IT Gazzetta ufficiale dell'Unione europea C 55/4

Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento concernente ECRIS-TCN

[Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu]

(2018/C 55/05)

L’attuale sistema ECRIS, istituito dalla decisione quadro 2009/315/GAI del Consiglio (1), sostiene lo scambio di informazioni sulle condanne penali, principalmente nell’ambito della cooperazione giudiziaria. ECRIS può essere utilizzato anche per finalità diverse da quelle di un procedimento penale, conformemente al diritto nazionale dello Stato membro richiedente e dello Stato membro richiesto. Anche se l’attuale sistema ECRIS può essere utilizzato per i cittadini di paesi terzi («TCN»), ciò non avviene in modo efficace. Per tale ragione i miglioramenti sono motivati.

L’efficacia di ECRIS per i cittadini di paesi terzi è stata sottolineata dall’agenda europea sulla sicurezza ed è diventata una priorità legislativa per il 2017. Già nel 2016 la Commissione ha adottato una proposta di direttiva che modifica l’attuale legge e introduce miglioramenti per i cittadini di paesi terzi attraverso un sistema decentrato, utilizzando un filtro-indice e prevedendo la conservazione delle impronte digitali sotto forma di modelli «frammentati» con la funzione di hash [modelli hash]. Questa soluzione ha incontrato problemi tecnici. La proposta di regolamento concernente ECRIS-TCN, adottata il 29 giugno 2017, crea una banca dati centrale dell’UE in cui vengono conservate informazioni concernenti l’identità dei cittadini di paesi terzi, comprese le impronte digitali e le immagini del volto, destinata a essere utilizzata mediante un meccanismo di ricerca «hit/no hit», per individuare lo Stato membro in possesso di informazioni sui precedenti penali dei cittadini di paesi terzi. Inoltre, la proposta di un sistema ECRIS-TCN centrale è parzialmente giustificata come supporto per una futura interoperabilità dei sistemi dell’UE su vasta scala nello spazio di libertà, sicurezza e giustizia.

Il GEPD segue il fascicolo dall’avvio dei negoziati per l’istituzione di ECRIS. Ha già formulato due pareri e ha riconosciuto l’importanza di uno scambio efficiente di informazioni effettuato allo stesso modo sia per i cittadini di paesi terzi sia per i cittadini dell’UE. Questa posizione rimane invariata.

Il presente parere affronta questioni specifiche sollevate dalla proposta di regolamento. Ove necessario, fa riferimento alla proposta di direttiva, dal momento che le due proposte sono concepite come complementari. Il GEPD solleva quattro preoccupazioni principali e formula ulteriori raccomandazioni integrative, descritte in maggiore dettaglio nel parere. In sintesi, il GEPD raccomanda che, essendo ECRIS un sistema adottato dall’UE anteriormente al trattato di Lisbona, queste nuove proposte di direttiva e di regolamento adeguino il sistema ai requisiti previsti dall’articolo 16 TFUE e dalla Carta dei diritti fondamentali dell’UE, compresa la soddisfazione dei requisiti relativi a qualsiasi limitazione legittima dei diritti fondamentali.

La necessità di un sistema centrale dell’UE dovrebbe essere oggetto di una valutazione d’impatto, che tenga conto anche dell’impatto della concentrazione, in un’unica agenzia, della gestione di tutte le banche dati dell’UE su vasta scala in materia di libertà, sicurezza e giustizia. Anticipare l’interoperabilità in questo contesto sarebbe prematuro, dal momento che questo concetto deve innanzitutto essere fondato su una base giuridica e ne deve essere garantita la conformità con i principi di protezione dei dati.

I fini del trattamento dei dati diversi dal procedimento penale, per il quale ECRIS e ECRIS-TCN sono previsti, devono essere definiti chiaramente, in linea con il principio in materia di protezione dei dati concernente la limitazione delle finalità. Ciò vale altresì per l’accesso da parte di organismi dell’Unione, il quale dovrebbe essere valutato anche alla luce del diritto alla parità di trattamento dei cittadini dell’UE e dei cittadini di paesi terzi. Per quanto riguarda qualsiasi accesso da parte di organismi dell’UE, è necessario provarne la necessità, la proporzionalità e la conformità con i fini di ECRIS e deve essere strettamente limitato alle funzioni pertinenti nell’ambito del mandato di tali organismi dell’UE.

Il trattamento dei dati personali in questione, avendo natura molto riservata, dovrebbe attenersi rigorosamente al principio della necessità: un riscontro positivo [«hit»] dovrebbe essere rilevato solo quando lo Stato membro richiesto è autorizzato dalla propria legislazione nazionale a fornire informazioni sulle condanne penali per fini diversi dal procedimento penale. Il trattamento delle impronte digitali dovrebbe avere portata limitata e avere luogo solo quando l’identità di un determinato cittadino di un paese terzo non possa essere accertata con altri mezzi. Per quanto riguarda le immagini del volto, il GEPD raccomanda di effettuare o, se lo ha già fatto, di mettere a disposizione una valutazione, suffragata da prove, della necessità di raccogliere tali dati e di utilizzarli per scopi di verifica o identificazione.

La proposta di regolamento designa erroneamente eu-LISA responsabile del trattamento. Il GEPD raccomanda di designare eu-LISA e le autorità centrali degli Stati membri come responsabili congiunti. Inoltre, raccomanda di indicare chiaramente in una disposizione sostanziale che eu-LISA è responsabile per qualsiasi violazione della presente proposta di regolamento e del regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio (2).

1. INTRODUZIONE E CONTESTO

1. Il 29 giugno 2017 la Commissione europea ha pubblicato una proposta di regolamento che istituisce un sistema centralizzato per individuare gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi e apolidi (TCN) e integrare e sostenere il sistema europeo di informazione sui casellari giudiziali (sistema ECRIS-TCN), e che modifica il regolamento (UE) n. 1077/2011 (in prosieguo: la «proposta di regolamento») (3). La proposta è accompagnata da un documento di supporto analitico (4). Lo stesso giorno, la Commissione europea ha adottato la prima relazione statistica concernente lo scambio tra Stati membri di informazioni estratte dai casellari giudiziali tramite il sistema europeo di informazione sui casellari giudiziali (ECRIS), come previsto dall’articolo 7 della decisione 2009/316/GAI del Consiglio (5).

2. La proposta di regolamento è intesa a migliorare lo scambio di informazioni concernenti cittadini di paesi terzi e cittadini dell’UE che hanno anche la cittadinanza di un paese terzo. Il principio alla base dell’attuale ECRIS è che le informazioni relative alle condanne penali per quanto riguarda i cittadini dell’UE possono essere ottenute dallo Stato membro di cui la persona ha la cittadinanza, il quale conserva tutte le condanne penali, indipendentemente da dove siano state pronunciate all’interno dell’UE. Per quanto riguarda i cittadini di paesi terzi, ciascuno Stato membro conserva le condanne da esso pronunciate e, di conseguenza, una richiesta di informazioni deve essere trasmessa a tutti gli Stati membri. Secondo la Commissione, la risposta a «richieste generalizzate» impone oneri amministrativi e costi elevati nel caso in cui ECRIS venga utilizzato sistematicamente per estrarre informazioni sui cittadini di paesi terzi. Gli Stati membri sono riluttanti a utilizzare il sistema (secondo la relazione statistica, il 10 % delle richieste riguarda cittadini di paesi terzi) (6) e, di conseguenza, i precedenti penali dei cittadini di paesi terzi non sono disponibili come previsto (7). Il miglioramento dell’efficacia di ECRIS con riferimento ai cittadini di paesi terzi è accelerato dall’agenda europea sulla sicurezza (8) ed è una delle priorità legislative per il 2017 (9).

3. La proposta di regolamento integra la proposta di direttiva della Commissione del 19 gennaio 2016 per quanto riguarda lo scambio di informazioni sui cittadini di paesi terzi e il sistema europeo di informazione sui casellari giudiziali (ECRIS), che modifica la vigente decisione quadro 2009/315/GAI del Consiglio e sostituisce la decisione 2009/316/JHU del Consiglio (in prosieguo la «proposta di direttiva»).

4. Le due proposte hanno in comune l’istituzione di un sistema per individuare gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi e di cittadini dell’UE che hanno anche la cittadinanza di un paese terzo. La proposta di direttiva prevedeva un sistema decentrato, in cui non vi è un’unica banca dati dell’UE, ma ciascuno Stato membro conserva un file, il «filtro-indice». Tale file sarebbe alimentato da informazioni in forma codificata riguardanti i cittadini di paesi terzi estratte dai casellari giudiziali degli Stati membri e verrebbe distribuito a tutti gli Stati membri. Gli Stati membri incrocerebbero così tali dati con le proprie informazioni in base a un sistema «hit/no hit» e vedrebbero in quali altri Stati membri sono disponibili informazioni sui precedenti penali di un cittadino di un paese terzo. La proposta di direttiva prevedeva già il trattamento delle impronte digitali, ma l’utilizzo di queste ultime era considerato come una delle possibili opzioni nella valutazione d’impatto del 2016, diversamente dalla proposta di regolamento, che rende il loro uso obbligatorio. La Commissione spiega che gli attentati terroristici hanno accelerato il sostegno all’utilizzo sistematico delle impronte digitali ai fini di identificazione (10). Successivamente all’adozione della proposta di direttiva, uno studio di fattibilità ha rivelato che attualmente non esiste una tecnologia matura per il confronto di più serie di impronte digitali mediante l’utilizzo di modelli hash.

5. La proposta di regolamento, quale risposta ai problemi tecnici incontrati, prevede invece un sistema centralizzato, che include dati alfanumerici, impronte digitali e immagini del volto dei cittadini di paesi terzi. I dati alfanumerici e le impronte digitali possono essere utilizzati per identificare i cittadini di paesi terzi; le immagini del volto possono inizialmente essere utilizzate a fini di verifica e, quando la tecnologia sarà matura, anche per l’identificazione. L’«autorità centrale» dello Stato membro di condanna inserisce i dati nel sistema ECRIS-TCN locale, il quale trasmette tali dati a un sistema centrale dell’UE. Basandosi sul sistema hit/no hit, lo Stato membro richiedente può individuare lo Stato membro o gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi e quindi domandare tali informazioni tramite il sistema ECRIS esistente, migliorato dalla proposta di direttiva. Se per l’identificazione vengono utilizzate le impronte digitali, potrebbero essere forniti anche tutti i dati alfanumerici corrispondenti. La banca dati dell’UE è affidata ad eu-LISA e, a tal fine, la proposta di regolamento modifica il regolamento eu-LISA (UE) n. 1077/2011.

6. Inoltre, la soluzione per un sistema centralizzato è inserita nel contesto della prevista interoperabilità di tutti i sistemi d’informazione per la gestione della sicurezza, delle frontiere e della migrazione. Infatti, tra le ragioni alla base della scelta di un sistema centralizzato, l’interoperabilità è prioritaria rispetto ai problemi tecnici incontrati (11). ECRIS è altresì contemplato nella tabella di marcia del Consiglio, per intensificare lo scambio e la gestione di informazioni e perseguire l’interoperabilità (12). L’interoperabilità con ECRIS è prevista anche nella proposta ETIAS (13).

7. Una volta allineate tra loro, le due proposte sono concepite come complementari. Mentre la proposta di regolamento dovrebbe vertere sulle questioni relative al sistema centralizzato, la proposta di direttiva dovrebbe disciplinare le questioni di carattere generale relative al funzionamento di ECRIS allo stesso modo, sia per i cittadini di paesi terzi, sia per i cittadini dell’UE (14). La commissione LIBE del Parlamento europeo ha adottato la relazione sulla proposta di direttiva nel 2016 (15) mentre, per quanto riguarda la proposta di regolamento, il progetto di relazione è stato adottato il 30 ottobre 2017 (16). Il Consiglio ha dapprima sospeso i negoziati sulla proposta di direttiva a seguito della richiesta da parte degli Stati membri alla Commissione presso il Consiglio il 9 giugno 2016, di presentare una proposta per la creazione di un sistema centralizzato (17) e sta attualmente esaminando entrambe le proposte in parallelo (18).

8. ECRIS-TCN è un’iniziativa importante, che riguarda i sistemi IT nello spazio di libertà, sicurezza e giustizia. Il GEPD segue il fascicolo dall’avvio dei negoziati per l’istituzione di ECRIS. Il primo parere su ECRIS è stato pubblicato nel 2006 (19), come allora stabilito dalla decisione quadro 2009/315/GAI del Consiglio e nel 2016 il GEPD ha esaminato la proposta di direttiva nel parere 3/2016 (20).

9. In entrambi i pareri il GEPD ha riconosciuto l’importanza di uno scambio efficace di informazioni estratte dal casellario giudiziale, nonché della necessità di un sistema in grado di funzionare in modo efficace per i cittadini di paesi terzi, in particolare nel contesto dell’adozione dell’agenda europea sulla sicurezza (21). Questa posizione rimane invariata.

10. Questo parere si basa sul parere 3/2016 e affronta questioni specifiche sollevate dalla proposta di regolamento. Ove necessario, il parere fa riferimento anche alla proposta di direttiva. Nella sezione 2 il GEPD indica le sue principali preoccupazioni e fornisce raccomandazioni sul modo in cui affrontarle. Questioni e raccomandazioni supplementari per ulteriori miglioramenti sono descritte nella sezione 3.

3. CONCLUSIONE

66. Dopo un’attenta analisi della proposta relativa a ECRIS-TCN, il GEPD formula le seguenti raccomandazioni:

67. Nel creare una nuova banca dati centrale dell’UE e modificare la legge vigente su ECRIS, il GEPD raccomanda di tenere conto dei requisiti previsti dalla Carta dei diritti fondamentali dell’UE per attuare una limitazione legittima dei diritti fondamentali e fornire un adeguato livello di protezione dei dati personali nell’ambito della proposta di regolamento.

68. In particolare, il GEPD ricorda la necessità di fornire una prova oggettiva della necessità di istituire un sistema centralizzato a livello dell’UE. In questo contesto, l’interoperabilità dovrebbe essere innanzitutto valutata in base al suo impatto sui diritti fondamentali e ai suoi fini, chiaramente definiti parallelamente ai fini di ECRIS. Un’adeguata valutazione d’impatto dei diritti fondamentali alla vita privata e alla protezione dei dati dovrebbe accompagnare la proposta di regolamento per quanto riguarda questo aspetto, oltre che per la concentrazione di tutti i sistemi in un’unica agenzia.

69. L’istituzione di una nuova banca dati centrale dell’UE e la modifica della vigente legge su ECRIS dovrebbero soddisfare i requisiti previsti per una limitazione legittima dei diritti fondamentali, conformemente alla giurisprudenza consolidata. A tale scopo, i fini del trattamento dei dati diversi dal procedimento penale, per il quale ECRIS e ECRIS-TCN sono previsti, dovrebbero essere valutati dal punto di vista della loro necessità e proporzionalità e definiti chiaramente, in linea con il principio in materia di protezione dei dati concernente la limitazione delle finalità. Inoltre, l’accesso a ECRIS-TCN da parte di organismi dell’Unione, quali Europol, dovrebbe essere conforme alla finalità dell’attuale sistema ECRIS e al diritto alla parità di trattamento dei cittadini dell’UE e dei cittadini di paesi terzi, ed essere limitato alle funzioni, nell’ambito del loro mandato, per le quali l’accesso è strettamente necessario. Qualsiasi progetto di ampliamento dei fini attuali dovrebbe essere attuato attraverso una disposizione sostanziale (un considerando non è sufficiente).

70. Dal momento che ECRIS-TCN comporta il trattamento di dati personali che hanno natura molto riservata, il GEPD raccomanda di inserire condizioni adeguate per il trattamento dei dati personali in linea con il principio della necessità: un riscontro positivo [«hit»] dovrebbe essere rilevato solo quando lo Stato membro richiesto è autorizzato dalla sua legislazione nazionale a fornire informazioni sulle condanne penali per fini diversi dal procedimento penale. Il trattamento delle impronte digitali dovrebbe avere portata limitata ed essere effettuato solo quando l’identità di un determinato cittadino di un paese terzo non possa essere accertata con altri mezzi. Per quanto riguarda le immagini del volto, il GEPD raccomanda di effettuare o mettere a disposizione una valutazione, suffragata da prove, della necessità di registrare tali dati e di utilizzarli per scopi di verifica e/o identificazione.

71. Inoltre, eu-LISA e le autorità centrali degli Stati membri dovrebbero essere designate come responsabili congiunti del trattamento, dal momento che condividono la responsabilità di definire gli scopi e i mezzi delle attività di trattamento previste. La designazione di eu-LISA come responsabile del trattamento non rifletterebbe correttamente lo status quo e non sarebbe utile per garantire un livello elevato di protezione dei dati né per gli interessi legittimi degli Stati membri. Inoltre, la proposta ECRIS-TCN dovrebbe indicare chiaramente la responsabilità di eu-LISA per qualsiasi violazione della presente proposta di regolamento o del regolamento (CE) n. 45/2001.

72. Oltre alle suindicate questioni principali, le raccomandazioni del GEPD nel presente parere riguardano i miglioramenti alle disposizioni proposte in merito a: — riferimenti all’applicabilità della direttiva (UE) 2016/680 e del regolamento (CE) n. 45/2001, — diritti degli interessati, — statistiche, archivio centrale e monitoraggio, — sicurezza dei dati, — ruolo del GEPD, — autorità nazionali di controllo.

73. Il GEPD resta a disposizione per fornire ulteriori pareri sulle proposte di regolamento e di direttiva, anche in relazione a eventuali atti delegati o di esecuzione che potrebbero essere adottati in virtù degli strumenti proposti e in relazione al trattamento dei dati personali.

Fatto a Bruxelles, il 12 dicembre 2017 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) GU L 93 del 7.4.2009, pag. 23.

(2) GU L 8 del 12.1.2001, pag. 1.

(3) COM(2017) 344 final.

(4) SWD(2017) 248 final.

(5) COM(2017) 341 final. Questa relazione è accompagnata da un documento di lavoro dei servizi della Commissione, SWD(2017) 242 final.

(6) COM(2017) 341 final, pag. 15.

(7) Relazione della proposta, COM (2017) 344 final, pag. 2.

(8) COM (2015) 185 final.

(9) Joint Declaration on the EÙs legislative priorities for 2017 [dichiarazione congiunta sulle priorità legislative dell’UE per il 2017], https://ec.europa.eu/commission/sites/beta-political/files/joint-declaration-legislative-priorities-2017-jan2017_en.pdf

(10) Relazione della proposta, COM (2017) 344 final, pag. 3; documento di supporto analitico di accompagnamento, SWD (2017) 248 final, pag. 3.

(11) Relazione della proposta, COM (2017) 344 final, pag. 3.

(12) Tabella di marcia per rafforzare lo scambio e la gestione di informazioni, comprese soluzioni di interoperabilità nel settore Giustizia e affari interni, 9368/1/16, http://data.consilium.europa.eu/doc/document/ST-9368-2016-REV-1/it/pdf; prima relazione del Consiglio dell’8 novembre 2016, http://statewatch.org/news/2016/dec/eu-council-info-exhang-interop-sop-13554-REV-1-16.pdf; seconda relazione del Consiglio dell’11 maggio 2017, http://www.statewatch.org/news/2017/may/eu-council-information-management-strategy-second-implementation-report-8433-17.pdf

(13) COM(2016) 731 final.

(14) Relazione della proposta, COM (2017) 344 final, pag. 4.

(15) A8-0219/2016.

(16) PE 612.310v01-00.

(17) Risultati della riunione del Consiglio (GAI), 9979/16, http://data.consilium.europa.eu/doc/document/ST-9979-2016-INIT/en/pdf

(18) Cfr. ordine del giorno Coreper, 29 novembre 2017, http://data.consilium.europa.eu/doc/document/CM-5236-2017-INIT/en/pdf.

(19) Parere del GEPD sulla proposta di decisione-quadro del Consiglio relativa all’organizzazione e al contenuto degli scambi fra gli Stati membri di informazioni estratte dal casellario giudiziario [COM(2005) 690 final], (GU C 313 del 20.12.2006, pag. 26) https://edps.europa.eu/sites/edp/files/publication/06-05-29_criminal_records_it.pdf

(20) Parere del GEPD 3/2016 concernente ECRIS, https://edps.europa.eu/sites/edp/files/publication/16-04-13_ecris_en.pdf

(21) Parere del GEPD 3/2016 concernente ECRIS, pag. 12, con ulteriore riferimento 38 al parere del GEPD del 2006.