[pic] | COMMISSIONE EUROPEA |

Bruxelles, 22.4.2010

COM(2010)170 definitivo

RELAZIONE DELLA COMMISSIONE

sullo stato della protezione dei dati nell'ambito del sistema di informazione del mercato interno (IMI)

RELAZIONE DELLA COMMISSIONE

sullo stato della protezione dei dati nell'ambito del sistema di informazione del mercato interno (IMI)

SINTESI

La Commissione è soddisfatta della tutela dei diritti e delle libertà personali in relazione ai dati personali (di seguito "protezione dei dati) nell'ambito del sistema di informazione del mercato interno (IMI). L'IMI è un sistema sicuro e multilingue per lo scambio di informazioni via internet finalizzato ad agevolare i compiti di cooperazione amministrativa degli Stati membri. La Commissione è altresì soddisfatta dell'attuazione data alla raccomandazione relativa a orientamenti sulla protezione dei dati nell'ambito dell'IMI.

Gli Stati membri non hanno comunicato alcun problema riguardo alla protezione dei dati: ciò giustifica la decisione, concordata con il garante europeo della protezione dei dati, di procedere in modo graduale alla definizione del quadro giuridico relativo all'IMI in funzione dell'evoluzione tecnica, nonché l'estensione del sistema ad altri settori della normativa sul mercato interno.

Nel 2010 la Commissione esaminerà la possibilità di estendere l'IMI ad altri settori del mercato interno e acquisirà un'esperienza maggiore del funzionamento pratico del sistema nel settore dei servizi. Nel primo trimestre del 2011 essa pubblicherà un documento di lavoro dei propri servizi sul funzionamento e sullo sviluppo del sistema IMI nel 2010, nel quale sarà affrontato anche il tema della protezione dei dati.

OGGETTO DELLA PRESENTE RELAZIONE

La presente relazione, annunciata nella raccomandazione della Commissione relativa a orientamenti sulla protezione dei dati nell'ambito del sistema di informazione del mercato interno[1] (di seguito "la raccomandazione") passa in rassegna l'attuazione data dagli Stati membri e dalla Commissione alla raccomandazione medesima e valuta la situazione della protezione dei dati nell'ambito dell'IMI. Essa tratta inoltre temi (è il caso della direttiva sui servizi) non affrontati nella raccomandazione.

Nella stesura della relazione, la Commissione ha tenuto conto delle valutazioni fornite dagli Stati membri sia nell'ambito dell'apposita consultazione avviata nel novembre 2009[2] sia attraverso i contatti regolari con i coordinatori IMI e i rappresentanti degli Stati membri nel corso delle riunioni IMAC-IMI (comitato mercato interno-IMI).

L'EVOLUZIONE DELL'IMI NEL 2009

Il 2009 è stato un anno fondamentale per l'evoluzione dell'IMI. L'uso dell'IMI per la normativa in materia di qualifiche professionali è stato esteso a 20 nuove professioni e la maggior parte delle risorse è stata dedicata all'estensione dell'IMI alla direttiva sui servizi[3].

I coordinatori nazionali IMI hanno partecipato al progetto pilota per lo scambio di informazioni relativo alla direttiva sui servizi (sulla base di casi reali e fittizi) nonché alle azioni di formazione svoltesi a Bruxelles[4]. La Commissione ha distribuito una nuova versione (1.7) del software per permettere alle autorità competenti di autoregistrarsi; alla fine dell'anno ha inoltre distribuito una versione provvisoria 2.0 che conteneva un'applicazione informatica separata per il meccanismo di allerta[5]: il nuovo software è diventato pienamente operativo nel primo trimestre del 2010.

Alla fine di gennaio 2010, grazie a queste iniziative congiunte della Commissione e degli Stati membri 4 508 autorità competenti erano registrate nell'IMI, 3 698 delle quali avevano accesso al nuovo settore dei servizi; è però previsto un aumento consistente di quest'ultimo dato nei prossimi mesi. Il numero medio giornaliero di utenti diversi connessi è salito da 40 (gennaio 2009) a 180 (dicembre dello stesso anno).

Numero totale di richieste trasmesse per trimestre e per settore legislativo nel 2009

[pic]

Per quanto attiene alle qualifiche professionali, il sistema è diventato più maturo e il suo inequivocabile successo illustra il potenziale dell'IMI come strumento di cooperazione amministrativa nell'UE. Sono state inviate in media 350 richieste a trimestre. Oltre il 90% delle richieste relative alle qualifiche professionali inviate nel 2009 proveniva dagli Stati membri che hanno aderito all'Unione europea prima del 2004 (UE-15): questo dato rispecchia la direzione della migrazione di manodopera. La Polonia e la Romania erano destinatarie del 32% delle richieste.

Nell'esaminare queste cifre è importante notare che al 56% delle richieste è stata data risposta entro una settimana.

Tempo necessario per trattare una richiesta presentata a norma della direttiva sulle qualifiche professionali nel 2009

Richieste accettate | % cumulativa | Richieste che hanno avuto risposta | % cumulativa |

Entro 3 giorni | 741 | 57,0% | 518 | 43,0% |

Entro 1 settimana | 216 | 73,7% | 167 | 56,8% |

Entro 2 settimane | 166 | 86,5% | 170 | 71,0% |

Entro 4 settimane | 120 | 95,7% | 164 | 84,6% |

Entro 8 settimane | 35 | 98,4% | 106 | 93,4% |

Oltre 8 settimane | 21 | 100,0% | 80 | 100,0% |

Totale: | 1299 | 1205 |

* La discrepanza tra le richieste accettate e quelle che hanno avuto risposta è dovuta alle richieste ritirate e a quelle pendenti alla fine del dicembre 2009.

MIGLIORARE LA PROTEZIONE DEI DATI NELL'IMI CON UN'IMPOSTAZIONE GRADUALE

L'IMI segue l'impostazione nota come " privacy by design " (tutela della vita privata sin dalla progettazione), in base alla quale l'esigenza di rispettare le norme relative alla protezione dei dati è presa in considerazione sin dalla fase di concezione dei sistemi che contengono informazioni. Anche nelle modalità di funzionamento quotidiano, il sistema tiene conto della protezione dei dati e l'importanza di questa problematica è sottolineata nel materiale didattico: un'impostazione che va oltre una protezione meramente teorica o di facciata. Questa linea sembra dare buoni frutti poiché nessuno Stato membro ha segnalato difficoltà sul fronte della protezione dei dati nell'IMI, né vi sono stati reclami da parte delle persone interessate.

Negli ultimi due anni la Commissione ha mantenuto un clima di dialogo con le autorità preposte alla protezione dei dati e con il garante europeo della protezione dei dati (GEPD). La principale considerazione che ispira tale gradualità è la seguente: poiché il sistema garantisce un livello elevato di protezione dei dati tecnici e procedurali e la Commissione è chiaramente impegnata a continuare a migliorare tale protezione, il quadro giuridico relativo all'IMI dovrebbe andare di pari passo con lo sviluppo tecnologico e con l'estensione del sistema ad altri settori della normativa sul mercato interno.

Pur sulla base della limitata esperienza del sistema, tale impostazione graduale ha permesso alla Commissione di affrontare tutte le preoccupazioni espresse dal GEPD in un parere del 12 dicembre 2007 e di adottare tre testi giuridici che trattano questioni attinenti alla protezione dei dati nell'ambito dell'IMI:

a) la decisione della Commissione, del 12 dicembre 2007, relativa alla protezione dei dati personali nell'ambito del sistema di informazione del mercato interno (IMI)[6];

b) la raccomandazione della Commissione, del 26 marzo 2009, relativa a orientamenti sulla protezione dei dati nell'ambito del sistema di informazione del mercato interno (IMI)[7];

c) la decisione della Commissione, del 2 ottobre 2009, che stabilisce le modalità pratiche per lo scambio di informazioni per via elettronica tra gli Stati membri ai sensi del capo VI della direttiva 2006/123/CE del Parlamento europeo e del Consiglio relativa ai servizi nel mercato interno[8].

La sezione 6 della presente relazione esamina le questioni rimaste aperte nonché il contenuto e la tempistica delle misure future, valutando in particolare l'opportunità di adottare un atto giuridico.

APPLICAZIONE DELLA RACCOMANDAZIONE DELLA COMMISSIONE

Miglioramenti introdotti dagli Stati membri

Contatti con le autorità preposte alla protezione dei dati

La raccomandazione incoraggiava " i coordinatori nazionali IMI a mettersi in contatto con le rispettive autorità nazionali preposte alla protezione dei dati per chiedere consigli e assistenza su come meglio applicare gli orientamenti a livello nazionale ". Nelle rispettive relazioni alla Commissione, la maggior parte degli Stati membri ha dichiarato di avere consultato l'autorità nazionale preposta alla protezione dei dati. Dette consultazioni hanno rassicurato gli utenti IMI sulla possibilità di scambiare i dati personali attraverso il sistema in modo conforme alla normativa sulla protezione dei dati e, allo stesso tempo, hanno permesso alle autorità nazionali di regolamentazione di stabilire relazioni di lavoro con rappresentanti delle pubbliche amministrazioni che attribuiscono grande importanza alla protezione dei dati e che si impegnano affinché questo progetto così autenticamente europeo abbia successo.

Informative sulla protezione dei dati personali

Su suggerimento del GEPD, la raccomandazione ha inoltre incoraggiato i coordinatori IMI a discutere il contenuto delle informative sulla protezione dei dati personali con le autorità locali responsabili della protezione di tali dati. Su questa materia la raccomandazione non poteva essere molto specifica in quanto, malgrado la piena armonizzazione introdotta dalla direttiva sulla protezione dei dati, gli Stati membri hanno un margine di discrezionalità nell'attuazione di alcune disposizioni. Le relazioni degli Stati membri confermano la varietà delle prassi nazionali riguardo al contenuto e al formato delle informative sulla protezione dei dati personali. Una lieve maggioranza degli Stati membri ritiene che la forma e i contenuti delle informazioni da fornire ai singoli debbano essere stabiliti a livello locale da ciascuna autorità competente in conformità alle normative locali. In alcuni Stati membri, invece, sono proposti modelli adattabili per l'intero paese[9].

Sensibilizzazione e formazione

Uno dei principali risultati della raccomandazione consiste nell'avere sensibilizzato al tema della protezione dei dati i partecipanti e gli utenti IMI, che hanno acquisito dimestichezza con i principi generali relativi alla protezione dei dati e hanno ricevuto suggerimenti pratici per garantire un livello elevato di protezione dei dati nell'IMI. Grazie alla raccomandazione, sono stati inclusi nel materiale didattico IMI destinato alle autorità competenti riferimenti agli orientamenti sulla protezione dei dati.

Miglioramenti introdotti dalla Commissione

Il piano di sicurezza IMI

I temi della sicurezza e della riservatezza dei dati sono disciplinati dalla decisione della Commissione del 16 agosto 2006 relativa alla sicurezza dei sistemi di informazione utilizzati dai servizi della Commissione[10]. Tale decisione è stata aggiornata alla luce delle norme di attuazione adottate nel 2009 e di recenti orientamenti e norme che coincidono sostanzialmente con le norme internazionali. Sono state rivedute e aggiornate di conseguenza le misure di sicurezza nell'ambito dell'IMI e nel 2009 è stato elaborato un piano di sicurezza globale che sarà riesaminato nel 2010.

Miglioramenti tecnici

Quando gli scambi di informazioni riguardano dati riservati, appare ormai sullo schermo un avviso che segnala che le informazioni scambiate sono riservate e che la persona incaricata del trattamento deve chiedere queste informazioni solo se sono assolutamente indispensabili e direttamente collegate all'esercizio dell'attività professionale o alla prestazione di un determinato servizio. Si è tenuto pienamente conto delle considerazioni relative alla tutela dei dati anche nella concezione e nella realizzazione del nuovo meccanismo di allerta (cfr. il punto 5.2.3.2).

È stato inoltre migliorato il sito web dell'IMI per rendere più intuitiva la ricerca dei documenti da parte degli utenti. La sezione sulla protezione dei dati[11] è stata aggiornata con l'inserimento di tutti i testi giuridici in materia, della corrispondenza con il GEPD e delle serie di domande utilizzate nel sistema. A fini di trasparenza, su suggerimento del garante europeo, sono state contrassegnate le domande riguardanti i dati sensibili.

Il nuovo settore legislativo della direttiva sui servizi

L'uso dell'IMI per la direttiva sui servizi

La direttiva sui servizi non contiene riferimenti espliciti all'IMI (bensì, più in generale, a un sistema elettronico per lo scambio di informazioni). È stato quindi necessario stabilire formalmente che l'IMI sarebbe stato utilizzato a tale scopo: a ciò ha provveduto una decisione[12] adottata dalla Commissione secondo la procedura prevista nella direttiva sui servizi (ossia la procedura di comitato).

Tale decisione stabilisce le modalità pratiche per lo scambio di informazioni in materia di servizi nell'ambito dell'IMI, contribuisce al livello elevato di protezione dei dati del sistema e rende più trasparenti e precise le norme generali imposte dalla decisione 2008/49/CE, nonché gli orientamenti sulla protezione dei dati contenuti nella raccomandazione. Essa lascia aperta la possibilità di stabilire in un momento successivo eventuali garanzie supplementari di protezione dei dati, ove ciò risultasse necessario, alla luce dell'esperienza acquisita con l'uso del sistema[13].

Un meccanismo di allerta concepito in funzione della protezione dei dati

Il meccanismo di allerta, complementare al sistema RAPEX relativo ai prodotti, è stato istituito a norma dell'articolo 29, paragrafo 3, e dell'articolo 32 della direttiva sui servizi per contribuire a prevenire i rischi ai quali sono esposti per l'appunto i fruitori dei servizi.

Poiché consente agli Stati membri di ottemperare all'obbligo giuridico di scambiarsi informazioni, il meccanismo di allerta è pienamente legittimo sotto il profilo della protezione dei dati. Tuttavia, consapevole delle ripercussioni sulla protezione dei dati, la Commissione ha dedicato molta attenzione alla concezione di tale sistema allo scopo di renderlo funzionale alla protezione dei dati e invita con forza gli Stati membri, che sono responsabili della protezione dei dati in fase di invio e di ricezione dei messaggi di allerta, ad attenersi alle regole in modo attento e scrupoloso.

A garanzia della protezione dei dati, il meccanismo di allerta prevede numerosi accorgimenti che sono elementi generali del sistema IMI, oltre a misure specifiche le cui finalità sono illustrate di seguito.

a) L'accesso ai dati è consentito solo a determinate autorità competenti o a determinati utenti

In linea con l'impostazione generale dell'IMI, l'accesso alle informazioni nell'ambito del meccanismo di allerta è strettamente limitato a chi ha davvero l'esigenza di conoscerle. Le autorità competenti e gli utenti IMI hanno accesso ai messaggi di allerta esclusivamente se lo Stato membro ha concesso loro la facoltà specifica non solo di utilizzare l'IMI in generale, ma anche l'apposita applicazione per le allerte. Salvo istruzioni contrarie, le autorità competenti e gli utenti IMI non possono inviare né ricevere messaggi di allerta: questa funzione deve essere attivata appositamente.

b) Non vengono inviati messaggi di allerta superflui

Non è possibile inviare un messaggio di allerta senza avere compilato una lista di controllo delle condizioni da rispettare, ad esempio l'esistenza di gravi specifici atti o circostanze riguardanti un'attività di servizi che potrebbero causare grave pregiudizio. Se l'autorità che intende avviare l'allerta non spunta tutti i criteri pertinenti, il sistema non permette di effettuare l'invio.

Va aggiunto che l'allerta non è inviata direttamente agli altri Stati membri ma è esaminata preliminarmente da un coordinatore delle allerte dello stesso Stato membro, il quale è chiamato, ancora una volta, a valutare l'opportunità o meno di trasmetterla agli altri Stati membri.

c) Le allerte sono distribuite solo ai destinatari nei confronti dei quali sussistono obblighi giuridici di informazione

Quando i messaggi di allerta sono inviati ad altri Stati membri, l'autorità che avvia l'allerta e il coordinatore sono tenuti a valutare quali Stati membri debbano esserne destinatari. Se lo Stato membro in cui è fornito un servizio intende inviare un'allerta, di norma gli unici destinatari saranno lo Stato membro di stabilimento del fornitore del servizio e la Commissione: grazie a questa configurazione predefinita, l'aggiunta di altri Stati membri all'elenco dei destinatari è soggetta a una decisione adottata caso per caso alla luce dell'esigenza o meno di informare i destinatari supplementari.

Se sono trasmessi ad altri Stati membri, inoltre, i messaggi di allerta non sono inviati a tutte le autorità competenti degli Stati destinatari, ma soltanto a una casella postale deputata alla ricezione delle allerte (generalmente è quella del coordinatore nazionale delle allerte). Spetterà al destinatario decidere quali autorità competenti del proprio Stato membro siano interessate e debbano essere coinvolte.

d) Pur ricevendo i messaggi di allerta come disposto dalla direttiva sui servizi, la Commissione non ha accesso ai dati personali

La direttiva sui servizi dispone che tutti i messaggi di allerta siano inviati alla Commissione; a differenza degli Stati membri, tuttavia, quest'ultima, che non ha bisogno di accedere ai dati personali, riceve i messaggi di allerta senza tali dati.

e) Se, malgrado le misure precauzionali, vengono inviati messaggi di allerta infondati, è possibile ritirarli rapidamente oppure correggere o cancellare i dati erronei

Il sistema IMI consente a un'autorità competente che abbia inviato un'allerta infondata di ritirarla immediatamente rendendola invisibile a tutti gli utenti IMI. Se l'allerta era giustificata ma è necessario correggere alcune informazioni, l'autorità competente che l'ha avviata è in grado di farlo in qualsiasi momento. Il sistema IMI permette inoltre alle altre autorità competenti che hanno ricevuto l'allerta di segnalare che essa contiene alcune informazioni errate.

f) Le allerte sono chiuse non appena il rischio cessa; i dati diventano immediatamente invisibili a tutti gli utenti e i dati personali sono cancellati sei mesi dopo la fine dell'allerta

Non appena scompare il rischio che l'ha determinata, l'allerta deve essere chiusa: il sistema IMI consente perciò allo Stato membro di stabilimento di chiudere l'allerta e le autorità responsabili sono avvisate per posta elettronica. Non appena viene chiusa, l'allerta diventa invisibile; entro e non oltre sei mesi dopo la fine dell'allerta tutti i dati personali sono cancellati automaticamente ed eliminati dal sistema.

QUESTIONI APERTE

Sebbene la maggior parte degli Stati membri abbia espresso valutazioni positive sulla protezione dei dati nell'IMI, alcuni di essi hanno sollevato alcune questioni che sono esaminate nella presente sezione.

Disposizioni vigenti in materia di sicurezza e di riservatezza

Il trattamento dei dati personali nell'IMI comporta lo svolgimento congiunto di una serie di attività: le operazioni di trattamento vero e proprio (nel quale intervengono la Commissione e gli Stati membri), il controllo (svolto dai vari utenti e soggetti) e la sorveglianza (svolta dalle autorità nazionali preposte alla protezione dei dati e dal GEPD). In un contesto così complesso, non è sempre facile assegnare le responsabilità.

Secondo le autorità danese e tedesca preposte alla protezione dei dati, poiché le rispettive autorità competenti sono tenute a soddisfare determinate condizioni imposte a livello nazionale (ad esempio un meccanismo di autenticazione più forte, come si vedrà nella sezione seguente), tali autorità dovrebbero chiedere che l'intero sistema soddisfi tali condizioni nazionali come condizione per continuare a utilizzare l'IMI. Le autorità competenti hanno trasmesso tali richieste alla Commissione, che è responsabile della sicurezza del sistema.

La Commissione ritiene che l'IMI sia un sistema sicuro e che una rete genuinamente europea qual è l'IMI non possa funzionare se ogni Stato membro insiste sul rispetto delle proprie misure nazionali di sicurezza. L'adozione, quasi vent'anni fa, della direttiva sulla protezione dei dati aveva il duplice scopo di tutelare il diritto fondamentale alla protezione dei dati e di garantire la libera circolazione dei dati personali da uno Stato membro all'altro e tra gli Stati membri e le istituzioni dell'Unione europea[14].

Alla luce di queste premesse, la Commissione ribadisce la propria posizione: dato il livello elevato delle garanzie fornite dal sistema IMI riguardo alla protezione dei dati e in virtù del principio di leale cooperazione enunciato all'articolo 4, paragrafo 3, del trattato sull'Unione europea, le autorità nazionali preposte alla protezione dei dati dovrebbero astenersi dal creare ostacoli all'uso del sistema da parte delle autorità nazionali competenti.

Verso un'autenticazione più forte nell'IMI

Il sistema di autenticazione dell'IMI è una versione avanzata di un'autenticazione a un unico fattore, in quanto affianca al nome utente e alla password un codice PIN. Quando l'utente cerca di accedere al sistema, gli viene chiesto di fornire una combinazione selezionata a caso di caratteri del codice PIN.

Le autorità danese e tedesca preposte alla protezione dei dati hanno espresso alcune preoccupazioni riguardo al sistema di autenticazione dell'IMI. Tenendo conto dello stato dell'arte e dei costi di attuazione, la Commissione considera adeguato l'attuale meccanismo di autenticazione ma ritiene anch'essa opportuno a lungo termine il passaggio a un'autenticazione più forte. Poiché gli Stati membri hanno adottato sistemi diversi di autenticazione che non sempre sono interoperabili, la soluzione migliore per un'autenticazione più forte nell'IMI sembra essere quella di identità elettroniche gestite a livello degli Stati membri, che diventerebbero interoperabili attraverso un "middleware".

Una possibilità è data dal progetto STORK, attualmente sviluppato da un consorzio cui partecipano alcuni Stati membri, finanziato nell'ambito del programma di sostegno alla politica in materia di TIC, che rientra nel programma per la competitività e l'innovazione. La Commissione seguirà attentamente i progressi compiuti da tale progetto nei prossimi mesi, che saranno decisivi per valutare l'opportunità di utilizzarlo nell'ambito dell'IMI.

Per ulteriori considerazioni sul tema della sicurezza dei dati si rimanda alla sezione 7.2.

Conservazione dei dati

L'IMI applica una politica molto rigorosa in materia di conservazione dei dati[15]; secondo alcuni soggetti e utenti tale politica andrebbe rivista. La cancellazione rapida dei dati personali dal sistema non è sempre vantaggiosa per la persona interessata, che potrebbe preferire che i propri dati, riguardanti ad esempio i procedimenti giudiziari, rimanessero nel sistema più a lungo.

In una recente sentenza[16] la Corte di giustizia europea ha affermato che il diritto di accesso alle informazioni[17] attiene non solo ai dati attuali, ma anche ai dati conservati in passato. La Corte ritiene pertanto che la limitazione dell'accesso ai dati tramite la loro cancellazione possa essere contraria alla legge, salvo che si dimostri che conservare tali informazioni più a lungo comporterebbe un onere eccessivo per il responsabile del trattamento. La Commissione non ritiene che conservare più a lungo le informazioni personali nell'IMI rappresenti un onere eccessivo e intende perciò valutare l'opportunità di un periodo di conservazione dei dati più lungo, che potrebbe comportare anche una fase transitoria di blocco dei dati nel corso della quale questi ultimi sarebbero invisibili a tutti gli utenti prima di essere definitivamente cancellati. Saranno analizzate con attenzione le possibili conseguenze di una politica di blocco dei dati, compreso il profilo dei soggetti autorizzati ad accedere ai dati bloccati e gli obiettivi di tale accesso.

Questo tema esemplifica ottimamente la necessità di riflettere molto attentamente prima di stabilire le disposizioni da inserire in uno strumento giuridicamente vincolante che disciplini il funzionamento dell'IMI. È fondamentale che la Commissione e gli Stati membri, pur garantendo una buona protezione dei dati e la partecipazione delle autorità preposte alla protezione dei dati, possano giovarsi di un'esperienza del sistema sufficiente a evitare l'elaborazione di norme inefficaci o addirittura controproducenti in materia.

Uso dell'IMI a livello nazionale

L'atto di recepimento della direttiva sui servizi nei Paesi Bassi stabilisce l'uso dell'IMI a fini nazionali, ossia anche per lo scambio di informazioni tra le amministrazioni dei Paesi Bassi. La Commissione europea valuta positivamente tale scelta, che illustra il potenziale d'uso dell'IMI tra le amministrazioni. L'uso dell'IMI in ambito nazionale da parte degli Stati membri è tuttavia soggetto a tre condizioni:

a) il trattamento dei dati personali e la conservazione delle informazioni sui server della Commissione devono essere autorizzati dalla normativa nazionale;

b) il sistema deve essere utilizzato così com'è, con le stesse serie di domande e le stesse funzioni;

c) lo Stato membro deve assumersi piena responsabilità per qualsiasi problematica (protezione dei dati o altre questioni) in relazione all'uso del sistema a fini nazionali.

Si raccomanda pertanto agli Stati membri eventualmente interessati a utilizzare l'IMI in ambito nazionale di consultare anzitutto le proprie autorità preposte alla protezione dei dati e di contattare successivamente la Commissione per discutere la questione e assicurarsi che ciò non comporti problemi sotto il profilo della normativa in materia di protezione dei dati.

Garanzie specifiche in materia di protezione dei dati nella normativa giuridicamente vincolante dell'Unione europea

Nel suo parere del 12 dicembre 2007 e nel suo scambio di lettere con la Commissione, il GEPD ha chiesto che siano adottate garanzie specifiche e giuridicamente vincolanti in materia di protezione dei dati nella normativa dell'Unione europea, contestualmente all'estensione della portata dell'IMI oltre l'ambito della direttiva sulle qualifiche professionali e della direttiva sui servizi. Le autorità tedesche preposte alla protezione dei dati hanno espresso opinioni analoghe.

Nel 2010 la nuova Commissione esaminerà nuovamente il funzionamento del mercato unico e la possibilità di rendere più incisivo il contributo dell'IMI ai fini di una migliore applicazione della normativa sul mercato interno negli Stati membri: in tale contesto essa valuterà quali altri settori possano beneficiare dell'uso dell'IMI.

È già in vigore una solida normativa in materia di protezione dei dati e i riscontri provenienti dagli Stati membri sono positivi. La Commissione ritiene pertanto inopportuno formulare una proposta legislativa senza avere prima definito la portata dell'IMI e senza avere beneficiato dell'esperienza acquisita con l'uso pratico del sistema nel settore dei servizi. Ogni futura proposta deve integrarsi opportunamente in tale contesto affinché l'IMI e la protezione dei dati possano giovarsi di misure solide, in grado di rimanere incisive nel tempo.

Nel frattempo la Commissione continuerà a rafforzare la protezione dei dati nell'ambito dell'IMI in stretta collaborazione con gli Stati membri e con il GEPD secondo le modalità descritte di seguito.

MIGLIORAMENTI FUTURI

Miglioramenti tecnici

In una futura versione del software saranno introdotti solleciti automatici ed elenchi di richieste urgenti per l'accettazione di una risposta (in modo che le richieste non restino aperte più dello stretto necessario). Per quanto riguarda la possibilità di introdurre una procedura online per la rettifica, il blocco o la cancellazione di dati, dal momento che non vi sono state richieste in tal senso e che è altamente improbabile che ve ne siano molte in futuro, la Commissione ritiene più opportuno introdurre una procedura più leggera, che sarà adeguatamente documentata con l'aiuto del responsabile della protezione dei dati presso la Commissione e del GEPD.

Sicurezza dei dati

Coerentemente con i nuovi orientamenti e con le norme da essa adottate di recente, nel 2010 la Commissione condurrà una nuova valutazione dei rischi per l'IMI e in base all'esito di tale valutazione aggiornerà il piano di sicurezza, individuando le parti del sistema che occorre prendere in considerazione, le possibili minacce alla sicurezza nonché le esigenze in termini di infrastrutture e di software. Se la valutazione dei rischi evidenzierà la necessità di introdurre ulteriori misure di sicurezza, queste ultime saranno incluse progressivamente nelle future versioni del software.

All'inizio del 2011 sarà inoltre eseguito un audit esterno che si concentrerà soprattutto sui risultati e sulla stabilità del sistema, ma che potrebbe anche prendere in considerazione alcune questioni connesse alla protezione dei dati e alla sicurezza.

Riesame della direttiva sulle qualifiche professionali

Nel 2010-2011 sarà svolta una valutazione della direttiva sulle qualifiche professionali che prenderà in considerazione la cooperazione amministrativa e l'uso dell'IMI, compresi gli aspetti legati alla protezione dei dati.

CONCLUSIONI

Pur essendo soddisfatta dell'attuazione data alla raccomandazione e della situazione della protezione dei dati nell'ambito dell'IMI, la Commissione continuerà ad adoperarsi per migliorare ulteriormente il sistema, in particolar modo sotto il profilo tecnico e della sicurezza dei dati.

La Commissione intende inoltre esaminare la possibilità di estendere l'IMI ad altri settori del mercato interno acquisendo nel contempo maggiore esperienza pratica del funzionamento del sistema nel settore dei servizi. Ogni futura proposta normativa a livello dell'UE terrà conto di tali sviluppi e di tali riflessioni per dare all'IMI e alla protezione dei dati una base solida, in grado di mantenere la propria incisività nel tempo.

Nel primo trimestre del 2011 sarà pubblicato un documento di lavoro dei servizi della Commissione sul funzionamento e sullo sviluppo del sistema IMI nel 2010, che affronterà anche il tema della protezione dei dati.

[1] C (2009) 2041 definitivo. GU L 100 del 18.4.2009, pag. 12.

[2] Nell'ambito della consultazione, 17 Stati membri hanno risposto alle seguenti domande:- avete contattato la vostra autorità nazionale per la protezione dei dati? Tale autorità ha espresso valutazioni circa l'attuazione data a livello nazionale agli orientamenti?- Avete redatto un'informativa generale sulla politica di protezione dei dati personali per tutti gli utenti IMI o se ne stanno occupando localmente le vostre autorità competenti?- Le vostre autorità competenti hanno incontrato problemi riguardo alla protezione dei dati nell'inviare richieste o nel rispondere a richieste nell'ambito dell'IMI?- Le vostre autorità nazionali vi hanno comunicato considerazioni relative alle informazioni sui casellari giudiziali?- Le vostre autorità competenti hanno ricevuto richieste di accesso, cancellazione o rettifica dalle persone interessate?- Le vostre autorità competenti sono al corrente della possibilità di cancellare anticipatamente i dati personali dal sistema? Si avvalgono di tale possibilità?- Nei vostri corsi di formazione sull'IMI viene affrontato il tema della protezione dei dati?

[3] Direttiva 2006/123/CE del Parlamento europeo e del Consiglio, del 12 dicembre 2006, relativa ai servizi nel mercato interno (GU L 376 del 27.12.2006, pag. 36).

[4] Nel 2009 la Commissione ha organizzato a Bruxelles tre azioni di formazione della durata di un giorno, a ciascuna della quali hanno partecipato circa 60 coordinatori IMI. Sempre nel 2009 si sono svolte complessivamente negli Stati membri oltre 100 azioni di formazione per le autorità competenti a livello locale, regionale e nazionale.

[5] Cfr. articolo 32 della direttiva sui servizi.

[6] C(2007) 6306, GU L 13 del 16.1.2008, pag. 18.

[7] C(2009) 2041 definitivo, GU L 100 del 18.4.2009, pag. 12.

[8] C(2009) 7493, GU L 263 del 7.10.2009, pag. 32.

[9] Un ottimo esempio di modello redatto con l'assistenza tecnica dell'autorità nazionale di protezione dei dati è l'informativa sulla protezione dei dati personali ( cláusula de privacidad ) messa a disposizione dall'équipe IMI spagnola:http://www.mpt.es/documentacion/sistema_IMI/documentos/protec_datos/ClausulaIMI_ES/document_es/Clausula_IMI.pdf.

[10] C(2006) 3602.

[11] http://ec.europa.eu/internal_market/imi-net/data_protection_en.html.

[12] Decisione della Commissione, del 2 ottobre 2009, che stabilisce le modalità pratiche per lo scambio di informazioni per via elettronica tra gli Stati membri ai sensi del capo VI della direttiva 2006/123/CE del Parlamento europeo e del Consiglio relativa ai servizi nel mercato interno.

[13] Cfr. il capitolo 13 della raccomandazione, sezione "Lavori in corso", lettera d).

[14] Tale principio è enunciato chiaramente all'articolo 1, paragrafo 2, della direttiva sulla protezione dei dati nonché all'articolo 1, paragrafo 1, e al considerando 13 del regolamento sulla protezione dei dati: "Il risultato perseguito è quello di garantire tanto l'effettivo rispetto delle norme relative alla tutela delle libertà e dei diritti fondamentali delle persone fisiche quanto la libera circolazione dei dati personali tra gli Stati membri e le istituzioni o gli organismi comunitari, nonché fra le istituzioni e gli organismi comunitari stessi ai fini dell'esercizio delle rispettive competenze".

[15] È possibile procedere alla cancellazione anticipata dei dati personali semplicemente con un paio di clic e, in ogni caso, tutti i dati personali sono cancellati automaticamente sei mesi dopo l'archiviazione delle richieste di informazioni.

[16] C-553/07, Rotterdam/Rijkeboer.

[17] Cfr. articolo 12, lettera a), della direttiva 95/46/CE.