Sintesi del parere del Garante europeo della protezione dei dati sul mandato negoziale per concludere un accordo internazionale sullo scambio di dati personali tra Europol e le autorità di contrasto neozelandesi

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2020/C 182/08)

Il 30 ottobre 2019 la Commissione europea ha adottato una raccomandazione di decisione del Consiglio che autorizza l’avvio di negoziati per un accordo tra l’Unione europea e la Nuova Zelanda sullo scambio di dati personali tra l’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol) e le autorità neozelandesi competenti per la lotta contro le forme gravi di criminalità e il terrorismo. L’accordo previsto è inteso a costituire la base giuridica per il trasferimento di dati personali tra Europol e le autorità competenti della Nuova Zelanda, al fine di sostenere e rafforzare le loro azioni e la loro cooperazione per prevenire e combattere le forme gravi di criminalità transnazionale e il terrorismo, disponendo al contempo adeguate garanzie con riguardo alla tutela della privacy, dei dati personali e dei diritti e delle libertà fondamentali delle persone.

I trasferimenti di dati personali raccolti nel contesto di indagini giudiziarie e poi trattati da Europol per produrre informazioni in materia penale sono suscettibili di avere un impatto significativo sulla vita degli interessati. Per tale motivo, l’accordo internazionale deve assicurare che le limitazioni dei diritti alla privacy e alla protezione dei dati in relazione alla lotta contro le forme gravi di criminalità e il terrorismo si applichino soltanto se strettamente necessario.

Il Garante europeo della protezione dei dati (GEPD) osserva che la Nuova Zelanda ha una legislazione nazionale consolidata in materia di protezione dei dati e un’autorità indipendente preposta alla protezione dei dati alla quale spetta anche la vigilanza delle autorità di contrasto. Inoltre, apprezza il fatto che la Commissione abbia integrato nella proposta di mandato negoziale con la Nuova Zelanda alcune raccomandazioni specifiche già espresse dal GEPD nel suo parere 2/2018 su otto mandati negoziali per concludere accordi internazionali che consentano lo scambio di dati personali tra Europol e paesi terzi.

Di conseguenza, le raccomandazioni nel presente parere sono intese a chiarire e, ove necessario, sviluppare ulteriormente le salvaguardie e i controlli con riguardo alla protezione dei dati personali, tenendo in considerazione il contesto specifico della Nuova Zelanda. A tale fine, il GEPD raccomanda quanto segue:

— la decisione del Consiglio che autorizza l’avvio di negoziati ai sensi dell’articolo 218 del TFUE dovrebbe contenere un riferimento non soltanto alla base giuridica procedurale ma anche a quella sostanziale pertinente, che dovrebbe includere l’articolo 16 del TFUE;

— in linea con il principio di limitazione delle finalità, l’accordo previsto dovrebbe definire esplicitamente l’elenco dei reati in relazione ai quali potrebbero essere scambiati dati personali;

— in considerazione dell’applicazione pratica del principio di limitazione della conservazione, il futuro accordo dovrebbe prevedere specificamente una revisione periodica della necessità di conservazione dei dati personali trasferiti;

— data l’importanza del diritto all’informazione per l’esercizio degli altri diritti alla protezione dei dati, l’accordo dovrebbe includere regole chiare e dettagliate in merito alle informazioni che dovrebbero essere trasmesse agli interessati.

Infine, il GEPD si aspetta di essere consultato nelle fasi successive del completamento del progetto di accordo ai sensi dell’articolo 42 del regolamento (UE) 2018/1725 e resta a disposizione per offrire ulteriore assistenza durante i negoziati.

1. Introduzione e contesto

1. Il regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio, dell’11 maggio 2016, che istituisce l’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol) e sostituisce e abroga le decisioni del Consiglio 2009/371/GAI, 2009/934/GAI, 2009/935/GAI, 2009/936/GAI e 2009/968/GAI ( 1 ) (in appresso il «regolamento Europol»), definisce regole specifiche riguardo ai trasferimenti di dati al di fuori dell’UE da parte di Europol. L’articolo 25, paragrafo 1, di tale regolamento, elenca una serie di basi giuridiche in conformità delle quali Europol potrebbe a giusto titolo trasferire dati alle autorità di paesi terzi. Una possibilità consterebbe in una decisione di adeguatezza della Commissione, in conformità dell’articolo 36 della direttiva (UE) 2016/680, al riscontrare che il paese terzo al quale Europol trasferisce i dati garantisce un livello di protezione adeguato. Poiché al momento manca una decisione di questo tipo, l’alternativa a disposizione di Europol per il regolare trasferimento di dati a un paese terzo sarebbe la conclusione di un accordo internazionale vincolante tra l’UE e il paese terzo ricevente che presti garanzie adeguate con riguardo alla tutela della privacy e dei diritti e delle libertà fondamentali delle persone.

2. Al momento non vi è alcuna base giuridica per lo scambio regolare e strutturato di dati personali tra Europol e le autorità di contrasto neozelandesi. Europol e la polizia neozelandese hanno firmato un accordo di lavoro nell’aprile 2019, che fornisce un quadro per la cooperazione strutturata a livello strategico, compresa una linea protetta che consente comunicazioni dirette e sicure; la Nuova Zelanda ha inoltre inviato un ufficiale di collegamento presso Europol. Tutto ciò non costituisce tuttavia una base giuridica per lo scambio di dati personali.

3. La Commissione ritiene necessario aggiungere la Nuova Zelanda come paese prioritario con il quale avviare negoziati nel breve termine alla luce della strategia politica delineata nell’agenda europea sulla sicurezza ( 2 ) , nelle conclusioni del Consiglio sull’azione esterna dell’UE nella lotta al terrorismo ( 3 ) , nella strategia globale ( 4 ) e nelle necessità operative delle autorità di contrasto all’interno dell’UE. Sottolinea che i benefici potenziali di una collaborazione più stretta sono stati dimostrati anche a seguito dell’attacco di Christchurch del marzo 2019. La Nuova Zelanda ha richiesto formalmente l’iniziativa il 23 agosto 2019.

4. Il 30 ottobre 2019 la Commissione europea ha adottato una raccomandazione di decisione del Consiglio che autorizza l’avvio di negoziati per un accordo tra l’Unione europea e la Nuova Zelanda sullo scambio di dati personali tra l’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol) e le autorità neozelandesi competenti per la lotta contro le forme gravi di criminalità e il terrorismo ( 5 ) (in appresso «la raccomandazione»). L’allegato della raccomandazione (in appresso «l’allegato») stabilisce le direttive di negoziato impartite dal Consiglio alla Commissione, ossia gli obiettivi che quest’ultima dovrebbe perseguire a nome dell’UE nel corso dei negoziati.

5. L’accordo previsto è inteso a costituire la base giuridica per il trasferimento di dati personali tra Europol e le autorità competenti della Nuova Zelanda, al fine di sostenere e rafforzare l’azione svolta dalle autorità competenti di tale paese e degli Stati membri e la loro cooperazione per prevenire e combattere le forme gravi di criminalità transnazionale e il terrorismo, disponendo al contempo garanzie sufficienti con riguardo alla tutela della privacy, dei dati personali e dei diritti e delle libertà fondamentali delle persone ( 6 )

6. Ai sensi dell’articolo 42, paragrafo 1, del regolamento 2018/1725, la Commissione è tenuta a consultare il GEPD dopo l’adozione di una proposta di raccomandazione al Consiglio a norma dell’articolo 218 del TFUE, qualora essa incida sulla tutela dei diritti e delle libertà delle persone in relazione al trattamento dei dati personali.

7. Inoltre, il considerando 35 del regolamento Europol prevede che, se del caso, e conformemente al regolamento (UE) 2018/1725, la Commissione dovrebbe poter consultare il GEPD prima e durante la negoziazione di un accordo internazionale tra l’UE e un paese terzo per consentire lo scambio di dati tra Europol e le autorità di tale paese terzo.

8. Il GEPD apprezza che la Commissione europea l’abbia consultato sulla raccomandazione e auspica che un riferimento al presente parere sia inserito nel preambolo della decisione del Consiglio. Il presente parere non pregiudica eventuali altre osservazioni che il GEPD potrebbe formulare sulla base di ulteriori informazioni disponibili in una fase successiva.

4. Conclusioni

27. I trasferimenti di dati personali raccolti nel contesto di indagini giudiziarie e poi trattati da Europol per produrre informazioni in materia penale sono suscettibili di incidere in modo significativo sulla vita degli interessati, poiché saranno potenzialmente utilizzati in cause giudiziarie nel paese ricevente ai sensi del suo ordinamento giuridico nazionale. Pertanto, l’accordo internazionale deve assicurare che le limitazioni dei diritti alla privacy e alla protezione dei dati in relazione alla lotta contro le forme gravi di criminalità e il terrorismo si applichino soltanto se strettamente necessario.

28. Il GEPD accoglie con favore l’obiettivo del mandato negoziale di assicurare il rispetto dei diritti fondamentali e osservare i principi riconosciuti dalla Carta, segnatamente il diritto al rispetto della vita privata e della vita familiare di cui all’articolo 7, il diritto alla protezione dei dati di carattere personale di cui all’articolo 8 e il diritto a un ricorso effettivo e a un giudice imparziale di cui all’articolo 47. Inoltre, il GEPD apprezza il fatto che la Commissione abbia inserito nella proposta di mandato negoziale con la Nuova Zelanda alcune raccomandazioni specifiche già espresse dal GEPD nel suo parere 2/2018 su otto mandati negoziali per concludere accordi internazionali che consentano lo scambio di dati personali tra Europol e paesi terzi.

29. Le raccomandazioni del GEPD nel presente parere sono intese a chiarire e, ove necessario, sviluppare ulteriormente le salvaguardie e i controlli nel futuro accordo con riguardo alla protezione dei dati personali nel contesto specifico della Nuova Zelanda. Esse non pregiudicano le eventuali altre raccomandazioni che il GEPD potrebbe formulare sulla base di ulteriori informazioni disponibili durante i negoziati.

30. A tale fine, il GEPD ribadisce la propria posizione assunta nei precedenti pareri ( 7 ) secondo i quali la decisione del Consiglio che autorizza l’avvio di negoziati ai sensi dell’articolo 218 TFUE dovrebbe contenere un riferimento non soltanto alla base giuridica procedurale ma anche a quella sostanziale pertinente, che dovrebbe includere l’articolo 16 TFUE. Inoltre, in linea con il principio di limitazione delle finalità, il futuro accordo dovrebbe definire esplicitamente l’elenco dei reati in relazione ai quali potrebbero essere scambiati dati personali. Inoltre, per assicurare l’applicazione pratica del principio di limitazione della conservazione, il futuro accordo dovrebbe prevedere specificamente una revisione periodica della necessità di conservazione dei dati personali trasferiti. Infine, data la particolare importanza del diritto all’informazione per l’esercizio degli altri diritti alla protezione dei dati, il GEPD sottolinea la necessità di regole chiare e dettagliate in merito alle informazioni che dovrebbero essere fornite agli interessati.

31. Il GEPD resta a disposizione della Commissione, del Consiglio e del Parlamento europeo per fornire ulteriore assistenza nelle prossime fasi del suddetto processo. Le osservazioni nel presente parere non pregiudicano eventuali osservazioni aggiuntive che il GEPD potrebbe formulare qualora sorgano altre questioni e che sarebbero quindi affrontate non appena siano disponibili ulteriori informazioni. A tale fine il GEPD si attende di essere consultato successivamente in merito alle disposizioni del progetto di accordo prima del suo completamento.

Bruxelles, 31 gennaio 2020 Wojciech Rafał WIEWIÓROWSKI Garante europeo della protezione dei dati

(1) GU L 135 del 24.5.2016, pag. 53.

(2) COM(2015) 185 final.

(3) Documento del Consiglio 10384/17 del 19 giugno 2017.

(4) Visione condivisa, azione comune: un’Europa più forte — Una strategia globale per la politica estera e di sicurezza dell’Unione europea http://europa.eu/globalstrategy/en

(5) COM(2019) 551 final.

(6) Cfr. la direttiva 1 dell’allegato.

(7) Cfr. il parere 6/2019 del GEPD sul mandato di negoziato concernente un accordo tra l’UE e il Giappone sul trasferimento e sull’utilizzo dei dati del codice di prenotazione (PNR), il parere 2/2019 del GEPD sul mandato di negoziato concernente un accordo tra l’UE e gli USA sull’accesso transfrontaliero alle prove elettroniche e il parere 3/2019 del GEPD concernente la partecipazione ai negoziati in vista di un secondo protocollo addizionale alla Convenzione di Budapest sulla criminalità informatica https://edps.europa.eu/data-protection/our-work/our-work-by-type/opinions_en