PARLAMENTO EUROPEO
Documento di seduta

FINALE
A6-0226/2005 - 4.7.2005

RELAZIONE

Commissione per le libertà civili, la giustizia e gli affari interni

Relatrice: Sophia in 'T Veld

PROGETTO DI RISOLUZIONE LEGISLATIVA DEL PARLAMENTO EUROPEO
sulla proposta di decisione del Consiglio relativa alla conclusione di un accordo tra la Comunità europea e il governo del Canada sul trattamento delle informazioni anticipate sui passeggeri (Advance Passenger Information, API) e dei dati delle pratiche dei passeggeri (Passenger Name Record, PNR)
(COM(2005)0200 – C6-8209;0184/2005 – 2005/0095(CNS))

(Procedura di consultazione)

Il Parlamento europeo

–    vista la proposta di decisione del Consiglio (COM(2005)0200)1,

–    visto (il progetto di) decisione della Commissione sull'adeguata protezione dei dati personali contenuti negli elenchi nominativi dei passeggeri relativi ai passeggeri dell'aria trasmessi all'Agenzia canadese dei servizi di frontiera, e gli impegni da parte dell'Agenzia canadese dei servizi di frontiera, allegati alla medesima decisione della Commissione,

–    visto l'articolo 95 congiuntamente alla prima frase del primo comma dell'articolo 300, paragrafo 2, del trattato CE,

–    visto l'articolo 300, paragrafo 3, primo comma, del trattato CE, a norma del quale è stato consultato dal Consiglio (C6-8209;0184/2005),

–    visto il parere della commissione giuridica sulla base giuridica proposta,

–    visti gli articoli 51, 83, paragrafo 7, e 35 del suo regolamento,

–    vista la relazione della commissione per le libertà civili, la giustizia e gli affari interni (A6‑0226/2005),

A.  considerando, dal punto di vista della procedura:

-   che la formula seguita dalla Commissione e dal Consiglio suscita le medesime riserve rispetto a quelle sollevate dal Parlamento nell'affare PNR/USA (C-317/04), anche se, quanto al merito, il negoziato con le autorità canadesi rappresenta un equilibrio accettabile tra le esigenze di libertà e quelle di sicurezza del paese terzo,

-   che un accordo internazionale dovrebbe contenere tutti gli elementi essenziali che vincolano le parti contraenti e considerando, nel caso specifico, che sia le garanzie richieste dalla Commissione di una decisone che trovi un punto di equilibrio, che i corrispondenti impegni da parte delle autorità canadesi dovrebbero far parte dell'accordo stesso,

-   che il Parlamento europeo ha già fatto opposizione davanti alla Corte di giustizia delle Comunità europee nella causa C-317/04 alla medesima procedura di terzo ordine in un caso analogo in quanto la procedura non è trasparente e non è conforme al diritto e alla procedura attraverso le quali il Parlamento dà il proprio consenso agli accordi internazionali. In attesa della sentenza della Corte, sarebbe stato più appropriato che la Commissione presentasse la sua proposta e il Consiglio agisse, in conformità della procedura normalmente utilizzata per la negoziazione di accordi internazionali a firma della Comunità,

1.   non approva la conclusione dell'Accordo;

2.   incarica il suo Presidente di chiedere al Consiglio di non concludere l'accordo prima che la Corte di giustizia abbia emesso la sentenza nella causa C-317/04 conformemente all'articolo 300, paragrafo 6, del Trattato CE sulla compatibilità di un siffatto accordo con detto trattato;

3.   incarica il suo Presidente di trasmettere la posizione del Parlamento al Consiglio e alla Commissione nonché ai governi e ai parlamenti degli Stati membri e del Canada.

MOTIVAZIONE

Introduzione

1. Occorre rammentare che:

a) - In base a standard globali non vincolanti i dati API 2 (nome e cognome, data di nascita, genere, numero di passaporto, cittadinanza, Stato di emissione del passaporto) sono dati concernenti il passeggero che vengono trasmessi dalle compagnie aeree prima del loro arrivo a destinazione, al fine di agevolare i controlli frontalieri, e ciò nell'interesse di chi viaggia nonché della sicurezza delle frontiere. Per facilitare la raccolta di questi dati l'informazione, solitamente costituita dai dati presenti nella Machine Readable Zone (MRZ) del Documento ICAO 9303, viene trasmessa elettronicamente in un formato proposto dall'ONU[1]. In assenza di norme globali vincolanti, le compagnie aeree sono tenute a rispettare la legislazione nazionale, con possibili problemi economici e logistici. Nella Comunità europea la raccolta dei dati API è disciplinata dalla direttiva del Consiglio 2004/82/CE del 29 aprile 2004 concernente l'obbligo dei vettori di comunicare i dati relativi alle persone trasportate 3.

b) - I record dei nominativi dei passeggeri (PNR) costituiscono un set di dati di ancora maggiore variabilità trattati da ciascuna compagnia aerea (di solito mediante sistemi di prenotazione computerizzati [CRS] e sistemi di distribuzione globale [GDS] 4) per la gestione del contratto di trasporto stipulati con i passeggeri. Se alcuni sistemi di dati sui passeggeri contengono una quantità ridotta di informazioni, altri contengono invece un'ampia messe di informazioni sugli individui, fra cui i particolari relativi a viaggi fatti in passato, le previste prenotazioni di autovetture e di hotel, numeri telefonici, indirizzi e-mail, recapiti privati e professionali, e dati sulle carte di credito. Tali differenze dipendono dalle scelte operate e dai servizi forniti dalla stessa compagnia e dalle modalità di stipula del contratto di trasporto (via Internet o mediante agenzia).

c) - All'indomani dei fatti dell'11 settembre, gli Usa, poi seguiti da Nuova Zelanda, Canada e Australia, hanno deciso di utilizzare i dati PNR (anche se non strutturati e poco comparabili) come utile strumento per a) verificare in tempi quanto più possibile brevi l'identità del passeggero rispetto a una watch list o alla no-fly list predisposta dai servizi di sicurezza di questi Paesi e b) per eseguire una prima "valutazione di sicurezza" automatizzata attraverso un riscontro degli stessi dati PNR ed eventualmente di altri dati raccolti da altre basi di dati commerciali (extra-viaggi) quali quelle delle carte di credito[2]. Lo scopo è di verificare se il "profilo" di un dato passeggero richieda ulteriori controlli alla frontiera (o ancora prima del decollo) da parte dei servizi di sicurezza. Tale approccio verso i dati PNR è stato esaminato anche dalla Commissione nella sua Comunicazione al Parlamento europeo e al Consiglio del 16 dicembre 2003 dal titolo "Trasferimento di dati di identificazione delle pratiche (PNR): un approccio globale dell'UE" (COM [2003] 826 def.).

Nel 2003 e 2004 il Parlamento europeo ha approvato una serie di risoluzione in cui manifestava serie preoccupazioni in merito alla strategia PNR. In particolare il Parlamento europeo sottolineava che i dati PNR sono lungi dall'essere efficaci nella lotta contro il terrorismo, che possono aprire la strada a un sistema di sorveglianza di massa e che sussiste il grave rischio di violare i principi sulla protezione dei dati sanciti dall'articolo 286 TCE, dalla direttiva 95/46/CE e dall'articolo 8 della Convenzione europea sulla salvaguardia dei diritti dell'uomo nonché dagli articoli 7 e 8 della Carta dei diritti fondamentali dell'Unione europea. Il Parlamento europeo invitava la Commissione ad astenersi dallo sviluppare strategie di questo tipo all'interno dell'Unione e sottolineava che il trasferimento di dati PNR ai Paesi terzi può essere autorizzato solo in casi eccezionali e solo se i dati in questione non sono classificati come sensibili (17 categorie su 34, come proposto dal Gruppo di lavoro ex art. 29 [3]).

Il proposto accordo CE/Canada

2. Come menzionato nel progetto di accordo, il Canada ha adottato disposizioni di legge che autorizzano l'agenzia canadese per i servizi transfrontalieri (Canada Border Services Agency, CBSA) ad acquisire API e PNR dalle compagnie aeree e, nel mese di febbraio 2005, ha introdotto un sistema di penalità fiscali in caso di mancato rispetto della sua legislazione. Le penalità sono state sospese per le compagnie europee durante la negoziazione dell'accordo (dal marzo 2005 ad oggi) ma è previsto che esse si applichino a decorrere dal 1° luglio 2005. Il relatore invita al riguardo la Commissione a precisare chiaramente la situazione per quanto riguarda l'applicazione delle penali e chiede alle autorità canadesi di garantire che esse non verranno applicate fin quando l'accordo non sarà concluso.

Mancanza di trasparenza e semplicità

3. Duole osservare che, come avvenuto nel caso del precedente accordo con gli USA sulla stessa materia, il Parlamento europeo è stato consultato dal Consiglio su questo dossier altamente complesso e sensibile solo all'ultimo momento. Inoltre, il Consiglio ha fissato la tornata di luglio come termine obbligatorio ai sensi dell'articolo 300, paragrafo 3, primo comma, seconda e terza frase del TCE.

Va anche osservato che al Parlamento europeo si chiede concretamente di prendere una decisione senza tutte le informazioni necessarie. La consultazione da parte del Consiglio manca infatti di alcuni elementi essenziali: a) la Decisione della Commissione che garantisce che i dati sono adeguatamente tutelati dalle autorità canadesi e b) il testo dell'impegno sottoscritto dalle autorità canadesi, che costituisce la base giuridica specifica su cui si fondano la Decisione della Commissione e l'accordo stesso. Inoltre, l'accordo fa riferimento a possibili inoltri di dati a soggetti destinatari anch'essi soggetti alle norme che impongono un adeguato livello di protezione. Tuttavia, stante la posizione del Parlamento europeo e la causa attualmente in corso, tra l'altro sulla questione della protezione adeguata, appare indispensabile conoscere se e a quali condizioni siano ammessi gli inoltri di dati a Paesi terzi, inclusi gli USA.

4. Nelle trattative con il Canada, la Commissione e il Consiglio hanno seguito lo stesso approccio - poco perspicuo - "a tre livelli" adottato per l'accordo PNR con gli USA. Invece di un vero accordo internazionali che precisi tutti i principali obblighi delle parti contraenti, i diritti e gli obblighi dei passeggeri, delle compagnie e i doveri delle pubbliche autorità, viene sottoposto un light international agreement che:

• impone alle compagnie aeree di inoltrare i dati alle autorità canadesi come se si trattasse di un obbligo sancito dagli articoli 7 e 13 della Dir. 95/46/CE (che fa riferimento alle esigenze di sicurezza degli Stati membri e non di un Paese terzo);
• modifica indirettamente, o quanto meno fa deroga agli obblighi previsti dal Capo II della direttiva 95/46/CE, per cui (come indicato dal Garante europeo per la protezione dei dati) l'accordo stesso deve essere approvato dal Parlamento mediante la procedura del parere conforme e non con la semplice procedura di consultazione;
• avalla indirettamente una decisione amministrativa della Commissione che definisce la condizioni alle quali la tutela assicurata dalle autorità canadesi può essere considerata "adeguata";
• fa riferimento (sempre in via indiretta menzionando un allegato alla decisione della Commissione) agli "Impegni" assunti dalle autorità canadesi, che finiscono per divenire il quadro giuridico che disciplina il trasferimento dei dati.
• riconosce il diritto delle autorità canadesi di modificare la propria legislazione senza il previo consenso della controparte e prevede il diritto di recesso solo in caso di persistente violazione dell'accordo stesso.

Una siffatta tecnica legislativa non rispetta i principi di trasparenza e di preminenza del diritto su cui si fonda l'UE (art. 6, paragrafo 1, TUE), tanto più che qui sono in gioco i diritti fondamentali dei cittadini. Inoltre, come avvenuto per l'accordo con gli USA, il Parlamento europeo viene semplicemente consultato su un accordo internazionale, quando si potrebbe legittimamente argomentare che il Parlamento dovrebbe avere la prerogativa del parere conforme. Per quanto attiene alle prerogative parlamentari, tale situazione potrebbe oltretutto essere contestata sulla base dell'art. 230 del trattato CE, visto che il progetto di accordo modifica la direttiva 95/46 e deve pertanto essere approvato secondo l'articolo 300, paragrafo 3, con il parere conforme del Parlamento europeo.

Tali preoccupazioni sono già state sollevate nel quadro del procedimento proposto dinanzi alla Corte di giustizia (Causa C-317/04) e avrebbero dovuto essere prese in considerazione dalla Commissione e dal Consiglio. Per rispetto dei cittadini europei, della controparte canadese e, sul piano dei rapporti interistituzionali, del Parlamento europeo, i negoziati avrebbero dovuto seguire un percorso più democratico e trasparente.

I miglioramenti dell'accordo CE/Canada rispetto a quello CE/USA

5. La situazione descritta è tanto più sconcertante se si pensa che il Parlamento europeo potrebbe in linea di principio giudicare sostanzialmente positivo l'accordo raggiunto con il Canada, che risponde alle maggiori preoccupazioni espresse dal Parlamento europeo nel caso dell'accordo USA/CE. I miglioramenti più evidenti, peraltro constatati anche dal Garante europeo per la protezione dei dati e dal "Gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali" ex articolo 29[4], sono i seguenti:

• A differenza degli USA, il Canada possiede una normativa in materia di protezione dei dati, ciò che rappresenta la condizione essenziale richiesta dall'articolo 8 della Carta europea e dall'articolo 8 della Convenzione europea per la salvaguardia dei diritti dell'uomo, secondo la quale ogni restrizione alla privacy è legittima solo qualora "sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria per la sicurezza nazionale, per l'integrità territoriale o la pubblica sicurezza, per la difesa dell'ordine e per la prevenzione dei reati". Inoltre, la legislazione canadese offre tutela giuridica alla persona interessata e prevede la vigilanza da parte di un Data Commissioner indipendente (sistema comparabile al modello europeo di cui alla direttiva 95/46 e all'articolo 286 del trattato CE). Il Privacy Act canadese riconosce al singolo i diritti di accesso, rettifica e opposizione nei confronti di tutti i dati personali che lo riguardano, sotto la vigilanza di un Garante. Tuttavia, il Privacy Act prevede attualmente che, per esercitare tali diritti, gli interessati siano presenti in territorio canadese.
• Gli "Impegni" canadesi (genericamente citati all'articolo 2, paragrafo 1 dell'accordo e precisati nell'allegato alla decisione della Commissione - artt. 29, 30 e 31) creano diritti di accesso, rettifica ed opposizione per i passeggeri UE non presenti in Canada e sono vincolanti per l'amministrazione canadese, a differenza degli impegni americani che sono semplici dichiarazioni amministrative.
• I dati PNR richiesti sono di carattere più limitato e circostanziato di quelli richiesti dagli USA, ossia senza "categorie aperte" di dati relativi ai passeggeri (tali categorie potrebbero creare confusione o potrebbero risultare fuorvianti in relazioni a determinati aspetti sensibili del comportamento del passeggero e delle persone che lo accompagnano). Inoltre la CBSA (Agenzia canadese per i servizi transfrontalieri) non impone alle compagnie aeree di raccogliere dati PNR che esse non registrano per le proprie finalità interne né chiedono loro di raccogliere qualunque altra informazione aggiuntiva per metterla a disposizione della CBSA.
• Il Canada accetta il push system (ossia la trasmissione di dati selezionati da parte delle compagnie) anche se può già avvalersi del pull system, che gli consente di prelevare dati dai sistemi di prenotazione e di controllo delle partenze tramite la rete della Société Internationale de Télécommunications Aéronautique (SITA). La Sezione 7 degli Impegni indica chiaramente che il sistema canadese di informazione sui passeggeri PAXIS è stato configurato per accogliere i dati API e PNR trasmessi dalle compagnie. Tale precisazione viene incontro alle preoccupazioni espresse dal Parlamento europeo in relazione all'accordo USA/CE (in base al quale le autorità americane prelevano i dati direttamente dai sistemi di prenotazione delle compagnie aeree siti in territorio europeo senza alcun filtro).
• Le finalità e il periodo di conservazione dei dati sono più limitati e specifici che nel caso dell'accordo con gli USA. Dal loro ricevimento e nelle 72 ore successive, tutte le informazioni API e PNR disponibili sarebbero accessibili solo a un ristretto numero di agenti e funzionari CBSA, al Garante canadese per la protezione dei dati, mentre le autorità degli Stati membri avrebbero la facoltà di controllare il flusso dei dati.

Il dilemma del Parlamento europeo: respingere l'accordo o accettarlo a determinate condizioni?

6. Il relatore si trova dinanzi a un dilemma, ossia:

a) respingere l'accordo, che presenta dal punto di vista giuridico e procedurale le stesse debolezze che hanno giustificato il ricorso in Corte di giustizia nel caso dell'accordo con gli USA, e mantenersi in tal modo coerente con la sua precedente presa di posizione

oppure

b) accettare l'accordo a condizione che:

       l'accordo sia riveduto, se del caso, dopo che la Corte avrà statuito,

       che il Parlamento europeo si veda riconosciuta in tal caso la procedura del parere conforme,

       che l'UE proponga un approccio globale.

7. Se si considera che, sotto il profilo contenutistico, il quadro giuridico dell'accordo CE/Canada è notevolmente migliore rispetto all'accordo CE/USA e che tali miglioramenti sono stati riconosciuti dal Gruppo di lavoro articolo 29 e dal Garante europeo per la protezione dei dati, il relatore propone:

       di allegare all'accordo gli Impegni canadesi;

       di indicare chiaramente quali sono le controparti rispettivamente per il Canada e la CE (attualmente un comitato misto può decidere in qualunque momento di modificare le controparti). L'articolo 6, paragrafo 3, introduce la possibilità per il comitato misto di "decidere modifiche dell'allegato I dell'accordo"[5]; tale prerogativa decisionale di cambiare il "titolare del trattamento dei dati" crea all'interno dell'accordo un "quadro istituzionale" e giustifica sotto un ulteriore profilo il parere conforme del Parlamento europeo. Tali modifiche, suscettibili di produrre vaste ripercussioni in termini di responsabilità per il trattamento dei dati personali, vanno pertanto operate sulla base di meccanismi negoziali ordinari, per cui nessun approccio semplificato può costituire una soluzione giuridicamente valida. Ogni modifica e/o aggiunta va dunque considerata come una modifica all'accordo stesso e alle connesse misure;

       di allegare all'accordo, a fini di informazione, la decisione di "accertamento di adeguatezza" adottata dalla Commissione;

       di indicare, con riferimento ai dati API, l'esigenza che le compagnie rispettino le norme di cui alla direttiva del Consiglio 2004/82/CE del 29 aprile 2004 concernente l'obbligo dei vettori di comunicare i dati relativi alle persone trasportate[6].

       di approvare l'accordo mediante la procedura del parere conforme, dichiarando peraltro nella stessa risoluzione legislativa che il parere conforme non intende modificare la posizione assunta dal Parlamento nel caso USA/PNR e che la futura decisione della Corte dovrà essere applicata mutatis mutandis.

PARERE della COMMISSIONE GIURIDICA SULLA PROPOSTA BASE GIURIDICA
destinato alla commissione per libertà civili, la giustizia e gli affari interni

Base giuridica della proposta di decisione del Consiglio relativa alla stipula di un accordo tra la Comunità europea e il governo del Canada sul trattamento delle informazioni anticipate sui passeggeri (API)/pratiche passeggeri (PNR)
COM(2005)0200 – C6-8209;0184/2005 – 2005/0095(CNS

Onorevole Presidente,

con lettera dell'1.7.2005 Lei ha invitato la commissione giuridica, a norma dell'articolo 35, paragrafo 2, del regolamento, ad esaminare la validità e pertinenza della base giuridica della proposta della Commissione in oggetto.

La base giuridica proposta per la decisone del Consiglio è costituita dagli articoli 95 e 300, paragrafo 2, del trattato CE.

La relatrice della commissione per le libertà civili, la giustizia e gli affari interni, on. In 't Veld intende modificare la base giuridica sostituendo l'articolo 300, paragrafo 2, del trattato CE con l'articolo 300, paragrafo 3, del trattato CE il che renderebbe pertanto necessario il parere conforme del Parlamento europeo.

Nella riunione del 4 luglio 2005, la commissione ha esaminato il problema succitato.

Dalla giurisprudenza della Corte di giustizia delle Comunità europee (CJCE) si evince chiaramente che la scelta della base giuridica non può essere lasciata alla discrezione del legislatore comunitario bensì deve fondarsi su elementi oggettivi, soggetti a controllo giurisdizionale. Nel novero di tali elementi figurano, in particolare, l'obiettivo ed il contenuto dell'atto giuridico[7].

La proposta invita il Consiglio ad autorizzare la stipula di un accordo con il Canada per il trattamento e il trasferimento dei dati relativi alle informazioni anticipate sui passeggeri (API) ed alle pratiche passeggeri (PNR) per i viaggi aerei fra l'UE ed il Canada. Il Consiglio dell'Unione europea ha approvato una serie di direttive negoziali autorizzando la Commissione, il 7 marzo 2005, a negoziare un siffatto accordo con il Canada.

Dopo l'11 settembre 2001, il Canada ha adottato una legislazione che autorizza l'Agenzia per i servizi frontalieri del Canada (ASFC) a sollecitare e raccogliere dati API e PNR inerenti a qualsiasi persona che si imbarchi a bordo di un aereo in rotta verso il Canada. Fra il marzo 2003 ed il settembre 2004, l'ASFC ha gradualmente instaurato l'obbligo di fornire dati PNR per qualsiasi persona imbarcata a bordo di un aereo in rotta verso il Canada e, dal febbraio 2005, essa ha introdotto un sistema di penalità finanziarie in caso di mancato rispetto di tale obbligo. L'UE dispone di una deroga temporanea a tale obbligo fino al 1° luglio 2005 onde consentire lo svolgimento di negoziati su un accordo internazionale con il Canada.

Orbene, previo esame del testo si rileva che il progetto di accordo impone alle compagnie aeree europee obblighi diversi da quelli previsti dal titolo II della direttiva 95/46/CEE e, d'altro canto, conferisce alla commissione congiunta CE/Canada un potere decisionale circa la modifica degli elementi essenziali dell'accordo quali la scelta delle amministrazioni preposte alla sua attuazione nel Canada e nella Comunità.

Con riguardo alle prerogative del Parlamento, sembra che l'accordo proposto postuli, a norma dell'articolo 300, paragrafo 3, secondo comma del trattato CE, il parere conforme del Parlamento europeo.

Infine, giova ricordare che le stesse osservazioni erano state sollevate contestualmente al ricorso introdotto dal Parlamento europeo presso la Corte di giustizia (causa pendente) in sede di accordo fra la Comunità europea e gli Stati Uniti.

Alla luce di tali considerazioni e su proposta del relatore, on. Manuel Medina Ortega, nella riunione del 4 luglio 2005, la commissione giuridica ha pertanto deciso all'unanimità[8] di esprimere un parere favorevole alla presentazione di un emendamento teso a modificare la base giuridica, sostituendo l'articolo 300, paragrafo 2 del trattato CE con l'articolo 300, paragrafo 3, del trattato CE il che postulerebbe il parere conforme del Parlamento europeo.

Voglia gradire, onorevole Presidente, i sensi della mia profonda stima.

Giuseppe Gargani

NOTE