Nel parere del 26 luglio 2017, la Grande sezione della Corte di giustizia si è pronunciata in senso negativo circa la compatibilità con la Carta dei diritti fondamentali del progetto di accordo tra l’Unione europea e il Canada sul trasferimento dei dati del codice di prenotazione dei passeggeri aerei. Per giungere a tale conclusione, la Corte ha chiarito quali sono le tutele minime apprestate dalla Carta, e in particolare dai suoi artt. 7 e 8, rispetto alle interferenze nella vita privata e familiare e nella tutela dei dati personali derivanti dal trasferimento e dal successivo trattamento di dati personali dei passeggeri di vettori aerei per finalità di prevenzione del terrorismo e di altri gravi reati verso un paese terzo. Inoltre, la Corte ha precisato quale sia la corretta base giuridica degli accordi PNR nei Trattati.
Le norme sulla protezione dei dati personali vigenti nell’Unione vietano, di regola, il trasferimento da parte di vettori aerei di dati personali dei loro passeggeri verso paesi terzi che non garantiscono un livello di protezione adeguato ai sensi della Direttiva 95/46/CE, in assenza dell’adozione di garanzie appropriate a salvaguardia delle persone cui tali dati si riferiscono. Al contempo, in molti paesi terzi, tra cui il Canada, per finalità di prevenzione del terrorismo e di altri gravi crimini transnazionali è fatto obbligo ai vettori aerei di trasmettere alle autorità di pubblica sicurezza i dati relativi, raccolti al fine di consentire la prenotazione dei voli (il cd. PNR, Passenger Names Record).
Con l’obiettivo di adottare le garanzie appropriate richieste dalla Direttiva 95/46/CE ai fini del trasferimento di dati PNR verso il Canada, la Commissione ha avviato negoziati con questo paese per un accordo sul trasferimento. Una volta conclusi i negoziati, il 5 dicembre 2013 il Consiglio dell’Unione europea, adottando la decisione relativa alla firma dell’accordo, ha contestualmente deciso di chiedere l’approvazione del Parlamento sul progetto di decisione relativa alla conclusione dell’accordo. Il 25 novembre 2014 il Parlamento ha adottato una risoluzione relativa alla richiesta di un parere alla Corte sulla corretta base giuridica dell’accordo e sulla compatibilità di questo con i diritti fondamentali stabiliti dalla Carta. Il parere è stato richiesto ai sensi dell’articolo 218(11) TFUE, il quale stabilisce che, in caso di opinione negativa della Corte, l'accordo previsto non può entrare in vigore, salvo vengano apportate le modifiche dello stesso o dei Trattati che sono necessarie per superare le incompatibilità rilevate.
Nel parere 1/2015, la Corte, che ha deliberato nella composizione della Grande sezione, si è innanzitutto occupata della questione della base giuridica degli accordi PNR. In linea con la propria consolidata giurisprudenza in materia1, ha anzitutto valutato gli obiettivi e il contenuto dell’accordo: ad avviso della Corte, tramite il trasferimento di dati verso il Canada e lo scambio di dati con le autorità competenti degli Stati membri, nonché con Europol ed Eurojust, l’accordo persegue la finalità di garantire la sicurezza pubblica (par. 82); allo stesso tempo, stabilendo le norme che le autorità canadesi dovranno rispettare nell’ambito del trattamento di dati PNR, l’accordo si prefigge lo scopo di garantire un livello adeguato di protezione dei dati (par. 84). Quanto al contenuto, la Corte ha ritenuto che esso concerne l’istituzione di un sistema composto da un insieme di norme intese a proteggere i dati, che il Canada s’impegna a rispettare nel trattamento dei dati PNR (par. 89). Alla luce di quanto rilevato, la Corte ha quindi concluso che l’accordo presenta due componenti, l’una riguardante la necessità di garantire la sicurezza pubblica, l’altra concernente la protezione dei dati personali oggetto di trasferimento (par. 90). Dal momento che, nel caso di specie, nessuna delle due componenti risulta preponderante sull’altra, la Corte ha stabilito che l’accordo deve fondarsi, in via eccezionale, sia sull’articolo 16(2) TFUE, relativo alla protezione dei dati, sia sull’articolo 87(2)(a) TFUE, relativo alla prevenzione e all'individuazione dei reati.
Una volta chiaritone il fondamento giuridico, la Corte ha poi esaminato la compatibilità dell’accordo con la Carta, esaminando singolarmente l’impatto sui i diritti fondamentali sanciti dagli artt. 7 e 8 della stessa, ovvero, rispettivamente, con il diritto al rispetto della vita privata e il diritto alla protezione dei dati di carattere personale.
In relazione all’art. 7, la Corte ha ritenuto che le operazioni di trattamento previste, riferendosi ad informazioni relative a persone fisiche identificate o identificabili, incidono sul diritto al rispetto della vita privata dei passeggeri (par. 122). La Corte ha così stabilito che l’ambito applicativo del diritto al rispetto della vita privata ricomprende ogni “trattamento di dati personali” come definito dalla Direttiva 95/46/CE all’art. 2(b). Allo stesso modo, integrando tale fattispecie, la Corte ha ritenuto che i trattamenti di dati previsti dall’accordo rientrano altresì nell’ambito applicativo dell’art. 8 della Carta (paragrafi. 123 e 126). La Corte ha proceduto poi a elencare le singole operazioni di trattamento di dati che comportano ulteriori ingerenze nel diritto alla vita privata, quali la comunicazione dei dati a un terzo – al di là dell’effettivo utilizzo ulteriore dei dati da parte di quest’ultimo – la conservazione dei dati e l’accesso agli stessi da parte di autorità pubbliche. In coerenza con la propria giurisprudenza in materia, la Corte ha invece ritenuto che non sia necessario, ai fini della produzione di un’ingerenza nel diritto alla vita privata, il verificarsi di un effettivo pregiudizio nei confronti della persona interessata in conseguenza del trattamento, né che i dati personali trattati abbiano natura sensibile (par. 124). Quanto al grado di incidenza sulla vita privata dei passeggeri, la Corte osserva che, presi in considerazione nel loro complesso, i dati personali oggetto di trasferimento possono rivelare informazioni riservate quali, ad esempio, la situazione finanziaria dei passeggeri, le loro abitudini alimentari o lo stato di salute (par. 128). In aggiunta, ulteriori informazioni relative alla vita privata possono essere ricavate dall’analisi sistematica dei dati, eseguita al fine di individuare passeggeri che presentano rischi per la sicurezza mediante l’utilizzo di strumenti automatizzati, che elaborano i dati con modelli e criteri prestabiliti e attraverso l’incrocio delle informazioni con altre banche dati (par. 131), anche in assenza di motivi fondati su circostanze individuali (par. 132).
Una volta identificate le interferenze con i diritti fondamentali, la Corte ha proceduto a verificarne la legittimità di queste alla luce dei requisiti stabiliti dall’articolo 52 della Carta. A tale riguardo, in via preliminare la Corte ha osservato, in linea con quanto già stabilito nella sentenza Schrems, che l’elevato livello di tutela dei diritti fondamentali riconosciuti dalla Carta deve essere garantito anche in caso di trasferimento di dati personali dall’Unione a un paese terzo; in particolare, la Corte ha reiterato l’affermazione secondo cui le misure di tutela adottate da quest’ultimo devono assicurare una protezione sostanzialmente equivalente a quella garantita nell’Unione (par. 134).
In relazione al requisito della previsione di legge delle interferenze con i diritti fondamentali, la Corte, facendo riferimento a quanto previsto sia dall’articolo 8(2) sia dall’articolo 52(1) della Carta, ha ritenuto che l’accordo in questione rientra nella nozione di “legge” ai fini degli articoli sopra citati. Fondamentale in tal senso appare la ripartizione di poteri tra le Istituzioni operata dall’articolo 218(6) TFUE, che crea una simmetria tra la procedura di adozione di misure interne e la procedura di adozione di accordi internazionali e permette di considerare l’accordo in esame come l’equivalente di un atto legislativo (par. 146). Quanto al requisito della “legittimità” della previsione di legge, la Corte ha ritenuto che tale questione vada esaminata congiuntamente con la valutazione circa il perseguimento di una finalità di interesse generale riconosciuta dall’Unione che, nel caso di specie, risulta essere quello di garantire la pubblica sicurezza e, in particolare, di contrastare il terrorismo e altri gravi reati (par. 148). Tale obiettivo costituisce pacificamente una finalità di interesse generale, essendo quello alla sicurezza un diritto riconosciuto dall’art. 6 della Carta (par. 149).
La Corte ha poi escluso che l’accordo violi il contenuto essenziale dei due diritti fondamentali rilevanti (par. 150). Con riguardo all’art. 7 della Carta, pur potendo il trattamento di dati rivelare informazioni relative alla vita privata, queste ultime attengono soltanto ad aspetti limitati, ovvero ai viaggi intrapresi dai passeggeri che si recano in Canada. La violazione dell’essenza del diritto sancito all’art. 8 della Carta è parimenti esclusa dal fatto che l’accordo individua la finalità del trattamento dei dati e stabilisce norme che garantiscono la sicurezza, la riservatezza e l’integrità dei dati, tutelando inoltre questi ultimi dagli accessi e dai trattamenti illegali. Soffermandosi poi brevemente sul requisito dell’idoneità dei trattamenti di dati a perseguire la finalità di interesse generale, la Corte ha ritenuto che la valutazione automatizzata in ordine ai rischi alla sicurezza presentati dai passeggeri facilita e accelera senz’altro i controlli di sicurezza (par. 152).
A questo punto, la Corte ha esaminato il requisito di necessità delle interferenze con i diritti fondamentali, valutando in maniera analitica e approfondita se queste siano limitate a quanto strettamente necessario e se siano inoltre chiare e precise (par. 154). A tal fine, la Corte ha considerato anzitutto le categorie di dati oggetto di trasferimento, individuando varie ipotesi in cui l’elencazione operata dall’accordo non indicava in maniera sufficientemente precisa quali dati sarebbero stati oggetto di trattamento, facendo talvolta ricorso a termini generici (quali “tutte le informazioni disponibili”, par. 158) e a elencazioni meramente esemplificative (paragrafi 157 e 160). In aggiunta, con riguardo al pericolo di discriminazione prodotto dal trasferimento di dati personali sensibili, così come definiti all’art. 2(e) dell’accordo, la Corte ha ritenuto, sulla base di una lettura congiunta dell’art. 21 della Carta sul divieto di discriminazione con gli artt. 7 e 8 della stessa, che non sussista una giustificazione precisa e particolarmente solida che possa legittimare un trasferimento di questi dati (par. 165).
La Corte ha poi esaminato alla luce del requisito della necessità l’interferenza rappresentata dal trattamento automatizzato di dati PNR. A tal proposito, ha osservato che la circostanza che i dati oggetto di tale trattamento non siano già stati verificati e che esso si fondi su modelli e criteri prestabiliti conduce necessariamente alla presenza di un tasso di errore che può essere anche significativo e, per tale ragione, ha ritenuto che ogni risultato positivo ottenuto a seguito del trattamento debba essere sottoposto a un riesame non automatizzato prima di adottare una misura individuale che produca effetti pregiudizievoli nei confronti dell’interessato, come disposto dall’articolo 15 dell’accordo (paragrafi 169, 170 e 173). Inoltre, poiché la portata della limitazione dei diritti fondamentali dipende anche dai modelli e dai criteri prestabiliti utilizzati, questi dovrebbero essere specifici, affidabili e non discriminatori, mentre le banche dati dovrebbero essere aggiornate e limitate a quelle gestite per finalità di lotta al terrorismo e ad altri reati gravi di natura transnazionale (par. 172). A tal fine, questi elementi dovrebbero essere oggetto di riesame congiunto dell’attuazione dell’accordo, di cui all’art. 26(2) dello stesso (par. 174).
Quanto alla limitazione delle finalità del trattamento, le puntuali descrizioni effettuate dall’accordo relative a ciò che costituisce “reato di terrorismo” o “reato grave di natura transnazionale” stabiliscono norme chiare, precise e limitate allo stretto necessario (paragrafi 176-177). Quanto alle ulteriori finalità del trattamento previste dall’accordo, la possibilità di poter trattare, eccezionalmente, i dati PNR in caso di necessità per gli interessi vitali di una persona, soddisfa i criteri in esame, in quanto fa riferimento a norme internazionalmente riconosciute (par 179). Non integrano invece tali requisiti, essendo insufficientemente definite, le disposizioni di cui all’art. 3, par. 5, lett. a) e b), ove si prevede la possibilità per il Canada di trattare i dati PNR al fine di “garantire il controllo o la responsabilità della pubblica amministrazione” e di “conformarsi ad una citazione in giudizio, un mandato di arresto o un ordine emesso da un’autorità giudiziaria” (par. 181).
Quanto alla identificazione con sufficiente chiarezza delle autorità pubbliche canadesi verso cui i dati PNR saranno trasmessi, sebbene l’accordo non individui un’unica autorità competente, la Corte ha ritenuto soddisfacente la circostanza che i dati possano essere comunicati ad un’autorità soltanto qualora ciò sia necessario per le finalità sopra stabilite e sempre che questa offra le salvaguardie descritte nell’accordo (paragrafi 182 e 184).
La Corte è poi tornata sulla circostanza che i dati di ciascun passeggero diretto verso il Canada, senza distinzioni e in assenza di un previo sospetto, siano oggetto di trasferimento, osservando che tale circostanza non eccede quanto strettamente necessario, sia in base alle considerazioni sopra riportate con riguardo al trattamento automatizzato, sia perché l’identificazione, tramite i dati PNR, di passeggeri che possono presentare un rischio per la sicurezza pubblica rientra nei controlli alle frontiere di cui all’art. 13 della Convenzione di Chicago (paragrafi 187 e 188).
Soffermandosi poi sulle interferenze costituite dalla conservazione e dall’uso dei dati PNR, la Corte, in linea con quanto affermato da ultimo nelle sentenze Schrems e Tele2 Sverige, ha rilevato, che, mentre la durata di cinque anni non è di per sé eccessiva rispetto a quanto strettamente necessario in relazione agli scopi dell’accordo (par. 209), la conservazione dei dati deve essere delimitata attraverso criteri che colleghino in maniera oggettiva le informazioni da conservare e l’obiettivo perseguito (par. 191). Per quanto riguarda l’accesso ai dati, occorre sia la rispondenza di questo alle finalità stabilite dall’accordo, sia che si prevedano le condizioni sostanziali e procedurali volte a regolarlo (par. 192). Ad avviso della Corte, la conservazione e l’uso dei dati che hanno luogo fino all’uscita dei passeggeri dal Canada soddisfa il rapporto necessario tra tali dati e l’obiettivo perseguito, cosicché l’accordo non eccede i limiti dello stretto necessario; in tale lasso di tempo, infatti, possono presentarsi situazioni per le quali l’accesso ai dati potrebbe rivelarsi necessario per le finalità stabilite dall’accordo (paragrafi 197 e 199). Tuttavia, una volta che i passeggeri sono entrati nel territorio canadese un ulteriore uso dei loro dati PNR durante la permanenza in Canada deve basarsi su circostanze nuove che lo giustifichino, a loro volta attinenti alle finalità del trattamento delineate dall’accordo. La Corte ritiene poi essenziale che l’uso dei dati PNR durante la permanenza dei passeggeri in Canada sia subordinato, salvo casi di urgenza, al controllo preventivo di un giudice o di un’autorità indipendente, elementi, questi, non presenti nell’accordo (paragrafi 201-203). Per quanto riguarda la conservazione dei dati successiva alla partenza dei passeggeri aerei dal Canada, la Corte non ritiene che sussista, neppure in via indiretta, una connessione tra la conservazione in via generale e indiscriminata dei dati oltre il momento della ripartenza e le finalità perseguite dall’accordo; tale conservazione è limitata allo stretto necessario soltanto ove essa sia fondata su elementi obiettivi che consentano di ritenere che singoli passeggeri presentano un rischio in relazione ai reati previsti dall’accordo (paragrafi 205 e 207). La possibilità per l’autorità di accedere ai dati in tale periodo di tempo deve essere in ogni caso soggetta alle medesime garanzie individuate ai paragrafi 201-203 sopra citati (par. 208).
Queste garanzie devono essere altresì rispettate con riguardo alla possibilità, prevista dall’accordo, di comunicare i dati ad altre autorità canadesi o anche di paesi terzi (par. 210). Tuttavia, in quest’ultima ipotesi, la Corte, richiamandosi alle stesse norme del diritto dell’Unione che limitano i trasferimenti di dati e che sono alla base della negoziazione dell’accordo con il Canada2, ha stabilito che lo Stato verso cui i dati siano ulteriormente trasferiti deve offrire, a sua volta, un livello di tutela essenzialmente equivalente a quello apprestato nell’Unione (par. 214). Non essendo stabilite nell’accordo simili garanzie, la comunicazione e il trasferimento dei dati PNR non è limitata allo stretto necessario. Eccedente in relazione alle finalità perseguite appare poi, di per sé, la previsione della possibilità da parte delle autorità pubbliche canadesi, di comunicare dati a soggetti privati (paragrafi 216 e 217).
Esaurito l’esame relativo alla necessità delle restrizioni, la Corte ha poi valutato il rispetto dei diritti soggettivi stabiliti dalla normativa dell’Unione sulla protezione dei dati in favore delle persone interessate, protetti dagli artt. 7 e 8 Carta. In particolare, con riguardo al diritto dell’interessato ad essere informato, la Corte ha ritenuto non sufficiente la presenza di informazioni di carattere generico sul trattamento di dati PNR nel sito dell’autorità canadese, essendo altresì necessario comunicare ai passeggeri gli usi ulteriori dei loro dati PNR che vengono effettuati in quei casi – sopra riferiti – in cui le autorità canadesi procedono a ulteriori controlli individuali sui passeggeri sulla base delle risultanze del trattamento automatizzato, fermo restando che tale comunicazione non deve compromettere l’esito delle indagini (paragrafi 223 e 224).
Da ultimo, la Corte ha preso in esame il profilo della compatibilità dell’accordo con l’art. 8(3) della Carta, che richiede la sottoposizione delle disposizioni sulla protezione dei dati al controllo di un’autorità indipendente. In linea con quanto espresso nella propria giurisprudenza in materia, da ultimo in Schrems, la Corte ha ritenuto che la presenza di una tale autorità costituisce un elemento essenziale del diritto alla protezione dei dati personali, come tale insuscettibile di limitazioni (par. 229). Nel caso di specie, il requisito dell’indipendenza non appare soddisfatto, poiché il testo dell’accordo prevede la possibilità che l’autorità di controllo sia subordinata a un’altra autorità pubblica (par. 230).
1 Ad es. Parlamento c. Consiglio, causa C-263/14, 14 giugno 2016, EU:C:2016:435.
2 Ovvero quanto stabilito dal Capo IV della Direttiva 95/46/CE.