Sintesi del parere del Garante europeo della protezione dei dati relativo alla raccomandazione di decisione del Consiglio che autorizza i negoziati per una convenzione internazionale globale sul contrasto all’uso delle tecnologie dell’informazione e della comunicazione a fini criminali

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2022/C 240/05)

Il 29 marzo 2022 la Commissione europea ha formulato una raccomandazione di decisione del Consiglio che autorizza la Commissione a partecipare, a nome dell’Unione europea, ai negoziati delle Nazioni Unite per una convenzione internazionale globale sul contrasto all’uso delle tecnologie dell’informazione e della comunicazione a fini criminali.

Il Garante europeo della protezione dei dati riconosce che le autorità di contrasto hanno l’esigenza di assicurare e ottenere prove elettroniche in modo rapido ed efficace. Sottolinea, tuttavia, che un analogo strumento internazionale è già in vigore, ossia la Convenzione di Budapest e il relativo secondo protocollo addizionale, ora aperto alla firma.

Il Garante europeo della protezione dei dati rileva che i negoziati delle Nazioni Unite per un’altra convenzione sul contrasto alla criminalità informatica e sulla cooperazione transfrontaliera in materia penale sono già iniziati. Pertanto il Garante europeo della protezione dei dati appoggia la raccomandazione che autorizza la Commissione a negoziare a nome dell’Unione europea, in quanto ciò contribuirebbe a mantenere il livello di protezione garantito dal quadro dell’Unione per la tutela dei dati. Tuttavia il Garante europeo della protezione dei dati fa presente l’elevato numero dei paesi membri delle Nazioni Unite e la grande eterogeneità dei rispettivi sistemi giuridici. In considerazione di tale contesto, a parere del Garante europeo della protezione dei dati sussiste il rischio sostanziale che il testo finale della convenzione possa comportare un indebolimento dei diritti e delle libertà fondamentali delle persone fisiche previsti dalla normativa dell’Unione europea, in particolare dei diritti alla protezione dei dati e alla tutela della vita privata. Occorre perciò sottolineare che, nel caso in cui il Consiglio autorizzi la Commissione a negoziare in questo contesto a nome dell’Unione, tale autorizzazione non obbligherebbe l’Unione europea a diventare parte della convenzione, ove la stessa fosse adottata. Il Garante europeo della protezione dei dati ritiene che l’Unione europea non dovrebbe adoperarsi per diventare parte della convenzione qualora fosse compromesso il livello di protezione dei dati delle persone fisiche garantito dalla normativa dell’Unione europea.

Il presente parere mira a fornire alle istituzioni dell’Unione consigli costruttivi e obiettivi, onde assicurare che non sia compromesso il livello di protezione dei dati garantito dalla normativa dell’Unione europea. Il Garante europeo della protezione dei dati valuta positivamente l’intento del mandato di far sì, sin dall’inizio, che la convenzione preveda condizioni rigorose e solide salvaguardie per assicurare che gli Stati membri dell’Unione europea possano rispettare e tutelare i diritti e le libertà fondamentali nonché i principi generali della normativa dell’Unione europea sanciti dai trattati dell’Unione e dalla sua Carta dei diritti fondamentali.

In tale contesto, il Garante europeo della protezione dei dati evidenzia la necessità di assicurare in particolare il pieno rispetto dei diritti fondamentali alla tutela della vita privata e alla protezione dei dati personali. Secondo il regime giuridico dell’Unione in materia di protezione dei dati, in linea di principio, i trasferimenti di dati verso un paese terzo possono avvenire senza il soddisfacimento di ulteriori requisiti solo se il paese terzo in questione assicura un livello di protezione adeguato. Qualora il paese terzo non sia stato dichiarato adeguato, si applicano eccezioni per trasferimenti specifici, purché siano fornite adeguate salvaguardie. Sebbene il Garante europeo della protezione dei dati riconosca che potrebbe non essere possibile riprodurre integralmente la terminologia e le definizioni della normativa dell’Unione europea nel quadro di un accordo con numerosi paesi terzi, le salvaguardie per gli individui devono essere chiare ed efficaci affinché sia pienamente rispettata la normativa dell’Unione europea. Negli ultimi anni la Corte di giustizia dell’Unione europea ha riaffermato i principi relativi alla protezione dei dati, fra cui il ricorso giurisdizionale e i diritti individuali delle persone. Tali principi diventano ancor più rilevanti laddove si consideri la sensibilità dei dati richiesti per le indagini penali.

Alla luce di ciò, pur accogliendo favorevolmente molte direttive di negoziato già previste, il Garante europeo della protezione dei dati ritiene che queste debbano essere rafforzate. In particolare, al fine di assicurare la conformità alla Carta dell’Unione europea e all’articolo 16 del trattato sul funzionamento dell’Unione europea, il Garante europeo della protezione dei dati formula quattro raccomandazioni principali per le direttive di negoziato:

— limitare le disposizioni in materia di cooperazione internazionale ai reati definiti nella convenzione;

— escludere l’accesso diretto ai dati da parte delle autorità di contrasto di paesi terzi e la cooperazione transfrontaliera diretta con i prestatori di servizi;

— garantire l’applicazione, al posto della convenzione, di accordi bilaterali e multilaterali futuri con paesi terzi qualora tali accordi futuri assicurino livelli più elevati di protezione dei diritti fondamentali, in particolare del diritto alla tutela della vita privata e alla protezione dei dati;

— garantire che la convenzione non incida sui rapporti tra due Stati contraenti qualora uno di essi notifichi che la ratifica, l’accettazione, l’approvazione o l’adesione da parte di un altro Stato contraente non avrà l’effetto di stabilire relazioni tra tali due Stati contraenti in virtù della convenzione.

Inoltre, il parere offre ulteriori raccomandazioni per apportare miglioramenti e chiarimenti alle direttive di negoziato. Le osservazioni nel presente parere non pregiudicano eventuali osservazioni aggiuntive che il Garante europeo della protezione dei dati potrebbe formulare qualora sorgessero altre questioni, che sarebbero quindi affrontate non appena fossero disponibili ulteriori informazioni. Il Garante europeo della protezione dei dati si attende di essere consultato successivamente in merito alle disposizioni del progetto di convenzione prima del suo completamento.

1. INTRODUZIONE E CONTESTO

1. Le Nazioni Unite (ONU) rappresentano un’organizzazione intergovernativa formata attualmente da 193 Stati membri ( 1 ) . L’ONU e la sua attività si ispirano alle finalità e ai principi contenuti nella Carta costitutiva. Ai sensi della Carta dell’ONU, gli obiettivi dell’organizzazione comprendono il mantenimento della pace e della sicurezza a livello internazionale, la protezione dei diritti umani, la fornitura di aiuti umanitari, la promozione dello sviluppo sostenibile e il rispetto del diritto internazionale ( 2 )

2. , tenendo pienamente conto degli strumenti internazionali esistenti e delle iniziative di contrasto all’uso delle tecnologie dell’informazione e della comunicazione a fini criminali intraprese a livello nazionale, regionale e internazionale , in particolare i lavori e relativi esiti del gruppo intergovernativo aperto di esperti incaricato di condurre uno studio globale sulla criminalità informatica Il 17 dicembre 2018 l’Assemblea generale dell’ONU ha adottato la risoluzione 73/187 sul contrasto all’uso delle tecnologie dell’informazione e della comunicazione a fini criminali ( 3 ) . Successivamente, il 27 dicembre 2019, ha adottato la risoluzione 74/247 ( 4 ) , decidendo di istituire un comitato intergovernativo aperto di esperti ad hoc (il «comitato ad hoc») incaricato di elaborare una convenzione internazionale globale sul contrasto all’uso delle tecnologie dell’informazione e della comunicazione a fini criminali. La risoluzione 74/247 sottolinea la necessità di rafforzare il coordinamento e la cooperazione tra gli Stati al fine di contrastare l’uso delle tecnologie dell’informazione e della comunicazione a fini criminali, anche fornendo assistenza tecnica ai paesi in via di sviluppo, su loro richiesta. La risoluzione sottolinea altresì la necessità di migliorare la legislazione e i quadri nazionali e di mettere le autorità nazionali in grado di contrastare un simile uso in tutte le sue forme, anche tramite la prevenzione, l’accertamento, l’indagine e il perseguimento di tale uso ( 5 ) , in particolare i lavori e relativi esiti del gruppo intergovernativo aperto di esperti incaricato di condurre uno studio globale sulla criminalità informatica ( 6 ) . Tre Stati membri dell’Unione europea (UE), ossia Estonia, Polonia e Portogallo, sono vicepresidenti del comitato ad hoc ( 7 )

3. tenere pienamente conto degli strumenti internazionali esistenti e delle iniziative di contrasto all’uso delle tecnologie dell’informazione e della comunicazione a fini criminali intraprese a livello nazionale, regionale e internazionale Il 26 maggio 2021 l’Assemblea generale dell’ONU ha ulteriormente riaffermato, con la risoluzione 75/282 ( 8 ) , che il comitato ad hoc devee delle iniziative di contrasto all’uso delle tecnologie dell’informazione e della comunicazione a fini criminali intraprese a livello nazionale, regionale e internazionale ( 9 ) . L’Assemblea generale dell’ONU ha deciso che il comitato ad hoc dovrà convocare almeno sei sessioni e concludere i propri lavori in modo tale da presentare un progetto di convenzione alla medesima Assemblea generale nella sua settantottesima sessione, che dovrebbe iniziare nel settembre 2023 e concludersi nel settembre 2024.

4. La prima sessione negoziale si è tenuta dal 28 febbraio all’11 marzo 2022. In tale occasione sono stati discussi gli obiettivi, l’ambito di applicazione, la struttura e gli elementi essenziali della convenzione ( 10 ) . Come risulta dal progetto di relazione di questa prima sessione negoziale, è stato concordato che la struttura della convenzione deve comprendere gli elementi seguenti ( 11 ) Preambolo 1. Disposizioni generali 2. Criminalizzazione 3. Misure procedurali e applicazione della legge 4. Cooperazione internazionale 5. Assistenza tecnica, compreso lo scambio di esperienze 6. Misure preventive 7. Meccanismo di applicazione 8. Disposizioni finali.

5. La Commissione europea ha partecipato alle riunioni del comitato ad hoc in qualità di osservatore. Il 24 e 25 marzo 2022 si è svolto un incontro intersessionale per sollecitare contributi da parte di un’ampia gamma di portatori di interessi all’elaborazione del progetto di convenzione ( 12 ) . La prossima sessione negoziale è prevista il 30 maggio 2022 ( 13 )

6. Il 29 marzo 2022 la Commissione europea ha formulato una raccomandazione di decisione del Consiglio che autorizza la Commissione a partecipare, a nome dell’UE, ai negoziati dell’ONU per una convenzione internazionale globale sul contrasto all’uso delle tecnologie dell’informazione e della comunicazione a fini criminali («la raccomandazione») ( 14 ) . La raccomandazione è accompagnata da un allegato («l’allegato») che stabilisce le proposte di direttive di negoziato del Consiglio attinenti alla convenzione.

7. La Commissione raccomanda l’adozione di una decisione del Consiglio in base alla procedura stabilita nell’articolo 218 del trattato sul funzionamento dell’Unione europea (TFUE) per gli accordi conclusi tra l’UE e i paesi terzi. Con tale raccomandazione la Commissione intende ottenere dal Consiglio l’autorizzazione a essere nominata negoziatore principale a nome dell’UE, al fine di garantire l’adeguata partecipazione dell’UE ai negoziati dell’ONU giacché gli stessi dovrebbero riguardare elementi relativi alla legislazione e alle competenze dell’UE, in particolare nel settore della criminalità informatica ( 15 )

8. Il presente parere del Garante europeo della protezione dei dati (GEPD) è emesso in risposta a una consultazione della Commissione europea del 29 marzo 2022, ai sensi dell’articolo 42, paragrafo 1, dell’EUDPR. Il GEPD apprezza il riferimento a tale consultazione contenuto nel considerando 5 della raccomandazione.

7. CONCLUSIONI

42. Il GEPD sostiene l’adozione di una decisione del Consiglio che affidi alla Commissione europea il chiaro mandato di partecipare, a nome dell’UE, ai negoziati in corso presso l’ONU per la suddetta convenzione. Sottolinea, tuttavia, che l’autorizzazione a partecipare ai negoziati non dovrebbe comportare per l’UE l’obbligo di diventare parte della convenzione, ove la stessa fosse adottata; in particolare, l’UE non dovrebbe adoperarsi per diventare parte della convenzione qualora fosse compromesso il livello di protezione dei dati delle persone fisiche garantito dalla normativa dell’UE.

43. Il GEPD valuta positivamente i punti 6, 17 e 23 dell’allegato, relativi al mantenimento degli strumenti globali e regionali esistenti, nonché le salvaguardie previste nei punti 8, 9, 10, 11, 13, 18, 19 e 24 dell’allegato, e ne sottolinea l’importanza.

44. Alla luce di quanto sopra, il GEPD formula le raccomandazioni seguenti. Sulla relazione tra la convenzione e altri strumenti: — includere nel mandato l’indicazione che l’UE dovrebbe ottenere l’applicazione, al posto della convenzione, di accordi futuri con paesi terzi qualora tali accordi futuri assicurino livelli più elevati di protezione dei diritti fondamentali, in particolare del diritto alla tutela della vita privata e alla protezione dei dati. Sull’ambito di applicazione della convenzione: — limitare le disposizioni in materia di cooperazione ai reati definiti nella convenzione; — specificare nel mandato che l’UE dovrebbe opporsi a qualsiasi disposizione in materia di accesso transfrontaliero diretto ai dati e di cooperazione transfrontaliera diretta con i prestatori di servizi; — precisare che le direttive di cui al punto 15 dell’allegato non riguardano la cooperazione transfrontaliera. Sulla necessità di salvaguardie adeguate e sul rispetto dei diritti fondamentali: — specificare nel mandato che l’UE dovrebbe garantire una separazione netta tra le categorie di dati; — includere nel mandato una direttiva volta a ottenere che la convenzione sia corredata di un elenco esaustivo delle autorità competenti nei paesi riceventi alle quali sarebbero trasferiti i dati nonché di una breve descrizione delle loro competenze. Sulle clausole finali della convenzione: — specificare ulteriormente nel mandato che l’UE dovrebbe ottenere che uno Stato contraente possa dichiarare, al momento della firma, della ratifica o dell’adesione, che non darà esecuzione a una richiesta di trasferimento di dati personali a un’altra parte qualora vi sia motivo di ritenere che nello Stato richiedente non è più garantito un livello essenziale di protezione dei dati; — includere nel mandato che l’UE dovrebbe ottenere l’introduzione di una clausola sulla revisione periodica obbligatoria dell’applicazione pratica della convenzione. La convenzione dovrebbe prevedere che tale revisione sia eseguita al massimo entro cinque anni dall’entrata in vigore della medesima convenzione, e che successivamente siano effettuate revisioni aggiuntive a intervalli regolari, con frequenza specificata. Inoltre, dovrebbe essere precisato il contenuto della revisione. La revisione non dovrebbe focalizzarsi soltanto sull’applicazione della convenzione, bensì dovrebbe valutare la necessità e la proporzionalità. Dei gruppi incaricati delle revisioni dovrebbero far parte esperti di protezione dei dati, inclusi rappresentanti delle autorità nazionali competenti per la protezione dei dati; — includere nel mandato l’impegno dell’UE a ottenere la garanzia che la convenzione non sia applicata ai rapporti tra due Stati contraenti qualora uno di essi notifichi che la ratifica, l’accettazione, l’approvazione o l’adesione da parte di un altro Stato contraente non avrà l’effetto di stabilire relazioni tra tali due Stati contraenti in virtù della convenzione.

45. Infine, il GEPD resta a disposizione della Commissione, del Consiglio e del Parlamento europeo per fornire ulteriore assistenza nelle prossime fasi di questo processo. Le osservazioni contenute nel presente parere non pregiudicano eventuali osservazioni aggiuntive che il GEPD potrebbe formulare qualora sorgessero altre questioni, che sarebbero quindi affrontate non appena fossero disponibili ulteriori informazioni. Il GEPD si attende di essere consultato in merito alle disposizioni del progetto di convenzione prima del suo completamento.

Bruxelles, 18 maggio 2022 Wojciech Rafał Wiewiórowski

(1) L’elenco degli Stati membri dell’ONU è disponibile qui: https://www.un.org/en/about-us/member-states.

(2) Cfr. il preambolo della Carta dell’ONU, San Francisco, 26 giugno 1945: https://www.un.org/en/about-us/un-charter/full-text.

(3) Risoluzione dell’Assemblea generale dell’ONU del 17 dicembre 2018, A/RES/73/187.

(4) Risoluzione dell’Assemblea generale dell’ONU del 27 dicembre 2019, A/RES/74/247.

(5) Cfr. la pag. 1 della risoluzione.

(6) Il gruppo di esperti intergovernativo aperto incaricato di condurre uno studio globale sulla criminalità informatica è stato istituito dalla Commissione per la prevenzione del crimine e la giustizia penale, con sede a Vienna, a seguito della richiesta formulata dall’Assemblea generale dell’ONU nella risoluzione 65/230, ed è un organo sussidiario della Commissione per la prevenzione del crimine e la giustizia penale. Il gruppo di esperti è distinto dal comitato ad hoc incaricato di negoziare la convenzione, che è un organo sussidiario dell’Assemblea generale e ha un mandato differente.

(7) I membri del comitato ad hoc sono: Algeria (presidente), Egitto, Nigeria, Cina, Giappone, Estonia, Polonia, Federazione russa, Repubblica dominicana, Nicaragua, Brasile, Australia, Portogallo, Stati Uniti d’America (vicepresidente), Indonesia (relatore).

(8) Risoluzione dell’Assemblea generale dell’ONU del 26 maggio 2021, A/RES/75/282.

(9) Cfr. il punto 11 della risoluzione.

(10) La documentazione presentata durante questa prima sessione è disponibile qui: https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/ahc-first-session.html.

(11) https://documents-dds-ny.un.org/doc/UNDOC/LTD/V22/012/09/PDF/V2201209.pdf?OpenElement.

(12) https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/intersessional-consultations/1st-intersessional-consultation.

(13) https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/ahc-second-session.html.

(14) Raccomandazione di decisione del Consiglio che autorizza i negoziati per una convenzione internazionale globale sul contrasto all’uso delle tecnologie dell’informazione e della comunicazione a fini criminali [COM(2022)132 final].

(15) Cfr. la pagina 2 della relazione e l’articolo 1 della raccomandazione.