Misure antiterrorismo e privacy

E’ la terza volta dall’ottobre 2002 che il Gruppo dei Garanti europei per la privacy si pronuncia riguardo al trasferimento, da parte delle compagnie aeree europee, dei dati relativi ai passeggeri che volano negli Stati Uniti.
Dati personali che, per fini di lotta al terrorismo, dovrebbero essere contenuti nel “Passenger Name Record” (PNR) da inviare all’Ufficio per la tutela doganale e dei confini (Bureau of Customs and Border Protection). Ma con quali garanzie?
Del tema si è occupata la newsletter del Garante italiano per la privacy.
Il Gruppo delle Autorità europee, pur riconoscendo un miglioramento rispetto alla configurazione inizialmente avanzata, non ritiene “adeguata” la protezione dei dati personali prospettata dagli USA.
Anche l’ultima versione del documento contenente gli “impegni” Usa (12 gennaio 2004) non ha soddisfatto le condizioni minime che consentirebbero di trasferire lecitamente i dati personali dei viaggiatori verso gli USA.
Gli impegni assunti dagli americani sono privi di vincolatività giuridica e sono tali da non creare diritti che i terzi (in questo caso i cittadini europei) possano far valere negli Usa in caso di controversie.
Il sistema dovrebbe inoltre rispettare i principi fondamentali stabiliti dalla Direttiva europea.
Riguardo al principio di finalità, deve essere specificato che i dati del PNR devono essere utilizzati soltanto per contrastare il terrorismo ed altri specifici reati connessi al terrorismo, senza servire per la lotta “ad altre gravi forme di criminalità”. Tale definizione è imprecisa e comunque non collegabile alla lotta al terrorismo, che è la finalità per cui tutto il sistema è stato costituito.
I dati non devono essere usati in rapporto ad altri sistemi come il CAPPS II (sistema per verificare i dati di chiunque transiti nel territorio americano, che prevede controlli incrociati fra database commerciali, anagrafici, e di altro genere).
Riguardo al principio di proporzionalità, devono essere trasferiti solo i dati necessari per le finalità indicate evitando la raccolta di informazioni eccessive o non pertinenti. Si consideri che almeno 20 delle 34 categorie proposte dagli Usa sono già state ritenute sproporzionate dal Gruppo.
I Garanti hanno più volte sostenuto l’opportunità di un sistema in cui siano le linee aeree a selezionare e trasmettere direttamente i dati personali alle Autorità americane, piuttosto che il sistema opposto in cui sono queste ultime ad accedere ai database delle linee aeree per prelevare le 34 categorie di dati contenuti nel PNR.
Altro nodo critico è il tempo di conservazione dei dati; i tre anni e mezzo proposti dall’Amministrazione Usa sono un periodo sproporzionato a giudizio del Gruppo.
I passeggeri devono ricevere informazioni chiare e accurate su chi tratterà i loro dati e per quali scopi, e sulle modalità per esercitare i diritti riconosciuti dalla Direttiva e dalle leggi nazionali (accesso, rettifica).