CE - IL GRUPPO DI LAVORO PER LA TUTELA DELLE PERSONE RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI Parere 6/2005 INDICE Cooperazione Schengen in sintesi IL GRUPPO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI istituito dalla direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, visti gli articoli 29 e 30, paragrafi 1, lettera a), e 3 della richiamata direttiva e l’articolo 15, paragrafo 3, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio del 12 giugno 2002, visto il suo regolamento interno, in particolare gli articoli 12 e 14, ha adottato il seguente parere: 1. Introduzione e contesto di riferimento a) La convenzione Schengen e la normativa successivamente adottata sono una forma di cooperazione intergovernativa assai importante il cui fine è abolire i controlli alle frontiere interne degli Stati membri dell’UE partecipanti. A tal fine sono state introdotte norme specifiche nella convenzione, in particolare norme comuni sull’ingresso e sul soggiorno degli stranieri e sulla cooperazione giudiziaria e di polizia, con lo scopo di riconoscere come valide le attività e le disposizioni di ciascuno Stato membro partecipante (persone ricercate, segnalazioni ai fini della non ammissione). Per raggiungere questi obiettivi si è ritenuto indispensabile istituire un sistema di informazione, il cosiddetto SIS. La finalità del SIS è chiaramente iscritta nell’articolo 92, paragrafo 1 della convenzione: consentire alle autorità designate dalle Parti contraenti, per mezzo di una procedura d’interrogazione automatizzata, di disporre di segnalazioni di persone e di oggetti, in occasione di controlli alle frontiere, e di altri controlli di polizia e doganali. Spetta a ciascuna Parte contraente valutare se, in relazione a determinati individui e specifici comportamenti, sia necessario innescare la cooperazione Schengen in aggiunta alle disposizioni nazionali e immettere pertanto una segnalazione nel SIS, che riguardi per esempio un individuo destinatario di un provvedimento di allontanamento o di un divieto di ingresso, non soltanto sul territorio del paese che ha disposto il provvedimento ma sulla totalità dello spazio Schengen, richiedendo in tal modo a tutte le Parti contraenti di adottare una linea di condotta. Con riguardo al trattamento dei dati personali nel sistema, le Parti contraenti sono congiuntamente responsabili del trattamento dei dati nel SIS centrale (C-SIS), il quale risulta dalla somma delle singole sezioni nazionali (N-SIS). Il SIS centrale, o unità di supporto tecnico, ha sede a Strasburgo ed è posto sotto la responsabilità tecnica di una Parte contraente, ossia la Francia (articoli 115 e 92 della convenzione). Le autorità di controllo nazionali della protezione dei dati esercitano il controllo della base dati nazionale e verificano la liceità del trattamento in modo collegiale, nell’ambito dell’autorità di controllo comune (ACC Schengen) del C-SIS. Un intero titolo della convenzione (titolo VI — articoli da 92 a 119) è in effetti dedicato al sistema d’informazione Schengen: esso ne definisce il funzionamento, specifica le categorie di dati da immettere, i meccanismi di esercizio del sistema, le norme sulla protezione dei dati, compresi il diritto di accesso e di informazione dell’interessato, e l’attribuzione delle responsabilità per quanto riguarda la gestione del sistema sia a livello centrale (C-SIS), sia a livello nazionale (N-SIS). b) Dacché è stata integrata nel trattato, la convenzione Schengen è soggetta, per eventuali modifiche, al diritto dell’UE. Dopo che per anni la convenzione ha subìto soltanto limitate modifiche, in quest’ultimo anno si è assistito a un aumento sostanziale delle iniziative — si pensi al codice comunitario per l’attraversamento delle frontiere, alle modifiche delle istruzioni consolari comuni, all’istituzione del sistema di informazione sui visti come strumento della politica comune dei visti1, ma anche alle disposizioni applicabili all’ingresso e all’allontanamento, alla cooperazione di polizia, ecc.2, che andranno presto a sostituire ampie sezioni della convenzione. Lo sviluppo del nuovo sistema di informazione Schengen (SIS), come il progetto di introdurre nuove funzioni per il SIS, integrando l’attività degli uffici nazionali SIRENE nati per permettere lo scambio di informazioni supplementari alle segnalazioni, sono oggetto di discussione da anni. La nuova base giuridica proposta per il SIS II sarà molto importante in quanto permetterà ai nuovi Stati membri dell’UE di avvalersi del sistema e ai loro cittadini di circolare liberamente in uno spazio senza frontiere interne, pur mantenendo un elevato livello di sicurezza. c) Il 31 maggio 2005 la Commissione delle Comunità europee ha presentato tre diverse proposte di atti giuridici. Le prime due proposte (di regolamento del Parlamento europeo e del Consiglio e di decisione del Consiglio sull’istituzione, l’esercizio e l’uso del sistema d’informazione Schengen di seconda generazione (SIS II)) sono dirette a sostituire tutto il titolo VI della convenzione e contengono disposizioni obbligatorie per gli Stati membri. La terza proposta di regolamento del Parlamento europeo e del Consiglio riguarda l’accesso al SIS II dei servizi competenti negli Stati membri per il rilascio delle carte di circolazione3. Il regolamento e la decisione sull’istituzione, l’esercizio e l’uso del SIS II presentano una struttura simile: definiscono prima gli obiettivi, quindi specificano le competenze degli Stati membri e della Commissione. A queste disposizioni fanno seguito norme che disciplinano il trattamento e la sua liceità: i motivi per introdurre segnalazioni; le categorie di dati; i termini di conservazione; le norme che disciplinano l’accesso; i diritti dell’interessato: il diritto di informazione, di accesso, rettifica e cancellazione; i mezzi di ricorso; il ruolo delle autorità di controllo della protezione dei dati. Pur essendo disciplinato da due atti legislativi diversi con basi giuridiche diverse, il SIS II sarà un unico sistema. Il gruppo è stato invitato a esprimere un parere sui progetti di testo in questione. A tal fine, il suo parere si incentrerà sugli aspetti che accomunano le due proposte e sulle disposizioni previste nella proposta di regolamento. Sarà fatto esplicito riferimento alla decisione della Commissione per quegli aspetti specifici che non ricorrono nel regolamento. È anzitutto necessario evidenziare la natura assai complessa delle proposte, i cambiamenti che ne conseguiranno in termini sia di struttura del sistema che di numero e qualità delle categorie di dati che il sistema dovrebbe contenere, e il forte impatto che un sistema di informazione su scala europea di questo tipo avrà sui diritti umani fondamentali e sulla protezione dei dati. Attualmente la base dati SIS contiene più di 13 milioni di dati, 1/10 dei quali in relazione a "persone ricercate". Va altresì ricordato che sono connessi con il SIS anche molti altri strumenti giuridici in preparazione: oltre alle proposte già citate sul VIS, occorre fare riferimento quantomeno alla proposta di interoperabilità fra SIS, VIS e EURODAC ed alle proposte miranti ad autorizzare l’accesso al VIS e al SIS da parte delle autorità responsabili della sicurezza nazionale. Il gruppo pertanto esprime profondo rammarico per il fatto che la Commissione non abbia fornito un dettagliato rapporto sulle ragioni che giustificano le modifiche proposte, né abbia svolto una valutazione d’impatto approfondita, che comprendesse anche le conseguenze per la protezione dei dati e i diritti umani fondamentali. 2. Base giuridica e osservazioni generali La nuova base giuridica per il SIS II è contenuta nel trattato sull’Unione europea (per quanto riguarda la decisione) e nel trattato che istituisce la Comunità europea (per quanto riguarda il regolamento), sebbene il SIS II debba considerarsi un sistema d’informazione unico. Bisogna riconoscere che tanto il regolamento che la decisione sono redatti con cura e contengono diversi aspetti ai quali guardare con favore. Tuttavia, sussistono grosse perplessità circa gli strumenti giuridici scelti dalla Commissione per istituire il SIS II. In effetti, la relazione della Commissione evidenza come la scelta del regolamento (e della decisione) "nasce dall’esigenza di applicare norme pienamente armonizzate, specie in relazione al trattamento dei dati nel sistema"; "le norme introdotte ... devono costituire un insieme di disposizioni ... da applicarsi in modo diretto, uniforme e cogente e che non richiedono, data la loro natura, alcun provvedimento che le recepisca nel diritto nazionale degli Stati membri". Due sono gli aspetti che destano particolare attenzione. Anzitutto, l’analisi delle conseguenze che un siffatto uso del regolamento (e ancor più della decisione) può comportare, in quanto escluderebbe dal processo legislativo il legislatore e l’opinione pubblica dei paesi interessati; in questo caso, le materie interessate sono di grande complessità ed esplicano notevoli effetti sui diritti fondamentali e sul diritto alla protezione dei dati personali. In secondo luogo, la questione di come adottare un quadro giuridico unificato per il trattamento dei dati nel SIS II come sistema di informazione unico, laddove norme diverse sono previste in relazione alle diverse finalità del trattamento. 1- Attualmente sono le disposizioni della convenzione Schengen che disciplinano, in una prospettiva unificata, il trattamento dei dati personali. Le regole generali sulla protezione dei dati e i principi di applicazione comune nell’ambito del testo esistente della convenzione sono garantiti, insieme con il diritto al rispetto della vita privata e familiare, dall’articolo 8 della convenzione europea dei diritti dell’uomo del Consiglio d’Europa (CEDU/ECHR) (il quale — in parte alla luce della pertinente giurisprudenza della Corte europea dei diritti dell’uomo — dà chiare indicazioni circa i limiti che si impongono all’ingerenza di una autorità pubblica, nell’esercizio dei suoi poteri, nella sfera privata dell’individuo), dalla convenzione n. 108 del Consiglio d’Europa, del 28 gennaio 1981, sulla protezione delle persone rispetto al trattamento automatizzato dei dati di carattere personale, e dalla raccomandazione specifica R (87) 15 tendente a regolare l’utilizzazione dei dati di natura personale nel settore della polizia4. La convenzione Schengen fa pertanto obbligo alle Parti contraenti di adottare le necessarie disposizioni nazionali per ottenere un livello di protezione dei dati personali che si quanto meno pari a quello risultante dalla convenzione n. 108 e conforme alla richiamata raccomandazione. Tutti i paesi che attualmente partecipano al sistema di informazione Schengen hanno adottato le misure nazionali richieste — in relazione, per esempio, ai meccanismi per l’esercizio dei diritti della persona interessata, alla responsabilità del trattamento dei dati personali e all’attribuzione delle funzioni di vigilanza e controllo. 2- Le proposte introdotte dalla Commissione comportano una radicale riorganizzazione del SIS, soprattutto perché pongono basi giuridiche diverse a fondamento delle operazioni di trattamento effettuate nel e/o mediante il SIS. Le proposte distinguono dunque fra operazioni svolte nell’ambito del SIS, fondate sulle nuove competenze comunitarie nei settori dell’asilo e dell’immigrazione, e le altre categorie di dati e/o operazioni che rimarrebbero invece nell’ambito del cosiddetto terzo pilastro. È questo un tentativo di attuare il progetto — fallito nel 1999 — di assoggettare alla legislazione comunitaria (si vedano i considerando 10 e 11 della proposta di regolamento) le disposizioni del SIS relative alle segnalazioni di cittadini di paesi terzi (gli stranieri) ai fini della non ammissione (articolo 96). 3- La Commissione contempla anche una struttura del SIS di tipo diverso; alla struttura attuale, basata sui sistemi nazionali (N-SIS) e su un’unità centrale di supporto tecnico con sede a Strasburgo che contiene le stesse informazioni dei sistemi nazionali, è preferita una base dati centrale in cui le informazioni — ossia le segnalazioni e altri dati complementari di cui alle proposte — sarebbero introdotte direttamente tramite interfacce nazionali che non contengono dati. L’approccio scelto dalla Commissione e il conseguente cambiamento della struttura del SIS non può non avere importanti ripercussioni sui meccanismi di trattamento dei dati e sulle relative attività di controllo affidate a autorità indipendenti responsabili della protezione dei dati. Il quadro giuridico di riferimento subirà profondi mutamenti ma soprattutto, come si è già detto, le disposizioni relative alla protezione dei dati applicabili al trattamento non saranno più presentate secondo una prospettiva unificata. In altri termini, occorrerà valutare se e in qual misura le disposizioni che saranno introdotte per la parte "comunitarizzata" del SIS siano conformi ai principi generali di protezione dei dati di cui alla direttiva 95/46/CE, che deve essere considerata in realtà il quadro normativo armonizzato di riferimento5. Prima di esigere il trattamento di dati biometrici nel SIS (immagine del volto e impronte digitali), di permettere l’accesso di altre autorità e di introdurre la possibilità di trasferire dati a paesi e organi esterni all’Unione, è altresì necessario svolgere una valutazione attenta alla luce dei poteri che il trattato sull’Unione conferisce al legislatore UE. Il gruppo si compiace del fatto che l’adozione del progetto di regolamento a livello comunitario sarà basata sulla procedura di codecisione e che il Parlamento europeo sia pienamente consapevole dei problemi posti in questo e in altri casi (politiche di immigrazione e d’asilo). Ciò nondimeno, il gruppo desidera evidenziare la necessità di un’analisi generale di tutti gli aspetti precedentemente trattati nell’ambito del terzo pilastro (e disciplinati da suoi strumenti), che ormai rientrano nell’ambito del diritto comunitario. Ogni volta che, come per le presenti proposte, gli aspetti in discussione riguardano quasi esclusivamente la raccolta, l’uso e lo scambio di dati personali, deve essere puntualmente garantita un’analisi appropriata e esperta del loro impatto sulla sfera privata dell’individuo. Il gruppo rinnova la richiesta che l’attuale processo di approvazione del testo e la sua entrata in vigore siano quanto meno compensati mettendo in grado entità come le autorità di controllo della protezione dei dati di potersi avvalere di meccanismi di informazione e risposta adeguati, come quelli di cui solitamente dispongono in ciascun paese per tutti gli atti legislativi rientranti nelle loro competenze. b) Norme del primo pilastro in materia di protezione dei dati Per quanto riguarda le norme comunitarie sulla protezione dei dati, l’articolo 7 della Carta dei diritti fondamentali riafferma il principio sancito dalla CEDU, mentre l’articolo 8 introduce un nuovo diritto fondamentale per ciascun individuo, il diritto alla protezione dei dati di carattere personale. Principi generali armonizzati sono contemplati nella direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 19956, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (direttiva 95/46). Il considerando 14 della proposta di regolamento ribadisce che la richiamata direttiva si applica al trattamento dei dati svolto in applicazione del regolamento. La proposta di regolamento offre tuttavia l’opportunità agli Stati membri — in base ai poteri conferiti loro di prevedere deroghe e restrizioni alla portata dei diritti degli interessati in virtù dell’articolo 13 della direttiva — di "integrare o precisare" i citati principi, laddove necessario. Si deve valutare se e in quale misura, nell’ambito del primo pilastro, sia possibile introdurre disposizioni che siano direttamente cogenti per gli Stati membri e che disciplinino gli aspetti attinenti alla protezione dei dati in modo diverso, pur riferendosi ai principi sanciti dalla direttiva sulla protezione dei dati. A questo proposito è opportuno ricordare che a tutt’oggi sono state adottate disposizioni complementari e specifiche sul trattamento dei dati personali soltanto in relazione alle comunicazioni elettroniche con la direttiva 2002/58/CE, e che molti altri strumenti comunitari contengono garanzie specifiche applicabili ai dati personali — in quanto non incidono sulle norme della direttiva 95/46 che, come si è già detto, costituisce un quadro normativo armonizzato a livello dell’UE. Pur rallegrandosi per la decisione della Commissione di trasferire al primo pilastro la regolamentazione di quella parte del SIS che contiene le segnalazioni di stranieri ai fini della non ammissione (articolo 96 della convenzione), il gruppo desidera evidenziare la necessità concomitante di garantire un’applicazione completa e integrale della direttiva, ferma restando la possibile applicazione delle disposizioni di cui, soprattutto, all’articolo 13. Indubbiamente, queste ultime disposizioni possono entrare in gioco soltanto nei casi in cui la direttiva sulla protezione dei dati lascia una qualche discrezionalità agli Stati membri. Se però uno strumento comunitario come il regolamento proposto introduce disposizioni che riguardano precisamente quei casi, si potrebbe considerare che tale strumento istituisca un approccio armonizzato e prevalga pertanto sulla discrezionalità di cui sopra. Ciò significa che gli Stati membri non avrebbero più nessun margine per introdurre disposizioni nazionali supplementari in questo settore, salvo se fosse necessario per l’attuazione concreta dello strumento o degli strumenti comunitari in questione. Allo stesso modo, il riferimento a norme pienamente armonizzate di cui alla relazione sembrerebbe diretto per l’appunto a fare in modo che le uniche deroghe autorizzate siano quelle previste dal regolamento. In ogni modo, le proposte presentate al riguardo nella proposta di regolamento non sono del tutto in sintonia con la direttiva 95/46/CE e destano preoccupazione. Per quanto riguarda la direttiva 95/46/CE, non è prevista l’applicazione diretta dei principi generali bensì una semplice "riscrittura" dei contenuti di certe disposizioni che talvolta sono incomplete; la conseguenza è che nel primo pilastro viene a crearsi una sorta di lex specialis o di nuove categorie di disposizioni sulla protezione dei dati. Ciò riguarda in particolare i diritti dell’interessato, la conformità con il principio di finalità, la definizione di responsabile del trattamento e l’attribuzione della responsabilità del trattamento dei dati personali nel sistema, il controllo a livello centrale e nazionale. Esistono incongruenze anche rispetto al testo esistente laddove la motivazione di certe modifiche resta oscura in assenza di una valutazione appropriata. 3. Aspetti specifici delle proposte La normativa esistente contempla una compiuta serie di disposizioni sul trattamento dei dati SIS, fra cui un sistema rigoroso di protezione dei dati sull’uso dei dati personali. Occorre ora valutare se e in qual misura le nuove norme proposte garantiranno un livello elevato di protezione, il quale dovrebbe quanto meno essere pari al livello esistente. a) Finalità e ambito di applicazione del SIS II La direttiva 95/46 autorizza il trattamento di dati personali per finalità determinate, esplicite e legittime, ed esige che i dati non siano successivamente trattati in modo incompatibile con tali finalità. Alla luce di questo principio, il gruppo ritiene che il regolamento proposto, diversamente dalla decisione, limiti il trattamento dei dati nel SIS II alla finalità della non ammissione nel territorio degli Stati membri (articolo 2, paragrafo 1). Tuttavia bisogna sottolineare che l’articolo 1 di entrambi i progetti di strumento rimanda alla finalità più ampia di scambiare informazioni per il controllo di persone e oggetti. In quest’ultimo caso, la finalità sembrerebbe indiscutibilmente più ampia rispetto al sistema attuale — il cui fine è consentire l’accesso alle segnalazioni di persone e di oggetti, in occasione di controlli alle frontiere e di altri controlli di polizia e doganali e, per le segnalazioni ex articolo 96, ai fini della procedura di rilascio di visti, del rilascio dei documenti di soggiorno e dell’amministrazione degli stranieri. Questa interpretazione restrittiva delle finalità del SIS per quanto riguarda la parte oggetto della proposta di regolamento è corroborata dal fatto che gli articoli 17 e 18 indicano quali autorità hanno il diritto di accedere al sistema, laddove tale diritto è limitato alle autorità competenti per il controllo delle persone alle frontiere esterne e a quelle competenti per l’attuazione delle leggi sull’immigrazione. Le autorità competenti per i controlli di polizia e doganali effettuati alle frontiere interne degli Stati membri, che avevano accesso a quei dati a norma della convenzione Schengen (articolo 101), ne sono pertanto escluse. Il regolamento, in effetti, non le autorizza. In ogni modo, poiché la formulazione proposta non specifica di per sé quali attività sono effettivamente ricomprese nelle finalità in questione, il gruppo auspica un chiarimento circa le finalità del SIS nel progetto di regolamento. Il gruppo ribadisce la necessità di stabilire norme coerenti in relazione alle autorità che avranno accesso al sistema e di garantire il rispetto dei principi di proporzionalità e di minimizzazione dei dati prima di aggiungere nuove funzionalità al sistema — specie per quanto riguarda l’inserimento di dati biometrici e l’interconnessione delle segnalazioni. Si pongono anche alcuni interrogativi quanto all’eventualità di uno strumento del terzo pilastro che autorizzi un accesso più generale alle autorità di polizia, come si prevede per il VIS. Una volta di più è necessario attenersi all’applicazione rigorosa del principio di finalità, che non consente l’accesso sistematico e ordinario delle autorità di polizia a questa parte del SIS. Si è già sottolineato come la regolamentazione dell’accesso al SIS II dovrà essere rigorosamente commisurata alle finalità, sia in termini generali che in relazione alle specifiche funzioni previste. Ritornando agli strumenti proposti, sembra sussistere la necessità di approfondire le motivazioni e i meccanismi che autorizzano l’accesso ai dati da parte di autorità e organi dell’UE come le autorità competenti per l’asilo, quelle competenti per il rilascio delle carte di circolazione, Europol e Eurojust. Le autorità citate non hanno competenza a decidere la linea di condotta da seguire in relazione alle segnalazioni del SIS; di conseguenza, il loro accesso alla base dati potrebbe aversi soltanto per le diverse finalità riconosciute loro dagli strumenti che le hanno istituite — esame della domanda di asilo, valutazione ai fini dell’immatricolazione, conseguimento delle finalità attribuite a Europol e Eurojust dagli strumenti e dalle convenzioni rispettive. Nella fattispecie occorre definire con rigore e chiarezza nuove finalità complementari per queste autorità, accompagnate da forti garanzie. Per quanto riguarda il procedimento per il riconoscimento dello status di rifugiato, occorre prestare la massima attenzione a evitare l’errata applicazione di una disposizione che poggia su fondamenti umanitari e non già semplicemente "burocratici", essendo fondata su un diritto riconosciuto e disciplinato dalla convenzione di Ginevra del 1951. Al riguardo, il gruppo ribadisce quanto già espresso nel suo parere sul VIS7, ossia che l’accesso al SIS II da parte delle citate autorità oltrepassa il criterio della limitazione delle finalità e non dovrebbe pertanto essere autorizzato. Occorre inoltre rilevare che gli articoli 18 e 19 della proposta di regolamento cercano di individuare le autorità, basandosi su diversi strumenti comunitari che non sono stati ancora adottati o devono addirittura essere ancora proposti. Sembrerebbe di conseguenza necessario attendere l’adozione di quegli strumenti comunitari prima di valutare se siano conformi ai principi sulla protezione dei dati, soprattutto per quanto riguarda la limitazione delle finalità. L’attuale formulazione della proposta di decisione, che autorizza Europol e Eurojust ad accedere a alcune categorie di segnalazioni e contempla la possibilità di trasferire dati a paesi e organi terzi, rischia di avere ripercussioni più ampie, considerate le proposte di connettere il SIS II con il sistema di informazione sui visti (VIS) e il riferimento ai paesi terzi. La proposta di trasferire i dati a Europol e Eurojust avrà altresì incidenze sul sistema per quanto riguarda il rispetto del principio di specificazione delle finalità, poiché aumenteranno le opportunità di accesso e uso dei dati in funzione delle finalità specifiche di quegli organi. Il gruppo chiede nuovamente al Consiglio di definire esplicitamente la finalità del SIS II. Solo una volta ottenuto questo chiarimento si potrà valutare se sia o meno concepibile, e eventualmente in quali situazioni, il trasferimento di dati SIS II a soggetti o organi terzi. Bisogna in ogni modo sottolineare che la possibilità stessa di trasmettere informazioni a quei terzi — decisione che rientrerebbe comunque nella discrezionalità dei singoli Stati membri e che, vista la configurazione del sistema, si applicherebbe soltanto ai dati in loro possesso - non sembra conforme con le finalità del sistema nella sua attuale configurazione. c) Nuove categorie di dati e segnalazioni — Biometria Il considerando 10 della proposta di regolamento spiega che "è opportuno proseguire l’armonizzazione delle disposizioni sui motivi per introdurre segnalazioni di cittadini di paesi terzi ai fini della non ammissione" e prosegue affermando che "i motivi di queste segnalazioni, le loro finalità e le autorità con diritto di accedervi devono essere più uniformi". Non è chiaro, tuttavia, quali siano i cambiamenti introdotti per armonizzare i motivi che sono alla base di tali segnalazioni e sembrerebbe che sia lasciata ancora molta discrezionalità alle autorità competenti a decidere quando si giustifichi una certa segnalazione. L’articolo 15 della proposta di regolamento non contempla tale requisito per una segnalazione nazionale, anche se si deve tener conto delle nuove proposte sull’allontanamento. Il regolamento aggiunge nuove categorie di dati malgrado l’adozione e la recente entrata in vigore di due strumenti specifici prevalentemente diretti a ampliare le categorie di dati introducibili nel sistema. Come si è già detto, questi strumenti contemplano, senza che sia stata opportunamente valutata la necessità di tale proposta, l’inserimento nelle segnalazioni di fotografie (sotto forma di immagini digitali) e di impronte digitali. Il gruppo, anche in considerazione del fatto che le proposte non contengono disposizioni sulle modalità di rilevazione e inserimento nel sistema di fotografie e impronte digitali, rinnova le proprie preoccupazioni quanto alle norme che disciplinano l’accesso o alle specifiche misure di sicurezza da adottare. In particolare, il regolamento dovrebbe chiarire il procedimento di acquisizione dei citati dati biometrici e stabilire se saranno inseriti nel sistema anche i dati attualmente in possesso delle autorità competenti che riguardano casi rientranti nell’ambito dell’articolo 25 della proposta (errori di identificazione). Visto il carattere altamente sensibile di questa categoria di dati, che rientra nel novero delle categorie di cui all’articolo 6 della convenzione n. 108, è opportuno proteggerne il trattamento tramite l’introduzione di standard adeguati a livello internazionale. In linea di principio, sarebbero da escludere le funzioni di ricerca in base a tali dati. Per questi aspetti, il gruppo rimanda ai suoi precedenti documenti e pareri sul trattamento dei dati biometrici — dal documento di lavoro sulla biometria del 2003 ai più recenti pareri WP110 sul sistema di informazione sui visti (VIS) e WP112 sugli elementi biometrici dei passaporti e dei documenti di viaggio — nonché alle osservazioni formulate al riguardo dal GEPD nel parere sul SIS II8. d) Interconnessione delle segnalazioni Ai sensi dell’articolo 26 del regolamento uno Stato membro può creare una connessione tra le segnalazioni che introduce nel SIS II "secondo il proprio diritto interno". Posto che l’interconnessione delle segnalazioni è considerata una nuova categoria di dati contenuta nelle segnalazioni (si veda l’articolo 16, paragrafo 1, lettera j) del regolamento), che i dati del SIS devono essere separati dagli altri dati e trattati ai fini specifici della raccolta e, per finire, che il nuovo quadro giuridico proposto non presuppone il "recepimento" nel diritto interno, la formulazione in questione desta preoccupazione. Le proposte devono provvedere affinché ogni collegamento sia corredato di requisiti operativi chiari, rispetti il principio di proporzionalità e sia basato su una relazione definita con precisione, in conformità di quanto previsto nelle conclusioni del Consiglio del 14 giugno 20049 sulle funzioni del SIS II. In particolare, sarebbe da escludere esplicitamente l’interconnessione delle segnalazioni provenienti da più paesi, poiché ciò modificherebbe le norme applicabili alla responsabilità del trattamento dei dati personali e produrrebbe effetti distorsivi sul controllo esercitato dalle autorità nazionali e centrali di controllo della protezione dei dati. Inoltre, l’interconnessione non deve creare nuovi diritti di accesso. A questo proposito, il gruppo auspicherebbe una formulazione più precisa del paragrafo 2 del richiamato articolo e condivide le preoccupazioni espresse dall’autorità di controllo comune Schengen, secondo la quale l’interconnessione delle segnalazioni rischia di permettere agli utenti di accedere a informazioni che non hanno il diritto di consultare. Dato il numero esorbitante di segnalazioni che potrebbe contenere il sistema, la proposta di istaurare "un nesso fra due o più segnalazioni" va valutata con attenzione alla luce del principio della limitazione delle finalità. Il regolamento dovrebbe introdurre garanzie puntuali riguardo all’uso di ogni singolo collegamento e limitare l’accesso ai soggetti autorizzati delle autorità competenti nell’esercizio delle loro funzioni. Bisogna sottolineare che in tutti gli strumenti proposti il termine di conservazione dei dati è prolungato per ogni tipo di segnalazione — compresi i registri di controllo (audit logs) — e che la Commissione, però, non ha spiegato le ragioni di tale richiesta. Più specificamente, l’articolo 20, paragrafo 5 del regolamento introduce una disposizione per cui le segnalazioni sono cancellate automaticamente allo scadere di 5 anni dalla data in cui è assunta la decisione di cui all’articolo 15, paragrafo 1, a meno che lo Stato membro decida che è necessario conservarle nel sistema se ricorrono le condizioni di cui all’articolo 15. Apparentemente, tale disposizione ha sostituito il requisito di cui all’articolo 112, paragrafo 1, della convenzione Schengen di esaminare la necessità di conservare i dati personali nel SIS al massimo tre anni dopo il loro inserimento. Il gruppo ribadisce che i dati personali non devono essere conservati oltre il tempo necessario e vorrebbe sapere sulla base di quali esperienze e requisiti la Commissione ha deciso di introdurre i termini di conservazione in questione. In mancanza di motivazioni adeguate, il gruppo ritiene che il termine di conservazione attualmente prescritto dalla convenzione Schengen non debba essere modificato. Il gruppo auspicherebbe in ogni caso che il regolamento fissi esplicitamente termini per il riesame più brevi, in modo che i dati personali possano essere cancellati quando non siano più necessari. f) Diritto di informazione, accesso, rettifica e cancellazione, e mezzi di ricorso 1. L’articolo 28 del regolamento, al pari dell’articolo 10 della direttiva, riconosce agli interessati il diritto di informazione, ma non contiene nessuna indicazione quanto al ruolo e all’indirizzo dell’autorità di controllo nazionale, affinché essi possano disporre di mezzi di ricorso effettivi. Di conseguenza, la proposta della Commissione deve essere completata specificando che l’informativa deve menzionare espressamente la possibilità di impugnare la decisione di inserire una segnalazione nel sistema, e contenere l’indirizzo dell’autorità di controllo nazionale della protezione dei dati. 2. L’articolo 29 sancisce il diritto di ciascuno di accedere ai dati che lo riguardano nel rispetto del diritto dello Stato membro presso il quale l’interessato lo fa valere, e stabilisce un termine di 60 giorni per rispondere alla domanda di accesso. Viste le diverse normative vigenti negli Stati membri, sarebbe certamente opportuno che siano introdotte direttamente nel regolamento proposto (e eventualmente nella decisione) norme precise e unificate sull’intero procedimento, che facciano esplicito riferimento ai casi in cui le informazioni possono essere negate, o altrimenti escludano la possibilità di applicare le restrizioni autorizzate dall’articolo 13 della direttiva. 3. L’articolo 15, paragrafo 3 del regolamento riconosce il diritto di ciascuno di presentare domanda di revisione ovvero proporre ricorso avverso la decisione di un’autorità amministrativa di introdurre una segnalazione, ma tace sugli obblighi corrispondenti di informare l’interessato una volta inserita la segnalazione o sul procedimento da seguire per esercitare quel diritto. Il gruppo si compiace di questa disposizione ma ritiene, perché sia effettiva, che il progetto di regolamento dovrebbe stabilire espressamente l’obbligo di informare non appena sia adottata la decisione di inserire la segnalazione nel SIS. 4. L’articolo 30 deve essere armonizzato con l’articolo 22 della direttiva in considerazione del ruolo che possono assolvere le autorità di controllo nazionali della protezione dei dati nell’ambito del ricorso amministrativo. Non bisogna dimenticare che il richiedente sarà autorizzato a entrare nel territorio di uno Stato membro solo in un numero limitato di casi e che l’esercizio del diritto in questione non può essere limitato alla presenza fisica sul territorio dello Stato membro richiesto. Dovrebbe essere modificato di conseguenza anche l’articolo 52 del progetto di decisione che risulterebbe così conforme con l’attuale formulazione della convenzione Schengen10. Di conseguenza, bisognerebbe abbandonare il requisito geografico di cui al richiamato articolo per permettere all’interessato di presentare denuncia —precisamente in ragione delle circostanze citate nel precedente paragrafo. Rispetto al quadro attuale, che permette di presentare domanda alle autorità competenti in uno Stato membro anche inviando per posta un’istanza debitamente documentata, la formulazione proposta indebolisce la posizione dell’interessato. L’articolo 29, paragrafo 1 prevede che il diritto di accesso, rettifica e cancellazione debba essere esercitato "nel rispetto del diritto dello Stato membro presso il quale l’interessato lo fa valere", tuttavia non fa riferimento ai poteri che la direttiva attribuisce in questo settore specifico alle autorità di controllo nazionali della protezione dei dati (articolo 28, paragrafo 4: potere di verificare gli schedari nazionali e di garantire che né il trattamento né l’uso dei dati violino i diritti dell’interessato). L’articolo 31 cita il compito di controllare la liceità del trattamento "sul suo territorio" ma non dà indicazione alcuna quanto al trattamento nel CS-SIS dei dati "nazionali" o alle modalità per garantire un controllo adeguato della liceità di tale trattamento. Commissione e Stati membri svolgono entrambi un ruolo importante nell’ambito del SIS II. Gli Stati membri vanno considerati i responsabili del trattamento mentre la "gestione operativa" del CSSIS-II sarà affidata alla Commissione. Il ruolo della Commissione non è del tutto chiaro e andrebbe specificato. Poiché fra le sue competenze rientrano indiscutibilmente, come minimo, l’organizzazione, la conservazione e la messa a disposizione dei dati personali da immettere nel SIS II, il ruolo della Commissione dovrebbe essere descritto in modo quanto più particolareggiato possibile11. La condivisione delle responsabilità non deve compromettere i principi di base della protezione dei dati personali. Il testo delle proposte sembrerebbe escludere la possibilità che la Commissione intervenga nel trattamento dei dati; inserire i dati e garantirne la qualità è competenza esclusiva degli Stati membri, così come è a livello nazionale che l’interessato può esercitare il diritto di accesso, rettifica e cancellazione dei dati. Analogamente, spetta agli Stati membri informare l’interessato del trattamento dei suoi dati nel SIS; le regole relative al controllo sono quelle stabilite dall’ordinamento nazionale. Come si è già detto, l’attuale sistema Schengen di controllo della protezione dei dati distingue fra il controllo nazionale e il controllo dell’unità centrale del SIS a cura di un’autorità di controllo comune indipendente, nel cui ambito le autorità di controllo nazionali sono rappresentate e svolgono un ruolo attivo. Nella nuova base giuridica del SIS II, il controllo a livello nazionale resta invariato mentre cambia a livello centrale laddove il garante europeo della protezione dei dati subentrerà all’autorità di controllo comune. Il controllo delle attività di trattamento dei dati svolte dalla Commissione nella struttura tecnica del SIS II, come definita sia dalla decisione che dal regolamento, è affidato al garante europeo della protezione dei dati (GEPD). I dispositivi di controllo del SIS II dovrebbero essere coerenti con gli sviluppi della legislazione sulla protezione dei dati a livello dell’UE. Sarebbe opportuno effettuare un attento raffronto tra il controllo effettuato dall’ACC e le nuove funzioni attribuite al GEPD, onde evitare che eventuali discrepanze incidano sul livello attuale dei controlli, e garantire come minimo il mantenimento dell’attuale livello di protezione. Qualunque sia il dispositivo adottato, dovrà garantire non solo un controllo efficace e efficiente, ma anche la stretta cooperazione fra tutte le autorità di controllo competenti interessate. La proposta prevede la soppressione graduale dell’ACC Schengen e della sua attuale competenza (di cui in particolare all’articolo 115, paragrafo 3, della convenzione Schengen) a "analizzare le difficoltà di applicazione o di interpretazione che possono sorgere", a "studiare i problemi che possono presentarsi nell’esercizio del controllo indipendente effettuato dalle autorità di controllo nazionali", nonché ad "elaborare proposte armonizzate allo scopo di trovare soluzioni comuni ai problemi esistenti". Il gruppo si compiace delle disposizioni afferenti alla stretta cooperazione fra autorità di controllo nazionali e GEPD ma ritiene che tale cooperazione dovrebbe essere quanto meno strutturata meglio e potenziata per costituire un’alternativa valida all’ACC attuale, istituendo un sistema efficiente di controllo comune. Per quanto riguarda il coordinamento delle attività di controllo, è opportuno che le autorità di controllo nazionali mantengano la possibilità di effettuare audit comuni e di scambiare i risultati. L’articolo 115, paragrafo 3 della convenzione Schengen potrebbe eventualmente fungere da modello al riguardo12. È inoltre necessaria una cooperazione stretta fra il GEPD e le autorità di controllo nazionali della protezione dei dati. Bisognerebbe altresì tener conto del gruppo di lavoro di cui alla recente proposta di decisione quadro sulla protezione dei dati personali trattati nell’ambito della cooperazione giudiziaria e di polizia in materia penale (COM(2005) 475 definitivo). E bisogna tener conto anche dello sviluppo prospettato nella Carta dei diritti fondamentali dell’UE e nel trattato che istituisce una costituzione per l’Europa, che auspicano la sostituzione della struttura dei tre pilastri. Tale struttura è considerata particolarmente artificiosa, al punto da risultare estremamente difficile da comprendere quando le disposizioni in questione riguardano i diritti fondamentali dell’individuo e le garanzie da predisporre per proteggere tali diritti. Per finire, sarebbe opportuno richiamare l’attenzione sul ruolo e sulle funzioni assegnate al presente gruppo, di cui sono membri a pieno titolo sia le autorità di controllo nazionali della protezione dei dati che il GEPD. Il gruppo ex articolo 29 propone pertanto che in questa occasione siano riaffermati il suo ruolo e la sua competenza in relazione alle importanti decisioni in esame. i) Misure di sicurezza — Tenuta dei registri Si rimanda alle osservazioni contenute nel parere del gruppo sul VIS (necessità di stabilire precisi profili utenti, identificazione degli utenti, procedure interne di verifica, ecc.). j) Copia dei dati (articolo 4, paragrafo 3) Il regolamento prevede la possibilità di trattare tutte le segnalazioni del SIS in una copia nazionale del CS-SIS anziché di accedervi direttamente. L’attuale procedimento di realizzazione di copie non prevede la separazione fra le segnalazioni introdotte a norma del regolamento ai fini della non ammissione e segnalazioni di altro tipo. Il gruppo concorda con le osservazioni formulate dal GEPD nel suo parere, secondo cui la necessità di "copie nazionali" non si giustifica in misura adeguata e porta in realtà a una moltiplicazione dei punti di accesso; inoltre, autorizzando l’uso di dati senza corredarlo di adeguate garanzie in relazione alle modalità e ai mezzi di accesso si complicano ulteriormente le funzioni di controllo previste in questo settore. k) Attuazione delle disposizioni e monitoraggio del funzionamento del SIS II Per entrambe le proposte la Commissione può avvalersi delle procedure di comitatologia per definire le specifiche tecniche necessarie all’attuazione del complesso quadro che si va elaborando. Ciò nondimeno, alcune delle materie di cui dovranno occuparsi i comitati competenti potrebbero avere ripercussioni sui diritti individuali. Si pensi, per esempio, alle disposizioni sull’inserimento e sul trattamento dei dati biometrici nel sistema. Inoltre, l’articolo 36 della proposta di decisione, che riguarda lo scambio di dati personali che potrebbero avere un rapporto soltanto indiretto con l’oggetto della segnalazione (come quelli relativi a una persona che abbia acquistato in buona fede un oggetto rubato), lascia al comitato di regolamentazione il compito di predisporre norme dettagliate sullo scambio di tali dati personali in quanto informazioni supplementari. Il gruppo rinnova la richiesta già formulata nel suo parere sul VIS: che al comitato siano sottoposte unicamente le questioni che non hanno ripercussioni sulle persone incidendo sul livello di protezione garantito dal regolamento e dalla decisione nel rispetto dei principi generali di cui all’introduzione. Sarebbe opportuno che tali aspetti continuino a essere disciplinati con adeguate disposizioni legislative e che sia esplicitamente stabilito che gli organi di controllo del SIS II debbano essere in ogni caso adeguatamente rappresentati e consultati. Quanto alla necessità di monitorare l’attuazione delle varie disposizioni e il loro impatto -compito che secondo le attuali proposte spetta alla Commissione-, il gruppo ritiene che sia altresì necessario monitorare l’impatto del nuovo quadro normativo sui diritti umani fondamentali e sulla protezione dei dati personali. Questa parte della relazione di monitoraggio dovrebbe essere redatta d’accordo con le autorità di controllo della protezione dei dati sulla base dell’esperienza acquisita in relazione all’attuazione. CONCLUSIONI E RACCOMANDAZIONI FINALI Il gruppo osserva che le proposte della Commissione comportano una radicale riorganizzazione del SIS, soprattutto in quanto contemplano basi giuridiche diverse per le operazioni di trattamento effettuate nel e/o tramite il SIS, a seconda che rientrino nell’ambito delle nuove competenze comunitarie (immigrazione e asilo), nel qual caso l’atto di riferimento sarebbe la direttiva 95/46/CE, ovvero siano ancora ricomprese nelle altre categorie di dati e/o operazioni del cosiddetto terzo pilastro. Inoltre, la Commissione prospetta per il SIS una struttura di tipo diverso, istituendo una base dati centrale in cui le informazioni — ossia le segnalazioni e altri dati complementari di cui alle proposte — sarebbero introdotte direttamente tramite interfacce nazionali che non contengono dati (diversamente dalle attuali interfacce nazionali del SIS, le N-SIS). Il gruppo è preoccupato in particolar modo dei possibili rischi per i diritti degli interessati, specie perché le disposizioni sulla protezione dei dati riportate nel progetto di regolamento (e di decisione) non sembrano del tutto conformi con la direttiva di riferimento. In particolare: FINALITÀ DEL SIS II E ACCESSO AL SISTEMA È necessario che il regolamento si attenga all’applicazione rigorosa del principio di specificazione delle finalità, che non autorizza l’accesso sistematico delle autorità di polizia. È inoltre opportuno stabilire norme coerenti in relazione alle altre autorità che avranno accesso al sistema e tenere debito conto dei principi di proporzionalità e di minimizzazione dei dati prima di aggiungere nuove funzionalità al sistema — specie per quanto riguarda l’inserimento di dati biometrici e l’interconnessione delle segnalazioni. In ogni caso, il gruppo ritiene che la preventivata possibilità di trasmettere informazioni del SIS II a terzi o organi terzi non sia conforme con le finalità del sistema nella sua attuale configurazione. NUOVE CATEGORIE DI DATI: BIOMETRIA Il gruppo rimanda ai suoi precedenti pareri sugli elementi biometrici, in particolare al parere 7/2004 sull’inclusione degli elementi biometrici nei permessi di soggiorno e nei visti, e al più recente parere sul VIS. L’uso di dati biometrici ai fini dell’identificazione deve essere rigorosamente limitato ai casi specifici in cui l’informazione è veramente necessaria, anche a tutela della persona interessata (identità usurpata, alias, ecc.). Il gruppo evidenzia la necessità di indicare le circostanze e le finalità che giustificano la ricerca di dati biometrici e di predisporre appropriate garanzie di legge al fine di limitare o ridurre il rischio di function creep (estensione indebita delle funzionalità). INTERCONNESSIONE DELLE SEGNALAZIONI La possibilità di istaurare "un nesso fra due o più segnalazioni" va valutata attentamente alla luce del principio della limitazione delle finalità. Il regolamento dovrebbe introdurre garanzie puntuali riguardo all’uso di ogni singolo collegamento e limitare l’accesso ai rappresentanti autorizzati dell’autorità competente per l’esercizio delle rispettive funzioni. DIRITTO DI INFORMAZIONE, ACCESSO, RETTIFICA E CANCELLAZIONE - Il progetto di regolamento dovrebbe stabilire espressamente l’obbligo di informare non appena sia adottata la decisione di inserire la segnalazione nel SIS. - L’informativa deve menzionare espressamente la possibilità di impugnare la decisione di inserire una segnalazione nel sistema, e contenere l’indirizzo dell’autorità di controllo nazionale della protezione dei dati. - Perché gli interessati possano esercitare il diritto di accesso è opportuno che il progetto di regolamento stabilisca norme precise e unificate, indicando in particolare i casi in cui l’accesso alle informazioni può essere negato. - È altresì opportuno che le persone interessate siano autorizzate a presentare ricorso quando non sono fisicamente presenti nel territorio dello Stato membro in questione. Nel testo dovrebbe essere incluso un riferimento ai poteri conferiti alle autorità di controllo nazionali della protezione dei dati in relazione ai mezzi di ricorso. L’articolo 15, paragrafo 3, del regolamento riconosce il diritto di ciascuno di presentare domanda di revisione ovvero proporre ricorso avverso la decisione di un’autorità amministrativa di introdurre una segnalazione, ma tace sugli obblighi corrispondenti di informare l’interessato una volta inserita la segnalazione o sul procedimento da seguire per esercitare quel diritto. Il gruppo si compiace di questa disposizione ma ritiene, perché sia effettiva, che il progetto di regolamento dovrebbe stabilire espressamente l’obbligo di informare non appena sia adottata la decisione di inserire la segnalazione nel SIS. CONSERVAZIONE DEI DATI Il gruppo auspica che il regolamento fissi esplicitamente termini più brevi per il riesame delle segnalazioni, in modo che i dati personali possano essere cancellati quando non siano più necessari. A ciò si aggiunga che l’aumento del periodo di conservazione delle segnalazioni proposto dalla Commissione dovrebbe essere meglio motivato. CONTROLLO Fatte salve le decisioni in via d’adozione intese a garantire la protezione dei dati personali nelle materie del terzo pilastro e alla luce delle precedenti riflessioni sull’argomento, è necessario disporre di una normativa chiara sul ruolo e sugli obblighi di tutte le autorità di controllo interessate. Il gruppo ex articolo 29 desidera richiamare l’attenzione sul suo ruolo e sulle sue funzioni, e propone che in questa occasione ne siano riaffermati il ruolo e la competenza in relazione alle importanti decisioni in esame. Il gruppo è certo che le considerazioni esposte nel presente parere saranno tenute in debito conto. Bruxelles, 25 novembre 2005 Per il gruppo Il presidente Peter Schaar NOTE 1 Parere del gruppo adottato il 23 giugno 2005 (WP110. rif. 1022/05). |