Parere del garante europeo della protezione dei dati (GEPD) sulla proposta di decisone del Consiglio relativa all'accesso per la consultazione del sistema d'informazione visti (VIS) da parte delle autorit degli Stati membri competenti in materia di sicurezza interna e di Europol ai fini della prevenzione, dell'individuazione e dell'investigazione di atti terroristici e di altre grave forme di criminalit (COM(2005) 600 defin.) (Pubblicato sulla G.U.U.E. n. C 97 del 25.4.2006)
IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI, visto il trattato che istituisce la Comunit europea, in particolare l'articolo 286, vista la Carta dei diritti fondamentali dell'Unione europea, in particolare l'articolo 8, vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonch alla libera circolazione di tali dati, vista la richiesta di parere a norma dell'articolo 28, paragrafo 2 del regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonch la libera circolazione di tali dati, in particolare l'articolo 41, vista la richiesta, ricevuta il 29 novembre 2005 dalla Commissione, a norma dell'articolo 28, paragrafo 2 del regolamento (CE) n. 45/2001, HA ADOTTATO IL SEGUENTE PARERE: 1. INTRODUZIONE 1.1. Osservazioni preliminari La proposta di decisione del Consiglio relativa all'accesso per la consultazione del sistema d'informazione visti (VIS) da parte delle autorit degli Stati membri competenti in materia di sicurezza interna e di Europol ai fini della prevenzione, dell'individuazione e dell'investigazione di atti terroristici e di altre gravi forme di criminalit (di seguito: la proposta) stata trasmessa dalla Commissione al garante europeo della protezione dei dati (GEPD) con lettera del 24 novembre 2005. Per quest'ultimo la lettera rappresenta una richiesta di fornire alle istituzioni e agli organismi comunitari pareri come previsto nell'articolo 28, paragrafo 2 del regolamento (CE) n. 45/2001. Secondo il GEPD il presente parere dovrebbe essere citato nel preambolo della decisione. Il GEPD ritiene importante formulare un parere su questo argomento sensibile, in quanto la proposta in oggetto fa direttamente seguito all'istituzione del VIS, su cui il GEPD dovr esercitare un controllo e su cui ha formulato un parere il 23 marzo 2005 (1). In tale parere l'ipotesi di un accesso da parte delle autorit incaricate dell'applicazione della legge era gi stata presa in considerazione (cfr. in appresso); in termini di protezione dei dati la creazione di nuovi diritti di accesso al VIS ha un impatto determinante sul sistema. Pertanto la formulazione di un parere sulla presente proposta costituisce un seguito necessario al primo parere. 1.2. Importanza della proposta a) Contesto La presente proposta non solo importante di per s ma anche perch rientra nell'attuale tendenza ad accordare alle autorit incaricate dell'applicazione della legge l'accesso a vari sistemi d'informazione e d'identificazione su vasta scala. Di ci fa menzione, tra gli altri, la comunicazione della Commissione, del 24 novembre 2005, concernente il miglioramento dell'efficienza e l'incremento dell'interoperabilit e delle sinergie tra le banche dati europee nel settore della giustizia e degli affari interni (2), in particolare il punto 4.6: In merito all'obiettivo della lotta al terrorismo e contro la criminalit, il Consiglio ritiene attualmente un problema il fatto che le autorit competenti per la sicurezza interna non possano accedere ai dati VIS. Lo stesso vale per tutti i dati relativi all'immigrazione contenuti in SIS II e per i dati di EURODAC. Pertanto la presente proposta potrebbe essere considerata un precursore di strumenti giuridici analoghi sviluppati nel quadro di altre banche dati, ed cruciale definire, dall'inizio, i casi in cui tale accesso pu essere ammissibile. b) Impatto di un nuovo accesso al VIS Il GEPD riconosce certo che le autorit incaricate dell'applicazione della legge devono poter avvalersi dei migliori strumenti per individuare gli autori di atti terroristici o di altri gravi reati. E' altres consapevole che i dati VIS possono costituire, in determinate circostanze, una fonte essenziale di informazioni per tali autorit. Tuttavia, consentire alle autorit incaricate dell'applicazione della legge l'accesso alle banche di dati del primo pilastro, per quanto giustificato dalla lotta al terrorismo, ben lungi dall'essere un elemento privo di ripercussioni. Occorre tenere presente che il VIS un sistema d'informazione sviluppato in vista dell'attuazione della politica europea in materia di visti e non uno strumento per l'applicazione della legge. Un accesso su base sistematica costituirebbe realmente una grave violazione del principio di limitazione delle finalit e comporterebbe un'intrusione eccessiva nella vita privata dei viaggiatori che hanno acconsentito al trattamento dei loro dati per ottenere un visto e si attendono che tali dati siano raccolti, consultati e trasmessi per tale unica finalit. Poich i sistemi d'informazione sono creati con una finalit specifica, la quale determina le garanzie, la sicurezza e le condizioni di accesso, concedere l'accesso sistematico per finalit diverse da quelle originarie non solo violerebbe il principio di limitazione delle finalit, ma potrebbe anche rendere inadeguati o insufficienti gli elementi suindicati. Analogamente, un cambiamento cos significativo del sistema potrebbe invalidare i risultati dello studio di valutazione d'impatto (che ha esaminato solo l'utilizzo del sistema per le sua finalit originarie). Ci vale anche per i pareri delle autorit incaricate della protezione dei dati. Si potrebbe affermare che la nuova proposta altera le premesse delle analisi dell'ottemperanza effettuate da queste ultime. c) Rigorosa limitazione dell'accesso Sulla scorta delle osservazioni precedenti, il GEPD desidera sottolineare che l'accesso al VIS da parte delle autorit incaricate dell'applicazione della legge pu essere accordato solo in circostanze specifiche, da valutare caso per caso, e deve essere accompagnato da rigorose garanzie. In altri termini, la consultazione da parte delle autorit incaricate dell'applicazione della legge deve essere limitata a casi specifici attraverso mezzi tecnici e giuridici adeguati. Il GEPD ha gi sottolineato tutto ci nel suo parere sul VIS: Il GEPD consapevole del fatto che le strutture di contrasto sono interessate ad avere accesso al VIS; il 7 marzo 2005 il Consiglio ha adottato conclusioni in tal senso. Poich il VIS ha la finalit di migliorare la politica comune in materia di visti, va osservato che la concessione di un accesso sistematico alle strutture di contrasto sarebbe in contrasto con tale finalit. Bench ai sensi dell'articolo 13 della direttiva 95/46/CE l'accesso possa essere concesso su base ad hoc, in circostanze specifiche e fatte salve adeguate garanzie, un accesso sistematico non pu essere autorizzato.. In conclusione, i requisiti essenziali potrebbero essere cos sintetizzati: — L'accesso sistematico non pu essere accordato: la decisione deve garantire che si proceder sempre alla valutazione caso per caso della necessit e proporzionalit dell'accesso da parte delle autorit del terzo pilastro. Al riguardo indispensabile che lo strumento giuridico abbia una formulazione precisa, per non lasciare margini a un'interpretazione estensiva, che porterebbe a sua volta a un accesso sistematico. — Nei casi in cui l'accesso autorizzato, in considerazione del suo carattere sensibile devono essere adottate garanzie e condizioni adeguate che includano un regime globale di protezione dei dati utilizzati a livello nazionale. 1.3 Osservazioni iniziali Il GEPD riconosce che nello strumento proposto stata prestata grande attenzione alla protezione dei dati, in particolare limitando l'accesso a casi specifici e unicamente nel quadro della lotta contro gravi forme di criminalit (3). Tra gli altri elementi positivi il GEPD desidera inoltre menzionare specificamente: — la limitazione ad alcune forme di criminalit, quali indicate nella convenzione Europol; — l'obbligo degli Stati membri di redigere e pubblicare un elenco delle autorit che hanno accesso al sistema; — l'esistenza di un punto di accesso centrale per Stato membro (e di una unit specializzata nell'ambito dell' Europol), che consente un migliore filtraggio delle richieste di accesso e un migliore controllo; — le rigide norme in materia di ulteriore trasmissione dei dati, di cui all'articolo 8, paragrafo 5 della proposta; — l'obbligo degli Stati membri e dell'Europol di tenere un registro delle persone incaricate della consultazione dei dati. 2. ANALISI DELLA PROPOSTA 2.1. Osservazioni preliminari Per accordare l'accesso alle autorit in base al terzo pilastro, la proposta VIS principale, basata sul primo pilastro, dovrebbe contenere una clausola passerella che, essenzialmente, determini il possibile contenuto di uno strumento giuridico del terzo pilastro, quale la proposta in oggetto. Poich quando il GEPD ha formulato il suo parere sul VIS, tale clausola passerella non era ancora stata introdotta, il GEPD non ha potuto formulare osservazioni al riguardo. Pertanto tutte le osservazioni che seguono sono espresse con riserva quanto al contenuto della clausola passerella. 2.2. Finalit dell'accesso Per garantire una limitazione adeguata dell'accesso importante definire con precisione le condizioni di accesso al VIS. E' apprezzabile che oltre alla proposta di decisione vera e propria, la relazione e i considerando (cfr. in particolare il considerando 7) indichino a chiare lettere che si intende consentire l'accesso solo caso per caso. Riguardo all'articolo 5 della proposta si pu osservare, al fine di orientarne l'interpretazione, che esso limita la portata dell'accesso mediante condizioni sostanziali: b) l'accesso per la consultazione deve essere necessario ai fini della prevenzione, dell'individuazione e dell'investigazione di reati terroristici o di altre gravi forme di criminalit; c) l'accesso per la consultazione deve essere necessario nell'ambito di un caso particolare (...), e d) devono esistere fondati motivi, basati su indicazioni concrete, per ritenere che la consultazione dei dati VIS contribuir alla prevenzione, all'individuazione e all'investigazione di qualsiasi forma di criminalit in questione. Tali condizioni sono cumulative e la condizione di cui alla lettera b) costituisce prevalentemente una definizione del campo d'applicazione ratione materiae. In pratica, ci significa che l'autorit che desidera accedere al VIS deve essere confrontata a una grave forma di criminalit di cui alla lettera b) della proposta e occorre che vi sia un caso particolare di cui alla lettera c). Inoltre l'autorit, secondo quanto previsto alla lettera d), deve poter dimostrare che nel caso in questione la consultazione dei dati VIS contribuir alla prevenzione, all'individuazione o all'investigazione del reato. Anche con quest'interpretazione dell'articolo 5 il GEPD teme che la formulazione flessibile della lettera d): contribuir alla sia troppo ampia. Sono molti i casi in cui i dati VIS potrebbero contribuire alla prevenzione o all'investigazione di gravi forme di criminalit. Per giustificare un accesso ai dati VIS in deroga al principio della limitazione delle finalit, il GEPD ritiene che tale consultazione debba contribuire sostanzialmente alla prevenzione, all'individuazione o all'investigazione del reato grave in questione e suggerisce pertanto di modificare l'articolo 5 in tal senso. L'articolo 10 stabilisce che le registrazioni devono evidenziare lo scopo esatto dell'accesso. Lo scopo esatto dovrebbe comprendere elementi che rendono necessaria la consultazione del VIS nel senso indicato dall'articolo 5, lettera d). Questo contribuirebbe ad assicurare che, per tutte le consultazioni del VIS, si effettui un controllo della necessit, e a ridurre il rischio di accesso su base sistematica. 2.3. Chiavi di ricerca nella banca dati VIS L'articolo 5, paragrafi 2 e 3 prevede un accesso in due fasi ai dati VIS: solo se da una prima consultazione risulta che uno o pi dati sono registrati possibile accedere a un' ulteriore serie di dati. Questo, di per s, un approccio corretto. Tuttavia la prima serie di dati sembra molto ampia. In particolare ci si pu interrogare sulla pertinenza dei dati di cui all'articolo 5, paragrafo 2, lettere e) e i) per la consultazione della prima serie di dati: — Lo scopo del viaggio sembra essere un criterio di ricerca molto generico per consentire un'interrogazione efficace del sistema. Comporta inoltre il rischio che, sulla sua base, si ottenga il profilo dei viaggiatori. — Quanto alle fotografie, la possibilit di interrogare una banca dati cos ampia sulla base di fotografie limitata; questo tipo di ricerca, allo stadio attuale della tecnologia, produce un livello inaccettabile di risposte errate. Le conseguenze di un'identificazione errata possono essere molto gravi per la persona interessata. Pertanto il GEPD chiede che i dati di cui all'articolo 5, paragrafo 2, lettere e) e i) siano considerati informazioni supplementari, accessibili solo se dalla prima consultazione risulta che i dati sono gi registrati nel sistema, e siano trasferiti all'articolo 5, paragrafo 3. In alternativa, la possibilit di interrogare la banca dati sulla scorta di fotografie potrebbe essere sottoposta a una valutazione della tecnologia da parte del comitato consultivo e realizzata, solo quando la tecnologia sia considerata sufficientemente matura e affidabile. 2.4. Applicazione agli Stati membri cui non si applica il regolamento VIS L'accesso al VIS per consultazione pu avvenire da parte delle autorit competenti in materia di sicurezza interna degli Stati membri che non aderiscono al VIS. Esse devono effettuare la consultazione attraverso uno Stato che vi aderisce, nel rispetto delle condizioni stabilite all'articolo 5, paragrafo 1, lettere da b) a d) (ossia caso per caso) e presentare una richiesta scritta debitamente motivata. Il GEPD desidera sottolineare la necessit di imporre alcune condizioni al trattamento dei dati, al di l della consultazione. La disposizione applicabile agli Stati membri che aderiscono al VIS stabilisce che i dati ottenuti dal VIS devono essere trattati conformemente alla decisione quadro sulla protezione dei dati nell'ambito del terzo pilastro (cfr. in appresso). La medesima condizione dovrebbe valere per gli Stati membri cui non si applica il regolamento VIS ma che consultano i dati VIS. Il ragionamento valido anche per la registrazione dei dati ai fini di un successivo controllo. Pertanto il GEPD raccomanda che nell'articolo 6 della proposta sia aggiunto un paragrafo nel quale si stabilisca che gli articoli 8 e 10 della decisione si applicano altres agli Stati membri cui non si applica il regolamento VIS. 2.5. Regime di protezione dei dati a) Applicazione della decisione quadro sulla protezione dei dati nell'ambito del terzo pilastro Poich l'accesso da parte delle autorit competenti in materia di sicurezza interna rappresenta un'eccezione rispetto alle finalit del VIS, tale accesso dovrebbe essere soggetto a un rigoroso regime di protezione dei dati, che assicuri un livello elevato di protezione dei dati ottenuti dal VIS e trattati dalle autorit nazionali o dall' Europol. L'articolo 8 della proposta stabilisce che la decisione quadro del Consiglio sulla protezione dei dati personali trattati nell'ambito della cooperazione giudiziaria e di polizia in materia penale (di seguito la decisione quadro) si applica al trattamento dei dati personali a norma della decisione proposta. Per quanto concerne la protezione dei dati la presente proposta dovrebbe quindi essere considerata una lex specialis, che completa o specifica la lex generalis (ossia la decisione quadro). Ad esempio le disposizioni sull'ulteriore trasferimento di dati sono pi rigide nella presente proposta e dovrebbero essere seguite. Lo stesso dicasi per i motivi dell'accesso ai dati. b) Portata Il GEPD si compiace che il regime di protezione dei dati della decisione quadro si applichi a tutti i trattamenti dei dati personali previsti dalla proposta di decisione. Questo significa che il livello di protezione dei dati equivalente, a prescindere dalle autorit che consultano i dati VIS. Poich l'articolo 2 utilizza un criterio funzionale per definire tali autorit (le autorit degli Stati membri competenti in materia di prevenzione, individuazione e investigazione di reati terroristici e altre gravi forme di criminalit.), la definizione potrebbe includere i servizi di intelligence oltre alle autorit incaricate dell'applicazione della legge. I servizi di intelligence che consultano VIS sono pertanto, in linea di principio, soggetti agli stessi obblighi in termini di protezione dei dati, il che, ovviamente, un elemento positivo. Tuttavia, poich potrebbero sorgere dubbi su tale interpretazione riguardo all'applicabilit della decisione quadro ai servizi di intelligence che accedono a dati VIS, il GEPD suggerisce la seguente formulazione alternativa: Quando la decisione quadro () non appplicabile, gli Stati membri assicurano un livello di protezione dei dati almeno equivalente a quello garantito ai sensi della decisione quadro. c) Controllo Quanto alla formulazione dell'articolo 8, occorrerebbe chiarire che il paragrafo 1 riguarda il trattamento dei dati all'interno del territorio degli Stati membri. Poich i paragrafi 2 e 3 chiariscono il loro campo d'applicazione (trattamento dei dati da parte dell'Europol e della Commissione) andrebbe chiarito che il paragrafo 1 riguarda un'altra ipotesi. La ripartizione delle competenze in materia di controllo a seconda delle rispettive attivit degli attori costituisce un approccio corretto. Manca tuttavia un elemento: la necessit di un approccio coordinato nel controllo. Come gi indicato nel parere del GEDP sul VIS: Per quanto concerne il controllo del VIS, altres importante sottolineare che le attivit di controllo da parte delle autorit di controllo nazionali e del GEPD dovrebbero essere coordinate fino a un certo punto []. Infatti, sussiste l'esigenza di un'attuazione armonizzata del regolamento e di cooperazione verso un approccio generale dei problemi comuni. L'articolo 35 [della proposta VIS] dovrebbe pertanto contenere una disposizione in tal senso secondo cui il GEPD convoca, almeno una volta l'anno, una riunione con tutte le autorit di controllo nazionali. Ci vale altres per quest'uso specifico del sistema VIS (in questo caso anche con il coinvolgimento dell'autorit di controllo comune dell'Europol). Il controllo dovrebbe essere del tutto coerente con il controllo del VIS primo pilastro, in quanto si tratta dello stesso sistema. Inoltre le riunioni di coordinamento convocate dal GEPD, cui partecipano tutte le parti coinvolte nel controllo, costituiscono il modello scelto per il controllo di altri sistemi d'informazione su vasta scala, come Eurodac. Il GEPD riconosce che il coordinamento in qualche misura previsto nella proposta, la quale menziona il ruolo del futuro Gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall'articolo 31 della proposta di decisione quadro. Tuttavia va ribadito che il controllo in quanto tale non rientra tra i compiti di tale organo consultivo. Il GEPD suggerisce di aggiungere una disposizione nella quale si stabilisca che la riunione di coordinamento convocata dal GEPD nel quadro del controllo del VIS primo pilastro dovr essere competente anche in materia di dati elaborati ai sensi della presente proposta e che, a tale effetto, l'autorit di controllo comune dell'Europol dovrebbe essere rappresentata. 2.6. Autoverifica L'articolo 12 della proposta prevede sistemi di controllo del VIS. Il GEPD ritiene che tale controllo debba riguardare non solo gli aspetti connessi ai risultati, ai costi-benefici alla qualit del servizio ma anche il rispetto dei requisiti giuridici, soprattutto nel settore della protezione dei dati. L'articolo 12 dovrebbe essere modificato in tal senso. Per svolgere quest'autoverifica della legalit del trattamento dei dati, la Commissione dovrebbe potersi avvalere delle registrazioni di cui all'articolo 10 della proposta. Pertanto l'articolo 10 dovrebbe stabilire che tali registrazioni non sono conservate solo ai fini del controllo della protezione dei dati e per garantire la sicurezza di questi ultimi ma anche per procedere a un'autoverifica costante del VIS. Le relazioni di autoverifica faciliteranno i compiti di controllo del GEPD e di quanti esercitano il controllo, poich essi saranno in grado di scegliere meglio le aree prioritarie del controllo. 3. CONCLUSIONE Sulla scorta delle precedenti osservazioni, il GEPD sottolinea l'importanza cruciale di concedere l'accesso alle autorit competenti in materia di sicurezza interna e all'Europol solo caso per caso e con rigide garanzie. La proposta consente, in modo globalmente soddisfacente, di raggiungere questo obiettivo, bench possano essere introdotti alcuni miglioramenti, come proposto nel presente parere: — L'accesso al VIS ai sensi dell'articolo 5 dovrebbe essere subordinato alla condizione che la consultazione contribuisca sostanzialmente alla prevenzione, all'individuazione o all'investigazione di un reato grave; le registrazioni di cui all'articolo 10 dovrebbero inoltre consentire di valutare l'esistenza di tale condizione in ogni singolo caso. — Le due chiavi di ricerca per l'accesso al VIS di cui all'articolo 5, paragrafo 2, ossia scopo del viaggio e fotografie, dovrebbero essere riesaminate e essere disponibili come informazioni supplementari, dopo l'ottenimento di una prima serie di dati. — Il livello di protezione dei dati applicabile, al di l della consultazione, dovrebbe essere equivalente, a prescindere dalle autorit che consultano i dati VIS. Gli articoli 8 e 10 dovrebbero essere applicabili anche agli Stati membri cui non si applica il regolamento VIS. — Dovrebbe essere garantito un approccio coordinato in materia di controllo, anche in ordine all'accesso al VIS previsto nella proposta in oggetto. — Le disposizioni riguardanti i sistemi di controllo dovrebbero assicurare anche l'autoverifica del rispetto dei requisiti in materia di protezione dei dati. Fatto a Bruxelles, add 20 gennaio 2006 Peter HUSTINX Garante europeo della protezione dei dati
NOTE (2) COM(2005) 597 definitivo. (3) Coerente con le conclusioni del Consiglio del marzo e luglio 2005, nelle quali si chiede che l'accesso al VIS sia accordato alle autorit competenti in materia di sicurezza interna unicamente nel pieno rispetto delle normative sulla protezione dei dati personali.
|