Direttiva 2016/681

Direttiva (UE) 2016/681 sull’uso dei dati PNR

La direttiva istituisce un quadro armonizzato dell’Unione per l’uso dei dati del codice di prenotazione (Passenger Name Record, PNR) nel settore del trasporto aereo. Essa nasce dall’esigenza, espressamente richiamata nei considerando, di rafforzare la sicurezza interna dell’Unione e di consentire un trattamento dei dati compatibile con i diritti fondamentali, in particolare con il diritto al rispetto della vita privata e con la protezione dei dati personali.

Obiettivi e logica della disciplina

L’obiettivo è consentire alle autorità pubbliche di prevenire, accertare, indagare e perseguire reati di terrorismo e reati gravi mediante l’analisi dei dati già raccolti dai vettori aerei per finalità commerciali. La direttiva insiste sul principio di proporzionalità: non impone ai vettori di raccogliere dati ulteriori dai passeggeri, limita le finalità del trattamento e prevede cautele rafforzate per evitare trattamenti e decisioni discriminatorie o eccessivamente invasive.

Ambito di applicazione

L’articolo 1 si riferisce ai voli extra-UE e ai dati PNR raccolti da vettori aerei, con trasferimento alle autorità degli Stati membri e successivo trattamento da parte delle strutture nazionali e per lo scambio tra Stati membri. L’articolo 2 lascia agli Stati membri la facoltà di estendere la disciplina ai voli intra-UE, integralmente oppure solo per alcune tratte selezionate, con notifica alla Commissione. La direttiva non incide sulla direttiva 2004/82/CE sui dati API ai fini di controllo delle frontiere, né sulle norme UE in materia di frontiere o sugli accordi bilaterali e multilaterali compatibili.

Definizioni e dati oggetto di trattamento

L’articolo 3 fornisce le definizioni chiave: vettore aereo, volo extra-UE, volo intra-UE, passeggero, PNR, sistema di prenotazione, metodo push, reati di terrorismo, reati gravi e mascheratura dei dati. Il perimetro materiale dei reati gravi è rinviato all’allegato II, che elenca numerose fattispecie, tra cui criminalità organizzata, tratta di esseri umani, traffico di stupefacenti, corruzione, frode, riciclaggio, cibercriminalità, traffico illecito di armi, omicidio volontario, rapimento, furto organizzato, traffico di organi, stupro, dirottamento, sabotaggio e spionaggio industriale.

Unità d’informazione sui passeggeri e governance nazionale

L’articolo 4 impone a ciascuno Stato membro di istituire o designare una Unità d’informazione sui passeggeri (UIP), quale autorità competente o sua sezione, incaricata di raccogliere i dati PNR dai vettori, conservarli, trattarli e trasferirli alle autorità competenti, nonché di scambiare informazioni con le UIP degli altri Stati membri e con Europol. Gli Stati membri devono dotare la UIP di risorse adeguate; è ammessa una UIP comune per più Stati membri. La notifica alla Commissione va effettuata entro un mese dall’istituzione della UIP.

Responsabile della protezione dei dati

L’articolo 5 prevede che la UIP nomini un responsabile della protezione dei dati incaricato di sorvegliare il trattamento e di attuare le garanzie pertinenti. Il responsabile deve operare in modo efficace e indipendente e fungere da punto di contatto unico per gli interessati in tutte le questioni connesse al trattamento dei loro dati PNR.

Trattamento dei dati PNR e criteri di valutazione

L’articolo 6 delimita in modo rigoroso le finalità del trattamento da parte della UIP. I dati possono essere usati per: valutazione preventiva dei passeggeri prima dell’arrivo o della partenza; risposta caso per caso a richieste motivate delle autorità competenti; analisi per aggiornare o definire criteri di valutazione. La UIP può confrontare i dati con banche dati pertinenti o applicare criteri prestabiliti; questi ultimi devono essere mirati, proporzionati, specifici e non discriminatori, e non possono in alcun caso fondarsi su origine razziale o etnica, opinioni politiche, religione, convinzioni filosofiche, appartenenza sindacale, stato di salute, vita sessuale o orientamento sessuale. Qualsiasi dato non compreso nell’allegato I deve essere cancellato immediatamente.

Riscontri positivi, verifica umana e limiti all’automazione

La direttiva esige che ogni riscontro positivo generato dal trattamento automatizzato sia sottoposto a un esame individuale non automatizzato prima che i dati siano trasmessi alle autorità competenti. Le autorità non possono adottare decisioni con effetti giuridici negativi o comunque significativamente pregiudizievoli sulla sola base del trattamento automatizzato, né utilizzare criteri discriminatori.

Obblighi dei vettori aerei e modalità di trasferimento

L’articolo 8 impone il trasferimento dei dati PNR mediante il metodo push alla UIP dello Stato membro di arrivo o di partenza. In caso di code-sharing, l’obbligo ricade sul vettore che opera il volo. Se il volo extra-UE effettua scali in più Stati membri, i dati devono essere trasferiti alle UIP di tutti gli Stati membri interessati; regola analoga per i voli intra-UE, se lo Stato membro ha esteso la direttiva a tali collegamenti. Il trasferimento avviene di regola tra 24 e 48 ore prima della partenza e immediatamente dopo la chiusura del volo; in casi di minaccia specifica e reale l’UIP può chiedere trasferimenti in momenti diversi. Se i vettori raccolgono i dati API elencati nell’allegato I, punto 18, e non li conservano con gli stessi sistemi tecnici dei dati PNR, devono trasferirli anch’essi.

Scambio di informazioni tra Stati membri ed Europol

Gli articoli 9 e 10 disciplinano la circolazione dei dati all’interno della rete UE. Le UIP devono trasmettere alle UIP degli altri Stati membri i dati PNR pertinenti e necessari o i risultati del trattamento relativi a persone identificate, e tali informazioni vengono poi inoltrate alle autorità competenti. Le richieste tra UIP devono essere motivate e riguardare casi specifici; in situazioni di emergenza, le autorità competenti possono chiedere direttamente i dati a un’altra UIP, con copia alla propria UIP. Europol può richiedere dati PNR o risultati di trattamento solo tramite l’unità nazionale Europol, con richiesta elettronica debitamente motivata e strettamente necessaria per sostenere indagini o prevenzione di specifici reati di competenza Europol. Lo scambio avviene, per Europol, tramite SIENA.

Trasferimenti a paesi terzi

L’articolo 11 consente trasferimenti verso paesi terzi solo caso per caso e a condizioni cumulative, tra cui la necessità per le finalità della direttiva e il rispetto delle garanzie sulla protezione dei dati previste dalla decisione quadro 2008/977/GAI. Il trasferimento ulteriore da parte del paese terzo richiede, di regola, autorizzazione esplicita dello Stato membro. In casi eccezionali è possibile procedere senza consenso preliminare se il trasferimento è indispensabile per rispondere a una minaccia specifica e reale connessa a terrorismo o reati gravi e se il consenso non può essere acquisito in tempo utile.

Conservazione, mascheratura e cancellazione

L’articolo 12 prevede la conservazione dei dati per cinque anni. Dopo sei mesi dal trasferimento alla UIP, i dati devono essere resi anonimi mediante mascheratura di elementi identificativi, tra cui nome, indirizzo, modalità di pagamento, informazioni frequent flyer, osservazioni generali identificative e dati API eventualmente raccolti. L’accesso ai dati integrali dopo i sei mesi è consentito solo se ragionevolmente necessario per la finalità di cui all’articolo 6, paragrafo 2, lettera b), e previa autorizzazione di un’autorità giudiziaria o di altra autorità nazionale competente. Alla scadenza del quinquennio i dati vanno cancellati, salvo quelli già trasferiti a un’autorità competente e usati in un caso specifico, che restano soggetti al diritto nazionale.

Protezione dei dati personali e dati sensibili

L’articolo 13 ribadisce i diritti degli interessati: accesso, rettifica, cancellazione, limitazione, compensazione e ricorso giurisdizionale. La direttiva rinvia alle norme della decisione quadro 2008/977/GAI e alle corrispondenti disposizioni nazionali sulla riservatezza e sicurezza. È espressamente vietato trattare dati PNR che rivelino categorie sensibili; se tali informazioni sono ricevute, devono essere cancellate immediatamente. La UIP deve inoltre conservare la documentazione dei sistemi e delle procedure di trattamento e tenere registri delle operazioni, con conservazione per cinque anni.

Sicurezza, violazioni dei dati e controllo indipendente

Gli Stati membri devono garantire misure tecniche e organizzative adeguate al livello di rischio e notificare senza ingiustificato ritardo le violazioni di dati personali suscettibili di comportare un rischio elevato o incidere negativamente sulla vita privata. L’articolo 15 attribuisce all’autorità nazionale di controllo funzioni di consulenza e sorveglianza sull’applicazione della disciplina, oltre a competenze di gestione dei reclami, indagine, ispezione e audit. Tale autorità tutela i diritti fondamentali connessi al trattamento dei dati personali.

Sanzioni

L’articolo 14 impone agli Stati membri di prevedere sanzioni effettive, proporzionate e dissuasive, incluse sanzioni pecuniarie, per le violazioni della disciplina nazionale di recepimento, in particolare per i vettori aerei che non trasmettono i dati PNR o non li trasmettono nel formato richiesto. La direttiva lascia agli Stati membri la scelta delle misure sanzionatorie, purché efficaci e coerenti con il risultato richiesto.

Protocolli comuni, formati e atti di esecuzione

L’articolo 16 dispone che i trasferimenti avvengano per via elettronica con adeguate garanzie di sicurezza. Dopo l’adozione, da parte della Commissione, dei protocolli comuni e dei formati di dati supportati, i trasferimenti dovranno conformarsi a tali standard; la Commissione li definisce e aggiorna mediante atti di esecuzione adottati secondo la procedura d’esame del regolamento (UE) n. 182/2011. Gli Stati membri devono adottare le misure tecniche necessarie entro un anno dall’adozione dei protocolli e formati.

Recepimento, riesame e statistiche

L’articolo 18 fissa il termine di recepimento al 25 maggio 2018. Gli Stati membri devono informare immediatamente la Commissione e comunicare il testo delle disposizioni nazionali fondamentali adottate. L’articolo 19 prevede che la Commissione riesamini tutti gli elementi della direttiva e presenti una relazione al Parlamento europeo e al Consiglio entro il 25 maggio 2020, con attenzione particolare a protezione dei dati, necessità e proporzionalità, periodo di conservazione, efficacia dello scambio e qualità delle valutazioni; la relazione deve considerare anche l’eventuale estensione ai voli intra-UE e ad operatori economici diversi dai vettori aerei. L’articolo 20 richiede inoltre statistiche annuali non nominative sui dati PNR raccolti, scambiati e sul numero di passeggeri identificati per ulteriori verifiche.

Rapporti con altri strumenti e applicazione temporale

L’articolo 21 fa salve le disposizioni degli accordi bilaterali e multilaterali già vigenti al 24 maggio 2016, se compatibili con la direttiva, e mantiene ferma l’applicabilità della direttiva 95/46/CE al trattamento dei dati da parte dei vettori aerei. L’articolo 22 stabilisce che la direttiva entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.