Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell’Unione

(Il testo integrale del presente parere è disponibile in n inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2022/C 258/06)

Il 22 marzo 2022 la Commissione europea ha adottato una proposta di regolamento del Parlamento europeo del Consiglio sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell’Unione («la proposta»).

Il GEPD accoglie con favore l’obiettivo della proposta di migliorare la sicurezza delle informazioni trattate dalle istituzioni dell’UE, stabilendo norme comuni in materia e promuovendo una cultura coerente della sicurezza delle informazioni in uno strumento giuridico specifico.

Il GEPD osserva che l’ambito di applicazione della sicurezza dei dati personali richiesta dall’EUDPR si sovrappone solo parzialmente all’ambito di applicazione della sicurezza delle informazioni previsto dalla proposta. Quest’ultima si concentra sulla riservatezza delle informazioni, mentre l’EUDPR ne garantisce anche l’integrità e la disponibilità. Inoltre, le disposizioni dell’EUDPR in materia di sicurezza dei dati personali riguardano specificamente i rischi per i diritti e le libertà delle persone fisiche.

La proposta richiede alle istituzioni dell’UE di adottare misure per la sicurezza delle informazioni, il che comporterà inevitabilmente il trattamento di dati personali e di dati delle comunicazioni elettroniche, ivi compresi quelli sul traffico. Il GEPD ritiene necessario evidenziare che tutte le misure per la sicurezza delle informazioni che comportano il trattamento di dati personali debbano essere conformi al quadro giuridico attuale in materia di protezione dei dati e della vita privata e che le istituzioni dell’UE debbano adottare garanzie tecniche e organizzative pertinenti per assicurare tale conformità in modo affidabile.

Per conseguire la certezza e la prevedibilità del diritto e per garantire la conformità all’EUDPR, il GEPD raccomanda vivamente che la proposta o, quanto meno, un atto delegato adottato successivamente dalla Commissione definisca in modo chiaro le attività di trattamento dei dati personali che sono consentite ai fini del regolamento in questione. Il GEPD richiama altresì l’attenzione sull’esigenza di garantire il rispetto delle norme dell’EUDPR che riguardano i trasferimenti dei dati personali verso paesi terzi e organizzazioni internazionali. Inoltre, il GEPD raccomanda di spiegare in un considerando che si applicheranno tutte le disposizioni dell’EUDPR, comprese le norme sui trasferimenti internazionali.

Il GEPD sottolinea l’importanza di integrare la prospettiva della tutela della vita privata e dei dati nella gestione della sicurezza delle informazioni, al fine di realizzare sinergie positive tra la proposta e la legislazione sulla protezione dei dati e della vita privata e fornire raccomandazioni specifiche su come si possano ottenere tali sinergie, tra cui: un obbligo specifico che imponga ai funzionari dell’UE addetti alla sicurezza delle informazioni di cooperare strettamente con il responsabile della protezione dei dati designato ai sensi dell’articolo 43 dell’EUDPR; l’inserimento della cifratura end-to-end nell’elenco delle misure minime di sicurezza della proposta, ove applicabile, in particolare durante lo scambio di informazioni sensibili non classificate; la promozione di una procedura integrata di gestione del rischio di sicurezza delle informazioni e di una procedura integrata di trattamento degli incidenti di sicurezza, in modo da garantire sia la sicurezza delle informazioni che il rispetto degli obblighi in materia di protezione dei dati per quanto concerne le notifiche di una loro violazione.

1. INTRODUZIONE E CONTESTO

1. Il 22 marzo 2022 la Commissione europea ha adottato una proposta di regolamento del Parlamento europeo del Consiglio sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell’Unione (1) («la proposta»).

2. Lo stesso giorno la Commissione europea ha adottato un’altra proposta di regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione (2) («la proposta in materia di cibersicurezza»).

3. Entrambe le proposte erano previste dalla strategia dell’UE in materia di cibersicurezza per il decennio digitale, presentata il 16 dicembre 2020 (3) («la strategia»). La strategia mirava in generale a rafforzare l’autonomia strategica dell’Unione nel settore della cibersicurezza e a migliorarne la resilienza e la risposta collettiva, nonché a costruire un’Internet globale e aperta, con forti linee guida per affrontare i rischi per la sicurezza e per i diritti e le libertà fondamentali dei cittadini europei (4).

4. La proposta costituisce una delle iniziative normative della strategia, in particolare nel settore della cibersicurezza delle istituzioni, degli organi e degli organismi dell’UE («le istituzioni dell’UE»). In base alla strategia, l’obiettivo della proposta è duplice: — facilitare l’interoperabilità dei sistemi di informazioni classificate, permettendo un trasferimento fluido delle informazioni tra le diverse entità; e — consentire un approccio interistituzionale al trattamento delle informazioni classificate dell’UE e delle informazioni sensibili non classificate, che potrebbe anche fungere da modello per l’interoperabilità tra gli Stati membri, affermando che l’UE dovrebbe inoltre sviluppare ulteriormente la propria capacità di comunicare in maniera sicura con i partner pertinenti basandosi, per quanto possibile, sui meccanismi e sulle procedure esistenti.

5. Il GEPD osserva che l’oggetto della proposta in esame è direttamente legato anche alla proposta di direttiva del Parlamento europeo e del Consiglio relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, che abroga la direttiva (UE) 2016/1148 («proposta NIS 2.0»). Il GEPD ricorda il suo parere 5/2021 sulla strategia in materia di cibersicurezza (5) e sulla direttiva NIS 2.0 («parere NIS 2.0») (6); perciò il presente parere farà riferimento al parere NIS 2.0.

6. Secondo la relazione della proposta, considerati il numero sempre crescente di informazioni sensibili non classificate e di informazioni classificate UE («ICUE») che le istituzioni dell’UE devono condividere tra loro e il drammatico sviluppo del panorama delle minacce, l’amministrazione europea è esposta ad attacchi in tutti i suoi settori di attività. Le informazioni trattate dalle istituzioni dell’UE sono molto interessanti per gli autori delle minacce e devono essere adeguatamente protette.

7. Secondo la relazione, la proposta: — stabilirebbe categorie armonizzate e complete di informazioni, nonché norme comuni in materia di trattamento per tutte le istituzioni dell’UE; — istituirebbe un sistema snello di cooperazione in materia di sicurezza delle informazioni tra le istituzioni dell’UE, in grado di promuovere una cultura coerente della sicurezza delle informazioni in tutta l’amministrazione europea; — modernizzerebbe le politiche in materia di sicurezza delle informazioni a tutti i livelli di classifica/categorizzazione, per tutte le istituzioni dell’UE, tenendo conto della trasformazione digitale e dello sviluppo del telelavoro come pratica strutturale.

8. Il 22 marzo 2022 la Commissione ha consultato il Garante europeo della protezione dei dati ai sensi dell’articolo 42, paragrafo 1, del regolamento del Parlamento europeo e del Consiglio (UE) 2018/1725 («EUDPR») (7). Le osservazioni e le raccomandazioni di cui al presente parere si limitano alle disposizioni della proposta che sono più pertinenti dal punto di vista della protezione dei dati e della vita privata.

4. CONCLUSIONI

31. Alla luce di quanto sopra, il GEPD formula le seguenti raccomandazioni principali: — il GEPD raccomanda vivamente che la proposta definisca in modo chiaro le attività di trattamento dei dati personali che sono consentite ai fini del regolamento in questione, tra cui: la o le finalità del trattamento; categorie di dati personali; categorie di interessati; definizione di ruoli applicabili (titolare del trattamento, responsabile del trattamento, contitolari del trattamento), periodi di conservazione, destinatari in caso di trasmissione a entità non soggette all’EUDPR. Il GEPD ritiene che questi elementi debbano essere espressamente contemplati dalla proposta o, quanto meno, da un atto delegato adottato successivamente dalla Commissione. La proposta dovrebbe prevedere tale delega; — il GEPD raccomanda di spiegare in un considerando che verranno applicate tutte le disposizioni dell’EUDPR, comprese le norme sui trasferimenti internazionali. Il considerando 6 può essere inoltre utilizzato per includere tutte le altre raccomandazioni generali sulla protezione dei dati formulate nel presente parere che non sono intese a modificare le disposizioni sostanziali; — il GEPD raccomanda vivamente di includere la cifratura end-to-end nell’elenco delle misure minime di sicurezza della proposta, ove applicabile, in particolare durante lo scambio di informazioni sensibili non classificate; — il GEPD consiglia di aggiungere all’articolo 5, paragrafo 3, che tra gli elementi presi in considerazione dalla procedura di gestione del rischio di sicurezza delle informazioni si tiene conto anche delle minacce derivanti dall’accesso basato sulla giurisdizione di paesi terzi (per esempio da parte delle loro autorità pubbliche); — il GEPD raccomanda vivamente di spiegare in un considerando pertinente i vantaggi di disporre di una procedura integrata di gestione del rischio di sicurezza delle informazioni e di una procedura integrata di trattamento degli incidenti di sicurezza, in modo da garantire sia la sicurezza delle informazioni che il rispetto degli obblighi in materia di protezione dei dati per quanto concerne le notifiche di una loro violazione; — il GEPD raccomanda vivamente di includere nella proposta un obbligo specifico che imponga ai funzionari dell’UE addetti alla sicurezza delle informazioni di cooperare strettamente con il responsabile della protezione dei dati, designato ai sensi dell’articolo 43 dell’EUDPR, durante lo svolgimento di attività quali l’applicazione della protezione dei dati fin dalla progettazione e per impostazione definita nei confronti delle misure per la sicurezza delle informazioni, la selezione di misure di sicurezza che coinvolgano dati personali, la gestione integrata del rischio e il trattamento integrato degli incidenti di sicurezza.

Bruxelles, 17 maggio 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 119 final.

(2) COM(2022) 122 final.

(3) La strategia dell’UE in materia di cibersicurezza per il decennio digitale | Plasmare il futuro digitale dell’Europa (europa.eu), comprendente una comunicazione congiunta con l’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza (JOIN(2020)18).

(4) Cfr. capitolo I. INTRODUZIONE, pag. 5 della strategia.

(5) Comunicazione congiunta della Commissione europea e dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza al Parlamento europeo e al Consiglio dal titolo «La strategia dell’UE in materia di cibersicurezza per il decennio digitale».

(6) Parere del GEPD 5/2021 sulla strategia in materia di cibersicurezza e sulla direttiva NIS 2.0.

(7) Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39).