IT Gazzetta ufficiale dell'Unione europea C 97/6

Parere del garante europeo della protezione dei dati (GEPD) sulla proposta di decisone del Consiglio relativa all'accesso per la consultazione del sistema d'informazione visti (VIS) da parte delle autorità degli Stati membri competenti in materia di sicurezza interna e di Europol ai fini della prevenzione, dell'individuazione e dell'investigazione di atti terroristici e di altre grave forme di criminalità (COM(2005) 600 defin.)

(2006/C 97/03)

IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI,

visto il trattato che istituisce la Comunità europea, in particolare l'articolo 286,

vista la Carta dei diritti fondamentali dell'Unione europea, in particolare l'articolo 8,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati,

vista la richiesta di parere a norma dell'articolo 28, paragrafo 2 del regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati, in particolare l'articolo 41,

vista la richiesta, ricevuta il 29 novembre 2005 dalla Commissione, a norma dell'articolo 28, paragrafo 2 del regolamento (CE) n. 45/2001,

HA ADOTTATO IL SEGUENTE PARERE:

1. INTRODUZIONE

1.1. Osservazioni preliminari

La proposta di decisione del Consiglio relativa all'accesso per la consultazione del sistema d'informazione visti (VIS) da parte delle autorità degli Stati membri competenti in materia di sicurezza interna e di Europol ai fini della prevenzione, dell'individuazione e dell'investigazione di atti terroristici e di altre gravi forme di criminalità (di seguito: «la proposta») è stata trasmessa dalla Commissione al garante europeo della protezione dei dati (GEPD) con lettera del 24 novembre 2005. Per quest'ultimo la lettera rappresenta una richiesta di fornire alle istituzioni e agli organismi comunitari pareri come previsto nell'articolo 28, paragrafo 2 del regolamento (CE) n. 45/2001. Secondo il GEPD il presente parere dovrebbe essere citato nel preambolo della decisione.

Il GEPD ritiene importante formulare un parere su questo argomento sensibile, in quanto la proposta in oggetto fa direttamente seguito all'istituzione del VIS, su cui il GEPD dovrà esercitare un controllo e su cui ha formulato un parere il 23 marzo 2005 (1). In tale parere l'ipotesi di un accesso da parte delle autorità incaricate dell'applicazione della legge era già stata presa in considerazione (cfr. in appresso); in termini di protezione dei dati la creazione di nuovi diritti di accesso al VIS ha un impatto determinante sul sistema. Pertanto la formulazione di un parere sulla presente proposta costituisce un seguito necessario al primo parere.

1.2. Importanza della proposta

a) Contesto

La presente proposta non è solo importante di per sé ma anche perché rientra nell'attuale tendenza ad accordare alle autorità incaricate dell'applicazione della legge l'accesso a vari sistemi d'informazione e d'identificazione su vasta scala. Di ciò fa menzione, tra gli altri, la comunicazione della Commissione, del 24 novembre 2005, concernente il miglioramento dell'efficienza e l'incremento dell'interoperabilità e delle sinergie tra le banche dati europee nel settore della giustizia e degli affari interni (2), in particolare il punto 4.6: «In merito all'obiettivo della lotta al terrorismo e contro la criminalità, il Consiglio ritiene attualmente un problema il fatto che le autorità competenti per la sicurezza interna non possano accedere ai dati VIS. Lo stesso vale per tutti i dati relativi all'immigrazione contenuti in SIS II e per i dati di EURODAC.»

Pertanto la presente proposta potrebbe essere considerata un precursore di strumenti giuridici analoghi sviluppati nel quadro di altre banche dati, ed è cruciale definire, dall'inizio, i casi in cui tale accesso può essere ammissibile.

b) Impatto di un nuovo accesso al VIS

Il GEPD riconosce certo che le autorità incaricate dell'applicazione della legge devono poter avvalersi dei migliori strumenti per individuare gli autori di atti terroristici o di altri gravi reati. E' altresì consapevole che i dati VIS possono costituire, in determinate circostanze, una fonte essenziale di informazioni per tali autorità.

Tuttavia, consentire alle autorità incaricate dell'applicazione della legge l'accesso alle banche di dati del primo pilastro, per quanto giustificato dalla lotta al terrorismo, è ben lungi dall'essere un elemento privo di ripercussioni. Occorre tenere presente che il VIS è un sistema d'informazione sviluppato in vista dell'attuazione della politica europea in materia di visti e non uno strumento per l'applicazione della legge. Un accesso su base sistematica costituirebbe realmente una grave violazione del principio di limitazione delle finalità e comporterebbe un'intrusione eccessiva nella vita privata dei viaggiatori che hanno acconsentito al trattamento dei loro dati per ottenere un visto e si attendono che tali dati siano raccolti, consultati e trasmessi per tale unica finalità.

Poiché i sistemi d'informazione sono creati con una finalità specifica, la quale determina le garanzie, la sicurezza e le condizioni di accesso, concedere l'accesso sistematico per finalità diverse da quelle originarie non solo violerebbe il principio di limitazione delle finalità, ma potrebbe anche rendere inadeguati o insufficienti gli elementi suindicati.

Analogamente, un cambiamento così significativo del sistema potrebbe invalidare i risultati dello studio di valutazione d'impatto (che ha esaminato solo l'utilizzo del sistema per le sua finalità originarie). Ciò vale anche per i pareri delle autorità incaricate della protezione dei dati. Si potrebbe affermare che la nuova proposta altera le premesse delle analisi dell'ottemperanza effettuate da queste ultime.

c) Rigorosa limitazione dell'accesso

Sulla scorta delle osservazioni precedenti, il GEPD desidera sottolineare che l'accesso al VIS da parte delle autorità incaricate dell'applicazione della legge può essere accordato solo in circostanze specifiche, da valutare caso per caso, e deve essere accompagnato da rigorose garanzie. In altri termini, la consultazione da parte delle autorità incaricate dell'applicazione della legge deve essere limitata a casi specifici attraverso mezzi tecnici e giuridici adeguati.

Il GEPD ha già sottolineato tutto ciò nel suo parere sul VIS: «Il GEPD è consapevole del fatto che le strutture di contrasto sono interessate ad avere accesso al VIS; il 7 marzo 2005 il Consiglio ha adottato conclusioni in tal senso. Poiché il VIS ha la finalità di migliorare la politica comune in materia di visti, va osservato che la concessione di un accesso sistematico alle strutture di contrasto sarebbe in contrasto con tale finalità. Benché ai sensi dell'articolo 13 della direttiva 95/46/CE l'accesso possa essere concesso su base ad hoc, in circostanze specifiche e fatte salve adeguate garanzie, un accesso sistematico non può essere autorizzato.».

In conclusione, i requisiti essenziali potrebbero essere così sintetizzati:

— L'accesso sistematico non può essere accordato: la decisione deve garantire che si procederà sempre alla valutazione caso per caso della necessità e proporzionalità dell'accesso da parte delle autorità del terzo pilastro. Al riguardo è indispensabile che lo strumento giuridico abbia una formulazione precisa, per non lasciare margini a un'interpretazione estensiva, che porterebbe a sua volta a un accesso sistematico.

— Nei casi in cui l'accesso è autorizzato, in considerazione del suo carattere sensibile devono essere adottate garanzie e condizioni adeguate che includano un regime globale di protezione dei dati utilizzati a livello nazionale.

1.3 Osservazioni iniziali

Il GEPD riconosce che nello strumento proposto è stata prestata grande attenzione alla protezione dei dati, in particolare limitando l'accesso a casi specifici e unicamente nel quadro della lotta contro gravi forme di criminalità (3).

Tra gli altri elementi positivi il GEPD desidera inoltre menzionare specificamente:

— la limitazione ad alcune forme di criminalità, quali indicate nella convenzione Europol;

— l'obbligo degli Stati membri di redigere e pubblicare un elenco delle autorità che hanno accesso al sistema;

— l'esistenza di un punto di accesso centrale per Stato membro (e di una unità specializzata nell'ambito dell' Europol), che consente un migliore filtraggio delle richieste di accesso e un migliore controllo;

— le rigide norme in materia di ulteriore trasmissione dei dati, di cui all'articolo 8, paragrafo 5 della proposta;

— l'obbligo degli Stati membri e dell'Europol di tenere un registro delle persone incaricate della consultazione dei dati.

2. ANALISI DELLA PROPOSTA

2.1. Osservazioni preliminari

Per accordare l'accesso alle autorità in base al terzo pilastro, la proposta VIS principale, basata sul primo pilastro, dovrebbe contenere una clausola passerella che, essenzialmente, determini il possibile contenuto di uno strumento giuridico del terzo pilastro, quale la proposta in oggetto. Poiché quando il GEPD ha formulato il suo parere sul VIS, tale clausola passerella non era ancora stata introdotta, il GEPD non ha potuto formulare osservazioni al riguardo. Pertanto tutte le osservazioni che seguono sono espresse con riserva quanto al contenuto della clausola passerella.

2.2. Finalità dell'accesso

Per garantire una limitazione adeguata dell'accesso è importante definire con precisione le condizioni di accesso al VIS. E' apprezzabile che oltre alla proposta di decisione vera e propria, la relazione e i considerando (cfr. in particolare il considerando 7) indichino a chiare lettere che si intende consentire l'accesso solo caso per caso.

Riguardo all'articolo 5 della proposta si può osservare, al fine di orientarne l'interpretazione,

che esso limita la portata dell'accesso mediante condizioni sostanziali:

b) l'accesso per la consultazione deve essere necessario ai fini della prevenzione, dell'individuazione e dell'investigazione di reati terroristici o di altre gravi forme di criminalità;

c) l'accesso per la consultazione deve essere necessario nell'ambito di un caso particolare (...), e

d) devono esistere fondati motivi, basati su indicazioni concrete, per ritenere che la consultazione dei dati VIS contribuirà alla prevenzione, all'individuazione e all'investigazione di qualsiasi forma di criminalità in questione.

Tali condizioni sono cumulative e la condizione di cui alla lettera b) costituisce prevalentemente una definizione del campo d'applicazione ratione materiae. In pratica, ciò significa che l'autorità che desidera accedere al VIS deve essere confrontata a una grave forma di criminalità di cui alla lettera b) della proposta e occorre che vi sia un caso particolare di cui alla lettera c). Inoltre l'autorità, secondo quanto previsto alla lettera d), deve poter dimostrare che nel caso in questione la consultazione dei dati VIS contribuirà alla prevenzione, all'individuazione o all'investigazione del reato.

Anche con quest'interpretazione dell'articolo 5 il GEPD teme che la formulazione flessibile della lettera d): «contribuirà alla» sia troppo ampia. Sono molti i casi in cui i dati VIS potrebbero «contribuire alla» prevenzione o all'investigazione di gravi forme di criminalità. Per giustificare un accesso ai dati VIS in deroga al principio della limitazione delle finalità, il GEPD ritiene che tale consultazione debba «contribuire sostanzialmente alla» prevenzione, all'individuazione o all'investigazione del reato grave in questione e suggerisce pertanto di modificare l'articolo 5 in tal senso.

L'articolo 10 stabilisce che le registrazioni devono evidenziare lo scopo esatto dell'accesso. Lo «scopo esatto» dovrebbe comprendere elementi che rendono necessaria la consultazione del VIS nel senso indicato dall'articolo 5, lettera d). Questo contribuirebbe ad assicurare che, per tutte le consultazioni del VIS, si effettui un controllo della necessità, e a ridurre il rischio di accesso su base sistematica.

2.3. Chiavi di ricerca nella banca dati VIS

L'articolo 5, paragrafi 2 e 3 prevede un accesso in due fasi ai dati VIS: solo se da una prima consultazione risulta che uno o più dati sono registrati è possibile accedere a un' ulteriore serie di dati. Questo, di per sé, è un approccio corretto. Tuttavia la prima serie di dati sembra molto ampia. In particolare ci si può interrogare sulla pertinenza dei dati di cui all'articolo 5, paragrafo 2, lettere e) e i) per la consultazione della prima serie di dati:

— Lo «scopo del viaggio» sembra essere un criterio di ricerca molto generico per consentire un'interrogazione efficace del sistema. Comporta inoltre il rischio che, sulla sua base, si ottenga il profilo dei viaggiatori.

— Quanto alle «fotografie», la possibilità di interrogare una banca dati così ampia sulla base di fotografie è limitata; questo tipo di ricerca, allo stadio attuale della tecnologia, produce un livello inaccettabile di risposte errate. Le conseguenze di un'identificazione errata possono essere molto gravi per la persona interessata.

Pertanto il GEPD chiede che i dati di cui all'articolo 5, paragrafo 2, lettere e) e i) siano considerati informazioni supplementari, accessibili solo se dalla prima consultazione risulta che i dati sono già registrati nel sistema, e siano trasferiti all'articolo 5, paragrafo 3.

In alternativa, la possibilità di interrogare la banca dati sulla scorta di fotografie potrebbe essere sottoposta a una valutazione della tecnologia da parte del comitato consultivo e realizzata, solo quando la tecnologia sia considerata sufficientemente matura e affidabile.

2.4. Applicazione agli Stati membri cui non si applica il regolamento VIS

L'accesso al VIS per consultazione può avvenire da parte delle autorità competenti in materia di sicurezza interna degli Stati membri che non aderiscono al VIS. Esse devono effettuare la consultazione attraverso uno Stato che vi aderisce, nel rispetto delle condizioni stabilite all'articolo 5, paragrafo 1, lettere da b) a d) (ossia caso per caso) e presentare una richiesta scritta debitamente motivata.

Il GEPD desidera sottolineare la necessità di imporre alcune condizioni al trattamento dei dati, al di là della consultazione. La disposizione applicabile agli Stati membri che aderiscono al VIS stabilisce che i dati ottenuti dal VIS devono essere trattati conformemente alla decisione quadro sulla protezione dei dati nell'ambito del terzo pilastro (cfr. in appresso). La medesima condizione dovrebbe valere per gli Stati membri cui non si applica il regolamento VIS ma che consultano i dati VIS. Il ragionamento è valido anche per la registrazione dei dati ai fini di un successivo controllo. Pertanto il GEPD raccomanda che nell'articolo 6 della proposta sia aggiunto un paragrafo nel quale si stabilisca che gli articoli 8 e 10 della decisione si applicano altresì agli Stati membri cui non si applica il regolamento VIS.

2.5. Regime di protezione dei dati

a) Applicazione della decisione quadro sulla protezione dei dati nell'ambito del terzo pilastro

Poiché l'accesso da parte delle autorità competenti in materia di sicurezza interna rappresenta un'eccezione rispetto alle finalità del VIS, tale accesso dovrebbe essere soggetto a un rigoroso regime di protezione dei dati, che assicuri un livello elevato di protezione dei dati ottenuti dal VIS e trattati dalle autorità nazionali o dall' Europol.

L'articolo 8 della proposta stabilisce che la decisione quadro del Consiglio sulla protezione dei dati personali trattati nell'ambito della cooperazione giudiziaria e di polizia in materia penale (di seguito «la decisione quadro») si applica al trattamento dei dati personali a norma della decisione proposta. Per quanto concerne la protezione dei dati la presente proposta dovrebbe quindi essere considerata una lex specialis, che completa o specifica la lex generalis (ossia la decisione quadro). Ad esempio le disposizioni sull'ulteriore trasferimento di dati sono più rigide nella presente proposta e dovrebbero essere seguite. Lo stesso dicasi per i motivi dell'accesso ai dati.

b) Portata

Il GEPD si compiace che il regime di protezione dei dati della decisione quadro si applichi a tutti i trattamenti dei dati personali previsti dalla proposta di decisione. Questo significa che il livello di protezione dei dati è equivalente, a prescindere dalle autorità che consultano i dati VIS.

Poiché l'articolo 2 utilizza un criterio funzionale per definire tali autorità («le autorità degli Stati membri competenti in materia di prevenzione, individuazione e investigazione di reati terroristici e altre gravi forme di criminalità.»), la definizione potrebbe includere i servizi di intelligence oltre alle autorità incaricate dell'applicazione della legge. I servizi di intelligence che consultano VIS sono pertanto, in linea di principio, soggetti agli stessi obblighi in termini di protezione dei dati, il che, ovviamente, è un elemento positivo.

Tuttavia, poiché potrebbero sorgere dubbi su tale interpretazione riguardo all'applicabilità della decisione quadro ai servizi di intelligence che accedono a dati VIS, il GEPD suggerisce la seguente formulazione alternativa:

«Quando la decisione quadro (…) non è appplicabile, gli Stati membri assicurano un livello di protezione dei dati almeno equivalente a quello garantito ai sensi della decisione quadro».

c) Controllo

Quanto alla formulazione dell'articolo 8, occorrerebbe chiarire che il paragrafo 1 riguarda il trattamento dei dati all'interno del territorio degli Stati membri. Poiché i paragrafi 2 e 3 chiariscono il loro campo d'applicazione (trattamento dei dati da parte dell'Europol e della Commissione) andrebbe chiarito che il paragrafo 1 riguarda un'altra ipotesi.

La ripartizione delle competenze in materia di controllo a seconda delle rispettive attività degli attori costituisce un approccio corretto. Manca tuttavia un elemento: la necessità di un approccio coordinato nel controllo. Come già indicato nel parere del GEDP sul VIS: «Per quanto concerne il controllo del VIS, è altresì importante sottolineare che le attività di controllo da parte delle autorità di controllo nazionali e del GEPD dovrebbero essere coordinate fino a un certo punto […]. Infatti, sussiste l'esigenza di un'attuazione armonizzata del regolamento e di cooperazione verso un approccio generale dei problemi comuni.

L'articolo 35 [della proposta VIS] dovrebbe pertanto contenere una disposizione in tal senso secondo cui il GEPD convoca, almeno una volta l'anno, una riunione con tutte le autorità di controllo nazionali.»

Ciò vale altresì per quest'uso specifico del sistema VIS (in questo caso anche con il coinvolgimento dell'autorità di controllo comune dell'Europol). Il controllo dovrebbe essere del tutto coerente con il controllo del «VIS primo pilastro», in quanto si tratta dello stesso sistema. Inoltre le riunioni di coordinamento convocate dal GEPD, cui partecipano tutte le parti coinvolte nel controllo, costituiscono il modello scelto per il controllo di altri sistemi d'informazione su vasta scala, come Eurodac.

Il GEPD riconosce che il coordinamento è in qualche misura previsto nella proposta, la quale menziona il ruolo del futuro Gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall'articolo 31 della proposta di decisione quadro. Tuttavia va ribadito che il controllo in quanto tale non rientra tra i compiti di tale organo consultivo.

Il GEPD suggerisce di aggiungere una disposizione nella quale si stabilisca che la riunione di coordinamento convocata dal GEPD nel quadro del controllo del «VIS primo pilastro» dovrà essere competente anche in materia di dati elaborati ai sensi della presente proposta e che, a tale effetto, l'autorità di controllo comune dell'Europol dovrebbe essere rappresentata.

2.6. Autoverifica

L'articolo 12 della proposta prevede sistemi di controllo del VIS. Il GEPD ritiene che tale controllo debba riguardare non solo gli aspetti connessi ai risultati, ai costi-benefici alla qualità del servizio ma anche il rispetto dei requisiti giuridici, soprattutto nel settore della protezione dei dati. L'articolo 12 dovrebbe essere modificato in tal senso.

Per svolgere quest'autoverifica della legalità del trattamento dei dati, la Commissione dovrebbe potersi avvalere delle registrazioni di cui all'articolo 10 della proposta. Pertanto l'articolo 10 dovrebbe stabilire che tali registrazioni non sono conservate solo ai fini del controllo della protezione dei dati e per garantire la sicurezza di questi ultimi ma anche per procedere a un'autoverifica costante del VIS. Le relazioni di autoverifica faciliteranno i compiti di controllo del GEPD e di quanti esercitano il controllo, poiché essi saranno in grado di scegliere meglio le aree prioritarie del controllo.

3. CONCLUSIONE

Sulla scorta delle precedenti osservazioni, il GEPD sottolinea l'importanza cruciale di concedere l'accesso alle autorità competenti in materia di sicurezza interna e all'Europol solo caso per caso e con rigide garanzie. La proposta consente, in modo globalmente soddisfacente, di raggiungere questo obiettivo, benché possano essere introdotti alcuni miglioramenti, come proposto nel presente parere:

— L'accesso al VIS ai sensi dell'articolo 5 dovrebbe essere subordinato alla condizione che la consultazione contribuisca «sostanzialmente» alla prevenzione, all'individuazione o all'investigazione di un reato grave; le registrazioni di cui all'articolo 10 dovrebbero inoltre consentire di valutare l'esistenza di tale condizione in ogni singolo caso.

— Le due chiavi di ricerca per l'accesso al VIS di cui all'articolo 5, paragrafo 2, ossia «scopo del viaggio» e «fotografie», dovrebbero essere riesaminate e essere disponibili come informazioni supplementari, dopo l'ottenimento di una prima serie di dati.

— Il livello di protezione dei dati applicabile, al di là della consultazione, dovrebbe essere equivalente, a prescindere dalle autorità che consultano i dati VIS. Gli articoli 8 e 10 dovrebbero essere applicabili anche agli Stati membri cui non si applica il regolamento VIS.

— Dovrebbe essere garantito un approccio coordinato in materia di controllo, anche in ordine all'accesso al VIS previsto nella proposta in oggetto.

— Le disposizioni riguardanti i sistemi di controllo dovrebbero assicurare anche l'autoverifica del rispetto dei requisiti in materia di protezione dei dati.

Fatto a Bruxelles, addì 20 gennaio 2006 Peter HUSTINX Garante europeo della protezione dei dati

(1) Parere del garante europeo della protezione dei dati sulla proposta di regolamento del Parlamento europeo e del Consiglio concernente il sistema di informazione visti (VIS) e lo scambio di dati tra Stati membri sui visti per soggiorni di breve durata (COM(2004) 835 definitivo)

(2) COM(2005) 597 definitivo.

(3) Coerente con le conclusioni del Consiglio del marzo e luglio 2005, nelle quali si chiede che l'accesso al VIS sia accordato alle autorità competenti in materia di sicurezza interna «unicamente nel pieno rispetto delle normative sulla protezione dei dati personali».