Parere del Garante europeo della protezione dei dati sulla proposta di regolamento del Parlamento europeo e del Consiglio relativo alla tutela dei diritti di propriet intellettuale da parte delle autorit doganali (Pubblicato sulla GUUE n. C 363 del 13.12.2011)
IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI, visto il trattato sul funzionamento dellUnione europea, in particolare larticolo 16, vista la Carta dei diritti fondamentali dellUnione europea, in particolare gli articoli 7 e 8, vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonch alla libera circolazione di tali dati (1), visto il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonch la libera circolazione di tali dati (2), in particolare larticolo 28, paragrafo 2, HA ADOTTATO IL SEGUENTE PARERE:
1. INTRODUZIONE 1. Il 24 maggio 2011 la Commissione ha adottato una proposta di regolamento del Parlamento europeo e del Consiglio relativo alla tutela dei diritti di propriet intellettuale da parte delle autorit doganali (di seguito la proposta). 1.1. Consultazione del GEPD 2. La Commissione ha trasmesso la proposta al GEPD in data 27 maggio 2011. Il GEPD interpreta questa comunicazione come una richiesta di consultazione da parte delle istituzioni e degli organismi comunitari, in conformit dellarticolo 28, paragrafo 2 del regolamento (CE) n. 45/2001, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonch la libera circolazione di tali dati [di seguito il regolamento (CE) n. 45/2001]. In precedenza (3), prima delladozione della proposta, la Commissione aveva dato al GEPD la possibilit di formulare osservazioni informali. Il GEPD si compiace del processo che ha contribuito a migliorare il testo dal punto di vista della protezione dei dati in una fase iniziale. Alcune di tali osservazioni sono state prese in considerazione nella proposta. Il GEPD accoglie con favore il riferimento alla presente consultazione nel preambolo della proposta. 3. Il GEPD desidera tuttavia evidenziare alcuni elementi del testo che potrebbero essere ulteriormente migliorati dal punto di vista della protezione dei dati. 1.2. Contesto generale 4. La proposta stabilisce le condizioni e le procedure per lintervento delle autorit doganali quando merci sospettate di avere violato un diritto di propriet intellettuale sono, o avrebbero dovuto essere, soggette a vigilanza doganale nel territorio dellUnione europea. finalizzata ad apportare miglioramenti al quadro giuridico stabilito dal regolamento (CE) n. 1383/2003 (4), che sostituir. 5. In particolare, istituisce la procedura mediante cui i titolari di diritti possono presentare domanda per chiedere al servizio doganale di uno Stato membro di intervenire in tale Stato membro (domanda nazionale) o ai servizi doganali di pi di uno Stato membro di intervenire in ogni rispettivo Stato membro (domanda unionale). In tale contesto, intervenire significa sospendere lo svincolo delle merci od organizzarne il blocco da parte delle autorit doganali. La proposta stabilisce altres il processo tramite cui i servizi doganali competenti adottano una decisione sulla domanda, gli interventi che le autorit (o gli uffici) (5) doganali dovranno successivamente intraprendere (ad esempio sospensione dello svincolo, blocco o distruzione delle merci) nonch i diritti e gli obblighi connessi. 6. In tale contesto, il trattamento dei dati personali avviene in diversi modi: quando il titolare del diritto presenta la propria domanda allautorit doganale(6) (articolo 6), quando la domanda viene trasmessa alla Commissione (articolo 31), quando la decisione delle autorit doganali viene trasmessa ai vari uffici doganali competenti (articolo 13, paragrafo 1) e, in caso di domanda unionale, alle autorit doganali degli altri Stati membri (articolo 13, paragrafo 2). 7. Il trattamento dei dati personali previsto dalla proposta di regolamento non contempla solo i dati personali del titolare del diritto nellambito del trasferimento di domande e decisioni dai titolari dei diritti alle autorit doganali, tra gli Stati membri e tra gli Stati membri e la Commissione. A norma dellarticolo 18, paragrafo 3, ad esempio, le autorit doganali comunicano al destinatario della decisione, su richiesta di questi, il nome e lindirizzo del destinatario, dello speditore, del dichiarante o del detentore delle merci(7) nonch altre informazioni relative alle merci. Nel caso di specie, pertanto, vengono trattati e, su richiesta, trasmessi dallautorit doganale nazionale al titolare del diritto i dati personali di altri interessati (lo speditore, il destinatario e il detentore delle merci possono essere persone fisiche o giuridiche). 8. Bench non sia espressamente indicato nel testo della proposta, se si prende in considerazione il regolamento di attuazione (CE) n. 1891/2004 della Commissione(8) attualmente applicabile — contenente il modello di modulo per la domanda che deve essere utilizzato dai titolari dei diritti — sembra che le procedure stabilite dalla proposta includano anche il trattamento di dati su presunte violazioni di diritti di propriet intellettuale da parte di determinate persone o entit (9). Il GEPD sottolinea che le informazioni relative a sospetti di infrazioni sono ritenute dati sensibili per il cui trattamento sono necessarie garanzie specifiche [articolo 8, paragrafo 5, della direttiva 95/46/CE e articolo 10, paragrafo 5, del regolamento (CE) n. 45/2001]. 9. Inoltre, la Commissione responsabile per la conservazione delle domande di intervento dei titolari di diritti in una banca dati centrale (la cui denominazione dovrebbe essere COPIS) tuttora in fase di sviluppo. COPIS sar una piattaforma centralizzata di scambio di informazioni per le operazioni doganali riguardanti tutte le merci che violano i diritti di propriet intellettuale. Tutti gli scambi di dati su decisioni, documenti di accompagnamento e notifiche tra le autorit doganali degli Stati membri saranno effettuati tramite COPIS (articolo 31, paragrafo 3).
2. ANALISI DELLA PROPOSTA 2.1. Riferimento alla direttiva 95/46/CE 10. Il GEPD accoglie con favore il fatto che la proposta di regolamento indichi espressamente in un articolo di portata generale (articolo 32; considerando 21) la necessit che il trattamento dei dati personali sia svolto in conformit al regolamento (CE) n. 45/2001 da parte della Commissione, ed alla direttiva 95/46/CE, da parte delle autorit competenti degli Stati membri. 11. Questa disposizione riconosce inoltre espressamente il ruolo di controllo del GEPD rispetto al trattamento dei dati da parte della Commissione, previsto dal regolamento (CE) n. 45/2001. Il GEPD desidera evidenziare il riferimento errato di cui allarticolo 32 [...] e sotto la sorveglianza dellautorit indipendente dello Stato membro di cui allarticolo 28 della direttiva citata: il testo dovrebbe fare riferimento allarticolo 28 della direttiva 95/46/CE. 2.2. Atti di esecuzione 12. Ai sensi della proposta, alla Commissione conferito il potere di adottare atti di esecuzione al fine di elaborare il modulo per la domanda che deve essere presentata dai titolari dei diritti (articolo 6, paragrafo 3) (10). Tuttavia, larticolo contiene gi un elenco delle informazioni richieste che devono essere fornite dal richiedente, tra cui i dati personali del richiedente. Nel determinare il contenuto essenziale della domanda, larticolo 6, paragrafo 3, deve altres imporre alle autorit doganali lobbligo di fornire informazioni al richiedente e a ogni altro potenziale interessato (ad esempio allo speditore, al destinatario o al detentore delle merci) conformemente alle norme nazionali di attuazione dellarticolo 10 della direttiva 95/46/CE. Parallelamente, la domanda deve altres incorporare le analoghe informazioni che devono essere fornite allinteressato per il trattamento da parte della Commissione a norma dellarticolo 11 del regolamento (CE) n. 45/2001 (in vista delle operazioni di conservazione e trattamento dei dati nella banca dati COPIS). 13. Il GEPD raccomanda pertanto che larticolo 6, paragrafo 3, includa nellelenco delle informazioni da fornire al richiedente anche le informazioni da comunicare allinteressato a norma dellarticolo 10 della direttiva 95/46/CE e dellarticolo 11 del regolamento (CE) n. 45/2001. 14. Il GEPD chiede inoltre di essere consultato quando la Commissione eserciter il proprio potere esecutivo, al fine di garantire che i nuovi modelli di moduli per le domande (nazionali o unionali) siano rispettosi della protezione dei dati. 2.3. Qualit dei dati 15. Il GEPD accoglie con favore il fatto che larticolo 6, paragrafo 3, lettera l), introduca lobbligo per i richiedenti di trasmettere e aggiornare tutte le informazioni disponibili per consentire alle autorit doganali di analizzare e valutare il rischio di violazione dei diritti di propriet intellettuale. Questobbligo d attuazione a uno dei principi della qualit dei dati, conformemente al quale i dati personali devono essere esatti e, se necessario, aggiornati [articolo 6, lettera d), della direttiva 95/46/CE]. Il GEPD accoglie altres con favore il fatto che lo stesso principio venga attuato nellarticolo 11, paragrafo 3, il quale impone al destinatario della decisione di comunicare ai servizi doganali competenti che hanno preso la decisione le eventuali modifiche delle informazioni fornite nella domanda. 16. Gli articoli 10 e 11 riguardano il periodo di validit delle decisioni. Una decisione delle autorit doganali ha un periodo di validit limitato entro il quale le autorit doganali devono intervenire. Tale periodo pu essere prorogato. Il GEPD desidera sottolineare che la domanda presentata dal titolare dei diritti (e in particolare i dati personali in essa contenuti) non deve essere conservata o trattenuta dalle autorit doganali nazionali e nella banca dati COPIS oltre la data di scadenza della decisione. Tale principio deriva dallarticolo 4, paragrafo 1, lettera e), del regolamento (CE) n. 45/2001 e dal corrispondente articolo 6, paragrafo 1, lettera e), della direttiva 95/46/CE (11). 17. Il regolamento di attuazione attualmente in vigore (12) stabilisce (articolo 3, paragrafo 3) che i moduli devono essere conservati dalle autorit doganali per almeno un anno oltre la durata legale del formulario. Tale disposizione non sembra essere del tutto conforme ai principi sopra indicati. 18. Il GEPD suggerisce pertanto di inserire nella proposta una disposizione che imponga un limite alla conservazione dei dati personali collegata alla durata del periodo di validit delle decisioni. Eventuali proroghe della durata della data di conservazione devono essere evitate o, se giustificate, devono rispettare i principi di necessit e proporzionalit in relazione alla finalit, che deve essere chiarita. Linserimento nella proposta di una disposizione equamente applicabile in tutti gli Stati membri e alla Commissione garantirebbe semplificazione, certezza giuridica ed efficacia poich eviterebbe interpretazioni conflittuali. 19. Il GEPD accoglie con favore il fatto che larticolo 19 (Uso consentito delle informazioni da parte del destinatario della decisione) si riferisca chiaramente al principio di limitazione delle finalit, in quanto limita i fini per i quali il destinatario della decisione pu utilizzare, tra laltro, i dati personali dello speditore e del destinatario che gli sono stati forniti dalle autorit doganali a norma dellarticolo 18, paragrafo 3 (13). I dati possono essere utilizzati esclusivamente per avviare un procedimento al fine di stabilire leventuale violazione di diritti di propriet intellettuale del destinatario della decisione o per chiedere un risarcimento in caso di distruzione delle merci conformemente alla procedura prevista dalla proposta di regolamento e a norma del diritto dello Stato membro in cui si trovano le merci. Considerando che i dati possono anche contenere informazioni relative a sospetti di infrazioni, questa limitazione costituisce una salvaguardia contro luso improprio di tali dati sensibili. Questa disposizione inoltre rafforzata dallarticolo 15, che prevede misure amministrative nei confronti del titolare del diritto in caso di uso improprio delle informazioni al di l delle finalit indicate nellarticolo 19. La combinazione di questi due articoli dimostra una specifica attenzione della Commissione nei confronti del principio di limitazione delle finalit. 2.4. Banca dati centrale 20. La proposta (articolo 31, paragrafo 3) indica che tutte le domande di intervento, le decisioni di accoglimento delle domande, le decisioni che prorogano il periodo di validit delle decisioni e le eventuali sospensioni di una decisone di accoglimento di una domanda, contenenti anchesse dati personali, sono conservate in una banca dati centrale della Commissione (COPIS). 21. COPIS sar pertanto una nuova banca dati finalizzata essenzialmente a sostituire gli scambi dei documenti pertinenti tra le autorit doganali degli Stati membri con un archivio e un sistema di trasferimento digitali. Della sua gestione sar responsabile la Commissione e, in particolare, la DG TAXUD. 22. Finora la base giuridica per lo scambio di informazioni tra gli Stati membri e la Commissione stata rappresentata dal regolamento (CE) n. 1383/2003 (14) e dal regolamento di attuazione (CE) n. 1891/2004 della Commissione(15). Quanto al regolamento (CE) n. 1383/2003, larticolo 5 consente di presentare le domande agli Stati membri per via elettronica, ma non menziona una banca dati centralizzata. Larticolo 22 prevede che gli Stati membri trasmettano le informazioni utili per lapplicazione del presente regolamento alla Commissione, la quale comunica tali informazioni agli altri Stati membri. Per quanto riguarda il regolamento di attuazione, il considerando 9 prevede lopportunit di stabilire le modalit degli scambi di informazioni tra gli Stati membri e la Commissione per consentire a questultima di seguire lapplicazione del regolamento e di redigere la relativa relazione. Larticolo 8 precisa che gli Stati membri comunicano periodicamente alla Commissione lelenco di tutte le domande scritte e i successivi interventi intrapresi dalle autorit doganali, indicando anche i dati personali dei titolari dei diritti, i tipi di diritti nonch una descrizione della merce. 23. Nel definire il contenuto del modulo per la domanda, il nuovo testo della proposta (articolo 6, paragrafo 4) prevede che, qualora siano disponibili sistemi informatizzati o elettronici, le domande vengano presentate per via elettronica. Inoltre, larticolo 31 afferma che le domande presentate alle autorit doganali nazionali vengono comunicate alla Commissione, che le conserva in una banca dati centrale. La base giuridica per la creazione della banca dati COPIS sembra dunque essere limitata alle disposizioni combinate dei nuovi articoli 6, paragrafo 4, e 31. 24. Su tale base giuridica la Commissione sta elaborando la struttura e il contenuto di COPIS. In questa fase non esiste tuttavia alcuna ulteriore disposizione giuridica dettagliata adottata tramite la procedura legislativa ordinaria in cui vengano determinate le finalit e le caratteristiche di COPIS. A parere del GEPD si tratta di una lacuna particolarmente preoccupante. I dati personali degli individui (nome, indirizzo e altri recapiti nonch informazioni su sospetti di infrazioni) saranno oggetto di un intenso scambio tra la Commissione e gli Stati membri e verranno conservati per un periodo di tempo indefinito nella banca dati, eppure non esiste un testo giuridico sulla cui base sia possibile verificare la legalit di tali trattamenti. Inoltre, gli specifici diritti di accesso e di gestione in relazione alle varie operazioni di trattamento non sono espressamente chiariti. 25. Come evidenziato dal GEPD in precedenti occasioni(16), la base giuridica per strumenti che limitano il diritto fondamentale alla protezione dei dati personali, quale riconosciuto dallarticolo 8 della Carta dei diritti fondamentali dellUnione e nella giurisprudenza fondata sullarticolo 8 della Convenzione europea dei diritti delluomo, nonch dallarticolo 16 del TFUE, deve essere stabilita in uno strumento giuridico basato sui trattati e che possa essere invocato dinanzi a un giudice. Si tratta di una necessit volta a garantire la certezza giuridica per linteressato, che deve essere in grado di contare su disposizioni chiare e di invocarle dinanzi a un giudice. 26. Il GEPD esorta pertanto la Commissione a chiarire la base giuridica della banca dati COPIS introducendo una disposizione pi dettagliata in uno strumento adottato a norma della procedura legislativa ordinaria prevista dal TFUE. Tale disposizione deve ottemperare ai requisiti del regolamento (CE) n. 45/2001 e, ove applicabile, alla direttiva 95/46/CE. In particolare, la disposizione volta a istituire la banca dati che prevede lutilizzo di un meccanismo di scambio elettronico dei dati dovr: i) identificare la finalit delle operazioni di trattamento e stabilire quali sono gli usi compatibili; ii) identificare quali entit (autorit doganali, Commissione) avranno accesso a quali informazioni conservate nella banca dati e avranno la possibilit di modificarle; iii) garantire il diritto di accesso e di informazione a tutti gli interessati di cui possono essere conservati e scambiati dati personali; iv) definire e limitare il periodo di conservazione dei dati personali al minimo necessario per la realizzazione di tale scopo. Inoltre, il GEPD sottolinea che nellatto legislativo principale dovranno essere definiti anche i seguenti elementi: lentit che sar incaricata di controllare e gestire la banca dati e lentit responsabile di garantire la sicurezza del trattamento dei dati contenuti nella banca dati. 27. Il GEPD suggerisce di inserire nella proposta stessa un nuovo articolo in cui vengano chiaramente determinati questi elementi principali. In alternativa, nel testo della proposta dovrebbe essere inclusa una disposizione che preveda ladozione di un atto legislativo separato a norma della procedura legislativa ordinaria, per cui si dovrebbe chiedere alla Commissione di presentare una proposta. 28. In ogni caso, le misure di attuazione da adottare dovranno specificare nel dettaglio le caratteristiche funzionali e tecniche della banca dati. 29. Inoltre, bench in questa fase la proposta non preveda alcuna interoperabilit con altre banche dati gestite dalla Commissione o con altre autorit, il GEPD sottolinea che lintroduzione di qualsivoglia tipo di interoperabilit o scambio deve innanzitutto e soprattutto rispettare il principio di limitazione delle finalit: i dati devono essere utilizzati allo scopo per cui stata istituita la banca dati, al di l del quale non possono essere consentiti ulteriori scambi o interconnessioni. Deve inoltre essere sostenuta da una base giuridica dedicata che deve essere fondata sui trattati UE. 30. Il GEPD auspica di essere coinvolto nel processo che porter alla definitiva istituzione di questa banca dati, al fine di sostenere la Commissione e fornirle consulenza nellelaborazione di un sistema appropriato rispettoso della protezione dei dati. Incoraggia pertanto la Commissione ad includere la consultazione del GEPD nella fase preparatoria in corso. 31. Infine, il GEPD richiama lattenzione al fatto che, poich listituzione della banca dati comporter il trattamento di categorie particolari di dati (relativi a sospette infrazioni), tale trattamento dovr essere soggetto a controllo preventivo da parte del GEPD a norma dellarticolo 27, paragrafo 2, lettera a), del regolamento (CE) n. 45/2001.
3. CONCLUSIONE 32. Il GEPD accoglie con favore il riferimento specifico della proposta allapplicabilit della direttiva 95/46/CE e del regolamento (CE) n. 45/2001 alle attivit di trattamento dei dati personali contemplate dal regolamento. 33. Il GEPD desidera evidenziare i seguenti punti al fine di migliorare il testo dal punto di vista della protezione dei dati: — larticolo 6, paragrafo 3, deve includere il diritto di informazione dellinteressato, — la Commissione, nellesercitare le proprie competenze di esecuzione a norma dellarticolo 6, paragrafo 3, deve consultare il GEPD al fine di elaborare un modello di modulo per la domanda rispettoso della protezione dei dati, — il testo deve specificare il limite temporale per la conservazione dei dati personali presentati dal titolare dei diritti, a livello sia nazionale che di Commissione, — il GEPD esorta la Commissione a individuare e precisare la base giuridica per listituzione della banca dati COPIS e mette a disposizione le proprie competenze per assistere la Commissione nella preparazione della banca dati COPIS. Fatto a Bruxelles, il 12 ottobre 2011 Giovanni BUTTARELLI Garante europeo aggiunto della protezione dei dati
NOTE (1) GU L 281 del 23.11.1995, pag. 31 (di seguito la direttiva 95/46/CE). (2) GU L 8 del 12.1.2001, pag. 1. (3) Nellaprile 2011. (4) Regolamento (CE) n. 1383/2003 del Consiglio, del 22 luglio 2003, relativo allintervento dellautorit doganale nei confronti di merci sospettate di violare taluni diritti di propriet intellettuale e alle misure da adottare nei confronti di merci che violano tali diritti (GU L 196 del 2.8.2003, pag. 7). (5) I servizi doganali sono gli uffici centrali abilitati a ricevere le domande formali dei titolari di diritti in ogni Stato membro, mentre le autorit o gli uffici doganali sono gli organi operativi dipendenti che svolgono effettivamente i controlli doganali sulle merci che entrano nellUnione europea. (6) Nel modulo per la domanda devono figurare, tra le altre informazioni, i dati del richiedente [articolo 6, paragrafo 3, lettera a)], la legittimit delle persone fisiche o giuridiche rappresentanti il richiedente [articolo 6, paragrafo 3, lettera d)], nome e indirizzo del o dei rappresentanti del richiedente responsabili degli aspetti giuridici e tecnici [articolo. 6, paragrafo 3, lettera j)]. (7) Lo speditore e il destinatario sono le due parti normalmente coinvolte in un contratto estimatorio: lo speditore consegna le merci al destinatario, che acquisisce il possesso delle merci e le vende su istruzione dello speditore. Il dichiarante la persona che fa la dichiarazione in dogana a nome proprio ovvero la persona in nome della quale fatta una dichiarazione in dogana. Il detentore la persona proprietaria delle merci o che ha un diritto analogo di disporne o che ne ha il controllo fisico. (8) Regolamento (CE) n. 1891/2004 della Commissione, del 21 ottobre 2004, recante le disposizioni di applicazione del regolamento (CE) n. 1383/2003 del Consiglio relativo allintervento dellautorit doganale nei confronti di merci sospettate di violare taluni diritti di propriet intellettuale e alle misure da adottare nei confronti di merci che violano tali diritti (GU L 328 del 30.10.2004, pag. 16). (9) Cfr. il regolamento (CE) n. 1891/2004, allegato I, punto 9: Allego informazioni particolari sul tipo o sulle modalit della frode, tra cui documenti e/o foto. (10) Attualmente il regolamento (CE) n. 1891/2004 della Commissione d attuazione al regolamento (CE) n. 1383/2003, contenente tra laltro i formulari per la domanda nazionale e comunitaria nonch istruzioni sulle modalit di compilazione del modulo [il regolamento (CE) n. 1891/2004 della Commissione, del 21 ottobre 2004, recante le disposizioni di applicazione del regolamento (CE) n. 1383/2003 del Consiglio relativo allintervento dellautorit doganale nei confronti di merci sospettate di violare taluni diritti di propriet intellettuale e alle misure da adottare nei confronti di merci che violano tali diritti, GU L 328 del 30.10.2004, pag. 16]. (11) I dati personali devono essere conservati in modo da consentire lidentificazione degli interessati per un arco di tempo non superiore a quello necessario al conseguimento delle finalit per le quali sono raccolti o successivamente trattati [...]. (12) Cfr. nota 8. (13) Questa disposizione in linea con il contenuto dellarticolo 57 (Parte III, Sezione IV) dellaccordo TRIPS, http://www.wto.org/ english/tratop_e/trips_e/t_agm4_e.htm#2 (14) Cfr. nota 4. (15) Cfr. nota 8. (16) Cfr. il parere del Garante europeo della protezione dei dati sulla decisione della Commissione, del 12 dicembre 2007, relativa alla protezione dei dati personali nellambito del sistema di informazione del mercato interno (2008/49/CE) (GU C 270 del 25.10.2008, pag. 1).
|