EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 52014XX0208(01)
Executive Summary of the Opinion of the European Data Protection Supervisor on the Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA
Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento del Parlamento europeo e del Consiglio che istituisce l’Agenzia dell’Unione europea per la cooperazione e la formazione delle autorità di contrasto (Europol) e abroga le decisioni 2009/371/GAI del Consiglio e 2005/681/GAI del Consiglio
Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento del Parlamento europeo e del Consiglio che istituisce l’Agenzia dell’Unione europea per la cooperazione e la formazione delle autorità di contrasto (Europol) e abroga le decisioni 2009/371/GAI del Consiglio e 2005/681/GAI del Consiglio
GU C 38 del 8.2.2014, p. 3–7
(BG, ES, CS, DA, DE, ET, EL, EN, FR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
GU C 38 del 8.2.2014, p. 3–3
(HR)
8.2.2014 |
IT |
Gazzetta ufficiale dell'Unione europea |
C 38/3 |
Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento del Parlamento europeo e del Consiglio che istituisce l’Agenzia dell’Unione europea per la cooperazione e la formazione delle autorità di contrasto (Europol) e abroga le decisioni 2009/371/GAI del Consiglio e 2005/681/GAI del Consiglio
(Il testo completo del presente parere è reperibile in EN, FR e DE sul sito Internet del GEPD http://www.edps.europa.eu)
(2014/C 38/03)
I. Introduzione
I.1. Contesto del parere
1. |
Il 27 marzo 2013 la Commissione ha adottato la proposta di regolamento del Parlamento europeo e del Consiglio che istituisce l’Agenzia dell’Unione europea per la cooperazione e la formazione delle autorità di contrasto (Europol) e abroga le decisioni 2009/371/GAI del Consiglio e 2005/681/GAI del Consiglio («la proposta»). La proposta è stata trasmessa dalla Commissione al GEPD per consultazione lo stesso giorno ed è stata ricevuta il 4 aprile 2013. |
2. |
Prima dell’adozione della proposta, il GEPD ha avuto l’opportunità di formulare osservazioni informali. Esso accoglie con favore il fatto che molte di tali osservazioni siano state prese in considerazione. |
3. |
Il GEPD si compiace di essere stato consultato dalla Commissione e apprezza il fatto che sia stato inserito un riferimento alla consultazione nel preambolo della proposta. |
4. |
Il GEPD è stato altresì consultato sulla comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni dal titolo «Istituire un programma di formazione europea delle autorità di contrasto», adottata parallelamente alla proposta (1). Tuttavia, si asterrà dall’esprimere una posizione distinta su detta comunicazione, dal momento che ha elaborato solo osservazioni molto limitate, riprese nella parte IV del presente parere. |
I.2. Obiettivo della proposta
5. |
La proposta di basa sull’articolo 88 e sull’articolo 87, paragrafo 2, lettera b), del trattato sul funzionamento dell’Unione europea (TFUE) e persegue i seguenti obiettivi (2):
Il GEPD sottolinea che la proposta è di grande importanza dal punto di vista del trattamento dei dati personali. Il trattamento delle informazioni, compresi i dati personali, rappresenta la motivazione principale dell’esistenza di Europol. Nell’attuale fase di sviluppo dell’UE, il lavoro operativo di polizia resta una competenza degli Stati membri. Nondimeno, tale compito assume una natura sempre più transfrontaliera, e il livello UE offre un sostegno tramite la fornitura, lo scambio e l’esame di informazioni. |
I.3. Obiettivo del parere
6. |
Il presente parere si concentrerà sulle modifiche più significative del quadro giuridico per Europol dal punto di vista della protezione dei dati. Esso analizzerà in primo luogo il contesto giuridico, il suo sviluppo e le conseguenze per Europol, soffermandosi poi sulle principali modifiche, costituite da:
|
7. |
Successivamente, il parere discuterà una serie di disposizioni specifiche della proposta, con un’enfasi sul capo VII della stessa (articoli 34-48) sulle garanzie in materia di protezione dei dati. |
V. Conclusioni
Aspetti generali
167. |
Il GEPD sottolinea che la proposta assume grande importanza dal punto di vista del trattamento dei dati personali. Il trattamento delle informazioni, compresi i dati personali, è la motivazione principale dell’esistenza di Europol, e la proposta contiene già una forte protezione dei dati. Il parere dettagliato è stato quindi adottato con l’obiettivo di rafforzare ulteriormente la proposta. |
168. |
Il GEPD nota che l’attuale decisione Europol fornisce un solido regime di protezione dei dati e ritiene che tale livello non dovrebbe essere ridotto, a prescindere dalle discussioni sulla proposta di direttiva in materia di protezione dei dati. Tale aspetto dovrebbe essere specificato nel considerando. |
169. |
Il GEPD accoglie con favore il fatto che la proposta conformi Europol ai requisiti dell’articolo 88, paragrafo 2, del TFUE, i quali garantiranno che le attività di Europol beneficino del pieno coinvolgimento di tutte le istituzioni UE in questione. |
170. |
Il GEPD si compiace dell’articolo 48 della proposta, il quale sancisce che il regolamento (CE) n. 45/2001, comprese le disposizioni sulla vigilanza, sia completamente applicabile ai dati del personale e ai dati amministrativi. Tuttavia, il Garante deplora il fatto che la Commissione non abbia scelto di applicare il regolamento(CE) n. 45/2001 alle attività principali di Europol e di limitare la proposta a norme e deroghe speciali aggiuntive che prendono in debita considerazione le peculiarità del settore delle autorità di contrasto. Nondimeno, esso rileva che il considerando 32 della proposta menziona esplicitamente che le norme di protezione dei dati applicabili a Europol dovrebbero essere rafforzate e rifarsi ai principi su cui si basa il regolamento (CE) n. 45/2001. Anche detti principi costituiscono un importante punto di riferimento per il presente parere. |
171. |
Il GEPD raccomanda di specificare nei considerando della proposta il fatto che il nuovo quadro in materia di protezione dei dati delle istituzioni e degli organi dell’UE sarà applicabile a Europol non appena verrà adottato. Inoltre, l’applicazione a Europol del regime di protezione dei dati per le istituzioni e gli organi dell’UE dovrebbe essere chiarita all’interno dello strumento in sostituzione del regolamento (CE) n. 45/2001, come inizialmente annunciato nel 2010, nel contesto della revisione del pacchetto in materia di protezione dei dati. Al più tardi a partire dall’adozione del nuovo quadro generale, anche i nuovi principali elementi della riforma della protezione dei dati [ossia il principio di responsabilità, la valutazione d’impatto sulla protezione dei dati, la privacy by design («tutela della vita privata fin dalla fase di progettazione») e la privacy by default («tutela della vita privata per impostazione predefinita»), nonché la notifica della violazione di dati personali] dovrebbero essere applicati a Europol. Anche tale aspetto dovrebbe essere menzionato nei considerando. |
Nuova struttura informativa per Europol
172. |
Il GEPD comprende la necessità di flessibilità riferita al contesto mutevole, nonché alla luce dell’ampliamento dei ruoli di Europol. L’architettura informativa esistente non rappresenta necessariamente il parametro di riferimento per il futuro. La determinazione della struttura informativa di Europol avviene a discrezione del legislatore europeo. Nel suo ruolo di consulente per il legislatore europeo, il GEPD si concentra sulla questione relativa alla misura in cui la scelta dei legislatori è limitata dai principi della protezione dei dati. |
173. |
Per quanto concerne l’articolo 24 della proposta, il GEPD:
|
Rafforzamento della vigilanza della protezione dei dati
174. |
L’articolo 45 della proposta riconosce che la vigilanza dei trattamenti prevista nella proposta è un compito che richiede anche l’attivo coinvolgimento delle autorità nazionali di protezione dei dati (3). La cooperazione tra il GEPD e le autorità di controllo nazionali è fondamentale per una vigilanza efficace in questo settore. |
175. |
Il GEPD si compiace dell’articolo 45 della proposta. Detto articolo sancisce che il trattamento dei dati da parte delle autorità nazionali è soggetto al controllo nazionale e quindi riflette il ruolo chiave delle autorità di controllo nazionali. Esso, inoltre, accoglie con favore il requisito secondo cui le autorità di controllo nazionali dovrebbero informare il GEPD delle azioni che intraprendono in relazione a Europol. |
176. |
Il GEPD si compiace che:
|
177. |
Il GEPD suggerisce di inserire una frase all’articolo 26, paragrafo 1, della proposta che affermi che le autorità competenti degli Stati membri accedono alle informazioni e le ricercano sulla base delle esigenze conoscitive e nei limiti necessari per l’esecuzione legittima dei loro compiti. L’articolo 26, paragrafo 2, dovrebbe essere modificato e conformato all’articolo 27, paragrafo 2. |
178. |
Il GEPD si compiace del fatto che, in linea di principio, il trasferimento a paesi terzi e alle organizzazioni internazionali possa aver luogo solo sulla base dell’adeguatezza o di un accordo vincolante che fornisca adeguate garanzie. Un accordo vincolante garantirà la certezza giuridica, nonché la responsabilità di Europol per il trasferimento. Un accordo vincolante dovrebbe essere sempre necessario per trasferimenti massicci, strutturali e ripetitivi. Ciononostante, il GEPD comprende che esistono situazioni in cui un accordo vincolante non può essere richiesto. Tali situazioni dovrebbero essere eccezionali, dovrebbero essere basate su una vera necessità e dovrebbero essere permesse solo in casi limitati; inoltre occorrono forti garanzie, sia a livello sostanziale, sia a livello procedurale. |
179. |
Il GEPD raccomanda vivamente di eliminare la possibilità concessa a Europol di presumere il consenso degli Stati membri. Esso inoltre consiglia di aggiungere che il consenso dovrebbe essere fornito «prima del trasferimento» nella seconda frase dell’articolo 29, paragrafo 4. Il Garante raccomanda altresì di inserire all’articolo 29 un paragrafo che affermi che Europol manterrà registri dettagliati dei trasferimenti di dati personali. |
180. |
Il GEPD raccomanda di inserire nella proposta una clausola transitoria che riguardi gli accordi di cooperazione esistenti che regolano i trasferimenti di dati personali effettuati da Europol. Tale clausola dovrebbe sancire la revisione di detti accordi entro una scadenza ragionevole al fine di conformarli ai requisiti della proposta. La suddetta clausola dovrebbe essere inserita nelle disposizioni sostanziali della proposta e dovrebbe contenere una scadenza non superiore a due anni dopo l’entrata in vigore della proposta. |
181. |
A fini di trasparenza, il GEPD raccomanda altresì di aggiungere alla fine dell’articolo 31, paragrafo 1, che Europol renderà accessibile al pubblico l’elenco degli accordi internazionali e di cooperazione con paesi terzi e organizzazioni internazionali, caricando l’elenco, regolarmente aggiornato, sul suo sito Internet. |
182. |
Il GEPD raccomanda di inserire espressamente all’articolo 31, paragrafo 2, che le deroghe non possono essere applicabili a trasferimenti frequenti, massicci o strutturali, in altre parole per complessi di trasferimenti (e non solo per trasferimenti occasionali). |
183. |
Il GEPD raccomanda di prevedere un paragrafo specifico destinato ai trasferimenti con l’autorizzazione del Garante. Tale paragrafo, che logicamente verrebbe prima di quello relativo alle deroghe, sancirebbe che il GEPD può autorizzare un trasferimento o un complesso di trasferimenti laddove Europol fornisca garanzie adeguate rispetto alla tutela della vita privata e dei diritti e delle libertà fondamentali delle persone e per quanto concerne gli esercizi dei diritti corrispettivi. Inoltre, tale autorizzazione sarebbe concessa prima del trasferimento/del complesso di trasferimenti, per un periodo non superiore a un anno e rinnovabile. |
184. |
Il parere comprende un’ampia gamma di altre raccomandazioni volte a migliorare ulteriormente la proposta. Di seguito sono elencate alcune delle raccomandazioni più significative.
|
Fatto a Bruxelles, il 31 maggio 2013
Peter HUSTINX
Garante europeo della protezione dei dati
(1) COM(2013) 172 definitivo.
(2) Relazione, parte 3.
(3) V. anche la risoluzione 4 della conferenza di primavera delle autorità europee di protezione dei dati (Lisbona, 16-17 maggio 2013).