Messaggio concernente la legge sui dati dei passeggeri aerei

1 Situazione iniziale

2 Procedura preliminare, in particolare procedura di consultazione

3 Diritto comparato, in particolare rapporto con il diritto europeo

UE

Diversi Stati membri dell’UE hanno iniziato a trattare dati PNR in virtù del loro diritto nazionale già prima del 2016. Il 27 aprile 2016 il Parlamento europeo e il Consiglio hanno adottato la direttiva (UE) 2016/681. La direttiva, entrata in vigore il 24 maggio 2016, si prefigge di armonizzare le disposizioni relative al PNR degli Stati membri, di evitare l’incertezza giuridica e le lacune in materia di sicurezza e di garantire lo stesso livello di protezione dei dati in tutti gli Stati membri. La Danimarca è l’unico Stato membro non vincolato da tale direttiva¹⁶. Tuttavia, nel frattempo ha aderito volontariamente allo scambio d’informazioni PNR tra gli altri Stati membri dell’UE.

La direttiva PNR armonizza tra l’altro le competenze delle UIP che sono responsabili per la gestione operativa all’interno dei rispettivi Stati membri (art. 4), il trattamento lecito dei dati (in particolare art. 6) nonché gli obblighi dei vettori aerei riguardanti i trasferimenti di dati (art. 8).

A distanza di due anni la Commissione europea ha riesaminato la direttiva PNR e ne ha illustrato i risultati in una relazione del 24 luglio 2020¹⁷ al Parlamento europeo e al Consiglio. Nel complesso, la Commissione ha constatato che il PNR risulta uno strumento efficace nella lotta al terrorismo e alle gravi forme di criminalità. Senza l’uso dei dati PNR, non sarebbe stato possibile procedere a diverse indagini approfondite o ad arresti. Gli Stati membri dell’UE ribadiscono inoltre la necessità sul piano operativo di conservare i dati PNR per un periodo di cinque anni a prescindere dalla presenza di un sospetto. Sostengono tuttavia che il miglioramento della qualità dei dati rappresenti ancora una sfida.

Nella sentenza del 21 giugno 2022 la CGUE ha confermato la compatibilità della direttiva PNR con la Carta dei diritti fondamentali dell’UE, interpretando le disposizioni della direttiva come conformi alle pertinenti norme della Carta.

L’UE ha finora concluso accordi sull’utilizzo reciproco dei dati PNR con gli Stati Uniti¹⁸ e l’Australia¹⁹.

Nel 2017 la CGUE si è occupata in un parere delle questioni relative ai trattati dell’UE con gli Stati terzi²⁰, nello specifico di un accordo previsto con il Canada. La CGUE chiedeva in particolare che il Canada cancellasse i dati PNR dell’UE immediatamente dopo la partenza della persona in questione. A oggi l’accordo con il Canada non è stato ancora concluso.

Nel febbraio 2020 la Commissione europea è stata incaricata di avviare i negoziati con il Giappone.

Nello stesso anno la Commissione europea ha dimostrato alla Svizzera il suo interesse a concludere un accordo bilaterale concernente i dati PNR. Alla fine del 2020 la Commissione europea e la Svizzera, rappresentata dal DFAE, dall’UFAC e da fedpol, hanno avviato colloqui esplorativi, che sono stati condotti in modo molto costruttivo.

La Commissione europea ha salutato inoltre con favore l’intenzione della Svizzera di tener conto della sentenza CGUE per quanto riguarda il periodo ridotto di conservazione e lo snellimento del catalogo dei reati.

L’8 febbraio 2023 la Commissione europea ha proposto a Svizzera, Norvegia e Islanda l’avvio di negoziati per gli accordi bilaterali concernenti il PNR. Intende peraltro condurre tali trattative in modo parallelo, ma separato con i tre Stati associati a Schengen. La Svizzera necessita a tal fine di un mandato negoziale. In occasione della sua seduta del 1° novembre 2023 il Consiglio federale ha adottato il pertinente progetto con riserva dell’approvazione da parte delle Commissioni della politica estera delle Camere federali e della Conferenza dei governi cantonali, le quali hanno alla fine approvato il mandato negoziale.

Regno Unito

Il Regno Unito è stato il primo Stato membro dell’UE a disporre di un sistema PNR funzionante e tratta i dati PNR sin dal 2004.

Nel quadro dei negoziati sulla Brexit, il Regno Unito ha concordato con l’UE di proseguire lo scambio di dati PNR. Il Regno Unito e l’UE hanno negoziato a tal fine un accordo relativo ai PNR che è stato inserito nell’articolo 542 e seguenti dell’Accordo sugli scambi commerciali e la cooperazione tra l’UE e il Regno Unito («Trade and Cooperation Agreement», TCA)²¹.

In seguito alla Brexit, la Svizzera ha concluso con il Regno Unito un accordo di polizia²². Tuttavia, poiché tale accordo non costituisce una base per un ampio scambio reciproco di informazioni sui dati PNR, la Svizzera procederà presumibilmente a stipulare un accordo separato relativo ai PNR con il Regno Unito.

Stati Uniti

In seguito agli attacchi terroristici dell’11 settembre 2001 gli Stati Uniti avevano imposto, con l’«Aviation and Transportation Security Act»²³, alle imprese di trasporto aereo di concedere alle autorità statunitensi l’accesso ai dati PNR di tutti i voli che arrivano, partono o transitano nel territorio degli Stati Uniti.

Il primo accordo PNR concluso dagli Stati Uniti con la Svizzera è entrato in vigore il 29 marzo 2005, ma aveva una validità limitata di tre anni e mezzo. L’accordo successivo è entrato in vigore il 23 dicembre 2008²⁴.

Il Governo degli Stati Uniti si impegna con l’accordo a garantire ai dati PNR provenienti dalla Svizzera la stessa tutela prevista per i dati dall’UE²⁵.

Canada

Dal 2009 i dati PNR e API di voli operati dalla Svizzera verso il Canada sono trasmessi alle autorità competenti canadesi. La comunicazione dei dati si basa sul «Memorandum of Understanding between the Canada Border Services Agency and the Swiss Federal Office for Civil Aviation Concerning Advance Passenger Information / Passenger Name Record» del 17 marzo 2006²⁶.

I dati PNR possono essere utilizzati unicamente per l’identificazione di persone per le quali sussiste il pericolo che:

• – importino merci in relazione al terrorismo o a reati terroristici;

• – commettano altri reati gravi di natura transnazionale (compresa la criminalità organizzata); o

• – abbiano un possibile legame con simili reati.

Trascorsi 24 mesi le autorità canadesi pseudonimizzano i dati PNR e li cancellano dopo 42 mesi, sempreché la persona in questione non sia oggetto di un procedimento.

L’accordo prevede per la Svizzera la possibilità di ricevere dati PNR e API dal Canada, non appena la necessaria base giuridica per il trattamento di dati PNR sarà stata introdotta in Svizzera.

4 Punti essenziali del progetto

I dati PNR sono utilizzati in tutto il mondo da 69 Paesi: Stati Uniti, Canada e Regno Unito si avvalgono di questo strumento da una ventina d’anni, mentre gli Stati membri dell’UE vi fanno ricorso da alcuni anni.

La LDPA proposta intende permettere alla Svizzera di utilizzare in futuro i PNR quale strumento consolidato per la lotta alle gravi forme di criminalità e pertanto di adempiere ai suoi obblighi internazionali.

Particolarmente vincolanti sono le tre risoluzioni del Consiglio di sicurezza dell’ONU²⁷ citate in precedenza, che impongono agli Stati membri di introdurre i PNR ai fini della lotta al terrorismo.

Inoltre, su mandato del Consiglio di sicurezza dell’ONU, l’Organizzazione internazionale dell’aviazione civile (OACI) ha sviluppato, in collaborazione con l’Organizzazione mondiale delle dogane (OMD), i governi degli Stati membri, le imprese di trasporto aereo e i fornitori di servizi, norme per la trasmissione dei dati dei passeggeri aerei. I cosiddetti PNR Reporting Standard sono vincolanti per tutti gli Stati membri dell’OACI e quindi anche per la Svizzera.

Diversi Stati, tra cui la maggior parte dei partner economici importanti della Svizzera, chiedono già da tempo la trasmissione dei dati PNR alle imprese di trasporto aereo che operano voli verso la Svizzera. Anche per voli dalla Svizzera le imprese di trasporto aereo possono essere soggette all’obbligo di trasmissione dei dati. Recentemente alcuni Stati hanno minacciato di revocare i diritti di atterraggio, nel caso in cui non dovessero ricevere anticipatamente i dati PNR. In tal caso la Svizzera rischierebbe di veder ridotta significativamente, a medio o a lungo termine, la propria integrazione nel traffico aereo internazionale, la cui importanza per la Svizzera trova conferma nel numero di passeggeri su voli di linea e charter internazionali registrati ogni anno presso gli aeroporti svizzeri.

Numero di passeggeri aerei partiti dalla Svizzera o giunti in Svizzera a bordo di voli charter o di linea

*2023: numero di passeggeri provvisorio.

Fonte: UFAC

Gli Stati Uniti, infine, assoggettano la permanenza della Svizzera nel VWP (v. n. 1.1) al trattamento di dati PNR.

Il disegno di LDPA è ispirato alla direttiva PNR. Esso tiene anche conto dei contenuti essenziali della sentenza CGUE, nella misura in cui siano stati richiesti nel quadro della procedura di consultazione e non compromettano sostanzialmente l’efficacia del PNR.

5 Commento ai singoli articoli

Sezione 1: Disposizioni generali

Art. 1 Oggetto e scopo

Questa disposizione illustra i contenuti più importanti e lo scopo della presente legge.

Cpv. 1

Lett. a

Le imprese di trasporto aereo sono tenute a comunicare all’UIP i dati dei passeggeri aerei per i voli operati da o verso la Svizzera.

Tale obbligo non costituisce di per sé una novità assoluta; le imprese di trasporto aereo sono infatti tenute ad adempierlo da anni nei confronti di Stati Uniti, Canada e degli Stati membri dell’UE. L’unica novità consiste nell’obbligo di comunicare i dati dei passeggeri aerei anche all’UIP.

Lett. b

Oltre agli obblighi per le imprese di trasporto aereo, la legge disciplina anche il trattamento dei dati dei passeggeri aerei da parte dei servizi competenti.

Tali dati possono essere trattati se servono a combattere le gravi forme di criminalità (cfr. cpv. 4).

Lett. c

La presente legge definisce inoltre l’organizzazione dell’unità nazionale svizzera incaricata del trattamento dei dati dei passeggeri aerei. La denominazione in uso a livello internazionale, unità d’informazione sui passeggeri, UIP nella forma abbreviata, deve essere adottata anche in Svizzera.

L’UIP sarà aggregata a fedpol (cfr. art. 27) e composta di collaboratori della Confederazione e dei Cantoni (cfr. art. 28).

Cpv. 2

Lo scopo della presente legge è quello di offrire sostegno alle autorità della Confederazione e dei Cantoni nella lotta alle gravi forme di criminalità (cfr. all. 2).

A usufruire delle prestazioni dell’UIP in virtù della presente legge sono le autorità di polizia e di perseguimento penale della Confederazione e dei Cantoni, i servizi delle attività informative della Confederazione, ossia il Servizio delle attività informative della Confederazione (SIC) e il Servizio informazioni dell’esercito, nonché le autorità di esecuzione cantonali secondo l’articolo 9 LAIn.

Le autorità di perseguimento penale della Confederazione comprendono tra l’altro anche il Servizio federale di sicurezza (art. 4 lett. b della legge del 19 marzo 2010³⁰ sull’organizzazione delle autorità penali)³¹.

Cpv. 3

Nel diritto vigente non è prevista alcuna definizione di impresa di trasporto aereo, ragion per cui tale nozione è stata precisata nella presente legge. La definizione si basa su quella che era stata elaborata nel quadro della legge del 25 settembre 2020³² sul CO₂ (art. 2 lett. i). Per impresa di trasporto aereo s’intende dunque un’impresa che dispone di un’autorizzazione di esercizio, o di un’autorizzazione equivalente, per il trasporto professionale di persone per via aerea.

Non sono invece considerate imprese di trasporto aereo quelle rientranti nella nozione della cosiddetta aviazione leggera, che include ad esempio i voli d’istruzione, le esercitazioni di volo, i voli di controllo, i voli a scopo turistico, l’aviazione sportiva come pure i voli privati. Sono ugualmente esclusi dal campo d’applicazione della legge i voli militari o destinati allo svolgimento di altri compiti sovrani nonché i voli di ricerca e salvataggio.

La definizione di imprese di trasporto aereo assume un’importanza fondamentale, dato che queste ultime sono assoggettate alla presente legge. Le imprese di trasporto aereo svizzere ed estere sono tenute a comunicare all’UIP i dati dei passeggeri aerei tempestivamente e conformemente alle prescrizioni tecniche (cfr. art. 2 e 3). Devono inoltre informare i passeggeri in modo adeguato del trattamento dei dati ai sensi della presente legge (cfr. art. 4). Eventuali violazioni di tali obblighi sono punibili in virtù dell’articolo 31.

Cpv. 4

L’allegato 1 della presente legge menziona i dati dei passeggeri aerei che devono essere comunicati dalle imprese di trasporto aereo e trattati ai sensi della presente legge.

I dati dei passeggeri aerei sono suddivisi complessivamente in 19 categorie che costituiscono il set di dati dei passeggeri aerei. Le categorie di dati corrispondono a quelle riportate nella direttiva PNR ma sono state riformulate per tenere conto dell’interpretazione che la CGUE, nella sentenza del 21 giugno 2022, impone agli Stati membri dell’UE.

Le imprese di trasporto aereo raccolgono i dati dei passeggeri aerei al momento della prenotazione di un biglietto aereo. Esse necessitano di tali dati ai fini della gestione del volo. Il trattamento dei dati in virtù della presente legge si limita ai dati già disponibili e avviene pertanto soltanto a posteriori.

Un caso speciale è costituito dai dati API che, ove disponibili, devono essere comunicati dalle imprese di trasporto aereo in quanto parte del set di dati dei passeggeri aerei (categoria 18). Questi dati non sono raccolti al momento della prenotazione, ma devono essere rilevati dalle imprese di trasporto aereo se lo Stato lo richiede (cfr. art. 104 LStrI). Di conseguenza, nel quadro del PNR vanno comunicati all’UIP quale categoria 18 soltanto se sono disponibili.

Molte delle suddette 19 categorie non contengono dati che permettono di identificare una persona. Non trattandosi quindi di dati personali (cfr. art. 5 lett. a LPD), il loro trattamento non rientra nel campo d’applicazione della riveduta legge sulla protezione dei dati (art. 2 LPD).

I dati personali sono contenuti nelle seguenti categorie del set di dati dei passeggeri aerei:

• – categoria 4: nome/i e cognome/i del passeggero aereo;

• – categoria 5: indirizzo e dati di contatto, compresi il recapito telefonico e l’indirizzo di posta elettronica del passeggero aereo;

• – categoria 6: informazioni su eventuali carte di credito utilizzate e indirizzo di fatturazione;

• – categoria 8: programma «frequent flyer»: status e numero del passeggero aereo;

• – categoria 9: nome dell’agenzia / dell’agente di viaggio che ha effettuato la prenotazione del biglietto;

• – categoria 12: informazioni sui minori non accompagnati di età inferiore a 18 anni, nome e dati di contatto dell’accompagnatore alla partenza e della persona che prende in consegna il minore all’arrivo, nonché del collaboratore dell’aeroporto che accompagna il minore alla partenza e all’arrivo;

• – categoria 17: numero di viaggiatori nonché nomi e cognomi di altri passeggeri figuranti nei dati PNR;

• – categoria 18: dati API (cfr. art. 104 cpv. 3 LStrI) che sono al contempo dati personali: (a) generalità (cognome, nome, sesso, data di nascita, cittadinanza) del passeggero aereo; (b) numero, Stato di rilascio, tipo e data di scadenza del documento di viaggio utilizzato; (c) numero, Stato di rilascio, tipo e data di scadenza del visto o del titolo di soggiorno utilizzato, nella misura in cui l’impresa di trasporto aereo disponga di questi dati;

• – categoria 19: ogni modifica dei dati dei passeggeri aerei. La presente categoria contiene i dati personali che hanno subito modifiche in seguito alla prenotazione.

I dati dei passeggeri aerei possono essere trattati, secondo la presente legge, esclusivamente per la lotta alle gravi forme di criminalità. Per gravi forme di criminalità s’intendono i reati menzionati nel catalogo dei reati di cui all’allegato 2 con indicazione delle fattispecie penali determinanti previste dal Codice penale (CP)³³ o dal diritto penale accessorio. L’allegato 2 suddivide tali fattispecie in reati terroristici (n. 1) e altri reati gravi (n. 2).

Il catalogo dei reati si fondava originariamente sulle categorie di reato contemplate dalla direttiva PNR e attribuiva loro le fattispecie rilevanti previste dall’allegato 1 della legge del 12 giugno 2009³⁴ sullo scambio di informazioni con gli Stati Schengen (LSIS), che è stato ampliato nell’ambito di Prüm³⁵. Tale ampliamento, benché non ancora in vigore, è stato già considerato nella presente legge. Lo stesso vale per un ulteriore ampliamento dell’allegato LSIS, attualmente in fase di elaborazione. A differenza dell’allegato 1 LSIS, il catalogo dei reati rilevante per il PNR tiene conto anche dei casi gravi di spionaggio.

Per terroristici ai sensi del D-LDPA s’intendono i reati rientranti nella fattispecie di cui al numero 22 dell’allegato 1 LSIS. La fattispecie penale della sommossa (cfr. art. 260 cpv. 1 CP) non fa invece più parte del catalogo dei reati rilevante per il PNR, conformemente alle richieste formulate nell’ambito della procedura di consultazione.

La maggior parte di questi reati sono crimini e sono pertanto punibili con una pena massima di oltre tre anni (cfr. art. 10 cpv. 2 CP). Per contro, le seguenti fattispecie di reato sono considerate delitti (cfr. art. 10 cpv. 3 CP) e sono punite con una pena massima di tre anni:

• – pubblica intimidazione (art. 258 CP);

• – pubblica istigazione a un crimine o alla violenza (art. 259 CP).

La maggior parte dei reati elencati nel catalogo è considerata terroristica soltanto se presenta effettivamente una matrice terroristica (cfr. all. 2 n. 1). Tale matrice è ravvisabile laddove l’autore commetta o minacci di commettere il reato in questione al fine di influenzare o modificare l’ordinamento dello Stato (cfr. art. 23e della legge del 21 marzo 1997³⁶ sulle misure per la salvaguardia della sicurezza interna [LMSI]).

Quali altri reati gravi l’allegato 2 menziona:

• – al numero 2.1, i crimini riportati nell’allegato 1 LSIS summenzionato; nonché

• – al numero 2.2, i crimini legati allo spionaggio.

Il catalogo degli altri reati gravi è stato notevolmente snellito in risposta a diverse richieste che i partecipanti alla consultazione avevano formulato in relazione alla sentenza CGUE. In particolare sono stati stralciati i reati il cui perseguimento penale compete all’Ufficio federale della dogana e della sicurezza dei confini (UDSC), in quanto non costituiscono gravi forme di reato.

Il catalogo dei reati comprende ora soltanto le fattispecie penali che:

1. conformemente alla CGUE, presentano in modo esplicito un «livello di gravità indubbiamente elevato» (punto 149) o, quali gravi forme di criminalità, un «collegamento diretto con il trasporto aereo di passeggeri» (punto 154) o, ancora, un «carattere transnazionale» (punto 155); oppure

2. conformemente al diritto svizzero, comportano una pena minima applicabile che, secondo la CGUE, può essere intesa come una peculiarità del diritto nazionale e che permette di dedurre una particolare gravità del reato (a contrario dal punto 151 seg.).

Alla luce della mutata situazione geopolitica, nel catalogo dei reati sono state aggiunte tre fattispecie penali correlate allo spionaggio (n. 2.2). Queste gravi forme di spionaggio costituiscono crimini ai sensi dell’articolo 10 capoverso 2 CP e sono punite con una pena minima applicabile.

Sezione 2: Obblighi delle imprese di trasporto aereo

Art. 2 Comunicazione dei dati dei passeggeri aerei

Per comunicazione s’intende ogni trasmissione di dati personali o il fatto di renderli accessibili (cfr. art. 5 lett. e LPD).

L’articolo 2 definisce i dettagli che regolano la comunicazione dei dati dei passeggeri aerei da parte delle imprese di trasporto aereo. La violazione di tali obblighi può comportare sanzioni (cfr. art. 31).

In sede di consultazione era stato chiesto di introdurre una disposizione che regolamentasse l’uso ammissibile e la cancellazione dei dati dei passeggeri aerei da parte delle imprese di trasporto aereo. Non è tuttavia stato possibile dare seguito alla richiesta perché le imprese di trasporto aereo necessitano di tali dati per gestire la prenotazione e il volo, e li conservano poi per il tempo necessario in base alle loro esigenze operative e ai principi vigenti in materia di protezione dei dati.

Cpv. 1

L’articolo 2 stabilisce che tutte le imprese di trasporto aereo (cfr. art. 1 cpv. 3) che operano voli da o verso la Svizzera sono tenute a comunicare i dati dei passeggeri aerei all’UIP svizzera (cpv. 1).

Anche i voli ricadenti sotto la giurisdizione svizzera che atterrano all’Euroairport di Basilea-Mulhouse-Friburgo (con il codice aeroportuale IATA «BSL») sono considerati voli verso la Svizzera, sebbene l’aeroporto si trovi al di fuori del territorio svizzero. Lo stesso vale per i voli contrassegnati dal medesimo codice aeroportuale IATA operati dall’Euroairport di Basilea-Mulhouse-Friburgo verso un aeroporto non svizzero.

Per converso, in caso di voli nazionali i dati dei passeggeri aerei non vanno comunicati, anche ove siano effettuati da imprese di trasporto aereo di cui all’articolo 1 capoverso 3.

Cpv. 2

I dati dei passeggeri aerei sono rilevati al momento della prenotazione di un biglietto aereo. Se il biglietto è prenotato presso un’impresa di trasporto aereo svizzera, i pertinenti dati sono conservati in Svizzera. Se il biglietto è invece prenotato da una persona residente in Svizzera presso un’impresa di trasporto aereo con sede all’estero, i pertinenti dati non saranno più conservati in Svizzera, bensì nello Stato in cui ha sede l’impresa. Il passeggero che effettua la prenotazione comunica i propri dati autonomamente «all’estero» o acconsente alla loro comunicazione.

Il capoverso 2 è pertanto applicabile solo alle imprese di trasporto aereo svizzere, e non a quelle estere. Le prime possono comunicare i dati dei loro passeggeri a un’UIP estera soltanto se un trattato internazionale con la Svizzera lo prevede (cfr. art. 29).

Se il volo è stato invece prenotato dalla Svizzera presso un’impresa di trasporto aereo estera, la comunicazione transfrontaliera dei dati è retta dal diritto (estero) applicabile a tale impresa.

Le parti contraenti della Svizzera possono essere uno Stato estero o un organismo internazionale. Nel presente contesto, quale organismo internazionale va menzionata in particolare l’UE.

Se la parte contraente con cui la Svizzera negozia tale trattato garantisce una protezione adeguata dei dati (cfr. art. 16 cpv. 1 LPD), la Svizzera non è chiamata a concordare alcuna norma specifica per la protezione dei dati che essa stessa comunica. Per la comunicazione dei dati ai sensi del capoverso 2 è pertanto sufficiente un trattato internazionale che si limiti a disciplinare la reciprocità in materia di comunicazione dei dati.

Per contro, nel caso in cui la parte contraente non garantisca una protezione adeguata dei dati, il trattato internazionale, oltre alla reciprocità di cui sopra, dovrà prevedere anche norme da osservare nel trattamento dei dati dei passeggeri aerei comunicati dalla Svizzera. In questo modo la parte contraente sarà in grado di garantire una protezione adeguata dei dati provenienti dalla Svizzera (cfr. art. 16 cpv. 2 lett. a LPD).

Le imprese di trasporto aereo svizzere comunicano già oggi i dati dei passeggeri aerei a Stati verso cui sono destinati i voli dalla Svizzera, ad esempio agli Stati Uniti e al Canada. In entrambi i casi, un accordo con la Svizzera rappresenta la base giuridica per la comunicazione dei dati. Entrambi gli accordi garantiscono inoltre la comunicazione dei dati anche all’UIP svizzera, non appena con la presente legge sarà introdotta la base giuridica necessaria al trattamento dei dati dei passeggeri aerei.

Ulteriori accordi sono in programma. Il pertinente mandato negoziale con l’UE è in fase di preparazione. L’accordo andrà a sostituire la disposizione transitoria attualmente in vigore (v. n. 1.2).

Cpv. 3

I dati dei passeggeri aerei vanno trasmessi all’UIP entro due diversi limiti temporali, ossia entro un periodo compreso tra le 48 ore e le 24 ore prima dell’orario previsto di partenza nonché immediatamente dopo la chiusura dell’imbarco. La comunicazione di dati entro la prima scadenza, per quanto fornisca solo informazioni provvisorie, permette all’UIP di disporre di un determinato margine di tempo fino all’arrivo dell’aereo, il che è di fondamentale importanza soprattutto in caso di brevi voli. La comunicazione dei dati immediatamente dopo la chiusura dell’imbarco consente di aggiornare i dati già pervenuti e fornisce un quadro definitivo dei passeggeri aerei che effettivamente entrano in Svizzera o lasciano il Paese. L’UIP non può più consultare e pertanto nemmeno trattare i dati che le erano stati comunicati entro i suddetti limiti temporali, laddove essi riguardino passeggeri aerei che non si sono imbarcati sul volo previsto.

Grazie alla comunicazione scaglionata, l’UIP può concentrarsi dopo l’imbarco sui dati che sono stati aggiornati o aggiunti.

Le imprese di trasporto aereo procedono autonomamente a comunicare i dati dei passeggeri aerei all’UIP. Il cosiddetto metodo PUSH è conforme non solo alla raccomandazione dell’OACI³⁷, ma anche all’articolo 8 della direttiva PNR.

Cpv. 4

La presente disposizione conferisce al Consiglio federale la competenza per disciplinare i dettagli da osservare nell’ambito della comunicazione dei dati. I dettagli tecnici da definire comprendono i formati consentiti per la comunicazione dei dati dei passeggeri.

Il Consiglio federale si atterà alle prescrizioni dell’OACI, che sono vincolanti per tutti gli Stati membri e quindi anche per la Svizzera. Queste norme internazionali garantiscono che la comunicazione dei dati avvenga in tutto il mondo secondo principi uniformi. S’intendono così evitare oneri supplementari per le imprese di trasporto aereo dovuti a differenti regolamentazioni in ciascun singolo Paese. Laddove sarà necessario precisare le prescrizioni internazionali, il Consiglio federale si baserà quanto più possibile sulle soluzioni dell’UE. In questo modo verrà dato seguito a quanto avevano chiesto i rappresentanti del settore dell’aviazione in sede di consultazione, ossia di rinunciare a una soluzione – e quindi a una normativa – specifica per la Svizzera.

Art. 3 Obbligo di diligenza

Le imprese di trasporto aereo sono tenute a comunicare all’UIP i dati dei passeggeri aerei tempestivamente e conformemente alle prescrizioni tecniche (cfr. art. 2 cpv. 3 e 4).

Adottano inoltre tutte le misure ragionevolmente esigibili per adempiere a tale obbligo. In caso contrario, sono soggetti alle sanzioni previste dall’articolo 31.

Art. 4 Obbligo di informazione

L’articolo 4 impone alle imprese di trasporto aereo di informare in modo adeguato i passeggeri aerei, quando prenotano un biglietto aereo, che i loro dati comunicati al momento della prenotazione saranno trattati non solo in relazione al volo, ma anche conformemente alla LDPA.

L’articolo 13 dell’ordinanza del 31 agosto 2022³⁸ sulla protezione dei dati (OPDa) precisa la nozione di adeguatezza, sancendo che l’informazione deve avvenire in forma precisa, trasparente, comprensibile e facilmente accessibile.

Nel rapporto esplicativo sull’OPDa, l’Ufficio federale di giustizia rileva quanto segue: «In altri termini, ciò significa che il titolare del trattamento deve scegliere le modalità di comunicazione di modo che le informazioni più importanti siano sempre trasmesse alla persona interessata dal trattamento dei suoi dati personali al primo livello di comunicazione. Se la comunicazione avviene su un sito Internet, ad esempio, potrebbe costituire una buona pratica il fatto di mettere a disposizione in modo immediato tutte le informazioni essenziali, p. es. tramite una panoramica strutturata. La persona che desidera informazioni supplementari potrà cliccare su queste prime informazioni per aprire una finestra contenente maggiori dettagli. Occorre tuttavia precisare che la comunicazione mediante un sito Internet non è sempre sufficiente: la persona interessata deve sapere che troverà tali informazioni su un determinato sito»³⁹.

Affinché i passeggeri possano esercitare i loro diritti, le imprese di trasporto aereo devono fornire, in virtù dell’articolo 4 D‑LDPA, almeno le seguenti informazioni:

• – la menzione che i dati dei passeggeri aerei sono comunicati a fedpol;

• – il titolo completo della presente legge quale base giuridica per il trattamento dei dati dei passeggeri aerei;

• – il rinvio al diritto d’accesso di cui all’articolo 26;

• – i dati di contatto di fedpol;

• – il nome del servizio estero, se i dati sono comunicati all’estero.

Se un’impresa di trasporto aereo non rispetta l’obbligo di informazione di cui all’articolo 4 o non lo fa in maniera sufficiente, è soggetta a sanzioni secondo l’articolo 31.

Si potrebbe rinunciare all’obbligo di informazione, poiché il trattamento dei dati dei passeggeri aerei è già previsto dalla legge (cfr. art. 19 LPD). Il fatto che tale obbligo sia comunque contemplato nel D‑LDPA è tuttavia giustificato, visto che i dati dei passeggeri aerei sono trattati:

• – in due contesti totalmente diversi, uno pratico, l’altro giuridico (gestione tecnica della prenotazione del volo / attuazione della LDPA);

• – per diversi scopi (prenotazione del volo / lotta alle gravi forme di criminalità); e

• – sotto responsabilità di natura diversa (impresa di trasporto aereo / fedpol).

Per quanto riguarda la comunicazione automatica al SIC delle rotte aeree disciplinata dall’articolo 11, l’IFPDT avrebbe preferito un obbligo di informazione più esteso per le imprese di trasporto aereo. In tale contesto, ricorda che la comunicazione automatica delle informazioni tramite un servizio ad hoc non deve avere come effetto un allentamento dell’obbligo di informazione.

Sezione 3: Trattamento dei dati da parte dell’UIP

Art. 5 Principi

Cpv. 1

Il capoverso 1 disciplina lo scopo del trattamento dei dati.

I dati PNR devono poter essere utilizzati per combattere gravi forme di criminalità a titolo sia preventivo sia repressivo. L’elenco di cui al capoverso 1 distingue infatti tra scopo:

• – preventivo, nel senso di individuare e prevenire tali reati (cfr. in particolare art. 6 cpv. 1 lett. a LAIn, art. 2a lett. f della legge federale del 7 ottobre 1994⁴⁰ sugli Uffici centrali di polizia giudiziaria della Confederazione e i centri comuni di cooperazione di polizia e doganale con altri Stati [LUC] nonché le leggi di polizia cantonali); e

• – repressivo, nel senso di far luce su tali reati e ricercare gli imputati (cfr. in particolare art. 15–21 del Codice di procedura penale [CPP]⁴¹) e i condannati per tali reati con decisione passata in giudicato che non hanno ancora scontato o non hanno scontato interamente la pena.

Sono previste limitazioni a questi scopi in caso di utilizzo di profili di rischio (art. 12) e di liste d’osservazione (art. 13 e 14).

Cpv. 2

I dati degni di particolare protezione (cfr. art. 5 lett. c LPD) non sono contenuti nei profili di rischio o nelle liste d’osservazione né all’interno dei dati dei passeggeri aerei di cui all’allegato 1.

Nel verificare le corrispondenze risultanti dal confronto automatico (cfr. art. 6 cpv. 2 e 3), l’UIP potrebbe tuttavia imbattersi in simili dati.

Quest’ultima può trattare questi dati soltanto laddove si tratti di quelli di cui al capoverso 2, ossia:

• – dati biometrici che identificano in modo univoco una persona fisica, per esempio impronte digitali, immagini del viso o dell’iride oppure registrazioni vocali;

• – dati concernenti procedimenti o sanzioni amministrativi e penali; rientrano in tale novero anche le informazioni sugli atti materiali di polizia (misure di sicurezza e di protezione)⁴².

L’UIP dovrà cancellare senza indugio tutti gli altri dati degni di particolare protezione risultanti dal trattamento dei dati dei passeggeri aerei (cfr. art. 22 lett. a).

Art. 6 Confronto automatico dei dati

Il confronto automatico cui sono sottoposti tutti i dati dei passeggeri aerei deve avvenire entro un periodo di tempo limitato – ossia immediatamente essere pervenuti all’UIP – ed è avviato automaticamente (cpv. 1).

Questo confronto serve a effettuare una prima suddivisione tra:

• – i dati che non hanno prodotto alcuna corrispondenza e che, fatti salvi gli articoli 8–11, non vanno quindi più trattati in modo approfondito, e

• – quelli che hanno invece prodotto una corrispondenza e devono pertanto essere sottoposti a ulteriore verifica (cpv. 2 e 3) ed eventualmente comunicati all’autorità competente per l’ulteriore trattamento (cfr. art. 7).

Se la verifica secondo il capoverso 2 dà esito positivo, l’UIP comunica all’autorità competente, quale risultato del confronto automatico, i dati dei passeggeri aerei in questione (cfr. art. 7) e contrassegna i dati comunicati. L’autorità che riceve i dati dall’UIP decide in seguito le misure da adottare.

I dati contrassegnati sottostanno a un periodo di conservazione di cinque anni. Per contro, i dati non contrassegnati sono pseudonimizzati dopo un mese (cfr. art. 18) e cancellati automaticamente dopo ulteriori cinque mesi (cfr. art. 21).

Cpv. 1

I dati dei passeggeri aerei, non appena giungono nel sistema d’informazione dell’UIP, sono confrontati automaticamente con:

• – i dati dei sistemi d’informazione di polizia secondo gli articoli 15 e 16 della legge federale del 13 giugno 2008⁴³ sui sistemi d’informazione di polizia della Confederazione (LSIP) nonché, in virtù dell’articolo 351 CP⁴⁴, con il sistema d’informazione di polizia di Interpol;

• – con i profili di rischio secondo l’articolo 12; e

• – con le liste d’osservazione secondo gli articoli 13 e 14.

Nel caso in cui contenuti di un set di dati dei passeggeri aerei (cfr. all. 1), quali nome e cognome di un passeggero aereo, il suo numero di telefono o indirizzo di posta elettronica, si trovino anche in uno dei due suddetti sistemi d’informazione o in una lista d’osservazione, il confronto automatico dei dati produce una corrispondenza.

I due sistemi d’informazione con cui i dati dei passeggeri aerei sono confrontati automaticamente sono illustrati qui di seguito nel dettaglio.

Il sistema di ricerca informatizzato di polizia (RIPOL; cfr. art. 15 LSIP) contiene informazioni su persone segnalate ai fini dell’arresto o della ricerca, informazioni relative a reati non chiariti, a persone coinvolte in un reato nonché altre informazioni utili a far luce su reati. RIPOL offre sostegno alle autorità competenti della Confederazione e dei Cantoni quando si tratta di arrestare persone o prevenire pericoli per la sicurezza pubblica. Il confronto dei dati dei passeggeri aerei con RIPOL può contribuire non solo al successo della ricerca, ma anche a ottenere risultati nelle indagini su reati terroristici o altri reati gravi di cui all’allegato 2 D‑LDPA non chiariti. Chi è autorizzato a effettuare un confronto con RIPOL riceve automaticamente, in caso di confronto, anche le corrispondenze con la banca dati «Automated Search Facility» (ASF) di Interpol. Quest’ultima contiene informazioni su persone ricercate a livello internazionale e su documenti di identità rubati o smarriti.

La parte nazionale del Sistema d’informazione Schengen (N-SIS; cfr. art. 16 LSIP) comprende le segnalazioni di persone e oggetti (p. es. relative a documenti di identità rubati) ricercati all’interno dello spazio Schengen. Il confronto dei dati dei passeggeri aerei con N‑SIS può permettere alle autorità competenti di arrestare persone ricercate a livello internazionale al momento del loro ingresso nel Paese o della loro partenza.

Maggiori dettagli sui profili di rischio e sulle liste d’osservazione utilizzati nell’ambito del confronto automatico sono riportati nei commenti agli articoli 12–14.

Cpv. 2

Il fatto che il confronto automatico dei dati nel sistema d’informazione PNR abbia prodotto una corrispondenza non autorizza di per sé a effettuare una comunicazione all’autorità competente e a contrassegnare i dati (cfr. art. 7 cpv. 1).

L’UIP è chiamata infatti a verificare manualmente ogni singola corrispondenza per evitare che all’autorità competente possano essere comunicati risultati del confronto che:

• – non sono conformi allo scopo previsto per il trattamento dei dati (cfr. art. 5 cpv. 1); o

• – si riferiscono a un’altra persona, per esempio a causa di una registrazione errata del nome.

Tali questioni possono essere sovente chiarite soltanto accedendo manualmente a ulteriori informazioni contenute nei sistemi d’informazione di polizia e ad altri sistemi d’informazione della Confederazione.

Cpv. 3

Il capoverso 3 menziona i sistemi di informazione cui l’UIP può accedere per verificare le corrispondenze.

Lett. a

Per verificare se la corrispondenza riguarda effettivamente una fattispecie penale di cui all’allegato 2, l’UIP deve accedere manualmente alle informazioni di base sulle circostanze di reato contenute in RIPOL e N‑SIS (v. commenti al cpv. 1) nonché nei seguenti sistemi d’informazione di polizia:

• – il sistema nazionale di indagine (SNI, art. 10 e 11 LSIP), che comprende informazioni relative alle indagini di polizia giudiziaria della Confederazione come pure alle indagini preliminari e di polizia giudiziaria dei Cantoni, nonché – anch’esse potenzialmente rilevanti nella lotta alla criminalità organizzata internazionale – informazioni sulla collaborazione della Polizia giudiziaria federale (PGF) con le autorità di perseguimento penale e le polizie giudiziarie dei Cantoni nonché con le autorità estere;

• – il sistema di trattamento dei dati relativi alla cooperazione di polizia internazionale e intercantonale (IPAS, art. 12 LSIP), che contiene tra l’altro informazioni sulle indagini in corso condotte dalle autorità nazionali ed estere di polizia e di perseguimento penale;

• – il registro nazionale di polizia (art. 17 LSIP), che comprende informazioni di base sulle segnalazioni dei Cantoni;

• – SIRENE-IT (in virtù dell’art. 18 LSIP), che contiene informazioni di base sulle segnalazioni nel sistema d’informazione Schengen nei settori della criminalità organizzata e del terrorismo;

• – il sistema d’informazione dell’Organizzazione internazionale di polizia criminale (Interpol) (I‑24/7, art. 350–352 CP), che contiene informazioni che consentono di risalire ai motivi delle segnalazioni internazionali.

Lett. b

Per accertare l’identità di una persona sono fondamentali in primis le informazioni registrate sulla persona e sul suo viaggio. A tal fine l’UIP deve poter accedere non solo a RIPOL e N‑SIS, ma anche ai seguenti sistemi d’informazione della Confederazione:

• – il sistema nazionale visti (ORBIS, art. 109b LStrI), che fornisce informazioni sulle domande di visto e accesso ai dati di tutte le persone in possesso di un visto per lo spazio Schengen. Una persona può essere ad esempio identificata sulla base del numero di passaporto verificabile;

• – il sistema d’informazione centrale sulla migrazione (SIMIC, legge federale del 20 giugno 2003⁴⁵ sul sistema d’informazione per il settore degli stranieri e dell’asilo, LSISA), che contiene dati personali relativi a cittadini stranieri che si trovano in Svizzera (p. es. cognome, nome, data di nascita), incluso il loro statuto di soggiorno. Tramite SIMIC ora è possibile consultare anche i dati provenienti dal sistema d’informazione per il rilascio a stranieri di documenti di viaggio svizzeri e permessi di ritorno ISR (ex art. 111 cpv. 1 LStrI). SIMIC permette così di consultare informazioni tratte dai documenti di viaggio quali nome e luogo d’origine di cittadini stranieri registrati in Svizzera o in possesso di un documento di viaggio rilasciato dalla Svizzera (p. es. titolo di viaggio per rifugiati);

• – il sistema d’informazione svizzero sui documenti d’identità (ISA, art. 11 della legge del 22 giugno 2001⁴⁶ sui documenti d’identità, LDI), gestito da fedpol, e contenente i dati personali riportati nei passaporti e nelle carte di identità svizzeri quali nome, luogo d’origine, autorità di rilascio e servizio preposto all’allestimento del documento d’identità.

Le corrispondenze risultanti dal confronto automatico la cui verifica da parte dell’UIP ha dato esito negativo vanno cancellate senza indugio (cfr. art. 22 lett. b). In caso di esito positivo, l’UIP ne dà comunicazione all’autorità competente, fornendo anche i pertinenti dati dei passeggeri aerei e contrassegnandoli (cfr. art. 7).

Art. 7 Comunicazione in caso di corrispondenza accertata

Cpv. 1

Solo le corrispondenze risultanti dal confronto automatico dei dati che sono state accertate dall’UIP sulla base di una verifica ai sensi dell’articolo 6 capoverso 2 possono essere comunicate all’autorità competente secondo l’articolo 1 capoverso 2 insieme ai relativi dati dei passeggeri aerei, quali risultati del confronto automatico.

Destinataria di questi risultati del trattamento è l’autorità che, secondo il sistema d’informazione, è indicata come competente nella segnalazione rilevante per l’ottenimento della corrispondenza o che fornisce il profilo di rischio o la lista d’osservazione che ha prodotto la corrispondenza.

È l’articolo 22 lettera b a stabilire quando la verifica di una corrispondenza comporta un intervento diverso dalla comunicazione all’autorità competente. Devono quindi essere cancellate senza indugio, invece di essere comunicate a un’autorità, le corrispondenze:

• – non attribuibili o non chiaramente attribuibili a un reato di cui all’allegato 2 (art. 6 cpv. 3 lett. a); o

• – per le quali non è confermata l’identità (art. 6 cpv. 3 lett. b).

Infatti, in tali casi la verifica delle corrispondenze risultanti dal confronto automatico ha esito negativo, il che impedisce la comunicazione a un’autorità competente e richiede dunque la cancellazione immediata.

Cpv. 2

Se la decisione di elaborare un profilo di rischio è stata presa dall’UIP (cfr. art. 12 cpv. 2 lett. b), manca un’autorità richiedente. Lo stesso vale quando l’UIP deve trasmettere un indizio su un reato che potrebbe essere commesso (cfr. art. 9). È inoltre possibile che, eccezionalmente, una segnalazione non menzioni l’autorità competente.

In tutti questi casi, l’UIP comunica i dati all’autorità di cui all’articolo 1 capoverso 2 che è quella che ha maggiore probabilità di essere competente per l’ulteriore trattamento. In caso di dubbio, l’UIP comunica i dati alla PGF. Se quest’ultima ritiene di non essere competente in materia, trasmette i dati all’autorità che considera competente. Nell’evenienza, assai remota, che non riesca a individuare alcun’autorità competente, la PGF dovrà provvedere a cancellare i dati. Non appena l’UIP ne avrà preso conoscenza, revocherà il contrassegno dei dati in questione conformemente all’articolo 10 capoverso 1.

Cpv. 3

L’UIP contrassegna dal punto di vista tecnico i dati che sono stati comunicati a un’autorità di cui all’articolo 1 capoverso 2, che sono quindi da quel momento considerati contrassegnati conformemente alla presente legge.

Excursus sui dati contrassegnati

Nella sua sentenza del 21 giugno 2022, la CGUE ha precisato in modo inequivocabile che una durata di conservazione di sei mesi per tutti i dati dei passeggeri aerei è da considerarsi ammissibile. Per contro, una conservazione che ecceda tale durata dovrebbe limitarsi allo stretto necessario a fini di indagini e di perseguimento penale:

«Nei limiti in cui, tuttavia, sono identificati, in casi particolari, elementi obiettivi, come i dati PNR […] che hanno dato luogo a un riscontro positivo verificato, che consentano di ritenere che taluni passeggeri potrebbero presentare un rischio in materia di reati di terrorismo e di reati gravi, un’archiviazione dei loro dati PNR appare ammissibile al di là di tale periodo iniziale»⁴⁷.

I dati che, in virtù dell’articolo 7, l’UIP ha comunicato a un’autorità competente sono contrassegnati. Questa misura tecnica garantisce il differente trattamento automatico previsto dalla legge per i dati che:

• – non presentando indizi relativi a gravi forme di criminalità, non sono contrassegnati e sono quindi pseudonimizzati automaticamente dopo un mese e cancellati automaticamente dopo ulteriori cinque mesi (cfr. art. 21 cpv. 1); o

• – presentando indizi relativi a gravi forme di criminalità, sono comunicati a un’autorità e contrassegnati e, in seguito, cancellati automaticamente dopo cinque anni (cfr. art. 21 cpv. 2).

Un contrassegno è tuttavia revocato quando un’autorità competente comunica all’UIP che non necessita più dei dati (cfr. art. 10), in quanto gli indizi che hanno portato alla loro comunicazione non sono confermati o il sospetto iniziale nei confronti di una persona oggetto di una segnalazione di ricerca si rivela infondato. Una volta revocato il contrassegno, i dati vanno pseudonimizzati e in seguito cancellati o cancellati senza indugio, in funzione della loro data di introduzione nel sistema d’informazione (cfr. art. 18 e 21).

Cpv. 4

Le richieste delle autorità competenti indirizzate all’UIP e i dati che quest’ultima comunica all’autorità richiedente devono poter esser trasmessi in modo sicuro. Il Consiglio federale è autorizzato a disciplinare, a livello di ordinanza, i dettagli necessari a tal fine. Non si tratta tuttavia solo di definire la modalità di comunicazione, ma anche di chiarire la questione se le autorità devono scambiare i dati in maniera standardizzata tramite i punti di contatto. Nel caso dei corpi di polizia della Confederazione e dei Cantoni, questo ruolo potrebbe essere assolto ad esempio dalla rispettiva Centrale operativa e d’allarme.

Art. 8 Comunicazione su richiesta

Questa disposizione si applica unicamente quando i dati dei passeggeri aerei richiesti non sono pseudonimizzati.

Se i dati richiesti sono invece pseudonimizzati, occorre prima chiedere la revoca della pseudonimizzazione (cfr. art. 19 o 20).

Cpv. 1

La comunicazione dei dati secondo l’articolo 8 deve essere sufficientemente concreta e precisa. Non sono ammesse richieste di tipo generico, ossia non ben specificate, che possono produrre una moltitudine di risultati diversi. Tale esigenza è esplicitata con l’espressione «in casi specifici».

La richiesta deve altresì esporre in maniera plausibile le ragioni per cui i dati in questione sono necessari ai fini della lotta a un reato di cui all’allegato 2.

Cpv. 2

L’UIP deve esaminare, sulla base della richiesta ed eventualmente di informazioni supplementari raccolte presso l’autorità richiedente, se i dati dei passeggeri aerei richiesti sono effettivamente collegati a un reato di cui all’allegato 2 (cfr. art. 7 cpv. 1).

I dati dei passeggeri aerei comunicati su richiesta di un’autorità competente devono essere contrassegnati (cfr. art. 7 cpv. 3).

Art. 9 Trasmissione di indizi

Cpv. 1

L’UIP può ricevere da un’UIP estera indizi di un possibile reato imminente di cui all’allegato 2 (cfr. art. 30).

L’UIP deve trasmettere un simile indizio all’autorità competente (cfr. art. 1 cpv. 2), la quale può effettuare, su tale base, accertamenti approfonditi ed eventualmente adottare le opportune misure per prevenire la commissione del reato.

Cpv. 2

Tra le altre informazioni che l’UIP comunica, su richiesta, all’autorità competente vi sono i dati pertinenti della persona oggetto dell’indizio come pure le eventuali corrispondenze verificate, ottenute mediante il confronto secondo l’articolo 6 capoverso 1.

Cpv. 3

In casi urgenti, l’UIP può comunicare immediatamente le informazioni di cui al capoverso 2, senza dover attendere una richiesta da parte dell’autorità competente.

Cpv. 4

Applicando per analogia l’articolo 7, l’UIP verifica in particolare se l’indizio trasmesso presenta effettivamente un nesso con il reato di cui all’allegato 2 (cfr. art. 7 cpv. 1).

Se l’UIP non è in grado di determinare con certezza quale autorità è competente per condurre ulteriori accertamenti, trasmette la comunicazione alla PGF, che appurerà a sua volta la competenza (cfr. art. 7 cpv. 2).

I dati, dopo esser stati trasmessi all’autorità competente, devono essere contrassegnati dall’UIP (cfr. art. 7 cpv. 3).

Art. 10 Revoca di contrassegni

L’autorità competente è in grado di esaminare il sospetto correlato ai dati comunicati in un quadro ben più ampio di quanto possa fare l’UIP. Sulla base dell’esame può giungere alla conclusione che gli indizi che hanno portato alla comunicazione dei dati non sono confermati o che il sospetto iniziale nei confronti di una persona oggetto di una segnalazione di ricerca si rivela infondato.

In tal caso l’autorità competente deve comunicare all’UIP che non necessita più dei dati che le sono stati trasmessi.

Non appena l’UIP prende conoscenza di questa informazione, è tenuta a revocare il contrassegno dei dati in questione. Questi dati sottostanno in seguito alle regole applicabili ai dati non contrassegnati (cfr. art. 18 e 21).

Occorrerà definire a livello d’ordinanza una procedura che ricordi alle autorità competenti, a intervalli regolari, il loro obbligo di informazione secondo l’articolo 10. Se tali autorità confermano entro un termine stabilito dall’UIP (p. es. di 10 giorni) che una determinata persona è ancora sospettata di aver commesso reati, i dati restano contrassegnati. Per contro, se l’UIP non riceve alcuna conferma in tal senso, revoca il contrassegno e, in funzione della data di registrazione nel sistema, pseudonimizza o cancella i dati non più contrassegnati. Questa procedura permette di evitare che i dati siano contrassegnati in modo ingiustificato e restino pertanto soggetti a un termine di conservazione di cinque anni.

Art. 11 Comunicazione al Servizio delle attività informative della Confederazione

Il SIC riveste un ruolo particolare nella lotta ai reati terroristici e agli altri reati gravi. La sua attività di acquisizione delle informazioni precede spesso le indagini di polizia e il perseguimento penale e serve a individuare precocemente e a prevenire le minacce alla sicurezza interna ed esterna.

Il SIC deve pertanto aver accesso ai dati grezzi relativi a determinate rotte aeree in vista del loro ulteriore trattamento, contrariamente al Servizio informazioni dell’esercito e alle autorità d’esecuzione cantonali di cui all’articolo 9 LAIn.

Il trattamento dei dati dei passeggeri aerei da parte del SIC è retto dalla LAIn, che è completata di conseguenza (cfr. all. 3 n. 1). La presente legge si limita a disciplinare la comunicazione dei dati e lo scopo lecito del trattamento.

Cpv. 1

Il capoverso 1 precisa semplicemente che il SIC riceve i dati dei passeggeri aerei di determinate rotte aeree predefinite. Tali dati gli sono comunicati automaticamente senza essere in seguito contrassegnati.

Cpv. 2

Il SIC deve poter trattare autonomamente i dati dei passeggeri aerei ai fini dell’adempimento dei compiti riportati all’articolo 6 capoverso 1 lettera a LAIn. Tuttavia, non è prevista la concessione al SIC di un accesso diretto al sistema d’informazione PNR. I dati gli sono comunicati automaticamente e soltanto in relazione a determinate rotte predefinite dal Consiglio federale.

Il SIC, conformemente alla presente legge, sottostà a un’ulteriore restrizione quando tratta i dati dei passeggeri aerei, ossia può trattarli soltanto per contrastare i reati di cui all’allegato 2 rientranti nel suo ambito di competenza secondo l’articolo 6 capoverso 1 lettera a LAIn.

Il nuovo articolo 16a LAIn rinvia in modo esplicito allo scopo previsto dalla presente legge.

L’avamprogetto di LDPA sanciva già questo scopo, che è conforme peraltro alla sentenza CGUE. Quest’ultima trae la seguente ulteriore conclusione:

«Peraltro, il carattere tassativo delle finalità […] della direttiva PNR implica anche che i dati PNR non possono essere conservati in una banca dati unica che possa essere consultata per perseguire tanto queste finalità come altre. Infatti, la conservazione di questi dati in una banca dati siffatta comporterebbe il rischio che detti dati vengano utilizzati per fini diversi»⁴⁸.

Dallo scopo sancito al capoverso 2 si deduce infine che il SIC non è autorizzato a estendere lo scopo del trattamento sul piano tecnico. Non è pertanto necessaria alcun’ulteriore regolamentazione all’interno della LDPA.

Sezione 4: Profili di rischio e liste d’osservazione

Art. 12 Profili di rischio

L’articolo 12 fornisce la base legale relativa all’elaborazione e all’utilizzo di profili di rischio e contiene inoltre una definizione di tali profili.

Grazie a una comprovata esperienza professionale e all’intuito dei collaboratori delle autorità di controllo oggi è ancora possibile individuare, tra la moltitudine di persone in entrata e in uscita dal Paese, determinati soggetti dal profilo criminale finora sconosciuti alle autorità competenti, di esaminarli in dettaglio e interrogarli in maniera approfondita o persino di arrestarli. Tuttavia, occorre considerare con occhio critico queste impressioni personali scaturite in occasione dei controlli, soprattutto perché sono di natura soggettiva e possono dare inconsapevolmente adito a discriminazioni. Per tale ragione e in considerazione del vistoso aumento negli ultimi anni del numero di persone che attraversano i posti di controllo, occorre oggi far maggior ricorso agli strumenti elettronici.

I profili di rischio nel quadro del PNR costituiscono uno di questi strumenti. Analogamente alla lista d’osservazione, sono impiegati nell’ambito del confronto automatico secondo l’articolo 6 e permettono di richiamare l’attenzione sui dati dei passeggeri aerei che presentano combinazioni di dati spesso associate alle gravi forme di criminalità.

Il profilo di rischio impiegato nel quadro del PNR non può essere considerato al pari della profilazione (cfr. art. 5 lett. f e g LPD). Il confronto dei dati dei passeggeri aerei con il profilo di rischio non comporta infatti né un’analisi della persona in questione né una previsione del suo comportamento.

I profili di rischio sono utilizzati per cercare determinati dati che appaiono in forma combinata all’interno di un set di dati dei passeggeri aerei. Una corrispondenza risultante da un confronto conferma unicamente che il set di dati oggetto della corrispondenza contiene la combinazione dei dati ricercata per mezzo del profilo di rischio.

Nella prassi, lo sviluppo dei profili di rischio rappresenta un’enorme sfida. Il loro impiego può essere efficace soltanto se chi li elabora dispone di competenze in materia criminologica e di una comprovata esperienza nel settore della consultazione dei dati.

Tutte le fasi del trattamento automatico devono essere documentate all’interno di un verbale elettronico. Lo stesso vale anche per l’utilizzo dei profili di rischio (cfr. art. 24).

I profili di rischio vanno cancellati non appena non sono più necessari (cfr. art. 22 lett. d).

Il Consiglio federale esegue verifiche riguardo all’utilizzo dei profili di rischio (cfr. art. 15).

Cpv. 1

Nei set di dati dei passeggeri aerei determinati crimini si traducono in specifiche combinazioni di dati, come nel caso della criminalità organizzata e, in particolare, della tratta di esseri umani. L’utilizzo di profili di rischio permette di ricercare sistematicamente tali combinazioni e, pertanto, di raccogliere indizi obiettivi su un reato di cui all’allegato 2 non ancora noto alle autorità.

Diversi partecipanti alla consultazione avevano rilevato con preoccupazione che i profili di rischio potrebbero presentare contenuti discriminatori. Tale preoccupazione è tuttavia infondata perché i profili di rischio non sono composti da dati che concernono una persona fisica identificata o identificabile, ossia non contengono dati personali ai sensi dell’articolo 5 lettera e LPD. Di conseguenza, non possono neanche contenere dati personali degni di particolare protezione (cfr. art. 5 lett. c LPD).

Cpv. 2

I profili di rischio sono sempre elaborati dall’UIP.

Un profilo di rischio può scaturire da una richiesta scritta da parte di un’autorità competente di cui all’articolo 1 capoverso 2. Quest’ultima deve indicare nella richiesta quali dati devono essere integrati nel profilo di rischio e a quale scopo.

L’UIP può tuttavia elaborare profili di rischio anche in assenza di tale richiesta, basandosi sulle informazioni che ha raccolto nel corso dell’attività quotidiana delle autorità di polizia e di perseguimento penale in Svizzera e all’estero.

In entrambi i casi, deve esaminare se i contenuti richiesti sono conformi allo scopo previsto e se sono sufficientemente specifici. Se constata che le informazioni fornite dall’autorità richiedente non sono sufficientemente specifiche, richiama l’attenzione di quest’ultima su tale aspetto e le offre sostegno nel precisare ulteriormente il profilo di rischio richiesto.

Cpv. 3

L’elaborazione di profili di rischio comporta esigenze elevate sul piano tecnico. Le esperienze raccolte all’estero dimostrano che i profili di rischio producono spesso un numero troppo elevato di corrispondenze.

Ciò è riconducibile alla scarsa precisione dei profili. Questi ultimi dovrebbero infatti contenere idealmente dati a carico e a discolpa.

Per motivi di protezione dei dati (cfr. art. 7 cpv. 3 LPD) e di economia processuale, i profili di rischio non devono mirare a produrre una serie di corrispondenze irrilevanti.

I profili di rischio devono essere pertanto tassativamente testati prima di essere utilizzati. Questi test devono essere condotti esclusivamente con dati generati artificialmente per mezzo di simulazioni.

Cpv. 4

I dati integrati in un profilo di rischio possono essere modificati soltanto dall’UIP, e pertanto da persone fisiche.

Art. 13 Liste d’osservazione

L’articolo 13 fornisce la base legale relativa all’elaborazione e all’utilizzo di liste d’osservazione e contiene inoltre una definizione di tali liste.

Analogamente al profilo di rischio, le liste d’osservazione sono utilizzate nell’ambito del confronto automatico di tutti i nuovi dati dei passeggeri aerei ricevuti (cfr. art. 6 cpv. 1).

Tutte le fasi del trattamento automatico devono essere documentate all’interno di un verbale elettronico. Lo stesso vale anche per l’utilizzo delle liste d’osservazione (cfr. art. 24).

La cancellazione dei contenuti di una lista d’osservazione ai così come definita nell’articolo 13 è retta dall’articolo 22 lettera d.

Il Consiglio federale esegue verifiche riguardo all’utilizzo delle liste d’osservazione (cfr. art. 15).

Cpv. 1

Le liste d’osservazione di cui all’articolo 13 permettono di ricercare, in modo mirato e diretto, determinati contenuti nei dati dei passeggeri aerei che sono correlati a reati di cui all’allegato 2 già commessi e noti alle autorità.

A differenza dei profili di rischio, le liste d’osservazione sono composte esclusivamente da dati concernenti una persona fisica o giuridica identificata o identificabile. Tale nozione riprende la definizione di dati personali in vigore fino all’abrogazione della legge federale del 19 giugno 1992⁴⁹ sulla protezione dei dati. Quest’estensione garantisce la possibilità di cercare numeri specifici di carte di credito, anche qualora tali carte non appartengano a una persona fisica, bensì a una persona giuridica.

Le liste d’osservazione non contengono neanch’esse dati personali degni di particolare protezione, dato che neppure i dati biometrici contenuti nei documenti di viaggio non fanno parte di un set di dati dei passeggeri aerei secondo l’allegato 1 (cfr. categoria 18).

Cpv. 2

Il capoverso 2 stabilisce chi può chiedere una lista d’osservazione e quali scopi di trattamento definiti dall’articolo 5 capoverso 1 devono essere osservati nell’elaborazione e utilizzo di tale strumento.

A differenza di quanto previsto per i profili di rischio, l’UIP può elaborare e utilizzare le liste d’osservazione soltanto su richiesta di un’autorità di cui all’articolo 1 capoverso 2 lettera a. Il compito dell’UIP è unicamente quello di verificare se i contenuti richiesti sono conformi allo scopo previsto e sufficientemente specifici.

Le liste d’osservazione di cui all’articolo 13 possono essere elaborate e utilizzate esclusivamente per i seguenti scopi:

• – chiarire un reato terroristico e altri reati gravi di cui all’allegato 2 che sono noti alle autorità e che sono oggetto di una procedura investigativa o di un procedimento penale (lett. a); o

• – ricercare una persona identificata che è imputata in relazione a un reato di cui all’allegato 2 (lett. b) o che, in quanto condannata per un siffatto reato a una pena detentiva con decisione passata in giudicato, cerca di sottrarsi all’espiazione della pena detentiva (lett. c).

Cpv. 3

Le liste d’osservazione possono essere elaborate e modificate soltanto dall’UIP, ossia da persone fisiche.

Art. 14 Integrazione di dati di terzi nella lista d’osservazione

L’articolo 14 prevede una norma speciale per l’integrazione di dati all’interno di una lista d’osservazione secondo l’articolo 13. L’inserimento di dati di terzi che non hanno alcun legame con il reato di cui all’allegato 2 permette infatti di ricercare indirettamente persone identificate note alle autorità.

I dati di terzi devono permettere di risalire al luogo di soggiorno di persone ricercate in relazione a un reato di cui all’allegato 2. Nello specifico, deve trattarsi di un imputato nel quadro di un procedimento penale in corso o di una persona condannata con decisione passata in giudicato che deve espiare una pena detentiva per un reato di cui all’allegato 2.

L’articolo 270 CPP prevede una regola simile che autorizza la sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni di terzi. Questa misura rappresenta tuttavia un’ingerenza molto più incisiva nei diritti della personalità altrui rispetto a quella prevista dal presente articolo e dovrebbe rivelarsi peraltro decisamente meno costosa della prima. Terze persone possono essere oggetto anche di una misura d’osservazione ai sensi dell’articolo 282 CPP.

La cancellazione dei contenuti di una lista d’osservazione secondo l’articolo 14 è retta dall’articolo 22 lettera e.

Il Consiglio federale esegue verifiche riguardo all’utilizzo della lista d’osservazione (cfr. art. 15).

Cpv. 1

Nella lista d’osservazione possono essere integrati, per un periodo limitato, dati di terzi che non hanno alcun legame diretto con un reato terroristico o un altro reato grave di cui all’allegato 2.

Soltanto un’autorità di cui all’articolo 1 capoverso 2 lettera a può chiedere per iscritto l’integrazione di dati in una lista d’osservazione secondo l’articolo 14.

In tal caso, la richiesta deve essere indirizzata al giudice dei provvedimenti coercitivi competente per l’autorità in questione. I dati di terzi possono essere infatti integrati in una lista d’osservazione soltanto previa approvazione di detto giudice.

La lista d’osservazione ha come scopo di permettere alle autorità di risalire, per mezzo dei dati dei passeggeri aerei di un terzo, al luogo di soggiorno di una persona ricercata in quanto imputata per un reato di cui all’allegato 2 o in quanto, dopo esser stata condannata con decisione passata in giudicato per un siffatto reato, cerca di sottrarsi all’espiazione della pena detentiva (art. 13 cpv. 2 lett. b e c).

Per «terzo» ai sensi dell’articolo 14 si intende una persona talmente vicina alla persona ricercata, sul piano professionale o privato, da rendere probabile l’ipotesi che possa recarsi nel luogo di soggiorno della persona ricercata per farle visita.

Al riguardo occorre tener presente che una lista d’osservazione con i contenuti descritti nell’articolo 14 può essere efficace soltanto se la terza persona e la persona ricercata intrattengono rapporti nella vita reale e una delle due persone si trova in Svizzera. Se, invece, entrambe le persone si trovano in Svizzera, non avranno bisogno di recarsi in aereo oltre frontiera per incontrarsi. Se, infine, entrambe le persone dimorano all’estero, i dati relativi alla terza persona saranno ugualmente poco utili, dato che l’UIP svizzera dispone normalmente soltanto dei dati dei passeggeri di voli operati da o verso la Svizzera.

Cpv. 2

L’integrazione dei dati di terzi nella lista d’osservazione ha una durata limitata, che deve esser stabilita dal giudice dei provvedimenti coercitivi.

Nel fissare la durata ammissibile, quest’ultimo ricorrerà verosimilmente a criteri simili a quelli adottati per misure analoghe previste dal CPP.

L’UIP deve cancellare i contenuti della lista d’osservazione alla scadenza della data stabilita dal giudice dei provvedimenti coercitivi (cfr. art. 22 lett. e).

Cpv. 3

Il giudice dei provvedimenti coercitivi comunica la sua decisione all’autorità richiedente e all’UIP.

Art. 15 Verifica dei profili di rischio e delle liste d’osservazione

I profili di rischio e le liste d’osservazione sono strumenti essenziali del PNR. Consentono di ottenere rapidamente e con uno sforzo contenuto informazioni che possono risultare importanti nella lotta alle gravi forme di criminalità.

Nel corso della consultazione è stata segnalata la necessità di verificare l’utilizzo di questi due strumenti. Poiché la verifica verterà principalmente sulla loro funzionalità, questo compito deve essere attribuito al Consiglio federale.

Cpv. 1

L’articolo 15 statuisce che l’utilizzo di profili di rischio e di liste d’osservazione deve essere oggetto di una verifica da parte del Consiglio federale.

Per poter essere utilizzati, è necessario che questi strumenti siano concepiti in modo tale da permettere di raggiungere gli scopi definiti dalla legge.

I profili di rischio che generano una moltitudine di corrispondenze non necessarie fanno perdere di vista l’essenziale e tengono inutilmente impegnate diverse risorse. I profili di rischio non sufficientemente precisi non possono essere legittimati.

Lo stesso vale per i profili di rischio che non sono fondati sugli attuali schemi comportamentali, dato che questi ultimi sono costantemente in mutazione. Se i profili di rischio non sono più attuali, non è più necessario utilizzarli e il loro contenuto va cancellato (cfr. art. 22 lett. d).

L’utilizzo delle liste d’osservazione è meno problematico, sebbene possa ugualmente generare inutili corrispondenze, ad esempio quando sono integrati cognomi diffusi senza ulteriori criteri che permettano di definire con maggiore precisione la persona ricercata.

Il motivo principale per cui le liste d’osservazione potrebbero rivelarsi non più necessarie potrebbe risiedere nel fatto che la persona ricercata è stata ritrovata. L’UIP è tenuta a cancellare i contenuti di una lista d’osservazione non più necessari (cfr. art. 22 lett. d ed e).

Cpv. 2

I dettagli di tale verifica devono essere disciplinati a livello di ordinanza. Non si ritiene tuttavia opportuno pubblicare un rapporto come invece auspicato da diversi partecipanti alla consultazione. Ragioni di sicurezza e di protezione della personalità impongono infatti di rinunciare alla pubblicazione di un rapporto dall’alto valore informativo.

Sezione 5. Sistema d’informazione PNR

Art. 16

Cpv. 1

Il trattamento dei dati dei passeggeri aerei avviene all’interno del sistema d’informazione PNR. Maggiori dettagli al riguardo sono riportati al numero 6.1.

Cpv. 2

Fedpol gestisce il sistema d’informazione PNR, rivestendo il ruolo di titolare del trattamento conformemente all’articolo 5 lettera j LPD.

Fedpol è pertanto tenuto segnatamente a:

• – adottare i provvedimenti tecnici e organizzativi necessari affinché il trattamento dei dati personali sia conforme alle disposizioni sulla protezione dei dati (art. 7 cpv. 1 LPD);

• – garantire, mediante appropriate impostazioni predefinite, che il trattamento dei dati personali sia circoscritto al minimo indispensabile per lo scopo perseguito (art. 7 cpv. 3 LPD);

• – garantire, mediante appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adeguata al rischio (art. 8 cpv. 1 LPD);

• – tenere un registro delle attività di trattamento (art. 12 LPD);

• – effettuare una valutazione d’impatto sulla protezione dei dati, a condizione che siano adempiute le condizioni per allestire tale valutazione (art. 22 LPD);

• – notificare quanto prima all’IFPDT ogni violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata (art. 24 cpv. 1 LPD);

• – informare la persona interessata sulla violazione della sicurezza dei dati, se ciò è necessario per proteggere la persona interessata o se lo esige l’IFPDT (art. 24 cpv. 4 LPD).

È tenuto inoltre a:

• – informare chiunque ne abbia fatto domanda, se dati personali che lo concernono sono oggetto di trattamento (art. 25 LPD, fatte salve le restrizioni ai sensi dell’art. 26 della presente legge);

• – consegnare a chiunque ne abbia fatto richiesta, fatte salve le restrizioni ai sensi dell’articolo 29 LPD, i dati personali trattati in modo automatizzato (art. 28 LPD);

• – trattare l’opposizione, presentata da una persona interessata, alla comunicazione dei suoi dati personali (art. 37 LPD);

• – trattare le richieste di una persona interessata ai sensi dell’articolo 41 LPD.

Gli articoli 17–26 D-LDPA contengono disposizioni che precisano in parte tali prescrizioni e prevalgono sulle disposizioni generali della LPD.

Cpv. 3 e 4

L’accesso ai dati dei passeggeri aerei e ai risultati del loro trattamento è riservato ai collaboratori che lo necessitano imperativamente per l’adempimento dei loro compiti. Il diritto d’accesso è attribuito in primo luogo ai collaboratori dell’UIP (lett. a). Anche il consulente per la protezione dei dati di fedpol deve disporre di un’autorizzazione d’accesso ai fini dell’adempimento dei compiti previsti dalla LPD (lett. b).

Devono ugualmente avere diritto d’accesso le persone che sono responsabili dello sviluppo, del perfezionamento o della manutenzione del sistema d’informazione PNR o che forniscono supporto tecnico (lett. c). Tale necessità deriva anche dall’assai ampia definizione di trattamento dei dati.

Per «trattamento» si intende infatti qualsiasi operazione relativa ai dati personali, indipendentemente dai mezzi e dalle procedure impiegati (cfr. art. 5 lett. d LPD). Il supporto agli utenti può pertanto già costituire un trattamento dei dati. Per quanto riguarda gli aspetti tecnici, entrano in linea di conto per il trattamento dei dati PNR soltanto i fornitori di prestazioni che si sono aggiudicati l’appalto nell’ambito del bando di concorso OMC Alpin 2.0. Il bando Alpin 2.0 garantisce un pool di prestazioni di progetto per progetti chiave TIC, grandi progetti TIC o progetti complessi e strategici di tutta l’Amministrazione federale. Le commesse concrete vengono attribuite agli aggiudicatari nell’ambito di una procedura elettronica di mini-gara (concorso). Tutti i fornitori di prestazioni scelti per intervenire nel trattamento devono inoltre aver superato con successo un controllo di sicurezza ampliato.

La gestione e la manutenzione del sistema d’informazione PNR rientrano nella responsabilità del Centro servizi informatici CSI-DFGP e dei suoi collaboratori. A tal fine non viene fatto ricorso a fornitori di prestazioni esterni.

Infine, secondo la lettera d, anche le autorità competenti (cfr. art. 1 cpv. 2) devono poter accedere al sistema d’informazione PNR al fine di ricevere e trattare i dati che sono loro comunicati dall’UIP. L’accesso è limitato al «prelievo» di tali dati.

Sezione 6: Protezione dei dati

Art. 17 Principi

I dati dei passeggeri aerei sono trattati non solo dall’UIP, ma anche dalle autorità federali e cantonali cui tali dati sono comunicati ai sensi della presente legge.

Nel quadro della consultazione era stata sottolineata la necessità di statuire nella legge che il trattamento dei dati è retto da basi legali in materia di protezione dei dati differenti in funzione dell’autorità competente.

In una prima fase occorre determinare se si tratta di un’autorità federale o cantonale e, pertanto, se è applicabile il diritto federale o cantonale. Un caso particolare è costituito tuttavia dalle autorità di perseguimento penale (v. commento al cpv. 2).

In una seconda fase occorre, invece, verificare se a una determinata autorità si applicano disposizioni particolari federali o cantonali che prevalgono sul diritto generale federale o cantonale in materia di protezione dei dati.

Cpv. 1

Nel messaggio del 15 settembre 2017⁵⁰ concernente la legge federale relativa alla revisione totale della legge sulla protezione dei dati e alla modifica di altri atti normativi sulla protezione dei dati, (di seguito: messaggio concernente la nuova LPD), il Consiglio federale ha rilevato quanto segue:

«Va inoltre osservato che, alla stregua del diritto vigente, il D-LPD disciplina la protezione dei dati in generale. Se il trattamento di dati rientra nel campo d’applicazione di altre leggi federali, in virtù della regola della lex specialis (secondo cui le norme speciali prevalgono sulle norme generali) si applicano in linea di massima le norme sulla protezione dei dati specifiche a un determinato settore».

Quale autorità federale, l’UIP è tenuta a rispettare la LPD nel quadro del trattamento dei dati, salvo disposizione contraria della presente legge. Orbene, le disposizioni in materia di protezione dei dati della presente legge e in particolare gli articoli 17–26 vanno considerate disposizioni speciali e prevalgono pertanto sulla LPD.

Cpv. 2

Le disposizioni in materia di protezione dei dati previste dal D-LDPA non si applicano alle autorità che ricevono i dati dall’UIP ai sensi della presente legge. A seconda dell’autorità interessata, non sono neanche applicabili le disposizioni della LPD.

Autorità di perseguimento penale federali e cantonali: nei procedimenti pendenti, la protezione dei dati da garantire è retta dal diritto procedurale applicabile e in particolare dagli articoli 95–103 CPP. Il diritto federale e cantonale in materia di protezione dei dati è applicabile soltanto una volta che il procedimento è chiuso (cfr. art. 99 cpv. 1 CPP). Si applica ugualmente alle procedure amministrative di primo grado (cfr. art. 2 cpv. 3 LPD). Nel messaggio concernente la nuova LPD, il Consiglio federale precisa a tale riguardo quanto segue:

«Secondo l’articolo 2 capoverso 3 D-LPD il trattamento di dati personali e i diritti delle persone interessate nei procedimenti giudiziari e nei procedimenti secondo gli ordinamenti procedurali federali sono retti dal diritto procedurale applicabile. La norma disciplina il rapporto tra la LPD e il diritto procedurale e stabilisce come principio generale che le modalità del trattamento di dati personali e i diritti delle persone interessate nell’ambito di procedimenti sono rette esclusivamente dal diritto procedurale applicabile. Il diritto procedurale garantisce anch’esso la tutela della personalità e dei diritti fondamentali di tutte le persone coinvolte assicurando così una protezione equivalente a quella della LPD. Se in questo settore si applicasse la LPD, si correrebbe il rischio di un conflitto normativo e di contraddizioni, che potrebbero intaccare il ponderato sistema del diritto procedurale applicabile»⁵¹.

Autorità di polizia della Confederazione al di fuori di un procedimento penale: la protezione dei dati è retta dalla LPD, sempre che il diritto federale non preveda disposizioni speciali. Simili disposizioni sono presenti nella LSIP, nella LMSI e nell’ordinanza del 30 novembre 2001⁵² sull’adempimento di compiti di polizia giudiziaria in seno all’Ufficio federale di polizia.

Autorità di polizia dei Cantoni al di fuori di un procedimento penale: la protezione dei dati è retta dalla legge cantonale sulla protezione dei dati, sempre che il diritto cantonale non preveda disposizioni speciali.

SIC: gli articoli 44–67 LAIn prevalgono sulle disposizioni della LPD.

Autorità d’esecuzione cantonali ai sensi dell’articolo 9 LAIn: ove tali autorità cantonali agiscano da autorità d’esecuzione cantonali ai sensi dell’articolo 46 capoverso 1 LAIn, sottostanno al diritto federale in materia di protezione dei dati, sempre che non prevalgano disposizioni particolari della LAIn. Per contro, se i servizi d’informazione cantonali operano nel proprio settore di competenza cantonale, la protezione dei dati da garantire è retta dal diritto cantonale.

Art. 18 Pseudonimizzazione dei dati dei passeggeri aerei

La pseudonimizzazione consiste nel sostituire i dati che permettono di risalire a una persona specifica con indicazioni neutre (pseudonimi). Una tabella delle concordanze specifica lo pseudonimo che corrisponde ai dati di identificazione. La tabella deve essere registrata al di fuori del sistema d’informazione PNR. Fintanto che questa tabella esiste ed è accessibile alle persone autorizzate, la pseudonimizzazione può essere revocata (cfr. art. 19 e 20).

Nel quadro della procedura di consultazione, diversi partecipanti avevano chiesto, in parte richiamandosi alla sentenza CGUE, di ridurre considerevolmente la durata di conservazione dei dati che non necessitano di essere conservati per un periodo più lungo.

La suddetta richiesta implica che nell’intero campo d’applicazione del PNR sia effettuata una distinzione tra i dati che forniscono indizi obiettivi per ritenere che determinate persone possano rappresentare un pericolo in materia di reati terroristici o di gravi forme di criminalità («dati contrassegnati») e i dati che non forniscono invece alcun indizio in tal senso (altri dati relativi ai passeggeri aerei). La presente legge prevede quindi norme differenti per questi due tipi di dati.

Una di queste norme è rappresentata dalla pseudonimizzazione. Conformemente all’articolo 18, devono essere pseudonimizzati soltanto i dati che non sono stati comunicati a un’autorità competente e che non sono pertanto stati contrassegnati in virtù dell’articolo 7 capoverso 3. Allo stesso modo, i dati il cui contrassegno è stato successivamente revocato (cfr. art. 10) devono essere pseudonimizzati un mese dopo la loro introduzione nel sistema d’informazione PNR.

Conformemente al messaggio concernente la nuova LPD, la pseudonimizzazione costituisce un provvedimento tecnico appropriato per garantire la sicurezza dei dati personali (cfr. art. 8 LPD). Nello stesso messaggio, il Consiglio federale precisa inoltre che la LPD non si applica ai dati «… la cui identificazione da parte di un terzo è impossibile (i dati sono stati anonimizzati in modo completo e definitivo) o sarebbe possibile soltanto con uno sforzo che nessun interessato è disposto a fare. Tale regola vale anche per i dati pseudonimizzati»⁵³.

La pseudonimizzazione consiste nell’attribuire uno pseudonimo ai dati contenuti in un set che permettono di risalire alla persona fisica interessata. Una volta pseudonimizzati, i dati in questione non possono essere più attribuiti a una persona identificata o identificabile, perdendo quindi il loro status di dati personali.

Nel messaggio concernente la nuova LPD, il Consiglio federale aggiunge che la pseudonimizzazione è un provvedimento tecnico che deve permettere di «evitare violazioni della sicurezza dei dati, ossia qualsiasi violazione in seguito alla quale, in modo accidentale o illecito, dati personali vanno persi, sono cancellati, distrutti, modificati oppure divulgati o resi accessibili a persone non autorizzate»⁵⁴.

Un set di dati dei passeggeri aerei contiene i seguenti dati personali ai sensi dell’articolo 5 lettera a LPD (cfr. all. 1 della presente legge):

• – nome/i e cognome/i del passeggero aereo nonché nomi e cognomi di altri passeggeri figuranti nei dati PNR (categorie 4 e 17);

• – indirizzo e dati di contatto (categoria 5);

• – dettagli sulle carte di credito utilizzate e indirizzo di fatturazione (categoria 6);

• – programma per viaggiatori abituali («frequent flyer»; categoria 8);

• – nome dell’agenzia / dell’agente di viaggio che ha effettuato la prenotazione del biglietto (categoria 9);

• – informazioni sui minori non accompagnati di età inferiore a 18 anni: nome e sesso, età, lingue parlate, nome e dati di contatto dell’accompagnatore alla partenza e indicazione della relazione di quest’ultimo con il minore, nome e recapito della persona che prende in consegna il minore all’arrivo e indicazione della relazione di quest’ultimo con il minore, nome e dati di contatto del collaboratore dell’aeroporto che accompagna il minore alla partenza e all’arrivo (categoria 12);

• – dati API (cfr. art. 104 cpv. 3 LStrI), che sono al contempo dati personali: (a) generalità del passeggero aereo (cognome, nome, sesso, data di nascita, cittadinanza); (b) numero, Stato di rilascio, tipo e data di scadenza del documento di viaggio utilizzato; (c) numero, Stato di rilascio, tipo e data di scadenza del visto o del titolo di soggiorno utilizzato, nella misura in cui l’impresa di trasporto aereo disponga di questi dati (categoria 18);

• – modifiche successive dei dati dei passeggeri aerei elencati nel set di dati (categoria 19).

I dati personali rientranti in queste categorie di dati devono essere pseudonimizzati.

Contrariamente a quanto avviene per l’anonimizzazione, la pseudonimizzazione può essere revocata a determinate condizioni.

I dati che presentano indizi obiettivi relativi a gravi forme di criminalità, che sono stati comunicati a un’autorità competente di cui all’articolo 1 capoverso 2 in vista di ulteriori accertamenti e che sono stati pertanto contrassegnati dall’UIP (cfr. art. 7) non devono invece essere pseudonimizzati.

Cpv. 1

I dati dei passeggeri aerei che non contengono indizi obiettivi relativi a gravi forme di criminalità e che, di conseguenza, non sono stati comunicati a un’autorità di cui all’articolo 1 capoverso 2 non sono contrassegnati (cfr. art. 7 cpv. 3). Tali dati sono pseudonimizzati automaticamente un mese dopo la loro introduzione nel sistema d’informazione PNR e non possono più essere attribuiti al passeggero aereo in questione.

I dati contrassegnati non sono invece pseudonimizzati.

Cpv. 2

Se l’autorità competente constata che non necessita più dei dati per i suoi procedimenti, lo comunica all’UIP. Quest’ultima revoca in seguito il contrassegno ai dati in questione (cfr. art. 10 cpv. 2).

In seguito alla revoca del contrassegno, l’UIP provvede a:

• – pseudonimizzare i dati, se il volo cui si riferiscono risale a un periodo compreso tra un mese e sei mesi prima; o

• – a cancellarli, se il volo risale a oltre sei mesi prima (cfr. art. 21 cpv. 2).

Art. 19 Revoca ordinaria della pseudonimizzazione

Sono pseudonimizzati soltanto i dati personali contenuti in un set che non sono contrassegnati o il cui contrassegno è stato successivamente revocato (cfr. art. 18 cpv. 2).

Malgrado il confronto automatico dei dati dei passeggeri aerei secondo l’articolo 6 e la successiva verifica manuale, il termine di un mese che intercorre fino alla pseudonimizzazione è molto breve. Deve essere pertanto possibile consultare i dati del sistema d’informazione PNR anche nel caso in cui risalgano a più di un mese e, non essendo contrassegnati, risultino pseudonimizzati. Per effettuare simili ricerche di dati storici è necessario poter annullare, se del caso, la pseudonimizzazione.

L’articolo 19 statuisce che la pseudonimizzazione può essere revocata se il TAF considera adempiuti i presupposti legali e approva questa fase del trattamento.

Dal punto di vista tecnico è garantito che la revoca della pseudonimizzazione approvata dal TAF possa essere eseguita soltanto se:

• – è effettuata da una persona abilitata a farlo; e

• – la sentenza del TAF è menzionata o vi si fa sufficientemente riferimento in altro modo.

Questa fase è verbalizzata affinché sia possibile verificare a posteriori se la pseudonimizzazione è stata eseguita conformemente al diritto (cfr. art. 24).

Secondo gli articoli 19 e 20 la pseudonimizzazione deve essere revocata se un’autorità competente lo richiede.

Se una richiesta d’accesso da parte della persona interessata secondo l’articolo 26 capoverso 1 necessita della revoca della pseudonimizzazione, questa fase può essere effettuata in assenza di una decisione del TAF, quindi non in virtù delle disposizioni summenzionate. La pertinente base legale è costituita dall’articolo 25 capoverso 2 lettera b LPD, secondo cui alla persona interessata, nell’accesso accordatole, vanno comunicati «i dati personali trattati in quanto tali».

Tuttavia, occorre verbalizzare anche la revoca della pseudonimizzazione sulla base di una richiesta d’accesso (v. art. 24). Il verbale deve menzionare tale richiesta o farvi sufficientemente riferimento in altro modo. Le modalità saranno disciplinate in dettaglio a livello d’ordinanza.

Cpv. 1

Le autorità di cui all’articolo 1 capoverso 2 possono chiedere all’UIP la revoca della pseudonimizzazione.

Cpv. 2 e 3

In un primo momento, l’UIP verifica se la domanda è sufficientemente motivata, ossia se:

• – i dati che dovrebbero essere oggetto della revoca della pseudonimizzazione sono ben definiti; tale requisito è soddisfatto quando la domanda di revoca concerne ad esempio una determinata persona. In casi eccezionali debitamente motivati, la domanda di pseudonimizzazione può riguardare anche un intero volo;

• – è reso verosimile che la revoca della pseudonimizzazione fornisca informazioni determinanti ai fini del perseguimento di un determinato reato di cui all’allegato 2; le informazioni richieste devono essere descritte nel modo più preciso possibile.

Se la domanda non è motivata o non lo è in maniera sufficiente, l’UIP ne dà comunicazione all’autorità richiedente, che ha in seguito la possibilità di completarla (cpv. 3).

L’UIP raccomanda di revocare la pseudonimizzazione, laddove ciò permetta sul piano tecnico di ottenere le informazioni ricercate. Non è invece possibile ottenere sul piano tecnico le informazioni ricercate che non sono oggetto di un set di dati dei passeggeri o che risalgono a oltre sei mesi. Tali dati sono infatti già stati cancellati (in quanto non contrassegnati) o non sono stati pseudonimizzati (in quanto contrassegnati).

Se la domanda è sufficientemente motivata, l’UIP la trasmette al TAF, unitamente alla propria raccomandazione.

Cpv. 4 e 5

Il TAF decide su un’eventuale revoca della pseudonimizzazione. La competenza di un tribunale è richiesta anche dal diritto tedesco⁵⁵ e austriaco⁵⁶ in applicazione dell’articolo 12 paragrafo 3 della direttiva PNR.

Il tempo massimo concesso al TAF è di cinque giorni lavorativi. Tale termine non esenta tuttavia il TAF dal prendere una decisione il prima possibile in funzione della gravità del sospetto.

La decisione è definitiva. I ricorsi presso il TAF per decisioni in materia di sicurezza interna o esterna della Svizzera sono inammissibili in virtù dell’articolo 83 lettera a della legge del 17 giugno 2005⁵⁷ sul Tribunale federale.

Cpv. 6

Il TAF notifica la sua decisione all’UIP e all’autorità richiedente.

Art. 20 Revoca della pseudonimizzazione in caso d’urgenza

La procedura in caso d’urgenza si fonda sull’articolo 31 LAIn.

In simili casi, il direttore di fedpol deve poter ordinare la revoca della pseudonimizzazione. In seguito deve informarne senza indugio il capo del DFGP, che può far sospendere tale revoca (cfr. art. 31 cpv. 1 LAIn).

Quest’ultimo procede in tal senso soltanto se sussistono dubbi riguardo all’urgenza. La decisione di sospensione impone di annullare tutte le azioni già compiute per revocare la pseudonimizzazione e di attendere la decisione del TAF.

Il TAF decide entro tre giorni lavorativi in merito alla domanda del direttore di fedpol (cfr. art. 31 cpv. 2 e 3 LAIn).

In caso di decisione negativa da parte del TAF, tutte le azioni compiute in seguito alla decisione provvisoria ordinata dal direttore di fedpol devono essere completamente annullate.

Art. 21 Durata di conservazione e cancellazione dei dati dei passeggeri aerei

L’articolo 21 concerne esclusivamente i dati dei passeggeri aerei e ne disciplina la cancellazione e pertanto, indirettamente, la durata di conservazione.

La cancellazione di tutti gli altri dati risultanti dal trattamento effettuato dall’UIP o collegati a questo trattamento è retta dall’articolo 22. La cancellazione dei verbali costituisce un’eccezione (cfr. art. 24 cpv. 4).

Sono considerati cancellati ai sensi della presente legge i dati e le informazioni che sono stati cancellati irrevocabilmente e che non possono pertanto essere ripristinati. La cancellazione avviene in modo automatico, sovrascrivendo più volte lo spazio di memoria.

Nella sentenza del 21 giugno 2022 la CGUE ha precisato in modo inequivocabile che una durata di conservazione di sei mesi per tutti i dati dei passeggeri aerei è da considerarsi ammissibile.

Per contro, una conservazione che ecceda tale durata dovrebbe limitarsi a quanto strettamente necessario ai fini delle indagini e del perseguimento penale:

«Nei limiti in cui, tuttavia, sono identificati, in casi particolari, elementi obiettivi, come i dati PNR […] che hanno dato luogo a un riscontro positivo verificato, che consentano di ritenere che taluni passeggeri potrebbero presentare un rischio in materia di reati di terrorismo e di reati gravi, un’archiviazione dei loro dati PNR appare ammissibile al di là di tale periodo iniziale»⁵⁸.

Diversi partecipanti alla consultazione hanno sostenuto questo punto di vista, richiamando in alcuni casi la sentenza CGUE nei loro pareri.

L’articolo 21 prevede quindi diverse durate di conservazione a seconda dei dati, ossia:

• – sei mesi, per i dati non contrassegnati;

• – fino alla revoca del contrassegno e al massimo cinque anni dalla loro introduzione nel sistema d’informazione PNR, per i dati contrassegnati che risalgono a più di sei mesi prima.

Questa regolamentazione indiretta permette inoltre di precisare che le durate di conservazione autorizzate sono da considerarsi come termini perentori.

Cpv. 1

Una durata di conservazione di sei mesi si applica a tutti i dati dei passeggeri aerei non contrassegnati. Trascorso questo termine, i dati sono cancellati automaticamente.

Cpv. 2

I dati dei passeggeri aerei contrassegnati possono essere conservati per un periodo di cinque anni, dopodiché sono cancellati automaticamente.

Se il contrassegno è revocato prima della scadenza della durata di conservazione prevista per i dati contrassegnati, l’UIP è tenuta, in funzione della loro data di introduzione nel sistema d’informazione PNR, a pseudonimizzare o cancellare immediatamente questi dati, che sono nuovamente considerati come dati non contrassegnati (v. commento all’art. 18 cpv. 2).

Art. 22 Cancellazione di altri dati

Contrariamente all’articolo 21, che disciplina la cancellazione dei dati dei passeggeri aerei, l’articolo 22 verte sugli altri dati che possono risultare dal trattamento dei dati dei passeggeri aerei conformemente alla presente legge.

La cancellazione è effettuata «senza indugio», ossia subito dopo aver preso conoscenza delle circostanze che la impongono.

Sono considerati cancellati ai sensi della presente legge i dati e le informazioni rimossi irrevocabilmente e che non possono, pertanto, essere più ripristinati. La cancellazione avviene in modo automatico, sovrascrivendo più volte lo spazio di memoria.

Lett. a

In virtù dell’articolo 5 capoverso 2, l’UIP può trattare soltanto i dati biometrici e quelli concernenti procedimenti o sanzioni amministrativi e penali e deve, quindi, cancellare senza indugio tutti gli altri dati personali degni di particolare protezione.

Lett. b

Tutte le corrispondenze risultanti dal confronto automatico devono essere verificate manualmente prima di essere comunicate a un’autorità competente (cfr. art. 6 cpv. 2).

La lettera b definisce in quali circostanze le corrispondenze verificate non vanno comunicate, bensì cancellate immediatamente.

Nello specifico, occorre procedere alla cancellazione quando le corrispondenze non sono chiaramente attribuibili a un reato di cui all’allegato 2 (cfr. lett. b n. 1) o nel caso in cui la persona ricercata e il passeggero aereo non corrispondano (cfr. lett. b n. 2).

Lett. c

I dati dei passeggeri aerei che sono stati comunicati a un’autorità di cui all’articolo 1 capoverso 2 e che sono pertanto contrassegnati sono cancellati automaticamente dopo un periodo di cinque anni, a condizione che il loro contrassegno non sia stato precedentemente revocato (cfr. art. 21 cpv. 2).

La lettera c statuisce che i dati comunicati all’autorità competente unitamente a quelli dei passeggeri aerei devono essere cancellati non appena questi ultimi siano stati cancellati.

Lett. d

I profili di rischio e le liste d’osservazione contengono dati che non sono cancellati in virtù dell’articolo 21. La lettera d prevede pertanto che tali dati debbano essere cancellati, non appena non siano più necessari.

Lett. e

Un caso particolare è costituito dai dati registrati in una lista d’osservazione di cui all’articolo 14. Questi dati devono essere cancellati dopo la scadenza del termine stabilito dal giudice dei provvedimenti coercitivi (cfr. art. 14 cpv. 2). Qualora non dovessero risultare più necessari già prima della scadenza di tale termine, devono essere cancellati conformemente alla lettera d.

Art. 23 Trattamento di dati anonimizzati

I dati sono considerati anonimizzati se non sono più attribuibili a una persona identificata o identificabile e ciò ha carattere irrevocabile.

Con l’anonimizzazione i dati perdono irrevocabilmente il loro status di dati personali (cfr. art. 5 lett. a LPD). La natura irrevocabile dell’anonimizzazione la contraddistingue dalla pseudonimizzazione. Quest’ultima può essere infatti revocata a determinate condizioni (cfr. art. 19 e 20), cosicché i dati possono essere nuovamente attribuiti a una persona identificata o identificabile.

L’UIP può trattare i dati anonimizzati a fini statistici. Può altresì offrirli all’Archivio federale per l’archiviazione (cfr. art. 6 della legge del 26 giugno 1998⁵⁹ sull’archiviazione).

Art. 24 Verbalizzazione del trattamento dei dati

Cpv. 1

Le fasi del trattamento che devono essere verbalizzate sono rette dall’articolo 4 capoverso 2 OPDa: secondo questa disposizione, in caso di trattamento automatico dei dati personali occorre verbalizzare almeno la registrazione, modificazione, lettura, comunicazione, cancellazione e distruzione dei dati.

Il diritto svizzero in materia di protezione dei dati non contempla una definizione giuridica della nozione di «automatizzato». Secondo le delucidazioni scritte dell’Ufficio federale di giustizia (UFG) del 23 novembre 2022, per «automatizzato» s’intende l’opposto di «manuale». A tale riguardo, l’UFG aggiunge che il trattamento manuale dei dati sottintende l’azione di una persona, mentre quello automatizzato è effettuato da una macchina, ossia da un apparecchio con comando meccanico o elettronico che fa sì che le operazioni eseguite in modo autonomo producano un risultato dipendente da un ordine precedente.

L’UFG sottolinea tuttavia che l’obbligo di verbalizzazione si applica anche ai casi in cui determinati processi di lavoro devono essere effettuati manualmente. Precisa inoltre che la verbalizzazione deve avvenire in particolare quando non è possibile stabilire a posteriori se i dati sono stati trattati conformemente agli scopi per i quali erano stati raccolti o comunicati.

In virtù dell’articolo 4 capoverso 4 OPDa, i verbali devono fornire informazioni:

• – sull’identità della persona che ha effettuato il trattamento,

• – sul tipo di trattamento,

• – sulla data e l’ora del trattamento e

• – sull’identità dell’eventuale destinatario dei dati.

I verbali permettono pertanto di verificare a posteriori ogni trattamento dei dati personali.

Cpv. 2 e 3

Il capoverso 2 definisce gli scopi perseguiti dalla verbalizzazione⁶⁰. Il fatto che tali scopi siano enunciati in modo esaustivo esclude la possibilità che i verbali possano essere utilizzati per sorvegliare i collaboratori. Tale possibilità è esclusa anche dalle autorizzazioni d’accesso previste dal capoverso 3.

Cpv. 4

I verbali sono allestiti in modo automatico e vanno conservati al di fuori del sistema d’informazione PNR. In questo modo viene garantito che non vengano manipolati e restino al sicuro, anche in caso di ciberattacco. È prevista la registrazione dei verbali relativi al PNR nell’infrastruttura del CSI-DFGP.

Il rapporto esplicativo sull’OPDa precedentemente menzionato rileva che i verbali debbano essere conservati per almeno un anno (cfr. art. 4 cpv. 5 OPDa). «Questa durata minima non consente tuttavia di conservare i verbali per un periodo di tempo eccessivo. Il periodo di conservazione deve essere proporzionato al fine della sicurezza dei dati»⁶¹.

La presente legge prevede che i verbali relativi al trattamento automatizzato dei dati dei passeggeri aerei siano disponibili un anno in più rispetto ai dati il cui trattamento è stato verbalizzato. Trascorso tale termine, vanno cancellati.

Fino alla loro cancellazione, i verbali devono essere disponibili per fini di controllo e sorveglianza, ma non per l’UIP.

Art. 25 Vigilanza e sorveglianza

Il consulente per la protezione dei dati di fedpol vigila sul rispetto delle norme sulla protezione dei dati all’interno di fedpol in modo indipendente e senza ricevere istruzioni (cfr. art. 26 cpv. 1 e 2 OPDa). Assolve tale compito anche per quanto riguarda l’UIP.

Funge inoltre da servizio di contatto dell’IFPDT (art. 28 OPDa).

Fedpol è tenuto a concedere al consulente per la protezione dei dati l’accesso a qualsiasi informazione, documento, registro delle attività di trattamento e dato personale necessario all’adempimento dei suoi compiti e a comunicargli eventuali violazioni della sicurezza dei dati.

Nonostante la funzione di assistenza e supervisione⁶² attribuita al consulente per la protezione dei dati, la sorveglianza vera e propria è affidata all’IFPDT.

Non spetta tuttavia né al consulente per la protezione dei dati né all’IFPDT, bensì a fedpol (cfr. messaggio concernente la nuova LPD⁶³), garantire che l’UIP tratti i dati personali conformemente alle norme pertinenti.

Art. 26 Diritto d’accesso

Le imprese di trasporto aereo sono tenute a informare i passeggeri del trattamento dei loro dati secondo la presente legge al momento della prenotazione dei biglietti aerei (cfr. art. 4).

Le informazioni fornite dalle imprese di trasporto aereo permettono alle persone interessate di esercitare il loro diritto d’accesso ai sensi dell’articolo 26. Le richieste d’accesso vanno presentate a fedpol.

I diritti d’accesso si distinguono in:

• – diritto d’accesso diretto (cpv. 1), che si applica ai dati risalenti a non oltre sei mesi ed è retto dagli articoli 25–28 LPD; e

• – diritto d’accesso indiretto (cpv. 2), che si applica ai dati risalenti a oltre sei mesi ed è retto dall’articolo 8 LSIP.

Questo approccio diversificato in base alla data cui risalgono i dati si spiega con il fatto che dopo sei mesi sono conservati soltanto i dati dei passeggeri aerei contrassegnati che sono in fase di trattamento presso l’autorità competente. Ora, l’accesso a dati relativi a un volo risalente a oltre sei mesi potrebbe segnalare al richiedente di essere oggetto di un procedimento in corso e che eventuali sospetti gravano sulla sua persona.

Fornire a una persona sospetta le informazioni da essa richieste potrebbe così compromettere in modo significativo le indagini preliminari e le procedure investigative in corso.

Se è vero che l’articolo 26 capoverso 2 lettera b LPD prevede in tali casi la possibilità di rifiutare, limitare o differire l’informazione, è altresì vero che, ai sensi della stessa legge, occorre fornire informazioni diverse alla maggior parte dei passeggeri dello stesso volo, ossia che i loro dati non sono o non sono più trattati, in quanto sono già stati cancellati in virtù dell’articolo 21 capoverso 1.

Nel caso dei dati dei passeggeri aerei, il fatto di rifiutare, limitare o differire l’informazione secondo l’articolo 26 capoverso 2 lettera b LPD sottintende che i dati in questione continueranno a essere trattati dopo la scadenza del periodo di sei mesi. La persona in questione potrebbe venirne così a conoscenza. I dati dei passeggeri aerei possono essere infatti trattati per un periodo superiore a sei mesi soltanto se sono contrassegnati e sono stati comunicati da un’autorità competente.

Per evitare quest’informazione indesiderata, la LDPA rinvia al diritto d’accesso indiretto ai sensi dell’articolo 8 LSIP.

A prescindere dalla presenza dei dati, in tali casi fedpol fornisce pertanto sempre la stessa risposta, ossia che l’informazione sarà differita. Il richiedente ha tuttavia il diritto di chiedere all’IFPDT di verificare se eventuali dati che lo riguardano sono trattati in modo lecito.

L’IFPDT procede alla verifica se indizi sufficienti lasciano presumere che un trattamento di dati potrebbe violare le disposizioni sulla protezione dei dati (art. 49 cpv. 1 LPD). Informa in seguito il richiedente sulle misure intraprese e sull’esito di un’eventuale inchiesta.

Questa informazione, di carattere elementare per il richiedente, non è mai rifiutata neanche nel quadro del diritto d’accesso indiretto previsto dall’articolo 8 LSIP, quindi neppure alle persone i cui dati sono contrassegnati presso l’UIP e trattati da un’autorità competente di cui all’articolo 1 capoverso 2.

Indipendentemente dalle considerazioni di cui sopra, fedpol deve fornire le informazioni al richiedente appena viene meno l’interesse al mantenimento del segreto, ma al più tardi allo scadere della durata massima di conservazione di cinque anni. Le persone di cui non sono stati trattati dati ne sono informate da fedpol tre anni dopo la ricezione della loro domanda (cfr. art. 8 cpv. 6 LSIP).

Sezione 7: Organizzazione e personale dell’UIP

Art. 27 Organizzazione

Cpv. 1

L’UIP deve essere aggregata a fedpol. Quest’a scelta deriva, da un lato, dallo scopo del trattamento dei dati e, dall’altro, dalla vasta esperienza maturata da fedpol nella gestione di sistemi di informazione, che avrà senza dubbio ripercussioni positive sulla creazione e la gestione del sistema d’informazione PNR.

Cpv. 2

Vista la particolarità dei dati dei passeggeri aerei, la cui protezione deve essere garantita, è opportuno separare l’UIP sul piano organizzativo dalle unità di fedpol che svolgono compiti di indagine. Viene sancita esplicitamente anche l’indipendenza sul piano del personale, escludendo così l’eventualità che singoli collaboratori possano lavorare contemporaneamente sia presso l’UIP sia presso un’autorità inquirente o di perseguimento penale.

Ciò permette di evitare che queste autorità ricevano in modo informale un accesso privilegiato a informazioni detenute dall’UIP. Tutte le autorità competenti di cui all’articolo 1 capoverso 2, siano esse federali o cantonali, saranno pertanto soggette alle stesse condizioni per ottenere dati dall’UIP.

Per quanto concerne il PNR, l’UIP collocata in seno a fedpol deve fungere da punto di contatto unico sia per le imprese di trasporto aereo sia per le UIP estere.

Ove necessario, garantirà un servizio operativo 24 ore su 24, sette giorni su sette, per poter verificare in tempo utile i dati dei passeggeri aerei pervenuti anche in orari marginali.

Art. 28 Personale

L’UIP si comporrà, in parti uguali, di collaboratori della Confederazione e dei Cantoni. Distaccando i propri collaboratori, i Cantoni partecipano ai costi dell’UIP. Non è prevista una loro partecipazione supplementare.

Poiché i collaboratori cantonali sono integrati temporaneamente nella struttura dell’UIP senza cessazione del loro rapporto di lavoro presso il Cantone, questa forma di collaborazione è maggiormente equiparabile a un vero e proprio lavoro a prestito di lavoratori, che rappresenta un tipo di fornitura di personale a prestito. Nel messaggio del 27 novembre 1985⁶⁴ concernente la revisione della legge federale sul servizio di collocamento e la fornitura di servizi, il Consiglio federale osserva al riguardo:

«Il lavoratore non esegue la prestazione dovuta nell’impresa del suo datore di lavoro, ma appunto nell’impresa terza; questa situazione provoca una ripartizione delle funzioni padronali: il diritto di dare istruzioni concernenti lo scopo o la tecnica d’esecuzione del lavoro oppure il comportamento del lavoratore è trasferito, come pure il diritto di esigere la tutela degli interessi e del segreto, all’impresa terza, alla quale ovviamente è imposto anche il dovere di provvedere all’assistenza sociale del lavoratore. Gli altri diritti e obblighi risultanti dal contratto di lavoro, in particolare l’obbligo di corrispondere il salario e il dovere generale di assistenza sociale, continuano a incombere al fornitore di servizi».

Queste considerazioni si applicano per analogia al distacco di collaboratori presso l’UIP.

La Confederazione e i Cantoni disciplineranno in una convenzione i dettagli relativi al distacco.

Al riguardo il Commentario basilese relativo alla Costituzione federale (Cost.)⁶⁵ sottolinea quanto segue:

«Poiché la Costituzione federale non prevede che le convenzioni contenenti norme di diritto concluse tra la Confederazione e i Cantoni siano una forma d’atto legislativo a sé stante (art. 163 Cost.), occorre che almeno le condizioni quadro della convenzione siano stabilite da una legge federale (art. 164 Cost.) o, in caso di disposizioni di importanza secondaria, da un’ordinanza. Soltanto in presenza di questa base legale […] è possibile concludere in seguito un contratto con i Cantoni»⁶⁶.

L’articolo 28 costituisce la base legale della convenzione che la Confederazione e i Cantoni devono concludere e definisce in particolare:

• – lo scopo e la portata del distacco (cpv. 1);

• – il finanziamento (cpv. 2); e

• – le disposizioni speciali importanti in materia di diritto del personale (cpv. 3 e 4).

Il capoverso 5 va inteso come una norma di delega e autorizza il Consiglio federale a disciplinare i dettagli summenzionati all’interno della convenzione con i Cantoni.

La questione se i Cantoni debbano disciplinare tra loro la partecipazione nel quadro di un concordato o in altro modo resta aperta e non necessita di essere regolamentata dal diritto federale.

Cpv. 1

Alla luce del sistema federalista della Svizzera, il lavoro di polizia e il perseguimento penale rientrano generalmente nella competenza primaria dei Cantoni. La Confederazione si adopera invece nel perseguimento di determinati reati gravi, ad esempio quelli di terrorismo o di criminalità organizzata e di diversi reati contemplati dal diritto penale accessorio della Confederazione, come le fattispecie contenute nella legge federale del 21 marzo 2003⁶⁷ sull’energia nucleare, nella legge dell’8 ottobre 1992⁶⁸ sui trapianti o nella legge del 20 giugno 1997⁶⁹ sulle armi.

La lotta alle gravi forme di reato va pertanto intesa come un compito congiunto della Confederazione e dei Cantoni, ciascuno con le sue priorità specifiche. Trattando i dati dei passeggeri aerei, l’UIP sostiene in modo equivalente la Confederazione e i Cantoni nell’adempimento di questo compito congiunto.

Per tale ragione, l’UIP dovrà comporsi, in parti uguali, di collaboratori della Confederazione e dei Cantoni.

Cpv. 2

L’impiego dei collaboratori cantonali in seno all’UIP non comporta la cessazione del rapporto di lavoro in corso, ma soltanto una ripartizione del ruolo del datore di lavoro, come nel caso della fornitura di personale a prestito⁷⁰.

Il diritto di impartire istruzioni sul piano tecnico e operativo, che include anche la determinazione degli orari di lavoro, è trasferito a fedpol durante l’impiego presso l’UIP. Il diritto di impartire istruzioni sul piano disciplinare resta invece di competenza dell’autorità che distacca il personale.

I restanti diritti e doveri derivanti dal contratto di lavoro, in particolare l’obbligo di pagare lo stipendio e di versare i contributi sociali permangono invece di competenza dell’autorità che mette i collaboratori a disposizione dell’UIP.

La Confederazione si assume integralmente i costi relativi all’infrastruttura delle postazioni di lavoro presso l’UIP nonché alla creazione e gestione del sistema d’informazione PNR.

Giova ricordare che, in virtù dell’articolo 1 capoverso 1 lettera f della legge del 14 marzo 1958⁷¹ sulla responsabilità, la Confederazione non è solo responsabile dei suoi collaboratori, ma anche di quelli distaccati dai Cantoni e impiegati presso l’UIP.

Cpv. 3

I capoversi 3 e 4 prevedono disposizioni speciali in materia di diritto del lavoro applicabili nel quadro dell’impiego presso l’UIP. Queste disposizioni necessitano di una base legale.

Le disposizioni speciali concernono in particolare:

• – il diritto condiviso di impartire istruzioni (cpv. 3); e

• – l’obbligo per i collaboratori di rispettare il segreto professionale (cpv. 4) anche nei confronti del loro datore di lavoro contrattuale.

Il diritto di impartire istruzioni è considerato condiviso in quanto è esercitato sia dal datore di lavoro che distacca il suo personale sia da fedpol o dall’UIP. Quest’ultima esercita il diritto di impartire istruzioni tecniche e operative, il quale comprende tutto ciò che non rientra nel diritto di impartire istruzioni disciplinari, che spetta invece al datore di lavoro contrattuale.

Se durante il proprio impiego presso l’UIP, una persona distaccata denota un comportamento rilevante sul piano disciplinare, fedpol dovrà cercare il dialogo con il datore di lavoro contrattuale. Questi esaminerà in seguito le opportune misure disciplinari da adottare. Nella maggior parte dei casi, le istruzioni saranno sufficienti. In casi eccezionali, occorrerà invece pronunciare, a fini disciplinari, la disdetta immediata del rapporto di lavoro. Anche questa possibilità resta di competenza del datore di lavoro contrattuale e non è pregiudicata dal distacco.

Cpv. 4

Il capoverso 4 stabilisce che ai collaboratori dell’UIP è vietato disporre liberamente al di fuori dell’UIP delle informazioni di cui sono venuti a conoscenza durante il loro impiego. Tale regola resta valida anche al termine dell’impiego. In questo modo si vieta in particolare lo scambio informale di dati personali tra l’UIP e l’unità che distacca i propri collaboratori.

È tuttavia auspicabile che i collaboratori, una volta rientrati dal loro impiego presso l’UIP, trasmettano ai propri colleghi le conoscenze metodologiche ivi acquisite in materia di trattamento dei dati dei passeggeri aerei. È il caso ad esempio delle esperienze maturate nel progettare e impiegare nel modo più efficiente possibile i profili di rischio e le liste d’osservazione. Il modello di distacco permetterà così il trasferimento delle conoscenze dall’UIP alle autorità che distaccano i propri collaboratori.

Cpv. 5

Nella convenzione che il Consiglio federale deve concludere con i Cantoni andranno stabiliti i dettagli relativi al distacco.

Nello specifico, si tratta di concordare, oltre al numero di collaboratori cantonali distaccati, anche le qualifiche auspicate. Particolare attenzione va rivolta ai collaboratori cantonali che hanno una spiccata affinità con i processi digitali. Le ulteriori pretese finanziarie dei collaboratori distaccati, che devono essere anche oggetto della convenzione, riguardano in particolare le spese. Il datore di lavoro contrattuale o il Cantone che distacca i propri collaboratori è tenuto a indennizzarle.

Sezione 8: Conclusione di trattati e di convenzioni e assistenza amministrativa

Art. 29 Conclusione di trattati e di convenzioni

Il sistema d’informazione PNR è già in uso in 69 Paesi, che chiedono perlomeno i dati dei passeggeri aerei relativi ai voli che atterrano sul proprio territorio.

L’articolo 2 della presente legge prevede una norma analoga a quella sancita dalla direttiva PNR: le imprese di trasporto aereo devono comunicare all’UIP svizzera i dati dei passeggeri aerei che entrano in Svizzera o ne escono.

Tuttavia, le imprese di trasporto aereo svizzere possono comunicare i loro dati dei passeggeri aerei a un servizio competente estero soltanto se un trattato internazionale concluso dalla Svizzera lo prevede (cfr. art. 2 cpv. 2).

Alla luce dell’articolo 29, che autorizza il Consiglio federale a concludere tali trattati, non è necessaria l’approvazione parlamentare (cfr. art. 166 cpv. 2 Cost.), a condizione che il contenuto del trattato sia conforme alla norma di delega ai sensi del capoverso 2.

Un accordo di questo tipo dovrà essere concluso in particolare con l’UE («organizzazione internazionale») per sostituire la soluzione transitoria elaborata di concerto con l’IFPDT che permette attualmente alle imprese di trasporto aereo svizzere di comunicare dati all’UE (v. n. 1.2).

Circa il 72 per cento di tutti i passeggeri registrati presso gli aeroporti svizzeri ha come destinazione un Paese membro dell’UE o parte da uno di questi ultimi per recarsi in Svizzera. Sebbene questa quota elevata non consenta di desumere l’esatto volume di dati provenienti dall’UE, mostra comunque che il traffico aereo tra UE e Svizzera è ragguardevole. Un trattato internazionale che disciplini la comunicazione reciproca di dati dei passeggeri aerei è pertanto fondamentale per entrambe le parti. Il 1° novembre 2023 il Consiglio federale ha conferito il pertinente mandato negoziale.

Ulteriori trattati sono previsti con la Norvegia e il Regno Unito.

Cpv. 1

L’elenco di cui all’allegato 1 OPDa riporta gli Stati che garantiscono una protezione adeguata dei dati. La Svizzera può comunicare dati personali a questi Stati senza dover stipulare un trattato internazionale. Tuttavia, la presente legge prevede la conclusione di trattati anche con questi Stati al fine di garantire la comunicazione reciproca di dati. Se entrambi gli Stati contraenti constatano che il livello di protezione dei dati garantito reciprocamente è adeguato (cfr. art. 16 cpv. 1 LPD), il trattato si limiterà a regolamentare le modalità relative alla comunicazione reciproca dei dati.

Nel suo rapporto esplicativo del 31 agosto 2022 concernente l’ordinanza sulla protezione dei dati, l’UFG spiega che l’elenco di Stati menzionati nell’allegato 1 dell’ordinanza «sarà riveduto periodicamente per tenere conto delle prassi di altri Stati e degli sviluppi internazionali, in particolare delle ratifiche della Convenzione 108. Esso non è quindi definitivo e potrebbe ancora essere modificato prima dell’entrata in vigore dell’ordinanza»⁷².

Nel messaggio concernente la nuova LPD, il Consiglio federale ha rilevato che per trattato internazionale «non s’intende soltanto una convenzione internazionale sulla protezione dei dati di cui lo Stato destinatario sia parte, come ad esempio la Convenzione STE 108⁷³ e il suo Protocollo aggiuntivo, e i cui requisiti sono stati trasposti nel diritto nazionale, bensì anche qualsiasi altro trattato internazionale che preveda lo scambio di dati tra gli Stati contraenti e che rispetti sostanzialmente le condizioni della Convenzione STE 108. Può anche trattarsi di un trattato internazionale che il nostro Consiglio ha concluso in virtù dell’articolo 62 lettera b D‑LPD [corrispondente all’attuale art. 67 lett. b LPD]»⁷⁴.

Cpv. 2

Considerato che la Svizzera non ha ripreso tutte le prescrizioni formulate dalla CGUE, non è escluso che, in alcuni ambiti, l’accordo con l’UE preveda norme più restrittive in materia di protezione dei dati che divergono dalla presente legge. Il capoverso 2 tiene conto di questo fatto, autorizzando il Consiglio federale a concordare, se necessario, all’interno di un trattato trattamenti meno ampi per i dati provenienti dall’UE.

Cpv. 3

Il capoverso 3 conferisce a fedpol la competenza di concludere autonomamente convenzioni con le autorità di altri Stati. Tale competenza è circoscritta ad aspetti operativi, tecnici o amministrativi.

Le questioni fondamentali inerenti alla protezione dei dati o ai diritti e ai doveri delle autorità devono essere per contro sempre oggetto di un trattato internazionale secondo il capoverso 1 concluso dal Consiglio federale.

Art. 30 Assistenza amministrativa

Anche nel caso del PNR, l’assistenza amministrativa deve essere in linea di massima prestata dalle autorità competenti (cfr. art. 1 cpv. 2) conformemente al diritto a esse applicabile.

L’UIP deve prestare assistenza amministrativa soltanto in casi d’urgenza, ossia, come enunciato al capoverso 2, se sussiste il «pericolo imminente» che un reato di cui all’allegato 2 venga commesso all’estero. Sono fatte salve, tuttavia, le disposizioni divergenti di un trattato internazionale.

L’assistenza amministrativa che l’UIP presta a un’UIP estera è pertanto limitata a casi eccezionali debitamente motivati, che giustificano l’intervento dell’UIP in luogo di un’autorità competente di cui all’articolo 1 capoverso 2.

Nel quadro dell’assistenza amministrativa, l’UIP comunica i dati dei passeggeri aerei a un’UIP estera soltanto su richiesta debitamente motivata da parte di quest’ultima. Tale richiesta deve specificare almeno:

• – i dati auspicati, indicati in modo preciso;

• – la misura in cui i dati siano necessari per prevenire un reato imminente di cui all’allegato 2.

L’UIP è autorizzata a comunicare i dati soltanto a un’UIP estera facente parte dell’amministrazione di uno Stato che:

• – garantisce una protezione adeguata dei dati conformemente all’allegato 1 OPDa (cfr. art. 16 cpv. 1 LPD); o

• – sulla base di norme specifiche previste in un trattato internazionale concluso con la Svizzera, garantisce una protezione appropriata dei dati (art. 16 cpv. 2 lett. a LPD).

Se nessuna delle suddette condizioni è soddisfatta, l’UIP rinuncia a comunicare i dati dei passeggeri aerei.

L’assistenza amministrativa da parte dell’UIP è esclusa anche nei casi in cui i dati richiesti siano pseudonimizzati o degni di particolare protezione.

Sezione 9: Sanzioni amministrative

Art. 31 Sanzioni in caso di violazione degli obblighi delle imprese di trasporto aereo

Le sanzioni previste dall’articolo 31 rientrano tra le cosiddette sanzioni amministrative pecuniarie. Sulla base delle vigenti norme del diritto federale, il Consiglio federale ha descritto questo tipo di sanzioni nel suo rapporto del 1° novembre 2018⁷⁵ come segue: «semplificando, lo strumento può essere definito come una reazione delle autorità a una violazione avvenuta nel passato di una prescrizione di diritto amministrativo e che consiste nell’imporre alla parte il pagamento di un importo nel quadro di una procedura amministrativa».

Cpv. 1

La violazione degli obblighi di diligenza e di informazione di cui agli articoli 3 e 4 deve essere sanzionata indipendentemente dal fatto che la Confederazione provi o meno la colpevolezza dell’impresa in questione, come previsto dal 1° ottobre 2015 nell’articolo 122b LStrI relativo alle violazioni dell’obbligo di comunicazione delle imprese di trasporto aereo. Il Consiglio federale aveva motivato la rinuncia a tale prova con le ricerche approfondite che avrebbero dovuto essere condotte anche all’estero. Nei fatti la prova della colpa si sarebbe rivelata impossibile⁷⁶.

Cpv. 2

La violazione di un obbligo di cui all’articolo 3 della presente legge è presunta per legge quando l’impresa di trasporto aereo:

• – omette di comunicare i dati dei passeggeri aerei o li comunica troppo tardi;

• – non osserva le prescrizioni tecniche; o

• – non comunica i dati di tutti i passeggeri del volo.

Lo stesso vale quando l’impresa di trasporto aereo non ha informato i suoi passeggeri del trattamento dei dati previsto dall’articolo 4 della presente legge (v. commento all’art. 4).

L’UIP deve fornire la prova che l’impresa di trasporto aereo non ha comunicato i dati conformemente alle prescrizioni legali oppure non ha informato i suoi passeggeri, o non in modo adeguato, del trattamento dei dati in virtù della presente legge.

Cpv. 3

Nei casi di lieve entità si può prescindere dall’apertura di un procedimento, ad esempio quando quest’ultimo risulterebbe sproporzionato.

Per converso, una violazione dell’obbligo di diligenza è considerata grave quando è constatata a più riprese o se non sono forniti tutti i dati relativi a un volo.

Cpv. 4

Nel rapporto summenzionato, il Consiglio federale ha precisato il concetto di sanzione amministrativa pecuniaria indipendente dalla colpa: «L’autorità amministrativa deve quindi quanto meno provare una colpa in termini di organizzazione (violazione oggettiva di un obbligo di diligenza). L’impresa può anche essere sanzionata in caso di comportamento illecito di un collaboratore responsabile. Questa via di mezzo ha dato buona prova nella prassi relativa al diritto sui cartelli e si lascia trasporre anche alle altre disposizioni che prevedono sanzioni amministrative pecuniarie. Nel complesso, non è quindi necessario intervenire a livello legislativo per quanto riguarda la colpa dei destinatari della sanzione»⁷⁷.

Se l’impresa di trasporto aereo è in grado di dimostrare che la contestazione sia avvenuta, malgrado abbia adottato tutte le misure precauzionali ragionevolmente esigibili, la sanzione viene meno. Si pensi ad esempio a un’interruzione di corrente a essa non imputabile che ha reso impossibile la comunicazione dei dati.

Cpv. 5

Il capoverso 5 garantisce che anche le violazioni degli obblighi di diligenza verificatesi all’estero possano essere sanzionate. È il caso ad esempio di un’impresa di trasporto aereo che non abbia comunicato affatto, in tempo o in modo completo all’UIP i dati dei passeggeri aerei prima della partenza verso la Svizzera.

Art. 32 Procedimento

Cpv. 1

Fedpol pronuncia le sanzioni previste dall’articolo 31.

Cpv. 2

Se una violazione dell’obbligo di comunicazione ai sensi dell’articolo 122b LStrI è già sanzionata, non può essere passibile di ulteriori sanzioni ai sensi della LDPA. Sono fatte salve tuttavia le violazioni dell’obbligo di informazione di cui all’articolo 4.

Cpv. 3

Il termine di due anni non può essere prorogato.

Sezione 10: Disposizioni finali

Art. 33 Esecuzione

Le disposizioni di esecuzione costituiscono prescrizioni subordinate o dettagliate che servono all’attuazione della presente legge. La competenza del Consiglio federale di emanare tali disposizioni si fonda sull’articolo 182 capoverso 2 Cost.

Art. 34 Modifica di altri atti normativi

L’allegato 3 riporta le modifiche che devono essere apportate ad altre leggi in virtù della presente legge. Sono interessate dalle modifiche le seguenti leggi: LAIn, LStrI, LSISA, la legge del 17 giugno 2005⁷⁸ sul Tribunale amministrativo federale (LTAF), LSIP e LNA.

L’articolo 351 capoverso 1 CP costituisce la base legale che permette a fedpol di accedere al sistema d’informazione di Interpol (I‑24/7). Essendo aggregata a fedpol, l’UIP non necessita di una base legale supplementare per accedervi.

Allegato 1: Dati dei passeggeri aerei

Lo status di viaggio (n. 10) comprende i voli già effettuati e quelli previsti. Da indicare sono le conferme, il check-in, le precedenti assenze all’imbarco e i passeggeri con biglietto aereo ma senza prenotazione.

La scissione dei dati (n. 11) si verifica quando le persone effettuano separatamente un viaggio prenotato insieme. In questo caso, i dati dei passeggeri aerei in questione non devono essere nuovamente rilevati, ma vanno scissi.

Si parla di codici comuni (n. 15) quando un’impresa di trasporto aerea acquista posti a sedere da un’altra impresa responsabile del volo operato. Se un passeggero prenota tale posto, volerà con i codici di entrambe le imprese di trasporto aereo.

Il set di dati dei passeggeri aerei è analizzato in dettaglio anche nei commenti relativi all’articolo 1 capoverso 4.

Allegato 2: Reati terroristici e altri reati gravi

Le categorie di reato comprendono i reati terroristici (n. 1) e altri reati gravi (n. 2). La lotta a tali reati autorizza al trattamento dei dati dei passeggeri aerei in virtù della presente legge.

Originariamente tali categorie erano ispirate a quelle previste dalla direttiva PNR, cui erano associate le fattispecie penali determinanti ai sensi dell’allegato 1 LSIS, ampliato nell’ambito di Prüm⁷⁹. Sebbene questo ampliamento non sia ancora in vigore, se ne è comunque tenuto conto in questa sede. Lo stesso vale per un ulteriore completamento dell’allegato LSIS, che è attualmente in fase di elaborazione.

Inoltre, per via della mutata situazione geopolitica, sono state prese in considerazione anche nuove gravi forme di spionaggio.

La seguente tabella riporta le fattispecie penali che sono state integrate nel catalogo dei reati in seguito alla consultazione.

In compenso, sempre in seguito alla consultazione e tenuto conto delle spiegazioni della CGUE, il catalogo dei reati è stato snellito in modo significativo, tanto da contenere ora soltanto le fattispecie penali che:

1. secondo la CGUE, rivestono un «livello di gravità indubbiamente elevato» (punto 149), presentano «un collegamento diretto con il trasporto aereo dei passeggeri» (punto 154) o un «carattere transnazionale» (punto 155);

2. conformemente al diritto svizzero, prevedono una pena minima applicabile che può essere intesa come una peculiarità del diritto nazionale menzionata dalla CGUE e che permette di dedurre la particolare gravità del reato (a contrario dal punto 151 seg.).

Le fattispecie penali inserite nelle categorie di reato collegate ai casi di spionaggio prevedono ugualmente una pena minima applicabile.

I commenti all’articolo 1 capoverso 4 forniscono spiegazioni supplementari in merito alle fattispecie penali di cui all’allegato 2.

Allegato 3: Modifica di altri atti normativi

Il SIC riveste un ruolo particolare nella lotta ai reati terroristici e agli altri reati gravi. La sua attività di acquisizione delle informazioni precede spesso le indagini di polizia e il perseguimento penale e serve a individuare precocemente e a prevenire le minacce alla sicurezza interna ed esterna.

Dopo aver ricevuto i dati dei passeggeri aerei, li confronta con quelli dei sistemi d’informazione IASA SIC e ISASA-GEX SIC e tratta eventuali corrispondenze nel sistema che le ha prodotte.

Per quanto riguarda i dati di IASA SIC, l’articolo 21 dell’ordinanza del 16 agosto 2017⁸⁰ sui sistemi d’informazione e di memorizzazione del Servizio delle attività informative della Confederazione (OSIME-SIC) prevede una durata di conservazione compresa tra i 30 e i 45 anni a seconda del settore interessato. Le corrispondenze in ISASA-GEX SIC sono invece cancellate al più tardi dopo 15 anni (cfr. art. 28 cpv. 1 OSIME-SIC).

I dati dei passeggeri aerei che non hanno prodotto corrispondenze restano nella Memoria dei dati residui fino alla loro cancellazione dopo un mese dalla loro ricezione.

Art. 16a Dati dei passeggeri aerei

Il SIC è l’unica autorità competente che riceve i dati dei passeggeri aerei dall’UIP per trattarli autonomamente. La comunicazione dei dati dei passeggeri aerei è ammessa soltanto per le rotte stabilite precedentemente dal Consiglio federale in un elenco non pubblico. Il tenore del presente articolo è ispirato a quello dell’articolo 20 capoverso 4 LAIn.

Il SIC è tenuto a rispettare lo scopo sancito dall’articolo 11 capoverso 2 D‑LDPA: può infatti confrontare e trattare i dati dei passeggeri aerei per gli scopo di cui all’articolo 6 capoverso 1 lettera a numeri 1‒5 LAIn soltanto se è necessario ai fini della prevenzione dei reati di cui all’allegato 2 LDPA (cpv. 2).

Secondo il capoverso 3, i dati che nell’ambito del confronto automatico nei due sistemi d’informazione del SIC non hanno prodotto alcuna corrispondenza devono essere cancellati automaticamente un mese dopo che sono pervenuti al SIC.