Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di rifusione del regolamento Europol

(Il testo integrale del parere è disponibile in inglese, francese e tedesco sul sito del GEPD www.edps.europa.eu)

(2021/C 143/05)

Il 9 dicembre 2020 la Commissione europea ha presentato una proposta di regolamento del Parlamento europeo e del Consiglio recante modifica al regolamento (UE) 2016/794 per quanto riguarda la cooperazione di Europol con le parti private, il trattamento dei dati personali da parte di Europol a sostegno di indagini penali e il ruolo di Europol in materia di ricerca e innovazione. La proposta legislativa mira a rafforzare e, in alcuni casi, ad ampliare il mandato di Europol, in risposta ai cambiamenti nel panorama della sicurezza e alle minacce sempre più complesse e in costante evoluzione.

Il GEPD comprende la necessità che le autorità di contrasto beneficino dei migliori strumenti giuridici e tecnici possibili per svolgere i loro compiti, ossia individuare, indagare e prevenire i reati e le altre minacce alla sicurezza pubblica. Inoltre, è convinto che non vi sia alcun conflitto intrinseco e inconciliabile tra sicurezza e diritti fondamentali, compreso il diritto alla protezione dei dati. Pertanto, il presente parere mira a fornire una valutazione equa e obiettiva della necessità e della proporzionalità delle misure proposte, accompagnata da una serie di raccomandazioni specifiche volte a garantire il giusto equilibrio tra i valori e gli interessi in gioco.

Le indagini penali e le operazioni di intelligence criminale comprendono sempre più la raccolta e il trattamento di grandi e complessi insiemi di dati da parte delle autorità di contrasto. Pur prendendo atto con soddisfazione delle garanzie che accompagnano le deroghe proposte in tali casi, il GEPD teme che le eccezioni alle attuali norme in materia di protezione dei dati, applicabili a Europol, possano diventare in realtà la regola. Raccomanda pertanto che il regolamento Europol definisca meglio le situazioni e le condizioni in cui Europol può ricorrere alle deroghe proposte. Inoltre, anche in questi casi, il trattamento dei dati personali da parte dell’Agenzia dovrebbe essere pienamente conforme ai principi e agli obblighi generali di cui al capo IX del regolamento (CE) n. 2018/1725.

Per quanto riguarda l’ampliamento delle possibilità giuridiche per Europol di cooperare con le parti private, in particolare nel caso di insiemi di dati multi-giurisdizionali o non attribuibili, il GEPD apprezza il fatto che siano controbilanciate da garanzie specifiche, quali il divieto di trasferimenti sistematici, massicci o strutturali di dati. Al tempo stesso, il GEPD raccomanda di applicare questa importante restrizione a tutti gli scambi tra Europol e parti private, indipendentemente dalla loro ubicazione, all’interno o all’esterno dell’UE. Il GEPD ritiene inoltre che l’esatto ruolo giuridico e le responsabilità di Europol, quando agisce in qualità di fornitore di servizi alle autorità nazionali e quindi di responsabile del trattamento, dovrebbero essere ulteriormente chiariti in un atto giuridico vincolante. Inoltre, ritiene necessaria una valutazione dei possibili rischi per la sicurezza creati dall’apertura dell’infrastruttura di comunicazione di Europol ad uso privato.

Il GEPD presta inoltre particolare attenzione all’uso previsto di dati personali da parte di Europol a fini di ricerca e innovazione. Al tempo stesso, è ben consapevole del fatto che l’alternativa per Europol e le autorità di contrasto nazionali di ricorrere a strumenti e prodotti sviluppati da venditori esterni, spesso situati al di fuori dell’UE, pone chiaramente rischi molto più elevati per quanto riguarda i diritti fondamentali. Ciononostante, il GEPD ritiene che la nuova finalità del trattamento sia definita in modo troppo ampio e raccomanda che la portata delle attività di ricerca e innovazione sia chiarita in un documento vincolante.

Il GEPD accoglie con favore e sostiene pienamente la proposta di rafforzare ulteriormente il quadro di protezione dei dati di Europol e in particolare l’applicazione diretta delle norme orizzontali di cui al capo IX del regolamento (CE) n. 2018/1725 al trattamento operativo dei dati da parte dell’Agenzia. Si tratta inoltre di un passo importante verso un allineamento globale del quadro in materia di protezione dei dati per tutte le istituzioni, gli organi e le agenzie dell’UE, più volte sollecitato dal GEPD.

Con un mandato più forte di Europol dovrebbe sempre essere esercitato un controllo più rigoroso. Il GEPD chiede pertanto una piena armonizzazione dei suoi poteri di controllo nei confronti di Europol con i poteri generali del GEPD previsti dal regolamento (UE) n. 2018/1725 e applicabili alle altre istituzioni, agenzie e organi dell’UE, tra cui il Parlamento europeo, il Consiglio e la Commissione. Tale allineamento sarebbe coerente con la volontà del legislatore dell’UE e contribuirebbe inoltre a evitare un trattamento differenziato degli organi dell’Unione e a collocarli in una posizione più o meno privilegiata.

1. INTRODUZIONE E CONTESTO

1. o maggio 2017. L’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol) è stata istituita dal regolamento (UE) n. 2016/794 del Parlamento europeo e del Consiglio («regolamento Europol») per sostenere e rafforzare l’azione delle autorità competenti degli Stati membri e la loro cooperazione reciproca nella prevenzione e nella lotta contro le forme gravi di criminalità transfrontaliera, il terrorismo e altre attività criminali che ledono gli interessi comuni dell’Unione. Il regolamento Europol ha sostituito il precedente atto giuridico di base, la decisione 2009/371/GAI ( 1 ) e ha affidato al GEDP il compito di controllare la liceità del trattamento dei dati personali da parte di Europol a decorrere dal 1maggio 2017.

2. Il 9 dicembre 2020 la Commissione europea ha adottato una proposta di regolamento del Parlamento europeo e del Consiglio che modifica il regolamento (UE) n. 2016/794 per quanto riguarda la cooperazione di Europol con parti private, il trattamento dei dati personali da parte di Europol a sostegno delle indagini penali e il ruolo di Europol in materia di ricerca e innovazione ( 2 )

3. La proposta è stata inserita nel programma di lavoro della Commissione per il 2020 come iniziativa legislativa volta a «rafforzare il mandato di Europol al fine di approfondire la cooperazione operativa di polizia». Si tratta inoltre di una delle azioni chiave della strategia dell’UE per l’Unione della sicurezza, presentata nel luglio 2020 ( 3 ) . Inoltre, la proposta legislativa fa parte di un pacchetto di misure annunciato dalla Commissione il 9 dicembre 2020 per rafforzare la risposta dell’Unione alla minaccia rappresentata dal terrorismo ( 4 )

4. L’obiettivo della proposta è rafforzare e, ove ritenuto necessario, ampliare il mandato di Europol nell’ambito della missione e dei compiti dell’Agenzia di cui all’articolo 88 del trattato sul funzionamento dell’Unione europea (TFUE). I tre settori principali, oggetto della proposta, sono esplicitamente menzionati nel titolo del progetto di regolamento, vale a dire la cooperazione con le parti private, il sostegno operativo alle indagini penali e la ricerca e l’innovazione. Tuttavia, vi sono una serie di ulteriori modifiche di altri importanti aspetti dell’attività di Europol, quali il regime giuridico in materia di protezione dei dati, il trasferimento di dati verso paesi terzi, l’inserimento di segnalazioni nel sistema d’informazione Schengen, ecc. Quest’ultimo elemento è oggetto di una proposta legislativa distinta ( 5 ) , sulla quale anche il GEPD è stato consultato e ha formulato osservazioni in un parere separato.

5. Secondo la relazione, la proposta legislativa è una risposta ai cambiamenti nel panorama della sicurezza e alle minacce in evoluzione e sempre più complesse, compreso lo sfruttamento da parte di gruppi criminali della trasformazione digitale, delle nuove tecnologie e della crisi dovuta alla COVID-19. In tale contesto, la Commissione rammenta diverse recenti dichiarazioni politiche del Consiglio e del Parlamento europeo, che affrontano specificamente la necessità di rafforzare ulteriormente il mandato e la capacità di Europol ( 6 )

6. Il GEPD è stato consultato in via informale dalla Commissione in varie occasioni durante l’intero processo di preparazione della proposta legislativa, da ultimo il 25 novembre 2020, e ha comunicato le sue osservazioni informali. Il GEPD si compiace che le sue opinioni siano state richieste in una fase iniziale della procedura e incoraggia la Commissione a proseguire questa buona pratica. Inoltre, il 9 ottobre 2020 il GEPD ha organizzato un webinar di esperti dal titolo «La riforma di Europol: la prospettiva della protezione dei dati», con particolare attenzione all’allineamento delle disposizioni in materia di protezione dei dati del regolamento Europol alle norme generali sul trattamento dei dati personali operativi.

7. Il GEPD è stato consultato formalmente dalla Commissione il 7 gennaio 2021 sulla proposta di regolamento del Parlamento europeo e del Consiglio che modifica il regolamento (UE) n. 2016/794 e ha adottato il presente parere conformemente all’articolo 42, paragrafo 3, del regolamento (CE) n. 2018/1725.

2. CONCLUSIONI

49. Alla luce di quanto sopra, il GEPD formula le raccomandazioni riportate di seguito.

Sulla cooperazione con parti private

— Il divieto di trasferimenti sistematici, ingenti o strutturali (articolo 26, paragrafo 6, ultimo comma) dovrebbe applicarsi a tutti gli scambi con parti private, anche all’interno dell’UE;

— gli obblighi di Europol quando agisce in qualità di responsabile del trattamento dei dati/fornitore di servizi, in particolare gli elementi obbligatori di cui all’articolo 87, paragrafo 3, del regolamento (UE) n. 2018/1725, dovrebbero essere stabiliti in un atto giuridico vincolante ai sensi del diritto dell’Unione o degli Stati membri;

— Europol dovrebbe effettuare una valutazione dei possibili rischi per la sicurezza derivanti dall’apertura delle sue infrastrutture ad uso privato e, se necessario, attuare adeguate misure di prevenzione e attenuazione.

Sul trattamento di serie di dati corpose e complesse, anche a sostegno di indagini penali specifiche

— Il regolamento Europol dovrebbe prevedere garanzie sufficienti per garantire che le deroghe ai sensi dell’articolo 18, paragrafo 5 bis, e dell’articolo 18 bis non diventino in realtà la norma;

— il regolamento Europol dovrebbe definire ulteriormente i casi in cui Europol potrebbe ricorrere alla deroga ai sensi dell’articolo 18, paragrafo 5 bis, rispettivamente quando l’agenzia può chiedere una proroga del periodo massimo di 1 anno. Inoltre, dovrebbe essere chiarita l’interazione tra i paragrafi 5 bis e 6 dell’articolo 18;

— l’articolo 18 bis dovrebbe stabilire ulteriori condizioni e soglie per il trattamento da parte di Europol di dati che esulano dalle categorie di interessati elencati nell’allegato II a sostegno di una specifica indagine penale, quali la portata, la complessità, il tipo o l’importanza dell’indagine;

— il trattamento dei dati personali nell’ambito delle deroghe ai sensi dell’articolo 18, paragrafo 5 bis, e dell’articolo 18 bis dovrebbe in ogni caso essere conforme ai principi e agli obblighi generali stabiliti nel capo IX del regolamento (UE) n. 2018/1725.

Sull’uso dei dati per la ricerca e l’innovazione

— La portata delle attività di ricerca e innovazione dovrebbe essere meglio definita nel regolamento Europol e ulteriormente precisata in un documento vincolante, che potrebbe essere successivamente aggiornato.

Sulla cooperazione di Europol con i paesi terzi

— Il significato di «categorie di trasferimenti» di cui all’articolo 25, paragrafo 5, nonché la distinzione da «insieme di trasferimenti» di cui al paragrafo 6 dello stesso articolo dovrebbero essere ulteriormente definiti e chiariti nel regolamento Europol.

Sul quadro di protezione dei dati applicabile a Europol

— I poteri di controllo del GEPD nei confronti di Europol dovrebbero essere pienamente allineati ai poteri generali del GEPD previsti dall’articolo 58 del regolamento (UE) n. 2018/1725;

— La nuova finalità proposta all’articolo 37 bis dovrebbe essere soppressa e pertanto la limitazione del trattamento dei dati personali da parte di Europol dovrebbe essere disciplinata direttamente dalla disposizione dell’articolo 82 del regolamento (UE) n. 2018/1725.

Riguardo ad altri elementi della proposta

— Le condizioni per la trasmissione dei dati ad altri organismi dell’Unione di cui all’articolo 24 del regolamento Europol dovrebbero essere allineate alle norme generali di cui all’articolo 71, paragrafo 2, del regolamento (UE) n. 2018/1725, in particolare al requisito di proporzionalità;

— il concetto di «analisi operativa congiunta» e le norme giuridiche applicabili al trattamento dei dati personali al suo interno dovrebbero essere chiaramente definiti nel regolamento Europol.

Bruxelles, 8 marzo 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Decisione 2009/371/GAI del Consiglio, del 6 aprile 2009, che istituisce l’Ufficio europeo di polizia (Europol) (GU L 121 del 15.5.2009, pag. 37).

(2) COM(2020) 796 final.

(3) COM(2020) 605 final del 24 luglio 2020.

(4) https://ec.europa.eu/commission/presscorner/detail/it/ip_20_2326

(5) Proposta di regolamento del Parlamento europeo e del Consiglio che modifica il regolamento (UE) n. 2018/1862 sull’istituzione, l’esercizio e l’uso del sistema d’informazione Schengen (SIS) nel settore della cooperazione di polizia e della cooperazione giudiziaria in materia penale per quanto riguarda l’inserimento di segnalazioni da parte di Europol, COM (2020) 791 final.

(6) Cfr. in particolare la risoluzione del Parlamento europeo del 10 luglio 2020 su una politica integrata dell’Unione in materia di prevenzione del riciclaggio di denaro e del finanziamento del terrorismo (2020/2686(RSP), le conclusioni del Consiglio sulla cooperazione di Europol con parti private del 2 dicembre 2019 o la dichiarazione dei ministri degli Affari interni dell’UE («Ten points on the Future of Europol») [Dieci punti sul futuro di Europol] del 21 ottobre 2020.