Dati passeggeri: la Svizzera controllerà ogni volo estero dal 2027
La nuova legge sui dati dei passeggeri aerei istituisce un ufficio di verifica centrale presso fedpol. La maggior parte dei set di dati viene cancellata dopo sei mesi, ma i profili di rischio e la conservazione di persone non sospette restano contestati.
Il Consiglio federale ha fissato la data di avvio: la legge sui dati dei passeggeri aerei entra in vigore il 1° novembre 2026, mentre il 1° febbraio 2027 la nuova Passenger Information Unit (PIU) avvia la propria attività presso l'Ufficio federale di polizia. La Svizzera confronterà così in modo sistematico i dati di prenotazione e di viaggio dei passeggeri dei voli internazionali con i dati di polizia e i profili di rischio.
L'elemento decisivo è questo: i viaggiatori non devono fornire nuove informazioni al momento della prenotazione. Vengono rilevati dati che le compagnie aeree e le agenzie di viaggio memorizzano comunque. La novità è che questi dati vengono trasmessi a fedpol per tutti i voli dall'estero verso la Svizzera e dalla Svizzera verso l'estero, e valutati per la lotta al terrorismo e ai reati gravi elencati dalla legge.
Più di un nome e un numero di volo
L'insieme dei dati previsti dalla legge è ampio. Può comprendere nome, recapiti, codice di prenotazione, itinerario, modalità di pagamento, posto, bagaglio, dati di frequent flyer, agenzia di viaggio e persone che viaggiano insieme. Le compagnie aeree trasmettono le informazioni disponibili due volte: tra 48 e 24 ore prima della partenza prevista e subito dopo la conclusione dell'imbarco.
Secondo fedpol, i dati particolarmente sensibili come l'origine etnica, le opinioni politiche, la religione, la salute o l'orientamento sessuale non fanno parte del set di dati PNR. L'autorità può utilizzare i dati trasmessi solo per i reati che la legge elenca espressamente. Oltre ai reati terroristici, questi comprendono per esempio la tratta di esseri umani, i reati gravi in materia di stupefacenti, il furto organizzato, il riciclaggio di denaro e determinate forme di criminalità informatica.
Un algoritmo non basta a fare un caso di polizia
La PIU confronta automaticamente i set di dati con i sistemi informativi di polizia, le liste di osservazione e i profili di rischio. Una corrispondenza tecnica non può però essere trasmessa senza verifica a un'autorità di polizia o di perseguimento penale. I collaboratori della PIU devono controllare manualmente ogni corrispondenza e chiarire l'identità.
Anche gli accessi sono graduati. Le autorità di polizia non ottengono un accesso libero all'intera banca dati PNR. La PIU trasmette le corrispondenze verificate oppure svolge ricerche su richiesta scritta motivata. I profili di rischio possono contenere combinazioni di dati di viaggio, ma non essere riferiti a una persona determinata. Le liste di osservazione con riferimenti personali richiedono invece un nesso diretto con un reato previsto dalla legge.
Il nuovo ufficio parte con dimensioni più ridotte di quanto la portata del compito lasci supporre. Nel 2027 inizierà con otto collaboratori e un'attività limitata. Per il 2028 sono previsti 14 posti; per il funzionamento a pieno regime dal 2030 la Confederazione calcola circa 30 posti a tempo pieno. La costruzione avviene per tappe, in base agli orari di servizio, al volume di dati e al numero di rotte aeree collegate.
Il conflitto sulla protezione dei dati inizia dalle persone non sospette
Il meccanismo di protezione più forte risiede nei termini di cancellazione. I dati senza marcatura vengono pseudonimizzati automaticamente dopo un mese e cancellati dopo sei mesi. I set di dati marcati possono essere conservati al massimo cinque anni. Chi vuole ricondurre informazioni pseudonimizzate a una persona necessita in linea di principio dell'autorizzazione del Tribunale amministrativo federale. Nei casi urgenti la direzione di fedpol può decidere in via provvisoria, ma deve poi ottenere l'autorizzazione.
Con ciò il legislatore ha reagito a obiezioni di natura costituzionale. Il conflitto non è però risolto: anche i dati di persone del tutto insospettabili restano dapprima direttamente riconducibili per un mese e conservati in totale per sei mesi. La Commissione della politica statale del Consiglio nazionale aveva chiesto di eliminare del tutto questa conservazione preventiva in assenza di indizi di terrorismo o di criminalità grave. In Parlamento le proposte più incisive in materia di protezione dei dati non sono però passate.
L'Incaricato federale della protezione dei dati e della trasparenza ha esaminato la valutazione d'impatto sulla protezione dei dati e ha chiesto precisazioni. D'ora in poi vigilerà sul trattamento dei dati della PIU. I passeggeri devono essere informati della trasmissione al momento della prenotazione e possono chiedere a fedpol informazioni sul trattamento dei loro dati.
Decisiva sarà la prassi a partire da febbraio
La legge non crea quindi né una banca dati dei passeggeri senza limiti né una ricerca puramente puntuale di sospetti già noti. Introduce un esame sistematico di tutti i viaggi aerei internazionali, ma ne limita l'uso attraverso il catalogo dei reati, il controllo manuale, la pseudonimizzazione, i termini di cancellazione e la vigilanza.
Se queste salvaguardie bastino lo si vedrà solo nella pratica. Decisivi non sono soltanto il numero dei reati gravi scoperti, ma anche la frequenza delle corrispondenze errate, la qualità dei profili di rischio e la prova che i dati di persone non sospette scompaiono davvero entro i termini.
Fonti
- Consiglio federale: entrata in vigore della legge sui dati dei passeggeri aerei
- Assemblea federale: legge sui dati dei passeggeri aerei del 21 marzo 2025
- fedpol: pagina tematica sulla legge sui dati dei passeggeri aerei
- DFGP: lotta al terrorismo e alla criminalità grave con i PNR
- Parlamento: questioni di protezione dei dati e richiesta contro la conservazione preventiva
- IFPDT: rapporto di attività 2024/2025
