Sintesi del parere del Garante europeo della protezione dei dati concernente la partecipazione ai negoziati in vista di un secondo protocollo addizionale alla Convenzione di Budapest sulla criminalità informatica

[Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu]

(2019/C 186/05)

Il 5 febbraio 2019 la Commissione europea ha emesso una raccomandazione di decisione del Consiglio che autorizza la Commissione a partecipare a nome dell’Unione ai negoziati su un secondo protocollo addizionale alla Convenzione di Budapest sulla criminalità informatica. L’allegato alla raccomandazione illustra le direttive raccomandate dal Consiglio per negoziare il protocollo. Tale protocollo è teso a migliorare il canale di cooperazione tradizionale e a includere disposizioni in materia di cooperazione diretta tra le autorità di contrasto e i prestatori di servizi a livello transfrontaliero, nonché disposizioni sull’accesso diretto transfrontaliero ai dati da parte delle autorità di contrasto.

Il GEPD accoglie con favore e sostiene attivamente la raccomandazione della Commissione europea che la autorizza a negoziare, a nome dell’Unione europea, un secondo protocollo addizionale alla Convenzione sulla criminalità informatica. Come sostenuto a lungo dal GEPD, l’UE necessita di accordi duraturi per la condivisione di dati personali con paesi terzi ai fini dell’applicazione della legge, che rispettino pienamente i trattati dell’UE e la Carta dei diritti fondamentali. Le autorità di contrasto, anche quando indagano su casi nazionali, si trovano sempre più spesso coinvolte in «situazioni transfrontaliere», perché le informazioni sono conservate elettronicamente in un paese terzo. Il volume crescente di richieste e la volatilità delle informazioni digitali mettono a dura prova i modelli di cooperazione esistenti, quali i trattati di mutua assistenza giudiziaria. Il GEPD comprende che le autorità affrontano una corsa contro il tempo per reperire i dati necessari alle loro indagini e sostiene gli sforzi profusi per elaborare nuovi modelli di cooperazione, anche nell’ambito della cooperazione con i paesi terzi.

Il presente parere è volto a fornire un’opinione costruttiva e oggettiva alle istituzioni dell’UE, poiché il Consiglio deve emettere le proprie direttive prima dell’inizio di questo compito delicato, con ampie ramificazioni. Il GEPD evidenzia la necessità di assicurare il pieno rispetto dei diritti fondamentali, inclusi quelli legati alla tutela della vita privata e alla protezione dei dati personali. Sebbene il GEPD riconosca che non sia possibile riprodurre integralmente la terminologia e le definizioni del diritto dell’UE in un accordo con paesi terzi, le garanzie per le singole persone devono essere chiare ed efficaci al fine di rispettare pienamente il diritto primario dell’UE. Negli ultimi anni la Corte di giustizia dell’Unione europea ha affermato i principi relativi alla protezione dei dati, fra cui l’imparzialità, la precisione e la pertinenza delle informazioni, il controllo indipendente e i diritti individuali dei singoli. Questi principi si applicano sia agli enti pubblici sia alle società private e assumono ancora più importanza se si considera la sensibilità dei dati richiesti ai fini di indagini penali.

Molte delle garanzie già previste sono ben accette, ma dovrebbero essere rafforzate. Il GEPD ha individuato tre principali miglioramenti che raccomanda di apportare alle direttive di negoziato, al fine di assicurare la conformità con la Carta e con l’articolo 16 TFUE:

— garantire la natura obbligatoria del protocollo previsto;

— includere garanzie dettagliate, tra cui il principio di limitazione delle finalità, dato che non tutti i diversi firmatari potenziali sono parti della Convenzione 108 o hanno concluso un accordo equivalente all’accordo quadro tra UE e Stati Uniti;

— opporsi a qualsiasi disposizione sull’accesso diretto ai dati.

Inoltre, il parere offre ulteriori raccomandazioni per apportare miglioramenti e chiarimenti alle direttive di negoziato. Il GEPD resta a disposizione delle istituzioni per ulteriore assistenza nel corso dei negoziati e prima della conclusione del protocollo.

1. INTRODUZIONE E CONTESTO

1. Il 17 aprile 2018 la Commissione ha emanato un pacchetto di due proposte legislative: una proposta per un regolamento relativo agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale ( 1 ) (di seguito «proposte riguardanti le prove elettroniche») e una proposta per una direttiva recante norme armonizzate sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove nei procedimenti penali ( 2 ) . Mentre i negoziati con il Parlamento europeo sono ancora in corso, il Consiglio dell’Unione europea (il Consiglio) ha convenuto un orientamento generale in merito alle due proposte ( 3 )

2. Il 5 febbraio 2019 la Commissione ha adottato due raccomandazioni di decisioni del Consiglio: una raccomandazione che autorizza l’avvio di negoziati in vista di un accordo internazionale tra l’Unione europea (UE) e gli Stati Uniti d’America (USA) sull’accesso transfrontaliero alle prove elettroniche per la cooperazione giudiziaria in materia penale ( 4 ) e una raccomandazione che autorizza la partecipazione della Commissione, a nome dell’UE, ai negoziati su un secondo protocollo addizionale alla Convenzione del Consiglio d’Europa sulla criminalità informatica (STCE n. 185) (di seguito «la raccomandazione») ( 5 ) . La prima raccomandazione è oggetto di un parere distinto del GEPD ( 6 ) . Tuttavia, il Garante europeo della protezione dei dati (GEPD) ritiene che entrambi i negoziati con gli Stati Uniti e al Consiglio d’Europa siano strettamente connessi.

3. La raccomandazione è stata adottata in base alla procedura stabilita all’articolo 218 del trattato sul funzionamento dell’Unione europea (TFUE) per gli accordi conclusi tra l’UE e i paesi terzi. Mediante questa raccomandazione la Commissione aspira a ottenere l’autorizzazione del Consiglio per essere nominata come negoziatore a nome dell’Unione europea per il secondo protocollo addizionale alla Convenzione di Budapest sulla criminalità informatica (STCE n. 185) ( 7 ) conformemente alle direttive di negoziato allegate alla raccomandazione. L’allegato alla raccomandazione (di seguito «l’allegato») è di fondamentale importanza, poiché stabilisce le direttive che il Consiglio raccomanda alla Commissione per negoziare il protocollo a nome dell’UE. Una volta portati a termine i negoziati, al fine di concludere tale accordo, il Parlamento europeo dovrà esprimere il proprio consenso al testo dell’accordo negoziato, dopodiché il Consiglio dovrà adottare la decisione di conclusione dell’accordo. Il GEPD si attende di essere consultato in merito al testo della proposta di accordo, al momento opportuno, in conformità dell’articolo 42, paragrafo 1, del regolamento (UE) n. 2018/1725.

4. Il GEPD si compiace del fatto di essere stato consultato in seguito all’adozione della raccomandazione della Commissione europea ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) n. 2018/1725. Il GEPD apprezza inoltre il riferimento al presente parere al considerando 8 della raccomandazione. Il GEPD desidera evidenziare che questo parere non pregiudica eventuali altre osservazioni che potrebbe formulare sulla base di ulteriori informazioni disponibili, delle disposizioni del progetto di protocollo durante i negoziati e degli sviluppi legislativi nei paesi terzi.

5. CONCLUSIONI

58. Il GEPD riconosce che le autorità di contrasto hanno l’esigenza di assicurare e ottenere prove elettroniche in modo rapido ed efficace. Il GEPD è favorevole all’uso di approcci innovativi per ottenere l’accesso transfrontaliero alle prove elettroniche e trovare una risposta dell’UE alle problematiche esistenti in questo contesto. Un secondo protocollo addizionale da negoziarsi a livello dell’UE sarebbe più idoneo a preservare il livello di protezione garantito dal quadro dell’UE in materia di protezione dei dati e a garantire un livello uniforme di protezione in tutta l’UE rispetto a singoli accordi conclusi bilateralmente dagli Stati membri. Pertanto, il presente parere è volto a fornire un’opinione costruttiva e oggettiva alle istituzioni dell’UE mentre la Commissione cerca di ottenere l’autorizzazione del Consiglio a partecipare ai negoziati in vista del protocollo in questione.

59. Il GEPD si compiace del fatto che il mandato miri a garantire che il protocollo contenga garanzie adeguate per la protezione dei dati.

60. Il GEPD ha formulato tre raccomandazioni principali per garantire la conformità del protocollo previsto con la Carta e con l’articolo 16 TFUE. Il GEPD raccomanda che le direttive di negoziato siano tese a: — garantire la natura obbligatoria del protocollo previsto; — includere garanzie dettagliate, tra cui il principio di limitazione delle finalità, dato che non tutti i diversi firmatari potenziali sono parti della Convenzione 108 o hanno concluso un accordo equivalente all’accordo quadro tra UE e USA; — opporsi a qualsiasi disposizione sull’accesso diretto ai dati.

61. Oltre a queste raccomandazioni generali, le raccomandazioni e le osservazioni formulate dal GEPD nel presente parere riguardano i seguenti aspetti specifici: — la base giuridica della decisione del Consiglio; — i trasferimenti successivi da parte delle autorità competenti dei paesi terzi; — i diritti degli interessati, in particolare il diritto all’informazione e il diritto di accesso; — il controllo da parte di una autorità indipendente; — il ricorso giurisdizionale e amministrativo; — i reati disciplinati dal protocollo previsto e le categorie di dati personali; — le garanzie specifiche per garantire un livello adeguato di sicurezza dei dati trasferiti; — le garanzie specifiche per i dati protetti da privilegi e immunità; — la mutua assistenza d’emergenza; — nel caso di una cooperazione diretta, il trasferimento dei dati personali, la definizione e le tipologie di dati, il coinvolgimento di altre autorità, la facoltà da parte dei prestatori di servizi a cui è stato notificato un ordine di fornire prove elettroniche di opporsi sulla base di specifiche motivazioni; — la possibilità di sospendere il protocollo nei casi di violazione delle sue disposizioni e rivederlo.

62. Infine, il GEPD resta a disposizione della Commissione, del Consiglio e del Parlamento europeo per fornire ulteriore assistenza nelle prossime fasi di questo processo. Le osservazioni nel presente parere non pregiudicano eventuali osservazioni aggiuntive che il GEPD potrebbe formulare qualora sorgano altre questioni e che sarebbero quindi affrontate non appena disponibili ulteriori informazioni. Il GEPD si attende di essere consultato successivamente in merito alle disposizioni del progetto di protocollo prima del suo completamento.

Bruxelles, il 2 aprile 2019 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) Proposta di regolamento del Parlamento europeo e del Consiglio relativo agli ordini europei di produzione e di conservazione di prove elettroniche in materia penale, COM(2018) 225 final.

(2) Proposta di direttiva del Parlamento europeo e del Consiglio recante norme armonizzate sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove nei procedimenti penali, COM(2018) 226 final.

(3) L’orientamento generale sulla proposta di regolamento, adottato dal Consiglio il 7 dicembre 2018, è disponibile sul sito https://www.consilium.europa.eu/it/press/press-releases/2018/12/07/regulation-on-cross-border-access-to-e-evidence-council-agrees-its-position/#. L’orientamento generale sulla proposta di regolamento, adottato dal Consiglio l’8 marzo 2018, è disponibile sul sito https://www.consilium.europa.eu/it/press/press-releases/2019/03/08/e-evidence-package-council-agrees-its-position-on-rules-to-appoint-legal-representatives-for-the-gathering-of-evidence/

(4) Raccomandazione di decisione del Consiglio che autorizza l’avvio di negoziati in vista di un accordo tra l’Unione europea e gli Stati Uniti d’America sull’accesso transfrontaliero alle prove elettroniche per la cooperazione giudiziaria in materia penale, COM(2019) 70 final.

(5) Raccomandazione di decisione del Consiglio che autorizza la partecipazione ai negoziati su un secondo protocollo addizionale alla Convenzione del Consiglio d’Europa sulla criminalità informatica (STCE n. 185), COM(2019) 71 final.

(6) Parere del GEPD 2/2019 sul mandato a negoziare un accordo tra UE e USA sull’accesso transfrontaliero alle prove elettroniche.

(7) Convenzione riguardante la cooperazione internazionale rafforzata sulla criminalità informatica e sulle prove elettroniche, Budapest, 23 novembre 2001, STCE n. 185.