Corte di giustizia, Sentenza C-817/19

Trattamento dei dati dei passeggeri (PNR/API), validità della direttiva PNR e limiti alla normativa nazionale belga

La sentenza riguarda un rinvio pregiudiziale della Cour constitutionnelle belga sulla legge del 25 dicembre 2016 in materia di trattamento dei dati dei passeggeri. La Corte è stata chiamata a pronunciarsi, in particolare, sull’applicabilità del RGPD, sulla validità della direttiva PNR e sulla compatibilità con il diritto dell’Unione dell’estensione del sistema PNR/API ai voli intra-UE e ad altri trasporti interni all’Unione.

Contesto normativo essenziale

La Corte richiama il quadro composto dal RGPD, dalla direttiva API, dalla direttiva 2010/65, dalla direttiva PNR e dalla direttiva 2016/680. Centrale è anche la Carta dei diritti fondamentali, in particolare gli articoli 7, 8, 21, 45 e 52, par. 1. Per i reati di terrorismo, la direttiva PNR rinvia alla decisione quadro 2002/475/GAI, poi sostituita dalla direttiva 2017/541.

Prima questione: applicabilità del RGPD

La Corte distingue tra i trattamenti effettuati da operatori privati, che rientrano nel RGPD, e i trattamenti effettuati da autorità pubbliche. I trattamenti previsti dalla direttiva API e dalla direttiva 2010/65 rientrano nel RGPD; quelli previsti dalla direttiva PNR possono esserne esclusi solo quando sono effettuati dall’UIP o dalle autorità competenti per le finalità di prevenzione, accertamento, indagine e azione penale relative a terrorismo e reati gravi, nel qual caso si applica la direttiva 2016/680.

Validità della direttiva PNR alla luce della Carta

La Corte constata che il sistema PNR comporta ingerenze serie nei diritti al rispetto della vita privata e alla protezione dei dati personali, poiché implica trasferimento sistematico, analisi automatizzata e conservazione dei dati di tutti i passeggeri. Tuttavia, la direttiva PNR può essere interpretata in modo conforme alla Carta e non è stata dichiarata invalida, perché contiene, nel suo impianto, finalità tassative, limiti al trattamento e garanzie sufficienti.

Portata dei dati raccolti e chiarezza dell’allegato I

La Corte precisa che l’allegato I deve essere interpretato restrittivamente. Alcune rubriche, come quelle relative a recapiti, pagamento, frequent flyer, osservazioni generali e API, vanno lette in modo da includere solo dati direttamente connessi al viaggio e, ove necessario, solo le informazioni espressamente elencate. In questo modo l’allegato risulta sufficientemente chiaro e preciso da soddisfare il principio di legalità.

Finalità del trattamento e limiti di utilizzazione

La direttiva PNR consente il trattamento dei dati solo per prevenire, accertare, indagare e perseguire reati di terrorismo e reati gravi. La Corte afferma che tale elenco è tassativo: i dati PNR non possono essere utilizzati per finalità ulteriori, come il controllo generalizzato di attività dei servizi segreti o il miglioramento dei controlli di frontiera e la lotta all’immigrazione illegale, se non nei limiti espressamente previsti dal diritto dell’Unione.

Valutazione automatizzata: banche dati, criteri prestabiliti e garanzie

La valutazione preliminare automatizzata è compatibile con la Carta solo se è limitata allo stretto necessario. La Corte interpreta in senso restrittivo il riferimento alle banche dati: il confronto è consentito solo con banche dati di persone o oggetti ricercati o segnalati, gestite secondo le regole applicabili. Quanto ai criteri prestabiliti, essi devono essere non discriminatori, mirati, proporzionati e specifici; non possono basarsi su caratteristiche protette e non possono essere costruiti tramite sistemi di autoapprendimento opachi che sfuggano al controllo umano. Ogni riscontro positivo richiede riesame individuale non automatizzato, con registrazione delle operazioni, controllo del responsabile della protezione dei dati e controllo dell’autorità nazionale.

Comunicazione successiva dei dati e accesso ai dati integrali

L’articolo 12, par. 3, lett. b), deve essere interpretato nel senso che l’“altra autorità nazionale competente” deve offrire garanzie di indipendenza e imparzialità equivalenti a quelle di un giudice. La UIP non può cumulare il ruolo di autorità che approva l’accesso ai dati integrali, perché non è sufficientemente terza rispetto alle autorità che richiedono l’accesso. L’accesso successivo ai dati integrali, dopo la fase di mascheratura, richiede dunque un controllo preventivo effettivo e indipendente.

Conservazione dei dati: limite del periodo di cinque anni

La Corte ammette, in linea di principio, la conservazione dei dati per sei mesi iniziali per tutti i passeggeri, ma giudica incompatibile con la Carta una conservazione generale di cinque anni applicata indistintamente a tutti i passeggeri, compresi quelli per i quali non emergano elementi obiettivi di rischio. Dopo i primi sei mesi, la conservazione prolungata è giustificata solo per i passeggeri rispetto ai quali risultino indizi o elementi obiettivi che facciano ritenere un collegamento con terrorismo o reati gravi.

Voli intra-UE e altri trasporti interni: estensione del sistema PNR

La direttiva API non si applica ai voli intra-UE. Quanto alla direttiva PNR, l’estensione ai voli intra-UE è possibile solo nei limiti della necessità e proporzionalità. In assenza di una minaccia terroristica reale, attuale o prevedibile, uno Stato membro non può applicare indiscriminatamente il sistema PNR a tutti i voli intra-UE; deve invece selezionare i collegamenti, le modalità di viaggio o i punti di partenza/arrivo per cui esistano indicazioni specifiche. La Corte aggiunge che l’estensione del sistema a trasporti ferroviari, stradali o marittimi interni, o l’uso di tali dati per finalità di controllo delle frontiere e contrasto all’immigrazione irregolare, è incompatibile con la direttiva PNR e con la libera circolazione, salvo che i dati API delle frontiere esterne restino nei limiti della direttiva API.

Potere del giudice nazionale di mantenere gli effetti della legge

La Corte nega che un giudice nazionale possa limitare nel tempo gli effetti di una declaratoria di illegittimità di una normativa nazionale incompatibile con il diritto dell’Unione. Il primato del diritto UE impone la disapplicazione della norma contrastante; eventuali limiti temporali possono essere fissati solo dalla Corte di giustizia, in via eccezionale.

Dispositivo in sintesi

La Corte: ha riconosciuto la parziale applicabilità del RGPD; ha confermato la validità della direttiva PNR purché interpretata conformemente alla Carta; ha vietato usi nazionali eccedenti le finalità tassative della direttiva; ha imposto limiti rigorosi all’accesso, alla conservazione e alla selezione dei dati; ha escluso l’applicazione della direttiva API ai voli intra-UE; ha limitato fortemente l’estensione del sistema PNR ai voli intra-UE e ad altri trasporti interni; e ha negato al giudice nazionale la possibilità di mantenere gli effetti della normativa illegittima.