Sintesi del parere del Garante europeo della protezione dei dati sulla revisione dei regolamenti dell’UE in materia di notificazione e comunicazione degli atti e assunzione delle prove in materia civile o commerciale

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2019/C 370/07)

Il 31 maggio 2018 la Commissione europea ha presentato due proposte di regolamento del Parlamento europeo e del Consiglio: da una parte, una proposta recante modifica al regolamento (CE) n. 1206/2001 del Consiglio, del 28 maggio 2001, relativo alla cooperazione fra le autorità giudiziarie degli Stati membri nel settore dell’assunzione delle prove in materia civile o commerciale (1) e, dall’altra, una proposta recante modifica al regolamento (CE) n. 1393/2007 del Parlamento europeo e del Consiglio, del 13 novembre 2007, relativo alla notificazione e alla comunicazione negli Stati membri degli atti giudiziari ed extragiudiziali in materia civile o commerciale (2). Le proposte intendono principalmente migliorare il corretto funzionamento della cooperazione giudiziaria in questi settori, prevedendo, tra l’altro, la trasmissione di documenti e le richieste di assunzione di prove attraverso un sistema informatico decentrato.

Il GEPD riconosce che gli scambi di dati personali sono elementi necessari per la creazione di uno spazio di libertà, sicurezza e giustizia. Accoglie pertanto favorevolmente gli obiettivi generali delle proposte intese a migliorare l’efficienza della cooperazione giudiziaria in materia civile o commerciale in relazione all’assunzione di prove e alla notificazione degli atti, in particolare attraverso la digitalizzazione e l’uso delle tecnologie informatiche. Condivide l’opinione secondo cui la legislazione proposta potrebbe avere effetti concreti sulla vita quotidiana dei cittadini dell’UE.

Il presente parere formula tre raccomandazioni principali al fine di assistere in modo costruttivo i legislatori nel conseguimento di questo importantissimo obiettivo, garantendo nel contempo il rispetto della Carta e del RGPD:

— fornire una chiara base giuridica per il sistema informatico da utilizzare per la trasmissione di documenti, richieste e comunicazioni per il fine di tali regolamenti. In particolare, nel caso in cui il sistema informatico implichi il coinvolgimento di un’istituzione, di un organo, di un’agenzia o di un ufficio dell’UE, la base giuridica dovrebbe, in linea di principio, essere fornita in un atto legislativo dell’UE. Inoltre, anche nel caso in cui il trattamento dei dati personali avvenga nel quadro di un sistema informatico esistente, il GEPD raccomanda di prevedere l’uso di tale sistema nell’atto legislativo stesso. Tuttavia, l’attuale sistema che si prevede di utilizzare dovrebbe essere debitamente stabilito sulla base di un atto giuridico adottato a livello dell’UE, che attualmente non è il caso di e-CODEX. Nel caso in cui il legislatore dell’UE scelga la soluzione e-CODEX, si dovrebbe porre rimedio senza indugio all’assenza di uno strumento giuridico a livello dell’UE che istituisca e disciplini il sistema;

— inserire negli atti legislativi stessi una descrizione dettagliata degli aspetti relativi al sistema informatico, quali le responsabilità in materia di protezione dei dati, o le salvaguardie pertinenti applicabili, da definire ulteriormente mediante atti di esecuzione. In particolare, nella misura in cui la Commissione o un’altra istituzione, organismo, agenzia od ufficio dell’UE saranno coinvolti nel funzionamento del nuovo sistema, l’atto giuridico dovrebbe idealmente definire le sue responsabilità come (con)titolare del trattamento o responsabile del trattamento;

— effettuare una valutazione d’impatto sulla protezione dei dati all’atto dell’elaborazione degli atti di esecuzione.

Ulteriori raccomandazioni dettagliate sono formulate dal GEPD nel presente parere.

Il GEPD resta a disposizione delle istituzioni per ulteriore assistenza nel corso del procedimento legislativo e nella fase di attuazione dei regolamenti, una volta adottati.

1. Introduzione e contesto

1. Il 31 maggio 2018 la Commissione ha adottato due proposte ( 3 ) di regolamento del Parlamento europeo e del Consiglio che modificherebbero: — il regolamento (CE) n. 1206/2001 del Consiglio, del 28 maggio 2001, relativo alla cooperazione fra le autorità giudiziarie degli Stati membri nel settore dell’assunzione delle prove in materia civile o commerciale (in prosieguo il «regolamento sull’assunzione delle prove»); — il regolamento (CE) n. 1393/2007 del Parlamento europeo e del Consiglio relativo alla notificazione e alla comunicazione negli Stati membri degli atti giudiziari ed extragiudiziali in materia civile o commerciale (in prosieguo il «regolamento sulla notificazione e comunicazione degli atti»).

2. Il regolamento sull’assunzione delle prove, in vigore sin dal 2004, prevede due modalità di assunzione delle prove tra gli Stati membri: l’assunzione indiretta di prove tramite un’autorità giudiziaria richiesta oppure l’assunzione diretta di prove da parte dell’autorità giudiziaria richiedente.

3. Il regolamento in materia di notificazione e comunicazione degli atti, in vigore sin dal 2008, prevede diverse modalità di trasmissione dei documenti da uno Stato membro all’altro, ai fini della loro notificazione e comunicazione, tramite organi mittenti e riceventi, o mediante trasmissione per via consolare o diplomatica. Stabilisce inoltre condizioni giuridiche uniformi per la notificazione o comunicazione transfrontaliera diretta di un atto tramite posta e fornisce un servizio diretto tramite la persona competente dello Stato membro richiesto, ove consentito dalla legislazione di tale Stato membro. Prevede determinate norme minime relative alla tutela dei diritti di difesa. L’applicazione del regolamento «non è limitata ai procedimenti dinanzi agli organi giurisdizionali civili: il suo ambito d’applicazione interessa anche gli atti «extragiudiziali», la cui notificazione o comunicazione può rendersi necessaria in varie procedure stragiudiziali (ad esempio in casi di successione dinanzi a un notaio o in casi di diritto di famiglia dinanzi a una pubblica autorità), o anche senza che vi sia alla base un procedimento giudiziario» ( 4 )

4. Le proposte rientrano nel programma di lavoro della Commissione per il 2018 nell’ambito delle iniziative REFIT per lo spazio di giustizia e di diritti fondamentali basato sulla reciproca fiducia ( 5 ) . Le proposte sono accompagnate da una valutazione d’impatto ( 6 )

5. Entrambe le proposte prevedono la trasmissione di documenti, richieste e comunicazioni mediante un sistema informatico decentrato obbligatorio composto da sistemi informatici nazionali interconnessi da un’infrastruttura di comunicazione che consenta lo scambio transfrontaliero sicuro e affidabile di informazioni tra i sistemi informatici nazionali. Prevedono inoltre l’applicazione del regolamento (UE) n. 910/2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno ( 7 )

6. tra l’altro concordando sull’istituzione di un sistema informatico decentrato, a condizione che tale sistema sia basato su e-CODEX e che la sua attuazione venga garantita tramite atti delegati. Il 13 febbraio 2019 il Parlamento europeo ha adottato le sue risoluzioni legislative su entrambe le proposte in prima lettura ( 8 ) concordando sull’istituzione di un sistema informatico decentrato, a condizione che tale sistema sia basato su e-CODEX e che la sua attuazione venga garantita tramite atti delegati.

7. Il 6 giugno 2019 si è svolto un dibattito orientativo presso il Consiglio. La presidenza ha concluso che «il Consiglio ha confermato la necessità di modernizzare i nostri processi per quanto riguarda la cooperazione giudiziaria in materia civile e commerciale. La presidenza ha preso atto della preferenza espressa per un sistema informatico decentrato e protetto. Ha aggiunto che i ministri potrebbero accettare l’uso obbligatorio del sistema solo a determinate condizioni, tra cui un periodo di transizione più lungo e un sistema di riferimento back-end che la Commissione deve fornire. Dovrà essere preso in considerazione anche un elenco delle eccezioni necessarie. Infine, la presidenza ha rilevato che e-CODEX potrebbe essere la soluzione software da utilizzare a tal fine. Ulteriori lavori dovranno essere condotti a livello tecnico» ( 9 )

8. Il 23 aprile 2019 la Commissione ha presentato al Garante europeo per la protezione dei dati (in prosieguo «il GEPD») una richiesta di consultazione per valutare la conformità di entrambe le proposte con il regolamento generale sulla protezione dei dati (in prosieguo «RGPD»). Il GEPD accoglie favorevolmente la consultazione della Commissione.

3. Conclusioni

24. Il GEPD accoglie favorevolmente gli obiettivi generali delle proposte intese a migliorare l’efficienza della cooperazione giudiziaria, in particolare mediante la digitalizzazione e l’uso della tecnologia informatica, in relazione all’assunzione delle prove e alla notificazione e comunicazione degli atti in materia civile o commerciale. Il presente parere mira, pertanto, a fornire una consulenza obiettiva e costruttiva alle istituzioni dell’UE.

25. Il GEPD si compiace dell’individuazione di un’architettura ad alto livello del sistema nell’atto legislativo stesso e dell’obbligo di uno scambio affidabile di informazioni nonché della necessità di utilizzare i servizi fiduciari quali definiti nel regolamento (UE) n. 910/2014.

26. Il GEPD formula tre raccomandazioni principali per garantire il rispetto della Carta e del RGPD: — fornire una chiara base giuridica per il sistema informatico da utilizzare per la trasmissione di documenti, richieste e comunicazioni ai fini di questi regolamenti. In particolare, nel caso in cui il sistema informatico implichi il coinvolgimento di un’istituzione, di un organo, di un’agenzia o di un ufficio dell’UE, la base giuridica dovrebbe, in linea di principio, essere fornita in un atto legislativo dell’UE. Inoltre, anche nel caso in cui il trattamento dei dati personali avvenga nel quadro di un sistema informatico esistente, il GEPD raccomanda di prevedere l’uso di tale sistema nell’atto legislativo stesso. Tuttavia, l’attuale sistema che si prevede di utilizzare dovrebbe essere debitamente stabilito sulla base di un atto giuridico adottato a livello dell’UE, che attualmente non è il caso di e-CODEX. Nel caso in cui il legislatore dell’UE scelga la soluzione e-CODEX, si dovrebbe porre rimedio senza indugio all’assenza di uno strumento giuridico a livello dell’UE che istituisca e disciplini il sistema; — inserire negli stessi atti legislativi una descrizione dettagliata degli aspetti relativi al sistema informatico, quali le responsabilità in materia di protezione dei dati, o le salvaguardie pertinenti applicabili, da definire ulteriormente mediante atti di esecuzione. In particolare, nella misura in cui la Commissione o un’altra istituzione, organismo, agenzia od ufficio dell’UE saranno coinvolti nel funzionamento del nuovo sistema, l’atto giuridico dovrebbe idealmente definire le sue responsabilità come (con)titolare del trattamento o responsabile del trattamento; — effettuare una valutazione d’impatto sulla protezione dei dati all’atto dell’elaborazione degli atti di esecuzione.

27. Il GEPD raccomanda inoltre: — di fornire, in entrambi gli atti legislativi, un atto di esecuzione per descrivere ulteriormente in dettaglio il sistema informatico, e che gli atti di esecuzione affrontino le nuove disposizioni in materia di servizi elettronici e l’assunzione diretta delle prove mediante videoconferenza, in modo da includere salvaguardie specifiche anche su tali operazioni di trattamento; — in caso di contitolarità del trattamento, stabilire negli atti di esecuzione il rapporto tra i contitolari del trattamento e il contenuto di tali disposizioni obbligatorie tra loro; — specificare, negli atti di esecuzione, le salvaguardie che garantiscono l’accesso a un numero limitato di utenti autorizzati; — definire in dettaglio, per quanto possibile, gli elementi statistici da raccogliere negli atti di esecuzione.

28. Infine, il GEPD resta a disposizione della Commissione, del Consiglio e del Parlamento europeo per fornire ulteriore assistenza nelle prossime fasi di questo processo. Le raccomandazioni nel presente parere non pregiudicano eventuali osservazioni aggiuntive che il GEPD potrebbe formulare qualora sorgano altre questioni. Rammenta che, conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, la Commissione è obbligata a consultare il GEPD durante la stesura di atti delegati o di esecuzione, qualora essi incidano sulla tutela dei diritti e delle libertà delle persone in relazione al trattamento dei dati personali. Il GEPD si aspetta pertanto di essere successivamente consultato in merito alle disposizioni dei progetti di atti di esecuzione o degli atti delegati.

Fatto a Bruxelles, il 13 settembre 2019 Wojciech Rafał WIEWIÓROWSKI Garante europeo della protezione dei dati

(1) GU L 174 del 27.6.2001, pag. 1.

(2) GU L 324 del 10.12.2007, pag. 79.

(3) Proposta COM(2018) 378 final (in prosieguo: la «proposta di assunzione delle prove») e proposta COM(2018) 379 final (in prosieguo: la «proposta relativa alla notificazione o comunicazione degli atti»).

(4) Relazione, pag. 2.

(5) Programma di lavoro della Commissione per il 2018: un programma per un’Unione più unita, più forte e più democratica [COM(2017)650 final, 24.10.2017], allegato II, punti 10 e 11.

(6) Documenti di lavoro dei servizi della Commissione SWD(2018)285 e SWD(2018)287.

(7) Relazione sulla proposta di assunzione delle prove, pag. 3 e sulla proposta relativa alla notificazione o comunicazione degli atti, pag. 4:«[s]e, in linea di principio, nulla impedisce agli Stati membri di digitalizzare le loro modalità di comunicazione, le esperienze precedenti e le proiezioni di quanto accadrà senza l’intervento dell’UE dimostrano che i progressi sarebbero molto lenti e che, anche se gli Stati membri agiscono, l’interoperabilità non può essere garantita in assenza di un quadro basato sul diritto dell’UE. L’obiettivo della proposta non può essere conseguito in misura sufficiente dagli Stati membri e può essere conseguito soltanto a livello di Unione.»

(8) P8_TA(2019)0103 e P8_TA(2019)0104.

(9) Risultati della sessione del Consiglio (9970/19), pag. 7, versione provvisoria disponibile al seguente indirizzo: https://www.consilium.europa.eu/media/39709/st09970-en19.pdf

Secondo il documento della presidenza (9566/19), paragrafi 8 e 13, «nelle valutazioni di impatto della Commissione che accompagnano le due proposte, e-CODEX è ritenuto il sistema informatico più adatto e l’unico facilmente disponibile. Sviluppare un altro sistema decentrato significherebbe affrontare di nuovo i problemi già incontrati nella fase di sviluppo di e-CODEX.»«Una delle soluzioni esistenti è rappresentata da e-CODEX, un sistema elaborato da un consorzio di Stati membri con il sostegno finanziario dell’UE durante un periodo di quasi dieci anni. Attualmente e-CODEX è utilizzato per quanto segue: il sistema di interconnessione dei registri delle imprese (BRIS); l’interconnessione dei registri d’insolvenza nazionali; il sistema digitale di scambio di prove elettroniche. Tuttavia, per quanto riguarda i casi di utilizzo basato su una cooperazione volontaria, e-CODEX non è ancora attuato né utilizzato da tutti gli Stati membri. In tale contesto, nel corso delle discussioni in seno al gruppo, la Commissione potrebbe prendere in considerazione l’elaborazione, per gli Stati membri in cui attualmente non esiste alcun sistema informatico che sostenga le procedure elettroniche, di una soluzione di riferimento per attuare un sistema back-end a livello nazionale, purché vi sia un sostegno sufficientemente forte e ampio delle delegazioni a favore dell’obbligo di comunicazione elettronica. Tutti i sistemi dovrebbero essere tecnicamente interoperabili e conformi allo stesso insieme di specifiche tecniche (protocolli, norme, schemi XML e flussi di lavoro).»