IT Gazzetta ufficiale dell'Unione europea C 386/6

Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento relativo a eu-LISA

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2017/C 386/06)

Dalla sua istituzione, avvenuta nel 2011, l’Agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia («eu-LISA») è stata gradualmente incaricata della gestione operativa del sistema d’Informazione Schengen, del sistema d’informazione visti e dell’Eurodac. Dopo quattro anni di attività la Commissione ha svolto una valutazione generale, da cui è emersa la proposta di regolamento relativo all’Agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia, presentata il 29 giugno 2017.

Tale proposta mira anzitutto ad affidare a eu-LISA i) la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia esistenti e futuri, ii) lo sviluppo di alcuni aspetti dell’interoperabilità di tali sistemi, iii) lo svolgimento di attività di ricerca e la realizzazione di progetti pilota e iv) il compito di sviluppare, gestire e ospitare un sistema IT comune per un gruppo di Stati membri che scelgono volontariamente una soluzione centralizzata per l’attuazione degli aspetti tecnici degli obblighi derivanti dalla normativa dell’UE sui sistemi decentrati nello spazio di libertà, sicurezza e giustizia.

La proposta relativa a eu-LISA rientra in un processo più ampio volto a potenziare la gestione delle frontiere esterne e la sicurezza interna dell’Unione europea, nell’ottica di fare fronte alle sfide specifiche in materia di sicurezza. Sono infatti attualmente in corso i negoziati con il Parlamento europeo e il Consiglio per una serie di proposte legislative (il sistema di ingressi/uscite, l’Eurodac, il sistema europeo di informazione e autorizzazione ai viaggi, il sistema d’Informazione Schengen e il sistema europeo di informazione sui casellari giudiziali per i cittadini di paesi terzi). Tali proposte legislative affidano a eu-LISA la gestione operativa dei suddetti sistemi IT su larga scala.

Il GEPD, anche in qualità di autorità di vigilanza di eu-LISA, raccomanda che la proposta relativa a eu-LISA sia corredata di una valutazione d’impatto dettagliata del diritto alla vita privata e del diritto alla protezione dei dati, sanciti dalla Carta dei diritti fondamentali dell’Unione europea.

Il GEPD ricorda inoltre l’attuale mancanza di un quadro normativo per l’interoperabilità dei sistemi europei IT su larga scala. Pertanto eu-LISA potrebbe sviluppare le misure di attuazione solo qualora venga adottato tale quadro normativo.

Infine il GEPD nutre preoccupazioni riguardo alla possibilità che eu-LISA possa sviluppare e ospitare una soluzione centralizzata comune per i sistemi IT su larga scala, che sono in linea di principio decentrati. L’architettura di ciascun sistema europeo IT su larga scala è definita in termini chiari da una specifica base giuridica e non può essere modificata da un accordo di delega tra eu-LISA e un gruppo di Stati membri. Le eventuali modifiche all’architettura di sistema possono avvenire unicamente modificando la base giuridica pertinente, dopo aver effettuato una valutazione d’impatto e studi di fattibilità.

1. INTRODUZIONE E CONTESTO

1. L’Agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (in prosieguo «eu-LISA») è stata istituita dal regolamento (UE) n. 1077/2011 del Parlamento europeo e del Consiglio (1). Il regolamento affida a eu-LISA la gestione operativa a livello centrale del sistema d’Informazione Schengen di seconda generazione (in prosieguo «SIS II») (2) e il sistema d’informazione visti (in prosieguo «VIS») (3). Il regolamento (UE) n. 1077/2011 è stato modificato dal regolamento (UE) n. 603/2013, che ha affidato a eu-LISA anche la gestione dell’Eurodac del Parlamento europeo e del Consiglio (4).

2. Nel 2016, quattro anni dopo il momento in cui l’Agenzia è divenuta operativa, la Commissione ha svolto una valutazione (5) di eu-LISA. Tale valutazione ha messo in luce la necessità di migliorare l’efficacia e l’efficienza del funzionamento di eu-LISA. A tale proposito, il 29 giugno 2017 la Commissione ha adottato una proposta di regolamento relativo all’Agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (6) (in prosieguo la «proposta relativa a eu-LISA»).

3. Inoltre, dal 2016 la Commissione ha avviato una riflessione di più ampio respiro su come rendere più efficace ed efficiente la gestione e l’uso dei dati, sia per la gestione delle frontiere che per la sicurezza. In conseguenza di ciò, la Commissione ha adottato una comunicazione dal titolo «Sistemi d’informazione più solidi e intelligenti per le frontiere e la sicurezza» (7) e la relazione finale del gruppo di esperti di alto livello sui sistemi di informazione e l’interoperabilità (8) nonché la settima relazione sui progressi compiuti verso un’autentica ed efficace Unione della sicurezza (9) con proposte relative a nuovi compiti e, quindi, a un nuovo mandato per eu-LISA.

4. Il GEPD è stato consultato in via informale prima della pubblicazione della proposta relativa a eu-LISA e ha fornito alla Commissione commenti informali, presi in considerazione solo parzialmente.

5. La proposta relativa a eu-LISA è volta ad ampliare il mandato dell’Agenzia ai seguenti compiti: — consentire la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia esistenti e futuri; — garantire la qualità dei dati in tutti i sistemi IT su larga scala gestiti da eu-LISA; — sviluppare le azioni necessarie per consentire l’interoperabilità dei sistemi; — effettuare attività di ricerca per la gestione operativa di sistemi IT su larga scala; — realizzare progetti pilota, prototipi e attività di collaudo; — prestare supporto e consulenza agli Stati membri e alla Commissione sulla connessione dei sistemi nazionali ai sistemi centrali; — sviluppare, gestire e ospitare un sistema IT comune per un gruppo di Stati membri che scelgono volontariamente una soluzione centralizzata che li assista nell’attuazione degli aspetti tecnici relativi agli obblighi derivanti dalla normativa dell’UE sui sistemi decentrati nello spazio di libertà, sicurezza e giustizia.

6. Il GEPD esaminerà, in primo luogo, le principali raccomandazioni concernenti la proposta relativa a eu-LISA. Le principali raccomandazioni rappresentano le questioni più importanti osservate dal GEPD e che dovrebbero in ogni caso essere affrontate nel processo legislativo. Ulteriori raccomandazioni sono i punti con riferimento ai quali il GEPD ritiene necessari chiarimenti, ulteriori informazioni o modifiche minori. Questa distinzione dovrebbe aiutare il legislatore a privilegiare le principali questioni esaminate nel presente parere.

4. CONCLUSIONE

23. Dopo un’attenta analisi della proposta relativa a eu-LISA, il GEPD formula le seguenti raccomandazioni: — effettuare o rendere accessibile una valutazione d’impatto dettagliata al fine di facilitare la valutazione dell’impatto della proposta relativa a eu-LISA sui diritti fondamentali, in particolar modo in riferimento all’accentramento di tutti i sistemi europei IT su larga scala in un’unica agenzia e tenendo conto del contesto normativo più ampio, comprendente proposte legislative in corso relative a sistemi IT su larga scala; — eliminare gli attuali riferimenti all’interoperabilità contenuti nella proposta relativa a eu-LISA; — sopprimere la disposizione che consente di modificare l’architettura del sistema tramite un accordo di delega tra eu-LISA e un gruppo di Stati membri.

24. Oltre alle suindicate questioni principali, le raccomandazioni del GEPD nel presente parere riguardano i seguenti aspetti della proposta relativa a eu-LISA: — le statistiche generate dal sistema; — il monitoraggio interno; — la gestione del rischio ai fini della sicurezza dell’informazione; — i ruoli del GEPD e del responsabile della protezione dei dati.

25. Il GEPD resta a disposizione per fornire ulteriori pareri sulla proposta relativa a eu-LISA, anche in relazione a eventuali atti delegati o di esecuzione adottati in linea con la proposta di regolamento, che potrebbero avere un impatto sul trattamento dei dati personali.

Bruxelles, 9 ottobre 2017 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) GU L 286 dell’1.11.2011, pag. 1.

(2) Regolamento (CE) n. 1987/2006 del Parlamento europeo e del Consiglio, del 20 dicembre 2006, sull’istituzione, l’esercizio e l’uso del sistema d’informazione Schengen di seconda generazione (SIS II) (GU L 381 del 28.12.2006, pag. 4), e decisione 2007/533/GAI del Consiglio, del 12 giugno 2007, sull’istituzione, l’esercizio e l’uso del sistema d’informazione Schengen di seconda generazione (SIS II) (GU L 205 del 7.8.2007, pag. 63).

(3) Regolamento (CE) n. 767/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, concernente il sistema di informazione visti (VIS) e lo scambio di dati tra Stati membri sui visti per soggiorni di breve durata (regolamento VIS) (GU L 218 del 13.8.2008, pagg. 60–81).

(4) Regolamento (UE) n. 603/2013 del Parlamento europeo e del Consiglio, del 26 giugno 2013 che istituisce l’«Eurodac» per il confronto delle impronte digitali per l’efficace applicazione del regolamento (UE) n. 604/2013 che stabilisce i criteri e i meccanismi di determinazione dello Stato membro competente per l’esame di una domanda di protezione internazionale presentata in uno degli Stati membri da un cittadino di un paese terzo o da un apolide e per le richieste di confronto con i dati Eurodac presentate dalle autorità di contrasto degli Stati membri e da Europol a fini di contrasto, e che modifica il regolamento (UE) n. 1077/2011 che istituisce un’agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (GU L 180 del 29.6.2013, pagg. 1–30).

(5) Relazione della Commissione al Parlamento europeo e al Consiglio sul funzionamento dell’agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (eu-LISA), COM(2017) 346 del 29.6.2017.

(6) Proposta di regolamento relativo all’Agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia, che modifica il regolamento (CE) n. 1987/2006 e la decisione 2007/533/GAI del Consiglio e che abroga il regolamento (UE) n. 1077/2011, COM(2017) 352 final del 29.6.2017.

(7) COM(2016) 205 final del 6.4.2016.

(8) http://ec.europa.eu/transparency/regexpert/index.cfm?do=groupDetail.groupDetailDoc&id=32600&no=1

(9) COM(2017) 261 final del 16.5.2017.