Direttiva (UE) 2016/681 del Parlamento europeo e del Consiglio del 27 aprile 2016 sull'uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi

1. Uno Stato membro può trasferire a un paese terzo i dati PNR nonché i risultati del trattamento di tali dati che sono conservati dall'UIP conformemente all'articolo 12 soltanto caso per caso e se:

1. a) ricorrono le condizioni di cui all'articolo 13 della decisione quadro 2008/977/GAI;

2. b) il trasferimento è necessario per le finalità di cui all'articolo 1, paragrafo 2, della presente direttiva;

3. c) il paese terzo accetta di trasferire i dati a un altro paese terzo soltanto se il trasferimento è strettamente necessario per le finalità di cui all'articolo 1, paragrafo 2, della presente direttiva e soltanto previa autorizzazione esplicita di tale Stato membro; e

4. d) sono rispettate le stesse condizioni di cui all'articolo 9, paragrafo 2.

2.

3. Gli Stati membri trasferiscono i dati PNR alle autorità competenti di paesi terzi soltanto a condizioni conformi alla presente direttiva e soltanto previo accertamento che l'uso che intendono farne i destinatari è conforme alle condizioni e garanzie previste dalla presente direttiva.

4. Il responsabile della protezione dei dati dell'UIP dello Stato membro che ha trasferito i dati PNR è informato ogni volta che uno Stato membro trasferisce dati PNR a norma del presente articolo.

1. Gli Stati membri provvedono affinché i dati PNR trasmessi dai vettori aerei all'UIP siano da questa conservati in una banca dati per un periodo di cinque anni dal trasferimento all'UIP dello Stato membro dal cui territorio parte o nel cui territorio atterra il volo.

2. Allo scadere del periodo di sei mesi dal trasferimento dei dati PNR di cui al paragrafo 1, tutti i dati PNR sono resi anonimi mediante mascheratura dei seguenti elementi che potrebbero servire a identificare direttamente il passeggero cui i dati PNR si riferiscono:

1. a) il nome o i nomi, compresi i nomi di altri passeggeri figuranti nel PNR e il numero di viaggiatori che viaggiano insieme figurante nel PNR;

2. b) l'indirizzo e gli estremi;

3. c) informazioni su tutte le modalità di pagamento, compreso l'indirizzo di fatturazione, nella misura in cui contenga informazioni che potrebbero servire a identificare direttamente il passeggero cui si riferiscono i dati PNR o altre persone;

4. d) informazioni sui viaggiatori abituali («Frequent flyer»);

5. e) osservazioni generali contenenti informazioni che potrebbero servire a identificare direttamente il passeggero cui si riferiscono i dati PNR; e

6. f) i dati API eventualmente raccolti.

3. Allo scadere del periodo di sei mesi di cui al paragrafo 2, la comunicazione dei dati PNR integrali è consentita solo se:

1. a) è ragionevolmente ritenuta necessaria ai fini dell'articolo 6, paragrafo 2, lettera b); e

2. b) è approvata da:

   1. i) un'autorità giudiziaria; o

   2. ii) un'altra autorità nazionale competente ai sensi del diritto nazionale per verificare se sono soddisfatte le condizioni per la comunicazione, fatti salvi l'informazione e l'esame a posteriori del responsabile della protezione dei dati dell'UIP.

4. Gli Stati membri provvedono affinché i dati PNR siano cancellati in via definitiva allo scadere del periodo di cui al paragrafo 1. Questo obbligo non incide sui casi in cui dati PNR specifici sono stati trasferiti a un'autorità competente e sono usati nell'ambito di un caso specifico a fini di prevenzione, accertamento, indagine e azione penale dei reati di terrorismo o reati gravi, nel qual caso la loro conservazione presso l'autorità competente è disciplinata dal diritto nazionale.

5. I risultati del trattamento di cui all'articolo 6, paragrafo 2, lettera a), sono conservati presso l'UIP soltanto per il tempo necessario a informare di un riscontro positivo le autorità competenti e, conformemente all'articolo 9, paragrafo 1, a informare di un riscontro positivo le UIP degli altri Stati membri. Il risultato di un trattamento automatizzato, anche qualora risulti negativo a seguito dell'esame individuale non automatizzato di cui all'articolo 6, paragrafo 5, può comunque essere memorizzato in modo da evitare futuri «falsi» riscontri positivi fino a che i dati di riferimento non sono cancellati a norma del paragrafo 4 del presente articolo.

1. Ciascuno Stato membro dispone che, in relazione a qualsiasi trattamento di dati personali a norma della presente direttiva, ogni passeggero goda di un diritto di protezione dei dati personali, dei diritti di accesso, di rettifica, cancellazione e limitazione, così come dei diritti a compensazione e di proporre un ricorso giurisdizionale identici a quelli previsti dal diritto dell'Unione e nazionale e in attuazione degli articoli 17, 18, 19 e 20 della decisione quadro 2008/977/GAI. Si applicano pertanto le disposizioni di tali articoli.

2. Ciascuno Stato membro dispone che le norme nazionali di attuazione degli articoli 21 e 22 della decisione quadro 2008/977/GAI riguardanti la riservatezza del trattamento e la sicurezza dei dati si applichino anche a qualsiasi trattamento di dati personali effettuato a norma della presente direttiva.

3. La presente direttiva fa salva l'applicabilità della direttiva 95/46/CE del Parlamento europeo e del Consiglio¹³ al trattamento di dati personali da parte dei vettori aerei, in particolare i loro obblighi relativi all'adozione di adeguate misure tecniche e organizzative a tutela della sicurezza e della riservatezza dei dati personali.

4. Gli Stati membri vietano il trattamento dei dati PNR che riveli l'origine razziale o etnica, le opinioni politiche, la religione o le convinzioni filosofiche, l'appartenenza sindacale, lo stato di salute, la vita o l'orientamento sessuali dell'interessato. Qualora l'UIP riceva dati PNR che rivelano tali informazioni, questi sono cancellati immediatamente.

5.

6.

7. Gli Stati membri provvedono affinché l'UIP metta in atto adeguate misure e procedure tecniche e organizzative per garantire un livello elevato di sicurezza che sia appropriato ai rischi che il trattamento comporta e alla natura dei dati PNR.

8. Gli Stati membri provvedono affinché, quando una violazione di dati personali è suscettibile di determinare un rischio elevato per la protezione dei dati personali o di incidere negativamente sulla vita privata dell'interessato, l'UIP comunichi la violazione all'interessato e all'autorità nazionale di controllo senza ingiustificato ritardo.

1. Ogni Stato membro dispone che l'autorità nazionale di controllo di cui all'articolo 25 della decisione quadro 2008/977/GAI sia incaricata di fornire consulenza e di esercitare la sorveglianza, nel suo territorio, riguardo all'applicazione delle disposizioni adottate dagli Stati membri conformemente alla presente direttiva. Si applica l'articolo 25 della decisione quadro 2008/977/GAI.

2. Tali autorità nazionali di controllo svolgono le attività di cui al paragrafo 1, così da tutelare i diritti fondamentali in relazione al trattamento dei dati personali.

3. Ciascuna autorità nazionale di controllo:

1. a) tratta i reclami presentati dagli interessati, svolge le relative indagini e informa gli interessati, entro un termine ragionevole, dello stato e dell'esito del reclamo;

2. b) verifica la liceità del trattamento dei dati, svolge indagini, ispezioni e audit conformemente al diritto nazionale, di propria iniziativa o a seguito di un reclamo di cui alla lettera a).

4. Ciascuna autorità nazionale di controllo, su richiesta, consiglia l'interessato in merito all'esercizio dei diritti derivanti dalle disposizioni adottate conformemente alla presente direttiva.