RELAZIONE

1.Oggetto della proposta

La presente proposta riguarda la decisione che stabilisce la posizione da adottare a nome dell'Unione europea nell'Organizzazione per l'aviazione civile internazionale (ICAO) per quanto riguarda l'emendamento 28 dell'allegato 9 (Facilitazioni) della convenzione relativa all'aviazione civile internazionale ("convenzione di Chicago"), adottato il 23 giugno 2020 dal Consiglio dell'ICAO.

L'emendamento 28 riguarda le norme per il trattamento dei dati del codice di prenotazione (Passenger Name Record, PNR), di cui all'allegato 9, capo 9, sezione D.

I dati PNR sono dati personali dei passeggeri raccolti dalle compagnie aeree a fini professionali, a differenza di altri dati connessi al viaggio raccolti per conto delle autorità, come le informazioni anticipate sui passeggeri (Advance Passenger Information, API). Le autorità di contrasto di tutto il mondo utilizzano sempre più i dati PNR loro trasferiti dalle compagnie aeree per combattere il terrorismo e altre forme gravi di criminalità.

2.Contesto della proposta

2.1.La convenzione relativa all'aviazione civile internazionale ("convenzione di Chicago")

Obiettivo della convenzione di Chicago è disciplinare il trasporto aereo internazionale. Entrata in vigore il 4 aprile 1947, la convenzione ha istituito l'Organizzazione per l'aviazione civile internazionale (ICAO).

Tutti gli Stati membri dell'UE sono parti della convenzione di Chicago.

2.2.Organizzazione per l'aviazione civile internazionale (ICAO)

L'ICAO è un'agenzia specializzata delle Nazioni Unite. I suoi obiettivi consistono nell'elaborare i principi e le tecniche della navigazione aerea internazionale e nel promuovere la pianificazione e lo sviluppo del trasporto aereo internazionale.

Il Consiglio dell'ICAO è un suo organo permanente costituito da 36 Stati contraenti eletti dall'Assemblea dell'ICAO per un mandato triennale. Per il periodo 2019-2022 sette Stati membri dell'UE 1 sono rappresentati in seno al Consiglio dell'ICAO.

Tra le funzioni obbligatorie del Consiglio dell'ICAO, elencate all'articolo 54 della convenzione di Chicago, figura l'adozione di standard internazionali e pratiche raccomandate (Standards and Recommended Practices, SARP), designati come allegati della convenzione di Chicago. Gli standard costituiscono specifiche la cui applicazione uniforme è ritenuta necessaria, mentre le pratiche raccomandate non sono obbligatorie.

Il Consiglio dell'ICAO convoca inoltre l'assemblea, che è l'organo sovrano dell'ICAO. L'assemblea dell'ICAO si riunisce almeno una volta ogni tre anni e stabilisce l'indirizzo politico dell'Organizzazione per il triennio successivo. La 40a sessione dell'Assemblea dell'ICAO si è svolta dal 24 settembre al 4 ottobre 2019 a Montreal (Canada).

2.3.Il processo di aggiornamento degli standard e delle pratiche raccomandate (SARP) dell'ICAO in relazione ai dati PNR

L'elaborazione di nuovi standard internazionali e pratiche raccomandate (SARP) in relazione ai dati PNR si fonda sulla risoluzione 2396 (2017) del Consiglio di sicurezza delle Nazioni Unite, adottata il 21 dicembre 2017 2 . La risoluzione, impone agli Stati membri delle Nazioni Unite di sviluppare la capacità di raccogliere, trattare e analizzare, in linea con gli standard e le pratiche raccomandate dell'ICAO, i dati PNR e di garantire che tali dati siano usati e condivisi con tutte le autorità nazionali competenti, nel pieno rispetto dei diritti umani e delle libertà fondamentali, esortando inoltre l'ICAO a collaborare con i suoi Stati membri per stabilire uno standard per la raccolta, l'utilizzo, il trattamento e la protezione dei dati PNR.

L'elaborazione di proposte di revisione dei SARP sui dati PNR è stata affidata a un gruppo di esperti, la task force PNR dell'ICAO, istituita dal comitato del trasporto aereo (Air Transport Committee, ATC) dell'ICAO nel marzo 2019. I lavori della task force si sono conclusi nel dicembre 2019 e sono stati esaminati dal gruppo Facilitazioni dell'ICAO nel gennaio 2020.

Le proposte del gruppo Facilitazioni dell'ICAO sono state approvate dall'ATC il 7 febbraio 2020. All'approvazione ha fatto seguito una consultazione formale degli Stati membri dell'ICAO, mediante lettera agli Stati dell'ICAO 2020 14E. Il processo di consultazione degli Stati si è concluso il 15 maggio 2020.

Successivamente, il segretariato dell'ICAO ha analizzato le risposte ricevute dagli Stati e presentato una proposta all'ATC. La proposta del segretariato era praticamente identica all'esito della riunione del gruppo Facilitazioni del gennaio 2020. Analogamente, nella sua riunione del 19 giugno 2019, l'ATC ha raccomandato al Consiglio dell'ICAO di adottare i SARP riguardanti i dati PNR presentati dal segretariato, con correzioni di lieve entità.

Il 23 giugno 2020, nel corso della decima riunione della sua 220a sessione, il Consiglio dell'ICAO ha adottato l'emendamento 28 dell'annesso 9 della convenzione di Chicago. Come osservato in precedenza, l'allegato 9 stabilisce standard internazionali in materia di facilitazione e il suo capo 9, sezione D, si riferisce specificamente ai dati PNR.

Il 17 luglio 2020, l'ICAO ha informato i suoi Stati membri dell'adozione dell'emendamento 28 mediante una nuova lettera agli Stati (EC 6/3-20/71). L'emendamento sarebbe diventato effettivo il 30 ottobre 2020, a meno che nel frattempo la maggioranza degli Stati non avesse notificato la propria disapprovazione, conformemente all'articolo 90 della convenzione di Chicago. L'emendamento sarà applicabile a partire dal 28 febbraio 2021. Tuttavia gli Stati membri dell'ICAO potevano notificare, entro il 30 gennaio 2020, eventuali differenze tra le loro normative e pratiche nazionali e quelle sancite dagli standard stabiliti dall'emendamento 28, se ritenevano che ne esistessero. Tali notifiche devono essere presentate conformemente all'articolo 38 della convenzione di Chicago e al meccanismo applicabile per la notifica delle differenze.

2.4.Gli aspetti relativi ai dati PNR dell'emendamento 28 dell'allegato 9

Se diventa effettivo, l'emendamento 28 sostituirà gli attuali standard 9.22-9.22.1 e la pratica raccomandata 9.23 con i nuovi SARP 9.23-9.38. Questi SARP sono molto più dettagliati del quadro esistente e riguardano, tra l'altro, aspetti relativi alle limitazioni della finalità, alla sorveglianza, ai diritti degli interessati, al metodo di trasferimento, alla conservazione dei dati, al trattamento dei dati sensibili e alla relazione tra gli Stati contraenti della convenzione di Chicago in merito ai trasferimenti di dati PNR. Alcuni degli orientamenti non vincolanti riguardanti i dati PNR 3 , stabiliti nel documento 9944 dell'ICAO, sono stati adeguati ai nuovi standard.

Lo standard 9.23 prevede che gli Stati contraenti sviluppino la capacità di raccogliere, utilizzare, trattare e proteggere i dati PNR e di tradurre le norme per l'attuazione pratica di tale capacità nel quadro giuridico e amministrativo interno appropriato, coerentemente con i SARP. Il carattere obbligatorio dello sviluppo della capacità di trattare i dati PNR è in linea con la risoluzione 2396 (2017) del Consiglio di sicurezza delle Nazioni Unite.

Lo standard 9.24 impone agli Stati contraenti, nel pieno rispetto dei diritti umani e delle libertà fondamentali, di identificare chiaramente i dati PNR da utilizzare nelle loro operazioni e di stabilire le finalità per le quali essi possono essere utilizzati dalle autorità. Le finalità non dovrebbero andare oltre quanto necessario, in particolare per quanto riguarda le finalità di sicurezza delle frontiere per combattere il terrorismo e i reati gravi. Inoltre, la divulgazione dei dati PNR all'interno dello Stato ricevente o in altri dovrebbe essere limitata alle autorità competenti che esercitano funzioni pertinenti connesse alle finalità per le quali sono trattati i dati PNR. Le autorità competenti dovrebbero inoltre garantire tutele comparabili a quelle offerte dall'autorità divulgante.

Lo standard 9.25 stabilisce i requisiti in materia di sicurezza dei dati e i diritti delle persone in relazione al trattamento dei loro dati PNR, anche per quanto riguarda la non discriminazione, la comunicazione di informazioni, il ricorso amministrativo e giudiziario, l'accesso ai dati e la possibilità di chiedere rettifiche, cancellazioni o annotazioni. La pratica raccomandata 26 incoraggia gli Stati a notificare alle persone il trattamento dei loro dati PNR e i diritti e i mezzi di ricorso loro riconosciuti.

Lo standard 9.27 impone agli Stati contraenti di basare il trattamento automatizzato dei dati PNR su criteri oggettivi, precisi e affidabili che indichino effettivamente l'esistenza di un rischio, senza determinare una differenziazione illegittima, e di astenersi dall'adottare decisioni che comportino significative azioni negative che ledono gli interessi giuridici delle persone sulla base del solo trattamento automatizzato dei dati PNR.

Ai sensi dello standard 9.28 gli Stati sono tenuti a designare una o più autorità nazionali competenti con facoltà di esercitare una vigilanza indipendente sulla protezione dei dati PNR e di determinare se essi sono raccolti, utilizzati, trattati e protetti nel pieno rispetto dei diritti umani e delle libertà fondamentali.

Lo standard 9.29 vieta agli Stati sia di imporre alle compagnie aeree la raccolta di dati PNR non richiesti nell'ambito delle loro normali procedure operative sia di filtrare i dati prima di trasmetterli. Vieta inoltre il trattamento dei dati sensibili, vale a dire dati PNR che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale o dati relativi alla salute, alla vita o all'orientamento sessuale di una persona, salvo in circostanze eccezionali e immediate per proteggere gli interessi vitali della persona interessata o di altra persona fisica. Nel caso in cui tali dati siano trasmessi, gli Stati sono tenuti a cancellarli non appena possibile.

Lo standard 9.30 stabilisce obblighi in materia di conservazione dei dati, e anonimizzazione e ripersonalizzazione dei dati PNR, imponendo agli Stati di conservare i dati solo per un determinato periodo, definito nel loro quadro giuridico e amministrativo, vale a dire il periodo necessario e proporzionato per le finalità per le quali i dati PNR sono utilizzati, mascherandoli dopo un periodo stabilito. Dopo il mascheramento, la ripersonalizzazione dovrebbe essere possibile solo quando i dati devono essere usati in relazione a un caso, una minaccia o un rischio in corso connessi alle finalità per le quali i dati PNR possono essere trattati. La pratica raccomandata 9.32 suggerisce un periodo massimo di conservazione di cinque anni e la 9.33 propone che i dati PNR siano resi anonimi entro sei mesi e non oltre due anni a partire dal momento in cui sono trasferiti dalle compagnie aeree.

Lo standard 9.33 stabilisce che i dati PNR dovrebbero di norma essere trasmessi con il metodo "push", meno invasivo della vita privata. Esso mira inoltre a ridurre al minimo gli oneri a carico dei vettori aerei limitando la facoltà degli Stati di imporre multe per errori di trasmissione in determinate circostanze e imponendo loro di limitare il numero di trasferimenti "push" dei dati.

Lo standard 9.34(a) impone agli Stati contraenti di non ostacolare o impedire il trasferimento dei dati PNR verso un altro Stato contraente che rispetta i nuovi standard. Contemporaneamente, lo standard 9.34(b) prevede che gli Stati contraenti dell'ICAO conservino la facoltà di introdurre o mantenere livelli più elevati di protezione dei dati PNR, conformemente al loro quadro giuridico nazionale, e di concludere accordi supplementari con altri Stati, in particolare al fine di rispettare i loro obblighi giuridici interni, o di stabilire disposizioni più dettagliate relative al trattamento e al trasferimento dei dati PNR, a condizione che tali misure non siano in contrasto con gli standard.

Ai sensi dello standard 9.35 gli Stati contraenti possono essere chiamati a dimostrare il loro rispetto dei nuovi standard, su richiesta di un altro Stato. Qualora gli Stati contraenti decidano di impedire il trasferimento di dati PNR o multare un vettore aereo, lo standard 9.36 impone loro di farlo in modo trasparente e con l'intento di risolvere la situazione.

La pratica raccomandata 9.37 incoraggia gli Stati a informare gli altri Stati con i quali intrattengono trasporti aerei circa qualsiasi modifica significativa del loro programma PNR, anche per quanto riguarda il rispetto dei SARP. La pratica raccomandata 9.38 suggerisce che i vettori aerei non siano penalizzati dagli Stati mentre cercano di risolvere le controversie relative ai trasferimenti di dati PNR.

2.5.Quadro giuridico dell'UE applicabile

Il trattamento dei dati PNR costituisce uno strumento essenziale della risposta comune dell'UE al terrorismo e ai reati gravi, e un elemento costitutivo dell'Unione della sicurezza. Individuare e rintracciare i modelli di viaggio sospetti trattando i dati PNR per raccogliere prove e, se del caso, individuare i complici dei criminali e smantellare le reti criminali si è rivelato essenziale per prevenire, accertare, indagare e perseguire i reati di terrorismo e i reati gravi. Nel contempo, il trattamento dei dati PNR costituisce un'ingerenza nel diritto al rispetto della vita privata e nel diritto alla protezione dei dati personali sanciti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell'Unione europea (la "Carta"). Conformemente all'articolo 52, paragrafo 1, della Carta, il trattamento è pertanto previsto dalla legge, rispetta il contenuto essenziale dei diritti in questione e, nel rispetto del principio di proporzionalità, è ammesso solo nella misura in cui sia necessario e risponda effettivamente a un obiettivo di interesse generale dell'Unione o all'esigenza di proteggere i diritti e le libertà altrui. Uno di questi obiettivi di interesse generale è la protezione dei cittadini da gravi minacce alla sicurezza.

Il 27 aprile 2016 il Parlamento europeo e il Consiglio hanno adottato la direttiva (UE) 2016/681 sull'uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi 4 . La direttiva consente alle autorità nazionali di imporre ai vettori aerei di trasferire i dati PNR, tutelando nel contempo i diritti delle persone al rispetto della vita privata e alla protezione dei dati. Il termine per il recepimento della normativa nel diritto nazionale degli Stati membri era il 25 maggio 2018. Dal riesame 5 dei primi due anni di applicazione della direttiva effettuato nel 2020 è emerso che il trattamento dei dati PNR ha prodotto risultati tangibili nella lotta contro il terrorismo e le forme gravi di criminalità.

Sempre nell'aprile 2016 il Parlamento europeo e il Consiglio hanno adottato nuove norme dell'UE in materia di protezione dei dati: Regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati) 6 e direttiva (UE) 2016/680 (sulla protezione dei dati nel settore dell'applicazione della legge) 7 . Tra l'altro, il regolamento generale sulla protezione dei dati stabilisce norme sui trasferimenti internazionali di dati personali applicabili alla trasmissione dei dati PNR da parte dei vettori aerei. La direttiva (UE) 2016/680 disciplina il trattamento dei dati personali da parte delle autorità di contrasto e completa il regime della direttiva (UE) 2016/681 su aspetti quali i diritti degli interessati e i trasferimenti di dati, caso per caso, alle autorità di contrasto dei paesi terzi.

Attualmente sono stati conclusi due accordi internazionali tra l'UE e due paesi terzi (Australia 8 e Stati Uniti 9 ) sul trattamento e il trasferimento dei dati PNR. Il 26 luglio 2017 la Corte di giustizia dell'Unione europea ha emesso un parere (di seguito "parere 1/15" 10 ) sul previsto accordo tra l'UE e il Canada sul trasferimento e trattamento dei dati PNR, firmato il 25 giugno 2014. La Corte ha statuito che l'accordo non può essere concluso nella sua forma prevista, in quanto alcune disposizioni sono incompatibili con i diritti fondamentali alla vita privata e alla protezione dei dati personali tutelati dalla Carta. In particolare, la Corte ha interpretato le pertinenti disposizioni della Carta nel senso che richiedono garanzie specifiche riguardo: vigilanza da parte di un'autorità indipendente, trattamento dei dati sensibili, trattamento automatizzato dei dati PNR e non discriminazione, finalità per le quali i dati PNR possono essere trattati, conservazione, uso, divulgazione e ulteriore trasferimento dei dati PNR. In seguito all'adozione delle direttive di negoziato da parte del Consiglio nel dicembre 2017, la Commissione ha avviato nuovi negoziati sui dati PNR con il Canada nel giugno 2018.

Più in generale, un numero crescente di paesi terzi raccoglie i dati PNR dai vettori aerei e negli ultimi anni molti di questi paesi terzi hanno manifestato alla Commissione il loro interesse a concludere con l'UE un accordo internazionale sui dati PNR. In assenza di una base giuridica che permette il trasferimento dei dati, i vettori aerei sono esposti a una situazione di conflitto di leggi e a un rischio di multe e altre sanzioni. Parallelamente, in seguito all'attuazione della direttiva (UE) 2016/681, gli Stati membri dell'UE chiedono ai vettori aerei dei paesi terzi di trasferire i dati PNR alle rispettive unità d'informazione sui passeggeri. Diversi paesi terzi hanno rifiutato tali trasferimenti — e altri hanno minacciato il rifiuto — come misura di ritorsione a causa dell'impossibilità di ricevere dati PNR dall'UE, compromettendo così l'efficacia del meccanismo PNR dell'UE.

L'approccio dell'UE al trasferimento di dati PNR verso paesi terzi risale al 2010 11 e precede l'adozione della direttiva (UE) 2016/681, la riforma del quadro dell'UE in materia di protezione dei dati e il parere 1/15 della Corte di giustizia. La strategia dell'UE per l'Unione della sicurezza per il periodo 2020-2025 prevede, come azione a medio termine 12 , l'analisi dell'approccio adottato.

3.Posizione da adottare a nome dell'Unione

3.1.Contesto

L'Unione sostiene fermamente lo sviluppo di nuove norme internazionali sui dati PNR e ha contribuito attivamente all'elaborazione dei SARP di cui all'emendamento 28 dell'allegato 9.

L'oggetto dell'emendamento 28 dell'allegato 9, capo 9, sezione D, riguarda un settore per il quale l'Unione ha competenza esclusiva in virtù dell'ultima parte dell'articolo 3, paragrafo 2, del trattato sul funzionamento dell'Unione europea (TFUE), in quanto può incidere sulle norme comuni in materia di dati PNR e protezione dei dati.

Di conseguenza, nel corso delle discussioni in seno agli organi preparatori dell'ICAO, l'approccio degli Stati membri dell'UE e della Commissione (in qualità di osservatore) è stato guidato dagli orientamenti stabiliti nella decisione (UE) 2019/2107 del Consiglio, del 28 novembre 2019, che stabilisce la posizione dell' Unione 13 . La posizione rispecchia i requisiti del quadro giuridico dell'UE in materia di dati PNR e protezione dei dati, in particolare ai sensi della direttiva (UE) 2016/681, del regolamento (UE) 2016/679, della direttiva (UE) 2016/680 e della Carta come interpretati nella pertinente giurisprudenza della Corte di giustizia, in particolare nel parere 1/15.

Il 25 marzo 2020 il Consiglio dell'UE ha approvato un'ulteriore posizione dell'Unione 14 in merito alla risposta alla lettera agli Stati dell'ICAO 2020 14E mediante la quale gli Stati contraenti sono stati consultati in merito ai progetti di SARP. La posizione ha accolto favorevolmente il lavoro intrapreso dall'ICAO per elaborare i SARP e ha sottolineato l'importanza della protezione dei diritti fondamentali, compresa la protezione dei dati personali, nel trattamento dei dati PNR. Ha pertanto presentato un progetto redazionale inteso a modificare (e poi elaborare) lo standard 9.34. L'obiettivo era di rafforzare il testo dello standard in questione al fine di garantire che la capacità degli Stati contraenti di stabilire requisiti più rigorosi per il trasferimento di dati PNR venga chiaramente rispecchiata nei SARP.

Va osservato che nel processo di revisione successivo alla consultazione degli Stati, il segretariato dell'ICAO non ha tenuto conto né dei suggerimenti redazionali presentati dagli Stati membri dell'UE, né delle modifiche proposte da altri Stati contraenti dell'ICAO, e ha mantenuto il progetto di testo elaborato dal gruppo Facilitazioni riunitosi nel gennaio 2020. Il segretariato dell'ICAO ha proposto invece che gli Stati che avevano presentato proposte modificative fossero invitati a presentare le proposte di emendamento del testo al paragrafo 9.34 nel corso della successiva riunione del gruppo Facilitazioni (FALP/12), prevista per luglio 2021.

Il 23 giugno 2020, durante la riunione del Consiglio dell'ICAO in cui è stato adottato l'emendamento 28, gli Stati membri dell'UE hanno nuovamente sottolineato l'importanza di trovare il necessario equilibrio tra disponibilità e protezione dei dati e hanno fatto riferimento alle summenzionate posizioni dell'Unione, presentate durante il processo di consultazione degli Stati. Hanno inoltre sottolineato l'importanza di garantire elevati livelli di protezione dei dati e hanno fatto esplicito riferimento agli obblighi derivanti dal quadro giuridico dell'UE. In particolare, gli Stati membri dell'UE hanno sottolineato l'importanza dei SARP, in particolare dello standard 9.34, sostenendo che dovrebbe essere interpretato in modo tale da consentire agli Stati di mantenere la facoltà di richiedere ad altri Stati contraenti non solo di dimostrare la conformità del loro quadro giuridico con i SARP, ma anche il rispetto di standard più rigorosi in materia di protezione dei dati, in particolare per consentire il trasferimento dei dati PNR, ove richiesto dai rispettivi quadri giuridici nazionali.

3.2.Posizione proposta

La presente proposta di decisione del Consiglio è necessaria per adottare, entro il termine fissato dalla lettera agli Stati dell'ICAO EC 6/3-20/71, la posizione che dovrà essere assunta a nome dell'Unione in merito all'adozione, da parte del Consiglio dell'ICAO, dei nuovi SARP sui dati PNR.

I nuovi SARP pertinenti ai dati PNR di cui all'emendamento 28 (allegato 9, capo 9, sezione D) seguono ampiamente le linee espresse nella posizione dell'Unione sancita dalla decisione (UE) 2019/2107 del Consiglio. Ne consegue che essi stabiliscono garanzie ambiziose in materia di protezione dei dati, in particolare riguardo i diritti degli interessati, la vigilanza da parte di un'autorità indipendente, il trattamento dei dati sensibili, il trattamento automatizzato dei dati PNR e la non discriminazione, le finalità per le quali i dati PNR possono essere trattati, la conservazione, l'uso, la divulgazione e un ulteriore trasferimento dei dati PNR.

Secondo la Commissione, i SARP consentono di compiere progressi significativi a livello internazionale per quanto riguarda la protezione e l'uso dei dati PNR a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi. Pertanto, gli Stati membri dell'UE non dovrebbero notificare alcuna disapprovazione ai sensi dell'articolo 90 della convenzione di Chicago, in particolare perché ciò comprometterebbe anche gli sforzi volti a stabilire standard più elevati per la protezione dei dati PNR a livello mondiale rispetto alle attuali norme ICAO in materia.

I SARP tengono inoltre conto, nello standard 9.34, lettera b), del fatto che gli Stati contraenti — come gli Stati membri dell'UE — possono conservare la capacità di mantenere o introdurre livelli di protezione più elevati conformemente al loro quadro giuridico e amministrativo nazionale, e concludere accordi supplementari con altri Stati al fine di stabilire disposizioni più dettagliate relative al trasferimento dei dati PNR. Ai sensi del diritto dell'Unione, i trasferimenti da parte delle compagnie aeree di dati PNR trattati nell'UE a un'autorità di contrasto di un paese terzo devono, in particolare, soddisfare i requisiti del capo V del regolamento generale sulla protezione dei dati e quelli derivanti dalla Carta, come specificato in particolare nel parere 1/15 della Corte. Tali requisiti sono più rigorosi di quanto richiesto dai SARP pertinenti ai dati PNR di cui all'emendamento 28.

In tale contesto, lo standard 9.34, lettera a), impone agli Stati contraenti di non ostacolare o impedire il trasferimento dei dati PNR verso un altro Stato contraente che ottempera ai SARP poiché, dal punto di vista dell'Unione europea e dei suoi Stati membri; l'attuale formulazione dello standard 9.34 non è sufficientemente chiara, in termini giuridici, nell'affermare che agli Stati membri dell'Unione non è preclusa la possibilità di imporre tali requisiti, fatte salve le disposizioni dello standard stesso.

Per questo motivo, la Commissione ritiene che gli Stati membri debbano notificare una differenza ai sensi dell'articolo 38 della convenzione di Chicago. Tale differenza, descritta nell'allegato della presente proposta di decisione del Consiglio, dovrebbe rimanere strettamente limitata a quanto necessario per evitare qualsiasi dubbio sulla prerogativa degli Stati membri dell'UE di imporre requisiti più rigorosi per i trasferimenti di dati PNR verso paesi terzi e, di conseguenza, per impedire tali trasferimenti qualora tali requisiti non siano soddisfatti.

4.Base giuridica

4.1.Base giuridica procedurale

4.1.1.Principi

L'articolo 218, paragrafo 9, TFUE prevede l'adozione di decisioni che stabiliscono "le posizioni da adottare a nome dell'Unione in un organo istituito da un accordo, se tale organo deve adottare atti che hanno effetti giuridici, fatta eccezione per gli atti che integrano o modificano il quadro istituzionale dell'accordo".

L'articolo 218, paragrafo 9, TFUE si applica indipendentemente dal fatto che l'Unione sia membro dell'organo o parte dell'accordo 15 .

Rientrano nel concetto di "atti che hanno effetti giuridici" gli atti che hanno effetti giuridici in forza delle norme di diritto internazionale disciplinanti l'organo in questione. Vi rientrano anche gli atti sprovvisti di carattere vincolante ai sensi del diritto internazionale ma che "sono tali da incidere in modo determinante sul contenuto della normativa adottata dal legislatore dell'Unione" 16 .

4.1.2.Applicazione al caso concreto

L'ICAO è un organo istituito da un accordo internazionale, la convenzione di Chicago.

L'emendamento 28 dell'allegato 9 della convenzione di Chicago contiene standard che, in linea di principio, sono vincolanti per i membri dell'ICAO tra cui gli Stati membri dell'Unione, e costituiscono pertanto un atto avente effetti giuridici. Alcuni di questi effetti giuridici dipendono tuttavia dalla notifica di eventuali differenze e dai termini di tale notifica. L'adozione di una posizione dell'Unione in merito a tali notifiche rientra pertanto nell'ambito di applicazione dell'articolo 218, paragrafo 9, TFUE.

Gli effetti giuridici degli standard e di eventuali differenze da notificare rientrano in un settore disciplinato dalle norme dell'Unione, in particolare dalla direttiva (UE) 2016/681, nonché dagli accordi internazionali vigenti e futuri tra l'UE e i paesi terzi riguardo i dati PNR. Ciò implica che, conformemente all'articolo 3, paragrafo 2, TFUE, l'Unione ha competenza esclusiva in materia.

La notifica delle differenze non comporta l'integrazione o la modifica del quadro istituzionale dell'accordo di Chicago.

4.2.Base giuridica sostanziale

4.2.1.Principi

La base giuridica sostanziale delle decisioni di cui all'articolo 218, paragrafo 9, TFUE dipende essenzialmente dall'obiettivo e dal contenuto dell'atto previsto su cui dovrà prendersi posizione a nome dell'Unione. Se l'atto persegue una duplice finalità o ha una doppia componente, una delle quali sia da considerarsi principale e l'altra solo accessoria, la decisione a norma dell'articolo 218, paragrafo 9, TFUE deve fondarsi su una sola base giuridica sostanziale, ossia su quella richiesta dalla finalità o dalla componente principale o preponderante.

Riguardo a un atto che persegua contemporaneamente più finalità o abbia più componenti tra loro inscindibili, di cui nessuna sia accessoria rispetto alle altre, la base giuridica sostanziale della decisione a norma dell'articolo 218, paragrafo 9, TFUE deve includere, in via eccezionale, le varie basi giuridiche corrispondenti.

4.2.2.Applicazione al caso concreto

L'emendamento 28 dell'allegato 9 della convenzione di Chicago persegue più finalità e ha componenti nei settori della protezione dei dati e della cooperazione di polizia. Tali elementi sono tra loro inscindibili e nessuno di essi è accessorio rispetto agli altri.

La base giuridica sostanziale della decisione proposta comprende pertanto le seguenti disposizioni: articolo 16, paragrafo 2, e articolo 87, paragrafo 2, lettera a), del TFEU.

4.3.Conclusioni

La base giuridica della decisione proposta deve quindi essere costituita dall'articolo 16, paragrafo 2, e dall'articolo 87, paragrafo 2, lettera a), del TFUE, in combinato disposto con l'articolo 218, paragrafo 9, del TFUE.

2021/0007 (NLE)

Proposta di

DECISIONE DEL CONSIGLIO

relativa alla posizione da adottare a nome dell'Unione europea nell'Organizzazione per l'aviazione civile internazionale per quanto riguarda l'emendamento 28 dell'allegato 9, sezione D, della convenzione relativa all'aviazione civile internazionale

IL CONSIGLIO DELL'UNIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 16, paragrafo 2, e l'articolo 87, paragrafo 2, lettera a), in combinato disposto con l'articolo 218, paragrafo 9,

vista la proposta della Commissione europea,

considerando quanto segue:

(1)La convenzione relativa all'aviazione civile internazionale («convenzione di Chicago»), che disciplina il trasporto aereo internazionale, è entrata in vigore il 4 aprile 1947. Essa ha istituito l'Organizzazione per l'aviazione civile internazionale (ICAO).

(2)Gli Stati membri dell'Unione sono Stati contraenti della convenzione di Chicago e membri dell'ICAO, mentre l'Unione ha lo status di osservatore in taluni organi dell'ICAO, tra cui l'Assemblea e altri organi tecnici.

(3)Ai sensi dell'articolo 54, lettera l), della convenzione di Chicago, il Consiglio dell'ICAO deve adottare standard internazionali e pratiche raccomandate («SARP»).

(4)Il Consiglio di sicurezza delle Nazioni Unite (ONU), con risoluzione 2396 (2017) del 21 dicembre 2017 («UNSCR 2396 (2017)»), ha deciso che gli Stati membri dell'ONU devono sviluppare la capacità di raccogliere, trattare e analizzare, in linea con i SARP dell'ICAO, i dati del codice di prenotazione (Passenger Name Record, «PNR») e di garantire che tali dati PNR siano usati e condivisi con tutte le autorità nazionali competenti, nel pieno rispetto dei diritti umani e delle libertà fondamentali, a fini di prevenzione, accertamento e indagine nei confronti dei reati di terrorismo e dei viaggi connessi.

(5)L'UNSCR 2396 (2017) ha inoltre esortato l'ICAO a collaborare con gli Stati contraenti per stabilire uno standard per la raccolta, l'utilizzo, il trattamento e la protezione dei dati PNR.

(6)I SARP sui dati PNR figurano nell'allegato 9 (Facilitazioni), capo 9, parte D, della convenzione di Chicago. Tali SARP sono integrati da ulteriori orientamenti, in particolare il documento 9944 dell'ICAO che definisce gli orientamenti sui dati PNR.

(7)Il 23 giugno 2020 il Consiglio dell'ICAO ha adottato l'emendamento 28 dell'annesso 9 della convenzione di Chicago che stabilisce, nella sezione D, una nuova serie di SARP per i suoi Stati contraenti al fine di sviluppare la capacità di raccogliere, utilizzare, trattare e proteggere i dati PNR per i voli da e per il suo territorio, con il sostegno di un adeguato quadro giuridico e amministrativo.

(8)A norma dell'articolo 90 della convenzione di Chicago, a meno che la maggioranza degli Stati contraenti notifichi la propria disapprovazione, l'emendamento 28 entra in vigore tre mesi dopo il termine concesso per il suo rigetto.

(9)Conformemente all'articolo 38 della convenzione di Chicago uno Stato contraente, qualora reputi di non potersi attenere in tutto agli standard o alle procedure internazionali o di non poter conformare completamente i suoi regolamenti o le sue pratiche agli standard internazionali o alle procedure modificate, o qualora reputi necessario adottare regolamenti o pratiche che differiscano in qualche punto da quelli introdotti in base a uno standard internazionale, deve notificare immediatamente all'ICAO le differenze esistenti tra le proprie pratiche e quelle stabilite dallo standard internazionale. La notifica di tale differenza incide sugli effetti giuridici degli standard adottati dall'ICAO. La posizione dell'Unione in materia deve pertanto essere stabilita conformemente all'articolo 218, paragrafo 9, TFUE.

(10)L'emendamento 28 è stato notificato agli Stati contraenti dell'ICAO con lettera agli Stati EC 6/3-20/71. Secondo tale lettera, sia eventuali differenze sia la conformità a tale emendamento devono essere notificate entro il 30 gennaio 2021.

(11)L'Unione ha adottato norme comuni sui dati PNR nella direttiva (UE) 2016/681 del Parlamento europeo e del Consiglio 17 , il cui ambito di applicazione coincide in misura significativa con il settore interessato dai SARP di cui all'emendamento 28. La direttiva (UE) 2016/681 comprende, in particolare, una serie completa di norme per salvaguardare i diritti fondamentali alla vita privata e alla protezione dei dati personali nel contesto del trasferimento di dati PNR dai vettori aerei agli Stati membri e il loro trattamento a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi.

(12)L'Unione ha inoltre adottato normative in materia di protezione dei dati personali, in particolare il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio 18 e la direttiva 2016/680/UE del Parlamento europeo e del Consiglio 19 , applicabili al trattamento dei dati PNR, rispettivamente, da parte dei vettori aerei e di altri operatori privati e da parte delle autorità competenti in materia di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, comprese la salvaguardia da minacce alla sicurezza pubblica o la loro prevenzione.

(13)Inoltre, sono attualmente in vigore due accordi internazionali sul trattamento e il trasferimento dei dati PNR tra l'Unione e due paesi terzi, vale a dire Australia 20 e Stati Uniti 21 . Il 26 luglio 2017 la Corte di giustizia dell'Unione europea ha emesso il parere 1/15 22 sul previsto accordo tra l'UE e il Canada sul trasferimento e trattamento dei dati PNR (2014).

(14)Gli aspetti relativi ai dati PNR di cui all'allegato 9, capo 9, sezione D, della convenzione di Chicago, riveduti dall'emendamento 28, riguardano un settore per il quale l'Unione ha competenza esclusiva ai sensi dell'articolo 3, paragrafo 2, del trattato sul funzionamento dell'Unione europea, in quanto possono incidere su norme comuni in materia di protezione e trattamento dei dati PNR.

(15)Di conseguenza la posizione dell'Unione in materia, ai fini dell'elaborazione di quello che è diventato l'emendamento 28, è stata adottata conformemente alla decisione (UE) 2019/2107 del Consiglio 23 . La posizione rispecchia i requisiti del diritto dell'Unione in materia di protezione dei dati personali e di trasferimento dei dati PNR verso paesi terzi, in particolare a norma del regolamento (UE) 2016/679, della direttiva (UE) 2016/680 e della direttiva (UE) 2016/681, nonché i requisiti derivanti dalla Carta dei diritti fondamentali dell'Unione europea, come interpretati dalla Corte di giustizia dell'Unione europea, in particolare nel parere 1/15. La posizione era pertinente per le discussioni in corso negli organi preparatori dell'ICAO e per la votazione finale in sede di Consiglio dell'ICAO.

(16)I SARP di cui all'emendamento 28 seguono ampiamente le linee espresse nella posizione dell'Unione sancita dalla decisione (UE) 2019/2107 del Consiglio e stabiliscono garanzie ambiziose in materia di protezione dei dati, in particolare per quanto riguarda i diritti degli interessati, la vigilanza da parte di un'autorità indipendente, il trattamento dei dati sensibili, il trattamento automatizzato dei dati PNR e la non discriminazione, le finalità per le quali i dati PNR possono essere trattati, la conservazione, l'uso, la divulgazione e l'ulteriore trasferimento dei dati PNR.

(17)Pertanto, dato che l'emendamento 28 consentirebbe di compiere progressi significativi a livello internazionale per quanto riguarda le norme per la protezione dei dati PNR, gli Stati membri dell'Unione non dovrebbero notificare alcuna disapprovazione ai sensi dell'articolo 90 della convenzione di Chicago.

(18)Tuttavia, gli obblighi derivanti dal diritto dell'Unione in materia di trasferimento e trattamento dei dati PNR sono più rigorosi rispetto ai SARP contenuti nell'emendamento 28.

(19)Lo standard 9.34(a) impone agli Stati contraenti di non ostacolare o impedire il trasferimento dei dati PNR verso un altro Stato contraente che rispetta i nuovi SARP. Sebbene, secondo lo standard 9.34(b), gli Stati contraenti conservino la facoltà di mantenere o introdurre livelli di protezione più elevati conformemente al loro quadro giuridico e amministrativo nazionale e di concludere accordi supplementari con altri Stati contraenti al fine di stabilire disposizioni più dettagliate relative al trasferimento dei dati PNR, dal punto di vista dell'Unione e dei suoi Stati membri l'attuale formulazione dello standard 9.34 non è sufficientemente chiara in termini giuridici da garantire che, facendo salvo lo standard citato, agli Stati membri non sia preclusa la possibilità di imporre i requisiti desiderati.

(20)In tali circostanze, al fine di garantire la conformità al diritto dell'Unione e ai SARP, gli Stati membri dovrebbero notificare ufficialmente una differenza ai sensi dell'articolo 38 della convenzione di Chicago. La differenza dovrebbe essere limitata allo standard 9.34 dell'allegato 9, capo 9, sezione D, quale rivisto dall'emendamento 28.

(21)È pertanto opportuno stabilire la posizione dell'Unione di conseguenza.

(22)L'Irlanda è vincolata dalla direttiva (UE) 2016/681 e partecipa pertanto all'adozione della presente decisione.

(23)A norma degli articoli 1 e 2 del protocollo n. 22 sulla posizione della Danimarca, allegato al trattato sull'Unione europea e al trattato sul funzionamento dell'Unione europea, la Danimarca non partecipa all'adozione della presente decisione, non è da essa vincolata né è soggetta alla sua applicazione.

(24)È opportuno che la posizione dell'Unione sia espressa dagli Stati membri,

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1

La posizione da adottare a nome dell'Unione in risposta alla lettera agli Stati EC 6/3-20/71, emessa dall'Organizzazione per l'aviazione civile internazionale (ICAO) il 17 luglio 2020, è definita nell'allegato della presente decisione.

Articolo 2

La posizione di cui all'articolo 1 è espressa dagli Stati membri.

Articolo 3

Gli Stati membri sono destinatari della presente decisione.

Fatto a Bruxelles, il

Per il Consiglio

(1) Finlandia, Francia, Germania, Grecia, Italia, Paesi Bassi e Spagna.

(2) Risoluzione 2396 (2017) del Consiglio di sicurezza, del 21 dicembre 2017, sulle minacce alla pace e alla sicurezza internazionali causate dal rimpatrio dei combattenti terroristi stranieri.

(3) ICAO, Guidelines on Passenger Name Record (PNR) Data, prima edizione, 2010.

(4) Direttiva (UE) 2016/681 del Parlamento europeo e del Consiglio, del 27 aprile 2016, sull'uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi (GU L 119 del 4.5.2016, pag. 132).

(5) Relazione della Commissione al Parlamento europeo e al Consiglio sul riesame della direttiva (UE) 2016/681 sull'uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi (COM(2020) 305 final). Per ulteriori dettagli, si veda il documento di lavoro dei servizi della Commissione che accompagna la relazione (SWD (2020) 128 final).

(6) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).

(7) Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU L 119 del 4.5.2016, pag. 89).

(8) Accordo tra l'Unione europea e l'Australia sul trattamento e sul trasferimento dei dati del codice di prenotazione (Passenger Name Record, PNR) da parte dei vettori aerei all'Agenzia australiana delle dogane e della protezione di frontiera (GU L 186 del 14.7.2012, pag. 4). Il riesame congiunto e la valutazione di tale accordo sono attualmente in corso.

(9) Accordo tra gli Stati Uniti d'America e l'Unione europea sull'uso e il trasferimento delle registrazioni dei nominativi dei passeggeri al dipartimento degli Stati Uniti per la sicurezza interna (GU L 215 dell'11.8.2012, pag. 5). La valutazione congiunta di questo accordo è attualmente in corso.

(10) Parere 1/15 della Corte (Grande Sezione) del 26 luglio 2017 (ECLI:EU:C:2017:592).

(11) Comunicazione della Commissione sull'approccio globale al trasferimento dei dati del codice di prenotazione (Passenger Name Record, PNR) verso paesi terzi (COM(2010) 492 final).

(12) Comunicazione della Commissione al Parlamento europeo, al Consiglio europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni sulla strategia dell'UE per l'Unione della sicurezza (COM(2020) 605 final).

(13) Decisione (UE) 2019/2107 del Consiglio del 28 novembre 2019 relativa alla posizione da adottare a nome dell'Unione europea in sede di Consiglio dell'Organizzazione per l'aviazione civile internazionale per quanto riguarda la revisione dell'allegato 9 (Facilitazioni), capo 9, della convenzione relativa all'aviazione civile internazionale in merito agli standard e alle pratiche raccomandate sui dati del codice di prenotazione (GU L 318 del 10.12.2019, pag. 117).

(14) Posizione dell'Unione sulla risposta alla lettera agli Stati dell'ICAO per quanto riguardala revisione dell'allegato 9 ("Facilitazioni"), capo 9, della convenzione relativa all'aviazione civile internazionale per quanto riguarda gli standard e le pratiche raccomandate sui dati del codice di prenotazione - Approvazione (ST 6744 2020 INIT).

(15) Sentenza della Corte di giustizia del 7 ottobre 2014, Germania/Consiglio, C-399/12, ECLI:EU:C:2014:2258, punto 64: "[...] l'Unione, sebbene non sia parte dell'accordo OIV, è autorizzata a stabilire una posizione da adottare a suo nome relativamente a siffatte raccomandazioni, tenuto conto della loro incidenza diretta sull'acquis dell'Unione nell'ambito di cui trattasi."

(16) Sentenza della Corte di giustizia del 7 ottobre 2014, Germania contro Consiglio, C-399/12, ECLI:EU:C:2014:2258, punti 61-64.

(17) Direttiva (UE) 2016/681 del Parlamento europeo e del Consiglio, del 27 aprile 2016, sull'uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi (GU L 119 del 4.5.2016, pag. 132).

(18) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).

(19) Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU L 119 del 4.5.2016, pag. 89).

(20) Accordo tra l'Unione europea e l'Australia sul trattamento e sul trasferimento dei dati del codice di prenotazione (Passenger Name Record - PNR) da parte dei vettori aerei all'Agenzia australiana delle dogane e della protezione di frontiera (GU L 186 del 14.7.2012, pag. 4).

(21) Accordo tra gli Stati Uniti d'America e l'Unione europea sull'uso e il trasferimento delle registrazioni dei nominativi dei passeggeri al dipartimento degli Stati Uniti per la sicurezza interna (GU L 215 dell'11.8.2012, pag. 5).

(22) Parere 1/15 della Corte (Grande Sezione) del 26 luglio 2017 (Accordo tra l'Unione europea e il Canada sui dati PNR), ECLI:EU:C:2017:592.

(23) Decisione (UE) 2019/2107 del Consiglio del 28 novembre 2019 relativa alla posizione da adottare a nome dell'Unione europea in sede di Consiglio dell'Organizzazione per l'aviazione civile internazionale per quanto riguarda la revisione dell'allegato 9 (Facilitazioni), capo 9, della convenzione relativa all'aviazione civile internazionale in merito agli standard e alle pratiche raccomandate sui dati del codice di prenotazione (GU L 318 del 10.12.2019, pag. 117).