Trasporto aereo: misure anti-terrorismo e privacy dei passeggeri

PROVVEDIMENTO DEL 15 OTTOBRE 2009

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Filippo Patroni Griffi, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito, "Codice") pubblicato nella Gazzetta Ufficiale della Repubblica Italiana n. 174 del 29 luglio 2003;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Mauro Paissan;

PREMESSO

Introduzione
La Società Alitalia - Linee aeree Alitalia S.p.A. (di seguito "Alitalia"), con nota del 5 ottobre 2009, ha chiesto a questa Autorità una valutazione in merito alla legittimità della propria adesione, mediante la sottoscrizione di un Memorandum of understanding (MoU), al cd. Passenger Protect Program (PPP). Tale Programma, introdotto dalle autorità canadesi al fine di realizzare un sistema di controllo delle frontiere canadesi come misura anti-terrorismo, impone ai vettori l'obbligo di effettuare riscontri tra i nominativi inseriti in liste predisposte dall'autorità canadese stessa (cd. "specified persons list") e quelli dei passeggeri che si presentino all'accettazione dei voli da/per il Canada, anche al fine di prendere una decisione circa la possibilità o meno di imbarcarli.

La questione era stata già sottoposta da Alitalia a questa Autorità con lettere del 18 febbraio 2008 e del 23 marzo 2009. Il Garante, con note del 28 marzo 2008 e 6 aprile 2009, ha portato all'attenzione di Alitalia i profili critici del trattamento dei dati personali conseguenti alla sottoscrizione del Memorandum e comunicato di aver ritenuto di rappresentare la situazione in seno al Gruppo dei Garanti europei (Gruppo istituito ai sensi dell'art. 29 della direttiva 95/46/CE) per una valutazione congiunta della richiesta, dato il carattere generale della questione.

Il Gruppo dei Garanti europei ha a sua volta sollecitato la Commissione europea ad analizzare la questione al fine di valutare la compatibilità del PPP  con il quadro europeo in materia di protezione dei dati e di considerare le eventuali azioni da intraprendere per assicurare il rispetto dei principi europei di tutela dei dati.

La richiesta di Alitalia del 5 ottobre 2009 di una nuova verifica da parte del Garante riguardo la legittimità del suddetto trattamento dei dati è apparsa motivata dal fatto che "in data 17 settembre 2008, sono state introdotte con Legge (…) significative integrazioni alla regolamentazione del Passenger protect program canadese, in particolare all' "Identity Screaning Regulation"". Inoltre, la Transport Canada Safety and Security (autorità canadese competente nel sistema di controllo delle informazioni sui passeggeri che pongono rischi per la sicurezza) anche a seguito di un'attività di audit che ha evidenziato che, "ad oggi, Alitalia è il solo ed unico vettore che non fornisce i dati richiesti per dare attuazione al Passenger protect program", avrebbe informato la medesima Società dell'intenzione di irrogare sanzioni o intraprendere azioni per negarle l'autorizzazione all'effettuazione dei voli per il Canada in mancanza di un'immediata attivazione del PPP.

Bilanciamento di interessi
Il Garante conferma l'analisi già precedentemente effettuata in merito alla necessità che i trattamenti dei dati relativi ai passeggeri che Alitalia sarebbe tenuta ad effettuare in base al PPP siano fondati su idonei presupposti che garantiscano un corretto adempimento dei principi (europei e nazionali) in materia di protezione dei dati.

Tuttavia, in considerazione dell'impatto delle sanzioni previste per la mancata adesione al PPP che potrebbero avere ripercussioni anche sul piano dell'alterazione della concorrenza tra le diverse compagnie aeree operanti in ambito europeo, e nelle more di una soluzione che coinvolga, come anzidetto, le competenti istituzioni comunitarie, ritiene che ricorrano i presupposti per l'applicazione dell'istituto del cd. bilanciamento di interessi previsto dall'art. 24, comma 1, lett. g) del Codice, che legittima il trattamento di dati personali ove esso sia necessario per perseguire "un legittimo interesse del titolare o di un terzo destinatario dei dati", sempre che non prevalgano i diritti e le libertà fondamentali dell'interessato.

Affinché i diritti degli interessati siano adeguatamente tutelati come previsto dallo stesso art. 24, comma 1, lett. g), occorre tuttavia che Alitalia predisponga un'informativa che fornisca gli elementi previsti dal Codice (art. 13), e che illustri con chiarezza ai passeggeri le finalità del trattamento, con particolare riferimento al riscontro che Alitalia è chiamata ad effettuare tra i nominativi inseriti nelle liste predisposte dall'autorità canadese e quelli dei viaggiatori che si presentino all'accettazione del volo, anche al fine di un eventuale rifiuto di imbarco.

Solo in presenza delle condizioni sopra indicate, tenendo conto della peculiarità e della temporaneità della situazione, ed in vista di una presa di posizione comune dei competenti organismi comunitari, il  trattamento dei dati personali potrà ritenersi lecito ai sensi dell'art. 24, comma 1, lett. g), del Codice.

È comunque intenzione del Garante inoltrare una nota formale alla Commissione europea volta a ribadire che questa Autorità, pur avendo individuato in via provvisoria nell'istituto del bilanciamento di interessi il requisito che legittima il trattamento dei dati in questione, ritiene urgente che la Commissione stessa individui i presupposti di legittimità del trattamento.

TUTTO CIÒ PREMESSO, IL GARANTE

individua nei termini di cui in motivazione, ai sensi dell'art. 24, comma 1, lettera g) del Codice, i casi nei quali il trattamento dei dati personali nell'ambito del Programma PPP oggetto del presente provvedimento può essere effettuato da Alitalia, nei limiti e alle condizioni indicate, per perseguire legittimi interessi.

Roma, 15 ottobre 2009

Il presidente
Pizzetti

Il relatore
Paissan

Il segretario generale
Patroni Griffi