CELEX: 52021PC0021
Language: it
Date: 2021-01-20
Title: Proposta di DIRETTIVA DEL PARLAMENTO EUROPEO E DEL CONSIGLIO che modifica la direttiva 2014/41/UE per quanto riguarda l'allineamento alle norme dell'UE in materia di protezione dei dati personali

COMMISSIONE EUROPEA
            Bruxelles, 20.1.2021
            COM(2021) 21 final
            2021/0009(COD)
            Proposta di
            DIRETTIVA DEL PARLAMENTO EUROPEO E DEL CONSIGLIO 
            che modifica la direttiva 2014/41/UE per quanto riguarda l'allineamento alle norme dell'UE in materia di protezione dei dati personali
            
               
         
         
            
               RELAZIONE
            
            
               1.CONTESTO DELLA PROPOSTA
            
            
               •Motivi e obiettivi della proposta
            
            
               La direttiva (UE) 2016/680
                  1
                (la "direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie") è entrata in vigore il 6 maggio 2016 e gli Stati membri hanno avuto tempo fino al 6 maggio 2018 per recepirla nel diritto nazionale. La direttiva, che ha abrogato e sostituito la decisione quadro 2008/977/GAI del Consiglio
                  2
               , è uno strumento molto più completo e generale per la protezione dei dati. È importante sottolineare che essa si applica al trattamento sia nazionale che transfrontaliero dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica (articolo 1, paragrafo 1).
            
            
               L'articolo 62, paragrafo 6, della direttiva prevede che, entro il 6 maggio 2019, la Commissione riesamini gli altri atti giuridici dell'UE che disciplinano il trattamento dei dati personali da parte delle autorità competenti a fini di contrasto, allo scopo di valutare la necessità di allinearli alla stessa direttiva e formulare, ove opportuno, proposte per modificarli in modo da garantire la coerenza nella protezione dei dati personali nell'ambito della direttiva.
            
            
               La Commissione ha presentato i risultati del riesame in una comunicazione del 24 giugno 2020 dal titolo Via da seguire per allineare l'acquis dell'ex terzo pilastro alla norme sulla protezione dei dati
                  3
               , nella quale indica dieci atti giuridici da allineare alla direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie e il relativo calendario. La direttiva 2014/41/UE del Parlamento europeo e del Consiglio, del 3 aprile 2014, relativa all'ordine europeo di indagine penale
                  4
                figura in questo elenco. La Commissione ha annunciato che avrebbe presentato modifiche mirate della direttiva nell'ultimo trimestre del 2020; è questo lo scopo della presente proposta.
            
            
               
                  La presente iniziativa non fa parte del programma di controllo dell'adeguatezza e dell'efficienza normativa (REFIT).
               
            
            
               •Coerenza con le disposizioni vigenti nel settore normativo interessato
            
            
               La proposta si prefigge di allineare le norme sulla protezione dei dati della direttiva 2014/41/UE ai principi e alle norme stabiliti dalla direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie al fine di fornire un quadro di protezione dei dati solido e coerente nell'Unione.
            
            
               •Coerenza con le altre normative dell'Unione
            
            
               
                  n.a.
               
            
            
               2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ
            
            
               •Base giuridica
            
            
               La presente proposta si fonda sull'articolo 16, paragrafo 2, del trattato sul funzionamento dell'Unione europea ("TFUE"). 
            
            
               L'atto originario era basato sull'ex articolo 34, paragrafo 2, lettera b), del precedente trattato sull'Unione europea, che corrisponde piuttosto all'articolo 82, paragrafo 1, TFUE. Tuttavia, sia l'obiettivo che il contenuto della proposta di modifica si limitano chiaramente alla protezione dei dati personali.
            
            
               
                  A tale riguardo, l'articolo 16, paragrafo 2, TFUE costituisce la base giuridica più 
                     appropriata. Esso consente l'adozione di norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte degli Stati membri nell'esercizio di attività ai sensi del diritto dell'Unione, e di norme relative alla libera circolazione di tali dati.
               
               
                  A norma dell'articolo 2 bis del protocollo n. 22, la Danimarca non è vincolata dalle norme stabilite in base all'articolo 16 del trattato sul funzionamento dell'Unione europea che riguardano il trattamento dei dati personali da parte degli Stati membri nell'esercizio di attività che rientrano nell'ambito di applicazione dei capi 4 o 5 della parte terza, titolo V di detto trattato. Lo stesso vale per l'Irlanda ai sensi dell'articolo 6 bis del protocollo n. 21.
               
            
            
                •Sussidiarietà (per la competenza non esclusiva)
            
            
               
                  Solo l'Unione può adottare un atto legislativo che modifica la direttiva 2014/41/UE.
               
            
         
         
            
               •Proporzionalità
            
            
               
                  La presente proposta si limita a quanto necessario per allineare la direttiva 2014/41/UE alla legislazione dell'Unione in materia di protezione di dati personali (in particolare la direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie), senza modificare in alcun modo l'ambito di applicazione della direttiva. La presente proposta si limita a quanto necessario per conseguire tali obiettivi, in conformità dell'articolo 5, paragrafo 4, del trattato sull'Unione europea.
               
            
            
               •Scelta dello strumento
            
            
               
                  Per modificare la direttiva 2014/41/UE, lo strumento più appropriato è una direttiva.
               
            
            
               3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D'IMPATTO
            
            
               •Valutazioni ex post / Vaglio di adeguatezza della legislazione vigente
            
            
               La presente proposta fa seguito ai risultati del riesame effettuato dalla Commissione a norma dell'articolo 62, paragrafo 6, della direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie, come illustrato nella comunicazione dal titolo Via da seguire per allineare l'acquis dell'ex terzo pilastro alle norme sulla protezione dei dati nella quale sono elencati i punti sui quali è necessario un allineamento. In particolare, individua la necessità di chiarire che qualsiasi trattamento di dati personali ai sensi della direttiva 2014/41/UE è soggetto alla direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie o al regolamento (UE) n. 2016/679
                  5
                (regolamento generale sulla protezione dei dati), a seconda che si svolga nell'ambito di procedimenti penali o non penali. L'allineamento dovrebbe chiarire che i dati ottenuti a norma della direttiva 2014/41/UE possono essere trattati per finalità diverse da quelle per le quali sono raccolti solo alle condizioni stabilite nella direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie (articolo 4, paragrafo 2, o articolo 9, paragrafo 1) o nel regolamento generale sulla protezione dei dati (articolo 6).
            
            
               
                  Proponendo la soppressione dell'articolo 20 della direttiva 2014/41/UE, la presente proposta si limita a quanto necessario per affrontare i punti di cui sopra.
               
            
            
                •Consultazioni dei portatori di interessi
            
            
               
                  n.a.
               
            
            
               •Assunzione e uso di perizie
            
            
               
                  Nel suo riesame la Commissione ha tenuto conto di uno studio realizzato nell'ambito del progetto pilota sull'esame degli strumenti e dei programmi di raccolta dei dati dell'Unione europea sotto il profilo dei diritti fondamentali
                     6
                  . Lo studio ha realizzato una mappatura degli atti dell'Unione cui fa riferimento l'articolo 62, paragrafo 6, della direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie e ha individuato disposizioni per le quali può essere necessario un allineamento sulle questioni concernenti la protezione dei dati.
               
            
            
               •Valutazione d'impatto
            
            
               L'impatto della presente proposta è limitato al trattamento dei dati personali da parte delle autorità competenti nei casi specifici disciplinati dalla direttiva 2014/41/UE. L'impatto dei nuovi obblighi derivanti dalla direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie è stato valutato nel contesto dei lavori preparatori della stessa direttiva. Non è pertanto necessaria una valutazione d'impatto specifica per la presente proposta.
            
            
                •Efficienza normativa e semplificazione
            
            
               
                  n.a.
               
            
            
                •Diritti fondamentali
            
            
               Il diritto alla protezione dei dati personali è sancito dall'articolo 8 della Carta dei diritti fondamentali dell'Unione europea ("Carta") e dall'articolo 16 TFUE. Come sottolinea la Corte di giustizia dell'Unione europea
                  7
               , il diritto alla protezione dei dati personali non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale
                  8
               . La protezione dei dati è strettamente legata anche al rispetto della vita privata e familiare tutelato dall'articolo 7 della Carta.
            
            
               La presente proposta garantisce che qualsiasi trattamento di dati personali a norma della direttiva 2014/41/UE sia soggetto ai principi e alle norme "orizzontali" della legislazione dell'UE in materia di protezione dei dati, attuando così ulteriormente l'articolo 8 della Carta. Tale legislazione mira a garantire un elevato livello di protezione dei dati personali e a precisare che i principi e le norme della direttiva 2016/680 che si applicano al trattamento dei dati in virtù della direttiva 2014/41/UE avranno un impatto positivo per quanto riguarda i diritti fondamentali al rispetto della vita privata e alla protezione dei dati.
            
            
               4.INCIDENZA SUL BILANCIO
            
         
         
            
               
                  n.a.
               
            
            
               5.ALTRI ELEMENTI
            
            
               •Piani attuativi e modalità di monitoraggio, valutazione e informazione
            
            
               
                  n.a.
               
            
            
               •Documenti esplicativi (per le direttive)
            
            
               
                  La presente proposta non richiede documenti esplicativi sul recepimento, in quanto comporta la soppressione di un articolo della direttiva 2014/41/UE.
               
            
            
               •Illustrazione dettagliata delle singole disposizioni della proposta
            
            
               
                  L'articolo 1 sopprime l'articolo 20 della direttiva 2014/41/UE. In tal modo, la presente proposta si limita a quanto necessario per trattare i punti di cui sopra. L'articolo 20 dispone che il trattamento dei dati personali ai sensi della direttiva deve essere conforme alla decisione quadro 2008/977/GAI del Consiglio e ai principi della convenzione del Consiglio d'Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale, del 28 gennaio 1981, e relativo protocollo addizionale.
               
               
                  La direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie ha abrogato la decisione quadro con effetto dal 6 maggio 2018. Ai sensi del suo articolo 59, i riferimenti alla decisione quadro si intendono fatti alla direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie.
               
               
                  Ai sensi dell'articolo 2, paragrafo 1, la direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie si applica al trattamento dei dati personali da parte delle autorità competenti per le finalità di cui all'articolo 1, paragrafo 1, vale a dire prevenire, indagare, accertare o perseguire reati o eseguire sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica. Tuttavia, la direttiva 2014/41/UE si applica anche a determinati tipi di procedimenti non penali, disciplinati dal regolamento generale sulla protezione dei dati.
               
               
                  Il fatto che l'articolo 20 della direttiva 2014/41/UE faccia riferimento alla decisione quadro potrebbe generare confusione quanto alla questione se la direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie si applichi anche al trattamento dei dati personali relativi agli ordini europei di indagine nell'ambito di procedimenti non penali (che non rientrano nell'ambito di applicazione di quest'ultima direttiva). La soppressione dell'articolo 20 è sufficiente per porre rimedio a questa situazione. La direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie continua ad applicarsi al trattamento dei dati personali ai sensi della direttiva 2014/41/UE nel proprio ambito di applicazione.
               
               
                  Poiché la direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie e il regolamento generale sulla protezione dei dati (ciascuno rispetto al proprio ambito di applicazione) si applicano al trattamento dei dati personali ai sensi della direttiva 2014/41/UE, il trattamento di tali dati per finalità diverse da quelle per le quali sono raccolti è effettuato conformemente alla direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie (articolo 4, paragrafo 2, e articolo 9, paragrafo 1) o al regolamento generale sulla protezione dei dati (articolo 6, paragrafo 4). A tal fine non è necessaria alcuna nuova disposizione.
               
               
                  L'articolo 20 della direttiva 2014/41/UE dispone inoltre che l'accesso ai dati personali sia limitato, fatti salvi i diritti dell'interessato, e che solo le persone autorizzate abbiano accesso a tali dati. La direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie e il regolamento generale sulla protezione dei dati istituiscono un quadro completo sui diritti degli interessati e sugli obblighi del titolare del trattamento, anche per quanto riguarda la protezione dei dati fin dalla progettazione e per impostazione predefinita nonché la sicurezza del trattamento. Il paragrafo 2 dell'articolo 20 è pertanto superfluo.
               
               
                  Poiché la direttiva 2014/41/UE non contiene norme specifiche in materia di protezione dei dati, non sono necessarie ulteriori modifiche connesse alla protezione dei dati.
               
               
                  L'articolo 2 fissa il termine per il recepimento della nuova direttiva proposta.
               
               
                  L'articolo 3 fissa la data di entrata in vigore della direttiva.
               
               
                  L'articolo 4 stabilisce che gli Stati membri sono i destinatari della direttiva.
               
            
            
               2021/0009 (COD)
            
            
               Proposta di
            
            
               DIRETTIVA DEL PARLAMENTO EUROPEO E DEL CONSIGLIO
            
         
         
            
               che modifica la direttiva 2014/41/UE per quanto riguarda l'allineamento alle norme dell'UE in materia di protezione dei dati personali
            
            
               IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA,
            
            
               visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 16, paragrafo 2,
            
            
               vista la proposta della Commissione europea,
            
            
               previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,
            
            
               deliberando secondo la procedura legislativa ordinaria,
            
            
               considerando quanto segue:
            
            
               (1)Ai sensi dell'articolo 62, paragrafo 6, della direttiva (UE) 2016/680
                  9
               , la Commissione è tenuta a riesaminare gli altri atti giuridici adottati dall'Unione che disciplinano il trattamento dei dati personali da parte delle autorità competenti per le finalità di cui all'articolo 1, paragrafo 1, di detta direttiva, al fine di valutare la necessità di allinearli alla direttiva e formulare, ove opportuno, le proposte necessarie per modificarli in modo da garantire un approccio coerente alla protezione dei dati personali nell'ambito della direttiva. A seguito di tale riesame la direttiva 2014/41/UE
                  10
                è stata individuata come uno degli altri atti da modificare.
            
            
               (2)Per garantire una protezione dei dati personali coerente ed efficace, il trattamento dei dati personali a norma della direttiva 2014/41/UE dovrebbe rispettare le norme stabilite dalla direttiva (UE) 2016/680, ove applicabile. Il regolamento (UE) 2016/679
                  11
                dovrebbe applicarsi al trattamento dei dati personali in relazione ai procedimenti di cui all'articolo 4, lettere b), c) e d), della direttiva 2014/41/UE, se non contemplati dalla direttiva (UE) 2016/680.
            
            
               (3)A norma degli articoli 1 e 2 e dell'articolo 4 bis, paragrafo 1, del protocollo n. 21 sulla posizione del Regno Unito e dell'Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al trattato sull'Unione europea e al trattato sul funzionamento dell'Unione europea, e fatto salvo l'articolo 4 di tale protocollo, l'Irlanda non partecipa all'adozione della presente direttiva, non è da essa vincolata né è soggetta alla sua applicazione.
            
            
               (4)A norma degli articoli 1 e 2 del protocollo n. 22 sulla posizione della Danimarca, allegato al trattato sull'Unione europea e al trattato sul funzionamento dell'Unione europea, la Danimarca non partecipa all'adozione della presente direttiva, non è da essa vincolata né è soggetta alla sua applicazione.
            
            
               (5)È opportuno pertanto modificare di conseguenza la direttiva 2014/41/UE.
            
            
               (6)Conformemente all'articolo 42, del regolamento (UE) 2018/1725
                  12
               , il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il XX XXXX
                  13
               ,
            
            
               HANNO ADOTTATO LA PRESENTE DIRETTIVA:
            
            
               Articolo 1
            
            
               Modifiche della direttiva 2014/41/UE
            
            
               L'articolo 20 della direttiva 2014/41/UE è soppresso.
            
            
               Articolo 2
            
            
               1.Gli Stati membri mettono in vigore le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla presente direttiva entro [un anno dall'adozione]. Essi comunicano immediatamente alla Commissione il testo di tali disposizioni.
            
            
               Le disposizioni adottate dagli Stati membri contengono un riferimento alla presente direttiva o sono corredate di tale riferimento all'atto della pubblicazione ufficiale. Le modalità del riferimento sono stabilite dagli Stati membri.
            
         
         
            
               2.Gli Stati membri comunicano alla Commissione il testo delle disposizioni principali di diritto interno che adottano nel settore disciplinato dalla presente direttiva.
            
            
               Articolo 3
            
            
               La presente direttiva entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.
            
            
               Articolo 4
            
            
               Gli Stati membri sono destinatari della presente direttiva conformemente ai trattati.
            
            
               Fatto a Bruxelles, il
            
            
               
                  Per il Parlamento europeo
                        Per il Consiglio
               
               
                  Il presidente
                        Il presidente
               
            
         
         
            
                  
                     (1)
                  
                        Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU L 119 del 4.5.2016, pag. 89).
               
               
                  
                     (2)
                  
                        Decisione quadro 2008/977/GAI del Consiglio, del 27 novembre 2008, sulla protezione dei dati personali trattati nell'ambito della cooperazione giudiziaria e di polizia in materia penale (GU L 350 del 30.12.2008, pag. 60).
               
               
                  
                     (3)
                  
                        COM(2020) 262 final.
               
               
                  
                     (4)
                  
                        GU L 130 dell'1.5.2014, pag. 1.
               
               
                  
                     (5)
                  
                        Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).
               
               
                  
                     (6)
                  
                  
                        Il progetto pilota è stato richiesto dal Parlamento europeo, gestito dalla Commissione ed eseguito da un appaltatore (gruppo di esperti indipendenti). La Commissione ha selezionato l’appaltatore sulla base dei criteri definiti dal Parlamento. I documenti consegnati come risultato del progetto rispecchiano le opinioni e i pareri del solo appaltatore; la Commissione non può essere ritenuta responsabile dell’uso che viene fatto delle informazioni ivi contenute. I risultati sono pubblicati all'indirizzo
                           
                     http://www.fondazionebrodolini.it/en/projects/pilot-project-fundamental-rights-review-eu-data-collectioninstruments-and-programmes
                      
                  
               
               
                  
                     (7)
                  
                  
                        Cfr. sentenza della Corte di giustizia del 9 novembre 2010, Volker und Markus Schecke e Eifer, cause riunite C-92/09 e C-93/09, ECLI:EU:C:2009:284, punto 48.
                  
               
               
                  
                     (8)
                  
                  
                        Conformemente all’articolo 52, paragrafo 1, della Carta, possono essere apportate limitazioni all’esercizio del diritto alla protezione dei dati purché esse siano previste dalla legge, rispettino il contenuto essenziale dei diritti e delle libertà e, in ottemperanza al principio di proporzionalità, siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui.
                  
               
               
                  
                     (9)
                  
                        Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU L 119 del 4.5.2016, pag. 89).
               
               
                  
                     (10)
                  
                        Direttiva 2014/41/UE del Parlamento europeo e del Consiglio, del 3 aprile 2014, relativa all'ordine europeo di indagine penale (GU L 130 dell'1.5.2014, pag. 1). 
               
               
                  
                     (11)
                  
                        Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).
               
               
                  
                     (12)
                  
                        Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39).