L’accordo in questione prevede il trasferimento automatizzato dei dati PNR relativi ai passeggeri aerei verso il Canada con finalità di lotta contro il terrorismo internazionale e reati gravi di natura transnazionale. Secondo la Direttiva 95/46/EC e il Regolamento Generale sulla Protezione dei Dati (Regolamento n. 679/2016), infatti, i trasferimenti di dati personali in paesi non appartenenti all’Unione europea sono ammessi, fra gli altri, laddove la Commissione europea riconosca, tramite una decisione di adeguatezza, che il paese terzo assicuri un livello adeguato di protezione.
L’accordo oggetto dell’opinione (negoziato e concluso tra la Commissione europea e il Governo del Canada) prevede quindi una serie di disposizioni regolanti il trasferimento dei dati PNR dei passeggeri all’autorità competente canadese, tra cui: una durata di conservazione dei dati pari a 5 anni, alcuni obblighi in materia di sicurezza e integrità dei dati PNR, il mascheramento dei dati sensibili, alcuni diritti degli interessati relativi all’accesso, la rettifica, la cancellazione dei dati, nonché la possibilità di proporre ricorsi amministrativi o giurisdizionali avverso il trattamento. L’accordo disciplina inoltre il trasferimento eventuale e ulteriore ad altre autorità e paesi terzi per le medesime finalità di lotta al terrorismo e alla criminalità internazionale.
Secondo la Corte, il trasferimento e il trattamento dei dati PNR comporta un’ingerenza nel diritto fondamentale al rispetto della vita privata e al diritto fondamentale alla protezione dei dati personali così come tutelati dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea. I dati PNR oggetto dell’accordo costituiscono infatti dei dati personali, dai quali è possibile ricavare diverse informazioni sui passeggeri: oltre ai dettagli anagrafici, infatti, tali dati rivelano l’itinerario e le abitudini di viaggio, le preferenze alimentari, la situazione finanziaria, lo stato di salute, etc.. Secondo la Corte, tale ingerenza è giustificata dal perseguimento delle finalità di interesse generale di sicurezza pubblica. Ciononostante, la Corte rileva come le descritte ingerenze non siano limitate allo stretto necessario oltre a essere poco chiare e precise e risultino pertanto sproporzionate rispetto al perseguimento delle finalità di pubblica sicurezza sopra descritte.
La Corte, in particolare, ha rilevato le seguenti criticità:
- Il trattamento sistematico di dati sensibili (ossia dati idonei a rilevare l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, lo stato di salute o l’orientamento sessuale di una persona) non si basa su una giustificazione precisa e particolarmente solida, ulteriore rispetto alle finalità di pubblica sicurezza. Secondo la Corte, infatti, l’inclusione di dati sensibili fra i dati oggetto dell’accordo comporta il rischio di discriminazioni, da cui deriva l’incompatibilità dello stesso con i diritti fondamentali dell’individuo;
- l’accordo prevede che i dati dei passeggeri aerei verso il Canada possano essere trattati in maniera sistematica durante il periodo di soggiorno di tali individui in Canada; al contrario, un simile trattamento dovrebbe essere subordinato a un controllo preventivo effettuato da un giudice o da un ente amministrativo indipendente nell’ambito di procedure relative all’esercizio dell’azione penale;
- il periodo di conservazione, pari a cinque anni, è eccessivo rispetto al perseguimento delle finalità dichiarate dall’accordo laddove i dati conservati siano riferiti a passeggeri per i quali al momento del loro arrivo in Canada e fino alla loro partenza non sia stato individuato nessun rischio connesso alla pubblica sicurezza.
Secondo la Corte, inoltre, l’accordo dovrebbe includere alcune previsioni che assicurino il rispetto dei diritti fondamentali degli individui, tra cui: individuare meglio i tipi di dati PNR oggetto dell’accordo; subordinare la comunicazione ulteriore dei dati PNR ad autorità di paesi terzi all’esistenza di un accordo con l’Unione europea o di una decisione di adeguatezza della Commissione; prevedere un diritto all’informazione individuale dei passeggeri in caso di trattamento dei dati PNR che li riguardano; garantire che un’autorità indipendente vigili sul rispetto delle norme sulla protezione dei passeggeri aerei in relazione al trattamento dei dati PNR.
A seguito del parere negativo della Corte, l’accordo sul trasferimento dei dati PNR con il Canada non potrà entrare in vigore. Le autorità competenti dovranno pertanto procedere a una nuova negoziazione, in modo tale da rendere l’accordo rispettoso dei diritti fondamentali degli individui secondo le indicazioni fornite dalla Corte.
