Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento sul rafforzamento della sicurezza delle carte d’identità dei cittadini dell’Unione e di altri documenti

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2018/C 338/12)

Il presente parere illustra la posizione del GEPD sulla proposta di regolamento del Parlamento europeo e del Consiglio sul rafforzamento della sicurezza delle carte d’identità dei cittadini dell’Unione e dei titoli di soggiorno rilasciati ai cittadini dell’Unione e ai loro familiari che esercitano il diritto di libera circolazione.

In questo contesto, il GEPD osserva che la Commissione ha chiaramente scelto di privilegiare gli aspetti della proposta relativi alla libera circolazione e di considerare l’obiettivo relativo alla sicurezza come corollario. Il GEPD rileva che ciò potrebbe avere un impatto sull’analisi della necessità della proporzionalità degli elementi della proposta.

Il GEPD condivide l’obiettivo della Commissione europea di rafforzare le norme di sicurezza applicabili alle carte d’identità e ai titoli di soggiorno, contribuendo così alla sicurezza dell’Unione nel suo insieme. Al contempo, il GEPD ritiene che la proposta non giustifichi sufficientemente la necessità di trattare due tipi di dati biometrici (immagine del volto e impronte digitali) in questo contesto, quando le finalità dichiarate potrebbero essere perseguite con un approccio meno invasivo.

Nel quadro giuridico dell’UE e della Convenzione 108 aggiornata i dati biometrici sono considerati dati sensibili e sono soggetti a tutela speciale. Il GEPD sottolinea che sia le immagini del volto, sia le impronte digitali, che sarebbero trattate a norma della proposta, rientrerebbero chiaramente in tale categoria di dati sensibili.

Inoltre, il GEPD ritiene che la proposta potrebbe coinvolgere in modo estensivo fino a 370 milioni di cittadini dell’UE, sottoponendo potenzialmente l’85 % della popolazione dell’UE all’obbligo del rilevamento delle impronte digitali. Tale ampio ambito di applicazione, congiuntamente ai dati molto sensibili trattati (immagini del volto in combinazione con le impronte digitali), richiede un attento esame basato su un rigoroso criterio di necessità.

Il GEPD riconosce altresì che, date le differenze tra passaporti e carte d’identità, l’introduzione per queste ultime di caratteristiche di sicurezza che possono essere considerate appropriate per i passaporti, non può essere effettuata automaticamente, ma richiede una riflessione e un’analisi approfondita.

Il GEPD desidera inoltre sottolineare che al trattamento in questione si applicherebbe l’articolo 35, paragrafo 10, del regolamento generale sulla protezione dei dati (in appresso «GDPR») (1). In tale contesto, il GEPD osserva che la valutazione d’impatto che accompagna la proposta non sembra sostenere l’opzione strategica scelta dalla Commissione, vale a dire, l’inclusione obbligatoria delle immagini del volto e di (due) impronte digitali nelle carte d’identità (e nei titoli di soggiorno). Di conseguenza, tale valutazione d’impatto non può essere considerata sufficiente ai fini dell’osservanza dell’articolo 35, paragrafo 10, GDPR. Pertanto, il GEPD raccomanda di riesaminare la necessità e la proporzionalità del trattamento dei dati biometrici (immagine del volto in combinazione con le impronte digitali) in questo contesto.

La proposta dovrebbe altresì prevedere esplicitamente salvaguardie contro l’istituzione, da parte degli Stati membri, di banche dati dattiloscopiche nazionali nel contesto dell’attuazione della proposta stessa. Alla proposta dovrebbe essere aggiunta una disposizione che stabilisca esplicitamente che i dati biometrici trattati nel suo contesto debbano essere cancellati immediatamente dopo il loro inserimento nel microprocessore e non possano essere ulteriormente trattati per finalità diverse da quelle esplicitamente indicate nella proposta.

Il GEPD comprende che l’utilizzo di dati biometrici possa essere considerato una misura antifrode legittima, ma la proposta non giustifica la necessità di conservare due tipi di dati biometrici per le finalità che prevede. Un’opzione da tenere in considerazione potrebbe essere quella di limitare ad uno solo i dati biometrici utilizzati (ad esempio, solo l’immagine del volto).

Inoltre, il GEPD desidera sottolineare che comprende che la conservazione delle immagini delle impronte digitali migliora l’interoperabilità, tuttavia, essa aumenta al tempo stesso la quantità di dati biometrici trattati e il rischio di usurpazione di identità in caso di violazione dei dati personali. Il GEPD raccomanda, pertanto, di limitare i dati sulle impronte digitali memorizzati nel microprocessore dei documenti, a minutiae o modelli, un sottoinsieme delle caratteristiche estratte dall’immagine dell’impronta digitale.

Infine, tenuto conto dell’ampia portata e dell’impatto potenziale della proposta sopra delineata, il GEPD raccomanda di fissare a 14 anni il limite di età per la raccolta delle impronte digitali dei minori ai sensi della proposta, in linea con altri strumenti del diritto dell’UE.

1. INTRODUZIONE E CONTESTO

1. Il 17 aprile 2018, la Commissione europea (in appresso «la Commissione») ha presentato la proposta di regolamento del Parlamento europeo e del Consiglio sul rafforzamento della sicurezza delle carte d’identità dei cittadini dell’Unione e dei titoli di soggiorno rilasciati ai cittadini dell’Unione e ai loro familiari che esercitano il diritto di libera circolazione ( 2 ) , che mira a migliorare gli elementi di sicurezza delle carte d’identità dei cittadini dell’UE e delle carte di soggiorno dei loro familiari che non sono cittadini dell’UE (in appresso «la proposta»).

2. Questa proposta di regolamento fa parte del piano d’azione del dicembre 2016 per «rafforzare la risposta europea alle frodi riscontrate nei documenti di viaggio» (in appresso «il piano d’azione del dicembre 2016») ( 3 ) , nel quale la Commissione ha proposto iniziative per affrontare il problema della sicurezza dei documenti, tra cui le carte d’identità e i titoli di soggiorno, nel contesto dei recenti attentati terroristici in Europa.

3. Le carte d’identità svolgono un ruolo importante per garantire l’identificazione di una persona a fini amministrativi e commerciali, come sottolineato dalla Commissione nella comunicazione adottata il 14 settembre 2016«Rafforzare la sicurezza in un mondo di mobilità: un migliore scambio di informazioni nella lotta al terrorismo e frontiere esterne più solide» ( 4 ) . La necessità di migliorare la sicurezza di questi documenti è stata sottolineata anche nella relazione 2017 sulla cittadinanza dell’Unione.

4. Parte della missione del GEPD consiste nel fornire consulenza ai servizi della Commissione nell’elaborazione di nuove proposte legislative con implicazioni in materia di protezione dei dati.

5. Il GEPD accoglie con favore il fatto di essere già stato consultato in modo informale dalla Commissione europea con riferimento al progetto di proposta e di avere avuto l’opportunità di fornire un contributo sugli aspetti relativi alla protezione dei dati.

7. CONCLUSIONI

Il GEPD osserva che la Commissione ha chiaramente scelto di privilegiare gli aspetti della proposta relativi alla libera circolazione e di considerare l’obiettivo relativo alla sicurezza come corollario. Il GEPD rileva che ciò potrebbe avere un impatto sull’analisi della necessità della proporzionalità degli elementi della proposta.

Il GEPD condivide l’obiettivo della Commissione europea di rafforzare le norme di sicurezza applicabili alle carte d’identità e ai titoli di soggiorno, contribuendo così alla sicurezza dell’Unione nel suo insieme. Al contempo, il GEPD ritiene che la proposta non giustifichi sufficientemente la necessità di trattare due tipi di dati biometrici (immagine del volto e impronte digitali) in questo contesto, quando le finalità dichiarate potrebbero essere perseguite con un approccio meno invasivo.

Nel quadro giuridico dell’UE e della convenzione 108 aggiornata i dati biometrici sono considerati dati sensibili e sono soggetti a tutela speciale. Il GEPD sottolinea che sia le immagini del volto, sia le impronte digitali, che sarebbero trattate a norma della proposta, rientrerebbero chiaramente in tale categoria di dati sensibili.

Il GEPD ritiene altresì che la proposta potrebbe coinvolgere in modo estensivo fino a 370 milioni di cittadini dell’UE, sottoponendo potenzialmente l’85 % della popolazione dell’UE all’obbligo del rilevamento delle impronte digitali. Tale ampio ambito di applicazione, congiuntamente ai dati molto sensibili trattati (immagini del volto in combinazione con le impronte digitali), richiede un attento esame basato su un rigoroso criterio di necessità.

Inoltre, il GEPD riconosce che, date le differenze tra carte d’identità e passaporti, l’introduzione, per le carte d’identità, di caratteristiche di sicurezza che possono essere considerate appropriate per i passaporti, non può essere effettuata automaticamente, ma richiede una riflessione e un’analisi approfondita.

Il GEPD desidera inoltre sottolineare che al trattamento in questione si applicherebbe l’articolo 35, paragrafo 10, del GDPR. In tale contesto, il GEPD osserva che la valutazione d’impatto che accompagna la proposta non sembra sostenere l’opzione strategica scelta dalla Commissione, vale a dire, l’inclusione obbligatoria delle immagini del volto e di (due) impronte digitali nelle carte d’identità (e nei titoli di soggiorno). Di conseguenza, tale valutazione di impatto non può essere considerata sufficiente ai fini dell’osservanza dell’articolo 35, paragrafo 10, GDPR. Pertanto, il GEPD raccomanda di riesaminare la necessità e la proporzionalità del trattamento dei dati biometrici (immagine del volto in combinazione con le impronte digitali) in questo contesto.

La proposta dovrebbe altresì prevedere esplicitamente salvaguardie contro l’istituzione, da parte degli Stati membri, di banche dati dattiloscopiche nazionali nel contesto dell’attuazione della proposta stessa. Alla proposta dovrebbe essere aggiunta una disposizione che stabilisca esplicitamente che i dati biometrici trattati nel suo contesto debbano essere cancellati immediatamente dopo il loro inserimento nel microprocessore e non possano essere ulteriormente trattati per finalità diverse da quelle esplicitamente indicate nella proposta.

Il GEPD comprende che l’utilizzo di dati biometrici possa essere considerato una misura antifrode legittima, ma la proposta non giustifica la necessità di conservare due tipi di dati biometrici per le finalità che prevede. Un’opzione da tenere in considerazione potrebbe essere quella di limitare ad uno solo i dati biometrici utilizzati (ad esempio, solo l’immagine del volto).

Inoltre, il GEPD desidera sottolineare che comprende che la conservazione delle immagini delle impronte digitali migliora l’interoperabilità, tuttavia, essa aumenta al tempo stesso la quantità di dati biometrici trattati e il rischio di usurpazione di identità in caso di violazione dei dati personali. Il GEPD raccomanda, pertanto, di limitare i dati sulle impronte digitali memorizzati nel microprocessore dei documenti, a minutiae o modelli, un sottoinsieme delle caratteristiche estratte dall’immagine dell’impronta digitale.

Infine, tenuto conto dell’ampia portata e dell’impatto potenziale della proposta sopra delineata, il GEPD raccomanda di fissare a 14 anni il limite di età per la raccolta delle impronte digitali dei minori ai sensi della proposta, in linea con altri strumenti del diritto dell’UE.

Fatto a Bruxelles, il 10 agosto 2018 Giovanni BUTTARELLI Garante europeo della protezione dei dati

(1) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), GU L 119 del 4.5.2016, pag. 1.

(2) Proposta di regolamento del Parlamento europeo e del Consiglio del 17 aprile 2018 sul rafforzamento della sicurezza delle carte d’identità dei cittadini dell’Unione e dei titoli di soggiorno rilasciati ai cittadini dell’Unione e ai loro familiari che esercitano il diritto di libera circolazione, COM(2018) 212 final, 2018/0104 (COD)

(3) Comunicazione della Commissione al Parlamento europeo e al Consiglio, dell’8 dicembre 2011: Piano d’azione per rafforzare la risposta europea alle frodi riscontrate nei documenti di viaggio, COM(2016) 790 final.

(4) Comunicazione della Commissione al Parlamento europeo, al Consiglio europeo e al Consiglio «Rafforzare la sicurezza in un mondo di mobilità: un migliore scambio di informazioni nella lotta al terrorismo e frontiere esterne più solide», COM(2016) 602 final.