeri aerei contenuti nel PNR si basa sulla sezione 107.1 della legge doganale (Customs Act) e sul paragrafo 148, lettera d) della legge sull’immigrazione e sulla protezione dei rifugiati (Immigration and Refugee Protection Act) nonché sui regolamenti d'attuazione adottati nel quadro di queste leggi (3).
(7)
La legislazione canadese in questione riguarda il rafforzamento della sicurezza e le condizioni di entrata nel paese, in merito a cui il Canada ha il potere sovrano di decisione nell'ambito della propria giurisdizione. Gli obblighi stabiliti non sono comunque incompatibili con gli impegni internazionali assunti dal Canada. Il Canada è un paese democratico, governato dai principi del diritto e dotato di una solida tradizione in materia di libertà civili. La legittimità del suo procedimento legislativo e la forza e l'indipendenza del suo sistema giudiziario non sono messi in dubbio. La libertà di stampa costituisce un'altra potente garanzia contro qualsiasi violazione delle libertà civili.
(8)
La Comunità sostiene pienamente il Canada nella lotta contro il terrorismo nei limiti imposti dalla normativa comunitaria, la quale intende garantire il necessario equilibrio tra le questioni di sicurezza e quelle relative alla vita privata. L'articolo 13 della direttiva 95/46/CE consente ad esempio agli Stati membri di adottare le misure legislative atte a limitare la portata di alcune disposizioni della direttiva, se tale restrizione si rende necessaria per la salvaguardia della sicurezza dello Stato, della difesa o della pubblica sicurezza, oltre che per prevenire, investigare, accertare e perseguire infrazioni penali.
(9)
I trasferimenti di dati riguardano specifici responsabili del trattamento, vale a dire le compagnie aeree che effettuano i collegamenti aerei tra la Comunità e il Canada e un solo destinatario nel Canada, vale a dire la CBSA.
(10)
Qualunque accordo volto a stabilire un quadro regolamentare per i trasferimenti di PNR al Canada, in particolare attraverso questa decisione, deve essere limitato nel tempo. È stato concordato un periodo di tre anni e mezzo. Nel corso di tale periodo il contesto può cambiare in modo significativo e la Comunità e il Canada convengono che sarà necessaria una revisione degli accordi.
(11)
Il trattamento da parte della CBSA dei dati personali contenuti nel PNR dei passeggeri aerei che le sono trasmessi è disciplinato dalle disposizioni figuranti nella dichiarazione d’intenti della CBSA riguardo all’applicazione del suo programma PNR (qui di seguito definita «dichiarazione d'intenti») e dalla legislazione nazionale canadese, alle condizioni previste nella dichiarazione d'intenti.
(12)
Per quanto riguarda la legislazione canadese, la legge sulla privacy (Privacy Act), la legge sull’accesso all’informazione (Access to Information Act) e l’Articolo 107 della legge doganale (Customs Act) sono pertinenti nel contesto attuale, poiché stabiliscono a quali condizioni la CBSA possa opporsi alle richieste di divulgazione e, pertanto, mantenere riservati i dati PNR. Il Privacy Act disciplina la divulgazione del PNR alle persone interessate, aspetto strettamente collegato al diritto di accesso dell’interessato. Il Privacy Act si applica solo a chi si trova in Canada. Tuttavia, la CBSA permette anche l’accesso ai dati PNR di un cittadino straniero che non si trovi in Canada.
(13)
Per quanto riguarda la dichiarazione d’intenti, conformemente a quanto stabilito nell’articolo 43, le sue disposizioni sono state incluse nella legislazione canadese oppure sono state inserite in regolamenti nazionali formulati appositamente ed hanno quindi effetto giuridico. La dichiarazione d’intenti sarà pubblicata integralmente nella Canada Gazette. Essa rappresenta una seria e meditata assunzione di impegni da parte della CBSA e il suo rispetto sarà soggetto al controllo congiunto del Canada e della Comunità. L’inosservanza può essere contestata, se del caso, con mezzi giuridici, amministrativi e politici, e qualora persista comporta la sospensione degli effetti della presente decisione.
(14)
Le norme in forza delle quali la CBSA tratta i dati PNR dei passeggeri sulla base della legislazione canadese e della dichiarazione d'intenti comprendono i principi fondamentali necessari ad assicurare un adeguato livello di protezione delle persone fisiche.
(15)
Per quanto riguarda il principio di finalità, i dati personali dei passeggeri aerei contenuti nei PNR che sono trasferiti alla CBSA saranno trattati solo per una finalità specifica e successivamente utilizzati o comunicati ulteriormente solo nella misura in cui ciò sia compatibile con la finalità del trasferimento. In particolare, i dati del PNR devono essere utilizzati al solo scopo di prevenire e combattere: il terrorismo e i reati collegati al terrorismo; altri reati gravi, compresi i reati di criminalità organizzata, che per loro natura rivestono un carattere transnazionale.
(16)
Per quanto riguarda la qualità dei dati e il principio di proporzionalità, che vanno considerati in rapporto agli importanti motivi d'interesse pubblico che giustificano il trasferimento dei dati PNR, i dati PNR forniti alla CBSA non saranno successivamente modificati dall’Agenzia. Sarà trasferito un massimo di 25 rubriche PNR e la CBSA consulterà e prenderà accordi con la Commissione europea per quanto riguarda la revisione dei 25 elementi di dati PNR indicati nell’appendice A, prima di effettuare tale revisione. Informazioni personali supplementari ricercate sulla base di quanto è stato direttamente ricavato dai dati PNR possono essere ottenute da fonti non governative solo attraverso canali legittimi. In linea di principio, i PNR saranno cancellati dopo un periodo massimo di 3 anni e 6 mesi.
(17)
Per quanto riguarda il principio di trasparenza, la CBSA fornirà informazioni ai viaggiatori in merito alla finalità del trasferimento e del trattamento, nonché all'identità del responsabile del trattamento, e informazioni ulteriori.
(18)
Per quanto riguarda il principio di sicurezza, la CBSA adotta le misure di sicurezza tecniche e organizzative adeguate al rischio presentato dal trattamento.
(19)
I diritti di accesso, di rettifica e di annotazione sono riconosciuti dal Privacy Act alle persone che si trovano in Canada. La CBSA estenderà questi diritti relativi ai dati PNR in suo possesso ai cittadini stranieri che non si trovano in Canada. Le eccezioni previste sono nell'insieme comparabili alle restrizioni che possono essere imposte dagli Stati membri in applicazione dell'articolo 13 della direttiva 95/46/CE.
(20)
Trasferimenti ulteriori saranno effettuati, caso per caso, verso altre autorità governative, anche di altri Paesi, per finalità identiche o compatibili rispetto a quelle stabilite nella dichiarazione concernente la limitazione ad una finalità specifica, relativamente ad un numero minimo di dati. Possono essere effettuati anche trasferimenti per la protezione degli interessi vitali della persona interessata o di altre persone, in particolare nei casi di gravi rischi per la salute, o di una procedura giudiziaria, o di altre esigenze previste dalla legge. A norma delle condizioni esplicite di diffusione, gli organismi riceventi devono utilizzare i dati unicamente ai fini previsti e non procedere ad un trasferimento ulteriore senza l'accordo della CBSA. Nessun’altra autorità straniera, federale, provinciale o locale dispone di un accesso elettronico diretto ai dati PNR attraverso le banche di dati della CBSA. La CBSA si oppone alla divulgazione pubblica dei dati PNR in base ad esenzioni dalle pertinenti disposizioni dell’Access to Information Act e del Privacy Act.
(21)
La CBSA non riceve dati sensibili ai sensi dell’articolo 8 della direttiva 95/46/CE.
(22)
Per quanto riguarda i meccanismi d’attuazione volti a garantire il rispetto di questi principi da parte della CBSA, è previsto un sistema di formazione e d'informazione del suo personale e di sanzioni per i singoli membri del personale. Il rispetto da parte della CBSA della vita privata in generale è controllato dal Commissariato canadese per la protezione della vita privata (Office of the Canadian Privacy Commissioner) alle condizioni fissate nella Carta canadese dei diritti e delle libertà (Canadian Charter of Rights and Freedom) e nel Privacy Act. Il commissario per la protezione della vita privata può esaminare le denunce che le autorità di protezione dei dati degli Stati membri gli trasmettono a nome dei residenti della Comunità, se questi ritengono che le loro denunce non siano state trattate in modo soddisfacente dalla CBSA. Il rispetto della dichiarazione d'intenti è oggetto di un esame annuale congiunto, effettuato dalla CBSA in collaborazione con un gruppo diretto dalla Commissione.
(23)
Al fine di contribuire alla trasparenza e di garantire la capacità delle autorità competenti nell'ambito degli Stati membri di garantire la tutela degli individui per quanto riguarda il trattamento dei dati a carattere personale, è opportuno precisare le circostanze eccezionali in cui può essere giustificata la sospensione di specifici flussi di dati, nonostante si sia constatato che il livello di protezione risulta adeguato.
(24)
Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall'articolo 29 della direttiva 95/46/CE, ha espresso pareri sul livello di protezione fornito dalle autorità canadesi per quanto riguarda i dati dei passeggeri, su cui la Commissione si è basata nel corso dei negoziati con la CBSA. Nel preparare la decisione, la Commissione ha preso nota di questi pareri (4).
(25)
I provvedimenti di cui alla presente decisione sono conformi al parere del comitato istituito a norma dell'articolo 31, paragrafo 1 della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Ai fini dell'articolo 25, paragrafo 2 della direttiva 95/46/CE, l'Agenzia dei servizi di frontiera del Canada (Canada Border Services Agency, in appresso CBSA) è considerata in grado di garantire un livello di protezione adeguato dei dati PNR trasferiti dalla Comunità riguardanti i voli con destinazione nel Canada, conformemente alla dichiarazione d'intenti figurante all'allegato I.
Articolo 2
La presente decisione concerne l’adeguatezza della protezione fornita dalla CBSA al fine di rispondere alle prescrizioni dell'articolo 25, paragrafo 1 della direttiva 95/46/CE e non ha alcuna influenza su altre condizioni o limitazioni che attuano altre disposizioni della direttiva e riguardano il trattamento di dati personali negli Stati membri.
Articolo 3
1. Fatti salvi i poteri che consentono loro di adottare misure per assicurare il rispetto delle disposizioni nazionali adottate in applicazione di disposizioni diverse dall'articolo 25 della direttiva 95/46/CE, le autorità competenti degli Stati membri possono esercitare i poteri di cui dispongono attualmente per sospendere il trasferimento di dati alla CBSA al fine di tutelare le persone fisiche per quanto riguarda il trattamento dei dati personali nei casi seguenti:
a)
un'autorità canadese competente ha constatato che la CBSA non rispetta le norme applicabili in materia di protezione; o
b)
è probabile che le norme di protezione stabilite dall'allegato non siano rispettate; vi sono motivi ragionevoli di credere che la CBSA non adotti o non adotterà, in tempi opportuni, i provvedimenti che s'impongono per risolvere il caso in questione; proseguire il trasferimento di dati comporterebbe un rischio imminente di grave pregiudizio per le persone interessate e le autorità competenti dello Stato membro si sono ragionevolmente sforzate, in tali circostanze, di avvertire la CBSA e di darle la possibilità di rispondere.
2. La sospensione del trasferimento cessa nel momento in cui è garantita l'applicazione delle norme di protezione e l'autorità competente interessata negli Stati membri ne è avvertita.
Articolo 4
1. Gli Stati membri informano immediatamente la Commissione riguardo alle misure adottate in applicazione dell'articolo 3.
2. Gli Stati membri e la Commissione si informano reciprocamente in merito a qualsiasi cambiamento nelle norme di protezione e ai casi in cui le misure adottate dalle autorità incaricate di vigilare sul rispetto da parte della CBSA delle norme di protezione stabilite nell'allegato non siano sufficienti a garantire tale rispetto.
3. Se le informazioni raccolte in applicazione dell'articolo 3 e dei paragrafi 1 e 2 di questo articolo dimostrano che non sono più rispettati i principi fondamentali necessari per assicurare un livello di protezione adeguato delle persone fisiche, o che un qualunque organismo incaricato di vigilare sul rispetto da parte della CBSA delle norme di protezione stabilite nell'allegato non assolve efficacemente il suo compito, la CBSA ne è informata ed all’occorrenza si applica la procedura di cui all'articolo 31, paragrafo 2 della direttiva 95/46/CE al fine di abrogare o di sospendere la presente decisione.
Articolo 5
L'applicazione della presente decisione è sottoposta a controlli e gli accertamenti pertinenti sono comunicati al comitato istituito dall'articolo 31 della direttiva 95/46/CE, in particolare qualunque elemento che possa modificare la constatazione, di cui all'articolo 1 della presente decisione, in base alla quale il livello di tutela dei dati personali contenuti nei PNR dei passeggeri aerei trasferiti alla CBSA risulta adeguato ai sensi dell'articolo 25 della direttiva 95/46/CE.
Articolo 6
Gli Stati membri adottano tutte le misure necessarie per conformarsi alla presente decisione entro quattro mesi a decorrere dalla sua notifica.
Articolo 7
La presente decisione scade tre anni e sei mesi dopo la data della sua notifica, a meno che non sia prorogata secondo la procedura di cui all'articolo 31, paragrafo 2 della direttiva 95/46/CE.
Articolo 8
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 6 settembre 2005.

Labels: 10
8
0
12
18