Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento del Parlamento europeo e del Consiglio che stabilisce le regole finanziarie applicabili al bilancio generale dell’Unione (rifusione)

(2022/C 288/05)

(Il testo integrale del presente parere è disponibile in inglese, francese e tedescosul sito web del GEPD https://edps.europa.eu)

Il 16 maggio 2022 la Commissione europea ha pubblicato una proposta di regolamento del Parlamento europeo e del Consiglio che stabilisce le regole finanziarie applicabili al bilancio generale dell’Unione, che modifica il regolamento finanziario. Il Garante europeo della protezione dei dati (GEPD) rileva che la proposta mira a migliorare la qualità e l’interoperabilità dei dati relativi ai destinatari dei finanziamenti dell’Unione e a coloro che in definitiva beneficiano, direttamente o indirettamente, dei finanziamenti dell’Unione, al fine di prevenire, individuare, indagare e correggere efficacemente le frodi o porre rimedio alle irregolarità.

Il GEPD sostiene pienamente gli obiettivi della proposta, compreso il maggiore ricorso alla digitalizzazione per tutelare meglio gli interessi finanziari dell’UE e combattere le frodi e altre irregolarità. Sebbene il trattamento dei dati personali possa essere necessario per conseguire tale obiettivo, spetta al legislatore dell’UE garantire che qualsiasi ingerenza nel diritto alla protezione dei dati resti limitata a quanto strettamente necessario e proporzionato agli obiettivi perseguiti.

Il GEPD si compiace del fatto che la proposta miri a stabilire le categorie di dati che saranno trattati per conseguire gli obiettivi della proposta stessa. Il GEPD è tuttavia consapevole del fatto che il processo di estrazione dei dati e di valutazione del rischio non sarà limitato ai dati esplicitamente individuati dalla proposta e che tali dati sarebbero confrontati con dati provenienti da altre fonti. Il GEPD ritiene necessario individuare esplicitamente tutte le categorie di dati personali da trattare, nonché le fonti di tali dati. Dovrebbero altresì essere predisposte garanzie adeguate per assicurare la qualità e l’accuratezza di tali dati, in particolare nei casi in cui gli altri dati siano raccolti presso terzi.

Il GEPD osserva che nella proposta non sono fornite informazioni supplementari per quanto riguarda il sistema informatico stesso. Raccomanda pertanto di chiarire il tipo di sistema informatico da utilizzare, in particolare se la Commissione intenda basare il sistema sul sistema informatico già esistente «Arachne» o creare un sistema informatico completamente nuovo. Indipendentemente dall’uso delle strutture esistenti, il GEPD desidera ricordare che occorre istituire e introdurre garanzie adeguate nell’architettura di tale sistema informatico, in linea con le norme generali in materia di protezione dei dati applicabili al trattamento dei dati personali. Ciò dovrebbe essere tenuto in debita considerazione nella fase di progettazione e sviluppo del sistema informatico, in linea con il requisito della protezione dei dati fin dalla progettazione.

Il GEPD raccomanda inoltre vivamente al colegislatore di definire chiaramente la durata massima entro la quale i dati personali cui si fa riferimento possono essere conservati e messi a disposizione nel sistema informatico integrato unico per l’estrazione di dati e la valutazione del rischio fornito dalla Commissione.

Per quanto riguarda la pubblicazione di informazioni pertinenti riguardanti tutti i destinatari di fondi finanziati dal bilancio dell’UE, il GEPD prende atto con soddisfazione degli sforzi compiuti per bilanciare il principio di trasparenza con l’ingerenza nel diritto dei destinatari interessati al rispetto della loro vita privata in generale e alla protezione dei loro dati personali, esentando i destinatari dalla pubblicazione dei loro dati personali se sono soddisfatte determinate condizioni (soglia in termini di importo dell’aiuto ricevuto, natura della misura, rischi per i diritti e le libertà ecc.).

1. INTRODUZIONE

1. Il 16 maggio 2022 la Commissione europea ha pubblicato una proposta di regolamento del Parlamento europeo e del Consiglio che stabilisce le regole finanziarie applicabili al bilancio generale dell’Unione (rifusione) («la proposta»), che modifica il regolamento finanziario ( 1 )

2. L’obiettivo della proposta è allineare il regolamento finanziario al pacchetto relativo al quadro finanziario pluriennale (QFP) 2021-2027, al fine di mantenere un «corpus unico di norme» che disciplini le spese dell’Unione, il che significa che tutte le norme finanziarie generali sono incluse nel regolamento finanziario. La proposta prevede inoltre semplificazioni e miglioramenti mirati che sono stati individuati dopo l’entrata in vigore del regolamento finanziario del 2018. La proposta mira inoltre ad aumentare il ricorso alla digitalizzazione per tutelare in modo più adeguato gli interessi finanziari dell’UE, contribuire meglio al raggiungimento degli obiettivi strategici dell’UE e conseguire un’ulteriore semplificazione per i destinatari dei fondi dell’Unione ( 2 )

3. Il presente parere del GEPD è emesso in risposta a una consultazione della Commissione europea del 16 maggio 2022, ai sensi dell’articolo 42, paragrafo 1, dell’EUDPR ( 3 ) . Il GEPD apprezza il riferimento a tale consultazione nel considerando 257 della proposta. A tale riguardo, il GEPD rileva altresì con soddisfazione di essere stato consultato informalmente a norma del considerando 60 del regolamento EUDPR.

5. CONCLUSIONI

26. Alla luce di quanto sopra, il GEPD formula le raccomandazioni seguenti: (1) chiarire il ruolo di tutte le entità che utilizzano e accedono ai dati personali trattati dal sistema informatico integrato unico per l’estrazione di dati e la valutazione del rischio; (2) chiarire il tipo di sistema informatico da utilizzare, in particolare se la Commissione intenda basare il sistema sul sistema informatico già esistente «Arachne» o crearne uno nuovo; (3) individuare esplicitamente tutte le categorie di dati in questione, ossia quali dati saranno trattati/inseriti in collegamento con i dati di identificazione di cui all’articolo 36, paragrafo 6, della proposta, nonché le fonti di tali dati; (4) introdurre garanzie adeguate per assicurare la qualità e l’accuratezza dei dati, in particolare nei casi in cui tali altri dati siano raccolti presso terzi; (5) a prescindere dal fatto che la Commissione intenda avvalersi delle strutture esistenti, includere nella proposta stessa una descrizione di alto livello dello strumento informatico, compresi i ruoli e le responsabilità in materia di protezione dei dati e le pertinenti garanzie applicabili; (6) applicare garanzie supplementari per i tipi di dati non pubblicati. Ad esempio, dovrebbe essere presa in considerazione la pseudonimizzazione dei dati; (7) chiarire se la registrazione e la conservazione elettroniche dei dati saranno effettuate all’interno del sistema informatico per l’estrazione di dati e la valutazione del rischio o se il sistema informatico avrà accesso solo ai dati archiviati altrove; (8) definire chiaramente la durata massima entro la quale i dati di cui all’articolo 36 della proposta possono essere conservati e messi a disposizione nel sistema informatico integrato unico per l’estrazione di dati e la valutazione del rischio fornito dalla Commissione.

Bruxelles, 7 luglio 2022 Wojciech Rafał WIEWIÓROWSKI

(1) Regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio, del 18 luglio 2018, che stabilisce le regole finanziarie applicabili al bilancio generale dell’Unione, che modifica i regolamenti (UE) n. 1296/2013, (UE) n. 1301/2013, (UE) n. 1303/2013, (UE) n. 1304/2013, (UE) n. 1309/2013, (UE) n. 1316/2013, (UE) n. 223/2014, (UE) n. 283/2014, e la decisione n. 541/2014/UE e abroga il regolamento (UE, Euratom) n. 966/2012 (GU L 193 del 30.7.2018, pag. 1).

(2) Cfr. COM(2022) 223 final, pag. 1.

(3) Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39).