COMMISSIONE EUROPEA Bruxelles, 8.12.2021 COM(2021) 784 final 2021/0410(COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO sullo scambio automatizzato di dati per la cooperazione di polizia ("Prüm II"), che modifica le decisioni 2008/615/GAI e 2008/616/GAI del Consiglio e i regolamenti (UE) 2018/1726, (UE) 2019/817 e (UE) 2019/818 del Parlamento europeo e del Consiglio {SEC(2021) 421 final} - {SWD(2021) 378 final} - {SWD(2021) 379 final}



RELAZIONE CONTESTO DELLA PROPOSTA •Motivi della proposta In tutta Europa la criminalità mina la sicurezza e il benessere dei cittadini dell'UE. Le autorità di contrasto necessitano di strumenti solidi e performanti per contrastarla in maniera efficace. La cooperazione e lo scambio di informazioni sono gli strumenti più efficaci per combattere la criminalità e far applicare la legge. Nel 2021 è stato riscontrato che oltre il 70 % dei gruppi della criminalità organizzata è presente in più di tre Stati membri. Anche la criminalità avente apparentemente natura più locale può avere legami con altri luoghi in Europa nei quali il medesimo autore del reato ha compiuto atti criminali. Analogamente i legami della presunta criminalità locale con strutture e operazioni della criminalità organizzata spesso non sono evidenti. Di conseguenza, per poter contrastare efficacemente la criminalità le autorità di contrasto devono potersi scambiare tra loro dati in maniera tempestiva. L'UE ha già fornito alle forze di contrasto una serie di strumenti destinati a facilitare lo scambio di informazioni, che si sono dimostrati fondamentali per scoprire attività e reti criminali, ma rimangono da colmare alcune carenze di informazioni. In considerazione del fatto che i dati vengono archiviati separatamente in vari sistemi informatici nazionali e sistemi informatici su larga scala a livello dell'UE, occorre assicurare che i sistemi siano in grado di comunicare tra loro. In uno spazio senza controlli alle frontiere interne (lo "spazio Schengen"), persistono comunque confini e ostacoli per quanto riguarda lo scambio di dati tra autorità di contrasto, e pertanto rimangono zone d'ombra e lacune di cui approfittano numerosi criminali e terroristi che agiscono in più Stati membri. La presente iniziativa, unitamente alla proposta, adottata in parallelo, relativa a una direttiva sullo scambio di informazioni tra le autorità di contrasto degli Stati membri, mira a rafforzare lo scambio di informazioni tra gli Stati membri e quindi fornire alle autorità di contrasto dell'UE strumenti potenziati per combattere la criminalità e il terrorismo. Da più di dieci anni il quadro Prüm consente alle autorità di contrasto in tutta l'UE di scambiarsi informazioni. Le decisioni Prüm, adottate nel 2008 con l'obiettivo di sostenere la cooperazione giudiziaria e di polizia a livello transfrontaliero in relazione a questioni penali, prevedono lo scambio automatizzato di dati specifici (dati relativi a profili DNA, impronte digitali e immatricolazione di veicoli) tra le autorità competenti per la prevenzione, l'indagine e l'accertamento di reati. Il quadro Prüm sta contribuendo con successo alla lotta alla criminalità e al terrorismo nell'UE, ma restano comunque lacune nel settore dello scambio di informazioni e pertanto vi è margine per ulteriori miglioramenti. Le conclusioni del Consiglio sull'attuazione delle decisioni Prüm a dieci anni dall'adozione hanno sottolineato l'importanza della consultazione e del confronto automatizzati di profili DNA, dati dattiloscopici e dati di immatricolazione dei veicoli, per far fronte al terrorismo e alla criminalità transfrontaliera. Il Consiglio ha altresì invitato la Commissione a considerare l'eventualità di una revisione delle decisioni Prüm allo scopo di estenderne l'ambito di applicazione e di aggiornare i requisiti tecnici e giuridici necessari. Il quadro Prüm II si basa sull'attuale quadro Prüm, rafforzando e modernizzando tale quadro e consentendo l'interoperabilità con altri sistemi di informazione dell'UE. Garantirà che tutti i dati pertinenti disponibili per le autorità di contrasto in uno Stato membro possano essere utilizzati dalle autorità di contrasto in altri Stati membri. Garantirà altresì che l'Agenzia dell'Unione europea per la cooperazione nell'attività di contrasto (Europol) possa fornire sostegno agli Stati membri nel contesto del quadro Prüm. La presente iniziativa prevede la creazione di una nuova architettura che consenta uno scambio più facile e più rapido di dati tra Stati membri e che garantisca un livello elevato di protezione dei diritti fondamentali. •Obiettivi della proposta L'obiettivo generale della presente iniziativa deriva dall'obiettivo del trattato di contribuire alla sicurezza interna dell'Unione europea. Tra le misure per procedere in tal senso figurano la raccolta, l'archiviazione, il trattamento, l'analisi e lo scambio delle pertinenti informazioni. L'obiettivo generale di questo strumento consiste quindi nel migliorare, semplificare e facilitare lo scambio di informazioni a fini di prevenzione, indagine e accertamento di reati, anche di terrorismo, tra le autorità di contrasto degli Stati membri, ma anche con Europol, in veste di polo centrale dell'UE per le informazioni sulla criminalità. Gli obiettivi strategici specifici della presente proposta sono: (a)fornire una soluzione tecnica per uno scambio automatizzato di dati efficiente tra le autorità di contrasto affinché vengano a conoscenza dei dati pertinenti disponibili nella banca dati nazionale di un altro Stato membro; (b)garantire che i dati più pertinenti (in termini di categorie di dati) delle banche dati nazionali di altri Stati membri siano messi a disposizione di tutte le autorità di contrasto competenti; (c)garantire che i dati pertinenti (in termini di fonti di dati) delle banche dati di Europol siano messi a disposizione delle autorità di contrasto; (d)fornire alle autorità di contrasto un accesso efficiente ai dati effettivi corrispondenti a un "hit" (riscontro positivo) disponibile nella banca dati nazionale di un altro Stato membro. •Coerenza con le disposizioni vigenti nel settore normativo interessato La recente strategia Schengen ha annunciato diverse misure destinate a intensificare la cooperazione di polizia e lo scambio di informazioni tra le autorità di contrasto al fine di rafforzare la sicurezza in uno spazio intrinsecamente interdipendente senza frontiere interne. Unitamente alla proposta di direttiva sullo scambio di informazioni tra le autorità di contrasto degli Stati membri, la presente proposta contribuisce agli obiettivi di tale strategia garantendo che le autorità di contrasto di uno Stato membro abbiano accesso alle stesse informazioni a disposizione dei loro colleghi in un altro Stato membro. La proposta si inserisce nel contesto di più ampia portata dei sistemi di informazione su larga scala dell'UE che si è sviluppato in modo sostanziale dopo l'adozione del quadro Prüm. In tale contesto figurano i tre sistemi centrali di informazione dell'UE attualmente in funzione: il sistema d'informazione Schengen (SIS), il sistema d'informazione visti (VIS) e il sistema Eurodac. Sono inoltre attualmente in fase di sviluppo tre sistemi nuovi, ossia: il sistema di ingressi/uscite (EES), il sistema europeo di informazione e autorizzazione ai viaggi (ETIAS) e il sistema centralizzato per individuare gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi e apolidi (ECRIS-TCN). Tutti questi sistemi attuali e futuri sono collegati attraverso il quadro per l'interoperabilità tra i sistemi di informazione dell'UE per la sicurezza, le frontiere e la gestione della migrazione, adottato nel 2019 e attualmente in fase di attuazione. Le revisioni incluse nella presente proposta mirano ad allineare il quadro Prüm al quadro per l'interoperabilità, in particolare per quanto concerne lo scambio di dati e l'architettura complessiva offerta dall'interoperabilità dei sistemi di informazione dell'UE. Risulterebbe così possibile un accesso rapido e controllato alle informazioni di cui gli operatori delle autorità di contrasto necessitano per svolgere i propri compiti e per le quali dispongono di diritti di accesso. Il SIS contiene già segnalazioni di persone scomparse e consente ricerche basate sulle impronte digitali. Il SIS è un sistema di informazione centralizzato che consente di intraprendere azioni sulla base di un meccanismo di tipo "hit/no hit" (riscontro positivo/riscontro negativo), direttamente accessibile a un gran numero di utenti finali operanti in prima linea, che contiene segnalazioni e fornisce una risposta immediata in loco, offrendo la possibilità di intraprendere azioni in relazione all'oggetto della segnalazione. Il SIS è utilizzato principalmente in occasione di controlli di polizia, di frontiera e doganali, nonché dalle autorità competenti per i visti e per l'immigrazione nelle loro procedure e verifiche abituali.

Al contrario il quadro Prüm non dispone di alcuna componente/banca dati a livello dell'UE ed è utilizzato soltanto nelle indagini penali. Consente ad altri Stati membri di accedere ai sottoinsiemi anonimizzati delle banche dati nazionali sui profili DNA e sulle impronte digitali di autori di reati di tutti gli Stati membri collegati. Tale accesso è consentito soltanto ai punti di contatto nazionali. Sebbene la risposta "hit/no hit" venga fornita in pochi secondi o minuti, potrebbero essere necessarie settimane o addirittura mesi per ricevere i dati personali corrispondenti relativi a un riscontro positivo. 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ •Base giuridica La base giuridica della presente proposta di regolamento è costituita dalle disposizioni seguenti del trattato sul funzionamento dell'Unione europea (TFUE): articolo 16, paragrafo 2, articolo 87, paragrafo 2, lettera a), e articolo 88, paragrafo 2. A norma dell'articolo 16, paragrafo 2, l'Unione è competente a stabilire le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte delle sue istituzioni, dei suoi organi e dei suoi organismi, nonché da parte degli Stati membri nell'esercizio di attività che rientrano nel campo di applicazione del diritto dell'Unione, e norme relative alla libera circolazione di tali dati. A norma dell'articolo 87, paragrafo 2, lettera a), l'Unione ha il potere di stabilire misure riguardanti la raccolta, l'archiviazione, il trattamento, l'analisi e lo scambio delle pertinenti informazioni al fine di garantire la cooperazione di polizia tra le autorità competenti degli Stati membri, compresi i servizi di polizia, delle dogane e altri servizi incaricati dell'applicazione della legge specializzati nel settore della prevenzione o dell'individuazione dei reati e delle relative indagini. A norma dell'articolo 88, paragrafo 2, il Parlamento europeo e il Consiglio possono determinare la struttura, il funzionamento, la sfera d'azione e i compiti di Europol. •Sussidiarietà Il miglioramento dello scambio di informazioni tra la polizia e le autorità di contrasto all'interno dell'UE non può essere realizzato in misura sufficiente dagli Stati membri in maniera isolata, in ragione della natura transfrontaliera della lotta alla criminalità e delle questioni di sicurezza. In tali settori gli Stati membri devono fare affidamento gli uni sugli altri. Attraverso diversi progetti di attuazione a livello UE, gli Stati membri hanno cercato di intervenire per affrontare le carenze dell'attuale quadro Prüm. Nonostante tutte queste azioni, molte carenze sono rimaste le medesime descritte nella relazione del 2012 sull'attuazione della decisione Prüm. Ciò dimostra la necessità di un'azione a livello di UE, in quanto le misure attuate dai soli Stati membri non si sono dimostrate sufficienti per affrontare i limiti del quadro Prüm attuale. Regole, norme e requisiti comuni a livello di UE facilitano inoltre gli scambi di informazioni garantendo al tempo stesso la compatibilità tra i diversi sistemi nazionali. Ciò a sua volta consente un certo livello di automazione nei flussi di lavoro dello scambio di informazioni, che libera gli operatori delle autorità di contrasto da attività manuali ad elevata intensità di lavoro. •Proporzionalità Come illustrato con dovizia di dettagli nella valutazione d'impatto che accompagna la presente proposta di regolamento, le scelte strategiche operate nella presente proposta sono ritenute proporzionate in quanto non vanno al di là di quanto necessario per il conseguimento degli obiettivi individuati. La proposta prevede la creazione di router centrali (il router Prüm II ed EPRIS) che fungerebbero ciascuno da punto di connessione tra gli Stati membri. Si tratta di un approccio ibrido tra una soluzione decentrata e una centralizzata, senza alcuna archiviazione di dati a livello centrale. Ciò implica che le banche dati nazionali in ciascuno Stato membro si collegheranno tutte al router centrale anziché connettersi tra di loro. Tali router fungerebbero da intermediari di messaggi che inoltrano le operazioni di consultazione e le risposte ai sistemi nazionali, senza creare nuove elaborazioni di dati, ampliare i diritti di accesso né sostituire le banche dati nazionali. L'approccio garantirebbe alle autorità di contrasto un accesso rapido e controllato alle informazioni di cui necessitano per svolgere i loro compiti, in linea con i diritti di accesso di cui godono. Il router faciliterebbe l'attuazione da parte degli Stati membri degli scambi di dati esistenti e futuri nel contesto del quadro Prüm. Lo scambio automatizzato di categorie di dati complementari, quali immagini del volto e estratti del casellario giudiziale, è fondamentale per l'efficacia delle indagini penali e per identificare i criminali. L'introduzione di tali categorie di dati complementari non richiederebbe la conservazione di nuove categorie di dati, dato che gli Stati membri già li raccolgono ai sensi del diritto nazionale e li conservano nelle banche dati nazionali. Lo scambio di tali nuove categorie di dati costituirebbe un nuovo trattamento dei dati. Tuttavia sarebbe limitato alla misura necessaria per il conseguimento della sua finalità e consentirebbe il confronto dei dati soltanto caso per caso. La proposta prevede altresì una serie di diverse garanzie (ad esempio la condivisione di tutti i dati soltanto in presenza di un riscontro positivo a seguito di un'interrogazione). Tramite la presente proposta Europol formerà parte integrante del quadro Prüm, innanzitutto perché consentirà agli Stati membri di controllare automaticamente i dati biometrici provenienti da paesi terzi conservati presso Europol, in secondo luogo perché potrebbe confrontare i dati provenienti da paesi terzi con le banche dati nazionali degli Stati membri. Questi due aspetti della partecipazione di Europol al nuovo quadro Prüm, in conformità con i compiti attribuiti a Europol dal regolamento (UE) 2016/794, permetterebbero di evitare lacune in relazione ai dati concernenti reati gravi e reati di terrorismo ricevuti da paesi terzi. In una società aperta, in un mondo globalizzato, i dati forniti da paesi terzi su criminali e terroristi sono fondamentali. Ciò consentirebbe la potenziale identificazione di criminali noti a paesi al di fuori dell'UE, mantenendo al tempo stesso le solide garanzie in materia di protezione della vita privata e dei diritti e delle libertà fondamentali delle persone fisiche previste dagli accordi di cooperazione di Europol con paesi terzi. Il processo riveduto di scambio di follow-up sui riscontri positivi contribuirebbe alla sicurezza interna dell'Unione europea semplificando e ottimizzando lo scambio di informazioni in materia di contrasto. Rispetto alla situazione attuale, nella quale lo scambio di informazioni a seguito di un riscontro positivo è disciplinato dal diritto nazionale ed è quindi soggetto a norme e procedure diverse, l'introduzione di norme comuni che armonizzino questa seconda fase del processo Prüm offrirebbe prevedibilità a tutti gli utenti, dato che tutti saprebbero quali dati otterrebbero in tale fase. Lo scambio di dati sarebbe facilitato da un'automazione parziale, il che significa che sarebbe comunque necessario l'intervento umano prima che possa aver luogo uno scambio completo di dati supplementari. Gli Stati membri manterrebbero la proprietà/il controllo dei propri dati. •Scelta dell'atto giuridico L'atto giuridico proposto è un regolamento del Parlamento europeo e del Consiglio. La normativa proposta si fonda su un quadro esistente di decisioni del Consiglio che contribuiscono alla cooperazione transfrontaliera tra gli Stati membri dell'UE nei settori della giustizia e degli affari interni. In considerazione della necessità che le misure proposte siano direttamente applicabili e applicate uniformemente in tutti gli Stati membri, nonché di rafforzare lo scambio di informazioni, un regolamento costituisce quindi la scelta adeguata in termini di strumento giuridico. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D'IMPATTO •Valutazioni ex post della legislazione vigente

Nel complesso dalla valutazione del quadro Prüm è emerso che la consultazione e il raffronto di dati relativi a DNA, impronte digitali e immatricolazione di veicoli nelle banche dati di altri Stati membri ai fini della prevenzione dei reati e delle indagini penali sono di fondamentale importanza per proteggere la sicurezza interna dell'UE e la sicurezza dei suoi cittadini. Tale valutazione ha altresì dimostrato che le decisioni Prüm hanno contribuito a stabilire regole, norme e requisiti comuni a livello UE, al fine di facilitare lo scambio di informazioni e garantire la compatibilità tra i diversi sistemi nazionali. Tuttavia, dopo la scadenza del termine per l'attuazione del quadro Prüm dieci anni fa, l'UE ha adottato diverse altre misure sull'agevolazione dello scambio di informazioni tra le autorità di contrasto, compreso il quadro per l'interoperabilità. Inoltre le disposizioni sulle specifiche tecniche di interrogazioni, misure di sicurezza e comunicazione non sono state aggiornate sin dall'adozione delle decisioni Prüm nel 2008. Talune di tali norme sono obsolete dato che la scienza forense e le tecnologie si sono sviluppate in modo significativo nell'ultimo decennio. Dalla valutazione è emerso altresì che l'attuazione delle decisioni Prüm negli ultimi dieci anni è stata lenta e che non tutti gli Stati membri hanno adottato le misure necessarie per attuare le decisioni. Di conseguenza numerose connessioni bilaterali non sono state stabilite e non è possibile avviare interrogazioni per le banche dati di taluni Stati membri. Dalle conclusioni della valutazione è emerso altresì che il seguito dato a un riscontro positivo si svolge sulla base del diritto nazionale e, pertanto, esula dall'ambito di applicazione delle decisioni Prüm. A causa delle differenze tra le norme e le procedure nazionali, in diversi casi le autorità competenti possono ricevere con notevole ritardo le informazioni a seguito di un riscontro positivo. Tale situazione attuale incide sul funzionamento del sistema Prüm e sullo scambio efficace di informazioni tra gli Stati membri, diminuendo la possibilità di identificare i criminali e di individuare i collegamenti transfrontalieri tra reati. I risultati della valutazione hanno sostenuto la preparazione della valutazione d'impatto e della presente proposta. • Consultazioni dei portatori di interessi La preparazione della presente proposta ha comportato consultazioni mirate dei portatori di interessi, fra cui gli utenti finali del sistema, in particolare le autorità degli Stati membri che utilizzano lo scambio automatizzato di dati del quadro Prüm, le quali spaziano dalle autorità di contrasto e giudiziarie alle autorità nazionali competenti per l'immatricolazione dei veicoli, fino ai custodi di banche dati nazionali e ai laboratori forensi. Sono state consultate altresì Europol e l'Agenzia dell'Unione europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (eu-LISA) in considerazione delle rispettive competenze e del loro ruolo potenziale nel nuovo quadro Prüm. In ragione delle loro competenze, contributi sono stati forniti anche dall'Agenzia dell'Unione europea per i diritti fondamentali (FRA), così come da organizzazioni non governative quali EDRi (European Digital Rights) e da organizzazioni intergovernative (Eucaris, il sistema europeo d'informazione sui veicoli e le patenti di guida). Le attività di consultazione nel contesto della preparazione della valutazione d'impatto alla base della presente proposta hanno raccolto riscontri dai portatori di interessi in vari consessi. Tali attività hanno compreso in particolare una valutazione d'impatto iniziale, una consultazione pubblica e una serie di seminari tecnici. È stato condotto uno studio di fattibilità basato su ricerche documentali, colloqui con esperti in materia, questionari e tre seminari di esperti, che ha esaminato la fattibilità del miglioramento dello scambio di informazioni ai sensi delle decisioni Prüm. Discussioni regolari sullo scambio di informazioni in materia di contrasto e in particolare sulle decisioni Prüm in seno al gruppo di lavoro del Consiglio DAPIX/IXIM hanno contribuito anch'esse alla preparazione della presente proposta. Al fine di raccogliere riscontri, da agosto a ottobre del 2020 è stata pubblicata una valutazione d'impatto iniziale, in relazione alla quale sono pervenuti complessivamente sei contributi. Una consultazione pubblica pubblicizzata sul sito web della Commissione europea è stata rivolta al pubblico in generale. Le risposte hanno confermato che il quadro Prüm attualmente in vigore è pertinente per la prevenzione dei reati e le indagini penali e ha migliorato lo scambio di dati tra le autorità di contrasto degli Stati membri. Evitando la necessità di interrogare ciascuno Stato membro a livello bilaterale, lo scambio automatizzato di dati nel quadro Prüm ha consentito altresì di migliorare l'efficienza. Le risposte hanno confermato ulteriormente che il quadro Prüm è coerente con le azioni dell'UE e internazionali in questo settore e che presenta un valore aggiunto rispetto a quanto gli Stati membri potrebbero conseguire nel settore dello scambio di informazioni in materia di contrasto in mancanza di tale quadro. In termini di rafforzamento del quadro attualmente in vigore, la maggior parte dei partecipanti ha convenuto che il fatto che alcune categorie di dati non siano oggetto del quadro e siano quindi scambiate mediante l'invio di interrogazioni manuali costituisce una lacuna. I servizi della Commissione hanno organizzato altresì una serie di seminari tecnici informali mirati con esperti degli Stati membri e dei paesi associati Schengen. Tali seminari miravano a riunire gli utenti finali per uno scambio di opinioni, da un punto di vista tecnico, sulle opzioni che erano state previste e valutate per rafforzare il quadro Prüm. La valutazione d'impatto che accompagna la presente proposta riporta una descrizione più dettagliata della consultazione dei portatori di interesse (allegato 2). •Valutazione d'impatto La presente proposta è corredata di una valutazione d'impatto, presentata nel documento di lavoro dei servizi della Commissione [riferimento alla valutazione d'impatto Prüm] che la accompagna. Il comitato per il controllo normativo ha riesaminato il progetto di valutazione d'impatto nella riunione del 14 luglio 2021 e ha espresso un parere positivo il 16 luglio 2021. La valutazione ha concluso che: (1)al fine di conseguire l'obiettivo di fornire una soluzione tecnica per uno scambio automatizzato di dati efficiente, dovrebbe essere applicata una soluzione ibrida tra un approccio decentrato e un approccio centralizzato senza conservazione di dati a livello centrale; (2)al fine di conseguire l'obiettivo di garantire che i dati più pertinenti (in termini di categorie di dati) siano disponibili per le autorità di contrasto, dovrebbe essere introdotto lo scambio di immagini del volto e di estratti del casellario giudiziale; (3)al fine di conseguire l'obiettivo di garantire che i dati pertinenti delle banche dati di Europol siano a disposizione delle autorità di contrasto, gli Stati membri dovrebbero essere in grado di controllare automaticamente i dati biometrici provenienti da paesi terzi presso Europol nel contesto del quadro Prüm. Europol dovrebbe altresì essere in grado di confrontare i dati provenienti da paesi terzi con le banche dati nazionali degli Stati membri; (4)al fine di conseguire l'obiettivo di fornire un accesso efficiente ai dati effettivi corrispondenti a un "hit" (riscontro positivo) disponibili nella banca dati nazionale di un altro Stato membro o presso Europol, il processo di follow-up dovrebbe essere disciplinato a livello dell'UE con uno scambio semiautomatico dei dati effettivi corrispondenti a un "hit".

L'impatto positivo principale della presente proposta sarà quello di rispondere efficacemente ai problemi individuati e rafforzare l'attuale quadro Prüm con forti capacità aggiuntive destinate a fornire maggiore sostegno agli Stati membri nell'intensificare lo scambio di informazioni, con l'obiettivo finale di prevenire e indagare reati, anche di terrorismo, nel pieno rispetto dei diritti fondamentali. I beneficiari finali di tutte le opzioni prescelte sono i cittadini, che beneficeranno direttamente e indirettamente di un migliore contrasto della criminalità e di una diminuzione dei tassi di criminalità. In termini di efficienza, i beneficiari principali sono le autorità di contrasto nazionali. Gli effetti finanziari ed economici immediati della proposta richiederanno investimenti a livello tanto di UE quanto di Stati membri. I costi degli investimenti previsti dovrebbero essere controbilanciati dai benefici e dai risparmi, in particolare a livello di Stati membri. Nonostante gli investimenti iniziali, la creazione del router centrale Prüm consentirà risparmi sui costi sostenuti dagli Stati membri, dato che non sarebbe richiesto a ciascuno Stato membro di creare (e gestire) tante connessioni quanti sono gli Stati membri e le categorie di dati. •Diritti fondamentali Conformemente alla Carta dei diritti fondamentali dell'Unione europea, che vincola tanto le istituzioni dell'UE quanto gli Stati membri nell'attuazione del diritto dell'Unione (articolo 51, paragrafo 1, della Carta), e al principio di non discriminazione, le opportunità offerte dalle opzioni presentate devono conciliarsi con l'obbligo di garantire che le ingerenze nei diritti fondamentali eventualmente generate da tali opportunità si limitino a quanto strettamente necessario per rispondere effettivamente alle finalità di interesse generale perseguite, nel rispetto del principio di proporzionalità (articolo 52, paragrafo 1, della Carta). Le soluzioni proposte offrono la possibilità di adottare misure preventive mirate, allo scopo di aumentare la sicurezza. Di conseguenza possono contribuire a perseguire l'obiettivo legittimo di agevolare la lotta alla criminalità, che implica altresì un obbligo positivo per le autorità di adottare misure operative preventive per proteggere una persona la cui vita sia a rischio, qualora siano a conoscenza o avrebbero dovuto essere a conoscenza dell'esistenza di un rischio immediato. •Protezione dei dati personali Lo scambio di informazioni incide sul diritto alla protezione dei dati personali. Tale diritto è affermato dall'articolo 8 della Carta e dall'articolo 16 del trattato sul funzionamento dell'Unione europea, nonché dall'articolo 8 della Convenzione europea dei diritti dell'uomo. Come sottolineato dalla Corte di giustizia dell'Unione europea, il diritto alla protezione dei dati personali non appare come una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale. La protezione dei dati è strettamente legata al rispetto della vita privata e familiare tutelato dall'articolo 7 della Carta. Per quanto concerne il quadro Prüm, la normativa in materia di protezione dei dati applicabile è la direttiva (UE) 2016/680. Il quadro Prüm prevede infatti il trattamento di dati personali effettuato nel contesto dello scambio di informazioni tra le autorità di contrasto competenti per la prevenzione dei reati e le indagini penali. La libera circolazione dei dati all'interno dell'UE non deve essere limitata per motivi legati alla protezione dei dati. Occorre tuttavia rispettare una serie di principi. Di fatto, per essere lecite, le eventuali limitazioni all'esercizio dei diritti fondamentali tutelati dalla Carta devono rispondere ai seguenti criteri, sanciti dall'articolo 52, paragrafo 1: (1)devono essere previste dalla legge; (2)devono rispettare il contenuto essenziale dei diritti; (3)devono rispondere effettivamente a finalità di interesse generale riconosciute dall'Unione o all'esigenza di proteggere i diritti e le libertà altrui; (4)devono essere necessarie; e (5)devono essere proporzionate. La presente proposta di regolamento tiene conto di tutte queste norme in materia di protezione dei dati, come indicato con dovizia di dettagli nella valutazione d'impatto che la accompagna, ed è basata sui principi della protezione dei dati fin dalla progettazione e per impostazione predefinita. Comprende tutte le opportune disposizioni che limitano il trattamento dei dati a quanto necessario per lo scopo specifico da conseguire e che concedono l'accesso ai dati soltanto ai soggetti che hanno la "necessità di sapere". L'accesso ai dati è riservato esclusivamente al personale debitamente autorizzato delle autorità degli Stati membri o degli organi dell'UE competenti per gli scopi specifici del quadro Prüm riveduto ed è limitato alla misura in cui tali dati sono necessari per eseguire i compiti connessi al conseguimento degli scopi predetti. Al momento in cui sarà pubblicata la relazione che valuta l'attuazione della [raccomandazione del Consiglio sulla cooperazione operativa di polizia] da parte degli Stati membri di cui al punto 9, lettera d), di tale raccomandazione, la Commissione deciderà se sia necessario un atto normativo dell'UE sulla cooperazione operativa transfrontaliera tra le forze di polizia. Se fosse necessario, la Commissione presenterà una proposta legislativa sulla cooperazione operativa transfrontaliera di polizia, che garantirà anche l'allineamento delle disposizioni della decisione 2008/615/GAI e della decisione 2008/616/GAI non contemplate dalla presente proposta con la direttiva (UE) 2016/680, in funzione dei risultati della valutazione di cui all'articolo 62, paragrafo 6, della direttiva (UE) 2016/680. Se invece non fosse necessaria una normativa UE sulla cooperazione operativa transfrontaliera di polizia, la Commissione presenterà una proposta legislativa per garantire lo stesso allineamento, in funzione dei risultati della valutazione di cui all'articolo 62, paragrafo 6, della direttiva (UE) 2016/680. 4.INCIDENZA SUL BILANCIO La presente iniziativa legislativa inciderebbe sul bilancio e sul fabbisogno di personale di eu-LISA ed Europol. Per eu-LISA, si stima che sarebbe necessario un bilancio aggiuntivo di circa 16 milioni di EUR e circa 10 posti aggiuntivi per il periodo complessivo del quadro finanziario pluriennale (QFP) affinché eu-LISA disponga delle risorse necessarie per far rispettare i compiti attribuiti all'agenzia nel contesto della presente proposta di regolamento. Il bilancio assegnato a eu-LISA sarà compensato dallo Strumento di sostegno finanziario per la gestione delle frontiere e la politica dei visti.

Per Europol, si stima che sarebbe necessario un bilancio aggiuntivo di circa 7 milioni di EUR e circa 5 posti aggiuntivi per il periodo complessivo del QFP affinché Europol disponga delle risorse necessarie per far rispettare i compiti attribuiti all'agenzia nel contesto della presente proposta di regolamento. Il bilancio assegnato a eu-LISA sarà compensato dal Fondo sicurezza interna. 5.ALTRI ELEMENTI •Piani attuativi e modalità di monitoraggio, valutazione e informazione La Commissione assicurerà che siano in atto le disposizioni necessarie per monitorare il funzionamento delle misure proposte e valutarle rispetto ai principali obiettivi strategici. Due anni dopo la messa in atto e in servizio delle nuove funzionalità e, in seguito, ogni due anni, le Agenzie dell'Unione dovrebbero presentare al Parlamento europeo, al Consiglio e alla Commissione una relazione sul funzionamento tecnico delle nuove misure proposte. Inoltre, tre anni dopo l'introduzione e l'avvio operativo delle nuove funzionalità e, in seguito, ogni quattro anni, la Commissione dovrebbe predisporre una valutazione generale delle misure, anche in merito alla loro eventuale incidenza diretta o indiretta sui diritti fondamentali. Essa dovrebbe esaminare i risultati conseguiti rispetto agli obiettivi, valutando nel contempo se i principi di base siano ancora validi e studiando le eventuali implicazioni per le opzioni future. La Commissione dovrebbe presentare le relazioni di valutazione al Parlamento europeo e al Consiglio. •Illustrazione dettagliata delle singole disposizioni della proposta Il capo 1 stabilisce le disposizioni generali del presente regolamento indicandone l'oggetto, la finalità e l'ambito di applicazione. Fornisce un elenco di definizioni e ricorda che il trattamento dei dati personali ai fini del presente regolamento deve rispettare il principio di non discriminazione e altri diritti fondamentali. Il capo 2 stabilisce le disposizioni applicabili allo scambio delle categorie di dati previste dal presente regolamento, ossia profili DNA, dati dattiloscopici, dati di immatricolazione dei veicoli, immagini del volto ed estratti del casellario giudiziale. I principi su cui devono basarsi lo scambio e la consultazione automatizzata dei dati, le regole per le domande e le risposte sono illustrati rispettivamente in una sezione distinta per ciascuna categoria di dati. Il capo 2 contiene altresì disposizioni comuni per lo scambio di dati, l'istituzione di punti di contatto nazionali e misure di attuazione. Il capo 3 definisce i dettagli della nuova architettura (tecnica) per lo scambio di dati. La prima sezione di tale capo comprende disposizioni che descrivono il router centrale, il suo uso e l'avvio di interrogazioni. Saranno necessari atti di esecuzione per specificare le procedure tecniche relative a tali interrogazioni. Questa sezione comprende altresì disposizioni sull'interoperabilità tra il router e l'archivio comune di dati di identità ai fini dell'accesso da parte delle autorità di contrasto, la registrazione di tutti i trattamenti di dati nel router, il controllo di qualità nonché le procedure di notifica in caso di impossibilità tecnica di utilizzare il router. Una seconda sezione fornisce dettagli sull'utilizzo dell'indice europeo dei casellari giudiziali (EPRIS) per lo scambio dei relativi estratti. Questa sezione include altresì disposizioni sulla registrazione di tutte le operazioni di trattamento di dati in EPRIS nonché sulle procedure di notifica in caso di impossibilità tecnica di utilizzare EPRIS. Il capo 4 definisce i processi per lo scambio di dati a seguito di una corrispondenza riscontrata. Comprende una disposizione sullo scambio automatizzato di dati di base, secondo cui i dati devono essere limitati a quanto necessario per consentire l'identificazione della persona interessata, e una disposizione sullo scambio di dati effettuato in qualsiasi fase del processo in conformità del regolamento che non sia esplicitamente descritto nel regolamento stesso. Il capo 5 contiene disposizioni sull'accesso da parte degli Stati membri ai dati biometrici provenienti da paesi terzi conservati da Europol e sull'accesso da parte di Europol ai dati conservati nelle banche dati degli Stati membri. Il capo 6, sulla protezione dei dati, contiene disposizioni destinate ad assicurare che i dati trattati in conformità del presente regolamento siano trattati in modo lecito e adeguato, in linea con le disposizioni della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio. Spiega chi sarà il responsabile del trattamento dei dati in conformità del presente regolamento. Stabilisce le misure richieste da eu-LISA e dalle autorità degli Stati membri per garantire la sicurezza del trattamento dei dati, la gestione adeguata degli incidenti di sicurezza e il monitoraggio del rispetto delle misure del presente regolamento. Questo capo contiene infine disposizioni riguardanti la vigilanza e l'audit in relazione alla protezione dei dati. Sottolinea il principio secondo cui i dati trattati ai sensi del presente regolamento non devono essere trasferiti o messi a disposizione di alcun paese terzo od organizzazione internazionale in maniera automatizzata. Il capo 7 illustra in dettaglio le rispettive competenze degli Stati membri, di Europol e di eu-LISA nell'attuazione delle misure previste dal regolamento. Il capo 8 riguarda le modifiche di altri strumenti esistenti, ossia le decisioni 2008/615/GAI e 2008/616/GAI e i regolamenti (UE) 2018/1726, (UE) 2019/817 e (UE) 2019/818. Il capitolo 9 sulle disposizioni finali definisce i dettagli relativi a relazioni e statistiche, costi, notifiche, disposizioni transitorie e deroghe. Fissa altresì le prescrizioni per l'entrata in funzione delle misure proposte nel contesto del presente regolamento. Questo capo prevede inoltre l'istituzione di un comitato e l'adozione di un manuale pratico a supporto dell'attuazione e della gestione del presente regolamento. Comprende inoltre una disposizione sul monitoraggio e sulla valutazione e una disposizione sull'entrata in vigore e sull'applicabilità del presente regolamento. In particolare, il presente regolamento sostituisce gli articoli da 2 a 6 e il capo 2, sezioni 2 e 3, della decisione 2008/615/GAI del Consiglio e i capi da 2 a 5 e gli articoli 18, 20 e 21 della decisione 2008/616/GAI del Consiglio, che saranno di conseguenza soppressi a decorrere dalla data di applicazione del presente regolamento. L'effetto di tali modifiche sarà che le disposizioni sostituite e soppresse non si applicheranno più a nessuno Stato membro.



2021/0410 (COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO sullo scambio automatizzato di dati per la cooperazione di polizia ("Prüm II"), che modifica le decisioni 2008/615/GAI e 2008/616/GAI del Consiglio e i regolamenti (UE) 2018/1726, (UE) 2019/817 e (UE) 2019/818 del Parlamento europeo e del Consiglio IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 16, paragrafo 2, l'articolo 87, paragrafo 2, lettera a), e l'articolo 88, paragrafo 2, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere del Comitato economico e sociale europeo, visto il parere del Comitato delle regioni, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1)L'Unione si è prefissa l'obiettivo di offrire ai suoi cittadini uno spazio di libertà, sicurezza e giustizia senza frontiere interne, in cui sia assicurata la libera circolazione delle persone. Tale obiettivo dovrebbe essere conseguito, tra l'altro, attraverso misure appropriate per prevenire e combattere la criminalità, compresi la criminalità organizzata e il terrorismo. (2)Detto obiettivo richiede che le autorità di contrasto si scambino dati in modo efficiente e tempestivo, al fine di combattere efficacemente la criminalità. (3)Il presente regolamento ha quindi come obiettivo migliorare, semplificare e facilitare lo scambio di informazioni in materia penale tra le autorità di contrasto degli Stati membri, ma anche con l'Agenzia dell'Unione europea per la cooperazione nell'attività di contrasto (Europol) istituita dal regolamento (UE) 2016/794 del Parlamento e del Consiglio come polo dell'Unione per lo scambio di informazioni sulla criminalità. (4)Le decisioni 2008/615/GAI e 2008/616/GAI del Consiglio, che stabiliscono norme per lo scambio di informazioni tra le autorità competenti per la prevenzione dei reati e le indagini penali, disponendo il trasferimento automatizzato di profili DNA, dati dattiloscopici e determinati dati di immatricolazione dei veicoli, si sono rivelate importanti per combattere il terrorismo e la criminalità transfrontaliera. (5)Il presente regolamento dovrebbe definire le condizioni e le procedure per il trasferimento automatizzato di profili DNA, dati dattiloscopici, dati di immatricolazione dei veicoli, immagini del volto ed estratti del casellario giudiziale. Ciò non dovrebbe pregiudicare il trattamento di tali dati nel sistema d'informazione Schengen (SIS), né lo scambio di informazioni supplementari ad essi connesse tramite gli uffici SIRENE, né i diritti delle persone i cui dati sono trattati in tali contesti. (6)Il trattamento e lo scambio di dati personali ai fini del presente regolamento non dovrebbero dare luogo ad alcuna forma di discriminazione nei confronti delle persone. Tali attività dovrebbero rispettare pienamente la dignità e l'integrità umana nonché altri diritti fondamentali, compreso il diritto al rispetto della vita privata e alla protezione dei dati personali, conformemente alla Carta dei diritti fondamentali dell'Unione europea. (7)Prevedendo la consultazione automatizzata o il confronto automatizzato di profili DNA, dati dattiloscopici, dati di immatricolazione dei veicoli, immagini del volto ed estratti del casellario giudiziale, il presente regolamento mira altresì a consentire la ricerca di persone scomparse e resti umani non identificati. Ciò non dovrebbe pregiudicare l'inserimento nel SIS di segnalazioni di persone scomparse e lo scambio di informazioni supplementari su tali segnalazioni a norma del regolamento (UE) 2018/1862 del Parlamento europeo e del Consiglio. (8)La direttiva (UE) …/… [sullo scambio di informazioni tra autorità di contrasto degli Stati membri] fornisce un quadro giuridico coerente dell'Unione per garantire che le autorità di contrasto dispongano di un accesso equivalente alle informazioni in possesso di altri Stati membri quando ne hanno bisogno per combattere la criminalità e il terrorismo. Per intensificare lo scambio di informazioni, tale direttiva formalizza e chiarisce le procedure di condivisione delle informazioni tra gli Stati membri, in particolare a fini di indagine, specificando il ruolo del "punto di contatto unico" e usando appieno il canale di scambio di informazioni di Europol SIENA. Qualsiasi scambio di informazioni che vada al di là di quanto previsto dal presente regolamento dovrebbe essere disciplinato dalla direttiva (UE) …/… [sullo scambio di informazioni tra autorità di contrasto degli Stati membri]. (9)Per la consultazione automatizzata dei dati di immatricolazione dei veicoli, gli Stati membri dovrebbero utilizzare il sistema europeo d'informazione sui veicoli e le patenti di guida (Eucaris) istituito dal trattato relativo a un sistema europeo d'informazione sui veicoli e le patenti di guida (trattato EUCARIS) concepito a tal fine. Eucaris dovrebbe collegare tutti gli Stati membri partecipanti in una rete. Non è necessaria una componente centrale per stabilire la comunicazione, dato che ciascuno Stato membro comunica direttamente con gli altri Stati membri collegati. (10)L'identificazione dell'autore del reato è essenziale per il buon esito delle indagini e delle azioni penali. La consultazione automatizzata delle immagini del volto di indagati e condannati dovrebbe fornire informazioni aggiuntive che permettano di identificare gli autori dei reati e combattere la criminalità. (11)La consultazione o il confronto automatizzati di dati biometrici (profili DNA, dati dattiloscopici e immagini del volto) tra le autorità responsabili della prevenzione, dell'accertamento e dell'indagine di reati a norma del presente regolamento dovrebbero riguardare esclusivamente i dati contenuti nelle banche dati istituite a fini di prevenzione, accertamento e indagine di reati. (12)La partecipazione allo scambio di estratti del casellario giudiziale dovrebbe rimanere volontaria. Laddove gli Stati membri decidano di partecipare, in uno spirito di reciprocità, non dovrebbe essere loro possibile interrogare le banche dati di altri Stati membri se non mettono a disposizione i propri dati per interrogazioni da parte di altri Stati membri. (13)Negli ultimi anni Europol ha ricevuto da vari paesi terzi una grande quantità di dati biometrici di terroristi e criminali, o persone indagate per tali reati. Includere i dati provenienti da paesi terzi conservati presso Europol nel quadro Prüm, e quindi metterli a disposizione delle autorità di contrasto, è necessario per migliorare la prevenzione dei reati e le indagini penali e contribuisce a creare sinergie tra diversi strumenti di contrasto.

(14)Europol dovrebbe essere in grado di consultare le banche dati degli Stati membri nel contesto del quadro Prüm con i dati ricevuti da paesi terzi al fine di stabilire collegamenti transfrontalieri tra casi di rilevanza penale. La possibilità di utilizzare i dati Prüm, unitamente ad altre banche dati a disposizione di Europol, dovrebbe consentire di effettuare un'analisi più completa e informata delle indagini penali e dovrebbe permettere a Europol di fornire un sostegno migliore alle autorità di contrasto degli Stati membri. In caso di corrispondenza tra i dati utilizzati per la ricerca e quelli conservati nelle banche dati degli Stati membri, questi ultimi possono fornire a Europol le informazioni necessarie allo svolgimento dei suoi compiti. (15)Le decisioni 2008/615/GAI e 2008/616/GAI stabiliscono una rete di connessioni bilaterali tra le banche dati nazionali degli Stati membri. Da tale architettura tecnica consegue che ogni Stato membro dovrebbe stabilire almeno 26 connessioni, vale a dire una connessione con ciascuno Stato membro, per ciascuna categoria di dati. Il router e l'indice europeo dei casellari giudiziali (EPRIS) istituiti dal presente regolamento dovrebbero semplificare l'architettura tecnica del quadro Prüm e fungere da punti di connessione tra tutti gli Stati membri. Il router dovrebbe richiedere una connessione unica per Stato membro in relazione ai dati biometrici, mentre EPRIS dovrebbe richiedere una connessione unica per Stato membro in relazione ai casellari giudiziali. (16)Il router dovrebbe essere connesso al portale di ricerca europeo istituito dall'articolo 6 del regolamento (UE) 2019/817 del Parlamento europeo e del Consiglio e dall'articolo 6 del regolamento (UE) 2019/818 del Parlamento europeo e del Consiglio al fine di consentire alle autorità degli Stati membri e ad Europol di avviare interrogazioni delle banche dati nazionali a norma del presente regolamento contemporaneamente a interrogazioni dell'archivio comune di dati di identità istituito dall'articolo 17 del regolamento (UE) 2019/817 e dall'articolo 17 del regolamento (UE) 2019/818 a fini di contrasto. (17)In caso di corrispondenza tra i dati utilizzati per la ricerca o il confronto e i dati conservati nella banca dati nazionale dello Stato membro o degli Stati membri richiesti, e previa conferma di tale corrispondenza da parte dello Stato membro richiedente, lo Stato membro richiesto dovrebbe trasmettere una serie limitata di dati di base tramite il router entro 24 ore. Il termine dovrebbe garantire uno scambio rapido di comunicazioni tra le autorità degli Stati membri. Gli Stati membri dovrebbero mantenere il controllo della diffusione di tale serie limitata di dati di base. Dovrebbe essere mantenuto un certo grado di intervento umano nei passaggi chiave del processo, anche per quanto riguarda la decisione di trasmettere dati personali allo Stato membro richiedente, al fine di garantire che non siano scambiati in modo automatizzato dati di base. (18)Qualsiasi scambio tra le autorità degli Stati membri o con Europol in qualsiasi fase di uno dei processi descritti dal presente regolamento, che non sia esplicitamente descritto in quest'ultimo, dovrebbe avvenire tramite SIENA al fine di garantire che tutti gli Stati membri utilizzino un canale di comunicazione comune, sicuro e affidabile. (19)Per lo sviluppo del router e di EPRIS dovrebbe essere utilizzato lo standard del formato universale dei messaggi (UMF). Qualsiasi scambio automatizzato di dati a norma del presente regolamento dovrebbe utilizzare lo standard UMF. Le autorità degli Stati membri ed Europol sono incoraggiate a utilizzare lo standard UMF anche in relazione a ulteriori scambi di dati tra di loro nel quadro Prüm II. Lo standard UMF dovrebbe fungere da standard per lo scambio strutturato delle informazioni a livello transfrontaliero tra i sistemi di informazione, le autorità o le organizzazioni del settore Giustizia e affari interni. (20)Solo le informazioni non classificate dovrebbero essere scambiate tramite il quadro Prüm II. (21)Taluni aspetti del quadro Prüm II non possono essere trattati in modo esaustivo dal presente regolamento per la loro natura tecnica, fortemente dettagliata e soggetta a frequenti cambiamenti. Tra tali aspetti figurano ad esempio le modalità e le specifiche tecniche per le procedure di consultazione automatizzata, le norme per lo scambio di dati e i dati da scambiare. Al fine di garantire condizioni uniformi di esecuzione del presente regolamento è opportuno attribuire alla Commissione competenze di esecuzione. È opportuno che tali competenze siano esercitate conformemente al regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio. (22)Dato che il presente regolamento prevede l'istituzione del nuovo quadro Prüm, è opportuno sopprimere le disposizioni pertinenti delle decisioni 2008/615/GAI e 2008/616/GAI. È pertanto opportuno modificare di conseguenza tali decisioni. (23)Poiché il router dovrebbe essere sviluppato e gestito dall'Agenzia dell'Unione europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (eu-LISA), istituita dal regolamento (UE) 2018/1726 del Parlamento europeo e del Consiglio, è necessario modificare detto regolamento aggiungendo tale attività ai compiti di eu-LISA. Al fine di consentire la connessione del router al portale di ricerca europeo per poter consultare simultaneamente il router e l'archivio comune di dati di identità, è necessario modificare il regolamento (UE) 2019/817. Al fine di consentire la connessione del router al portale di ricerca europeo per poter consultare simultaneamente il router e l'archivio comune di dati di identità, e per conservare le relazioni e le statistiche del router nell'archivio centrale di relazioni e statistiche, è necessario modificare il regolamento (UE) 2019/818. È pertanto opportuno modificare di conseguenza tali regolamenti. (24)A norma degli articoli 1 e 2 del protocollo n. 22 sulla posizione della Danimarca, allegato al trattato sull'Unione europea e al trattato sul funzionamento dell'Unione europea, la Danimarca non partecipa all'adozione del presente regolamento, non è da esso vincolata né è soggetta alla sua applicazione. (25)[A norma dell'articolo 3 del protocollo n. 21 sulla posizione del Regno Unito e dell'Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al trattato sull'Unione europea e al trattato sul funzionamento dell'Unione europea, l'Irlanda ha notificato che desidera partecipare all'adozione e all'applicazione del presente regolamento.] OPPURE [A norma degli articoli 1 e 2 del protocollo n. 21 sulla posizione del Regno Unito e dell'Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al trattato sull'Unione europea e al trattato sul funzionamento dell'Unione europea, e fatto salvo l'articolo 4 di tale protocollo, l'Irlanda non partecipa all'adozione della presente direttiva, non è da essa vincolata né è soggetta alla sua applicazione.] (26)Il Garante europeo della protezione dei dati è stato consultato a norma dell'articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio e ha espresso un parere in data [XX], HANNO ADOTTATO IL PRESENTE REGOLAMENTO: CAPO 1 DISPOSIZIONI GENERALI Articolo 1 Oggetto Il presente regolamento istituisce un quadro per lo scambio di informazioni tra le autorità responsabili della prevenzione, dell'indagine e dell'accertamento di reati (Prüm II). Il presente regolamento stabilisce le condizioni e le procedure per la consultazione automatizzata di profili DNA, dati dattiloscopici, immagini del volto, estratti del casellario giudiziale e determinati dati di immatricolazione dei veicoli, nonché le norme relative allo scambio di dati di base a seguito di una corrispondenza.

Articolo 2 Finalità Il quadro Prüm II mira a intensificare la cooperazione transfrontaliera nelle materie disciplinate dalla parte III, titolo V, capo 5, del trattato sul funzionamento dell'Unione europea, in particolare lo scambio di informazioni tra autorità responsabili della prevenzione, dell'indagine e dell'accertamento di reati. Il quadro Prüm II mira altresì a consentire alle autorità responsabili della prevenzione, dell'indagine e dell'accertamento di reati la ricerca di persone scomparse e resti umani non identificati. Articolo 3 Ambito di applicazione Il presente regolamento si applica alle banche dati nazionali utilizzate per il trasferimento automatizzato delle categorie di dati seguenti: profili DNA, dati dattiloscopici, immagini del volto, estratti del casellario giudiziale e determinati dati di immatricolazione dei veicoli. Articolo 4 Definizioni Ai fini del presente regolamento si applicano le definizioni seguenti: (1)"loci": la particolare struttura molecolare nelle varie posizioni (loci) del DNA; (2)"profilo DNA": un codice alfanumerico che rappresenta una serie di caratteristiche identificative della parte non codificante di un campione di DNA umano analizzato, vale a dire la particolare struttura molecolare nei vari loci del DNA; (3)"parte non codificante del DNA": regioni cromosomiche che non contengono alcuna espressione genetica, vale a dire che notoriamente non forniscono alcuna proprietà funzionale di un organismo; (4)"dati indicizzati sul DNA": il profilo DNA e il numero di riferimento di cui all'articolo 9; (5)"profilo DNA indicizzato": il profilo DNA di una persona identificata; (6)"profilo DNA non identificato": il profilo DNA ottenuto da tracce rilevate nel corso delle indagini penali e appartenente a una persona non ancora identificata; (7)"dati dattiloscopici": immagini delle impronte digitali, immagini delle impronte digitali latenti, impronte palmari, impronte palmari latenti e modelli di tali immagini (minutiae codificate), quando sono conservati e trattati in una banca dati automatizzata; (8)"dati indicizzati dattiloscopici": i dati dattiloscopici e il numero di riferimento di cui all'articolo 14; (9)"caso per caso": con riferimento a un singolo fascicolo di indagine; (10)"immagine del volto": l'immagine digitalizzata del volto;

(11)"dati biometrici": profili DNA, dati dattiloscopici o immagini del volto; (12)"corrispondenza": la coincidenza risultante da un confronto automatizzato tra dati personali registrati o in fase di registrazione in un sistema di informazione o in una banca dati; (13)"candidato": i dati rispetto ai quali è stata verificata una corrispondenza; (14)"Stato membro richiedente": lo Stato membro che effettua una consultazione tramite il quadro Prüm II; (15)"Stato membro richiesto": lo Stato membro le cui banche dati sono consultate dallo Stato membro richiedente tramite il quadro Prüm II; (16)"estratto del casellario giudiziale": qualsiasi informazione disponibile nel registro nazionale o nei registri nazionali che registrano i dati delle autorità competenti a fini di prevenzione, indagine e accertamento di reati; (17)"pseudonimizzazione": il trattamento dei dati personali in modo tale che essi non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che i dati personali non siano attribuiti a una persona fisica identificata o identificabile; (18)"dati Europol": qualsiasi dato personale trattato da Europol a norma del regolamento (UE) 2016/794; (19)"autorità di controllo": l'autorità pubblica indipendente istituita da uno Stato membro a norma dell'articolo 41 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio; (20)"SIENA": l'applicazione di rete per lo scambio sicuro di informazioni, gestita da Europol, volta a facilitare lo scambio di informazioni tra gli Stati membri ed Europol; (21)"incidente significativo": qualsiasi incidente, salvo se presenta un impatto limitato ed è probabile che sia già adeguatamente compreso in termini di metodo o tecnologia; (22)"minaccia informatica significativa": una minaccia informatica caratterizzata dall'intento, dalla possibilità e dalla capacità di causare un incidente significativo; (23)"vulnerabilità significativa": una vulnerabilità che, se sfruttata, porterà probabilmente a un incidente significativo; (24)"incidente": un incidente ai sensi dell'articolo 4, paragrafo 5, della direttiva (UE) …/… del Parlamento europeo e del Consiglio [proposta NIS 2]. CAPO 2 SCAMBIO DI DATI SEZIONE 1 Profili DNA

Articolo 5 Creazione di schedari nazionali di analisi del DNA 1. Gli Stati membri istituiscono e gestiscono schedari nazionali di analisi del DNA per le indagini penali. Il trattamento dei dati contenuti negli schedari a norma del presente regolamento è effettuato in conformità del presente regolamento, nel rispetto del diritto nazionale dello Stato membro applicabile al trattamento di tali dati. 2. Gli Stati membri garantiscono che siano disponibili dati indicizzati sul DNA ottenuti dai loro schedari nazionali di analisi del DNA di cui al paragrafo 1. I dati indicizzati sul DNA non contengono alcun dato che consenta l'identificazione diretta di una persona fisica. I dati indicizzati sul DNA che non sono attribuiti a nessuno ("profili DNA non identificati") sono riconoscibili come tali. Articolo 6 Consultazione automatizzata dei profili DNA 1. Gli Stati membri consentono ai punti di contatto nazionali di cui all'articolo 29 e ad Europol di accedere ai dati indicizzati sul DNA presenti nei loro schedari di analisi del DNA per svolgere consultazioni automatizzate confrontando i profili DNA ai fini dell'indagine penale. Le consultazioni possono essere svolte solo caso per caso e nel rispetto del diritto nazionale dello Stato membro richiedente. 2. Se una consultazione automatizzata rivela che un profilo DNA corrisponde a profili DNA registrati nello schedario consultato dello Stato membro richiesto, il punto di contatto nazionale dello Stato membro richiedente riceve per via automatizzata i dati indicizzati sul DNA con cui è stata riscontrata una corrispondenza. In caso di mancata corrispondenza, lo Stato membro richiedente ne viene informato per via automatizzata. 3. Il punto di contatto nazionale dello Stato membro richiedente conferma una corrispondenza tra i dati di profili DNA e i dati indicizzati sul DNA conservati dallo Stato membro richiesto a seguito della trasmissione automatizzata dei dati indicizzati sul DNA necessari per confermare la corrispondenza. Articolo 7 Confronto automatizzato di profili DNA non identificati 1. Tramite i loro punti di contatto nazionali, gli Stati membri possono confrontare i profili DNA dei loro profili DNA non identificati con tutti i profili DNA provenienti da altri schedari nazionali di analisi del DNA ai fini dell'indagine penale. La trasmissione e il confronto dei profili sono effettuati in maniera automatizzata. 2. Se in esito al confronto di cui al paragrafo 1 uno Stato membro richiesto constata una corrispondenza tra profili DNA trasmessi e profili DNA contenuti nei propri schedari di analisi del DNA, comunica senza indugio al punto di contatto nazionale dello Stato membro richiedente i dati indicizzati sul DNA per i quali è stata constatata una corrispondenza. 3. La conferma di una corrispondenza tra i profili DNA e i dati indicizzati sul DNA dello Stato membro richiesto è effettuata dal punto di contatto nazionale dello Stato membro richiedente a seguito della trasmissione automatizzata dei dati indicizzati sul DNA necessari per confermare la corrispondenza. Articolo 8

Relazioni sugli schedari di analisi del DNA Ciascuno Stato membro informa la Commissione ed eu-LISA, a norma dell'articolo 73, in merito agli schedari nazionali di analisi del DNA ai quali si applicano gli articoli da 5 a 7. Articolo 9 Numeri di riferimento per i profili DNA I numeri di riferimento per i profili DNA sono costituiti da una combinazione degli elementi seguenti: (a)un numero di riferimento che consenta agli Stati membri, in caso di corrispondenza, di estrarre ulteriori dati e altre informazioni dalle loro banche dati di cui all'articolo 5 al fine di trasmetterli a uno, ad alcuni o a tutti gli altri Stati membri conformemente agli articoli 47 e 48; (b)un codice indicante lo Stato membro che detiene il profilo DNA; (c)un codice indicante il tipo di profilo DNA (profili DNA indicizzati o profili DNA non identificati). Articolo 10 Principi applicati allo scambio di dati indicizzati sul DNA 1. Sono adottate misure appropriate, compresa la cifratura, per garantire la riservatezza e l'integrità dei dati indicizzati sul DNA trasmessi ad altri Stati membri. 2. Gli Stati membri adottano le misure necessarie per garantire l'integrità dei profili DNA messi a disposizione degli altri Stati membri o ad essi inviati per confronto, e per assicurare che tali misure siano conformi alle norme internazionali applicabili allo scambio di dati sul DNA. 3. La Commissione adotta atti di esecuzione per specificare le applicabili norme internazionali che gli Stati membri devono utilizzare per lo scambio di dati indicizzati sul DNA. Tali atti di esecuzione sono adottati secondo la procedura di cui all'articolo 76, paragrafo 2. Articolo 11 Norme per le domande e le risposte concernenti i profili DNA 1. La domanda di consultazione automatizzata o di confronto automatizzato comprende soltanto le informazioni seguenti: (a)il codice dello Stato membro richiedente; (b)la data, l'ora e il numero di riferimento della domanda; (c)i profili DNA e i relativi numeri di riferimento di cui all'articolo 9; (d)i tipi di profili DNA trasmessi (profili DNA non identificati o profili DNA indicizzati).

2. La risposta alla domanda di cui al paragrafo 1 contiene soltanto le informazioni seguenti: (a)l'indicazione della presenza di una o più corrispondenze, o della mancanza di corrispondenze; (b)la data, l'ora e il numero di riferimento della domanda; (c)la data, l'ora e il numero di riferimento della risposta; (d)i codici dello Stato membro richiedente e dello Stato membro richiesto; (e)i numeri di riferimento dei profili DNA dello Stato membro richiedente e dello Stato membro richiesto; (f)i tipi di profili DNA trasmessi (profili DNA non identificati o profili DNA indicizzati); (g)i profili DNA per i quali è stata riscontrata una corrispondenza. 3. La notifica automatizzata di una corrispondenza è fornita soltanto se la consultazione o il confronto automatizzati abbiano evidenziato una corrispondenza di un numero minimo di loci. La Commissione adotta atti di esecuzione per specificare tale numero minimo di loci secondo la procedura di cui all'articolo 76, paragrafo 2. 4. Se una consultazione o un confronto con profili DNA non identificati produce una corrispondenza, ciascuno Stato membro richiesto che disponga di dati corrispondenti può inserire nella propria banca dati nazionale un contrassegno indicante che è stata riscontrata una corrispondenza per tale profilo DNA a seguito della consultazione o del confronto effettuato da un altro Stato membro. 5. Gli Stati membri provvedono affinché le domande siano coerenti con le dichiarazioni inviate a norma dell'articolo 8. Tali dichiarazioni figurano nel manuale pratico di cui all'articolo 78. SEZIONE 2 Dati dattiloscopici Articolo 12 Dati indicizzati dattiloscopici 1. Gli Stati membri garantiscono che siano disponibili dati indicizzati dattiloscopici ottenuti dai sistemi nazionali automatizzati di identificazione dattiloscopica istituiti per la prevenzione, l'indagine e l'accertamento di reati. 2. I dati indicizzati dattiloscopici non contengono alcun dato che consenta l'identificazione diretta di una persona fisica. 3. I dati indicizzati dattiloscopici che non sono attribuiti a nessuna persona fisica ("dati dattiloscopici non identificati") sono riconoscibili come tali. Articolo 13 Consultazione automatizzata di dati dattiloscopici

1. Ai fini della prevenzione, dell'indagine e dell'accertamento di reati, gli Stati membri autorizzano i punti di contatto nazionali degli altri Stati membri ed Europol ad accedere ai dati indicizzati dattiloscopici dei loro sistemi automatizzati di identificazione dattiloscopica creati a tal fine, per procedere a consultazioni automatizzate tramite il confronto dei dati indicizzati dattiloscopici. Le consultazioni possono essere svolte solo caso per caso e nel rispetto del diritto nazionale dello Stato membro richiedente. 2. Il punto di contatto nazionale dello Stato membro richiedente conferma una corrispondenza tra i dati dattiloscopici e i dati indicizzati dattiloscopici conservati dallo Stato membro richiesto a seguito della trasmissione automatizzata dei dati indicizzati dattiloscopici necessari per confermare la corrispondenza. Articolo 14 Numeri di riferimento per i dati dattiloscopici I numeri di riferimento per i dati dattiloscopici sono costituiti da una combinazione degli elementi seguenti: (a)un numero di riferimento che consenta agli Stati membri, in caso di corrispondenza, di estrarre dati ulteriori e altre informazioni dalle loro banche dati di cui all'articolo 12 al fine di trasmetterli a uno, ad alcuni o a tutti gli Stati membri conformemente agli articoli 47 e 48; (b)un codice indicante lo Stato membro che detiene i dati dattiloscopici. Articolo 15 Principi applicati allo scambio di dati dattiloscopici 1. La digitalizzazione dei dati dattiloscopici e la loro trasmissione agli altri Stati membri è effettuata secondo un formato dati uniforme. La Commissione adotta atti di esecuzione per specificare tale formato dati uniforme secondo la procedura di cui all'articolo 76, paragrafo 2. 2. Ciascuno Stato membro garantisce che i dati dattiloscopici da esso trasmessi siano di qualità sufficiente per un confronto tramite i sistemi automatizzati di identificazione dattiloscopica. 3. Gli Stati membri adottano misure appropriate, compresa la cifratura, per garantire la riservatezza e l'integrità dei dati dattiloscopici trasmessi agli altri Stati membri. 4. La Commissione adotta atti di esecuzione per specificare le norme esistenti applicabili allo scambio di dati dattiloscopici che devono essere utilizzate dagli Stati membri. Tali atti di esecuzione sono adottati secondo la procedura di cui all'articolo 76, paragrafo 2. Articolo 16 Capacità di consultazione per i dati dattiloscopici 1. Ogni Stato membro provvede affinché le sue domande di consultazione non eccedano le capacità di consultazione specificate dallo Stato membro richiesto. Gli Stati membri informano la Commissione ed eu-LISA, conformemente all'articolo 79, paragrafi 8 e 10, in merito alle loro capacità massime di consultazione giornaliere per i dati dattiloscopici di persone identificate e per i dati dattiloscopici di persone non ancora identificate. 2. La Commissione adotta atti di esecuzione per specificare il numero massimo di candidati accettati ai fini del confronto per ciascuna trasmissione, secondo la procedura di cui all'articolo 76, paragrafo 2. Articolo 17

Norme sulle domande e sulle risposte concernenti i dati dattiloscopici 1. Una domanda di consultazione automatizzata comprende soltanto le informazioni seguenti: (a)il codice dello Stato membro richiedente; (b)la data, l'ora e il numero di riferimento della domanda; (c)i dati dattiloscopici e i relativi numeri di riferimento di cui all'articolo 14. 2. La risposta alla domanda di cui al paragrafo 1 contiene soltanto le informazioni seguenti: (a)l'indicazione della presenza di una o più corrispondenze, o della mancanza di corrispondenze; (b)la data, l'ora e il numero di riferimento della domanda; (c)la data, l'ora e il numero di riferimento della risposta; (d)i codici dello Stato membro richiedente e dello Stato membro richiesto; (e)i numeri di riferimento dei dati dattiloscopici dello Stato membro richiedente e dello Stato membro richiesto; (f)i dati dattiloscopici per i quali è stata riscontrata una corrispondenza. SEZIONE 3 Dati di immatricolazione dei veicoli Articolo 18 Consultazione automatizzata di dati di immatricolazione dei veicoli 1. Ai fini della prevenzione, dell'indagine e dell'accertamento di reati, gli Stati membri consentono ai punti di contatto nazionali di altri Stati membri ed a Europol l'accesso ai seguenti dati nazionali di immatricolazione dei veicoli, per condurre consultazioni automatizzate caso per caso: (a)dati relativi ai proprietari o agli utenti; (b)dati relativi ai veicoli. 2. Le consultazioni possono essere effettuate soltanto con un numero completo di telaio o un numero completo di immatricolazione.

3. Le consultazioni possono essere svolte solo nel rispetto del diritto nazionale dello Stato membro richiedente. Articolo 19 Principi applicati alla consultazione automatizzata di dati di immatricolazione dei veicoli 1. Per la consultazione automatizzata di dati di immatricolazione dei veicoli, gli Stati membri utilizzano il sistema europeo d'informazione sui veicoli e le patenti di guida (Eucaris). 2. Le informazioni scambiate tramite Eucaris sono trasmesse in forma cifrata. 3. La Commissione adotta atti di esecuzione per specificare i dati di immatricolazione dei veicoli da scambiare. Tali atti di esecuzione sono adottati secondo la procedura di cui all'articolo 76, paragrafo 2. Articolo 20 Registrazioni 1. Ciascuno Stato membro conserva le registrazioni delle interrogazioni effettuate dal personale delle proprie autorità debitamente autorizzato a scambiare dati di immatricolazione dei veicoli, nonché le registrazioni delle interrogazioni richieste da altri Stati membri. Europol conserva le registrazioni delle interrogazioni effettuate dal proprio personale debitamente autorizzato. Ciascuno Stato membro ed Europol conservano le registrazioni di tutti i trattamenti di dati riguardanti i dati di immatricolazione dei veicoli. Tali registrazioni comprendono gli elementi seguenti: (a)lo Stato membro o l'agenzia dell'Unione che ha avviato la domanda di interrogazione; (b)la data e l'ora della domanda; (c)la data e l'ora della risposta; (d)le banche dati nazionali a cui è stata inviata la domanda di interrogazione; (e)le banche dati nazionali che hanno fornito una risposta positiva. 2. Le registrazioni di cui al paragrafo 1 possono essere utilizzate unicamente per la raccolta di statistiche e per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell'ammissibilità di un'interrogazione e della liceità del trattamento dei dati, e per garantire la sicurezza e l'integrità degli stessi. Le registrazioni sono protette dall'accesso non autorizzato con misure adeguate e sono cancellate un anno dopo la loro creazione. Qualora, tuttavia, siano necessarie per procedure di monitoraggio già avviate, sono cancellate quando le procedure di monitoraggio non necessitano più delle registrazioni. 3. Per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell'ammissibilità di un'interrogazione e della liceità del trattamento dei dati, i titolari del trattamento hanno accesso alle registrazioni per la verifica interna di cui all'articolo 56. SEZIONE 4 Immagini del volto

Articolo 21 Immagini del volto 1. Gli Stati membri garantiscono che siano disponibili immagini del volto ottenute dalle loro banche dati nazionali istituite per la prevenzione, l'indagine e l'accertamento di reati. Tali dati comprendono soltanto immagini del volto e il numero di riferimento di cui all'articolo 23 e indicano se le immagini del volto sono attribuite o meno a una persona. Gli Stati membri non mettono a disposizione in tale contesto dati dai quali sia possibile identificare direttamente una persona. 2. Le immagini del volto non attribuite a una persona (immagini del volto non identificate) sono riconoscibili come tali. Articolo 22 Consultazione automatizzata di immagini del volto 1. Ai fini della prevenzione, dell'indagine e dell'accertamento di reati, gli Stati membri consentono ai punti di contatto nazionali di altri Stati membri e ad Europol di accedere alle immagini del volto conservate nelle loro banche dati nazionali per condurre consultazioni automatizzate. Le consultazioni possono essere svolte solo caso per caso e nel rispetto del diritto nazionale dello Stato membro richiedente. 2. Lo Stato membro richiedente riceve un elenco di corrispondenze relative a possibili candidati. Tale Stato membro esamina l'elenco per stabilire l'esistenza di una corrispondenza confermata. 3. È stabilita una norma minima di qualità per consentire la consultazione e il confronto delle immagini del volto. La Commissione adotta atti di esecuzione per specificare tale norma minima di qualità. Tali atti di esecuzione sono adottati secondo la procedura di cui all'articolo 76, paragrafo 2. Articolo 23 Numeri di riferimento per le immagini del volto I numeri di riferimento per le immagini del volto sono costituiti dalla combinazione degli elementi seguenti: (a)un numero di riferimento che consenta agli Stati membri, in caso di corrispondenza, di estrarre ulteriori dati e altre informazioni dalle loro banche dati di cui all'articolo 21 al fine di trasmetterli a uno, ad alcuni o a tutti gli altri Stati membri conformemente agli articoli 47 e 48; (b)un codice indicante lo Stato membro che detiene le immagini del volto. Articolo 24 Norme sulle domande e sulle risposte concernenti le immagini del volto 1. Una domanda di consultazione automatizzata comprende soltanto le informazioni seguenti: (a)il codice dello Stato membro richiedente;

(b)la data, l'ora e il numero di riferimento della domanda; (c)le immagini del volto e i relativi numeri di riferimento di cui all'articolo 23. 2. La risposta alla domanda di cui al paragrafo 1 contiene soltanto le informazioni seguenti: (a)l'indicazione della presenza di una o più corrispondenze, o della mancanza di corrispondenze; (b)la data, l'ora e il numero di riferimento della domanda; (c)la data, l'ora e il numero di riferimento della risposta; (d)i codici dello Stato membro richiedente e dello Stato membro richiesto; (e)i numeri di riferimento delle immagini del volto dello Stato membro richiedente e dello Stato membro richiesto; (f)le immagini del volto per le quali è stata riscontrata una corrispondenza. SEZIONE 5 Estratti del casellario giudiziale Articolo 25 Estratti del casellario giudiziale 1. Gli Stati membri possono decidere di partecipare allo scambio automatizzato di estratti del casellario giudiziale. Gli Stati membri che partecipano allo scambio automatizzato di estratti del casellario giudiziale garantiscono la disponibilità dei dati anagrafici di indagati e criminali desunti dai rispettivi indici dei casellari giudiziali nazionali istituiti ai fini delle indagini penali. Tale serie di dati, se disponibile, contiene i dati seguenti: (a)nome/i; (b)cognome/i; (c)alias; (d)data di nascita; (e)cittadinanza o cittadinanze; (f)luogo e paese di nascita;

(g)sesso. 2. I dati di cui al paragrafo 1, lettere a), b), c), e) ed f), sono pseudonimizzati. Articolo 26 Consultazione automatizzata di estratti del casellario giudiziale 1. Ai fini delle indagini penali, gli Stati membri consentono ai punti di contatto nazionali degli altri Stati membri e ad Europol di accedere ai dati dei rispettivi indici dei casellari giudiziali nazionali per effettuare consultazioni automatizzate. Le consultazioni possono essere svolte solo caso per caso e nel rispetto del diritto nazionale dello Stato membro richiedente. 2. Lo Stato membro richiedente riceve l'elenco delle corrispondenze con indicazione della relativa qualità. Lo Stato membro richiedente viene altresì informato in merito allo Stato membro la cui banca dati contiene i dati che hanno determinato la corrispondenza in questione. Articolo 27 Numeri di riferimento per gli estratti del casellario giudiziale I numeri di riferimento per gli estratti del casellario giudiziale sono costituiti dalla combinazione degli elementi seguenti: (a)un numero di riferimento che consenta agli Stati membri, in caso di corrispondenza, di estrarre dati personali e altre informazioni dai loro indici di cui all'articolo 25 al fine di trasmetterli a uno, ad alcuni o a tutti gli Stati membri conformemente agli articoli 47 e 48; (b)un codice indicante lo Stato membro che detiene l'estratto del casellario giudiziale. Articolo 28 Norme sulle domande e sulle risposte concernenti gli estratti del casellario giudiziale 1. Una domanda di consultazione automatizzata comprende soltanto le informazioni seguenti: (a)il codice dello Stato membro richiedente; (b)la data, l'ora e il numero di riferimento della domanda; (c)gli estratti del casellario giudiziale e i relativi numeri di riferimento di cui all'articolo 27.

2. La risposta alla domanda di cui al paragrafo 1 contiene soltanto le informazioni seguenti: (a)l'indicazione della presenza di una o più corrispondenze, o della mancanza di corrispondenze; (b)la data, l'ora e il numero di riferimento della domanda; (c)la data, l'ora e il numero di riferimento della risposta; (d)i codici dello Stato membro richiedente e dello Stato membro richiesto; (e)i numeri di riferimento degli estratti del casellario giudiziale dello Stato membro richiedente e dello Stato membro richiesto. SEZIONE 6 Disposizioni comuni Articolo 29 Punti di contatto nazionali Ciascuno Stato membro designa un punto di contatto nazionale. I punti di contatto nazionali sono competenti per la fornitura dei dati di cui agli articoli 6, 7, 13, 18, 22 e 26. Articolo 30 Misure di attuazione La Commissione adotta atti di esecuzione per specificare le modalità tecniche delle procedure di cui agli articoli 6, 7, 13, 18, 22 e 26. Tali atti di esecuzione sono adottati secondo la procedura di cui all'articolo 76, paragrafo 2. Articolo 31 Specifiche tecniche Gli Stati membri ed Europol osservano specifiche tecniche comuni per quanto riguarda tutte le domande e le risposte relative alle consultazioni e ai confronti dei profili DNA, dei dati dattiloscopici, dei dati di immatricolazione dei veicoli, delle immagini del volto e degli estratti del casellario giudiziale. La Commissione adotta atti di esecuzione per specificare tali specifiche tecniche secondo la procedura di cui all'articolo 76, paragrafo 2. Articolo 32 Disponibilità dello scambio automatizzato di dati a livello nazionale

1. Gli Stati membri adottano tutte le misure necessarie per garantire che la consultazione automatizzata o il confronto automatizzato di profili DNA, dati dattiloscopici, dati di immatricolazione dei veicoli, immagini del volto ed estratti del casellario giudiziale possa effettuarsi 24 ore su 24 e 7 giorni su 7. 2. I punti di contatto nazionali provvedono immediatamente a informarsi reciprocamente e a informare la Commissione, Europol ed eu-LISA in merito a un guasto tecnico che causi l'indisponibilità dello scambio automatizzato di dati. I punti di contatto nazionali concordano a titolo temporaneo sistemi alternativi di scambio di informazioni conformemente al diritto dell'Unione e alla normativa nazionale applicabili. 3. I punti di contatto nazionali ristabiliscono senza indugio lo scambio automatizzato di dati. Articolo 33 Giustificazione per il trattamento dei dati 1. Ciascuno Stato membro conserva una giustificazione delle interrogazioni formulate dalle sue autorità competenti. Europol conserva una giustificazione delle interrogazioni che formula. 2. La giustificazione di cui al paragrafo 1 contiene: (a)la finalità dell'interrogazione, compreso un riferimento al caso specifico o all'indagine specifica; (b)l'indicazione dell'eventualità che l'interrogazione riguardi un indagato o l'autore di un reato; (c)l'indicazione dell'eventualità che l'interrogazione intenda identificare uno sconosciuto od ottenere maggiori dati su una persona nota. 3. Le giustificazioni di cui al paragrafo 2 sono utilizzate unicamente per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell'ammissibilità dell'interrogazione e della liceità del trattamento dei dati, e per garantire la sicurezza e l'integrità degli stessi. Le giustificazioni sono protette dall'accesso non autorizzato con misure adeguate e sono cancellate un anno dopo la loro creazione. Qualora, tuttavia, siano necessarie per procedure di monitoraggio già avviate, sono cancellate quando le procedure di monitoraggio non necessitano più di giustificazione. 4. Per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell'ammissibilità di un'interrogazione e della liceità del trattamento dei dati, i titolari del trattamento hanno accesso a tali giustificazioni per la verifica interna di cui all'articolo 56. Articolo 34 Uso del formato universale dei messaggi 1. Per lo sviluppo del router di cui all'articolo 35 e di EPRIS è utilizzato lo standard del formato universale dei messaggi (UMF). 2. Qualsiasi scambio automatizzato di dati a norma del presente regolamento utilizza lo standard UMF.

CAPO 3 ARCHITETTURA SEZIONE 1 Router Articolo 35 Router 1. Viene istituito un router al fine di facilitare l'instaurazione di connessioni tra gli Stati membri e con Europol per l'interrogazione e l'estrazione dei dati biometrici e l'assegnazione di un punteggio alle relative corrispondenze in conformità del presente regolamento. 2. Il router è costituito da: (a)un'infrastruttura centrale, che comprende uno strumento di ricerca per l'interrogazione simultanea delle banche dati degli Stati membri di cui agli articoli 5, 12 e 21, nonché dei dati Europol; (b)un canale di comunicazione sicuro tra l'infrastruttura centrale e gli Stati membri e le agenzie dell'Unione autorizzate a usare il router; (c)un'infrastruttura di comunicazione sicura tra l'infrastruttura centrale e il portale di ricerca europeo ai fini dell'articolo 39. Articolo 36 Uso del router L'uso del router è riservato alle autorità degli Stati membri che hanno accesso allo scambio di profili DNA, dati dattiloscopici e immagini del volto, nonché a Europol, a norma del presente regolamento e del regolamento (UE) 2016/794. Articolo 37 Interrogazioni 1. Gli utenti del router di cui all'articolo 36 presentano una domanda di interrogazione trasmettendo dati biometrici al router. Il router invia la domanda di interrogazione alle banche dati degli Stati membri e ai dati Europol simultaneamente ai dati presentati dall'utente e conformemente ai suoi diritti di accesso. 2. Quando riceve una domanda di interrogazione dal router, ciascuno Stato membro richiesto ed Europol interrogano le proprie banche dati in modo automatizzato e senza indugio. 3. Eventuali corrispondenze risultanti dall'interrogazione delle banche dati di ciascuno Stato membro e dei dati Europol sono rinviate al router in modo automatizzato. 4. Il router classifica le risposte in base al punteggio della corrispondenza tra i dati biometrici utilizzati per l'interrogazione e i dati biometrici conservati nelle banche dati degli Stati membri e nei dati Europol.

5. Il router rinvia all'utente l'elenco dei dati biometrici per i quali è stata riscontrata una corrispondenza e i relativi punteggi. 6. La Commissione adotta atti di esecuzione per specificare la procedura tecnica utilizzata dal router per interrogare le banche dati degli Stati membri e i dati Europol, il formato delle risposte del router, nonché le norme tecniche per l'assegnazione di punteggi alla corrispondenza tra dati biometrici. Tali atti di esecuzione sono adottati secondo la procedura di cui all'articolo 76, paragrafo 2. Articolo 38 Controllo della qualità Lo Stato membro richiesto verifica senza indugio la qualità dei dati trasmessi con una procedura interamente automatizzata. Qualora i dati risultino non idonei per un confronto automatizzato, lo Stato membro richiesto ne informa senza indugio lo Stato membro richiedente tramite il router. Articolo 39 Interoperabilità tra il router e l'archivio comune di dati di identità ai fini dell'accesso da parte delle autorità di contrasto 1. Gli utenti del router di cui all'articolo 36 possono avviare un'interrogazione delle banche dati degli Stati membri e dei dati Europol simultaneamente a un'interrogazione dell'archivio comune di dati di identità se sono soddisfatte le condizioni pertinenti ai sensi del diritto dell'Unione e conformemente ai loro diritti di accesso. A tal fine il router interroga l'archivio comune di dati di identità tramite il portale di ricerca europeo. 2. Le interrogazioni rivolte all'archivio comune di dati di identità per fini di contrasto sono effettuate conformemente all'articolo 22 del regolamento (UE) 2019/817 e all'articolo 22 del regolamento (UE) 2019/818. Qualsiasi risultato derivante dalle interrogazioni viene trasmesso tramite il portale di ricerca europeo. Soltanto le autorità designate ai sensi dell'articolo 4, punto 20, del regolamento (UE) 2019/817 e dell'articolo 4, punto 20, del regolamento (UE) 2019/818 possono avviare tali interrogazioni simultanee. Le interrogazioni simultanee delle banche dati degli Stati membri, dei dati Europol e dell'archivio comune di dati di identità possono essere avviate soltanto nei casi in cui è probabile che i dati relativi a un indagato, all'autore di un reato o a una vittima di un reato di terrorismo o di altri reati gravi quali definiti rispettivamente all'articolo 4, punti 21 e 22, del regolamento (UE) 2019/817 e all'articolo 4, punti 21 e 22, del regolamento (UE) 2019/818, siano conservati nell'archivio comune di dati di identità. Articolo 40 Registrazioni 1. eu-LISA conserva le registrazioni di tutti i trattamenti di dati effettuati nel router. Tali registrazioni comprendono gli elementi seguenti: (a)lo Stato membro o l'agenzia dell'Unione che ha avviato la domanda di interrogazione; (b)la data e l'ora della domanda; (c)la data e l'ora della risposta; (d)le banche dati nazionali o i dati Europol a cui è stata inviata la domanda di interrogazione; (e)le banche dati nazionali o i dati Europol che hanno fornito una risposta;

(f)ove applicabile, il fatto che è stata effettuata un'interrogazione simultanea dell'archivio comune di dati di identità. 2. Ciascuno Stato membro conserva le registrazioni delle interrogazioni effettuate dalle proprie autorità competenti e dal personale di tali autorità debitamente autorizzato a usare il router, nonché le registrazioni delle interrogazioni richieste da altri Stati membri. Europol conserva le registrazioni delle interrogazioni effettuate dal proprio personale debitamente autorizzato. 3. Le registrazioni di cui ai paragrafi 1 e 2 possono essere utilizzate unicamente per la raccolta di statistiche e per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell'ammissibilità di un'interrogazione e della liceità del trattamento dei dati, e per garantire l'integrità e la sicurezza degli stessi. Le registrazioni sono protette dall'accesso non autorizzato con misure adeguate e sono cancellate un anno dopo la loro creazione. Qualora, tuttavia, siano necessarie per procedure di monitoraggio già avviate, sono cancellate quando le procedure di monitoraggio non necessitano più delle registrazioni. 4. Per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell'ammissibilità di un'interrogazione e della liceità del trattamento dei dati, i titolari del trattamento hanno accesso alle registrazioni per la verifica interna di cui all'articolo 56. Articolo 41 Procedure di notifica in caso di impossibilità tecnica dell'uso del router 1. Qualora sia tecnicamente impossibile utilizzare il router per interrogare una o più banche dati nazionali o dati Europol a causa di un guasto del router, eu-LISA ne informa gli utenti in modo automatizzato. eu-LISA adotta misure per far fronte senza indugio all'impossibilità tecnica di utilizzare il router. 2. Qualora sia tecnicamente impossibile usare il router per interrogare una o più banche dati nazionali o i dati Europol a causa di un guasto dell'infrastruttura nazionale di uno Stato membro, quest'ultimo ne informa gli altri Stati membri, eu-LISA e la Commissione in modo automatizzato. Gli Stati membri adottano misure per affrontare senza indugio l'impossibilità tecnica di utilizzare il router. 3. Qualora sia tecnicamente impossibile usare il router per interrogare una o più banche dati nazionali o i dati Europol a causa di un guasto dell'infrastruttura di Europol, Europol ne informa gli Stati membri, eu-LISA e la Commissione in modo automatizzato. Europol adotta misure per affrontare senza indugio l'impossibilità tecnica di utilizzare il router. SEZIONE 2 EPRIS Articolo 42 EPRIS 1. Per la consultazione automatizzata degli estratti del casellario giudiziale di cui all'articolo 26, gli Stati membri ed Europol utilizzano l'indice europeo dei casellari giudiziali (EPRIS). 2. EPRIS è costituito da: (a)un'infrastruttura centrale, comprendente uno strumento di consultazione che consenta l'interrogazione simultanea delle banche dati degli Stati membri; (b)un canale di comunicazione sicuro tra l'infrastruttura centrale di EPRIS, gli Stati membri ed Europol. Articolo 43

Uso di EPRIS 1. Ai fini della consultazione degli estratti del casellario giudiziale tramite EPRIS, è necessario utilizzare la serie di dati seguente: (a)nome/i; (b)cognome/i; (c)data di nascita. 2. Laddove disponibile si può utilizzare anche la serie di dati seguente: (a)alias; (b)cittadinanza o cittadinanze; (c)luogo e paese di nascita; (d)sesso. 3. I dati di cui al paragrafo 1, lettere a) e b), e al paragrafo 2, lettere a), b) e c), utilizzati per le interrogazioni sono pseudonimizzati. Articolo 44 Interrogazioni 1. Gli Stati membri ed Europol presentano una domanda di interrogazione fornendo i dati di cui all'articolo 43. EPRIS invia la domanda di interrogazione alle banche dati degli Stati membri con i dati presentati dallo Stato membro richiedente e conformemente al presente regolamento. 2. Quando riceve una domanda di interrogazione da EPRIS, ciascuno Stato membro interroga l'indice dei casellari giudiziali nazionale in modo automatizzato e senza indugio. 3. Eventuali corrispondenze risultanti dall'interrogazione della banca dati di ciascuno Stato membro sono rinviate ad EPRIS in modo automatizzato. 4. L'elenco delle corrispondenze è rinviato da EPRIS allo Stato membro richiedente. L'elenco delle corrispondenze indica la qualità della corrispondenza nonché lo Stato membro la cui banca dati contiene i dati che hanno determinato la corrispondenza. 5. Quando riceve l'elenco delle corrispondenze, lo Stato membro richiedente decide quali sono le corrispondenze alle quali è necessario dare seguito e invia una domanda motivata di follow-up contenente qualsiasi ulteriore informazione pertinente allo Stato membro o agli Stati membri richiesti tramite SIENA. 6. Lo Stato membro o gli Stati membri richiesti trattano tali domande senza indugio per decidere se condividere i dati conservati nella loro banca dati.

In seguito a conferma, lo Stato membro o gli Stati membri richiesti condividono i dati di cui all'articolo 43, se disponibili. Lo scambio di informazioni ha luogo tramite SIENA. 7. La Commissione adotta atti di esecuzione per specificare la procedura tecnica di interrogazione da parte di EPRIS delle banche dati degli Stati membri e il formato delle risposte. Tali atti di esecuzione sono adottati secondo la procedura di cui all'articolo 76, paragrafo 2. Articolo 45 Registrazioni 1. Europol conserva le registrazioni di tutti i trattamenti di dati in EPRIS. Tali registrazioni comprendono gli elementi seguenti: (a)lo Stato membro o l'agenzia dell'Unione che ha avviato la domanda di interrogazione; (b)la data e l'ora della domanda; (c)la data e l'ora della risposta; (d)le banche dati nazionali a cui è stata inviata la domanda di interrogazione; (e)le banche dati nazionali che hanno fornito una risposta. 2. Ciascuno Stato membro conserva le registrazioni delle domande di interrogazione effettuate dalle proprie autorità competenti e dal personale di tali autorità debitamente autorizzato a usare EPRIS. Europol conserva le registrazioni delle domande di interrogazione effettuate dal proprio personale debitamente autorizzato. 3. Le registrazioni di cui ai paragrafi 1 e 2 possono essere utilizzate unicamente per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell'ammissibilità di un'interrogazione e della liceità del trattamento dei dati, e per garantire la sicurezza e l'integrità degli stessi. Le registrazioni sono protette dall'accesso non autorizzato con misure adeguate e sono cancellate un anno dopo la loro creazione. Qualora, tuttavia, siano necessarie per procedure di monitoraggio già avviate, sono cancellate quando le procedure di monitoraggio non necessitano più delle registrazioni. 4. Per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell'ammissibilità di un'interrogazione e della liceità del trattamento dei dati, i titolari del trattamento hanno accesso alle registrazioni per la verifica interna di cui all'articolo 56. Articolo 46 Procedure di notifica in caso di impossibilità tecnica dell'uso di EPRIS 1. Qualora sia tecnicamente impossibile usare EPRIS per interrogare una o più banche dati nazionali a causa di un guasto dell'infrastruttura di Europol, quest'ultima ne informa gli Stati membri in modo automatizzato. Europol adotta misure per affrontare senza indugio l'impossibilità tecnica di utilizzare EPRIS. 2. Qualora sia tecnicamente impossibile usare EPRIS per interrogare una o più banche dati nazionali a causa di un guasto dell'infrastruttura nazionale di uno Stato membro, quest'ultimo ne informa Europol e la Commissione in modo automatizzato. Gli Stati membri adottano misure per affrontare senza indugio l'impossibilità tecnica di utilizzare EPRIS. CAPO 4

SCAMBIO DI DATI A SEGUITO DI UNA CORRISPONDENZA Articolo 47 Scambio di dati di base Se le procedure di cui agli articoli 6, 7, 13 o 22 mostrano una corrispondenza tra i dati utilizzati per la consultazione o il confronto e i dati conservati nella banca dati dello Stato membro o degli Stati membri richiesti, e previa conferma di tale corrispondenza da parte dello Stato membro richiedente, lo Stato membro richiesto rinvia entro 24 ore una serie di dati di base tramite il router. Tale insieme di dati di base, se disponibile, contiene i dati seguenti: (a)nome/i; (b)cognome/i; (c)data di nascita; (d)cittadinanza o cittadinanze; (e)luogo e paese di nascita; (f)sesso. Articolo 48 Uso di SIENA Qualsiasi scambio non espressamente previsto dal presente regolamento tra le autorità competenti degli Stati membri o con Europol, in qualsiasi fase di ognuna delle procedure previste dal presente regolamento, avviene tramite SIENA. CAPO 5 EUROPOL Articolo 49 Accesso da parte degli Stati membri ai dati biometrici provenienti da paesi terzi conservati da Europol 1. A norma del regolamento (UE) 2016/794, gli Stati membri hanno accesso tramite il router ai dati biometrici forniti a Europol da paesi terzi per le finalità di cui all'articolo 18, paragrafo 2, lettere a), b) e c), del medesimo regolamento, e possono consultare tali dati tramite il router. 2. Qualora emerga una corrispondenza tra i dati utilizzati per la consultazione e i dati Europol, è dato seguito alla procedura conformemente al regolamento (UE) 2016/794. Articolo 50

Accesso da parte di Europol ai dati conservati nelle banche dati degli Stati membri 1. A norma del regolamento (UE) 2016/794, Europol ha accesso ai dati conservati dagli Stati membri nelle banche dati nazionali conformemente al presente regolamento. 2. Le interrogazioni di Europol effettuate usando i dati biometrici come criterio di ricerca sono svolte tramite il router. 3. Le interrogazioni di Europol effettuate usando i dati di immatricolazione dei veicoli come criterio di ricerca sono svolte tramite Eucaris. 4. Le interrogazioni di Europol effettuate usando i casellari giudiziali come criterio di ricerca sono svolte utilizzando EPRIS. 5. Europol effettua le consultazioni a norma del paragrafo 1 soltanto nell'espletamento dei suoi compiti di cui al regolamento (UE) 2016/794. 6. Se le procedure di cui agli articoli 6, 7, 13 o 22 mostrano una corrispondenza tra i dati utilizzati per la consultazione o il confronto e i dati conservati nella banca dati nazionale dello Stato membro o degli Stati membri richiesti, e previa conferma di tale corrispondenza da parte di Europol, lo Stato membro richiesto decide entro 24 ore se rinviare una serie di dati di base tramite il router. Tale insieme di dati di base, se disponibile, contiene i dati seguenti: (a)nome/i; (b)cognome/i; (c)data di nascita; (d)cittadinanza o cittadinanze; (e)luogo e paese di nascita; (f)sesso. 7. L'utilizzo da parte di Europol delle informazioni ottenute da una consultazione effettuata a norma del paragrafo 1 e dallo scambio di dati fondamentali a norma del paragrafo 6 è soggetto al consenso dello Stato membro nella cui banca dati è stata riscontrata la corrispondenza. Se lo Stato membro acconsente all'uso di tali informazioni, il loro trattamento da parte di Europol è disciplinato dal regolamento (UE) 2016/794. CAPO 6 PROTEZIONE DEI DATI Articolo 51 Finalità dei dati 1. Lo Stato membro richiedente o Europol può trattare i dati personali solamente ai fini per i quali i dati sono stati trasmessi dallo Stato membro richiesto a norma del presente regolamento. Il trattamento per altri fini è consentito esclusivamente previa autorizzazione dello Stato membro richiesto. 2. Il trattamento dei dati trasmessi a norma degli articoli 6, 7, 13, 18 o 22, da parte dello Stato membro che effettua la consultazione o il confronto è autorizzato esclusivamente allo scopo di:

(a)stabilire se esista una corrispondenza tra i profili DNA, i dati dattiloscopici, i dati di immatricolazione dei veicoli, le immagini del volto e gli estratti del casellario giudiziale oggetto del confronto; (b)predisporre e introdurre una domanda di assistenza giudiziaria da parte delle autorità di polizia in caso di corrispondenza tra i dati; (c)conservare registrazioni a norma degli articoli 40 e 45. 3. Lo Stato membro richiedente può trattare i dati fornitigli a norma degli articoli 6, 7, 13 o 22 solo se necessario ai fini del presente regolamento. Al termine del confronto o della risposta automatizzata alle consultazioni, i dati trasmessi sono immediatamente cancellati a meno che non sia necessario un ulteriore trattamento da parte dello Stato membro richiedente a fini di prevenzione, indagine e accertamento di reati. 4. I dati forniti a norma dell'articolo 18 possono essere utilizzati dallo Stato membro richiedente solo se necessario ai fini del presente regolamento.