(Il testo completodel presente parere è reperibile in inglese, francese e tedesco sul sito webdel GEPD http://www.edps. europa.eu)
1. Introduzione 1.1. Consultazione del GEPD 1. Il 30 aprile 2012 la Commissione haadottato una proposta relativa alla rifusione del regolamento (CE) n. 1104/2008del Consiglio, del 24 ottobre 2008, sulla migrazione dal sistema d'informazioneSchengen (SIS 1+) al sistema d'informazione Schengen di seconda generazione(SIS II) (1 2. Il GEPD aveva già emesso un pareresulle tre proposte concernenti la messa a punto del sistema d'informazioneSchengen di seconda generazione il 19 ottobre 2005 ( 3. Il GEPD prende atto delleconclusioni del Consiglio sulla migrazione al SIS II ( — porre in essere, quanto primapossibile, i meccanismi correttivi e preventivi (rispettivamente per le attualisegnalazioni SIS 1+ e le nuove segnalazioni SIS 1+), in modo tale che possanoessere adeguati ai requisiti di qualità dei dati stabiliti per le segnalazionidel SIS II, — prima del varo dellamigrazione dei dati dal SIS 1+ al SIS II, verificare ancora una volta laconformità delle attuali segnalazioni con i dizionari SIS II, garantendo laloro conformità con la versione definitiva di quei dizionari, — monitorare sistematicamente,tramite le autorità nazionali competenti responsabili della qualità dei datidel SIS, l'accuratezza delle segnalazioni inserite nel sistema nazionale delSIS 1+, dal momento che questo è essenziale per garantire un agevole utilizzodel meccanismo di mappatura/mappatura dei dizionari. 4. Prima dell'adozione della presenteproposta della Commissione, il GEPD aveva avuto l'opportunità di formulareosservazioni informali sul progetto di proposta. In tali osservazioni avevaespresso le proprie preoccupazioni su vari aspetti della migrazione che, a suoavviso, devono essere chiariti. Purtroppo, il testo adottato non ha tenutoconto delle osservazioni formulate durante la fase informale, omettendopertanto di fornire i chiarimenti richiesti.
3. Conclusioni 61. La migrazione dei dati contenutinel SIS al SIS II è un'operazione che probabilmente comporterà rischi specificidal punto di vista della protezione dei dati. Il GEPD accoglie con favore glisforzi compiuti al fine di garantire che detta migrazione avvenga nel pienorispetto della legge; tuttavia, per migliorare ulteriormente la proposta,intende formulare alcune raccomandazioni. 62. In particolare, il GEPD sicompiace del fatto che, in base alle nuove disposizioni, il quadro giuridicodel SIS II entrerà in vigore una volta che il primo Stato membro avràcompletato con esito positivo la transizione. Questo aspetto assume rilievo dalmomento che, ai sensi della normativa precedente, il quadro giuridico del SISII sarebbe entrato in vigore solo dopo il completamento della migrazione al SISII da parte di tutti gli Stati membri, causando una certa ambiguità giuridica,specialmente in merito alle nuove funzioni. 63. Questo approccio deve essere valutatoanche dal punto di vista della supervisione. Secondo il GEPD, comporterà untrasferimento di responsabilità durante la migrazione che potrebbe determinareeffetti negativi e incidere sulle salvaguardie garantite dalla supervisione nelmomento di maggiore necessità. Pertanto, il Garante raccomanda che ilmeccanismo di supervisione coordinata venga reso applicabile fin dall'iniziodella migrazione. La rifusione deve garantire questo approccio. 64. Il GEPD ritiene che gli aspetti essenzialidella migrazione debbano essere chiariti ulteriormente nel testo delregolamento e non essere lasciati ad altri strumenti, quali il piano dimigrazione. In particolare ciò riguarda: — la portata della migrazione.Deve essere assolutamente chiaro quali categorie di dati migreranno e quali noe se la migrazione comporterà una trasformazione dei dati e, in casoaffermativo, quali saranno le alterazioni, — la necessità dellavalutazione del rischio. È importante effettuare una valutazione del rischioper la migrazione, con l'inserimento dei risultati in un piano di sicurezzaspecifico, — il caricamento dei dati.Sebbene il testo proposto contenga un articolo specifico, esso riguarda principalmentele regolari attività di trattamento del SIS II piuttosto che le specificheattività di trattamento dei dati della migrazione. Il testo, inoltre, presentauna disposizione simile a quella del regolamento principale del SIS II. Il GEPDsostiene che il regolamento debba contenere una clausola specifica indicantecosa deve essere conservato, per quanto tempo e per quale scopo, rivolgendol'attenzione alle attività della migrazione. 65. Il GEPD raccomanda che il regolamentorafforzi gli obblighi di test, chiarendo quanto riportato di seguito: — i test di premigrazione devonocomprendere anche i seguenti elementi: i) tutti gli aspetti funzionaliassociati al processo di migrazione di cui all'articolo 11 della proposta ealtre questioni, come la qualità dei dati da trasferire; ii) elementi non funzionali come lasicurezza; iii) tutte le misure specifiche e i controlli adottati al fine diridurre i rischi della migrazione, — per quanto riguarda i testglobali, il GEPD raccomanda che la proposta fornisca criteri più chiari perstabilire se quei test abbiano comportato un successo o un fallimento, — al completamento dellatransizione da parte di uno Stato membro, deve essere possibile effettuare laconvalida i risultati. Il regolamento deve disporre altresì che per potereconsiderare riuscita la transizione di uno Stato membro al SIS II è necessarioche i test di convalida offrano risultati positivi. Pertanto, questi testdevono essere realizzati come condizione preliminare per consentire l'usodell'intera funzionalità del SIS II da parte di quello Stato membro, — per quanto concerne l'uso deidati dei test durante la migrazione, il GEPD desidera sottolineare che se i«dati dei test» devono basarsi su dati reali «indecifrabili» del SIS, occorreadottare tutte le misure necessarie per garantire l'impossibilità diricostruire i dati reali partendo dai dati dei test. 66. Sonoparticolarmente apprezzate misure di sicurezza preventive, e il GEPD raccomandadi inserire nel testo della rifusione una disposizione specifica che impongaalla Commissione e agli Stati membri di porre in essere misure tecniche eorganizzative idonee a garantire un livello di sicurezza adeguato per i rischirappresentati dalla migrazione, nonché dalla natura specifica dei datipersonali da trattare, sulla base dei requisiti di cui all'articolo 22 delregolamento (CE) n. 45/2001: — occorre tenere conto diaspetti generali legati alla sicurezza: i) riconoscere la natura specificadelle attività di trattamento dei dati associate alla migrazione; ii) elaborare alcuni orientamentigenerali concernenti le misure da adottare (il trasferimento dei dati tra i duesistemi, ad esempio, deve avvenire solo se detti dati sono criptati in modoadeguato); iii) stabilire che la Commissione,insieme agli Stati membri, e in particolare alla Francia, elaborerà un piano disicurezza specifico, dopo la valutazione dei possibili rischi connessi allamigrazione, in tempo debito prima del verificarsi di quest'ultima, — sono altresì necessarieclausole specifiche per proteggere l'integrità dei dati. All'interno delregolamento o in una decisione specifica della Commissione, il GEPD raccomandadi inserire le seguenti misure: i) un allegato contenente le norme dimappatura e di convalida applicabili durante la conversione, semplificando laverifica volta ad accertare se la mitigazione delle norme del SIS II è conformeal regolamento SIS II; ii) una disposizione che definisca laresponsabilità dei vari attori nell'identificazione e nella correzione di datianomali; iii) un requisito per testareinteramente, prima della migrazione, la conformità dei dati da fare migrarealle norme di integrità del SIS II, — è bene prevederel'eliminazione del vecchio sistema. Dopo la migrazione, la questioneconcernente il destino delle attrezzature tecniche del SIS 1+ assume caratteredi urgenza. Pertanto, il GEPD raccomanda che la proposta o una decisionespecifica della Commissione prevedano un limite di tempo preciso per questaconservazione nonché l'obbligo di adottare misure tecniche adeguate atte agarantire la cancellazione sicura dei dati in seguito al completamento dellamigrazione e al periodo di monitoraggio intensivo. Fatto a Bruxelles, il 9 luglio 2012 Peter HUSTINX Garante europeo della protezione deidati
( ( (
|