IT Gazzetta ufficiale dell'Unione europea C 162/9

Sintesi del parere del Garante europeo della protezione dei dati sulla proposta concernente un sistema europeo di informazione e autorizzazione ai viaggi (ETIAS)

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2017/C 162/06)

Negli ultimi anni la politica di gestione delle frontiere dell’UE ha registrato importanti sviluppi legati alle sfide poste dall’afflusso di rifugiati e migranti e a preoccupazioni relative alla sicurezza, amplificate dagli attentati di Parigi, Bruxelles e Nizza. La situazione attuale e la necessità di garantire la sicurezza all’interno del territorio degli Stati membri, hanno indotto la Commissione a intraprendere diverse iniziative legislative, volte a migliorare il controllo sulle persone che accedono allo spazio Schengen.

Una di queste iniziative è la proposta di regolamento che istituisce un sistema europeo di informazione e autorizzazione ai viaggi (ETIAS), presentata dalla Commissione il 16 novembre 2016.

Secondo tale proposta, il sistema richiederebbe ai viaggiatori esenti dall’obbligo di visto di sottoporsi ad una valutazione del rischio in termini di sicurezza, immigrazione irregolare e salute pubblica, prima di presentarsi alle frontiere Schengen. Tale valutazione sarebbe effettuata per mezzo di un controllo incrociato dei dati presentati dal richiedente tramite l’ETIAS, con altri sistemi d’informazione dell’UE, un apposito elenco di controllo ETIAS e regole di screening. L’esito di questo processo sarà la concessione - o il rifiuto - di un’autorizzazione automatizzata per entrare nell’UE.

Con la proposta ETIAS, il legislatore dell’UE sembra seguire la crescente tendenza ad affrontare congiuntamente gli obiettivi di gestione della sicurezza e dell’immigrazione, senza tenere conto delle differenze sostanziali tra questi due settori. L’istituzione dell’ETIAS avrebbe un impatto significativo sul diritto alla protezione dei dati personali, dal momento che diversi tipi di dati inizialmente raccolti per scopi molto diversi diventerebbero accessibili ad un più ampio spettro di autorità pubbliche (ovvero autorità competenti per l’immigrazione, guardie di frontiera, autorità di contrasto, ecc.). Per questo motivo, il GEPD ritiene necessaria una valutazione dell’impatto che la proposta comporterà sul diritto alla vita privata e il diritto alla protezione dei dati sanciti dalla Carta dei diritti fondamentali dell’UE, che farà il punto di tutte le misure esistenti a livello dell’UE con riferimento agli obiettivi migratori e di sicurezza.

Inoltre, la proposta ETIAS solleva perplessità per quanto riguarda il processo di determinazione dei possibili rischi posti dal richiedente. A questo proposito, occorre prestare particolare attenzione alla definizione di detti rischi in quanto tali. Dal momento che di conseguenza ad una persona potrebbe essere rifiutato l’ingresso, la legge dovrebbe definire chiaramente quali sono i rischi valutati. Il GEPD pone inoltre la questione dell’esistenza delle regole di screening ETIAS. Il GEPD comprende che l’obiettivo del legislatore è creare uno strumento che consenta l’individuazione automatica di cittadini di paesi terzi esenti dall’obbligo di visto, che potrebbero comportare tali rischi. Nondimeno, la profilazione, come qualsiasi altra forma di analisi informatizzata dei dati applicata alle persone, solleva serie questioni tecniche, legali ed etiche. Di conseguenza, il GEPD chiede che la necessità di ricorrere a strumenti di profilazione ai fini dell’ETIAS sia suffragata da prove convincenti.

Inoltre, il GEPD mette in dubbio la rilevanza della raccolta e del trattamento di dati sanitari, come previsti nella proposta. Chiede una migliore giustificazione per il periodo di conservazione dei dati prescelto e la necessità di accordare l’accesso alle autorità nazionali di contrasto e a Europol.

Fornisce infine raccomandazioni, ad esempio, circa la ripartizione dei ruoli e delle responsabilità tra i diversi soggetti coinvolti, nonché in merito all’architettura e alla sicurezza delle informazioni dell’ETIAS.

I. INTRODUZIONE

1. L’iniziativa della Commissione europea di istituire un sistema europeo di informazione e autorizzazione ai viaggi (in seguito denominato «ETIAS») risale ad una comunicazione del 2008 dal titolo «Preparare le prossime fasi della gestione delle frontiere nell’Unione europea» (1). In tale comunicazione la Commissione ha proposto nuovi strumenti per la futura gestione delle frontiere europee - in particolare il sistema di ingressi/uscite (EES) e il programma per viaggiatori registrati (RTP) - ed ha considerato per la prima volta l’introduzione dell’ETIAS, all’epoca denominato sistema elettronico europeo d’autorizzazione di viaggio (sistema ESTA). Il GEPD ha formulato osservazioni preliminari (2) su tale comunicazione nello stesso anno.

2. Nel febbraio 2011, la Commissione ha pubblicato uno studio strategico (3) che ha analizzato quattro diverse opzioni per l’introduzione di un sistema ESTA UE. Lo studio ha portato alla conclusione che, all’epoca, non sussistevano le condizioni per giustificare l’istituzione di un sistema ESTA UE. In una comunicazione (4) del 2011 relativa alle frontiere intelligenti, la Commissione ha ritenuto che la creazione di un sistema ESTA UE dovesse essere temporaneamente scartata, ma ha annunciato la sua intenzione di proseguire i lavori sul sistema EES e sull’RTP.

3. Nella comunicazione (5)«Sistemi d’informazione più solidi e intelligenti per le frontiere e la sicurezza» del 6 aprile 2016, la Commissione ha annunciato che valuterà la necessità, la fattibilità tecnica e la proporzionalità dell’istituzione di un futuro sistema dell’UE di informazione e autorizzazione ai viaggi. Lo stesso anno, la Commissione ha condotto uno studio di fattibilità, che ha utilizzato come valori di riferimento tre altri sistemi di autorizzazione di viaggio esistenti a livello mondiale: l’ESTA negli USA, l’eTA in Canada e l’eVisitor in Australia.

4. Il 16 novembre, la Commissione ha pubblicato la relazione finale dello studio di fattibilità (6) (in seguito denominato «studio di fattibilità 2016») e la proposta ETIAS (in seguito denominata «la proposta»).

5. Il GEPD accoglie con favore il fatto che i servizi della Commissione lo abbiano consultato in modo informale prima dell’adozione della proposta. Si rammarica tuttavia che, a causa della scadenza molto stretta, nonché dell’importanza e complessità della proposta, non sia stato possibile fornire un contributo significativo in tale momento.

V. CONCLUSIONE

113. Il GEPD accoglie con favore l’attenzione rivolta alla protezione dei dati in tutta la proposta di istituzione del sistema ETIAS.

114. Nel pieno rispetto del ruolo del legislatore nel valutare la necessità e la proporzionalità delle misure proposte, il GEPD rammenta che questi due requisiti legali di alto livello, sanciti dalla Carta, possono essere esaminati dalla Corte di giustizia dell’UE e che il GEPD è responsabile di garantirli. Il GEPD sottolinea che l’assenza di una valutazione d’impatto (sulla protezione dei dati) non consente di valutare la necessità e la proporzionalità del sistema ETIAS, nella forma in cui viene proposto attualmente.

115. Dal momento che la proposta istituisce un sistema aggiuntivo che prevede il trattamento di una quantità significativa di dati personali di cittadini di paesi terzi a fini di immigrazione e sicurezza, il GEPD raccomanda al legislatore di procedere ad una valutazione di tutte le misure a livello dell’UE che comportano il trattamento di dati a fini di sicurezza e immigrazione e di condurre un’analisi approfondita in relazione ai loro obiettivi e risultati.

116. In questo contesto, il GEPD raccomanda di inserire nella proposta una definizione del rischio di migrazione irregolare e minaccia alla sicurezza, nel rispetto del principio di limitazione delle finalità.

117. Inoltre, il GEPD esprime la sua preoccupazione circa il fatto che l’utilizzo delle regole di screening ETIAS sarà pienamente conforme ai diritti fondamentali sanciti dalla Carta. Il GEPD raccomanda che le regole di screening ETIAS proposte siano sottoposte ad una previa valutazione completa del loro impatto sui diritti fondamentali. Si chiede, inoltre, se la necessità di utilizzare strumenti di profilazione ai fini dell’ETIAS sia suffragata da prove convincenti e, quod non, incoraggia il legislatore a riconsiderare l’utilizzo della profilazione.

118. Il GEPD mette in dubbio la rilevanza e l’efficacia della raccolta e del trattamento dei dati sanitari, come previsti nella proposta, in ragione della loro mancanza di affidabilità. Si interroga, inoltre, sulla necessità di trattare tali dati, a causa della scarsa correlazione tra i rischi per la salute e i viaggiatori esenti dall’obbligo di visto.

119. Per quanto riguarda i fini di contrasto e l’accesso ai dati ETIAS da parte di Europol, il GEPD sottolinea l’attuale mancanza di prove convincenti a sostegno della necessità di tale accesso. Il GEPD sottolinea che la necessità e la proporzionalità dei nuovi sistemi devono essere valutate sia a livello globale, prendendo in considerazione i sistemi IT su larga scala già esistenti nell’UE, sia a livello specifico, nel particolare caso dei cittadini di paesi terzi interessati che legalmente visitano ed entrano nell’Unione europea.

120. Oltre alle suindicate questioni principali, le raccomandazioni del GEPD nel presente parere riguardano i seguenti aspetti della proposta: — la necessità e la proporzionalità della serie di dati raccolti, — i periodi prescelti di conservazione dei dati, — l’interoperabilità dell’ETIAS con altri sistemi IT, — i diritti degli interessati e i mezzi di ricorso previsti, — l’esame indipendente delle condizioni per l’accesso da parte delle autorità di contrasto, — la ripartizione dei ruoli e delle responsabilità tra l’Agenzia europea della guardia di costiera e di frontiera (EBCG) ed eu-LISA, — la verifica da parte dell’unità centrale ETIAS, — l’architettura e la sicurezza delle informazioni dell’ETIAS, — le statistiche generate dal sistema, e — il ruolo del GEPD.

121. Il GEPD resta a disposizione per fornire ulteriori pareri sulla proposta, anche in relazione ad eventuali atti delegati o di esecuzione adottati in linea con la proposta di regolamento, che potrebbero avere un impatto sul trattamento dei dati personali.

Bruxelles, 6 marzo 2017 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) Comunicazione della Commissione, del 13 febbraio 2008, al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni, «Preparare le prossime fasi della gestione delle frontiere nell’Unione europea», COM(2008) 69 final.

(2) Osservazioni preliminari del GEPD del 3 marzo 2008, disponibili all’indirizzo: https://secure.edps.europa.eu/EDPSWEB/webdav/shared/Documents/Consultation/Comments/2008/08-03-03_Comments_border_package_EN.pdf.

(3) Studio strategico su un sistema elettronico UE di autorizzazione di viaggio (ETA UE) del febbraio 2011, disponibile all’indirizzo: http://ec.europa.eu/dgs/home-affairs/e-library/docs/pdf/esta_annexes_en.pdf

(4) Comunicazione della Commissione, del 25 ottobre 2011, al Parlamento europeo e al Consiglio «Frontiere intelligenti - opzioni e prospettive», COM(2011) 680 final.

(5) Comunicazione della Commissione, del 6 aprile 2016, al Parlamento europeo e al Consiglio «Sistemi d’informazione più solidi e intelligenti per le frontiere e la sicurezza», COM(2016) 205 final.

(6) Studio di fattibilità del 16 novembre 2016 su un sistema europeo di informazione e autorizzazione ai viaggi (ETIAS) - relazione finale consultabile all’indirizzo: https://ec.europa.eu/home-affairs/sites/homeaffairs/files/what-we-do/policies/european-agenda-security/legislative-documents/docs/20161116/etias_feasability_study_en.pdf