Parere 7/2007 - WP140

sugli aspetti relativialla protezione dei dati con riferimento al Sistema di informazione del mercatointerno (IMI)

Adottato il 21 settembre2007

INDICE

1.      Introduzione

2.      Descrizionedel sistema IMI

2.1    Architettura:funzioni della Commissione e sistemi nazionali

2.2    Autoritàcoinvolte

2.2.a  Commissioneeuropea

2.2.b Autorità competente(AC

2.2.c  Coordinatorenazionale IMI (NIMIC

2.2.d Coordinatoredelegato IMI (DIMIC

2.2.e  Autoritàcollegate

2.3    Ruolie diritti all’interno del sistema

3.      Datipersonali trattati

4.      Analisidel sistema sotto il profilo giuridico e aspetti specifici

4.1    Basegiuridica per il trattamento dei dati personali (Articolo 7

4.2    Applicazionedei principi di qualità dei dati (Articolo 6

4.2.a  Qualità e necessitàdei dati

4.2.b Proporzionalità

4.2.c  Aspettiparticolari riguardanti la conservazione dei dati personali

4.2.d Categorieparticolari di dati

4.3    Utilizzodi un numero identificativo nazionale

5.      Dirittidelle persone cui si riferiscono i dati

5.1    Dirittoall’informazione

5.2    Dirittidi accesso, rettifica, cancellazione e blocco dei dati

5.3    Metodidi impugnazione

6.      Sicurezza

7.      Notificadelle autorità di tutela dei dati e controllo preliminare

8.      Trasferimentodei dati personali a paesi terzi

9.      Conclusionie raccomandazioni del WP29

1. Introduzione

Il progetto di istituireun sistema informatico per lo scambio di informazioni riguardanti i datipersonali suscita notevoli preoccupazioni sotto il profilo dei dirittifondamentali degli individui, ed in particolare del diritto alla privacy.

Vista la complessità delSistema di informazione del mercato interno (Internal Market Informationsystem o IMI) e dei vari aspettiassociati, la DG Mercato interno della Commissione europea ha chiesto il pareredel gruppo di lavoro istituito dall'articolo 29 (WP29). Il parere del gruppo siincentrerà sulle stesse tematiche trattate nei documenti Issue paper on DataProtection in IMI (D-4784) e GeneralOverview (D-1804). Il presenteparere è pertanto finalizzato ad analizzare le implicazioni del sistema IMI perquanto riguarda i dati personali tutelati a norma della direttiva 95/46/CE("direttiva sulla tutela dei dati") e del regolamento (CE) n. 45/2001("regolamento sulla tutela dei dati").

Nel marzo del 2006 irappresentanti degli Stati membri riuniti nell'ambito del Comitato consultivoper il mercato interno hanno dato il via allo sviluppo del Sistema diinformazione del mercato interno (IMI) inteso a migliorare la comunicazione trale amministrazioni degli Stati membri. Si tratta di uno strumento informaticoche offre un sistema di scambio di informazioni in grado di rendere piùefficace la cooperazione quotidiana tra gli Stati membri nell’attuazione dellalegislazione sul mercato interno nei settori disciplinati dalla direttiva2006/123/CE¹ relativa ai servizi nel mercato interno e dalladirettiva 2005/36/CE relativa al riconoscimento delle qualifiche professionali².L’IMI è stato concepito come ausilio per superare ostacoli pratici che frenanola comunicazione e la cooperazione tra le amministrazioni dei vari Statimembri, quali le differenze tra le culture amministrative e di lavoro, ledifferenze linguistiche e l’assenza di interlocutori chiari nei vari Statimembri; ha inoltre lo scopo di ridurre gli oneri amministrativi e di aumentarel’efficienza e l’efficacia della cooperazione quotidiana tra gli Stati membri.

L'importanza di accentuarela cooperazione amministrativa tra gli Stati membri è un aspetto riconosciutodalla strategia di Lisbona rinnovata³ e dal programma dell'UE sucome legiferare meglio⁴ perché è un elemento che servirà amigliorare l'applicazione del diritto comunitario da parte degli Stati membri.

Questi ultimi hannoinfatti il compito di garantire il funzionamento efficace e fluido dellalegislazione sul mercato interno nel proprio territorio, ma per fare questodevono disporre di strumenti per lavorare insieme e con la Commissione, perchésolo così sarà possibile trarre tutti i benefici che il quadro legislativoriserva ai cittadini e alle imprese. L'IMI viene creato per rispondere a questaesigenza e per ottemperare all'obbligo istituito dall'articolo 34, paragrafo 1,della direttiva 2006/123/CE relativa ai servizi nel mercato interno (di seguito"direttiva sui servizi") che prevede l'istituzione di un sistemaelettronico per lo scambio di informazioni tra Stati membri.

La priorità principalenell'ambito dell'IMI sarà lo sviluppo di applicazioni ai fini della direttiva2005/36/CE ("direttiva sulle qualifiche professionali") e delladirettiva sui servizi.

2. Descrizione delsistema IMI

Il sistema, destinatoprincipalmente alle amministrazioni e alle autorità competenti degli Statimembri, sarà costituito da una serie di applicazioni "orizzontali"che offriranno sostegno linguistico e uno strumento di comunicazione traautorità competenti, e da applicazioni "verticali" a supporto dinormative specifiche. L'IMI sarà un sistema a sé stante e tutte le sue funzionisaranno accessibili attraverso una pagina web.

2.1 Architettura: funzionidella Commissione e sistemi nazionali

Da un punto di vistastrutturale, il sistema IMI si prefigge in via prioritaria di agevolarel'adempimento degli obblighi giuridici che incombono agli Stati membri perquanto riguarda lo scambio di informazioni, ma consentirà anche formule dicooperazione amministrativa nuove e più complesse. L'IMI fornirà una funzionedi ricerca che permetterà di individuare l'autorità competente responsabile inun altro Stato membro e vari menu pretradotti contenenti una serie di domandestrutturate per agevolare lo scambio di informazioni richiesto. Il WP29sottolinea un aspetto cruciale: la Commissione deve concepire e preparare imenù e le domande strutturate in modo da ridurre al minimo il rischio diraccogliere informazioni non pertinenti, sproporzionate o riguardanti terzi.D'altra parte è altrettanto importante che gli utenti del sistema (ad esempiole autorità competenti che si scambiano le informazioni) garantiscano di nonutilizzare il sistema per scambiarsi dati non importanti, eccessivi o datiriguardanti terzi.

Il sistema è concepito pertener conto delle varie modalità di organizzazione delle amministrazioninazionali dei vari Stati membri (ad esempio sistemi centralizzati o decentrati,a vari livelli) e permette pertanto a questi ultimi di personalizzarel'organizzazione delle proprie autorità competenti ai fini dell'IMI, perrenderlo il più efficace possibile.

Segue una presentazionedei principali soggetti che intervengono in quest'ambito; a tal fine si fariferimento al documento General Overview.

2.2 Autorità coinvolte

I principali soggettiinteressati dal sistema IMI saranno le autorità competenti di tutto lo Spazioeconomico europeo (SEE) che utilizzeranno l'IMI per scambiarsi informazioni suisettori della legislazione in materia di mercato interno riguardanti leprofessioni e i servizi regolamentati.

Per quanto riguarda ilruolo e i poteri di ciascuna autorità in fase di trattamento dei datipersonali, è necessario sottolineare che sia la Commissione europea che isingoli Stati membri svolgeranno una funzione importante nel sistema IMI.Ciascuno Stato membro avrà infatti la possibilità di progettare le propriestrutture in modo che queste soddisfino le proprie esigenze specifiche, matutti gli Stati membri dovranno svolgere la stessa funzione nel contesto IMI.

Le funzioni specifichedelle autorità sono descritte nel seguente testo tratto dal documento dellaCommissione dal titolo Data Protection in IMI.

2.2.a Commissioneeuropea

Il documento DataProtection in IMI stabilisce quantosegue: “Il database si troverà su un server della Commissione a Lussemburgo.Tutti gli scambi di dati avverranno attraverso questo server e i dati scambiatisaranno memorizzati sul server. I compiti della Commissione [che in generesaranno delegati all'amministratore UE del sistema] riguarderanno laregistrazione del coordinatore nazionale IMI in ciascuno Stato membro, lagestione del database a livello di sistema, la gestione delle domandepredefinite in base alla legislazione e la traduzione delle componenti delsistema IMI in tutte le lingue ufficiali dell'UE."

La responsabilità perl'immissione dei dati, la conformità alle modalità di utilizzo dei dati e allenorme di qualità, la notifica e la gestione dei diritti di accesso, correzionee cancellazione ricade invece sulle amministrazioni nazionali.

Il WP29 sottolinea che,dato che la Commissione svolgerà anche determinati compiti di trattamento deidati i) per conto degli Stati membri (ad esempio l'archiviazione e la cancellazione)e ii) per proprio conto in veste di amministratore del sistema (datiriguardanti gli utenti dell'IMI e i contatti), essa deve condividere con leautorità competenti degli Stati membri la responsabilità in materia diconformità alle normative applicabili per la protezione dei dati. Occorreinoltre definire chiaramente le mansioni e le responsabilità della Commissionee delle autorità competenti degli Stati membri.

2.2.b Autoritàcompetente (AC)

Nello stesso documento siprecisa, in merito alle autorità competenti, che “in ciascuno Stato membrole pubbliche amministrazioni saranno nominate autorità competenti [e potrannoessere responsabili di vari ambiti della normativa]. Dopo essersi registratenel sistema, le AC potranno inviare e ricevere le richieste d'informazioneattraverso l'IMI.” A prescinderedalle relazioni che hanno con i DIMIC (negli Stati membri che decidano didesignarli), tutte le AC di uno Stato membro saranno soggette alla vigilanzadel NIMIC dello Stato membro in questione⁵.

Il WP29 sottolinea che inalcuni Stati membri non sempre le informazioni di cui ha bisogno l'ACrichiedente riguardo ad un determinato lavoratore o prestatore di servizimigrante sono detenute da un'unica AC. Così può essere necessario fare unadistinzione tra il riconoscimento dei diplomi, in cui l'autorità competente puòessere un particolare ministro, e il riconoscimento delle valutazioni per ilrilascio delle licenze professionali, nel qual caso l'AC potrebbe invece essereun'associazione di categoria. In casi come questi l’AC richiedente può dovercontattare due autorità competenti diverse. Per affrontare questi e altriaspetti analoghi, il WP29 accoglie positivamente il fatto che chi ha progettatol'IMI abbia previsto una rete di coordinatori all'interno di ciascuno Statomembro, per aiutare le AC richiedenti a trovare gli omologhi negli altri Statimembri (cfr. punto 2.2, lettere c) e d) del presente documento). Allo stessotempo il WP29 dichiara che l'interfaccia dell'IMI deve essere concepita in mododa ridurre al minimo il rischio di confusione sull'autorità competenteresponsabile di un determinato aspetto.

2.2.c Coordinatorenazionale IMI (NIMIC)

Ogni Stato membro nomineràun coordinatore nazionale per il sistema IMI che sarà la propria autorità IMIdi massimo livello nonché l’interlocutore diretto nelle comunicazioni con laCommissione europea e con gli altri Stati membri per tutti gli aspetti tecniciconnessi all’IMI e quando saranno necessari passaggi procedurali per ottenererisposte. Come indicato nel documento Data Protection in IMI, il coordinatore nazionale IMI sarà in grado divisualizzare l’elenco di tutte le richieste inviate dalle AC o pervenute lorooppure quello dei coordinatori delegati IMI del proprio Stato membro; taleelenco non conterrà tuttavia dati personali.

Il WP29 accogliefavorevolmente questa limitazione visto che, come conferma la stessaCommissione, i NIMIC non hanno necessariamente l’esigenza di accedere ai datipersonali per poter svolgere i compiti affidatigli. In tale contesto l’accessoai dati personali rappresenterebbe una violazione dell’articolo 6, paragrafo 1,lettera c), della direttiva sulla tutela dei dati, secondo il quale gli Statimembri devono garantire che i dati personali trattati siano: “adeguati,pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevatie/o per le quali vengono successivamente trattati.”

Ciò detto, il WP29 ritieneanche necessario esplicitare tale limitazione, precisando più dettagliatamentele informazioni che devono figurare in tali elenchi.

Il WP29 è anche convintoche la ripartizione delle competenze e dei compiti tra la Commissione, icoordinatori e le autorità competenti debba essere definita con maggioreprecisione, posto che loro rispettive funzioni con riferimento all’IMI sipossono descrivere più opportunamente come un “controllo congiunto”. Il WP29osserva che, in certa misura, ciascun soggetto coinvolto nel sistema IMIsvolgerà il duplice ruolo di incaricato del trattamento e responsabile deltrattamento in alcuna forma, in funzione dell’attività di trattamento svolta inogni determinata situazione. Il sistema IMI è complesso e può non essere semprefacile capire se i soggetti coinvolti svolgono il ruolo di responsabili o diincaricati del trattamento dei dati o entrambi. Questa possibile confusionesottolinea l’importanza di individuare in maniera esplicita e specifical’obiettivo di ciascuna azione di trattamento dei dati: in tal modo tutte leparti potranno comprendere quali sono gli usi consentiti dei dati e sapere comeconformarsi alle norme in materia di tutela dei dati anche in situazioni in cuinon è chiaro quale sia la natura precisa del loro intervento o quando taleintervento sia una combinazione delle due funzioni.

2.2.d Coordinatoredelegato IMI (DIMIC)

Nell’ambito del sistema èprevisto un terzo tipo di funzione, a discrezione degli Stati membri, ovvero lapossibilità di designare un coordinatore delegato IMI (DIMIC) incaricato dicoordinare e vigilare sul ruolo svolto dalle singole autorità competenti in ununico ambito legislativo o settoriale.

Come illustrato neldocumento Data Protection in IMI,il coordinatore delegato IMI dovrebbe poter visualizzare la lista di tutte lerichieste inviate o pervenute alle AC alle quali è collegato. Come rileva ildocumento, la lista in questione conterrà sufficienti informazioni di livelloelevato da permettere al coordinatore di monitorare il flusso delle richieste,senza tuttavia alcun legame ai dati personali. Il ruolo del DIMIC è statoconcepito espressamente per consentire agli Stati membri che hanno sistemicentralizzati di coordinarsi con gli Stati membri che hanno una struttura piùdecentrata o che vantano molte autorità competenti. Il WP29 rileva che occorrechiarire e definire con maggiore precisione i diversi ruoli del NIMIC e delDIMIC nonché le loro responsabilità nel garantire un’adeguata tutela dei datipersonali che vengono scambiati sotto il loro controllo, al fine di poteranalizzare in maniera più conclusiva le implicazioni del loro intervento.

2.2.e Autoritàcollegate

Un’autorità competente puòanche concedere un "accesso a fini di monitoraggio" ad altre amministrazioni pubbliche del proprio Statomembro. Per "accesso a fini di monitoraggio" s’intende che un’altra autorità può visualizzare lalista di tutte le richieste inviate dalle AC o ad esse pervenute senza accederead alcun dato personale trattato.

Questa funzione dovrebbepermettere alle organizzazioni di stampo professionale (come le associazioni dicategoria) di visualizzare una lista anonima delle richieste destinate allerelative organizzazioni, ad esempio nell’ottica di garantire che tali richiestesiano inoltrate alle AC effettivamente responsabili. Il WP29 ritiene tuttavianecessario che vengano definiti in maniera più esplicita gli obiettivi e ibenefici specifici del ruolo delle autorità collegate, nonché le informazioniparticolari cui esse possono accedere, per evitare che vi sia un accesso nonautorizzato ai dati personali.

2.3 Ruoli e dirittiall’interno del sistema

Le principali attività ditrattamento dei dati avverranno all’interno del sistema IMI durante lo scambiodi informazioni tra le autorità competenti degli Stati membri; accanto a taliattività vi sarà anche il trattamento dei dati personali operato dalla Commissionestessa e riguardante informazioni sulle autorità competenti. Tutti i soggetticoinvolti nel trattamento dei dati personali (AC, NIMIC o DIMIC) dovrannosempre operare nel rispetto delle normative nazionali che attuano la direttiva95/46/CE⁶ nello Stato membro in cui hanno sede. A sua volta, laCommissione è tenuta al rispetto del regolamento sulla tutela dei dati.

Vista la diversità deiruoli e dei soggetti coinvolti nel sistema IMI è necessario stabilire qualisono i tipi di trattamento dati di cui ciascun soggetto è considerato il"responsabile del trattamento". La definizione di "responsabiledel trattamento" figura all’articolo 2, lettera d), della direttiva sullatutela dei dati e recita: “la persona fisica o giuridica, l'autoritàpubblica, il servizio o qualsiasi altro organismo che, da solo o insieme adaltri, determina le finalità e gli strumenti del trattamento di dati personali.”

D’altro canto la medesimadirettiva, all’articolo 2, lettera e), definisce così l’“incaricato deltrattamento”: “la persona fisica o giuridica, l'autorità pubblica, ilservizio o qualsiasi altro organismo che elabora dati personali per conto delresponsabile del trattamento.”

L’incaricato è pertanto lapersona o l’autorità che tratta effettivamente i dati seguendo le istruzionidel responsabile del trattamento.

Sempre la direttiva sullatutela dei dati stabilisce, all’articolo 17, paragrafo 3, che l'esecuzione deitrattamenti da parte di terzi (cioè da parte di un soggetto diverso dalresponsabile del trattamento) deve essere disciplinata da un contratto o da unatto giuridico che vincoli l'incaricato del trattamento al responsabile deltrattamento e che preveda segnatamente che l'incaricato del trattamento operisoltanto su istruzioni del responsabile del trattamento.

Nel presente documento nonverranno esaminati approfonditamente tutti i possibili scenari di trattamentodei dati; tuttavia, il WP29 ritiene che, per ogni intervento di trattamento, ilresponsabile del trattamento ha il compito di assicurare il rispetto deiprincipi e delle garanzie istituite nel presente documento, anche per quantoriguarda le misure di sicurezza.

L’incaricato deltrattamento, da parte sua, deve rispettare gli obblighi di riservatezzaadottando tutte le misure di sicurezza del caso e agendo solo su istruzione delresponsabile del trattamento.

Le autorità competenti ela Commissione devono essere chiaramente consapevoli che la memorizzazione e lacancellazione dei dati sono operazioni di cui condividono la responsabilità. Intal senso occorrerà pertanto preparare un documento che definisca la cornice incui si inseriscono i rapporti tra responsabile e incaricato del trattamento per quanto riguarda le due operazioniindicate, con una chiara descrizione dei compiti e delle responsabilità diciascuna parte.

La struttura dell’IMI creauna rete notevolmente complessa di responsabili e incaricati del trattamentodei dati. È dunque necessario capire che le responsabilità delle singole partipossono variare in funzione del tipo di attività interessata e non sempre ènecessariamente chiaro se un soggetto è il responsabile o l'incaricato deltrattamento. È evidente che, a prescindere da questa distinzione, tutti isoggetti che sono responsabili o effettuano direttamente il trattamento devonomantenere il livello di sicurezza dei dati e rispettare i principi ditrattamento dei dati indicati nella direttiva o nel regolamento sulla tuteladei dati, secondo il caso.

3. Dati personalitrattati

Il sistema IMI può avereripercussioni sui diritti fondamentali di un numero consistente di lavoratori eprestatori di servizi migranti che esercitano il proprio diritto alla liberacircolazione nell'UE. Il sistema conserva anche dati sugli utenti dell'IMI(personale delle AC, NIMIC e DIMIC).

L’articolo 2 della direttivasulla tutela dei dati definisce i dati personali come "qualsiasiinformazione concernente una persona fisica identificata o identificabile.”⁷ Poiché il sistema IMI tratta e archiviai dati personali per due finalità diverse, il WP29 ritiene di poter concludereche il sistema prevede due categorie diverse di trattamento dei dati personali.

- La prima categoriariguarda i dati personali delle AC (e dei NIMIC e DIMIC) che utilizzerannol’IMI. Poiché si tratta delle coordinate degli utenti, il sistema memorizzerànomi, numeri di telefono, indirizzi di posta elettronica e altre informazionianaloghe. L’elenco dei dati che saranno raccolti da queste persone deve essereindicato specificamente e deve rispondere alla disposizione contemplata dalladirettiva, secondo la quale i dati non devono essere eccedenti rispetto aquelli necessari per la funzionalità del sistema (qualità dei dati).

- La seconda categoria ditrattamento riguarda invece i lavoratori e i prestatori di servizi nel contestodella direttiva sui servizi e della direttiva sulle qualifiche professionali.Tali dati comprendono nome, numero di telefono, indirizzo di posta elettronica,data di nascita e nazionalità di ciascun prestatore di servizi (se del caso, ein genere a fini di identificazione) nonché dati relativi alle qualificheprofessionali e dati più sensibili come quelli sulla buona condotta, sulleazioni disciplinari, sulle sanzioni penali e sulla legalità dello stabilimento.

4. Analisi del sistemasotto il profilo giuridico e aspetti specifici

4.1 Base giuridica peril trattamento dei dati personali (Articolo 7)

Le direttive sullequalifiche professionali e sui servizi creano obblighi specifici in materia dicooperazione amministrativa tra Stati membri, come l’obbligo di scambiarsiinformazioni, che nella maggior parte dei casi riguardano “una personafisica identificata o identificabile.”Ciò significa che il relativo quadro legislativo subirà modifiche sostanzialiman mano che queste direttive saranno recepite nell’ordinamento nazionale.Tuttavia le norme da introdurre per quanto riguarda l’IMI devono esserecoerenti con i principi generali di tutela dei dati definiti nella direttiva enel regolamento in materia già citati.

Il sistema IMIdeterminerà, inevitabilmente, effetti più rilevanti sui meccanismi ditrattamento dei dati e sulle relative attività di vigilanza e controlloaffidate alle autorità competenti.

L’articolo 56 delladirettiva sulle qualifiche professionali recita:

“1. Le autoritàcompetenti dello Stato membro ospitante e di quello d'origine collaboranostrettamente e si assistono reciprocamente per agevolare l'applicazione dellapresente direttiva. Essi garantiscono la riservatezza delle informazioni chescambiano.

“2. Le autoritàcompetenti dello Stato membro ospitante e dello Stato membro d'origine siscambiano informazioni concernenti l'azione disciplinare o le sanzioni penaliadottate o qualsiasi altra circostanza specifica grave che potrebbero avereconseguenze sull'esercizio delle attività previste dalla presente direttiva,nel rispetto della normativa sulla protezione dei dati personali di cui alledirettive 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995,relativa alla tutela delle persone fisiche con riguardo al trattamento dei datipersonali, nonché alla libera circolazione di tali dati, e 2002/58/CE delParlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamentodei dati personali e alla tutela della vita privata nel settore dellecomunicazioni elettroniche (direttiva relativa alla vita privata e allecomunicazioni elettroniche).”

Anche l’articolo 28 delladirettiva sui servizi istituisce l’assistenza reciproca:

“1. Gli Stati membri siprestano assistenza reciproca e si adoperano per instaurare forme di collaborazioneefficaci onde garantire il controllo dei prestatori e dei loro servizi…

“6. Gli Stati membri forniscono al più presto e pervia elettronica le informazioni richieste da altri Stati membri o dallaCommissione.”

La cooperazione richiestada queste direttive deve essere attuata con diligenza, ma richiede maggioricapacità e reattività. A tal fine la direttiva sui servizi invoca la creazionedi uno strumento elettronico per semplificare e accelerare lo scambio diinformazioni. In particolare, l’articolo 34 della direttiva in questionestabilisce che "[l]a Commissione, in collaborazione con gli Statimembri, istituisce un sistema elettronico per lo scambio di informazioni tragli Stati membri tenendo conto dei sistemi di informazione esistenti.”

Il WP29 ritiene necessariostabilire chiaramente che il sistema IMI deve rispettare le norme esistenti inmateria di protezione dei dati. Questo obbligo è sancito esplicitamentenell’articolo 43 della direttiva sui servizi, che accentua l’importanza diun’applicazione continua e coerente della direttiva sulla tutela dei dati edella direttiva 2002/58/CE ("direttiva relativa alla vita privata e allecomunicazioni elettroniche").

A livello generale, labase giuridica per il trattamento dei dati negli Stati membri è contenutanell’articolo 7 della direttiva sulla tutela dei dati, che definisce lecondizioni che legittimano le attività di trattamento dei dati. L’articolo 7,lettera c), in particolare, specifica che il trattamento dei dati personali puòavvenire se "è necessario per adempiere un obbligo legale al quale èsoggetto il responsabile del trattamento.” L’articolo 5, lettera b), del regolamento sulla tutela dei daticontiene disposizioni analoghe.

Come anticipato,l’articolo 34 della direttiva sui servizi istituisce quest’obbligo giuridicoper i responsabili del trattamento dati e (una volta recepito negli ordinamentinazionali) consente loro di trattare i dati personali del caso. Questa basegiuridica solleva tuttavia alcuni potenziali aspetti problematici.

In primo luogo, ladirettiva sulle qualifiche professionali non fa riferimento ad alcuno strumentoelettronico per lo scambio delle informazioni, anche se prevede lacooperazione. In effetti, l’articolo 56, paragrafo 2, impone alle autoritàcompetenti degli Stati membri di scambiarsi informazioni concernenti l'azionedisciplinare o le sanzioni penali adottate o qualsiasi altra circostanzaspecifica grave che potrebbero avere conseguenze sull'esercizio delle attivitàpreviste dalla direttiva citata, ma non contempla la creazione di un sistemaelettronico a tal fine. Altre disposizioni della direttiva prevedono anchescambi di informazioni se un’autorità competente ha fondati dubbi su un aspettospecifico. Anche se la DG MARKT ritiene che la base giuridica per lo scambiodelle informazioni risieda in queste disposizioni specifiche, non è certo cheesse rappresentino una base giuridica del tutto adeguata per il trattamento deidati nel contesto del sistema IMI ai fini della cooperazione prevista dalladirettiva sulle qualifiche professionali.

In secondo luogo, affinchél’articolo 7, lettera c), della direttiva sulla tutela dei dati possarappresentare la base giuridica per il trattamento dei dati, è necessario chele direttive sulle qualifiche professionali e sui servizi siano recepitenell’ordinamento nazionale. Se uno Stato membro non le ha recepite è ancora unavolta discutibile l’esistenza di una base giuridica adeguata e, dunque, lapossibilità di procedere al trattamento dei dati attraverso l’IMI.

Il WP29 aggiungeinoltre che, anche se la direttiva sui servizi e quella sulle qualificheprofessionali, una volta recepite nel diritto nazionale, fornissero una basegiuridica generale, occorrerebbe comunque motivare ogni singolo scambio didati. In particolare, secondo la direttiva sulla tutela dei dati, ognioperazione di trattamento dei dati deve perseguire finalità specificate,esplicite e legittime ed essere fondata su una base giuridica adeguataspecifica alla finalità perseguita.

Infine, il WP29 mette inluce che anche l’articolo 7, lettera e), della direttiva sulla tutela dei datipuò essere una base giuridica complementare discutibile ai fini del trattamentodei dati; ai sensi di tale articolo, il trattamento può essere effettuatosoltanto quando: “è necessario per l'esecuzione di un compito di interessepubblico o connesso all'esercizio di pubblici poteri di cui è investito ilresponsabile del trattamento o il terzo a cui vengono comunicati i dati”. Il sistema IMI è finalizzato a fornire informazioni eagevolare la cooperazione tra le varie autorità competenti degli Stati membri.In altri termini, ha finalità d'interesse pubblico perché contribuisce agarantire il corretto funzionamento del mercato interno da parte delle personeche intendono avvalersi della libertà di stabilimento e della libertà diprestare servizi nell’ambito della propria attività professionale.

Nonostante le possibilitàofferte dall’articolo 7, lettere c) ed e), alla luce delle incertezzegiuridiche illustrate il WP29 raccomanda una soluzione specifica per la basegiuridica, ovvero l’adozione da parte della Commissione di una decisione diattuazione, come del resto quest’ultima ha recentemente deciso di fare. Oltre arafforzare la base giuridica per il trattamento dei dati, tale decisionedovrebbe anche definire i campi di dati da inserire nel database, il contenutominimo delle richieste, delle risposte e dei flussi di dati e precisare i ruolie le responsabilità dei vari soggetti coinvolti e gli obblighi giuridici sottoil profilo della tutela dei dati.

4.2 Applicazione deiprincipi di qualità dei dati (Articolo 6)

4.2.a Qualità enecessità dei dati

Il sistema IMI è unostrumento concepito appositamente per condividere le informazioni e consentirvil’accesso alle autorità competenti quando fosse necessario. Comporta pertantoun flusso di informazioni, alcune delle quali sensibili (con la possibilità diconservare i dati per un periodo di sei mesi, come illustrato al punto 4.2,lettera c), del presente documento), e deve dunque rispettare i principiistituiti all’articolo 8 della direttiva sulla tutela dei dati. È statoesplicitamente stabilito che l’IMI deve rispettare le garanzie introdotte dalladirettiva sulla tutela dei dati al fine di salvaguardare i diritti legittimidelle persone interessate che sono stati recepiti nell’ordinamento nazionale ditutti gli Stati membri.

In primo luogo occorresoddisfare l’obbligo di qualità dei dati definito all’articolo 6 delladirettiva sulla tutela dei dati. In base a tale principio, possono essererilevati dati personali solo per finalità determinate, esplicite e legittime edessere successivamente trattati in modo non incompatibile con tali finalità.Per soddisfare tale principio è dunque necessario che venga definita conchiarezza la finalità per la quale vengono rilevati e trattati i dati con ilsistema IMI.

In secondo luogo occorreverificare la conformità ai principi della proporzionalità e della legittimità,tenuto conto dei rischi per la tutela dei dati, dei diritti fondamentali degliindividui e soprattutto dell’eventuale necessità di divulgare informazionirelative a procedimenti disciplinari.

4.2.b Proporzionalità

La proporzionalità è unprincipio essenziale nel quadro giuridico istituito dalla direttiva 95/46/CE edal regolamento (CE) n. 45/2001 e prevede che nei questionari utilizzati per loscambio delle informazioni in ambito IMI le AC non possano fornire informazioniirrilevanti o eccessive rispetto all’obiettivo definito dello scambio.Pertanto, nell’ambito dello scambio di informazioni su un lavoratore o unprestatore di servizi migrante, la finalità deve essere definita in anticipo.

Le persone designatepossono stampare una relazione completa di qualsiasi scambio di informazioni inqualsiasi lingua ufficiale dell’UE. L’IMI permetterà inoltre di caricare earchiviare eventuali documenti o immagini supplementari se rilevanti.

Inoltre, in applicazionedel principio di proporzionalità, il WP29 raccomanda che l’AC responsabile delsistema IMI valuti con attenzione se possa essere opportuno limitare il numerodelle persone autorizzate a inviare e a rispondere alle richieste diinformazioni.

Nel contesto dell’IMI èinoltre importante che l’elenco delle domande attraverso le quali le ACpotranno scambiarsi le informazioni sia elaborato tenendo conto del principiodi proporzionalità. A tal fine, la soluzione più sicura sotto il profilo dellatutela dei dati sarebbe quella di elencare tutti i campi di dati (cioè tutte ledomande e le risposte predefinite) nella decisione di attuazione citata inprecedenza (cfr. punto 4.1). Il WP29 riconosce, tuttavia, che chi progetta ilsistema possa voler mantenere una certa flessibilità per consentire futuriadattamenti o miglioramenti del sistema stesso. Per trovare una soluzione aquesti interessi divergenti e garantire allo stesso tempo degli scambi diinformazioni trasparenti, il WP29 suggerisce che la nuova decisione diattuazione della Commissione indichi esplicitamente che: i) tutte le domandepredefinite devono essere attinenti agli obblighi previsti dalle direttivesulle qualifiche professionali e sui servizi (o eventualmente da altredirettive che dovessero essere aggiunte in futuro in un allegato aggiornatoalla decisione della Commissione); ii) tali domande devono essere elaborate inconsultazione con i soggetti interessati degli Stati membri e iii) le domande ele risposte predefinite devono essere pubblicate sul sito web dell’IMI.

4.2.c Aspettiparticolari riguardanti la conservazione dei dati personali

La Commissione intendefissare un periodo automatico di 6 mesi per la conservazione dei dati einserire nell’architettura del sistema dei richiami automatici sullacancellazione dei dati.

Secondo la direttiva sullatutela dei dati personali, questi devono essere conservati per un arco di temponon superiore a quello necessario al conseguimento delle finalità per le qualisono rilevati o sono successivamente trattati (articolo 6, paragrafo 1, letterae), e regolamento (CE) n. 45/2001). Questa precisazione è necessaria pergarantire il rispetto del principio di proporzionalità del trattamento.

Il WP29 ritiene che i seimesi proposti dalla Commissione possano a prima vista rappresentare un periodoragionevole, perché può accadere che le autorità competenti debbano faredomande supplementari sullo stesso caso. Secondo il WP29 è tuttavia necessarioche, nella sua decisione di attuazione, la Commissione spieghi chiaramente imotivi che giustificano la conservazione dei dati per questo periodo specifico.

4.2.c.i Conservazionedei dati da parte della Commissione

I dati archiviati sulserver della Commissione a Lussemburgo devono essere soggetti a norme di tutelaanaloghe a quelle applicabili ai dati memorizzati nei database nazionali. Inparticolare, i dati in questione possono essere conservati nel sistema IMI solofinché sono necessari alle finalità per le quali sono stati rilevati.

I dati contenuti nelserver non devono essere utilizzati per motivi diversi o altre richieste diinformazione e devono sempre essere trattati secondo la normativa sullaprotezione dei dati. In particolare è estremamente importante impedirel’accesso non autorizzato ad essi.

Se il periodo diconservazione dei dati ritenuto più opportuno (che corrisponderà dunque ancheal periodo indicato all’articolo 4, lettera e), del regolamento (CE) n.45/2001) viene fissato a 6 mesi, sarà necessario determinare in maniera chiaraed esplicita l’obiettivo o la finalità di ciascuna operazione di trattamentodei dati, oltre che garantire che non vi sia alcun accesso indebito ad essi.

4.2.c.ii Periodo diconservazione dei dati trattati e archiviati dalle autorità nazionali

Se anche le autoritànazionali conservano dati personali, questi devono essere archiviati solo finoal termine dello scambio o dell’operazione per il quale o la quale sono statirilevati, fissando scadenze determinate per la loro cancellazione secondoquanto previsto dalla normativa nazionale di ciascuno Stato membro.

Questa disposizione èparticolarmente importante in situazioni in cui un addetto dell’AC è in gradodi archiviare queste informazioni sul disco fisso del proprio computer o su unaltro dispositivo analogo. Anche in quel caso si applica il limite temporalefissato per la conservazione dei dati, che devono essere “bloccati” non appenanon siano più utili per le finalità per le quali erano stati rilevati. Questoobbligo va naturalmente ad aggiungersi agli altri previsti dalle norme ditutela dei dati istituite a livello nazionale.

4.2.d Categorieparticolari di dati

Il trattamento di datisensibili impone di dedicare un’attenzione particolare al rispetto delle normedi protezione dei dati. Le condizioni e limitazioni riguardanti i datisensibili sono istituite all’articolo 8 della direttiva sulla tutela dei dati eall’articolo 10 del regolamento (CE) n. 45/2001.

Questi dati comprendonoindicazioni che rivelino l'origine razziale o etnica, le opinioni politiche, leconvinzioni religiose o filosofiche, l'appartenenza sindacale, come puretrattare dati relativi alla salute e alla sessualità. Anche i dati riguardantii reati, le condanne penali o le misure di sicurezza sono ritenuti sensibili aisensi della direttiva sulla tutela dei dati (e del regolamento (CE) n.45/2001). Gli Stati membri possono ritenere sensibili anche i dati riguardantile sanzioni o i procedimenti amministrativi.

Il documento DataProtection in IMI indica che l’IMI “nonè finalizzato” a trattare datisensibili di questo tipo. Tuttavia, gli scambi di informazioni che avvengonotramite il sistema possono eventualmente comprendere dati riguardanti la salute(ad esempio se la persona in cerca di lavoro è portatrice di disabilità).

Il WP29 ritiene chel’espressione “non è finalizzato” sia troppo vaga e permissiva. Per garantirela conformità alle disposizioni in materia di tutela dei dati occorre unaformulazione vincolante, ad esempio: i dati sensibili “non devono esseretrattati” e le eventuali deroghe devono essere indicate chiaramente ed esseresoggette a ulteriori garanzie.

L’articolo 8 delladirettiva sulla tutela dei dati sancisce chiaramente che “[g]li Stati membrivietano il trattamento di dati personali che rivelano l'origine razziale oetnica, le opinioni politiche, le convinzioni religiose o filosofiche,l'appartenenza sindacale, nonché il trattamento di dati relativi alla salute ealla vita sessuale”. L’articolo 10del regolamento (CE) n. 45/2001 ha una formulazione analoga.

In particolare, ilparagrafo 5 dell’articolo 8 stabilisce che "[i] trattamenti riguardantii dati relativi alle infrazioni, alle condanne penali o alle misure disicurezza possono essere effettuati solo sotto controllo dell'autoritàpubblica, o se vengono fornite opportune garanzie specifiche, sulla base deldiritto nazionale, fatte salve le deroghe che possono essere fissate dalloStato membro in base ad una disposizione nazionale che preveda garanzieappropriate e specifiche. Tuttavia un registro completo delle condanne penalipuò essere tenuto solo sotto il controllo dell'autorità pubblica.

Gli Stati membripossono prevedere che i trattamenti di dati riguardanti sanzioni amministrativeo procedimenti civili siano ugualmente effettuati sotto controllo dell'autoritàpubblica.”

La direttiva sullequalifiche professionali fornisce, all’articolo 56, paragrafo 2, una basegiuridica per la trasmissione dei dati penali e sulle azioni disciplinari, inquanto ribadisce che tali scambi devono rispettare le disposizioni illustratein precedenza. Tuttavia, le condizioni specifiche applicabili allo scambio diinformazioni sui dati penali dovrebbero basarsi sulla normativa nazionale cheattua la direttiva 95/46/CE.

“Le autoritàcompetenti dello Stato membro ospitante e dello Stato membro d'origine siscambiano informazioni concernenti l'azione disciplinare o le sanzioni penaliadottate o qualsiasi altra circostanza specifica grave che potrebbero avereconseguenze sull'esercizio delle attività previste dalla presente direttiva,nel rispetto della normativa sulla protezione dei dati personali di cui alledirettive 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995,relativa alla tutela delle persone fisiche con riguardo al trattamento dei datipersonali, nonché alla libera circolazione di tali dati, e 2002/58/CE delParlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamentodei dati personali e alla tutela della vita privata nel settore dellecomunicazioni elettroniche (direttiva relativa alla vita privata e allecomunicazioni elettroniche).”

L’articolo 33 delladirettiva sui servizi prevede inoltre norme specifiche per lo scambio di informazioniriguardanti l’onorabilità del fornitore di servizi migrante. Tali norme devonoessere esaminate integralmente ben prima della loro attuazione per valutarne leimplicazioni ai fini della protezione dei dati. "Gli Stati membricomunicano, su richiesta di un’autorità competente di un altro Stato membro,conformemente al loro diritto nazionale, le informazioni relative alle azionidisciplinari o amministrative promosse o alle sanzioni penali irrogate e alledecisioni relative all’insolvenza o alla bancarotta fraudolenta assunte dalleloro autorità competenti nei confronti di un prestatore che siano direttamentepertinenti alla competenza del prestatore o alla sua affidabilitàprofessionale. Lo Stato membro che comunica tali informazioni ne informa il prestatoreinteressato.”

Per quanto riguarda ledisposizioni giuridiche che legittimano il trattamento dei dati, è necessariotenere presenti i principi istituiti nella direttiva sulla tutela dei dati, cheillustra in modo più concreto i concetti di proporzionalità, qualità elimitazioni all’uso dei dati ai fini della loro tutela. Nello scambio di datisensibili è fondamentale garantire che le informazioni personali siano accuratee aggiornate: per esempio, non dovrebbero essere scambiati dati penali obsoleti.

Ci saranno inoltresituazioni in cui i dati relativi alle sanzioni amministrative non sonoessenziali per l’esercizio di una professione in un dato Stato membro. In talcaso occorre tener conto degli statuti professionali dello Stato membro di originee dello Stato membro in cui il prestatore di servizi migra. A prescinderedall’importanza particolare dei dati in una situazione come questa, iltrattamento dei dati in ambito IMI dovrà rispettare il principio diproporzionalità di cui alla direttiva sulla tutela dei dati8.

Per quanto riguarda i datisui debiti insoluti o gli illeciti penali, il documento intitolato WorkingDocument on Black Lists (WP65)9prevede quanto segue:

“L’articolo 8,paragrafi 5 e 6, della direttiva 95/46/CE cita il trattamento di dati relativialle infrazioni e alle condanne penali e stabilisce che, in generale, taletrattamento può essere effettuato solo sotto il controllo dell'autoritàpubblica, fatte salve le deroghe che possono essere fissate dallo Stato membroin base ad una disposizione nazionale che preveda garanzie appropriate perevitare ripercussioni sui diritti fondamentali dei cittadini; tali deroghedevono essere notificate alla Commissione.

La legittimità deltrattamento di fascicoli comprendenti dati sugli illeciti penali si fondasull’obbligo delle autorità di mantenere la sicurezza e l’ordine pubblico. Èindubbio che questo principio giustifica il trattamento di tali dati, acondizione tuttavia che siano rispettate le restrizioni indicate nel paragrafoprecedente, come previsto dall’articolo 7, lettera e), della direttiva.

Per quanto riguarda iltrattamento dei dati personali riguardanti gli illeciti penali, la maggiorparte degli Stati membri dispone di archivi contenenti informazioni di questotipo che sono tenuti sotto controllo da un’autorità pubblica…

Questo tipo ditrattamento deve sempre tener conto dei principi di qualità dei dati contenutinella direttiva, in particolare per quanto riguarda l'accuratezza el'aggiornamento dei medesimi. Analogamente occorre prestare particolareattenzione al diritto alla correzione e alla cancellazione periodica oautomatica dei dati riguardanti un soggetto una volta trascorso il periodo ditempo stabilito per legge e alla creazione, a tal fine, di vari meccanismi che rendanopossibili, agevolino e accelerino queste operazioni: il mantenimento delleinformazioni riguardanti una persona in tali archivi oltre i periodi fissatipuò infatti avere conseguenze pregiudizievoli.

Queste osservazionisono particolarmente rilevanti nel caso di sentenze di non colpevolezza,limitazione della responsabilità o riabilitazione, per i quali non ci sarebbealcun motivo di conservare i dati. Occorre sottolineare che gran parte degliStati membri disciplina questi aspetti nell'ambito del proprio diritto penale edunque i criteri applicabili a tal fine variano.

Un altro puntofondamentale da considerare è l'accesso alle informazioni, cioè il fatto dideterminare quali siano le persone o le istituzioni autorizzate ad accedere aidati contenuti in tali archivi. Le persone interessate devono avere sempre ildiritto di accedere alle informazioni che li riguardano.

Questa disposizione inmateria di accesso può dar vita a situazioni alquanto complesse eproblematiche: si pensi, ad esempio, al caso di una persona in cerca dioccupazione alla quale, negli Stati membri in cui ciò sia consentitonell'ambito di una procedura di selezione, il datore di lavoro chieda dipresentare un estratto del casellario giudiziale rilasciato dal responsabiledel trattamento dei dati di un'autorità pubblica. Il candidato ottiene taleestratto, che potrebbe contenere dati su eventuali condanne penali o altriprovvedimenti di sicurezza a suo carico. Il datore di lavoro avrebbe dunqueaccesso al contenuto di alcuni dati, diritto che non gli è direttamentericonosciuto sotto il profilo giuridico.

“Le situazioniipotetiche illustrate finora possono complicarsi ulteriormente se il datore dilavoro dovesse successivamente fare uso di tali informazioni, visto che, inteoria, la semplice consultazione delle informazioni fornite dal candidatodurante la procedura di selezione non costituirebbe una violazionedell'articolo 8, paragrafo 5, della direttiva, mentre potrebbe esserlo uneventuale trattamento manuale o elettronico successivo.”

Per limitare al massimo latrasmissione superflua di dati di questo genere, sensibili ma non semprerilevanti, il WP29 suggerisce che, qualora non sia strettamente necessariotrasferire informazioni sul casellario giudiziale di una persona, le domande ele risposte pre-definite contenute nell'interfaccia IMI non dovrebberoprevedere la richiesta di dati penali e dovrebbero essere riformulate in mododa ridurre al minimo la condivisione di dati sensibili. Per citare un esempio,all'autorità competente del paese ospitante può bastare sapere che un avvocatomigrante è registrato legalmente e regolarmente iscritto all'albo degliavvocati del paese d'origine, senza dover necessariamente essere informata deireati al codice della strada eventualmente presenti nel casellario giudizialedi tale persona, se ciò non impedisce al lavoratore di esercitare laprofessione di avvocato nel paese d'origine.

4.3 Utilizzo di unnumero identificativo nazionale

Il documento Dataprotection in IMI stabilisce: “Infine,a norma dell'articolo 8, paragrafo 7, della direttiva 95/46/CE gli Stati membrideterminano a quali condizioni un numero nazionale di identificazione oqualsiasi altro mezzo identificativo di portata generale può essere oggetto ditrattamento. Il trattamento di dati personali di questo tipo agevola certamentelo scambio di informazioni tra le autorità competenti nel senso che è piùfacile identificare il prestatore di servizi interessato. Le restrizioninazionali allo scambio di questi dati non sembrano pertanto giustificate.”

Si tratta di un temaestremamente delicato. Il trattamento dei numeri di identificazione nazionali èuna prerogativa degli Stati membri, come stabilito espressamente dall’articolo8, paragrafo 7, della direttiva sulla tutela dei dati: “Gli Stati membrideterminano a quali condizioni un numero nazionale di identificazione oqualsiasi altro mezzo identificativo di portata generale può essere oggetto ditrattamento.” Gli Stati membripossono pertanto determinare tutte le condizioni e le modalità per trasmettereil numero di identificazione nazionale attraverso il sistema IMI, fissandoeventualmente anche le restrizioni. In alcuni Stati membri, ad esempio, l’usodel numero di identificazione è soggetto ad una disciplina rigorosa ed è consentitosolo previa autorizzazione di un apposito comitato istituito all’internodell’autorità garante per la protezione dei dati personali. Una limitazione diquesto tipo è consentita dalla direttiva sulla tutela dei dati ed è pertantoapplicabile anche nel contesto dell’IMI.

5. Diritti dellepersone cui si riferiscono i dati

5.1 Dirittoall’informazione

Gli articoli 10 e 11 delladirettiva sulla tutela dei dati prevedono che il responsabile del trattamentoinformi le persone del fatto che vengono trattati dati che li riguardano; ancheil regolamento sulla tutela dei dati contiene l’obbligo di informazione. Se idati vengono rilevati direttamente presso la persona interessata, l’articolo 10della direttiva summenzionata prevede l’obbligo di un’informazione chiara ecompleta sul sistema e impone al responsabile del trattamento di informare gliinteressati dell’esistenza, della finalità e del funzionamento del sistema, deisoggetti a cui verranno trasmessi i dati e del diritto di accesso, correzione ecancellazione dei dati stessi.

L’articolo 11 dellamedesima direttiva prevede inoltre che i responsabili del trattamento dei daticomunichino alle persone interessate se i dati che li riguardano sono raccoltipresso terzi e non direttamente presso di loro. Anche in questo caso il dirittoall'informazione consente di esercitare i diritti elencati in precedenza.

Per favorire il dirittoall’informazione il gruppo di lavoro WP29 raccomanda di seguire una strategiad’informazione a vari livelli.

A tal fine si potrebbericorrere a varie misure, ad esempio una nota d’informazione indicante chetutti i dati previsti dagli articoli 10 e 11 della direttiva, ed in particolarel’identità del responsabile e la finalità del trattamento, devono essereforniti in anticipo per poter così garantire un trattamento equo dei dati.

In primo luogo laCommissione dovrebbe pubblicare sul suo sito web una nota dettagliatacontenente le informazioni richieste a norma degli articoli 10 e 11 delladirettiva sulla tutela dei dati e le corrispondenti disposizioni delregolamento sulla tutela dei dati; nella stessa nota dovrebbero inoltre esseredescritte accuratamente le funzioni della Commissione e delle AC, con unriferimento esplicito, formulato in un linguaggio chiaro, ai diritti delle personedi cui vengono trattati i dati.

In secondo luogo ogni ACdovrebbe inserire nel proprio sito una nota riguardante la privacy, con un linkalla nota sulla privacy pubblicata nel sito della Commissione.

Infine, nel sistema IMI,come in altri ambiti, le notifiche e le informazioni necessarie devono esserecomunicate direttamente, individualmente e immediatamente dopo la trasmissionedei documenti da parte dei cittadini o delle AC. Tale obbligo dovrebbe essereillustrato esplicitamente a tutti i soggetti che intervengono nel sistema IMI.

5.2 Diritti di accesso,rettifica, cancellazione e blocco dei dati

L’articolo 12 delladirettiva sulla tutela dei dati riguarda il diritto di accesso e rettifica: inaltri termini la persona ha diritto ad accedere ai propri dati personaliarchiviati per verificarne l’accuratezza ed eventualmente apportarvi modifichese sono imprecisi, incompleti od obsoleti. Il sistema IMI deve essere concepitoin modo da garantire che venga rispettato il diritto di ogni individuo a consultaree rettificare i dati imprecisi, incompleti e obsoleti.

Le persone devono inoltrepoter rettificare o cancellare i propri dati se il trattamento degli stessi nonè conforme alla direttiva sulla tutela dei dati, in particolare perl’incompletezza o imprecisione dei dati medesimi (cfr. articolo 12, letterab)).

Se i dati imprecisi oaltri dati non validi devono essere rettificati o bloccati, il responsabile deltrattamento deve informarne anche tutte le autorità competenti coinvolte neltrattamento illecito. Questa responsabilità deve essere indicata espressamente;a tal fine sarebbe estremamente utile per tutte le parti in causa disporre diun’interfaccia IMI concepita appositamente per permettere tale comunicazione.Potrebbe anche essere necessario istituire una procedura nel caso in cui icittadini decidano di esercitare il proprio diritto alla cancellazione deidati, per far sì che i dati vengano effettivamente eliminati da tutti idatabase, anche quelli esterni al sistema IMI, istituendo anche un coordinamentofra le autorità competenti.

Ogni eventuale diniego diaccesso deve fondarsi su una deroga specifica prevista dal diritto nazionale inmateria di protezione dei dati ed essere accuratamente motivato.

Se l’autorità interessatanon risponde entro un lasso di tempo ragionevole, o non solleva obiezioni,l’autorità alla quale è stata presentata la domanda di accesso può decidere inbase alla propria legislazione nazionale. Se le autorità non concordano sullaconcessione dell’accesso, l’autorità che ha fornito le informazioni dovrebbeessere quella deputata ad applicare in ultima istanza i criteri in materia diaccesso ai dati.

Se l’accesso è negato,occorre specificarne chiaramente i motivi e informare la persona interessatadella facoltà di contattare un’altra autorità competente per accedere ai datioppure di rivolgersi all’autorità di controllo e tutela dei dati come previstodall’articolo 28, fatto salvo il diritto di avviare un procedimentogiudiziario.

Un meccanismo dicooperazione analogo dovrebbe applicarsi anche in caso di rettifica,cancellazione o blocco dei dati.

Se una richiesta di dativiene inviata alla Commissione, quest’ultima può autorizzare l’accesso solo aidati ai quali essa stessa può legittimamente accedere; in ogni caso, la personainteressata deve essere indirizzata verso l’autorità che ha accesso alleinformazioni, nel rispetto delle garanzie introdotte dal regolamento sullatutela dei dati

5.3 Metodi diimpugnazione

Un altro elemento crucialeè dare la facoltà agli interessati di adire le vie legali se vengono violati iloro diritti. Le persone che subiscono ripercussioni negative a seguito di untrattamento improprio o illecito dei dati personali devono inoltre avere ildiritto di chiedere un indennizzo per i danni subiti.

6. Sicurezza

Secondo l’articolo 17della direttiva sulla tutela dei dati, il responsabile del trattamento deve attuare misure tecniche ed organizzative appropriate al fine di garantire laprotezione dei dati personali dalla distruzione accidentale o illecita, dallaperdita accidentale o dall'alterazione, dalla diffusione o dall'accesso nonautorizzati. Tali misure di sicurezza dovrebbero essere proporzionate allefinalità per le quali vengono rilevati i dati ed essere conformi alle norme in materia di sicurezza dei singoli Stati membri. Disposizioni analoghe vengonofissate anche nel regolamento sulla tutela dei dati.

La legittimità di unsistema di trattamento dei dati che comporta rischi potenzialmente elevati dipende dalla possibilità di mantenere un livello sufficientemente elevato disicurezza dei dati in ogni elemento che determina la funzionalità del sistema.

Inoltre, per garantire cheil sistema sia sicuro per i dati particolarmente sensibili che può contenere(ad esempio quelli relativi alle sanzioni penali), secondo il WP29 è essenziale imporre l'applicazione di una serie di provvedimenti specifici, di caratteretecnico ed organizzativo, che puntino ad evitare qualsiasi alterazione,perdita, trattamento o accesso non autorizzati e a garantire la riservatezza el'integrità delle informazioni. Questo documento non raccomanda alcun quadro ostrumento tecnologico specifico per la sicurezza dei dati, ma questi criteridevono essere rispettati per tutelare adeguatamente i dati personali nelcontesto dell’IMI.

Le misure di sicurezzadevono essere tali da consentire di:

- evitare l'accesso alsistema da parte di persone non autorizzate;

- controllare i datitrattati, quando sono stati trattati e da chi;

- controllare l'immissionedei dati per evitare che vengano aggiunti dati o modificati quelli esistentisenza autorizzazione;

- istituire controllisull'accesso per far sì che gli utenti accedano solo ai dati che sono autorizzati a trattare;

- controllare lacomunicazione per poter determinare quali sono le autorità autorizzate adivulgare determinati dati;

- garantire la sicurezzadella trasmissione per evitare l'accesso, la copia, la modifica o l'eliminazione non autorizzati dei dati nel corso dello scambio diinformazioni.

Altri provvedimentiriguardano la possibilità di fare copie di riserva (back-up), di recuperare i dati e di procedere a test inprevisione dell'applicazione del sistema utilizzando dati reali e trasmettendoli attraverso le reti di telecomunicazione criptando leinformazioni o utilizzando altri meccanismi per rendere incomprensibili leinformazioni o impedire che vengano manipolate da terzi.

Se la Commissione èresponsabile dell’applicazione di tali misure per quanto riguarda la funzionalità e la sicurezza del server centrale, l'utilizzo sicuro delle reti èinvece un elemento importante anche per gli Stati membri.

La Commissione è inoltretenuta a rispettare le disposizioni in materia di sicurezza fissate nel regolamento sulla tutela dei dati, che devono tuttavia essere interpretate allaluce delle buone prassi esistenti negli Stati membri.

Le autorità competentisaranno tenute a conformarsi alle norme in materia di protezione dei dativigenti nei rispettivi Stati membri e alle disposizioni riguardanti lasicurezza dei dati fissate all'articolo 17 della direttiva sulla tutela deidati. Inoltre, poiché la Commissione non ritiene necessario accedere ai datipersonali dei lavoratori o dei prestatori di servizi migranti presenti sulserver centrale, a parere del WP29 tali dati devono essere criptati pergarantire la sicurezza delle comunicazioni tra le autorità competenti degliStati membri e impedire così alla Commissione di accedere effettivamente a talidati.

7. Notifica delleautorità di tutela dei dati e controllo preliminare

In applicazione degliarticoli da 18 a 20 della direttiva sulla tutela dei dati, le organizzazioni che utilizzano il sistema IMI saranno tenute a notificare il trattamento adalmeno alcune autorità nazionali di tutela dei dati o ad essere sottoposte adun controllo preliminare da parte loro.

Negli Stati membri checontemplano tale procedura, le operazioni di trattamento potrebbero esseresoggette ad un controllo preliminare dell'autorità nazionale di tutela dei datise tali operazioni possono presentare un rischio specifico per i diritti e lelibertà delle persone interessate. Ciò potrebbe avvenire, ad esempio, se ildiritto nazionale consente di trattare i dati riguardanti presunti illecitipenali solo a determinate condizioni (che di per sé potrebbero prevedere ilcontrollo preliminare da parte dell'autorità di vigilanza nazionalecompetente).

Potrebbe anche accadereche l'autorità nazionale ritenga che le operazioni di trattamento possanoescludere gli individui di cui si trattano i dati dall'esercizio di un diritto,dal godimento di un beneficio o da un contratto. In tal caso, sarà lalegislazione nazionale e la prassi dell'autorità nazionale di tutela dei datia decidere se tali operazioni di trattamento debbano essere sottoposte ad uncontrollo preliminare.

L'articolo 20 delladirettiva sulla tutela dei dati prevede anche che il controllo preliminare possa avvenire durante il processo di elaborazione di un provvedimento delParlamento nazionale, o in base ad un provvedimento fondato su taleprovvedimento legislativo, in cui si definisce il tipo di trattamento e sistabiliscono appropriate garanzie.

D'altra parte, ai sensidell'articolo 24 del regolamento sulla tutela dei dati, la Commissione europeaha nominato un responsabile della protezione dei dati personali. Le operazionidi trattamento dei dati svolte a livello della Commissione gli sarannonotificate come previsto all'articolo 25 del regolamento medesimo e l'IMI saràinserito nel registro del responsabile istituito dall'articolo 26. Consideratoil ruolo che la Commissione svolge nelle operazioni di trattamento dei dati inquesto caso specifico, è improbabile che sia necessario l'intervento del garante europeo della protezione dei dati (articolo 27 del regolamento).

8. Trasferimento deidati personali a paesi terzi

Il sistema IMI non èconcepito per consentire il trasferimento internazionale dei dati al di fuoridella Comunità europea; la sua finalità, espressa nel mandato di cui all'articolo34 della direttiva sui servizi, è infatti lo scambio di informazioni tra Statimembri.

Il WP29 desiderasottolineare che tali dati non devono essere trasferiti al di fuori del quadro IMI, perché i trasferimenti non rientrerebbero tra le finalità inizialmentepreviste per il trattamento dei dati. La trasmissione dei dati IMI verso paesiterzi costituirebbe in tal caso una violazione della limitazione all'uso deidati sancita dall'articolo 6, paragrafo 1, lettera b), della direttiva95/46/CE.

9. Conclusioni eraccomandazioni del WP29

1. Il sistema IMI deveessere concepito in totale conformità con i principi istituiti nelle normativeapplicabili in materia di protezione dei dati, tra cui la direttiva sullatutela dei dati e il regolamento sulla tutela dei dati. I principi dellaprotezione dei dati devono essere applicati correttamente all’interno delsistema, perché solo così l'IMI potrà realizzare tutte le sue potenzialità etutelare maggiormente il diritto fondamentale alla protezione dei datipersonali.

2. A tale proposito, ilWP29 intende sottolineare quanto sia importante rispettare le disposizioniriguardanti la qualità, la necessità e la proporzionalità dei dati ai finidella protezione degli stessi. Questi fattori devono essere considerati intutte le fasi che caratterizzano lo sviluppo del sistema IMI e da ognisoggetto coinvolto nelle varie operazioni, dall'elaborazione di richiested'informazione standard, alla selezione delle autorità competenti e altreancora. Il sistema e i dati contenuti devono essere notificati alle autoritàdi protezione dei dati ed eventualmente essere sottoposti al loro controllo preliminare negli Stati membri che prevedono tali procedure a normadell'articolo 18 della direttiva sulla tutela dei dati.

3. L'IMI è un sistemacomplesso che ha la possibilità di semplificare lo scambio delle informazionifornendo agli Stati membri degli strumenti supplementari, ma occorre unarigorosa osservanza dei principi fissati nella direttiva sulla tutela dei dati.Gli utenti del sistema devono essere particolarmente attenti e conformarsialle disposizioni nazionali e alla direttiva, visto che la comunicazionedigitale e la possibilità di allegare documenti potenziano notevolmente leloro capacità di trasmissione delle informazioni. Ove richiesto, è inoltrenecessario mantenere il ruolo di vigilanza delle autorità nazionali incaricatedella tutela dei dati nonché altri controlli in vigore nei vari Stati membri.Nel contesto dell'IMI occorre infine riconoscere esplicitamente il ruolo particolare della Commissione europea descrivendo anche gli obblighicorrispondenti a tale ruolo.

4. Per permettere alleautorità competenti di utilizzare al meglio l'IMI in maniera conforme allenorme sulla protezione dei dati, occorre precisare i ruoli esattamente svoltida tutti gli utenti del sistema. È così necessario definire più accuratamentechi sono i coordinatori IMI e le autorità collegate, con i relativi diritti eresponsabilità, nonché le informazioni particolari cui avranno accesso. Inquesto modo si potrà ridurre al minimo il trattamento superfluo dei dati,tutelando i diritti dei cittadini e del personale delle autorità competenti,senza per questo pregiudicare l'efficienza dell'IMI.

5. È importante definire conchiarezza le competenze e gli obblighi spettanti alla Commissione, aicoordinatori e alle autorità competenti, visto che i loro ruoli rispettivi nelcontesto dell'IMI si possono descrivere meglio come un controllo congiunto.

6. Con lo sviluppo dell'IMIsarà necessario valutare nuovamente con attenzione le potenziali applicazionidel sistema per trasmettere dati sensibili, soprattutto nell'ambito dellaprima applicazione connessa alle direttive sulle qualifiche professionali esui servizi. Tali applicazioni non sono delle possibilità astratte, visto chesono già enumerate, ad esempio all'articolo 56, paragrafo 2, della direttivasulle qualifiche professionali, secondo il quale è possibile trasmettereinformazioni penali attraverso l'IMI. Non bisogna infine dimenticare che l'IMIsarà quasi certamente utilizzato per trattare dati riguardanti la salute, gliilleciti penali o altre informazioni protette riguardanti la persona e perquesto sarà imprescindibile ripensare e migliorare le misure di garanzia afini di sicurezza e verifica.

7. Ogni singola operazionedi trattamento dei dati deve imperativamente basarsi su motivazioni giuridicheindividuali e legittime, adeguate alla finalità e agli obiettivi specifici deltrattamento.

8. Ogni singola operazioneche avviene in ambito IMI deve fondarsi su una base giuridica più concreta:ciò mette in evidente rilievo la necessità di individuare espressamente gliobiettivi delle operazioni di trattamento dei dati che avvengono nel sistema.Solo se viene specificato un obiettivo chiaro i soggetti coinvolti nell'IMI potranno avere la certezza di rispettare i principi della necessità, dellaqualità dei dati e della proporzionalità nel corso del loro operato. Ciascunodi questi criteri riguarda direttamente la finalità del trattamento. Anche ilperiodo durante il quale è possibile conservare i dati dipende daun'interpretazione specifica della finalità dell'operazione di trattamento:non è possibile sapere se un compito è stato portato a compimento se manca lacertezza sul risultato auspicato. In una rete di relazioni per il trattamentodei dati così complessa come quella dell'IMI, dove può essere poco chiaro chistia facendo cosa, è assolutamente essenziale stabilire in maniera esplicitaquali sono gli obiettivi del trattamento e ottenere così un comportamentoinformato in situazioni incerte.

9. Il sistema IMI nonpotrà mai essere al servizio di 27 regimi nazionali diversi. Per questo ènecessaria una decisione più specifica della Commissione, che dovrà essere precisa e finalizzata ad approfondire i punti problematici discussi inprecedenza.

Fatto a Bruxelles, il 21settembre 2007

Per il Gruppo di lavoro

Il Presidente

Peter Schaar

NOTE                                      

1 GU L376 del 27.12.2006, pag. 36.

2 GU L255 del 30.9.2005, pag. 22.

3 Cfr.pag. 18 del documento COM (2006) 30 def., "È ora di cambiare marcia - Ilnuovo partenariato per la crescita e l’occupazione".

4 Cfr.pag. 3 del documento COM (2006) 689 def., "Esame strategico del programmaper legiferare meglio nell’Unione europea".

5 Lefunzioni del DIMIC (coordinatore delegato IMI) e del NIMIC (coordinatorenazionale IMI) saranno illustrate nel punto 2.2, lettere c) e d).

6 GU L281 del 23.11.1995, pag. 31.

7 Sulconcetto di dati personali cfr. il parere 4/2007, WP 136.

8 Peresempio, la direttiva 2002/92/CE sulla intermediazione assicurativa stabiliscechiaramente in che misura le informazioni sulle sanzioni penali esull’onorabilità siano importanti ai fini dell’esercizio di tale attivitàprofessionale. L’articolo 4, paragrafo 2, stabilisce così che "[g]liintermediari assicurativi e riassicurativi devono possedere il requisitodell'onorabilità. Essi devono possedere almeno un certificato penale immacolatoo analogo requisito nazionale in riferimento a gravi illeciti penali connessicon reati contro il patrimonio o altri reati in relazione ad attivitàfinanziarie e non devono essere stati dichiarati falliti, salvo che siaintervenuta la riabilitazione a norma del diritto nazionale.”

9 WP 65,http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2002/wp65_en.pdf