Parere 6/2002
relativo alla trasmissione da parte delle compagnie aeree d'informazioni sugli elenchi dei passeggeri e di altri dati agli Stati Uniti - wp66

Adottato il 24 ottobre 2002

IL GRUPPO DI LAVORO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI

costituito in base alla direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995¹,

visto l'articolo 29 e l'articolo 30, paragrafo 1, lettera a) e paragrafo 3 di tale direttiva,

visto il proprio regolamento interno, in particolare gli articoli 12 e 14,

ha adottato il seguente parere:

1. OGGETTO DI DISCUSSIONE

1.1 Contesto e finalità

In seguito agli avvenimenti dell'11 settembre 2001² gli Stati Uniti hanno adottato il 19 novembre 2001 la legge sulla sicurezza del trasporto aereo (Aviation and Transportation Security Act)³ la quale prescrive che le compagnie aeree che si trovano a volare in territorio statunitense debbano comunicare alle autorità competenti dati personali relativi ai passeggeri ed ai membri dell'equipaggio (Informazioni sugli elenchi dei passeggeri)⁴. Tale comunicazione deve avvenire per via elettronica ed essere completata prima del decollo dell'aereo, al più tardi 15 minuti dopo la partenza per quanto riguarda i dati personali dei passeggeri. Quantunque il "Commissario alle dogane" sia il destinatario dei dati inoltrati agli Stati Uniti, siffatti dati sono successivamente messi a disposizione di tutte le autorità federali statunitensi. La trasmissione dei dati personali non riguarda unicamente la sicurezza aerea ma negli Stati Uniti rappresenta altresì una questione d'ordine pubblico.

Il 14 maggio 2002 gli Stati Uniti hanno adottato un'altra legge per aumentare la sicurezza delle frontiere, la quale dispone che le compagnie aeree trasmettano all'ufficio americano per l'immigrazione e la naturalizzazione le informazioni relative ai passeggeri e all'equipaggio dei loro voli in arrivo e in partenza dagli Stati Uniti⁵. Per i passeggeri e gli equipaggi che arrivano negli Stati Uniti, gli obblighi di comunicazione dei dati sono identici a quelli stabiliti dalle autorità doganali statunitensi. Per i passeggeri e gli equipaggi che partono dagli Stati Uniti tale comunicazione deve invece avvenire per via elettronica ed essere completata al più tardi 15 minuti dopo il decollo, con la possibilità di correggere ed aggiornare la lista dei passeggeri non oltre i 15 minuti successivi alla partenza. All'occorrenza l'ufficio per l'immigrazione e la naturalizzazione americano si riserva il diritto di richiamare a terra l'aereo entro un'ora dalla partenza.

Tutti i dati vanno trasmessi ad una banca di dati centralizzata⁶ gestita congiuntamente dalle autorità doganali e dall'ufficio per l'immigrazione e la naturalizzazione. In un secondo momento essi sono messi a disposizione di altre agenzie federali e non sono più oggetto di una tutela specifica.⁷

In particolare le più recenti disposizioni statunitensi in merito alla sicurezza delle frontiere prescrivono che per i voli in partenza ed in arrivo dagli Stati Uniti, vengano comunicati i seguenti dati all'ufficio per l'immigrazione americano: nome, data di nascita, nazionalità, sesso, numero di passaporto e luogo di rilascio, stato di residenza, numero del visto americano, data e luogo di rilascio (all'occorrenza), numero di registrazione estero (all'occorrenza), indirizzo durante la permanenza negli Stati Uniti ed ogni altro dato ritenuto significativo per l'identificazione dei viaggiatori e per l'applicazione delle disposizioni in tema d'immigrazione e protezione della sicurezza nazionale e dell'incolumità personale⁸.

È altresì prescritto che vengano a richiesta comunicati anche i dati trattati nei sistemi di prenotazione e controllo delle partenze (Departure control systems - DCS), in particolare quelli contenuti nei registri dei nomi dei passeggeri (Passenger Name Records - PNR)⁹.

Tali dati non si limitano ai soli passeggeri in arrivo nel territorio statunitense e possono variare notevolmente da compagnia a compagnia. Essi riguardano: dati d'identificazione¹⁰ (cognome, nome, data di nascita, numero di telefono); numero di prenotazione PNR, giorno della prenotazione, al caso l'agenzia di viaggio, informazioni presenti sul biglietto; informazioni di natura finanziaria (numero della carta di credito, data di scadenza, indirizzo di fatturazione ecc.); itinerario, informazioni sul volo fornite dal vettore (numero del volo ecc.), numero del posto assegnato nonché precedenti dati del sistema PNR. Tra questi ultimi possono rientrare non solo viaggi precedentemente effettuati ma anche informazioni a carattere religioso ed etnico (scelta del pasto ecc.), affiliazione ad un particolare gruppo, informazioni concernenti il luogo di residenza o contatti personali (indirizzo di posta elettronica, dettagli su un amico, luogo di lavoro ecc.), informazioni mediche (qualsiasi richiesta di assistenza sanitaria, ossigeno, problemi di vista, udito, mobilità o di ogni altra sorta la cui comunicazione è necessaria per garantire un volo soddisfacente) ed altri tipi di dati connessi, ad esempio, a programmi per clienti abituali (numero d'identificazione corrispondente)¹¹.

Per tutti i paesi che aderiscono al programma per l'esenzione dall'obbligo del visto (Visa Waiver Program) diverrà inoltre obbligatorio a partire da ottobre 2004 la trasmissione dei dati biometrici¹².

1.3 Sanzioni

La mancata trasmissione delle informazioni richieste o una loro trasmissione non corretta o incompleta è punibile con severe sanzioni, quali la perdita dei diritti di atterraggio ed il pagamento di pesanti ammende¹³.

A questo riguardo il gruppo di lavoro s'interroga sulla compatibilità di tali provvedimenti unilaterali con gli accordi e le convenzioni internazionali in merito al trasporto e al traffico aereo nonché con le disposizioni applicabili a livello nazionale nel rispetto per quanto riguarda i paesi in cui le compagnie aeree operano in modo permanente.

1.4 Estensione ad altri paesi

Altri paesi quali Canada, Messico¹⁴, Australia, Nuova Zelanda, Sudafrica e Regno Unito hanno già applicato o prevedono di porre in essere provvedimenti simili atti a soddisfare le proprie esigenze.

2. COMPATIBILITÀ' CON LA DIRETTIVA 95/46/CE

2.1 Attuazione della direttiva

I dati trasmessi dalle compagnie aeree si riferiscono a persone fisiche identificate ed in seno all'Unione europea il loro trattamento, è affidato in alle varie compagnie aeree (raccolta, registrazione, modificazione, archiviazione, rettificazione, estrazione, utilizzo, comunicazione ecc.). In quanto tali, siffatti dati sono soggetti alle disposizioni contenute nella direttiva 95/46/CE.

Lo sviluppo del sistema APIS solleva inoltre questioni specifiche, presentate nel seguito di cui molte trascendono la sfera di competenza delle singole compagnie aeree. Queste ultime si trovano spesso dinanzi ad un dilemma poiché, se da un canto sono tenute ad osservare le misure nazionali di esecuzione della direttiva 95/46/CE in tema di protezione dei dati personali, dall'altro la legislazione statunitense le obbliga alla comunicazione di questi stessi dati per mezzo di sanzioni severe.

2.2 Informazione degli interessati

Le persone interessate dal trasferimento dei propri dati personali devono esserne necessarie a garantirne un trattamento adeguato. Nel novero di tali informazioni dovrebbero rientrare le finalità specifiche del trattamento nonché i destinatari di tali dati.

Non è giustificabile un ricorso all'articolo 13 della direttiva 95/46/CE al fine di limitare quest'obbligo quando la comunicazione avviene in modo sistematico e le categorie di dati richieste sono state già parzialmente rese note al pubblico degli Stati Uniti mediante la pubblicazione della normativa. Più specificamente, tali informazioni dovrebbero essere fornite agli interessati nel momento stesso in cui i dati vengono rilevati e concernere tra l'altro le finalità ultime di trattamento negli Stati Uniti e i destinatari di siffatti dati¹⁵.

2.3 Misure di sicurezza

A norma della direttiva 95/46/CE le compagnie aeree sono tenute ad applicare misure di sicurezza idonee per la protezione dei dati personali. Tale obbligo non contempla eccezioni. Si ritiene che le misure di natura tecnica imposte alle compagnie aeree dagli Stati Uniti consentano l'accesso ai dati da parte di terzi non autorizzati.

2.4 Osservanza del principio di finalità

Dati gli sviluppi recenti del sistema, la comunicazione dei dati personali descritta al precedente paragrafo 1.2 (che va oltre la tipologia limitata di dati forniti normalmente dai passeggeri in occasione dell'organizzazione di un viaggio) non può considerarsi compatibile con le finalità originarie di raccolta dei dati personali da parte di compagnie aeree ed agenzie di viaggi, in particolare nell'ambito del rispetto degli obblighi contrattuali nei confronti dei passeggeri. L'articolo 6, paragrafo 1, lettera b) della direttiva 95/46/CE vieta che vengano successivamente trattati dati raccolti per finalità determinate, esplicite e legittime, in modo incompatibile con tali finalità.

Tenuto conto della grande e multiforme quantità di dati in gioco, è impossibile ritenerli adeguati, pertinenti e non eccedenti rispetto alle finalità per cui vengono rilevati e/o successivamente trattati a norma dell'articolo 6, paragrafo 1, lettera c) della direttiva 95/46/CE.

Rimane tuttavia la possibilità di ricorrere all'articolo 13 della direttiva 95/46/CE, il quale autorizza gli Stati membri ad adottare provvedimenti legislativi miranti a circoscrivere la portata di questi due obblighi nella misura in cui tale restrizione si renda necessaria per la salvaguardia degli interessi elencati nella stessa direttiva (prevenzione e inchieste penali, sicurezza pubblica, ecc.). È ovviamente auspicabile che gli Stati membri seguano un'impostazione comune in materia.

2.5 Flussi transfrontalieri di dati

La direttiva 95/46/CE dispone che il trasferimento di dati personali in un paese terzo sia consentito solo se ed in quanto il paese in questione è in grado di assicurare un adeguato livello di protezione. Lo sviluppo del sistema APIS solleva a questo proposito, alcune perplessità. Il trattamento di dati trasmessi dalle compagnie aeree da parte delle autorità federali statunitensi non ottempera pienamente a tale condizione¹⁶. L'ambito ristretto di applicazione dell' "approdo sicuro" (Safe Harbor) non consente una sua applicazione a salvaguardia della protezione del trasferimento dei dati in favore delle autorità governative.

Le deroghe contemplate all'articolo 26 della direttiva 95/46/CE non sembrano altresì applicabili.

— Attualmente, il requisito del consenso inequivocabile non costituisce una soluzione adeguata perché giacché per molti versi continuano a sussistere forti perplessità. Non sembra infatti che il consenso del passeggero venga richiesto in ogni caso a differenza di quanto previsto dalla normativa in vigore. La direttiva 95/46/CE definisce il consenso come qualsiasi manifestazione di volontà libera, specifica ed informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento. Tale consenso può' risultare difficile da ottenere non da ultimo a causa delle difficoltà pratiche da affrontare quando si vogliano comunicare chiaramente tutte le informazioni necessarie ai passeggeri che acquistano un biglietto aereo nell'ambito di sistemi globali i quali consentono di prenotare un volo dall'Unione europea verso gli Stati Uniti a partire da quasi tutti i paesi del mondo, attraverso molteplici canali (diverse compagnie aeree, agenzie di viaggio, ecc.). Le informazioni fornite agli interessati devono includere le indicazioni stabilite agli articoli 10 e 11 della direttiva in oggetto, compresa, all'occorrenza, l'inadeguatezza della tutela nei paesi terzi.

— È difficile invocare la necessità del trasferimento ai fini dell'esecuzione di un contratto tra gli interessati e il responsabile del trattamento dei dati vista la portata dei dati trasmessi. La comunicazione di grandi quantità di dati non può infatti essere considerata "necessaria" ai fini dell'esecuzione di un contratto. L'impossibilità fisica per le compagnie aeree di adempiere ai propri obblighi contrattuali in seguito alla perdita dei diritti non rappresenta in questo caso una condizione sufficiente. È inoltre impossibile applicare siffatta eccezione a tutela della comunicazione di dati attinenti a persone non dirette verso gli Stati Uniti.

— Risulta parimenti impossibile la comunicazione di dati invocata in nome della salvaguardia d'importanti interessi pubblici. In primo luogo non è dimostrata la necessità di tale comunicazione; secondariamente, non è accettabile che una decisione unilaterale adottata da un paese terzo nel proprio interesse pubblico debba portare al trasferimento in massa d'informazioni tutelate a norma della presente direttiva.

— E' infine difficile legittimare la liceità della comunicazione di siffatti dati per finalità connesse alla tutela degli interessi vitali delle persone coinvolte. La direttiva 95/46/CE autorizza nondimeno il trasferimento dei dati personali in presenza di un adeguato livello di protezione all'interno del paese terzo quando il responsabile del trattamento (destinatario) è in grado di fornire garanzie sufficienti per la tutela dei dati personali.

Sarebbe pertanto auspicabile un negoziato tra Stati membri dell'Unione ed autorità statunitensi per trovare una soluzione atta ad assicurare livelli adeguati di protezione per i dati trasmessi.

2.6 Problemi specifici attinenti alla comunicazione ed all'accesso ai dati PNR trattati nell'ambito di sistemi telematici di prenotazione e di controllo delle partenze

Le osservazioni fatte a questo riguardo integrano quelle già presentate.

Nei casi in cui sia preferibile che il servizio doganale americano possa accedere direttamente ai sistemi informativi ubicati sul territorio europeo, per selezionare e raccogliere i dati, invece di essere il destinatario convenzionale di flussi transfrontalieri d'informazione, tutte le disposizioni contenute nella direttiva possono essere direttamente e pienamente applicate. L'articolo 4, paragrafo 1, lettera c) dispone le modalità d'applicazione della direttiva nei casi in cui il responsabile del trattamento non sia stabilito nel territorio della comunità e ricorra, ai fini del trattamento di dati personali, a strumenti, automatizzati o no situati sul territorio di uno Stato membro¹⁷. La piena applicazione di questa direttiva presenta ancora molti aspetti controversi.

Le informazioni riguardanti viaggiatori non diretti negli Stati Uniti non sono rilevanti e possono quindi non essere trasmesse, fatto salvo un eventuale impiego nell'ambito di specifici accordi in tema di giustizia e affari interni (assistenza reciproca).

Il registro PNR può contenere dei dati in grado di rivelare l'origine etnica o razziale, il credo religioso, o altri dati sensibili a termini dell'articolo 8 della direttiva 95/46/CE. Tale direttiva vieta in linea di massima qualsiasi tipo di trattamento dei dati sensibili fatto salvo il caso di autorizzazioni specifiche (consenso esplicito al trattamento per un determinato fine, informazioni di ovvia natura pubblica, ecc.) Come già visto, il ricorso al consenso crea molti problemi che dovrebbero essere tenuti in maggior considerazione data la natura estremamente delicata di siffatte informazioni¹⁸.

L'articolo 8, paragrafo 4 della direttiva autorizza gli Stati membri o le autorità di controllo a stabilire ulteriori deroghe per seri motivi di interesse pubblico purché siano previste le opportune garanzie. In tali condizioni gli Stati membri potrebbero conseguentemente autorizzare il trasferimento di dati sensibili contenuti nel registro PNR¹⁹.

Il problema dell'accesso al registro PNR su richiesta delle autorità statunitensi solleva immediatamente la questione della legittimità del trattamento dei dati all'interno dei sistemi di prenotazione e controllo delle partenze²⁰. Tali dati possono essere utilizzati se ritenuti adeguati, rilevanti e non eccessivi rispetto alle finalità in base alle quali vengono trattati. I dati personali non dovrebbero più essere inseriti nei sistemi di prenotazione poiché il loro impiego non è più finalizzato al viaggio in occasione del quale vengono registrati.

2.7 Comunicazione di dati biometrici

La comunicazione di dati biometrici è disciplinata dalla direttiva 95/46/CE. Occorre notare che tale direttiva obbliga gli Stati membri a determinare a quali condizioni un mezzo identificativo di portata generale può essere oggetto di trattamento. Gli identificatori biometrici consentono unicamente l'identificazione d'individui e potrebbero pertanto formare l'oggetto di questa stessa norma²¹.

Conclusioni

1. Il gruppo di lavoro riconosce che Stati sovrani possono decidere circa le categorie di dati da richiedere a chi intende accedere al loro territorio. Le proposte attuali attinenti al sistema APIS, benché legittimate da un contesto storico di nefandezze terroristiche, comporterebbero tuttavia una diffusione sproporzionata e sistematica di dati da parte delle compagnie aeree la cui attività è soggetta alle disposizioni della direttiva 95/46/CE. Tali dati potrebbero essere usati quotidianamente per fini doganali e legati all'immigrazione e, più in generale, per motivi di sicurezza nazionale americana e potrebbero così essere diffusi quanto meno tra tutte le agenzie federali.

2. Alla luce della recente evoluzione del sistema APIS il gruppo di lavoro ritiene che il rispetto delle prerogative statunitensi crei difficoltà nell'applicazione della direttiva 95/46/CE. Molti dei problemi in questione trascendono la sfera delle singole compagnie aeree e ricadono nella sfera di competenza degli Stati membri e, conseguentemente, della Commissione.

3. In definitiva, stando al parere del gruppo di lavoro la comunicazione di dati relativi a viaggiatori non diretti verso gli Stati Uniti non dovrebbe essere autorizzata fatto salvo il loro impiego nell'ambito di specifici accordi di cooperazione in tema di giustizia ed affari interni.

4. Qualsiasi altro tipo di trasferimento di dati effettuato a partire da sistemi di prenotazione e di controllo delle partenze relativi ai passeggeri ed ai membri dell'equipaggio è possibile solo nel rispetto delle normative in vigore negli Stati membri.

Tali normative devono disporre che le necessarie restrizioni su diritti ed obblighi soggetti alla direttiva 95/46/CE siano conformi all'articolo 13 di tale direttiva, e che siano poste in essere le garanzie a tutela delle persone interessate.

È auspicabile che si persegua un approccio comune a livello comunitario.

5. Occorre ponderare attentamente la comunicazione di dati che possono essere considerati alla stregua di dati sensibili. Tali comunicazioni necessitano infatti all'occorrenza di prove atte a dimostrare l'esistenza di 1) motivi di interesse pubblico rivelante per gli Stati membri, 2) garanzie appropriate e 3) talvolta di una legislazione nazionale in materia o di una decisione dell'autorità di controllo.

6. Qualora si ritenga inoltre necessario l'accesso diretto da parte del servizio doganale o del servizio per l'immigrazione e la naturalizzazione statunitense ai dati contenuti nei sistemi di prenotazione e controllo delle partenze, tali autorità sono tenute a garantire il pieno rispetto della direttiva.

7. Il sistema dovrebbe essere concordato con le autorità statunitensi. Il negoziato dovrebbe vertere specificamente sul chiarimento e la definizione di obiettivi, finalità e destinatari dei dati nonché sulle categorie di dati che possono essere trasferiti, tenuto conto delle presenti osservazioni nonché dell'insieme delle condizioni e garanzie che caratterizzano il processo di trattamento dei dati personali, con particolare riguardo ad una loro diffusione presso le autorità federali statunitensi (ed in tal caso una comunicazione limitata alle sole autorità incaricate dell'applicazione della legge).

8. Nei casi di comunicazione di dati personali da parte delle compagnie aeree agli Stati Uniti è preferibile un'impostazione di tipo globale. Occorrerebbe in primo luogo tenere conto di altre comunicazioni programmate o in corso verso gli Stati Uniti. A tal proposito di particolare interesse potrebbe risultare l'introduzione del concetto del terzo pilastro. Ciò significa che i trasferimenti alle autorità pubbliche di paesi terzi di dati richiesti per motivi d'ordine pubblico all'interno di questi stessi paesi andrebbero analizzati nel più ampio contesto dei meccanismi di cooperazione fissati nell'ambito del terzo pilastro (cooperazione giudiziaria e di polizia). Questi ultimi dovrebbero inoltre andare di pari passo con le garanzie a tutela delle informazioni comunicate.22

Tali meccanismi di cooperazione concordati nell'ambito del terzo pilastro non devono essere elusi ricorrendo al primo pilastro. La soluzione elaborata per comunicare i dati verso gli Stati Uniti potrebbe infine rivelarsi utile anche per i trasferimenti APIS verso altri paesi terzi.

Fatto a Bruxelles, 24 ottobre 2002

Per il gruppo di lavoro
Il presidente
Stefano RODOTA'