COMMISSIONE EUROPEA Bruxelles, 29.6.2017 COM(2017) 344 final 2017/0144(COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO che istituisce un sistema centralizzato per individuare gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi e apolidi (TCN) e integrare e sostenere il sistema europeo di informazione sui casellari giudiziali (sistema ECRIS-TCN), e che modifica il regolamento (UE) n. 1077/2011



{SWD(2017) 248 final}



RELAZIONE 1.CONTESTO DELLA PROPOSTA ·Motivi e obiettivi della proposta Il sistema europeo di informazione sui casellari giudiziali (ECRIS) istituito dalla decisione quadro 2009/315/GAI e dalla decisione 2009/316/GAI del Consiglio prevede lo scambio elettronico tra Stati membri, a livello decentrato, delle informazioni estratte dai casellari giudiziali. Il sistema ECRIS, operativo dall’aprile 2012, consente alle autorità degli Stati membri responsabili dei casellari giudiziali di ottenere dallo Stato membro di cittadinanza informazioni complete sulle precedenti condanne pronunciate a carico di un cittadino dell’UE. Sebbene sia attualmente possibile scambiare informazioni sulle condanne a carico di cittadini di paesi terzi e apolidi (di seguito “cittadini di paesi terzi”, TCN) tramite il sistema ECRIS, manca una procedura, o un meccanismo, che consenta di farlo in modo efficace. Come emerge dalla relazione statistica della Commissione sull’utilizzo del sistema ECRIS, adottata lo stesso giorno della presente proposta, gli Stati membri sono restii ad utilizzare l’attuale sistema per i cittadini di paesi terzi. Uno dei motivi di questi bassi livelli di utilizzo per i cittadini di paesi terzi è il fatto che uno Stato membro che desideri ricevere tali informazioni è tenuto ad inoltrare “richieste generalizzate” a tutti gli altri Stati membri, anche a quelli (la maggioranza) non in possesso delle informazioni richieste. Se gli Stati membri chiedessero sistematicamente tali informazioni, l’onere amministrativo derivante dall’obbligo di rispondere alle “richieste generalizzate” risulterebbe l’elemento più costoso dell’intero iter procedurale del sistema ECRIS (secondo i calcoli, raggiungerebbe circa i 78 milioni di EUR). Poiché il sistema ECRIS risulta inefficiente per quanto riguarda i cittadini di paesi terzi, accade spesso che, all’atto pratico, gli Stati membri facciano affidamento soltanto sulle informazioni contenute nei rispettivi casellari giudiziali nazionali. Di conseguenza, gli organi giurisdizionali, le autorità di contrasto e le altre autorità competenti non dispongono sempre di informazioni complete sui precedenti penali di un cittadino di un paese terzo condannato. Il Consiglio europeo e il Consiglio “Giustizia e affari interni” hanno ribadito in più occasioni l’importanza di migliorare l’attuale sistema ECRIS. Tale miglioramento relativo ai cittadini di paesi terzi rientra in una serie di misure coordinate illustrate nell’Agenda europea sulla sicurezza. A tal fine, il 19 gennaio 2016 la Commissione ha presentato una proposta di direttiva (COM(2016) 07 final) volta a modificare la decisione quadro 2009/315/GAI del Consiglio per quanto riguarda il sistema ECRIS e lo scambio di informazioni sui cittadini di paesi terzi e a sostituire la decisione 2009/316/GAI del Consiglio. Gli sviluppi intervenuti successivamente hanno tuttavia dimostrato che è necessario intervenire ulteriormente mediante una proposta legislativa complementare mirante ad istituire un sistema centrale per il trattamento delle informazioni concernenti l’identità dei cittadini di paesi terzi. Questo sistema consentirà alle autorità di uno Stato membro di individuare quali altri Stati membri detengano informazioni sui precedenti penali del cittadino di paese terzo interessato, in modo da potersi successivamente avvalere del sistema ECRIS attuale per richiedere informazioni sulle eventuali condanne soltanto a tali Stati membri. I suddetti sviluppi sono descritti sinteticamente qui di seguito. In primo luogo, dopo i nuovi terribili attentati terroristici nelle città europee il problema della sicurezza si è fatto sempre più importante. La posizione politica sull’uso sistematico delle impronte digitali ai fini di un accertamento attendibile dell’identità e, in generale, l’atteggiamento riguardante la condivisione e la sicurezza dei dati sono cambiati e l’attenzione è ormai incentrata sull’efficacia e l’efficienza, oltre che sulla necessità di sfruttare le sinergie tra i diversi sistemi europei di scambio di informazioni. La creazione di un sistema ECRIS-TCN centrale contenente sia le impronte digitali che altre informazioni concernenti l’identità va in questa direzione, poiché consente di creare un servizio comune di confronto biometrico e un archivio comune di dati relativi all’identità utili ai fini dell’interoperabilità dei sistemi di informazione, qualora in futuro i legislatori dovessero prendere decisioni in questo senso. Una soluzione decentrata, al contrario, non offrirebbe le stesse opportunità di creare future sinergie. In secondo luogo, la comunicazione intitolata “Sistemi d’informazione più solidi e intelligenti per le frontiere e la sicurezza” contiene, oltre a suggerimenti concreti e pratici per sviluppare ulteriormente gli strumenti esistenti, anche proposte e idee concrete su nuove forme di interoperabilità. La Commissione chiede di aumentare l’efficienza e l’interoperabilità delle banche dati e dei sistemi elettronici di scambio di informazioni esistenti a livello europeo, inclusa la creazione di un sistema ECRIS-TCN. I lavori che hanno dato seguito alla comunicazione sono stati condotti dal gruppo di esperti ad alto livello sull’interoperabilità e il sistema ECRIS-TCN qui proposto è uno dei sistemi rientranti in tale iniziativa sull’interoperabilità. Se si fosse optato per una soluzione decentrata quale quella proposta nel gennaio 2016, ora tale interoperabilità non sarebbe possibile. In terzo luogo, nel corso del 2016 sono emersi in modo evidente i problemi tecnici connessi al sistema decentrato proposto nel gennaio 2016, in particolare per quanto riguarda lo scambio decentrato di impronte digitali pseudonimizzate. Questi problemi non si pongono per un sistema centralizzato, poiché le impronte digitali sarebbero raccolte in un’unica banca dati, gestita dall’agenzia eu-LISA e monitorata dal garante europeo della protezione dei dati. L’adozione di un nuovo regolamento ECRIS-TCN per tutelare meglio la sicurezza dei cittadini europei è una delle priorità legislative esposte nella dichiarazione congiunta della Commissione, del Consiglio e del Parlamento europeo sulle priorità legislative dell’UE per il 2017, in cui si fa specifico riferimento al sistema ECRIS. ·Coerenza con le disposizioni vigenti nel settore normativo interessato La presente proposta completa la proposta di direttiva della Commissione del 2016 volta a modificare la decisione quadro ECRIS e ad abrogare la decisione del Consiglio relativa ad ECRIS. La presente proposta riguarda essenzialmente l’istituzione e la regolamentazione di un sistema ECRIS-TCN centrale, mentre quella del 2016 disciplina lo scambio decentrato di informazioni sulle condanne a carico di cittadini di paesi terzi che dovrebbe aver luogo una volta individuato, tramite il sistema ECRIS-TCN, quale Stato membro detiene tali informazioni. Dopo l’adozione di entrambe le proposte da parte dei legislatori, due strumenti giuridici distinti disciplineranno sia ECRIS che il sistema ECRIS-TCN: da un lato, la decisione quadro ECRIS 2009/315/GAI e la decisione 2009/316/GAI del Consiglio quali modificate dalla direttiva, dall’altro il regolamento ECRIS-TCN che istituisce il sistema centralizzato ECRIS-TCN. Poiché la gestione del sistema ECRIS-TCN sarà affidata ad eu-LISA, la presente proposta è inoltre collegata a quella della Commissione, presentata lo stesso giorno, riguardante tale agenzia, che abroga l’attuale regolamento eu-LISA. Le due proposte contengono disposizioni corrispondenti sui compiti di eu-LISA relativamente al sistema ECRIS-TCN. A seconda dei tempi necessari per l’adozione delle due proposte da parte dei colegislatori, occorrerà garantire coerenza tra entrambi i testi per quanto attiene ai compiti di tale agenzia. La presente proposta intende integrare la proposta di direttiva della Commissione del gennaio 2016 con la creazione di un sistema centrale che permetta di individuare in modo efficiente lo Stato membro o gli Stati membri in possesso di informazioni sulle condanne di cittadini di paesi terzi. Il sistema di ricerca “hit/no hit” proposto, basato sui dati alfanumerici e sulle impronte digitali dei cittadini di paesi terzi condannati negli Stati membri, consentirà a questi ultimi di individuare rapidamente quale altro o quali altri Stati membri hanno condannato un dato cittadino di paese terzo. Successivamente, lo Stato membro richiedente dovrebbe domandare allo Stato membro o agli Stati membri così individuati di fornire le effettive informazioni sulla condanna tramite il sistema ECRIS esistente, migliorato dalla proposta del gennaio 2016. Le modifiche alla decisione quadro 2009/315/GAI necessarie per consentire questi scambi relativamente ai cittadini di paesi terzi tramite ECRIS sono già incluse nella proposta della Commissione del gennaio 2016. Di fatto, le due proposte si completano e si integrano a vicenda: mentre l’obiettivo della presente proposta è istituire un nuovo sistema centralizzato, la proposta di modifica della decisione quadro del 2009 presentata nel 2016 è intesa essenzialmente a garantire che lo scambio di informazioni complete sui casellari giudiziali possa essere effettuato allo stesso modo sia per i cittadini di paesi terzi sia per i cittadini dell’UE. A livello tecnico, il software di interfaccia per l’utilizzo del sistema ECRIS-TCN centrale sarà pienamente integrato con l’attuale implementazione di riferimento ECRIS, in modo che gli utenti del sistema possano utilizzare un unico software di interfaccia sia con il sistema ECRIS-TCN centrale che con le autorità incaricate dei casellari giudiziali in altri Stati membri. Il software di implementazione di riferimento ECRIS è stato sviluppato dalla Commissione in attuazione della decisione 2009/316/GAI del Consiglio. Attualmente è utilizzato da 24 Stati membri per lo scambio di informazioni sui casellari giudiziali, in conformità della decisione quadro 2009/315/GAI. Gli altri strumenti o banche dati dell’UE miranti a contrastare e prevenire la criminalità non permettono di risolvere o attenuare il problema dell’inefficienza dello scambio di informazioni sui precedenti penali dei cittadini di paesi terzi. Non è possibile migliorare tale scambio di informazioni tramite ECRIS utilizzando uno degli altri strumenti di scambio di informazioni menzionati nell’agenda europea sulla sicurezza (quali il SIS II, la decisione di Prüm ed Eurodac), poiché essi hanno finalità diverse. ·Coerenza con le altre normative dell’Unione Estendere la copertura di ECRIS ai cittadini di paesi terzi fa parte delle azioni previste dall’agenda europea sulla sicurezza.

L’iniziativa, inoltre, rientra nel nuovo approccio alla gestione dei dati per le frontiere e la sicurezza delineato dalla Commissione, in base al quale tutti i sistemi d’informazione centralizzati dell’UE per la gestione della sicurezza, delle frontiere e della migrazione sono interoperabili, nel pieno rispetto dei diritti fondamentali, affinché: ·i sistemi possano essere consultati simultaneamente tramite un portale di ricerca europeo, nel pieno rispetto della limitazione delle finalità e dei diritti di accesso, al fine di fare un uso migliore dei sistemi d’informazione esistenti, eventualmente con norme più snelle per l’accesso a fini di contrasto; ·i sistemi usino un servizio comune di confronto biometrico che consenta di interrogare i vari sistemi d’informazione contenenti dati biometrici, eventualmente con segnalatori “hit/no hit” che indichino il collegamento con dati biometrici correlati presenti in un altro sistema; ·i sistemi condividano un archivio comune di dati relativi all’identità contenente dati identificativi alfanumerici, che consenta di individuare se una persona è registrata con identità multiple in banche dati diverse. L’attuazione di tale approccio è stata oggetto di ulteriori discussioni e lavori, anche al fine di stabilire quali dei suddetti aspetti dovessero essere applicati con riferimento al sistema ECRIS-TCN. Lo scambio di informazioni estratte dai casellari giudiziali è inoltre funzionale all’applicazione della decisione quadro 2008/675/GAI del Consiglio, secondo cui, nel corso di un procedimento penale, le autorità giudiziarie degli Stati membri dovrebbero prendere in considerazione le precedenti decisioni di condanna pronunciate in un altro Stato membro nei confronti della stessa persona per fatti diversi, indipendentemente dalla cittadinanza dell’interessato. Come indicato nella comunicazione su una politica di rimpatrio più efficace nell’Unione europea (C(2017) 200 final), le autorità competenti degli Stati membri dovrebbero prendere in considerazione le precedenti condanne anche in relazione a decisioni di porre fine al soggiorno regolare, rimpatriare e respingere cittadini di paesi terzi che costituiscano una minaccia per l’ordine pubblico, la sicurezza pubblica o la sicurezza nazionale. Se del caso, le segnalazioni sulla base di tali decisioni dovrebbero essere inserite nel SIS conformemente all’articolo 24 del regolamento 1987/2006 [proposta della Commissione COM(2016) 882 final] [e all’articolo 3 della proposta della Commissione COM(2016) 881 final]. 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ ·Base giuridica L’atto giuridico proposto è un regolamento, in conformità dell’articolo 82, paragrafo 1, lettera d), del trattato sul funzionamento dell’Unione europea (TFUE). L’articolo 82, paragrafo 1, lettera d), è la base giuridica che legittima il diritto dell’Unione di agire nel settore della cooperazione giudiziaria in materia penale al fine di facilitare la cooperazione tra le autorità giudiziarie o autorità omologhe degli Stati membri in relazione all’azione penale e all’esecuzione delle decisioni. L’azione proposta rientra appieno in tale ambito e integra la normativa dell’UE pertinente attualmente in vigore. ·Sussidiarietà (per la competenza non esclusiva) L’istituzione di un sistema centrale per lo scambio di informazioni sui precedenti penali dei cittadini di paesi terzi non può essere attuata a livello di Stati membri. Un sistema comune che consenta a questi ultimi di scambiarsi informazioni in modo standardizzato, rapido, coordinato ed efficiente richiede un’azione concertata. Ciò non può essere conseguito unilateralmente a livello di Stati membri né bilateralmente tra gli Stati membri. Si tratta, per sua natura, di un compito dell’UE. ·Proporzionalità Uno scambio efficiente delle informazioni estratte dai casellari giudiziali è uno strumento importante per la lotta alla criminalità transfrontaliera e contribuisce in modo rilevante a mettere in pratica il principio del reciproco riconoscimento delle sentenze e delle decisioni giudiziarie in uno spazio comune di giustizia e sicurezza in cui le persone circolano liberamente. L’azione a livello dell’UE è pertanto proporzionata agli obiettivi dell’iniziativa. Le modifiche proposte non vanno oltre quanto è necessario per raggiungere l’obiettivo della cooperazione giudiziaria transfrontaliera e si basano su quanto è già in vigore nell’attuale ECRIS per i cittadini dell’UE. Nell’opzione proposta, le informazioni concernenti l’identità dei cittadini di paesi terzi condannati sono inserite in un sistema centrale a livello dell’UE istituito per la gestione del sistema ECRIS-TCN, che sarà sviluppato e gestito da eu-LISA. Lo Stato membro che intenda individuare lo Stato membro o gli Stati membri in possesso di informazioni sui precedenti penali di un determinato cittadino di paese terzo può interrogare il sistema centrale TCN mediante il meccanismo di ricerca “hit/no hit”. Rispetto alla proposta della Commissione del 2016 che prospettava l’introduzione di un sistema decentrato, la proporzionalità della presente soluzione differisce solo per quanto concerne il trattamento centralizzato dei dati personali. Quanto all’assenza di discriminazione tra cittadini dell’UE e cittadini di paesi terzi, la soluzione proposta centralizza a livello dell’UE i dati sull’identità dei cittadini di paesi terzi, mentre i dati relativi ai cittadini dell’UE sono conservati e trattati a livello di Stato membro. Ciò risulta giustificato e proporzionato poiché la disparità di trattamento non dà luogo a svantaggi rilevanti per i cittadini di paesi terzi e, inoltre, gli obiettivi dell’iniziativa non potrebbero essere perseguiti in modo altrettanto efficace a livello decentrato. Alla luce dei problemi tecnici imprevisti insorti nello scambio di impronte digitali pseudonimizzate dopo l’adozione della proposta della Commissione del 2016, un’ulteriore analisi ha rilevato che altre possibili soluzioni decentrate erano molto più costose da attuare e di complessità tale da aumentare il rischio di problemi tecnici durante la fase di attuazione. Sebbene vi siano differenze tra le opzioni centralizzata e decentrata, esse non sono così rilevanti da giustificare la spesa ben più elevata che la scelta di una soluzione decentrata comporterebbe. ·Scelta dell’atto giuridico La Commissione presenta una proposta di regolamento in quanto lo strumento giuridico proposto istituisce un sistema centrale a livello dell’UE, gestito dall’agenzia europea eu-LISA, e modifica il regolamento (UE) n. 1077/2011. Il regolamento è direttamente applicabile e obbligatorio in tutti i suoi elementi in ciascuno degli Stati membri e, pertanto, garantisce l’applicazione uniforme delle norme e la loro entrata in vigore simultanea in tutta l’Unione. Garantisce inoltre la certezza del diritto prevenendo interpretazioni divergenti tra uno Stato membro e l’altro ed evitando in tal modo una frammentazione del quadro giuridico. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D’IMPATTO

·Valutazioni ex post /Vaglio di adeguatezza della legislazione vigente La relazione sull’attuazione della decisione quadro 2009/315/GAI del Consiglio del 2016 sottolinea i progressi considerevoli compiuti nello scambio delle informazioni estratte dai casellari giudiziali tra gli Stati membri e l’attuazione soddisfacente delle disposizioni principali, mentre altre sono state recepite secondo approcci diversi. La relazione rileva inoltre le carenze dell’articolo 7, paragrafo 4, della decisione quadro e la necessità di istituire un meccanismo efficiente per lo scambio di informazioni sui cittadini di paesi terzi. ·Consultazioni dei portatori di interessi Per garantire un’ampia partecipazione durante tutto il ciclo politico della proposta della Commissione del 2016 è stata predisposta una strategia di consultazione su larga scala. Le consultazioni, che hanno incluso contatti bilaterali, riunioni con i portatori di interessi e con esperti e contributi scritti, hanno permesso alla Commissione di disporre di pareri competenti e rappresentativi. La Commissione ha cercato di raccogliere una serie vasta ed equilibrata di opinioni sull’argomento, dando la possibilità di esprimersi a tutte le parti interessate (Stati membri, autorità nazionali, avvocati ed esponenti del mondo accademico, portatori di interessi nel settore dei diritti fondamentali e della protezione dei dati), in particolare all’Agenzia dell’Unione europea per i diritti fondamentali (FRA), al garante europeo della protezione dei dati (GEPD) e al gruppo di lavoro articolo 29 composto dalle autorità di controllo della protezione dei dati degli Stati membri. Ulteriori consultazioni con il GEPD e con gli Stati membri si sono svolte anche nel corso della preparazione della presente proposta. La questione è stata inoltre discussa, il 23 marzo 2017, in sede di gruppo di esperti di diritto penale della Commissione, costituito da esponenti del mondo accademico e professionisti nel settore del diritto penale. I pareri espressi dai portatori di interessi nel settore dei diritti fondamentali consultati prima della proposta della Commissione del gennaio 2016 sono tuttora validi. In generale, hanno riconosciuto che un futuro meccanismo ECRIS-TCN applicabile ai cittadini di paesi terzi avrà effetti positivi sia sotto il profilo della giustizia in generale, poiché contribuirà a garantire condanne adeguate e la tutela dei minori dagli abusi, sia sulla certezza del diritto per i cittadini con fedina penale pulita. Si sono detti in linea di massima favorevoli ad un sistema decentrato, che, a loro parere, comporterà minori interferenze con il diritto alla protezione dei dati personali rispetto ad un sistema centrale a livello dell’UE. Hanno inoltre sottolineato che, dal punto di vista del principio dell’uguaglianza, l’introduzione di un sistema specifico per i cittadini di paesi terzi che li tratti in modo diverso dai cittadini dell’UE è possibile nella misura in cui tale sistema rispetta la sostanza di tale principio ed è oggettivamente giustificato quale misura necessaria e proporzionata. Occorre tuttavia considerare alcuni aspetti specifici relativi ai cittadini di paesi terzi, in quanto la creazione di un sistema centrale comporta rischi di effetti negativi sui loro diritti fondamentali, che è opportuno mitigare. Hanno infine richiamato l’attenzione sulle garanzie necessarie per tener conto della situazione specifica dei cittadini di paesi terzi nel contesto della migrazione, sull’uso delle impronte digitali, sui diritti dei minori, sui diritti degli interessati e sulla predisposizione di mezzi di ricorso efficaci. Nel suo parere n. 3/2016 concernente la proposta della Commissione del 19 gennaio 2016, il garante europeo della protezione dei dati ha apprezzato la pseudonimizzazione in quanto tutela adeguata ai fini di una limitazione delle interferenze con il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali degli interessati. Ha inoltre valutato favorevolmente la soluzione decentrata scelta dalla Commissione nella proposta del 19 gennaio 2016, senza escludere l’opzione centralizzata. Nella riunione di esperti del 10 e 11 gennaio 2017, gli Stati membri hanno appoggiato la soluzione di un sistema centrale contenente i dati sull’identità dei cittadini di paesi terzi condannati, ma hanno respinto un’eventuale estensione del sistema ad altri dati, ad esempio quelli sull’identità dei cittadini dell’UE, e l’inclusione dei dati relativi alle condanne nella banca dati centrale. Nel corso della stessa riunione di esperti la Commissione ha inoltre consultato gli Stati membri sulle possibili ripercussioni dei lavori del gruppo di esperti ad alto livello sui sistemi di informazione e l’interoperabilità sulla legislazione in esame. Secondo gli Stati membri occorre insistere sulla creazione del sistema ECRIS-TCN in tempi brevi. Pur ritenendo interessanti gli altri concetti e riconoscendo l’opportunità di concepire il sistema in modo da tener conto di eventuali future interconnessioni, gli Stati membri hanno ribadito che l’unico elemento che possono avvalorare nell’immediato è l’utilizzo di un servizio comune di confronto biometrico. Hanno altresì segnalato che è opportuno prevedere sin dall’inizio la possibilità di conservare le immagini del volto, in modo da permettere, in una fase successiva, l’uso di un software di riconoscimento facciale per un’identificazione ancor più efficace. ·Assunzione e uso di perizie Oltre agli studi e ai dati utilizzati per la preparazione della proposta del 2016, nel marzo 2016 è stato commissionato uno studio sulla fattibilità e sulla valutazione dei costi dell’utilizzo delle impronte digitali. Uno studio complementare sull’impatto relativo ai costi di un’opzione centralizzata che includa anche le impronte digitali ha inoltre permesso di valutare accuratamente lo scenario prescelto e di riflettere sia sul possibile uso di un sistema comune di confronto biometrico, sia sulla futura verifica del sistema centralizzato in termini di interoperabilità. ·Valutazione d’impatto La Commissione ha effettuato una valutazione d’impatto che accompagna la proposta di direttiva del 19 gennaio 2016 (COM(2016) 7 final). L’attuale proposta complementare è corredata di una nota analitica, basata su tale valutazione d’impatto. Nella nota la Commissione analizza più approfonditamente la soluzione prescelta per la creazione di un sistema ECRIS-TCN che risponda ai requisiti funzionali evitando nel contempo le difficoltà tecniche connesse alle impronte digitali pseudonimizzate. Analizza l’impatto di tale soluzione sui costi connessi alla creazione del sistema, sui costi amministrativi, sui diritti fondamentali e sulla protezione dei dati, tenendo conto dei risultati della consultazione mirata dei portatori di interessi effettuata prima dell’adozione della proposta di direttiva nel gennaio 2016 e dei risultati dei due studi sopra menzionati, condotti nel 2016 e nel 2017. Prende in esame anche i risultati del gruppo di esperti ad alto livello sui sistemi di informazione e l’interoperabilità e i risultati della riunione degli esperti ECRIS del 10 e 11 gennaio 2017. La nota, infine, tiene in considerazione un’ulteriore valutazione dettagliata dei costi, che ha riguardato in particolare la soluzione prescelta. La soluzione prescelta, che consiste nel creare un sistema centrale comprendente sia i dati alfanumerici che le impronte digitali, si è rivelata la più efficiente in termini di costi, oltre che meno complessa tecnicamente e di più facile manutenzione rispetto alle altre. Quanto all’assenza di discriminazione tra i cittadini dell’UE e i cittadini di paesi terzi, essa risulta giustificata e proporzionata poiché, pur centralizzando i dati sull’identità dei cittadini di paesi terzi a livello dell’UE mentre i dati relativi ai cittadini dell’UE sono conservati e trattati a livello di Stato membro, la disparità di trattamento non dà luogo a svantaggi rilevanti per i cittadini di paesi terzi. La creazione di un sistema centrale offre inoltre altri vantaggi in quanto rende il sistema ECRIS-TCN idoneo a partecipare a un futuro servizio comune di confronto biometrico e ad un archivio comune di dati relativi all’identità, facilita l’accesso diretto di Europol, di Eurojust [e della Procura europea] e crea presso Eurojust un punto di contatto centrale per i paesi terzi che desiderino informazioni sui cittadini di paesi terzi condannati. Il sistema creato, tra l’altro, potrà essere adeguato alle esigenze future al fine di incrementarne l’interoperabilità con altri sistemi a livello dell’UE, qualora i legislatori dovessero prendere decisioni in tal senso. L’impatto sui bilanci dell’UE e nazionali sarà il seguente: i costi una tantum per l’UE ammonteranno a circa 13,002 milioni di EUR, mentre per gli Stati membri saranno di circa 13,344 milioni di EUR (in totale, circa 26,346 milioni di EUR); i costi correnti per l’UE ammonteranno a circa 2,133 milioni di EUR, mentre per gli Stati membri dovrebbero aumentare gradualmente negli anni dai 6,087 milioni di EUR iniziali fino ad un massimo di 15,387 milioni di EUR. I costi correnti totali, di conseguenza, dovrebbero anch’essi aumentare gradualmente negli anni dagli 8,220 milioni di EUR iniziali fino ad un massimo di 17,520 milioni di EUR. Per i motivi sopra illustrati, gli Stati membri al momento utilizzano ECRIS per effettuare ricerche sui cittadini di paesi terzi solo nel 5% dei casi. I vantaggi della soluzione proposta dovrebbero aumentare notevolmente l’uso del sistema. Quando gli Stati membri devono inviare sistematicamente “richieste generalizzate” l’onere amministrativo necessario per rispondere rappresenterebbe l’elemento più costoso dell’intero iter procedurale di ECRIS (secondo i calcoli, raggiungerebbe circa i 78 milioni di EUR); la soluzione proposta permetterebbe di risparmiare tali costi. ·Diritti fondamentali In base all’articolo 6, paragrafo 1, del trattato sull’Unione europea, l’Unione riconosce i diritti, le libertà e i principi sanciti nella Carta dei diritti fondamentali. Le misure proposte comprendono disposizioni giuridiche volte a garantire che le informazioni relative ai cittadini di paesi terzi condannati siano scambiate in modo più efficiente. Tali disposizioni sono in linea con le disposizioni pertinenti della Carta, tra cui la protezione dei dati di carattere personale, il principio dell’uguaglianza dinanzi alla legge e il divieto generale di discriminazione. Le misure proposte non pregiudicano il diritto al rispetto della vita privata e della vita familiare, il diritto a un ricorso effettivo e a un giudice imparziale e la presunzione di innocenza. Fanno inoltre salvo il rispetto del principio di non respingimento, della protezione in caso di allontanamento, di espulsione o di estradizione e delle altre norme e garanzie applicabili sancite dalla legislazione dell’UE in materia di asilo, rimpatrio e frontiere.

Le disposizioni non pregiudicano i diritti fondamentali, compreso il diritto alla protezione dei dati di carattere personale, più dello stretto necessario per conseguire l’obiettivo della cooperazione giudiziaria in materia penale, in linea con l’articolo 52, paragrafo 1, della Carta. Ai fini della creazione di un sistema centrale contenente dati personali a livello dell’Unione occorre integrare la proposta di direttiva della Commissione del 2016 con un atto legislativo che disciplini l’istituzione del sistema, la ripartizione delle responsabilità tra gli Stati membri e l’organizzazione responsabile dello sviluppo e della gestione operativa del sistema, nonché tutte le norme specifiche sulla protezione dei dati necessarie per integrare le disposizioni esistenti in materia e conseguire globalmente un livello adeguato di protezione e sicurezza dei dati. Devono essere altresì tutelati i diritti fondamentali delle persone interessate. L’opzione prescelta prevede il trattamento dei dati personali a livello sia nazionale che dell’UE. Di conseguenza, è necessario integrare le norme in materia di protezione dei dati applicate all’attuale sistema decentrato ECRIS a livello di Stati membri con norme specifiche per il trattamento dei dati personali a livello dell’UE. Occorre quindi istituire un regime complementare di protezione dei dati – analogo a quello utilizzato per altri sistemi centralizzati di scambio di informazioni già operanti a livello dell’UE – che risulti conforme al regolamento (CE) n. 45/2001 [o suo successore]. Attualmente, il trattamento dei dati personali da parte di eu-LISA è già disciplinato dal regolamento (CE) n. 45/2001. Dal punto di vista della protezione e della sicurezza dei dati non vi sono differenze significative tra le diverse soluzioni possibili, anche se la scelta dell’opzione centralizzata richiede norme chiare e una ripartizione ben definita dei compiti tra Stati membri e livello UE. Un regime di protezione dei dati a livello dell’UE è in grado di offrire la stessa tutela che i regimi nazionali offrono alle rispettive banche dati. Per le misure di sicurezza esistono tecnologie sperimentate, già in uso per numerose banche dati UE di grandi dimensioni, quali il SIS, il VIS ed Eurodac. Gli Stati membri sono tenuti a garantire che le disposizioni siano applicate nel pieno rispetto dei diritti fondamentali e dei principi sanciti dalla Carta, anche per quel che riguarda le loro responsabilità nella raccolta e nell’uso dei dati. Devono inoltre garantire che gli interessati abbiano il diritto di accedere ai dati per ottenerne la rettifica e dispongano di mezzi di ricorso efficaci per contestare l’inesattezza dei dati del casellario giudiziale, in piena conformità con le norme derivanti dal diritto a un ricorso effettivo, anche per quanto riguarda la disponibilità del patrocinio a spese dello Stato e dei servizi di traduzione e interpretazione. Nel riferire in merito all’applicazione delle disposizioni, la Commissione valuterà inoltre l’impatto sui diritti fondamentali delle misure proposte e della loro applicazione. La valutazione prenderà in esame anche gli effetti sui diritti fondamentali dei cittadini di paesi terzi rispetto agli effetti su quelli dei cittadini dell’UE. Nel suo esame la Commissione presterà particolare attenzione alla necessità e alla proporzionalità dell’uso delle impronte digitali, di altri dati biometrici e dei dati identificativi, alla luce dell’esperienza acquisita e delle tecniche e degli strumenti utilizzati al fine di evitare il rischio di false corrispondenze. Qualsiasi eventuale proposta di futura revisione del sistema deve tener conto dei risultati di tale valutazione. La presente proposta non fa venire meno le responsabilità degli Stati membri ai sensi delle legislazioni nazionali, comprese le norme sull’inserimento delle condanne a carico di minori nei casellari giudiziali nazionali. Parimenti, non pregiudica l’applicazione del diritto costituzionale degli Stati membri, né degli accordi internazionali a cui essi sono vincolati, in particolare quelli derivanti dalla Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, di cui tutti gli Stati membri sono parte. 4.INCIDENZA SUL BILANCIO La dotazione finanziaria prevista per l’attuazione del regolamento è pari a 13,002 milioni di EUR per l’UE, per quanto riguarda i costi una tantum. La dotazione proposta è compatibile con l’attuale quadro finanziario pluriennale e i costi saranno a carico del programma Giustizia per il periodo 2018-2020. A partire dal 2021 i costi saranno ridotti e si stabilizzeranno fino a coprire solo le attività di manutenzione. La scheda finanziaria legislativa che accompagna la presente proposta contiene maggiori particolari al riguardo. La Commissione prevede di affidare l’attuazione e la manutenzione del sistema ECRIS-TCN all’agenzia eu-LISA. Ai fini dell’esecuzione di tali compiti sarà necessario dotare eu-LISA di ulteriori risorse umane. Cinque agenti contrattuali saranno assunti a partire dal 2018 per la fase di sviluppo. 5.ALTRI ELEMENTI ·Piani attuativi e modalità di monitoraggio, valutazione e informazione Tre anni dopo l’entrata in funzione del sistema ECRIS-TCN e, successivamente, ogni quattro anni la Commissione effettuerà una valutazione del suo funzionamento, comprese l’efficacia dimostrata nell’aumentare lo scambio di informazioni sui cittadini di paesi terzi condannati e qualunque questione tecnica connessa alla sua efficienza. In questa fase riesaminerà anche l’opportunità di sviluppare il sistema per potervi includere altri dati e, sulla base di tale valutazione, deciderà sull’eventuale seguito da dare. L’attuazione del nuovo sistema sarà oggetto di un controllo costante da parte sia del consiglio di amministrazione di eu-LISA che dell’attuale gruppo di esperti ECRIS. Tale gruppo continuerà inoltre a fungere da forum per la definizione delle migliori pratiche in materia di scambio di informazioni sui casellari giudiziali a livello dell’UE, in particolare le informazioni riguardanti i cittadini di paesi terzi condannati. La Commissione definirà degli indicatori di monitoraggio, ad esempio l’entità degli scambi sui precedenti penali dei cittadini di paesi terzi rispetto al numero di condanne riguardanti tali cittadini, unitamente ad altri indicatori pertinenti. Gli Stati membri ed eu-LISA pubblicheranno statistiche periodiche che permetteranno di tenere costantemente sotto controllo gli sviluppi del sistema. ·Illustrazione dettagliata delle singole disposizioni della proposta L’articolo 1 definisce l’oggetto del regolamento. Il sistema centrale ECRIS-TCN dovrebbe garantire che le autorità competenti possano trovare in modo rapido ed efficiente in quale altro o in quali altri Stati membri sono conservate informazioni sui precedenti penali di un cittadino di paese terzo. L’articolo 2 definisce l’ambito di applicazione del regolamento. Quest’ultimo si applica al trattamento delle informazioni sull’identità dei cittadini di paesi terzi e non alle informazioni relative alle loro condanne, disciplinate dalla decisione quadro 2009/315/GAI modificata dalla direttiva proposta dalla Commissione nel 2016. Il sistema ECRIS-TCN dovrebbe trattare unicamente le informazioni sull’identità dei cittadini di paesi terzi che siano stati oggetto di una decisione definitiva da parte di una giurisdizione penale nell’Unione europea, al fine di ottenere informazioni su tali condanne attraverso il sistema europeo di informazione sui casellari giudiziali istituito dalla decisione quadro del Consiglio 2009/315/GAI. L’articolo 3 contiene un elenco di definizioni dei termini utilizzati nel regolamento. Alcune definizioni esistono già nell’acquis pertinente, altri concetti sono invece definiti per la prima volta. È aggiunta la definizione di “cittadino di paese terzo” per chiarire che, ai fini del regolamento, questa categoria di persone comprende anche gli apolidi e le persone la cui cittadinanza è ignota allo Stato membro di condanna. Tale definizione dovrebbe essere la stessa di quella utilizzata nella decisione quadro, modificata dalla direttiva proposta dalla Commissione nel 2016.

Nel quadro dell’applicazione del presente regolamento, per “autorità competenti” si intendono le autorità centrali degli Stati membri, nonché Eurojust, Europol [e la Procura europea]. L’articolo 4 descrive l’architettura tecnica del sistema ECRIS-TCN. L’infrastruttura di comunicazione utilizzata dovrebbe essere la rete di servizi transeuropei sicuri per la comunicazione telematica tra amministrazioni (s-TESTA) o qualsiasi suo ulteriore sviluppo. L’articolo precisa inoltre che il software di interfaccia del nuovo sistema sarà integrato con l’implementazione di riferimento ECRIS attuale, per far sì che gli utenti possano utilizzarlo facilmente e correttamente. L’articolo 5 impone allo Stato membro di condanna di creare per ciascun cittadino di paese terzo condannato un record di dati nel sistema ECRIS-TCN centrale non appena possibile dopo l’iscrizione della condanna nel casellario giudiziale nazionale. Il sistema ECRIS-TCN dovrebbe contenere soltanto le informazioni sull’identità dei cittadini di paesi terzi condannati da una giurisdizione penale nell’Unione europea. Tali informazioni dovrebbero comprendere i dati alfanumerici, i dati relativi alle impronte digitali in conformità della decisione quadro 2009/315/GAI, modificata dalla direttiva proposta dalla Commissione nel 2016, e le immagini del volto, se presenti nelle banche dati nazionali dei casellari giudiziali degli Stati membri. Al fine di garantire la massima efficacia del sistema, l’articolo obbliga altresì gli Stati membri a creare nel sistema ECRIS-TCN record di dati “storici” relativi alle condanne di cittadini di paesi terzi, vale a dire le condanne pronunciate prima dell’entrata in vigore del regolamento. Ai sensi dell’articolo 38 gli Stati membri sono tenuti ad adempiere a tale obbligo entro 24 mesi dall’entrata in vigore del regolamento. Gli Stati membri, tuttavia, non dovrebbero essere tenuti a raccogliere a tale scopo informazioni che non siano già presenti nei rispettivi casellari giudiziali prima dell’entrata in vigore del regolamento. L’articolo 6 riguarda l’uso delle immagini del volto. Per il momento, tali immagini incluse nel sistema ECRIS-TCN possono essere utilizzate unicamente a fini di verifica dell’identità. In futuro non è escluso che, con lo sviluppo di software di riconoscimento facciale, esse possano essere utilizzate per un confronto biometrico automatizzato, a condizione che i requisiti tecnici siano rispettati. L’articolo 7 contiene le norme di utilizzo del sistema ECRIS-TCN per individuare lo Stato membro o gli Stati membri in possesso di informazioni sui precedenti penali, al fine di ottenere informazioni sulle precedenti condanne tramite il sistema europeo di informazione sui casellari giudiziali istituito dalla decisione quadro del Consiglio 2009/315/GAI. Le limitazioni delle finalità previste dalla decisione quadro modificata dalla direttiva proposta nel 2016 saranno applicabili a qualsiasi conseguente scambio di informazioni relative ai precedenti penali. L’articolo stabilisce l’obbligo per gli Stati membri di avvalersi del sistema ECRIS-TCN ogni qualvolta ricevano una richiesta di informazioni sulle precedenti condanne di cittadini di paesi terzi conformemente al diritto nazionale e di dar seguito a tutti i riscontri positivi (“hit”) con gli Stati membri individuati tramite il sistema ECRIS. Tale obbligo dovrebbe riguardare sia le richieste di informazioni ai fini di un procedimento penale sia quelle dirette ad altri scopi pertinenti. Lo Stato membro che intenda individuare lo Stato membro o gli Stati membri in possesso di informazioni sui precedenti penali di un determinato cittadino di paese terzo può interrogare il sistema centrale mediante il meccanismo di ricerca “hit/no hit” utilizzando i dati alfanumerici o le impronte digitali del cittadino interessato, a seconda della disponibilità di tali dati. In caso di riscontro positivo sono comunicati sia il nome dello Stato membro o degli Stati membri che hanno fornito le informazioni, sia i dati di riferimento e qualunque altro dato identificativo correlato. Ciò consentirà agli Stati membri di utilizzare l’attuale sistema ECRIS per verificare l’identità delle persone interessate prima dello scambio di informazioni sui loro precedenti penali. Un riscontro positivo rilevato dal sistema ECRIS-TCN non dovrebbe di per sé significare che il cittadino di paese terzo interessato è stato condannato nello Stato membro o negli Stati membri indicati, né che lo Stato membro o gli Stati membri indicati sono in possesso di informazioni sui precedenti penali di quel cittadino di paese terzo. L’esistenza di precedenti condanne dovrebbe essere confermata unicamente dalle informazioni ricevute dai casellari giudiziali degli Stati membri interessati. L’articolo 8 riguarda il periodo di conservazione dei dati. Le disposizioni nazionali riguardanti il periodo di conservazione dei dati nei casellari giudiziali e nei sistemi dattiloscopici variano notevolmente da uno Stato membro all’altro e la presente proposta non intende armonizzarli. Il principio consolidato del rispetto dei periodi di conservazione stabiliti dallo Stato membro di condanna è applicabile anche al caso di specie per i dati trasmessi al sistema centrale. Dopo tutto, finché sono conservati nel casellario giudiziale di uno Stato membro, i dati riguardanti una condanna dovrebbero essere accessibili anche alle autorità di altri Stati membri. Ciò implica tra l’altro che durante tale periodo tutti i dati relativi alla persona condannata dovrebbero essere conservati, anche se le impronte digitali provenienti da una banca dati diversa dal casellario giudiziale sono già stati cancellati da una banca dati dattiloscopica nazionale. Per contro, anche se continuano ad essere conservate a livello nazionale, le impronte digitali devono essere cancellate dal sistema centrale nel caso in cui tutte le informazioni sulla condanna siano cancellate dal casellario giudiziale nazionale. La logica è la stessa sia per le condanne di cittadini di paesi terzi che per le condanne di cittadini dell’UE notificate agli Stati membri di cittadinanza ai sensi della decisione quadro. L’articolo 9 prevede l’obbligo per gli Stati membri di verificare l’esattezza dei dati trasmessi al sistema centrale e di rettificarli, ovvero di modificarli in caso di modifiche dei casellari giudiziali nazionali apportate in un secondo tempo. Anche in questo caso si segue la logica adottata dalla decisione quadro per i cittadini dell’UE. L’articolo 10 conferisce alla Commissione competenze di esecuzione al fine di garantire condizioni uniformi per il funzionamento del sistema ECRIS-TCN. Tali competenze devono essere esercitate conformemente al regolamento (UE) n. 182/2011. La procedura di comitato scelta è quella di esame. L’articolo 35 integra l’articolo 10 per quanto riguarda l’istituzione di tale procedura. L’articolo 11 affida ad eu-LISA il compito di sviluppare e gestire operativamente il sistema ECRIS-TCN, alla luce della sua esperienza nella gestione di altri sistemi centralizzati su larga scala nei settori della giustizia e degli affari interni. Ad eu-LISA è inoltre affidato il compito di provvedere allo sviluppo e alla manutenzione dell’implementazione di riferimento ECRIS, al fine di garantire il corretto funzionamento del sistema ECRIS-TCN e del sistema ECRIS propriamente detto. L’implementazione di riferimento permette l’utilizzo del software di interconnessione al quale fa attualmente riferimento l’articolo 3, paragrafo 1, lettera a), della decisione del Consiglio ECRIS. L’articolo 12 elenca le responsabilità degli Stati membri relative al sistema ECRIS-TCN. Gli Stati membri mantengono la responsabilità esclusiva delle loro banche dati nazionali dei casellari giudiziali. L’articolo 13 concerne la responsabilità per l’uso dei dati. L’articolo 14 designa Eurojust come punto di contatto per i paesi terzi e le organizzazioni internazionali che desiderano chiedere informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi. Lo scopo è evitare che i paesi terzi e le organizzazioni internazionali siano costretti ad inviare richieste a più Stati membri. Eurojust non fornirà alcuna informazione al paese terzo o all’organizzazione internazionale richiedente, nemmeno le informazioni sullo Stato membro o sugli Stati membri in possesso dei dati relativi alle condanne, ma si limiterà ad informare lo Stato membro o gli Stati membri interessati in caso di riscontro positivo. Spetta agli Stati membri interessati decidere se prendere contatto con il paese terzo o con l’organizzazione internazionale per segnalare che potrebbero essere fornite informazioni sui precedenti penali di un cittadino di paese terzo in conformità della legislazione nazionale. L’articolo 15 concede un accesso diretto al sistema ECRIS-TCN ad Eurojust, ad Europol [e alla Procura europea] ai fini dell’adempimento dei loro compiti ufficiali. Queste autorità competenti, tuttavia, non hanno accesso ad ECRIS in quanto tale per chiedere le informazioni sulle condanne, dovendo a tal fine avvalersi dei canali istituiti con le autorità nazionali. Tale approccio rispetta le norme stabilite negli strumenti giuridici relativi a dette organizzazioni in merito ai contatti con le autorità degli Stati membri. L’articolo 16 elenca le responsabilità di Eurojust, di Europol [e della Procura europea] in relazione al sistema ECRIS-TCN.

L’articolo 17 disciplina la questione della sicurezza dei dati. L’articolo 18 riguarda la responsabilità degli Stati membri nei confronti di persone o di altri Stati membri per qualsiasi trattamento illecito di dati o per qualsiasi altro atto incompatibile con il regolamento. Le norme relative alla responsabilità degli Stati membri per eventuali danni derivanti da tali violazioni del regolamento sono stabilite a livello nazionale. L’articolo 19 obbliga gli Stati membri a vigilare sul rispetto del regolamento, a livello nazionale, da parte delle autorità centrali da essi designate. L’articolo 20 stabilisce che ogni uso dei dati inseriti nel sistema ECRIS-TCN contrario al regolamento è passibile di sanzioni in conformità della legislazione nazionale. L’articolo 21 stabilisce chi sono i titolari del trattamento e i responsabili del trattamento. L’articolo 22 limita le finalità del trattamento dei dati personali presenti nel sistema centrale all’individuazione dello Stato membro o degli Stati membri in possesso di informazioni sui precedenti penali di un cittadino di paese terzo. L’articolo 23 concede ai cittadini di paesi terzi i cui dati sono stati inseriti nel sistema ECRIS-TCN il diritto di accedervi, rettificarli e farli cancellare, se giustificato dalla legge. L’articolo 24 disciplina la cooperazione tra le autorità centrali e le autorità di controllo, al fine di garantire i diritti relativi alla protezione dei dati. L’articolo 25 riguarda i mezzi di ricorso a disposizione dei cittadini di paesi terzi interessati. L’articolo 26 e l’articolo 27 definiscono le norme riguardanti la vigilanza da parte delle autorità di controllo e del garante europeo della protezione dei dati. L’articolo 28 ne disciplina la cooperazione. L’articolo 29 disciplina la tenuta dei registri da parte di eu-LISA e delle autorità competenti. L’articolo 30 riguarda l’uso dei dati per l’elaborazione di relazioni e di statistiche e affida ad eu-LISA il compito di predisporre statistiche riguardanti il sistema ECRIS-TCN e l’implementazione di riferimento ECRIS. Stabilisce inoltre l’obbligo per gli Stati membri di fornire ad eu-LISA le statistiche necessarie per l’elaborazione delle sue relazioni e analisi statistiche e di fornire alla Commissione statistiche relative al numero di cittadini di paesi terzi condannati e al numero di condanne di cittadini di paesi terzi sul loro territorio. L’articolo 31 concerne le spese. Ferma restando la possibilità di avvalersi dei programmi finanziari dell’Unione in conformità delle norme applicabili, ogni Stato membro dovrebbe sostenere i propri costi di attuazione, gestione, uso e manutenzione della propria banca dati dei casellari giudiziali e di attuazione, gestione, uso e manutenzione degli adeguamenti tecnici necessari per poter utilizzare il sistema ECRIS-TCN. L’articolo 32 stabilisce l’obbligo per gli Stati membri di comunicare ad eu-LISA i nominativi delle rispettive autorità centrali, che eu-LISA è tenuta a pubblicare. L’articolo 33 dispone che spetta alla Commissione stabilire la data a decorrere dalla quale il sistema ECRIS-TCN sarà operativo ed elenca le condizioni da soddisfare prima che il sistema possa entrare in funzione. L’articolo 34 riguarda gli obblighi di eu-LISA e della Commissione in materia di presentazione di relazioni e di valutazione. Tre anni dopo l’entrata in funzione del sistema ECRIS-TCN e, successivamente, ogni quattro anni la Commissione effettuerà una valutazione del suo funzionamento, comprese l’efficacia dimostrata nell’aumentare lo scambio di informazioni sui cittadini di paesi terzi condannati e qualunque questione tecnica connessa alla sua efficienza. In questa fase riesaminerà anche l’opportunità di sviluppare il sistema per potervi includere altri dati e, sulla base di tale valutazione, deciderà sull’eventuale seguito da dare. L’articolo 35 definisce la procedura di comitato da utilizzare, sulla base di una disposizione standard. L’articolo 36 prevede l’istituzione da parte di eu-LISA di un gruppo consultivo che le fornisca assistenza nello sviluppo e nel funzionamento del sistema ECRIS-TCN e dell’implementazione di riferimento ECRIS. L’articolo 37 indica le modifiche del regolamento (UE) n. 1077/2011 per quanto riguarda le nuove responsabilità e i nuovi compiti di eu-LISA. L’articolo 38 stabilisce che gli Stati membri provvedano all’attuazione del regolamento a livello nazionale entro il termine di 24 mesi dalla sua entrata in vigore. Le specifiche per lo sviluppo e la realizzazione del sistema ECRIS-TCN dal punto di vista tecnico saranno definite negli atti di esecuzione.

L’articolo 39 prevede che il regolamento entri in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.



2017/0144 (COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO che istituisce un sistema centralizzato per individuare gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi e apolidi (TCN) e integrare e sostenere il sistema europeo di informazione sui casellari giudiziali (sistema ECRIS-TCN), e che modifica il regolamento (UE) n. 1077/2011



IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA, visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 82, paragrafo 1, lettera d), vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1)L’Unione si è prefissa l’obiettivo di offrire ai suoi cittadini uno spazio di libertà, sicurezza e giustizia senza frontiere interne, in cui sia assicurata la libera circolazione delle persone insieme a misure appropriate per prevenire e combattere la criminalità. (2)Questo obiettivo presuppone che le informazioni relative alle decisioni di condanna pronunciate negli Stati membri possano essere prese in considerazione al di fuori dello Stato membro di condanna sia in occasione di un nuovo procedimento penale, come stabilito nella decisione quadro 2008/675/GAI del Consiglio, sia per prevenire nuovi reati. (3)Tale obiettivo implica lo scambio di informazioni estratte dal casellario giudiziale tra le competenti autorità degli Stati membri. Questo scambio di informazioni è organizzato e agevolato dalle norme fissate con decisione quadro 2009/315/GAI del Consiglio e dal sistema europeo di informazione sui casellari giudiziali (ECRIS) istituito con decisione 2009/316/GAI del Consiglio. (4)Il quadro giuridico di ECRIS tuttavia non tiene sufficientemente conto delle caratteristiche delle richieste riguardanti cittadini di paesi terzi. Sebbene sia ormai possibile scambiare informazioni sui cittadini di paesi terzi tramite ECRIS, manca una procedura o un meccanismo che consenta di farlo in modo efficace. (5)Le informazioni sui cittadini di paesi terzi non sono raccolte all’interno dell’Unione nello Stato membro di cittadinanza, come avviene per i cittadini degli Stati membri, ma sono solo conservate negli Stati membri in cui le condanne sono state pronunciate. Pertanto, per ottenere un quadro completo dei precedenti penali di un cittadino di paese terzo è necessario chiedere informazioni a tutti gli Stati membri. (6)Tali richieste generalizzate impongono un onere amministrativo a tutti gli Stati membri, compresi quelli che non sono in possesso di informazioni sul cittadino di paese terzo interessato. Nella pratica questo onere scoraggia gli Stati membri dal chiedere informazioni sui cittadini di paesi terzi e li spinge a limitare le informazioni sui precedenti penali alle informazioni conservate nel proprio casellario nazionale.

(7)Per migliorare la situazione dovrebbe essere istituito un sistema che permetta all’autorità centrale di uno Stato membro di trovare con facilità e efficacia quale altro Stato membro o quali altri Stati membri conservino informazioni sui precedenti penali di un cittadino di paese terzo, così da poter utilizzare il quadro ECRIS esistente per richiedere tali informazioni a quello Stato membro o a quegli Stati membri conformemente alla decisione quadro 2009/315/GAI. (8)Il presente regolamento dovrebbe pertanto prevedere norme sulla creazione di un sistema centralizzato di dati personali a livello dell’Unione, sulla ripartizione delle responsabilità tra gli Stati membri e sull’organizzazione responsabile dello sviluppo e della manutenzione di tale sistema, come anche tutte le norme specifiche sulla protezione dei dati necessarie per integrare le disposizioni esistenti in materia e conseguire globalmente un livello adeguato di protezione e sicurezza dei dati. Dovrebbero altresì essere protetti anche i diritti fondamentali degli interessati. (9)Affinché l’agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (eu-LISA), istituita con regolamento (UE) n. 1077/2011 del Parlamento europeo e del Consiglio, possa individuare lo Stato membro o gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi (“sistema ECRIS-TCN”) dovrebbe esserle affidato il compito di sviluppare e gestire il nuovo sistema centralizzato ECRIS-TCN, in considerazione dell’esperienza che ha maturato nel gestire altri sistemi su larga scala nel settore della giustizia e degli affari interni. Ne dovrebbe essere modificato il mandato per tener conto dei nuovi compiti. (10)Data la necessità di creare stretti collegamenti tecnici tra il sistema ECRIS-TCN e l’attuale sistema ECRIS, a eu-LISA dovrebbe essere altresì affidato il compito di sviluppare ulteriormente e curare la manutenzione dell’implementazione di riferimento ECRIS, e il suo mandato dovrebbe essere modificato di conseguenza. (11)Il sistema ECRIS-TCN dovrebbe limitarsi a contenere le informazioni sull’identità dei cittadini di paesi terzi che sono stati condannati da una giurisdizione penale nell’Unione. Tali informazioni dovrebbero ricomprendere i dati alfanumerici, i dati relativi alle impronte digitali in conformità della decisione quadro 2009/315/GAI e le immagini del volto nella misura in cui siano conservate nelle banche dati nazionali di casellari giudiziali degli Stati membri. (12)Qualora si verifichi una corrispondenza tra i dati registrati nel sistema centrale e i dati usati da uno Stato membro per interrogare il sistema (riscontro positivo), il sistema fornisce insieme al riscontro positivo anche le informazioni sull’identità corrispondenti. Queste informazioni dovrebbero servire unicamente a confermare l’identità del cittadino di paese terzo interessato. È ammissibile ad esempio che gli Stati membri autori dell’interrogazione registrino tali dati nelle banche dati nazionali di casellari giudiziali come pseudonimo del cittadino di paese terzo. (13)In un primo tempo le immagini del volto incluse nel sistema ECRIS-TCN dovrebbero essere usate unicamente per verificare l’identità del cittadino di paese terzo. In futuro è possibile che, con lo sviluppo del software di riconoscimento facciale, le immagini del volto siano rese utilizzabili in un confronto biometrico automatizzato, purché sussistano i requisiti tecnici previsti a tal fine. (14)Il ricorso ai dati biometrici è necessario in quanto è il metodo più affidabile per identificare i cittadini di paesi terzi presenti nel territorio degli Stati membri, che spesso sono sprovvisti di documenti o altro mezzo di identificazione, e per un confronto più affidabile tra i dati relativi a tali cittadini. (15)Gli Stati membri dovrebbero creare nel sistema ECRIS-TCN record di dati per i cittadini di paesi terzi condannati, non appena possibile dopo l’iscrizione della condanna nel casellario giudiziale nazionale. (16)Gli Stati membri dovrebbero altresì creare nel sistema ECRIS-TCN record di dati per i cittadini di paesi terzi condannati prima dell’entrata in vigore del presente regolamento, al fine di garantire la massima efficacia del sistema. Ciò non di meno a tali fini non dovrebbe essere fatto obbligo agli Stati membri di raccogliere informazioni che già non figuravano nei rispettivi casellari giudiziali prima dell’entrata in vigore del presente regolamento. (17)Una migliore circolazione delle informazioni sui precedenti penali dovrebbe aiutare gli Stati membri a attuare la decisione quadro 2008/675/GAI, che fa loro obbligo di prendere in considerazione le precedenti decisioni di condanna nel corso di un nuovo procedimento penale. (18)Gli Stati membri dovrebbero avere l’obbligo di ricorrere al sistema ECRIS-TCN ogni qualvolta ricevano una richiesta di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi conformemente al diritto nazionale, e di dare seguito a tutti i riscontri positivi con gli Stati membri identificati tramite il sistema ECRIS. Tale obbligo non dovrebbe limitarsi alle sole richieste connesse ad indagini penali. (19)Un riscontro positivo rilevato dal sistema ECRIS-TCN non dovrebbe di per sé significare che il cittadino di paese terzo interessato è stato condannato nello Stato membro o negli Stati membri indicati, né che lo Stato membro o gli Stati membri indicati sono in possesso di informazioni sulle condanne pronunciate a carico di quel cittadino di paese terzo. La conferma che esistono precedenti condanne dovrebbe risultare unicamente dalle informazioni ricevute dai casellari giudiziali degli Stati membri interessati. (20)Nonostante la possibilità di avvalersi di programmi finanziari dell’Unione in conformità delle norme applicabili, ogni Stato membro dovrebbe sostenere i propri costi per l’attuazione, la gestione, l’uso e la manutenzione delle banche dati nazionali di casellari giudiziali e di impronte digitali e per l’attuazione, la gestione, l’uso e la manutenzione degli adeguamenti tecnici necessari per usare il sistema ECRIS-TCN, comprese le connessioni al punto di accesso centrale nazionale. (21)L’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol), istituita con regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio, Eurojust, istituita con decisione 2002/187/GAI del Consiglio, [e la Procura europea, istituita con regolamento (UE) …/…, ] dovrebbero avere accesso al sistema ECRIS-TCN per individuare lo Stato membro o gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di un cittadino di paese terzo, ai fini dello svolgimento dei loro incarichi ufficiali. (22)Il presente regolamento stabilisce rigorose norme di accesso al sistema ECRIS-TCN e le necessarie garanzie, compresa la responsabilità dello Stato membro nel raccogliere e usare i dati. Stabilisce inoltre i diritti individuali al risarcimento, di accesso, rettifica, cancellazione e ricorso, in particolare il diritto a un ricorso effettivo e il controllo dei trattamenti dei dati da parte di autorità pubbliche indipendenti. Il presente regolamento rispetta i diritti e le libertà fondamentali e osserva i principi riconosciuti, in particolare, dalla Carta dei diritti fondamentali dell’Unione europea, compresi il diritto alla protezione dei dati di carattere personale, il principio dell’uguaglianza davanti alla legge e il divieto generale di discriminazione. (23)La direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio stabilisce le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica. Al trattamento dei dati personali a cura delle autorità nazionali dovrebbe applicarsi il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, sempreché non si applichino le disposizioni nazionali di attuazione della direttiva (UE) 2016/680. Dovrebbe essere assicurato il controllo coordinato a norma dell’articolo 62 del [nuovo regolamento sulla protezione dei dati per le istituzioni, gli organi, gli uffici e le agenzie dell’Unione]. (24)È necessario elaborare norme relative alla responsabilità degli Stati membri per eventuali danni derivanti dalla violazione del presente regolamento. (25)Poiché l’obiettivo del presente regolamento, vale a dire consentire uno scambio rapido ed efficace delle informazioni estratte dal casellario giudiziale relative ai cittadini di paesi terzi, non può essere conseguito in misura sufficiente dagli Stati membri ma, a motivo della necessaria sinergia e interoperabilità, può essere conseguito meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 del trattato sull’Unione europea. Il presente regolamento si limita a quanto è necessario per conseguire tale obiettivo in ottemperanza al principio di proporzionalità enunciato nello stesso articolo. (26)Al fine di garantire condizioni uniformi per l’istituzione e la gestione operativa del sistema ECRIS-TCN, dovrebbero essere attribuite alla Commissione competenze di esecuzione. Tali competenze dovrebbero essere esercitate conformemente al regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio.

(27)A norma degli articoli 1 e 2 del protocollo n. 22 sulla posizione della Danimarca, allegato al trattato sull’Unione europea e al trattato sul funzionamento dell’Unione europea, la Danimarca non partecipa all’adozione del presente regolamento, non è da esso vincolata, né è soggetta alla sua applicazione. (28)A norma degli articoli 1 e 2 e dell’articolo 4 bis, paragrafo 1, del protocollo n. 21 sulla posizione del Regno Unito e dell’Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al trattato sull’Unione europea e al trattato sul funzionamento dell’Unione europea, e fatto salvo l’articolo 4 di tale protocollo, detti Stati membri non partecipano all’adozione del presente regolamento, non sono da esso vincolati, né sono soggetti alla sua applicazione. [oppure] A norma dell’articolo 3 e dell’articolo 4 bis, paragrafo 1, del protocollo n. 21 sulla posizione del Regno Unito e dell’Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al trattato sull’Unione europea e al trattato sul funzionamento dell’Unione europea, detti Stati membri hanno notificato che desiderano partecipare all’adozione e all’applicazione del presente regolamento. (29)Poiché il 29 marzo 2017 il Regno Unito ha notificato l’intenzione di lasciare l’Unione ai sensi dell’articolo 50 del trattato sull’Unione europea, i trattati cesseranno di essere applicabili al Regno Unito a decorrere dalla data di entrata in vigore dell’accordo di recesso o, in mancanza di tale accordo, due anni dopo la data della notifica, salvo che il Consiglio europeo, d’intesa con il Regno Unito, decida di prorogare tale termine. Di conseguenza, e fatte salve le disposizioni dell’accordo di recesso, la citata descrizione della partecipazione del Regno Unito alla proposta si applica solo fino al momento in cui il Regno Unito cesserà di essere uno Stato membro. (30)Il garante europeo della protezione dei dati è stato consultato a norma dell’articolo 28, paragrafo 2, del regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio e ha espresso un parere il [...], HANNO ADOTTATO IL PRESENTE REGOLAMENTO: CAPO 1

Disposizioni generali Articolo 1

Oggetto Il presente regolamento: (a)stabilisce un sistema per individuare lo Stato membro o gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi (“sistema ECRIS-TCN”); (b)stabilisce le condizioni alle quali le autorità competenti possono usare il sistema ECRIS-TCN per avere informazioni su tali condanne dal sistema europeo di informazione sui casellari giudiziali (ECRIS) istituito con decisione 2009/316/GAI del Consiglio. Articolo 2

Ambito di applicazione Il presente regolamento si applica al trattamento delle informazioni sull’identità di cittadini di paesi terzi che siano stati oggetto della decisione definitiva di una giurisdizione penale negli Stati membri, allo scopo di individuare lo Stato membro o gli Stati membri in cui è stata pronunciata tale decisione. Articolo 3

Definizioni Ai fini del presente regolamento si intende per: (a)“condanna”, la decisione definitiva di una giurisdizione penale nei confronti di una persona fisica in relazione a un reato, nella misura in cui tale decisione sia riportata nel casellario giudiziale dello Stato di condanna; (b)“procedimento penale”, la fase precedente al processo penale, la fase del processo penale stesso e l’esecuzione della condanna; (c)“casellario giudiziale”, il registro nazionale o i registri nazionali in cui le condanne sono registrate conformemente al diritto nazionale; (d)“Stato membro di condanna”, lo Stato membro in cui è stata pronunciata la condanna;

(e)“autorità centrale”, la o le autorità designate conformemente all’articolo 3, paragrafo 1, della decisione quadro 2009/315/GAI; (f)“autorità competenti”, le autorità centrali e gli organi dell’Unione competenti per accedere al sistema ECRIS-TCN a norma del presente regolamento; (g)“cittadino di paese terzo”, il cittadino di un paese diverso da uno Stato membro, indipendentemente dal fatto che abbia anche la cittadinanza di uno Stato membro, l’apolide o qualsiasi persona la cui cittadinanza è ignota allo Stato membro di condanna; (h)“sistema centrale”, la banca o le banche dati contenenti informazioni sull’identità di cittadini di paesi terzi che sono stati oggetto della decisione definitiva di una giurisdizione penale negli Stati membri, il cui sviluppo e la cui manutenzione fanno capo a eu-LISA; (i)“software di interfaccia”, il software ospitato presso le autorità competenti con cui queste accedono al sistema centrale tramite l’infrastruttura di comunicazione di cui all’articolo 4; (j)“identificazione”, il procedimento volto a determinare l’identità di una persona mediante ricerca in una banca dati confrontando varie serie di dati; (k)“dati alfanumerici”, i dati rappresentati da lettere, cifre, caratteri speciali, spazi e segni di punteggiatura; (l)“dati relativi alle impronte digitali”, i dati relativi alle impressioni piatte e rollate delle impronte digitali di tutte le dieci dita; (m)“immagine del volto”, le immagini digitalizzate del volto; (n)“riscontro positivo”, la o le corrispondenze constatate, sulla base di un confronto, tra i dati registrati nel sistema centrale e quelli usati da uno Stato membro per interrogare il sistema; (o)“punto di accesso centrale nazionale”, il punto nazionale di connessione all’infrastruttura di comunicazione di cui all’articolo 4; (p)“implementazione di riferimento ECRIS”, il software sviluppato dalla Commissione e messo a disposizione degli Stati membri per lo scambio delle informazioni sui casellari giudiziali tramite ECRIS. Articolo 4

Architettura tecnica del sistema ECRIS-TCN 1.Il sistema ECRIS-TCN consta di: (a)un sistema centrale in cui sono conservate le informazioni sull’identità dei cittadini di paesi terzi condannati; (b)un punto di accesso centrale nazionale in ciascuno Stato membro; (c)un software di interfaccia che connette le autorità centrali al sistema centrale tramite il punto di accesso centrale nazionale e l’infrastruttura di comunicazione; (d)un’infrastruttura di comunicazione tra il sistema centrale e il punto di accesso centrale nazionale. 2.Il sistema centrale è ospitato da eu-LISA presso i suoi due siti tecnici. 3.Il software di interfaccia è integrato con l’implementazione di riferimento ECRIS. Gli Stati membri usano l’implementazione di riferimento ECRIS per interrogare il sistema ECRIS-TCN e per trasmettere le successive richieste di informazioni sui casellari giudiziali.

CAPO II

Inserimento e uso dei dati da parte delle autorità centrali Articolo 5

Inserimento dei dati nel sistema ECRIS-TCN 1.Per ciascun cittadino di paese terzo condannato l’autorità centrale dello Stato membro di condanna crea un record di dati nel sistema centrale. Tale record di dati comprende i dati seguenti: (a)cognome; nome o nomi; data di nascita; luogo di nascita (città e paese): la o le cittadinanze; sesso; nome dei genitori; eventuali nomi precedenti, eventuali pseudonimi; codice dello Stato membro di condanna; (b)dati relativi alle impronte digitali in conformità della decisione quadro 2009/315/GAI e delle specifiche per la risoluzione e l’uso delle impronte digitali di cui all’articolo 10, paragrafo 1, lettera b); numero di riferimento dei dati relativi alle impronte digitali della persona condannata incluso il codice dello Stato membro di condanna. 2.Il record di dati può contenere anche le immagini del volto del cittadino di paese terzo condannato. 3.Lo Stato membro di condanna crea il record di dati non appena possibile dopo l’iscrizione della condanna nel casellario giudiziale nazionale. 4.Gli Stati membri di condanna creano il record di dati anche per le condanne pronunciate prima del [data di entrata in vigore del presente regolamento] nella misura in cui tali dati sono presenti nelle banche dati nazionali di casellari giudiziali e di impronte digitali. Articolo 6

Norme specifiche per le immagini del volto 1.Le immagini del volto di cui all’articolo 5, paragrafo 2, sono utilizzate al solo scopo di confermare l’identità del cittadino di paese terzo identificato grazie all’interrogazione con dati alfanumerici o con dati relativi alle impronte digitali. 2.Possono essere usate immagini del volto, non appena ciò diventi possibile tecnicamente, anche per identificare un cittadino di paese terzo in base al suo identificatore biometrico. Prima che questa funzionalità sia implementata nel sistema ECRIS-TCN, la Commissione presenta una relazione sulla disponibilità e sullo stato di preparazione della tecnologia necessaria, in merito alla quale il Parlamento europeo è consultato. Articolo 7

Utilizzo del sistema ECRIS-TCN per individuare lo Stato membro o gli Stati membri in possesso di informazioni sui precedenti penali 1.Quando in uno Stato membro si richiedono informazioni sui precedenti penali di un cittadino di paese terzo ai fini di un procedimento penale contro quel cittadino o a fini diversi da un procedimento penale conformemente al diritto nazionale, l’autorità centrale di tale Stato membro può usare il sistema ECRIS-TCN per identificare lo Stato membro o gli Stati membri in possesso di informazioni sui precedenti penali di quel cittadino al fine di ottenere informazioni sulle precedenti condanne tramite l’ECRIS. 2.Europol, Eurojust [e la Procura europea] hanno accesso al sistema ECRIS-TCN per individuare lo Stato membro o gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di un cittadino di paese terzo in conformità degli articoli 14, 15 e 16. 3.Le autorità competenti possono interrogare il sistema ECRIS-TCN con i dati di cui all’articolo 5, paragrafo 1. 4.Le autorità competenti possono interrogare il sistema ECRIS-TCN anche con le immagini del volto di cui all’articolo 5, paragrafo 2, sempreché tale funzionalità sia stata implementata a norma dell’articolo 6, paragrafo 2. 5.In caso di riscontro positivo, il sistema centrale trasmette automaticamente all’autorità competente informazioni sullo Stato membro o sugli Stati membri in possesso di informazioni sui precedenti penali del cittadino di paese terzo, insieme con i numeri di riferimento associati e le corrispondenti informazioni sull’identità. Le informazioni sull’identità sono utilizzate al solo scopo di verificare l’identità del cittadino di paese terzo interessato. 6.In assenza di riscontro positivo, il sistema centrale ne informa automaticamente l’autorità competente. CAPO III

Conservazione e modifica dei dati

Articolo 8

Periodo di conservazione dei dati 1.Ciascun record di dati individuale è conservato nel sistema centrale fintanto che i dati relativi alla o alle condanne pronunciate a carico dell’interessato sono conservati nel casellario giudiziale nazionale. 2.Allo scadere del periodo di conservazione di cui al paragrafo 1, l’autorità centrale dello Stato membro di condanna cancella dal sistema centrale il record di dati individuale senza indugio e comunque non oltre un mese dallo scadere del periodo di conservazione. Articolo 9

Modifica e cancellazione dei dati 1.Gli Stati membri hanno il diritto di modificare o cancellare i dati da essi introdotti nel sistema ECRIS-TCN. 2.Qualsiasi modifica nei casellari giudiziali delle informazioni che hanno generato un record di dati ai sensi dell’articolo 5 dà luogo a un’identica modifica, da parte dello Stato membro di condanna, delle informazioni conservate in quel record di dati nel sistema centrale. 3.Qualora abbiano ragione di credere che i dati registrati nel sistema centrale sono inesatti o che sono stati trattati nel sistema centrale in violazione del presente regolamento, gli Stati membri li controllano e, ove necessario, li modificano o cancellano senza indugio dal sistema centrale. 4.Lo Stato membro diverso dallo Stato membro che ha introdotto i dati contatta senza indugio l’autorità centrale dello Stato membro di condanna ove abbia ragione di credere che i dati registrati nel sistema centrale sono inesatti o sono stati trattati nel sistema centrale in violazione del presente regolamento. Lo Stato membro di condanna verifica l’esattezza dei dati e la liceità del loro trattamento entro un mese. CAPO IV

Sviluppo, funzionamento e responsabilità Articolo 10

Adozione di atti di esecuzione della Commissione 1.La Commissione adotta gli atti necessari allo sviluppo e all’implementazione tecnica del sistema ECRIS-TCN, in particolare per quanto riguarda: (a)le specifiche tecniche per il trattamento dei dati alfanumerici; (b)le specifiche tecniche per la risoluzione e il trattamento delle impronte digitali nel sistema ECRIS-TCN; (c)le specifiche tecniche del software di interfaccia di cui all’articolo 4, paragrafo 1, lettera c); (d)le specifiche tecniche per il trattamento dell’immagine del volto; (e)la qualità dei dati, compreso un meccanismo e procedure per lo svolgimento dei controlli di qualità: (f)l’inserimento dei dati conformemente all’articolo 5; (g)l’accesso ai dati conformemente all’articolo 7; (h)la modifica e la cancellazione dei dati conformemente agli articoli 8 e 9; (i)la conservazione delle registrazioni e il relativo accesso conformemente all’articolo 29;

(j)la trasmissione di statistiche ai sensi dell’articolo 30; (k)le specifiche di esercizio e di disponibilità del sistema ECRIS-TCN. 2.Gli atti di esecuzione di cui al paragrafo 1 sono adottati secondo la procedura di esame di cui all’articolo 35, paragrafo 2. Articolo 11

Sviluppo e gestione operativa 1.eu-Lisa è responsabile dello sviluppo e della gestione operativa del sistema ECRIS-TCN. Lo sviluppo comporta l’elaborazione e l’applicazione delle specifiche tecniche, il collaudo e il coordinamento generale del progetto. 2.L’agenzia è inoltre responsabile dello sviluppo ulteriore e della manutenzione dell’implementazione di riferimento ECRIS. 3.eu-LISA definisce la progettazione dell’architettura fisica del sistema ECRIS-TCN, comprese le specifiche tecniche e la loro evoluzione per quanto riguarda il sistema centrale di cui all’articolo 4, paragrafo 1, lettera a), il punto di accesso centrale nazionale di cui all’articolo 4, paragrafo 1, lettera b), e il software d’interfaccia di cui all’articolo 4, paragrafo 1, lettera c). La progettazione è adottata dal suo consiglio di amministrazione, previo parere favorevole della Commissione. 4.eu-LISA sviluppa e realizza il sistema ECRIS-TCN entro [due anni dall’entrata in vigore del presente regolamento] e dopo l’adozione da parte della Commissione delle misure di cui all’articolo 10. 5.Prima della fase di progettazione e di sviluppo, il consiglio di amministrazione di eu-LISA istituisce un consiglio di gestione del programma composto da un massimo di 10 membri. Esso è costituito da otto rappresentanti nominati dal consiglio di amministrazione, dal presidente del gruppo consultivo del sistema ECRIS-TCN di cui all’articolo 36 e da un membro nominato dalla Commissione. I membri nominati dal consiglio di amministrazione sono eletti soltanto tra gli Stati membri che sono pienamente vincolati in base al diritto dell’Unione dagli strumenti legislativi che disciplinano ECRIS e che parteciperanno al sistema ECRIS-TCN. Il consiglio di amministrazione garantisce che i rappresentati che nomina dispongano dell’esperienza e delle competenze necessarie in termini di sviluppo e gestione di sistemi IT a sostegno delle autorità giudiziarie e delle autorità incaricate dei casellari giudiziali. Il consiglio di gestione del programma si riunisce almeno una volta a trimestre e più spesso se necessario. Garantisce l’adeguata gestione della fase di progettazione e di sviluppo del sistema ECRIS-TCN. Il consiglio di gestione del programma presenta mensilmente relazioni scritte al consiglio di amministrazione di eu-LISA sui progressi del progetto. Non ha potere decisionale né mandato di rappresentare i membri del consiglio di amministrazione. 6.Il consiglio di gestione del programma stabilisce il suo regolamento interno, che comprende in particolare disposizioni concernenti: (a)la presidenza; (b)i luoghi di riunione; (c)la preparazione delle riunioni; (d)l’ammissione di esperti alle riunioni; (e)i piani di comunicazione atti a garantire che siano fornite informazioni complete ai membri non partecipanti del consiglio di amministrazione. 7.Assume la presidenza lo Stato membro che esercita la presidenza del Consiglio dell’Unione europea, sempreché sia pienamente vincolato, in base al diritto dell’Unione, dagli strumenti legislativi che disciplinano ECRIS e che partecipi al sistema ECRIS-TCN. Non ricorrendo tale condizione, assume la presidenza lo Stato membro che eserciterà la successiva presidenza del Consiglio e che soddisfa tale condizione. 8.Tutte le spese di viaggio e di soggiorno sostenute dai membri del consiglio di gestione del programma sono a carico dell’agenzia eu-LISA e l’articolo 10 del suo regolamento interno si applica mutatis mutandis. Il segretariato del consiglio di gestione del programma è assicurato da eu-LISA. 9.In fase di progettazione e di sviluppo, il gruppo consultivo del sistema ECRIS-TCN di cui all’articolo 36 è composto dai responsabili di progetto nazionali del sistema. In fase di progettazione e di sviluppo esso si riunisce almeno una volta al mese fino all’entrata in funzione del sistema ECRIS-TCN. Dopo ciascuna riunione, riferisce al consiglio di amministrazione di eu-LISA. Fornisce la consulenza tecnica a sostegno delle attività del consiglio di amministrazione e monitora lo stato di preparazione degli Stati membri. 10.In cooperazione con gli Stati membri, eu-LISA provvede a che in qualsiasi momento siano utilizzate le migliori tecnologie, previa analisi costi/benefici. 11.eu-LISA è responsabile dei seguenti compiti relativi all’infrastruttura di comunicazione di cui all’articolo 4, paragrafo 1, lettera d):

(a)controllo; (b)sicurezza; (c)coordinamento delle relazioni tra gli Stati membri e il gestore. 12.La Commissione è responsabile di tutti gli altri compiti connessi con l’infrastruttura di comunicazione, in particolare: (a)compiti relativi all’esecuzione del bilancio; (b)acquisizione e rinnovo; (c)aspetti contrattuali. 13.eu-LISA sviluppa e mantiene un meccanismo e procedure per lo svolgimento dei controlli di qualità sui dati contenuti nel sistema ECRIS-TCN e riferisce periodicamente agli Stati membri. eu-LISA riferisce periodicamente alla Commissione in merito ai problemi incontrati, dandone comunicazione anche agli Stati membri interessati. 14.La gestione operativa del sistema ECRIS-TCN consiste nell’insieme dei compiti necessari per garantirne l’operatività in conformità del presente regolamento, e comprende in particolare la manutenzione e gli adeguamenti tecnici necessari per garantire che il sistema funzioni a un livello di qualità operativa soddisfacente conformemente alle specifiche tecniche. 15.eu-LISA svolge compiti relativi alla formazione sull’uso tecnico del sistema ECRIS-TCN e dell’implementazione di riferimento ECRIS. 16.Fatto salvo l’articolo 17 dello statuto dei funzionari dell’Unione europea, eu-LISA applica a tutti i membri del proprio personale che operano con i dati registrati nel sistema centrale adeguate norme in materia di segreto professionale o altri doveri equivalenti di riservatezza. Questo obbligo vincola tale personale anche dopo che abbia lasciato l’incarico o cessato di lavorare, ovvero portato a termine i suoi compiti. Articolo 12

Responsabilità degli Stati membri 1.Ciascuno Stato membro è responsabile di quanto segue: (a)la connessione sicura tra le banche dati nazionali di casellari giudiziali e di impronte digitali e il punto di accesso centrale nazionale; (b)lo sviluppo, il funzionamento e la manutenzione della connessione di cui alla lettera a); (c)la connessione tra il sistema nazionale e l’implementazione di riferimento ECRIS; (d)la gestione e le modalità di accesso al sistema ECRIS-TCN del personale debitamente autorizzato delle autorità centrali a norma del presente regolamento, nonché la redazione e l’aggiornamento periodico di un elenco di tale personale con le relative qualifiche. 2.Ciascuno Stato membro provvede affinché il personale delle sue autorità con diritto di accesso al sistema ECRIS-TCN riceva una formazione adeguata, in particolare sulle norme di sicurezza e di protezione dei dati e sui diritti fondamentali, prima di autorizzarli a trattare dati conservati nel sistema centrale. Articolo 13 Responsabilità per l’uso dei dati

1.Ai sensi della direttiva (UE) 2016/680, ciascuno Stato membro garantisce che i dati registrati nel sistema ECRIS-TCN sono trattati lecitamente e segnatamente che: (a)soltanto il personale debitamente autorizzato ha accesso ai dati per assolvere i propri compiti; (b)i dati sono raccolti lecitamente e nel pieno rispetto della dignità umana del cittadino di paese terzo; (c)i dati sono inclusi lecitamente nel sistema ECRIS-TCN; (d)i dati inclusi nel sistema ECRIS-TCN sono esatti e aggiornati. 2.eu-LISA garantisce che il sistema ECRIS-TCN sia gestito conformemente al presente regolamento e ai relativi atti di esecuzione di cui all’articolo 10, e conformemente al regolamento (CE) n. 45/2001 [o suo successore]. In particolare eu-LISA adotta le misure necessarie per garantire la sicurezza del sistema centrale e dell’infrastruttura di comunicazione tra il sistema centrale e il punto di accesso centrale nazionale, fatte salve le responsabilità di ciascuno Stato membro. 3.eu-LISA informa il Parlamento europeo, il Consiglio, la Commissione e il garante europeo della protezione dei dati delle misure adottate in conformità del paragrafo 2 per l’entrata in funzione del sistema ECRIS-TCN. 4.La Commissione mette a disposizione degli Stati membri e del pubblico, mantenendo periodicamente aggiornata la pagina web, le informazioni di cui al paragrafo 3. Articolo 14

Punto di contatto per le autorità di paesi terzi e le organizzazioni internazionali 1.I paesi terzi e le organizzazioni internazionali possono indirizzare le richieste di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi a Eurojust. 2.Quando riceve una richiesta di cui al paragrafo 1, Eurojust usa il sistema ECRIS-TCN per individuare lo Stato membro o gli Stati membri in possesso di informazioni sul cittadino di paese terzo interessato e, ove tali Stati membri siano individuati, trasmette immediatamente la richiesta alle loro autorità centrali. Gli Stati membri interessati sono responsabili del trattamento successivo di queste domande conformemente al loro diritto nazionale. 3.Né Eurojust, né Europol, [né la Procura europea], né nessuna delle autorità centrali degli Stati membri può trasmettere a paesi terzi, organizzazioni internazionali o soggetti privati, o mettere a loro disposizione, le informazioni ottenute tramite il sistema ECRIS-TCN sulle condanne pronunciate a carico di un cittadino di paese terzo, né informazioni sullo Stato membro o sugli Stati membri in possesso di tali informazioni. Articolo 15

Accesso di Eurojust, Europol[ e della Procura europea] 1.Eurojust ha accesso diretto al sistema ECRIS-TCN ai fini dell’attuazione dell’articolo 14 e dello svolgimento dei suoi compiti ufficiali. 2.Europol [e la Procura europea] hanno accesso diretto al sistema ECRIS-TCN ai fini dello svolgimento dei loro compiti ufficiali. 3.A seguito di riscontro positivo che indichi lo Stato membro o gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di un cittadino di paese terzo, Eurojust, Europol[ e la Procura europea] possono avvalersi dei contatti con le autorità nazionali di quegli Stati membri, stabiliti a norma dei rispettivi strumenti giuridici costitutivi, per chiedere le informazioni relative alla condanna. 4.Ciascuno degli organi di cui al presente articolo è responsabile della gestione e delle modalità di accesso al sistema ECRIS-TCN del personale debitamente autorizzato a norma del presente regolamento, nonché della redazione e dell’aggiornamento periodico di un elenco di tale personale con le relative qualifiche. Articolo 16

Responsabilità di Eurojust, Europol[ e della Procura europea] 1.Eurojust, Europol[ e la Procura europea] stabiliscono i mezzi tecnici per connettersi al sistema ECRIS-TCN e sono responsabili del mantenimento della connessione.

2.Gli organi di cui al paragrafo 1 provvedono affinché il loro personale con diritto di accesso al sistema ECRIS-TCN riceva una formazione adeguata, in particolare sulle norme di sicurezza e di protezione dei dati e sui diritti fondamentali, prima di autorizzarli a trattare dati conservati nel sistema centrale. 3.Gli organi di cui al paragrafo 1 garantiscono che i dati personali che trattano a norma del presente regolamento siano protetti conformemente alle disposizioni applicabili sulla protezione dei dati. Articolo 17

Sicurezza dei dati 1.eu-LISA adotta le misure necessarie per garantire la sicurezza del sistema ECRIS-TCN, fatte salve le responsabilità di ciascuno Stato membro, tenuto conto delle misure di sicurezza di cui al paragrafo 3. 2.Per quanto riguarda il funzionamento del sistema ECRIS-TCN, eu-LISA adotta le misure necessarie per conseguire gli obiettivi enunciati al paragrafo 3, compresa l’adozione di un piano di sicurezza e di un piano di continuità operativa e di ripristino in caso di disastro. 3.Gli Stati membri garantiscono la sicurezza dei dati prima e durante la trasmissione al punto di accesso centrale nazionale e il ricevimento dallo stesso. In particolare ciascuno Stato membro: (a)protegge fisicamente i dati, tra l’altro mediante l’elaborazione di piani di emergenza per la protezione delle infrastrutture critiche; (b)nega alle persone non autorizzate l’accesso alle strutture nazionali nelle quali lo Stato membro effettua operazioni connesse al sistema ECRIS-TCN; (c)impedisce che supporti di dati possano essere letti, copiati, modificati o asportati senza autorizzazione; (d)impedisce che siano inseriti dati senza autorizzazione e che sia presa visione, senza autorizzazione, di dati personali memorizzati o che essi siano modificati o cancellati senza autorizzazione; (e)impedisce che i dati siano trattati nel sistema ECRIS-TCN senza autorizzazione e che i dati trattati nel sistema ECRIS-TCN siano modificati o cancellati senza autorizzazione; (f)garantisce che le persone autorizzate ad accedere al sistema ECRIS-TCN abbiano accesso soltanto ai dati previsti dalla loro autorizzazione di accesso, ricorrendo all’identificativo utente individuale e utilizzando esclusivamente modalità di accesso riservato; (g)garantisce che tutte le autorità con diritto di accedere al sistema ECRIS-TCN creino profili che descrivano le funzioni e le responsabilità delle persone autorizzate ad accedere ai dati e a inserire, aggiornare, cancellare e consultare i dati, e mettano senza indugio tali profili a disposizione delle autorità nazionali di controllo di cui all’articolo 25, su richiesta di queste ultime; (h)garantisce la possibilità di verificare e stabilire a quali organismi possano essere trasmessi dati personali mediante apparecchiature di comunicazione dei dati; (i)garantisce che sia possibile verificare e stabilire quali dati siano stati trattati nel sistema ECRIS-TCN, quando, da chi e per quale finalità; (j)impedisce, in particolare mediante tecniche appropriate di cifratura, che all’atto della trasmissione di dati personali dal sistema ECRIS-TCN o verso il sistema ECRIS-TCN, oppure durante il trasporto dei supporti di dati, tali dati personali possano essere letti, copiati, modificati o cancellati senza autorizzazione; (k)controlla l’efficacia delle misure di sicurezza di cui al presente paragrafo e adotta le necessarie misure di carattere organizzativo relative al controllo interno per garantire l’osservanza del presente regolamento. Articolo 18

Risarcimento dei danni 1.Le persone e gli Stati membri che hanno subito un danno in conseguenza di un trattamento illecito di dati o di qualsiasi altro atto incompatibile con il presente regolamento hanno diritto di ottenere un risarcimento dallo Stato membro responsabile del pregiudizio. Lo Stato membro è esonerato in tutto o in parte da tale responsabilità se prova che l’evento dannoso non gli è imputabile.

2.Ogni Stato membro è responsabile per i danni causati al sistema ECRIS-TCN in caso di inosservanza da parte sua degli obblighi derivanti dal presente regolamento, tranne nel caso e nei limiti in cui eu-LISA o un altro Stato membro che partecipi al sistema ECRIS-TCN abbia omesso di adottare misure ragionevolmente idonee ad evitare i danni o a minimizzarne gli effetti. 3.Le azioni proposte contro uno Stato membro per il risarcimento dei danni di cui ai paragrafi 1 e 2 sono disciplinate dalle leggi dello Stato membro convenuto. Articolo 19

Verifica interna Gli Stati membri provvedono affinché ogni autorità centrale adotti le misure necessarie per conformarsi al presente regolamento e cooperi, se necessario, con l’autorità di controllo e con l’autorità nazionale di controllo. Articolo 20

Sanzioni Gli Stati membri adottano le misure necessarie per garantire che ogni uso contrario al presente regolamento dei dati inseriti nel sistema ECRIS-TCN sia passibile di sanzioni in conformità della legislazione nazionale, che siano effettive, proporzionate e dissuasive. CAPO V

Diritti e vigilanza in materia di protezione dei dati Articolo 21

Titolare del trattamento e responsabile del trattamento 1.Per quanto riguarda i trattamenti effettuati da uno Stato membro nel quadro del presente regolamento, titolare del trattamento ai sensi della direttiva (UE) 2016/680 è l’autorità centrale di quello Stato membro. 2.Per quanto riguarda i dati personali inseriti nel sistema centrale dagli Stati membri, responsabile del trattamento ai sensi del regolamento (CE) n. 45/2001 è eu-LISA. Articolo 22

Finalità del trattamento dei dati personali 1.I dati inclusi nel sistema centrale sono trattati al solo fine di individuare lo Stato membro o gli Stati membri in possesso di informazioni sui precedenti penali di cittadini di paesi terzi. 2.L’accesso al sistema ECRIS-TCN per inserire, modificare, cancellare o consultare i dati di cui all’articolo 5 è riservato esclusivamente al personale debitamente autorizzato delle autorità centrali e al personale debitamente autorizzato degli organi di cui all’articolo 15 a consultare i dati. Tale accesso è limitato a quanto necessario all’assolvimento dei loro compiti, conformemente al fine di cui al paragrafo 1, ed è proporzionato agli obiettivi perseguiti. Articolo 23

Diritto di accesso, rettifica e cancellazione 1.Le richieste di cittadini di paesi terzi relative ai diritti di cui agli articoli 14 e 16 della direttiva (UE) 2016/680 possono essere presentate all’autorità centrale di qualsiasi Stato membro. 2.Qualora la richiesta sia presentata ad uno Stato membro diverso da quello di condanna, le autorità dello Stato membro al quale è stata presentata la richiesta verificano, entro un termine di un mese, l’esattezza dei dati e la liceità del trattamento dei dati nel sistema ECRIS-TCN, se tale verifica può essere effettuata senza consultare lo Stato membro di condanna. Altrimenti lo Stato membro diverso da quello di condanna contatta le autorità dello Stato membro di condanna entro un termine di 14 giorni e quest’ultimo verifica, entro un termine di un mese da quando è stato contattato, l’esattezza dei dati e la liceità del trattamento. 3.Qualora emerga che i dati registrati nel sistema ECRIS-TCN sono di fatto inesatti o sono stati registrati illecitamente, lo Stato membro di condanna provvede a rettificarli o a cancellarli conformemente all’articolo 9. Lo Stato membro di condanna o, ove applicabile, lo Stato membro al quale è stata presentata la richiesta, conferma per iscritto e senza indugio all’interessato di aver provveduto a rettificare o cancellare i dati che lo riguardano. 4.Qualora non ritenga che i dati registrati nel sistema ECRIS-TCN siano di fatto inesatti o siano stati registrati illecitamente, lo Stato membro al quale è stata presentata la richiesta adotta una decisione amministrativa con la quale illustra per iscritto senza indugio all’interessato la ragione per cui non intende rettificare o cancellare i dati che lo riguardano. 5.Lo Stato membro che ha adottato la decisione amministrativa ai sensi del paragrafo 4 fornisce inoltre all’interessato informazioni in merito alla procedura da seguire qualora non accetti la motivazione. Tali informazioni comprendono le informazioni sulle modalità per avviare un’azione o un reclamo presso le autorità competenti o le autorità giurisdizionali competenti di tale Stato membro e su qualunque tipo di assistenza, compresa quella delle autorità di controllo, disponibile in conformità del diritto nazionale di tale Stato membro. 6.Qualsiasi richiesta presentata a norma dei paragrafi 1 e 2 contiene le informazioni necessarie per identificare l’interessato. Tali informazioni sono utilizzate unicamente per consentire l’esercizio dei diritti di cui ai paragrafi 1 e 2 e sono cancellate subito dopo.

7.Se una persona chiede che le siano comunicati i dati che la riguardano in conformità del paragrafo 2, l’autorità centrale conserva una registrazione, sotto forma di documento scritto, della presentazione di tale richiesta e di come e da quale autorità è stata trattata, e mette senza indugio tale documento a disposizione delle autorità di controllo. Articolo 24

Cooperazione volta a garantire i diritti relativi alla protezione dei dati 1.Le autorità centrali degli Stati membri cooperano per far rispettare i diritti sanciti dall’articolo 23. 2.In ciascuno Stato membro l’autorità di controllo fornisce, su richiesta, assistenza e consulenza agli interessati nell’esercizio del diritto di rettifica o cancellazione dei dati che li riguardano. 3.L’autorità di controllo dello Stato membro che ha trasmesso i dati e le autorità di controllo degli Stati membri alle quali è stata presentata la richiesta cooperano per raggiungere tali obiettivi. Articolo 25

Mezzi di ricorso 1.In ciascuno Stato membro chiunque ha il diritto di intentare un’azione o presentare un reclamo nello Stato membro che abbia negato il diritto, sancito dall’articolo 23, di ottenere l’accesso ovvero la rettifica o la cancellazione dei dati che lo riguardino. 2.L’assistenza delle autorità di controllo rimane disponibile durante l’intero procedimento. Articolo 26

Vigilanza dell’autorità di controllo 1.Ciascuno Stato membro assicura che l’autorità di controllo o le autorità designate in conformità dell’articolo 41 della direttiva (UE) 2016/680 controllino la liceità del trattamento dei dati personali di cui all’articolo 6 effettuato dallo Stato membro in questione, nonché il loro trasferimento al sistema ECRIS-TCN e viceversa. 2.L’autorità di controllo provvede affinché, almeno ogni quattro anni dall’avvio delle operazioni del sistema ECRIS-TCN, sia svolto un audit dei trattamenti di dati nelle banche dati nazionali di casellari giudiziali e di impronte digitali, conformemente ai pertinenti principi internazionali di audit. 3.Gli Stati membri provvedono affinché la loro autorità di controllo disponga delle risorse sufficienti per assolvere i compiti ad essa affidati dal presente regolamento. 4.Ciascuno Stato membro comunica qualsiasi informazione richiesta dalle autorità di controllo e, in particolare, fornisce loro informazioni sulle attività svolte conformemente agli articoli 12, 13 e 17. Ciascuno Stato membro permette alle autorità di controllo di consultare le registrazioni conformemente all’articolo 29, e consente loro l’accesso in qualsiasi momento a tutti i suoi locali utilizzati per il sistema ECRIS-TCN. Articolo 27

Vigilanza del garante europeo della protezione dei dati 1.Il garante europeo della protezione dei dati assicura che le attività di trattamento dei dati personali da parte di eu-LISA concernenti il sistema ECRIS-TCN siano effettuate in conformità del presente regolamento. 2.Il garante europeo della protezi