[sommcomm]

Il relatore PESCO ( M5S ) si riserva di valutare in modo più approfondito la possibilità di utilizzare un termine diverso, in luogo di "equità", per esempio quello di "neutralità". Inoltre, ritiene opportuna una ulteriore riflessione sulla questione del riparto di competenze tra IVASS e Consob. Anticipa che formulerà un parere favorevole con condizioni. Il seguito dell'esame è quindi rinviato. (AG 8) Uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale Doc n. 8 Schema di decreto legislativo recante attuazione della direttiva (UE) 2016/681 sull'uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi (Parere alla Ministra per i rapporti con il Parlamento, ai sensi degli articoli 1 e 12 della legge 25 ottobre 2017, n. 163. Seguito e conclusione dell'esame. Parere favorevole con osservazioni) Prosegue l'esame, sospeso nella seduta antimeridiana del 3 maggio. Il relatore MISIANI ( PD ) illustra una proposta di parere favorevole con osservazioni, che tiene conto delle sollecitazioni pervenute dal Garante della privacy e dalle associazioni dei vettori. In primo luogo, segnala che lo schema di decreto legislativo opera numerosi rinvii al codice per la protezione dei dati personali, che prossimamente sarà abrogato, e invece non tiene conto del regolamento (UE) 2016/679 e di recepimento della direttiva (UE) 2016/680, che a breve entreranno in vigore. All'articolo 4, con riguardo all'utilizzo di un sistema informativo unitario come elemento di semplificazione degli adempimenti in carico ai vettori aerei, ritiene opportuno adottare misure tecniche e organizzative adeguate, al fine di garantire il rispetto dei principi di necessità, proporzionalità e finalità nel trattamento dei dati PNR e API. Si sofferma poi sull'articolo 10, relativo al periodo di conservazione dei dati PNR e trasformazione in forma anonima, ove si prevede che i dati siano resi anonimi mediante mascheramento di una serie di elementi che potrebbero servire a identificare direttamente gli interessati ai quali i dati PNR si riferiscono. Dal momento che il successivo comma 3 consente, dopo sei mesi dall'espletamento della procedura, la comunicazione dei dati PNR integrali a soggetti qualificati, appare più appropriato modificare la terminologia, utilizzando la nozione di "pseudonimizzazione" del dato, introdotta dal regolamento 2016/679/UE, in quanto il dato può considerarsi anonimo solo se in origine, o a seguito di trattamento, non può essere associato a un interessato identificato o identificabile. Con riferimento al trattamento dei dati API, ritiene necessaria una rivisitazione delle relative disposizioni, in coerenza con il sistema di garanzie previsto, in particolare dalla direttiva 2016/681/UE, a tutela della protezione dei dati personali. Riguardo all'articolo 22, sulla protezione dei dati personali, segnala la necessità di modificare la disposizione relativa alla tenuta per cinque anni di registri di raccolta, consultazione, comunicazione e cancellazione dei dati. Dal momento che anch'essi contengono dati personali degli interessati, sarebbe preferibile adottare preventive misure di sicurezza per ridurre al minimo i rischi di distruzione o perdita dei registri, di accesso non autorizzato o trattamento non conforme alle finalità previste. Pertanto, al comma 7 dell'articolo 22, dopo le parole "cancellazione dei dati" ritiene opportuno inserire le seguenti ", adottando misure di sicurezza tali da evitare il rischio di distruzione o di distruzione o perdita, anche accidentale, degli stessi, nonché di accesso non autorizzato ovvero di trattamento non consentito o non conforme alle finalità previste". Infine, richiama l'attenzione sul regime sanzionatorio, di cui all'articolo 24, che non appare coerente con i principi di proporzionalità e ragionevolezza, in quanto suscettibile di penalizzare eccessivamente i vettori, anche per mere irregolarità. Sarebbe opportuno chiarire l'ambito di applicazione della sanzione amministrativa pecuniaria "in caso di trasmissione di dati incompleti o errati", per evitare di sanzionare mere irregolarità non dipendenti dalla gestione dei vettori. Accertata la presenza del prescritto numero di senatori, la Commissione approva la proposta di parere favorevole con osservazioni avanzata dal relatore, pubblicata in allegato. (AG 10) Misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione Doc n. 10 Schema di decreto legislativo recante attuazione della direttiva (UE) 2016/1148 recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione (Parere alla Ministra per i rapporti con il Parlamento, ai sensi dell'articolo 1 della legge 25 ottobre 2017, n. 163. Seguito dell'esame e rinvio) Prosegue l'esame, sospeso nella seduta del 17 aprile. Il relatore PICHETTO FRATIN ( FI-BP ) anticipa che proporrà di esprimere un parere favorevole con osservazioni. Con riferimento all'articolo 8, riguardante l'istituzione dei gruppi di intervento per la sicurezza informatica in caso di incidente - CSIRT, segnala la necessità di fornire ulteriori chiarimenti circa la quantificazione dell'onere relativamente all'assunzione di quindici unità di personale, nonché con riguardo ai possibili profili di onerosità relativi al trattamento accessorio di cui godrà il personale posto in posizione di comando o fuori ruolo. Per quanto riguarda l'articolo 11, relativo alla rete di CSIRT, appare opportuno considerare, tra le voci di spesa che concorrono a determinare gli oneri di funzionamento del CSIRT italiano, anche quelle relative all'obbligo di fornire sostegno agli altri Stati membri, nel far fronte a incidenti transfrontalieri sulla base dell'assistenza reciproca volontaria. Con riguardo all'articolo 12, relativo agli obblighi in materia di sicurezza e notifica degli incidenti, ritiene necessario che siano forniti i dati e gli elementi informativi relativi alle attività da porre in essere e ai relativi costi, nonché alle risorse già disponibili, al fine di valutare l'asserita neutralità finanziaria della disposizione. Infine, con riferimento all'articolo 21, che prevede un articolato sistema di sanzioni amministrative, segnala l'opportunità di intervenire sull'entità degli importi, nel rispetto dei principi di proporzionalità e ragionevolezza. Il senatore CIOFFI ( M5S ) ribadisce l'opportunità di fissare il limite massimo delle sanzioni previste dall'articolo 21, in quanto appaiono irrisorie per le grandi aziende dell' information technology - cinque statunitensi e due cinesi - che hanno valori di capitalizzazione particolarmente elevati e che usufruiscono di condizioni fiscali più favorevoli. Per questo motivo, si potrebbe stabilire un valore percentuale in rapporto al cash flow, essendo difficili quantificare gli utili di queste società. Il senatore TOSATO ( L-SP ) ritiene indispensabile che i tecnici da assumere all'interno dei gruppi di intervento per la sicurezza informatica, in ragione della complessità e rilevanza del loro compito per la sicurezza del Paese, abbiano competenze specifiche ed esperienza nelle seguenti materie: data protection ; disaster recovery ; resilienza