Sintesi del parere del Garante europeo della protezione dei dati sulle proposte relative agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2020/C 32/04)

Nell’aprile 2018, la Commissione ha presentato due proposte, relative a un regolamento e una direttiva, per stabilire un quadro giuridico che renda più semplice e veloce, per la polizia e le autorità giudiziarie, reperire e ottenere accesso alle prove elettroniche nei casi transfrontalieri. Successivamente, il Consiglio ha adottato orientamenti generali sulle proposte e il Parlamento europeo ha pubblicato diversi documenti di lavoro. Il comitato europeo per la protezione dei dati ha emesso il suo parere. I relativi sviluppi hanno avuto luogo a livello internazionale, in particolare con l’avvio dei negoziati per un accordo internazionale con gli Stati Uniti sull’accesso transfrontaliero alle prove elettroniche oltre a un lavoro relativo a un secondo protocollo addizionale alla Convenzione sulla criminalità informatica. Con il presente parere, il GEPD desidera fornire al legislatore dell’Unione un nuovo contributo per il prossimo lavoro sulle proposte, tenendo in considerazione gli sviluppi suddetti.

Nel mondo attuale trasformato dalle nuove tecnologie, il tempo spesso è essenziale per permettere a tali autorità di ottenere dati indispensabili per svolgere le loro missioni. Allo stesso tempo, le autorità di contrasto, anche quando indagano su casi nazionali, si trovano sempre più spesso ad avere a che fare con «situazioni transfrontaliere», semplicemente perché è stato utilizzato un prestatore di servizi straniero e le informazioni sono conservate elettronicamente in un altro Stato membro. Il GEPD sostiene l’obiettivo di garantire che le autorità di contrasto abbiano a disposizione degli strumenti efficaci per indagare e perseguire reati e, in particolare, accoglie con favore l’obiettivo di cui alle proposte di accelerare e facilitare l’accesso ai dati nei casi transfrontalieri, semplificando le procedure all’interno dell’UE.

Al contempo, il GEPD desidera sottolineare che qualsiasi iniziativa in questo campo deve essere integralmente conforme a quanto previsto nella Carta dei diritti fondamentali dell’Unione europea e nel quadro giuridico dell’UE in materia di protezione dei dati e che è necessario assicurare la sussistenza di tutte le garanzie necessarie. In particolare, la protezione efficace dei diritti fondamentali nel processo di raccolta transfrontaliera delle prove elettroniche richiede un maggiore coinvolgimento delle autorità giudiziarie nello Stato membro di esecuzione. Queste dovrebbero essere sistematicamente coinvolte quanto prima possibile in tale processo, avere la possibilità di verificare che gli ordini siano conformi alla Carta e avere l’obbligo di addurre motivi di rifiuto su tale base.

Inoltre, le definizioni delle categorie di dati nel regolamento proposto devono essere chiarite e deve essere garantita la loro coerenza con le altre definizioni di categorie di dati di cui al diritto dell’Unione. Raccomanda, inoltre, di rivalutare l’equilibrio tra i tipi di reato per i quali è possibile emettere gli ordini europei di produzione e le categorie di dati interessate alla luce della pertinente giurisprudenza della Corte di giustizia dell’UE.

Inoltre, il GEPD formula raccomandazioni specifiche su diversi aspetti delle proposte di prove elettroniche che necessitano miglioramenti: l’autenticità e la riservatezza degli ordini e dei dati trasmessi, la conservazione limitata ai sensi degli ordini europei di conservazione, il quadro normativo applicabile in materia di protezione dei dati, i diritti degli interessati, gli interessati che godono di immunità e privilegi, i rappresentanti legali, i limiti temporali per soddisfare gli ordini europei di produzione e la possibilità per i prestatori di servizi di opporsi a tali ordini.

Infine, il GEPD chiede maggiore chiarezza sull’interazione tra il regolamento proposto e i futuri accordi internazionali. Il regolamento proposto dovrebbe conservare l’alto livello di protezione dei dati nell’UE e diventare un riferimento per i negoziati relativi ad accordi internazionali sull’accesso transfrontaliero alle prove elettroniche.

1. INTRODUZIONE E CONTESTO

1. Il 17 aprile 2018, la Commissione ha pubblicato due proposte legislative (di seguito «le proposte»), accompagnate da una valutazione d’impatto ( 1 ) , che includono: — una proposta di regolamento relativo agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale (2) (di seguito «il regolamento proposto»); — una proposta di direttiva recante norme armonizzate sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove nei procedimenti penali (3) (di seguito «la direttiva proposta»).

4. Il 7 dicembre 2018 e l’8 marzo 2019, il Consiglio ha adottato il proprio orientamento generale rispettivamente sul regolamento proposto ( 10 ) e sulla direttiva proposta ( 11 ) . Il Parlamento europeo ha pubblicato una serie di documenti di lavoro.

5. Il Garante europeo della protezione dei dati (di seguito «GEPD») accoglie con favore il fatto che i servizi della Commissione lo abbiano consultato in modo informale prima dell’adozione delle proposte. Il GEPD accoglie altresì con favore i riferimenti al presente parere di cui al considerando 66 del regolamento proposto e al considerando 24 della direttiva.

6. Il 5 febbraio 2019, la Commissione ha adottato due raccomandazioni di decisioni del Consiglio: una che autorizza l’avvio di negoziati in vista di un accordo internazionale tra l’Unione europea (UE) e gli Stati Uniti d’America (USA) sull’accesso transfrontaliero alle prove elettroniche per la cooperazione giudiziaria in materia penale ( 12 ) e una che autorizza la partecipazione della Commissione, a nome dell’UE, ai negoziati su un secondo protocollo addizionale alla Convenzione del Consiglio d’Europa sulla criminalità informatica (STCE n. 185) (di seguito «Convenzione sulla criminalità informatica») ( 13 ) . Le due raccomandazioni sono state oggetto di due pareri del GEPD ( 14 ) . I negoziati con gli Stati Uniti e presso il Consiglio d’Europa sono strettamente connessi.

7. Nel febbraio 2019, la commissione per le libertà civili, la giustizia e gli affari interni del Parlamento europeo ha indirizzato lettere analoghe al GEPD e all’EDPB per richiedere una valutazione giuridica dell’impatto del Cloud Act statunitense ( 15 ) approvato dal Congresso americano nel marzo 2018 sul quadro giuridico europeo in materia di protezione dei dati. Il 12 luglio 2019, il GEPD e l’EDPB hanno adottato, con la loro valutazione iniziale, una risposta congiunta a tale richiesta ( 16 )

8. Il 3 ottobre 2019, il Regno Unito e gli Stati Uniti hanno firmato un accordo bilaterale sull’accesso transfrontaliero alle prove elettroniche al fine di contrastare i reati gravi ( 17 ) . È il primo accordo esecutivo che permette ai prestatori di servizi statunitensi di soddisfare le richieste di dati relativi al contenuto di un paese straniero ai sensi del Cloud Act statunitense.

Il presente parere riguarda entrambe le proposte, concentrandosi, tuttavia, in particolare sul regolamento proposto. In linea con la missione del GEPD, è incentrato, principalmente, sui diritti alla riservatezza e alla protezione dei dati personali e mira a essere compatibile e complementare con il parere 23/2018 del GEPD, considerando, inoltre, gli orientamenti generali del Consiglio e i documenti di lavoro del Parlamento europeo.

5. CONCLUSIONI

70. Il GEPD condivide l’obiettivo di garantire alle autorità di contrasto e giudiziarie la disponibilità di strumenti efficaci per indagare e perseguire i reati in un mondo trasformato da nuove tecnologie. Allo stesso tempo, il GEPD vorrebbe garantire che la presente azione sia pienamente conforme alla Carta e all’acquis dell’Unione in materia di protezione dei dati. Il regolamento proposto richiede la conservazione e la comunicazione dei dati personali all’interno e al di fuori dell’UE tra autorità competenti degli Stati membri, enti privati e in alcuni casi autorità di paesi terzi. Comporta limitazioni del diritto fondamentale al rispetto della vita privata e a quello della protezione dei dati personali garantiti negli articoli 7 e 8 della Carta. Per essere legittime, tali limitazioni devono rispettare le condizioni stabilite nell’articolo 52, paragrafo 1, della Carta e, in particolare, la condizione di necessità.

71. Il GEPD ritiene, in primo luogo, che dovrebbero essere valutate altre alternative atte a offrire maggiori garanzie raggiungendo gli stessi obiettivi.

72. Il GEPD, in secondo luogo, osserva che il regolamento proposto include già una serie di garanzie procedurali. Tuttavia, è preoccupato dal fatto che l’importante responsabilità di verificare la conformità dell’EPOC e dell’EPOC-PR con la Carta sia affidata ai prestatori di servizi e raccomanda di coinvolgere le autorità giudiziarie designate dallo Stato membro di esecuzione il prima possibile nel processo di acquisizione delle prove elettroniche.

73. Il GEPD raccomanda di garantire maggiore coerenza tra le definizioni di categorie di dati di prove elettroniche e le esistenti definizioni di specifiche categorie di dati ai sensi del diritto dell’Unione e riconsiderare la categoria di dati relativi agli accessi, o assoggettare l’accesso a tali dati a condizioni simili a quelle per l’accesso alle categorie di dati relativi alle operazioni e al contenuto. Il regolamento proposto dovrebbe stabilire definizioni chiare e semplici per ciascuna categoria di dati al fine di garantire la certezza giuridica per tutte le parti interessate coinvolte. Raccomanda inoltre di modificare la definizione proposta di categoria di dati relativi agli abbonati al fine di specificarla ulteriormente.

74. Raccomanda altresì di rivalutare l’equilibrio tra i tipi di reato per i quali è possibile emettere gli EPO e le categorie di dati interessate, tenendo in considerazione la recente giurisprudenza pertinente della CGUE. In particolare, la possibilità di emettere un EPO per generare dati relativi alle operazioni e al contenuto dovrebbe essere limitata ai reati gravi. Idealmente, il GEPD preferirebbe la definizione di un elenco chiuso di reati gravi specifici per gli EPO al fine di produrre dati relativi alle operazioni e al contenuto, che, inoltre, aumenterebbe la certezza del diritto per tutte le parti interessate coinvolte.

75. Il GEPD formula, inoltre, raccomandazioni che mirano a garantire il rispetto dei diritti di protezione dei dati e alla riservatezza ottenendo nel contempo una rapida acquisizione di prove ai fini di specifici procedimenti penali. Tali raccomandazioni si concentrano sulla sicurezza della trasmissione dei dati tra tutte le parti interessate, l’autenticità di ordini e certificati e la conservazione limitata dei dati ai sensi di un EPO-PR

76. Oltre alle osservazioni a carattere generale e alle principali raccomandazioni di cui sopra, nel suo parere il GEPD ha formulato raccomandazioni aggiuntive in relazione ai seguenti aspetti delle proposte: — il riferimento al quadro normativo applicabile in materia di protezione dei dati; — i diritti degli interessati (maggiore trasparenza e il diritto a un ricorso giurisdizionale); — interessati che godono di immunità e privilegi; — la nomina di rappresentanti legali per l’acquisizione di prove in materia penale; — i limiti temporali per soddisfare l’EPOC e produrre i dati; — la possibilità per i prestatori di servizi di opporsi agli ordini in base a motivi limitati.

77. Infine, il GEPD è consapevole del contesto più ampio nel quale è stata intrapresa l’iniziativa e delle due decisioni adottate dal Consiglio, una relativa al secondo protocollo addizionale alla Convenzione sulla criminalità informatica presso il Consiglio d’Europa e una relativa all’apertura dei negoziati con gli Stati Uniti. Chiede maggiore chiarezza sull’interazione tra il regolamento proposto e gli accordi internazionali. Il GEPD è impaziente di contribuire in modo costruttivo al fine di garantire coerenza e compatibilità tra i testi finali e il quadro normativo dell’UE in materia di protezione dei dati.

Bruxelles, 6 novembre 2019 Wojciech Rafał WIEWIÓROWSKI Garante aggiunto

(1) Documento di lavoro dei servizi della Commissione: valutazione d’impatto, SWD(2018) 118 final (di seguito «valutazione d’impatto»), disponibile all’indirizzo: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=SWD%3A2018%3A118%3AFIN.

(2) Proposta di regolamento del Parlamento europeo e del Consiglio relativo agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale, COM(2018) 225 final.

(3) Proposta di direttiva del Parlamento europeo e del Consiglio recante norme armonizzate sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove nei procedimenti penali, COM(2018) 226 final.

(4) Direttiva 2014/41/UE del Parlamento europeo e del Consiglio, del 3 aprile 2014, relativa all’ordine europeo di indagine penale (GU L 130, dell’1.5.2014, pag. 1); cfr. articolo 23 del regolamento proposto.

(5) La direttiva OEI prevede una cooperazione diretta tra l’autorità di emissione in uno Stato membro e l’autorità di esecuzione di un altro Stato membro o, in base al caso, mediante l’autorità o le autorità centrali nominate dallo Stato membro interessato o dagli Stati membri interessati. Mira a facilitare e accelerare tale cooperazione prevedendo forme standardizzate e termini rigorosi nonché rimuovendo numerosi ostacoli alla cooperazione transfrontaliera; per esempio, «[l]’autorità di emissione può emettere un OEI per adottare provvedimenti intesi a impedire provvisoriamente la distruzione, la trasformazione, la rimozione, il trasferimento o l’alienazione di elementi che possono essere usati come prove» e «l’autorità di esecuzione decide e comunica la propria decisione sul provvedimento provvisorio non appena possibile e, se fattibile, entro 24 ore dalla ricezione dell’OEI» (articolo 32); anche l’esecuzione di un OEI per l’individuazione di persone titolari di un abbonamento a uno specifico numero telefonico o indirizzo IP non è soggetta al requisito della doppia incriminabilità [articolo 10, paragrafo 2, lettera e), in combinato disposto con l’articolo 11, paragrafo 2].

(6) Tutti gli Stati membri dell’UE tranne Danimarca e Irlanda.

(7) Tutti gli Stati membri partecipanti hanno attuato la direttiva OEI nella propria legislazione nazionale nel 2017 o 2018. Cfr. lo stato di attuazione della rete giudiziaria europea: https://www.ejn-crimjust.europa.eu/ejn/EJN_Library_StatusOfImpByCat.aspx?CategoryId=120.

(8) L’EDPB, istituito dall’articolo 68 del RGPD, è succeduto al gruppo istituito dall’articolo 29 della direttiva 95/46/CE che è stata abrogata. Analogamente al gruppo dell’articolo 29 per la tutela dei dati, l’EDPB è composto dai rappresentanti delle autorità nazionali di protezione dei dati e dal GEPD.

(9) Il parere 23/2018, del 26 settembre 2018, sulle proposte della Commissione relative agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale (articolo 70, paragrafo 1, lettera b) (di seguito «parere 23/2018 dell’EDPB»), disponibile all’indirizzo: https://edpb.europa.eu/sites/edpb/files/files/file1/eevidence_opinion_final_en.pdf.

(10) https://www.consilium.europa.eu/it/press/press-releases/2018/12/07/regulation-on-cross-border-access-to-e-evidence-council-agrees-its-position/#.

(11) https://www.consilium.europa.eu/it/press/press-releases/2019/03/08/e-evidence-package-council-agrees-its-position-on-rules-to-appoint-legal-representatives-for-the-gathering-of-evidence/.

(12) Raccomandazione di decisione del Consiglio che autorizza l’avvio di negoziati in vista di un accordo tra l’Unione europea e gli Stati Uniti d’America sull’accesso transfrontaliero alle prove elettroniche per la cooperazione giudiziaria in materia penale, COM(2019) 70 final.

(13) Raccomandazione di decisione del Consiglio che autorizza la partecipazione ai negoziati su un secondo protocollo addizionale alla Convenzione del Consiglio d’Europa sulla criminalità informatica (STCE n. 185), COM(2019) 71 final. Ad oggi, tutti gli Stati membri dell’UE hanno firmato la Convenzione del Consiglio d’Europa sulla cooperazione internazionale rafforzata contro la criminalità informatica e le prove elettroniche e quasi tutti l’hanno ratificata. Irlanda e Svezia sono ancora impegnate nel processo di ratifica della Convenzione sulla criminalità informatica. La Convenzione sulla criminalità informatica è uno strumento internazionale vincolante che richiede alle parti contraenti di stabilire, all’interno del proprio diritto nazionale, reati specifici commessi contro o per mezzo di reti elettroniche, e di stabilire poteri e procedure specifici per consentire alle autorità nazionali di svolgere le proprie indagini penali, inclusa la raccolta delle prove di un reato in formato elettronico. Inoltre, promuove la cooperazione internazionale tra le parti contraenti. Esistono misure specifiche per affrontare le sfide derivanti dalla volatilità dei dati. A tale riguardo, la Convenzione prevede la conservazione rapida di dati informatici immagazzinati. Poiché il trasferimento delle prove protette allo Stato richiedente è soggetto a una decisione finale sulla richiesta formale di mutua assistenza giudiziaria, la conservazione non è soggetta all’intera serie di motivi di rifiuto; in particolare, la doppia incriminabilità è richiesta solo in casi eccezionali (articolo 29).

(14) Parere 2/2019 del GEPD sul mandato di negoziato concernente un accordo tra l’UE e gli USA sull’accesso transfrontaliero alle prove elettroniche e parere 3/2019 del GEPD concernente la partecipazione ai negoziati in vista di un secondo protocollo addizionale alla Convenzione di Budapest sulla criminalità informatica.

(15) Disponibile all’indirizzo: https://www.congress.gov/bill/115th-congress/house-bill/1625/text.

(16) https://edpb.europa.eu/our-work-tools/our-documents/letters/epdb-edps-joint-response-libe-committee-impact-us-cloud-act_fr.

(17) https://www.gov.uk/government/publications/ukusa-agreement-on-access-to-electronic-data-for-the-purpose-of-countering-serious-crime-cs-usa-no62019.