L’EDPB, European Data Protection Board, adotta una dichiarazione sulla sentenza PNR della CGUE

Durante la sua ultima plenaria, l’EDPB ha adottato una dichiarazione sulla recente sentenza C-817/19 della Corte di giustizia dell’Unione europea (CGUE) sull’uso dei dati del codice di prenotazione (PNR) per la prevenzione, l’individuazione, l’indagine e perseguimento di reati di terrorismo e reati gravi, ai sensi della direttiva PNR 2016/681.

Il 21 giugno 2022, su rinvio della Corte costituzionale belga, la CGUE si è pronunciata sulla direttiva PNR. Sebbene la Corte abbia ritenuto che la validità della direttiva PNR non fosse pregiudicata, ha stabilito che, al fine di garantire il rispetto della Carta dei diritti fondamentali dell’Unione europea (la Carta), la direttiva PNR deve essere interpretata nel senso che include importanti limitazioni al trattamento dei dati personali. Alcune di queste limitazioni sono l’applicazione del sistema PNR solo ai reati di terrorismo e ai reati gravi, aventi un legame oggettivo con il trasporto aereo di passeggeri, e l’applicazione non indiscriminata del periodo di conservazione generale di cinque anni a tutti i dati personali dei passeggeri dati.

L’interpretazione proposta dalla CGUE restringe notevolmente le modalità con cui gli Stati membri dell’UE possono trattare i dati PNR. L’EDPB ritiene probabile che l’attuale trattamento dei dati PNR in molti, se non nella maggior parte degli Stati membri, non sia pienamente conforme alla direttiva PNR come interpretata dalla CGUE. I sistemi PNR in tutta l’UE possono quindi continuare a interferire ogni giorno in modo sproporzionato con i diritti fondamentali degli interessati.

Nella sua dichiarazione, l’EDPB invita gli Stati membri dell’UE ad adottare tutte le misure necessarie a livello legislativo e/o amministrativo per garantire che il rispettivo recepimento nazionale e l’attuazione della direttiva PNR siano in linea con la Carta come interpretata dalla CGUE. A questo proposito, l’EDPB osserva che le autorità per la protezione dei dati sono pienamente competenti per indagare sulla conformità ai requisiti dell’UE in materia di protezione dei dati a livello nazionale.