COMMISSIONE EUROPEA Bruxelles, 5.2.2019 COM(2019) 71 final Raccomandazione di DECISIONE DEL CONSIGLIO che autorizza la partecipazione ai negoziati su un secondo protocollo addizionale alla Convenzione del Consiglio d'Europa sulla criminalità informatica (STCE n. 185)



RELAZIONE 1.CONTESTO L'evoluzione delle tecnologie dell'informazione e della comunicazione, pur offrendo all'uomo opportunità senza precedenti, solleva al tempo stesso dei problemi, anche nel settore della giustizia penale, e quindi anche per lo Stato di diritto nel ciberspazio. Se da un lato si osserva un aumento della cibercriminalità, e di altri reati che lasciano prove elettroniche nei sistemi informatici, e se le prove relative a tali reati vengono conservate sempre più spesso nei server di giurisdizioni estere multiformi, cangianti o sconosciute, cioè sul cloud, i poteri delle autorità di contrasto restano limitati dai confini territoriali. Con l'Agenda europea della sicurezza dell'aprile 2015 la Commissione europea si è impegnata a riesaminare gli ostacoli alle indagini penali riguardanti i reati di criminalità informatica, in particolare per quanto riguarda l'accesso transfrontaliero alle prove elettroniche. Il 17 aprile 2018 la Commissione ha proposto al Consiglio e al Parlamento europeo un regolamento relativo agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale e una direttiva recante norme armonizzate sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove nei procedimenti penali ("proposte riguardanti le prove elettroniche"). Obiettivo di tale proposte è accelerare il processo, nell'Unione europea, per assicurare ed ottenere prove elettroniche conservate e/o detenute da prestatori di servizi stabiliti in un’altra giurisdizione. La Convenzione del Consiglio d'Europa sulla criminalità informatica La Convenzione del Consiglio d'Europa sulla criminalità informatica (STCE n.185) è volta ad agevolare la lotta contro i reati compiuti avvalendosi delle reti informatiche. Essa contiene disposizioni che: (1) armonizzano gli elementi del diritto penale sostanziale interno in relazione ai reati e le disposizioni collegate nel settore della criminalità informatica, (2) forniscono le competenze di diritto procedurale penale a livello interno necessarie per le indagini e l'esercizio dell'azione penale in relazione a tali reati, così come in relazione ad altri reati commessi per mezzo di un sistema informatico o a prove in formato elettronico, e (3) sono volte a istituire un rapido ed efficiente regime di cooperazione internazionale. La Convenzione è aperta agli Stati membri del Consiglio d'Europa e ai paesi che non ne sono membri. Ne fanno attualmente parte 62 paesi, fra cui 26 Stati membri dell'Unione europea. La Convenzione non prevede l'adesione dell'Unione europea, che viene tuttavia riconosciuta come organizzazione con lo status di osservatore alla commissione per la Convenzione ((T-CY). Su tale base l'UE partecipa alle riunioni di detta commissione. L'articolo 46, paragrafo 1, lettera c), della Convenzione prevede che le Parti si consultino periodicamente allo scopo di facilitare l'esame di eventuali sue integrazioni o emendamenti. Le Parti della Convenzione sulla criminalità informatica hanno esaminato a lungo i problemi e gli ostacoli esistenti per l'accesso, da parte delle autorità giudiziarie e di polizia nazionali, alle prove elettroniche dei reati in forma di dato informatico nell'ambito di indagini penali. Tale lavoro si è svolto dal 2012 al 2014 attraverso un gruppo di lavoro sull'accesso transfrontaliero ai dati e dal 2015 al 2017 attraverso il Cloud Evidence Group. Negoziati per un secondo protocollo addizionale alla Convenzione A seguito delle proposte del Cloud Evidence Group, la commissione per la Convenzione sulla criminalità informatica (T-CY) ha adottato diverse raccomandazioni, anche in relazione al negoziato su un secondo protocollo addizionale alla Convenzione sulla criminalità informatica riguardante la cooperazione internazionale rafforzata (in appresso "secondo protocollo addizionale"). Nel giugno 2017 la commissione per la Convenzione sulla criminalità informatica ha approvato il mandato per la preparazione del secondo protocollo addizionale per il periodo incluso fra settembre 2017 e dicembre 2019. Conformemente al mandato, il secondo protocollo addizionale può includere i seguenti elementi: ·disposizioni per una mutua assistenza giudiziaria più efficiente, in particolare: –un sistema semplificato per le richieste di mutua assistenza giudiziaria per quanto riguarda le informazioni relative agli abbonati; –ordini di produzione internazionali; –cooperazione diretta fra le autorità giudiziarie per quanto riguarda le richieste di mutua assistenza giudiziaria; –indagini congiunte e squadre investigative comuni; –richieste in lingua inglese; –audizioni audio/video di testimoni, persone offese ed esperti; –procedure d'emergenza di mutua assistenza giudiziaria; ·disposizioni che consentano la cooperazione diretta con i fornitori di servizi in altre giurisdizioni per quanto riguarda le richieste di informazioni sugli abbonati, le richieste di conservazione e le richieste d'emergenza;

·un quadro più chiaro e maggiori garanzie in relazione alle prassi esistenti di accesso transfrontaliero ai dati; ·tutele, compresi requisiti in materia di protezione dei dati. I negoziati sulle varie disposizioni del secondo protocollo addizionale stanno progredendo a velocità differenti. La situazione attuale nei gruppi di lavoro sui 4 principali blocchi delineati nel mandato è la seguente: ·le disposizioni riguardanti il "Regime linguistico delle richieste" e la "Mutua assistenza d'emergenza" sono state adottate in via preliminare dalla plenaria per la redazione del protocollo nel luglio 2018; ·le disposizioni riguardanti la "Videoconferenza" sono state adottate in via preliminare dalla plenaria per la redazione del protocollo nel novembre 2018; ·nel novembre 2018, nell'ambito della plenaria per la redazione del protocollo si sono inoltre svolti dibattiti dettagliati (disposizioni riguardanti la "Giurisdizione" e il "Modello di approvazione") e sono stati previsti aggiornamenti ("Cooperazione diretta con i fornitori", "Ordini di produzione internazionali", "Ampliamento delle ricerche/dell'accesso in base alle credenziali", "Indagini congiunte e squadre investigative comuni" e "Tecniche investigative"); ·sulle altre questioni (Tutele, compresi requisiti in materia di protezione dei dati) non sono stati compiuti sufficienti progressi). 2.OBIETTIVI DELLA PROPOSTA La presente raccomandazione viene trasmessa al Consiglio per ricevere l'autorizzazione a partecipare ai negoziati, a nome dell'Unione europea e dei suoi Stati membri, su un secondo protocollo addizionale, a definire le direttive di negoziato e a nominare la Commissione come negoziatore conformemente al progetto allegato di direttive di negoziato, ai sensi dell'articolo 218 del TFUE. L'articolo 3, paragrafo 2, del TFUE stabilisce che l'Unione ha competenza esclusiva "per la conclusione di accordi internazionali ... nella misura in cui può incidere su norme comuni o modificarne la portata." Un accordo internazionale può incidere su norme comuni o modificarne la portata quando il settore da esso contemplato si sovrappone alla legislazione dell'Unione o è già disciplinato in larga misura dal diritto dell'Unione. Sugli elementi presi in considerazione ai fini del secondo protocollo addizionale, l'Unione europea ha adottato norme comuni basate sull'articolo 82, paragrafo 1, e sull'articolo 16 del TFUE. L'attuale quadro giuridico dell'Unione include in particolare strumenti relativi alla cooperazione fra le autorità di contrasto e le autorità giudiziarie in materia penale, come la direttiva 2014/41/UE relativa all'ordine europeo di indagine penale, la Convenzione relativa all’assistenza giudiziaria in materia penale tra gli Stati membri dell’Unione europea, il regolamento 2018/1727 relativo ad Eurojust, il regolamento 2016/794 su Europol, la decisione quadro 2002/465/GAI del Consiglio relativa alle squadre investigative comuni, e la decisione quadro 2009/948/GAI del Consiglio sulla prevenzione e la risoluzione dei conflitti relativi all’esercizio della giurisdizione nei procedimenti penali. L'Unione ha inoltre adottato varie direttive che rafforzano i diritti procedurali degli indagati e degli imputati. Per quanto riguarda le relazioni esterne, l'Unione europea ha concluso una serie di accordi bilaterali con paesi terzi, come gli accordi sulla mutua assistenza giudiziaria rispettivamente con gli Stati Uniti d'America e con il Giappone. La protezione dei dati personali è un diritto fondamentale sancito dai trattati dell'UE e dalla Carta dei diritti fondamentali dell'Unione europea. I dati personali possono essere trattati solo conformemente al regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati) e alla direttiva (UE) 2016/680 (direttiva relativa alla protezione dei dati da parte delle autorità competenti). Il diritto fondamentale di ciascuno al rispetto della propria vita privata e familiare, del proprio domicilio e delle sue comunicazioni è a sua volta sancito dalla Carta dei diritti fondamentali, e include come elemento essenziale il rispetto della riservatezza delle comunicazioni. I dati delle comunicazioni elettroniche possono essere trattati solo conformemente alla direttiva 2002/58/CE (direttiva ePrivacy). Inoltre, per valutare se un settore sia già disciplinato in larga misura da norme comuni, occorre tener conto non solo dello stato attuale del diritto dell'Unione nel settore di cui trattasi, ma anche delle sue prospettive di evoluzione, qualora esse siano prevedibili al momento di tale analisi. Il settore disciplinato dal secondo protocollo addizionale è di diretta rilevanza per le prospettive di evoluzione prevedibili delle norme comuni pertinenti. A tale riguardo, sono anche rilevanti le proposte della Commissione dell'aprile 2018 sull'accesso transfrontaliero alle prove elettroniche. L'ambito delle proposte interessa specifici tipi di prestatori di servizi che offrono servizi nell'Unione europea. Un prestatore offre servizi nell'Unione europea quando ne consente l'utilizzo ad utenti in uno o più Stati membri e quando ha un collegamento sostanziale con l'Unione, ad esempio ha una sede in uno Stato membro o fornisce servizi a un ampio numero di utenti in tale Stato membro. I prestatori di servizi non presenti nell'Unione europea sono tenuti a nominare un rappresentante legale nei confronti del quale possano essere eseguiti gli ordini produzione. Le conclusioni del Consiglio europeo del 18 ottobre indicano quanto segue: "Occorrerebbe trovare soluzioni per garantire un accesso transfrontaliero rapido ed efficiente alle prove elettroniche al fine di combattere efficacemente il terrorismo, la criminalità organizzata ed altre forme gravi di criminalità, sia all'interno dell'UE che a livello internazionale; entro la fine della legislatura si dovrebbe giungere a un accordo sulle proposte della Commissione riguardanti le prove elettroniche e l'accesso alle informazioni finanziarie, come pure su quella intesa a rendere più efficace la lotta al riciclaggio. La Commissione dovrebbe inoltre presentare con urgenza i mandati negoziali relativi ai negoziati internazionali sulle prove elettroniche". Le proposte della Commissione riguardanti le prove elettroniche forniscono la base per un approccio coordinato e coerente sia all'interno dell'Unione europea sia da parte dell'Unione europea a livello internazionale, con la debita attenzione alle norme dell'Unione, segnatamente quelle sul divieto di discriminazione tra gli Stati membri dell'UE e i loro cittadini. Se, nella sua valutazione d'impatto per le proposte riguardanti le prove elettroniche, la Commissione già osservava che le proposte potevano essere utilmente integrate da accordi bilaterali o multilaterali sull'accesso transfrontaliero alle prove elettroniche con le relative garanzie, essa ha deciso di proporre norme dell'Unione su appropriate modalità e garanzie per l'accesso transfrontaliero alle prove elettroniche prima di avviare negoziati con Parti terze. A livello internazionale, la Commissione ha continuato a partecipare come osservatore alle discussioni sulla questione nell'ambito della Convenzione del Consiglio d'Europa sulla criminalità informatica. L'accesso transfrontaliero alle prove elettroniche è stato regolarmente all'ordine del giorno nelle recenti riunioni ministeriali "Giustizia e degli Affari interni" UE-USA. La Commissione sta adottando contemporaneamente le due raccomandazioni per partecipare ai negoziati sul secondo protocollo addizionale alla Convenzione sulla criminalità informatica e per avviare negoziati con gli Stati Uniti d'America. Anche se progrediranno a ritmi diversi i due processi riguardano questioni correlate, e gli impegni presi nel quadro di un negoziato possono avere ripercussioni dirette su altri filoni delle trattative. Se le proposte riguardanti le prove elettroniche interessano la situazione di specifici tipi di prestatori che offrono servizi sul mercato dell'UE, vi è un rischio di obblighi contrastanti con il diritto di paesi terzi. Per affrontare tali conflitti di legge, e in linea con il principio di cortesia internazionale, le proposte riguardanti le prove elettroniche includono disposizioni che prevedono meccanismi specifici per il caso in cui un prestatore di servizi debba far fronte a obblighi contrastanti derivanti dal diritto di un paese terzo quando sono richieste delle prove. Tali meccanismi includono una procedura di riesame per chiarire tale situazione. Il secondo protocollo addizionale alla Convenzione del Consiglio d'Europa sulla criminalità informatica dovrebbe mirare a evitare obblighi contrastanti fra le Parti della Convenzione stessa.

Si può pertanto ritenere che la conclusione del secondo protocollo addizionale possa incidere su norme comuni o modificarne la portata. Di conseguenza l'Unione (in virtù dell'articolo 3, paragrafo 2, del TFUE) ha competenza esclusiva per i negoziati sul secondo protocollo addizionale che integra la Convenzione sulla criminalità informatica. L'oggetto del secondo protocollo addizionale rientrerebbe nelle politiche e competenze dell'UE, in particolare nei settori relativi agli strumenti di cooperazione giudiziaria in materia penale (articolo 82, paragrafo 1, del TFUE) e alla protezione dei dati (articolo 16 del TFUE) e, in quanto settori del diritto dell'UE, i negoziati non potrebbero essere condotti senza la partecipazione dell'Unione. La Commissione, inoltre, ha un ruolo generale nel rappresentare l'Unione europea previsto dall'articolo 17, paragrafo 1, del TUE. Alla luce di ciò, il Consiglio dovrebbe nominare la Commissione come negoziatore per il secondo protocollo addizionale che integra la Convenzione sulla criminalità informatica (STCE n. 185). 3.DISPOSIZIONI RILEVANTI NEL SETTORE I negoziati dovrebbero garantire che le disposizioni convenute siano compatibili col diritto dell'UE e con gli obblighi degli Stati membri in tale quadro, tenendo anche conto delle sue prospettive di evoluzione. Sarà inoltre necessario garantire che il secondo protocollo addizionale includa una clausola di disconnessione che consenta agli Stati membri dell'Unione europea che ne diventano Parti di disciplinare le loro reciproche relazioni sulla base del diritto dell'UE. In particolare, il funzionamento delle proposte della Commissione europea riguardanti le prove elettroniche - sia man mano che tali proposte evolvono nel corso dei negoziati fra i colegislatori nell'ambito dell'iter legislativo sia nella loro forma finale (adottata) - dovrebbe essere preservato fra gli Stati membri dell'UE. Occorre che il secondo protocollo addizionale includa le necessarie disposizioni di tutela dei diritti e delle libertà fondamentali sanciti dalla Carta dei diritti fondamentali dell'Unione europea, in particolare il diritto al rispetto della vita privata e della vita familiare, del domicilio e delle comunicazioni, riconosciuto all'articolo 7 della Carta, il diritto alla protezione dei dati di carattere personale di cui all'articolo 8 della stessa, il diritto a un ricorso effettivo e a un giudice imparziale di cui all'articolo 47, la presunzione di innocenza e i diritti della difesa (articolo 48) e i principi della legalità e della proporzionalità dei reati e delle pene riconosciuti all'articolo 49. Il secondo protocollo addizionale dovrebbe essere applicato conformemente a tali diritti e principi. Devono inoltre essere incluse nel protocollo appropriate tutele in materia di protezione dei dati e della vita privata in relazione alla raccolta, al trasferimento e al successivo uso dei dati personali e dei dati delle comunicazioni elettroniche, onde garantire che i prestatori di servizi dell'UE rispettino appieno gli obblighi ad essi incombenti in virtù delle leggi dell'UE sulla protezione dei dati e sulla privacy. Questo nella misura in cui un tale accordo internazionale potrebbe costituire una base giuridica per trasferimenti di dati in risposta a ordini di produzione o richieste emanati da un'autorità di una Parte del protocollo addizionale che non sia uno Stato dell'UE, con cui si chieda a un titolare o responsabile del trattamento di comunicare dati personali e dati delle comunicazioni elettroniche. Tali tutele dovrebbero pertanto assicurare la protezione dei diritti e delle libertà fondamentali dei cittadini dell'UE, compresa la protezione della vita privata e dei dati personali in caso di comunicazione di detti dati personali o dati delle comunicazioni elettroniche ad autorità di contrasto in paesi al di fuori dell'Unione europea. Dato che le proposte della Commissione europea riguardanti le prove elettroniche non prevedono disposizioni che consentano alle autorità di accedere ai dati senza l'intervento di un intermediario ("accesso diretto"), ogni ricorso a tali misure può essere basato solo sulla legislazione nazionale. Se il secondo protocollo addizionale può includere disposizioni riguardanti l'"Ampliamento delle ricerche e dell'accesso in base alle credenziali" e le "Tecniche investigative", lo scopo principale dovrebbe essere quello di perseguire maggiori garanzie in caso di un tale accesso diretto transfrontaliero ai dati, per assicurare la protezione dei diritti e delle libertà fondamentali dei cittadini dell'UE, compresa la protezione della vita privata e dei dati personali. La conclusione del secondo protocollo addizionale dovrebbe consentire accordi o trattati bilaterali che disciplinino le relazioni fra le Parti del protocollo e fra le Parti del protocollo e l'Unione europea. A tal fine dovrebbe essere inserita una clausola appropriata che preveda che, qualora due o più Parti della Convenzione abbiano già concluso un accordo o un trattato su materie trattate dalla Convenzione, o dovessero farlo in futuro, esse hanno facoltà di applicare tale accordo o trattato o di regolare di conseguenza le loro relazioni, purché ciò avvenga in un modo che non sia incompatibile con l'oggetto e i principi della Convenzione. Nelle relazioni bilaterali fra gli Stati Uniti e l'Unione europea, l''accordo fra tali due Parti sull'accesso transfrontaliero alle prove elettroniche ai fini della cooperazione giudiziaria in materia penale dovrebbe prevalere su eventuali intese o accordi raggiunti nell'ambito dei negoziati sul secondo protocollo addizionale, nella misura in cui riguardino le stesse questioni.



Raccomandazione di DECISIONE DEL CONSIGLIO che autorizza la partecipazione ai negoziati su un secondo protocollo addizionale alla Convenzione del Consiglio d'Europa sulla criminalità informatica (STCE n. 185) IL CONSIGLIO DELL'UNIONE EUROPEA, visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 218, paragrafi 3 e 4, vista la raccomandazione della Commissione europea, considerando quanto segue: (1)Il 9 giugno 2017, la commissione delle Parti della Convenzione del Consiglio d'Europa sulla criminalità informatica (STCE n. 185) (T-CY) ha approvato una decisione che adotta il mandato per la preparazione del secondo protocollo addizionale della Convenzione. (2)Il mandato per il secondo protocollo addizionale include i seguenti elementi di riflessione: disposizioni per una mutua assistenza giudiziaria più efficiente (un sistema semplificato per le richieste di mutua assistenza giudiziaria per quanto riguarda le informazioni relative agli abbonati; ordini di produzione internazionali; cooperazione diretta fra le autorità giudiziarie per quanto riguarda le richieste di mutua assistenza giudiziaria; indagini congiunte e squadre investigative comuni; richieste in lingua inglese; audizioni audio/video di testimoni, persone offese ed esperti; procedure d'emergenza di mutua assistenza giudiziaria); disposizioni che consentano la cooperazione diretta con i fornitori di servizi in altre giurisdizioni per quanto riguarda le richieste di informazioni sugli abbonati, le richieste di conservazione e le richieste d'emergenza; un quadro più chiaro e maggiori garanzie in relazione alle prassi esistenti di accesso transfrontaliero ai dati; tutele, compresi requisiti in materia di protezione dei dati. (3)L'Unione ha adottato norme comuni che si sovrappongono in larga misura agli elementi previsti presi in considerazione per il secondo protocollo addizionale. Tali norme includono in particolare un ampio insieme di strumenti per facilitare la cooperazione giudiziaria in materia penale, per garantire norme minime in materia di diritti procedurali, così come tutele in materia di protezione dei dati e della vita privata.