(1)

La direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio (2) stabilisce norme armonizzate per la protezione e la libera circolazione dei dati personali trattati a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la protezione dalle minacce alla sicurezza pubblica e la prevenzione di tali minacce. La direttiva impone alla Commissione di riesaminare altri atti pertinenti adottati dall'Unione allo scopo di valutare la necessità di allinearli alla direttiva stessa e formulare, se del caso, le proposte necessarie per modificarli in modo da garantire un approccio coerente alla protezione dei dati personali nell'ambito di applicazione della direttiva.

(2)

La decisione 2009/917/GAI del Consiglio (3) istituisce il sistema informativo doganale (SID), il cui scopo è facilitare la prevenzione, la ricerca e il perseguimento di gravi infrazioni alle leggi nazionali rendendo più rapidamente disponibili i dati e quindi più efficaci le amministrazioni doganali degli Stati membri. Il SID consiste in una banca dati centrale che conserva dati personali, quali cognomi e nomi, indirizzi, numeri dei documenti di identità relativi a merci, mezzi di trasporto, imprese o persone e articoli e denaro contante bloccati, sequestrati o confiscati. La banca dati centrale è gestita dalla Commissione, che non ha accesso ai dati personali in essa contenuti. Le autorità designate dagli Stati membri hanno il diritto di accedere alla banca dati centrale e possono inserire e consultare le informazioni in essa contenuti. L'Agenzia dell'Unione europea per la cooperazione nell'attività di contrasto (Europol) e l'Agenzia dell'Unione europea per la cooperazione giudiziaria penale (Eurojust) hanno, nei limiti dei rispettivi mandati e ai fini dell'adempimento dei loro compiti, il diritto di accedere ai dati inseriti nella banca dati centrale dalle autorità designate dagli Stati membri e di consultarli.

(3)

Al fine di garantire un approccio coerente alla protezione dei dati personali nell'Unione, è opportuno modificare la decisione 2009/917/GAI per allinearla alla direttiva (UE) 2016/680. In particolare, le norme in materia di protezione dei dati personali di cui in tale decisione dovrebbero rispettare il principio di limitazione delle finalità, essere limitate a categorie specifiche di interessati e di dati personali, rispettare i requisiti di sicurezza dei dati, includere una protezione supplementare per categorie particolari di dati personali e rispettare le condizioni per il successivo trattamento. È inoltre opportuno prevedere il controllo coordinato del funzionamento del SID da parte del Garante europeo della protezione dei dati e delle autorità nazionali di controllo conformemente al regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (4).

(4)

Al fine di garantire un approccio chiaro e coerente a un'adeguata protezione dei dati personali, l'espressione «gravi infrazioni» utilizzata nella decisione 2009/917/GAI dovrebbe essere sostituita dal termine «reati» di cui nella direttiva (UE) 2016/680, tenendo presente il fatto che, quando una particolare condotta è vietata dal diritto penale di uno Stato membro, ciò implica di per sé un certo grado di gravità dell'infrazione. Inoltre, lo scopo del SID dovrebbe rimanere limitato a facilitare la prevenzione, la ricerca, l'accertamento e il perseguimento di reati previsti dalle leggi nazionali come definite nella decisione 2009/917/GAI, vale a dire le leggi nazionali per le quali le amministrazioni doganali degli Stati membri sono competenti e che sono quindi particolarmente rilevanti per l'ambito delle dogane. Pertanto, sebbene la classificazione come reato sia un requisito necessario, non tutti i reati previsti dalle leggi nazionali sono oggetto della decisione 2009/917/GAI. Ad esempio, i reati di traffico illecito di stupefacenti, traffico illecito di armi e riciclaggio di denaro sono contemplati dalla decisione 2009/917/GAI. Inoltre, la sostituzione del termine «gravi infrazioni» con il termine «reati» non è da interpretarsi come se incidesse sugli obblighi specifici stabiliti nella decisione 2009/917/GAI riguardo all'elaborazione e all'invio da parte di ciascuno Stato membro di un elenco di reati ai sensi delle rispettive leggi nazionali che soddisfano determinate condizioni ai fini dell'archivio di identificazione dei fascicoli a fini doganali.

(5)

Nel trattare i dati personali nel quadro della decisione 2009/917/GAI, fatte salve le norme specifiche contenute in tale decisione, gli Stati membri sono soggetti alle disposizioni nazionali adottate a norma della direttiva (UE) 2016/680, la Commissione è soggetta alle norme di cui nel regolamento (UE) 2018/1725, Europol è soggetta alle norme di cui al regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio (5) ed Eurojust è soggetta alle norme di cui nel regolamento (UE) 2018/1727 del Parlamento europeo e del Consiglio (6). Tali atti disciplinano, tra l'altro, gli obblighi e le responsabilità dei titolari del trattamento, dei contitolari del trattamento e dei responsabili del trattamento, e il rapporto tra di essi per quanto riguarda la protezione dei dati personali. Le autorità nazionali di controllo responsabili di garantire il controllo e l'applicazione della direttiva (UE) 2016/680 in ciascuno Stato membro dovrebbero essere competenti per il controllo e l'applicazione delle disposizioni relative alla protezione dei dati personali di cui nella decisione 2009/917/GAI da parte delle autorità competenti di ciascuno Stato membro. Il Garante europeo della protezione dei dati dovrebbe avere il compito di controllare e garantire l'applicazione delle disposizioni relative alla protezione dei dati personali di cui nella decisione 2009/917/GAI da parte della Commissione, di Europol e di Eurojust.

(6)

Al fine di garantire la conservazione ottimale dei dati nel SID, riducendo nel contempo l'onere amministrativo a carico delle autorità competenti e in linea con il regolamento del Consiglio (CE) n. 515/97 (7), la procedura che disciplina la conservazione dei dati personali nel SID dovrebbe essere semplificata eliminando l'obbligo di riesaminare annualmente la necessità di conservare i dati personali e fissando un periodo massimo di conservazione di cinque anni che può essere prolungato di un ulteriore periodo di due anni, se giustificato. Tale periodo di conservazione è necessario e proporzionato alla luce della durata tipica dei procedimenti penali e della necessità dei dati per lo svolgimento di operazioni doganali e di indagini congiunte.

(7)

Il trattamento dei dati personali nel quadro della decisione 2009/917/GAI comporta il trattamento, lo scambio e il successivo utilizzo delle informazioni pertinenti per le finalità di cui all'articolo 87 del trattato sul funzionamento dell'Unione europea (TFUE). Ai fini della coerenza e dell'effettiva protezione dei dati personali, il trattamento dei dati personali nel quadro della decisione 2009/917/GAI dovrebbe essere conforme al diritto dell'Unione e nazionale in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la protezione dalle minacce alla sicurezza pubblica e la prevenzione delle stesse.

(8)

A norma dell'articolo 6 bis del protocollo n. 21 sulla posizione del Regno Unito e dell'Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al trattato sull'Unione europea e al trattato sul funzionamento dell'Unione europea, l'Irlanda è vincolata dalla decisione 2009/917/GAI e pertanto partecipa all'adozione del presente regolamento.

(9)

A norma degli articoli 1, 2 e 2 bis del protocollo n. 22 sulla posizione della Danimarca allegato al TUE e al TFUE, la Danimarca è vincolata dalla decisione 2009/917/GAI e pertanto partecipa all'adozione del presente regolamento.

(10)

Conformemente all'articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere in data 4 luglio 2023.

(11)

È opportuno pertanto modificare di conseguenza la decisione 2009/917/GAI,

1)

all'articolo 1, il paragrafo 2 è sostituito dal seguente:

2)

l'articolo 2 è così modificato:

3)

all'articolo 3, paragrafo 1, la frase introduttiva è sostituita dalla seguente:

«Il sistema informativo doganale consiste in una banca dati centrale cui si può accedere tramite terminali in ogni Stato membro. Il sistema comprende esclusivamente i dati, compresi i dati personali, necessari al raggiungimento del proprio scopo di cui all'articolo 1, paragrafo 2, relativi alle categorie seguenti:»;

4)

l'articolo 4 è così modificato:

5)

all'articolo 5, il paragrafo 2 è sostituito dal seguente:

6)

l'articolo 7 è così modificato:

7)

l'articolo 8 è così modificato:

8)

all'articolo 13, il paragrafo 5 è sostituito dal seguente:

9)

l'articolo 14 è sostituito dal seguente:

10)

l'articolo 15 è così modificato:

11)

l'articolo 20 è sostituito dal seguente:

(*2)  Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39)."

(*3)  Regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio, dell'11 maggio 2016, che istituisce l'Agenzia dell'Unione europea per la cooperazione nell'attività di contrasto (Europol) e sostituisce e abroga le decisioni del Consiglio 2009/371/GAI, 2009/934/GAI, 2009/935/GAI, 2009/936/GAI e 2009/968/GAI (GU L 135 del 24.5.2016, pag. 53)."

(*4)  Regolamento (UE) 2018/1727 del Parlamento europeo e del Consiglio, del 14 novembre 2018, che istituisce l'Agenzia dell'Unione europea per la cooperazione giudiziaria penale (Eurojust) e che sostituisce e abroga la decisione 2002/187/GAI del Consiglio (GU L 295 del 21.11.2018, pag. 138).»;"

12)

gli articoli 22, 23, 24 e 25 sono soppressi;

13)

l'articolo 26 è sostituito dal seguente:

14)

all'articolo 27, paragrafo 2, la lettera a) è sostituita dalla seguente:

15)

l'articolo 28 è così modificato:

16)

l'articolo 29 è sostituito dal seguente:

17)

all'articolo 30, il paragrafo 1 è soppresso.