COMUNICAZIONI PROVENIENTI DALLE ISTITUZIONI, DAGLI ORGANI E DAGLI ORGANISMI DELL'UNIONE EUROPEA

INFORMAZIONI PROVENIENTI DALLE ISTITUZIONI, DAGLI ORGANI E DAGLI ORGANISMI DELL'UNIONE EUROPEA

5.7.2022

Gazzetta ufficiale dell’Unione europea

C 258/3

Tassi di cambio dell’euro (1)

4 luglio 2022

(2022/C 258/03)

1 euro =

	Moneta	Tasso di cambio
USD	dollari USA	1,0455
JPY	yen giapponesi	141,51
DKK	corone danesi	7,4391
GBP	sterline inglesi	0,85960
SEK	corone svedesi	10,7658
CHF	franchi svizzeri	1,0037
ISK	corone islandesi	139,30
NOK	corone norvegesi	10,2958
BGN	lev bulgari	1,9558
CZK	corone ceche	24,745
HUF	fiorini ungheresi	401,52
PLN	zloty polacchi	4,7100
RON	leu rumeni	4,9440
TRY	lire turche	17,5994
AUD	dollari australiani	1,5205
CAD	dollari canadesi	1,3435
HKD	dollari di Hong Kong	8,2033
NZD	dollari neozelandesi	1,6748
SGD	dollari di Singapore	1,4587
KRW	won sudcoreani	1 353,40
ZAR	rand sudafricani	17,0275
CNY	renminbi Yuan cinese	6,9977
HRK	kuna croata	7,5301
IDR	rupia indonesiana	15 684,13
MYR	ringgit malese	4,6138
PHP	peso filippino	57,487
RUB	rublo russo
THB	baht thailandese	37,298
BRL	real brasiliano	5,5663
MXN	peso messicano	21,1972
INR	rupia indiana	82,5067

(1) Fonte: tassi di cambio di riferimento pubblicati dalla Banca centrale europea.

5.7.2022

Gazzetta ufficiale dell’Unione europea

C 258/5

Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento relativo alla protezione delle indicazioni geografiche per i prodotti artigianali e industriali

(Il testo integrale del presente parere è disponibile in EN, FR e DE sul sito web del GEPD www.edps.europa.eu)

(2022/C 258/05)

Il 13 aprile 2022 la Commissione europea ha adottato una proposta di regolamento del Parlamento europeo e del Consiglio relativo alla protezione delle indicazioni geografiche per i prodotti artigianali e industriali, che modifica i regolamenti (UE) 2017/1001 e (UE) 2019/1753 del Parlamento europeo e del Consiglio e la decisione (UE) 2019/1754 del Consiglio (in prosieguo «la proposta»).

La proposta mira a integrare il sistema di protezione dell’UE per le indicazioni geografiche, già in atto per i prodotti agricoli e alimentari, i vini e le bevande spiritose, e a consentire l’effettivo adempimento degli obblighi derivanti dall’adesione dell’UE all’atto di Ginevra dell’accordo di Lisbona.

Il GEPD nota con soddisfazione che la proposta stabilisce i ruoli della Commissione, dell’EUIPO e delle autorità competenti degli Stati membri in relazione al trattamento dei dati personali nelle procedure previste dalla proposta stessa.

Il GEPD raccomanda di chiarire se i diversi titolari del trattamento di dati personali agiranno o meno come contitolari del trattamento e, in caso affermativo, di prevedere un accordo secondo quanto stabilito dall’articolo 28 dell’EUDPR e/o dall’articolo 26 del RGPD. A questo proposito, il GEPD ricorda che, per garantire la conformità ai requisiti di protezione dei dati, se necessario si possono definire accordi dettagliati anche mediante un atto di esecuzione.

Il GEPD osserva che la proposta prevede la creazione di un registro elettronico, accessibile al pubblico, delle indicazioni geografiche per i prodotti artigianali e industriali. A tale riguardo, raccomanda di definire chiaramente le categorie di dati che saranno trattati e di specificare nella proposta stessa tutte le categorie dei dati personali interessati. Infine, il GEPD ritiene che occorra motivare ulteriormente il periodo di conservazione dei dati prescelto per la documentazione relativa all’annullamento di indicazioni geografiche.

1. INTRODUZIONE

L’obiettivo della proposta è istituire una protezione delle indicazioni geografiche («IG») direttamente applicabile per i prodotti artigianali e industriali a livello dell’UE. La proposta mira altresì a garantire che i produttori possano beneficiare del quadro internazionale per la registrazione e la protezione delle IG («sistema di Lisbona») (1).

La proposta integra la protezione dell’UE esistente per le IG nel settore agricolo e segue approcci analoghi adottati per quanto concerne le condizioni di ammissibilità e la protezione delle IG per i prodotti agricoli e alimentari, i vini e le bevande spiritose, in base a quanto stabilito nel:

—	regolamento (UE) n. 1151/2012 del Parlamento europeo e del Consiglio (2) sui regimi di qualità dei prodotti agricoli e alimentari;

—	regolamento (UE) 2019/787 del Parlamento europeo e del Consiglio (3) relativo alla definizione, alla designazione, alla presentazione e all’etichettatura delle bevande spiritose; e

—	regolamento (UE) n. 1308/2013 del Parlamento europeo e del Consiglio (4) recante organizzazione comune dei mercati dei prodotti agricoli (5).

La proposta modificherebbe il regolamento (UE) 2017/1001 del Parlamento europeo e del Consiglio sul marchio dell’Unione europea per quanto concerne eventuali conflitti tra IG e marchi, oltre a specificare compiti aggiuntivi per l’Ufficio dell’Unione europea per la proprietà intellettuale («EUIPO»). Propone inoltre di modificare la decisione (UE) 2019/1754 del Consiglio relativa all’adesione dell’Unione europea all’atto di Ginevra dell’accordo di Lisbona sulle denominazioni di origine e le indicazioni geografiche, al fine di stabilire un collegamento tra il sistema dell’UE di protezione delle IG per i prodotti artigianali e industriali e il sistema di Lisbona (6).

Il presente parere del Garante europeo della protezione dei dati (GEPD) è emesso in risposta a una consultazione della Commissione europea del 13 aprile 2022, ai sensi dell’articolo 42, paragrafo 1, dell’EUDPR. Il GEPD apprezza il riferimento a tale consultazione nel considerando 63 della proposta. Le osservazioni e le raccomandazioni di cui al presente parere si limitano alle disposizioni della proposta che sono più pertinenti in termini di protezione dei dati.

4. CONCLUSIONI

16.

Alla luce di quanto precede, il GEPD:

—	accoglie favorevolmente la designazione esplicita dei titolari del trattamento in relazione al trattamento dei dati personali nelle procedure stabilite dalla proposta;

—	raccomanda di chiarire se detti titolari del trattamento debbano essere considerati o meno «contitolari del trattamento» ai sensi dell’articolo 28 dell’EUDPR e dell’articolo 26 del RGPD;

—	raccomanda di specificare nella proposta tutte le categorie di dati da includere nel registro dell’Unione delle indicazioni geografiche per i prodotti artigianali e industriali;

—	ritiene che il periodo di conservazione proposto per la documentazione relativa alla cancellazione della registrazione delle IG debba essere ulteriormente motivato o ridotto nella misura in cui riguarda dati personali.

Bruxelles, 2 giugno 2022

Wojciech Rafał WIEWIÓROWSKI

(1) () COM(2022) 174 final, pag. 1.

(2) GU L 343 del 14.12.2012, pag. 1.

(3) GU L 130 del 17.5.2019, pag. 1.

(4) GU L 347 del 20.12.2013, pag. 671.

(5) Il GEPD è stato consultato in merito al regolamento (UE) n. 1308/2013 e ha adottato il proprio parere il 14 dicembre 2011.

(6) COM(2022) 174 final, pag. 2.

5.7.2022

Gazzetta ufficiale dell’Unione europea

C 258/7

Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell’Unione

(Il testo integrale del presente parere è disponibile in n inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2022/C 258/06)

Il 22 marzo 2022 la Commissione europea ha adottato una proposta di regolamento del Parlamento europeo del Consiglio sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell’Unione («la proposta»).

Il GEPD accoglie con favore l’obiettivo della proposta di migliorare la sicurezza delle informazioni trattate dalle istituzioni dell’UE, stabilendo norme comuni in materia e promuovendo una cultura coerente della sicurezza delle informazioni in uno strumento giuridico specifico.

Il GEPD osserva che l’ambito di applicazione della sicurezza dei dati personali richiesta dall’EUDPR si sovrappone solo parzialmente all’ambito di applicazione della sicurezza delle informazioni previsto dalla proposta. Quest’ultima si concentra sulla riservatezza delle informazioni, mentre l’EUDPR ne garantisce anche l’integrità e la disponibilità. Inoltre, le disposizioni dell’EUDPR in materia di sicurezza dei dati personali riguardano specificamente i rischi per i diritti e le libertà delle persone fisiche.

La proposta richiede alle istituzioni dell’UE di adottare misure per la sicurezza delle informazioni, il che comporterà inevitabilmente il trattamento di dati personali e di dati delle comunicazioni elettroniche, ivi compresi quelli sul traffico. Il GEPD ritiene necessario evidenziare che tutte le misure per la sicurezza delle informazioni che comportano il trattamento di dati personali debbano essere conformi al quadro giuridico attuale in materia di protezione dei dati e della vita privata e che le istituzioni dell’UE debbano adottare garanzie tecniche e organizzative pertinenti per assicurare tale conformità in modo affidabile.

Per conseguire la certezza e la prevedibilità del diritto e per garantire la conformità all’EUDPR, il GEPD raccomanda vivamente che la proposta o, quanto meno, un atto delegato adottato successivamente dalla Commissione definisca in modo chiaro le attività di trattamento dei dati personali che sono consentite ai fini del regolamento in questione. Il GEPD richiama altresì l’attenzione sull’esigenza di garantire il rispetto delle norme dell’EUDPR che riguardano i trasferimenti dei dati personali verso paesi terzi e organizzazioni internazionali. Inoltre, il GEPD raccomanda di spiegare in un considerando che si applicheranno tutte le disposizioni dell’EUDPR, comprese le norme sui trasferimenti internazionali.

Il GEPD sottolinea l’importanza di integrare la prospettiva della tutela della vita privata e dei dati nella gestione della sicurezza delle informazioni, al fine di realizzare sinergie positive tra la proposta e la legislazione sulla protezione dei dati e della vita privata e fornire raccomandazioni specifiche su come si possano ottenere tali sinergie, tra cui: un obbligo specifico che imponga ai funzionari dell’UE addetti alla sicurezza delle informazioni di cooperare strettamente con il responsabile della protezione dei dati designato ai sensi dell’articolo 43 dell’EUDPR; l’inserimento della cifratura end-to-end nell’elenco delle misure minime di sicurezza della proposta, ove applicabile, in particolare durante lo scambio di informazioni sensibili non classificate; la promozione di una procedura integrata di gestione del rischio di sicurezza delle informazioni e di una procedura integrata di trattamento degli incidenti di sicurezza, in modo da garantire sia la sicurezza delle informazioni che il rispetto degli obblighi in materia di protezione dei dati per quanto concerne le notifiche di una loro violazione.

1. INTRODUZIONE E CONTESTO

1.	Il 22 marzo 2022 la Commissione europea ha adottato una proposta di regolamento del Parlamento europeo del Consiglio sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell’Unione (1) («la proposta»).

2.	Lo stesso giorno la Commissione europea ha adottato un’altra proposta di regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione (2) («la proposta in materia di cibersicurezza»).

Entrambe le proposte erano previste dalla strategia dell’UE in materia di cibersicurezza per il decennio digitale, presentata il 16 dicembre 2020 (3) («la strategia»). La strategia mirava in generale a rafforzare l’autonomia strategica dell’Unione nel settore della cibersicurezza e a migliorarne la resilienza e la risposta collettiva, nonché a costruire un’Internet globale e aperta, con forti linee guida per affrontare i rischi per la sicurezza e per i diritti e le libertà fondamentali dei cittadini europei (4).

La proposta costituisce una delle iniziative normative della strategia, in particolare nel settore della cibersicurezza delle istituzioni, degli organi e degli organismi dell’UE («le istituzioni dell’UE»). In base alla strategia, l’obiettivo della proposta è duplice:

—	facilitare l’interoperabilità dei sistemi di informazioni classificate, permettendo un trasferimento fluido delle informazioni tra le diverse entità; e

—

consentire un approccio interistituzionale al trattamento delle informazioni classificate dell’UE e delle informazioni sensibili non classificate, che potrebbe anche fungere da modello per l’interoperabilità tra gli Stati membri, affermando che l’UE dovrebbe inoltre sviluppare ulteriormente la propria capacità di comunicare in maniera sicura con i partner pertinenti basandosi, per quanto possibile, sui meccanismi e sulle procedure esistenti.

Il GEPD osserva che l’oggetto della proposta in esame è direttamente legato anche alla proposta di direttiva del Parlamento europeo e del Consiglio relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, che abroga la direttiva (UE) 2016/1148 («proposta NIS 2.0»). Il GEPD ricorda il suo parere 5/2021 sulla strategia in materia di cibersicurezza (5) e sulla direttiva NIS 2.0 («parere NIS 2.0») (6); perciò il presente parere farà riferimento al parere NIS 2.0.

Secondo la relazione della proposta, considerati il numero sempre crescente di informazioni sensibili non classificate e di informazioni classificate UE («ICUE») che le istituzioni dell’UE devono condividere tra loro e il drammatico sviluppo del panorama delle minacce, l’amministrazione europea è esposta ad attacchi in tutti i suoi settori di attività. Le informazioni trattate dalle istituzioni dell’UE sono molto interessanti per gli autori delle minacce e devono essere adeguatamente protette.

Secondo la relazione, la proposta:

—	stabilirebbe categorie armonizzate e complete di informazioni, nonché norme comuni in materia di trattamento per tutte le istituzioni dell’UE;

—	istituirebbe un sistema snello di cooperazione in materia di sicurezza delle informazioni tra le istituzioni dell’UE, in grado di promuovere una cultura coerente della sicurezza delle informazioni in tutta l’amministrazione europea;

—	modernizzerebbe le politiche in materia di sicurezza delle informazioni a tutti i livelli di classifica/categorizzazione, per tutte le istituzioni dell’UE, tenendo conto della trasformazione digitale e dello sviluppo del telelavoro come pratica strutturale.

Il 22 marzo 2022 la Commissione ha consultato il Garante europeo della protezione dei dati ai sensi dell’articolo 42, paragrafo 1, del regolamento del Parlamento europeo e del Consiglio (UE) 2018/1725 («EUDPR») (7). Le osservazioni e le raccomandazioni di cui al presente parere si limitano alle disposizioni della proposta che sono più pertinenti dal punto di vista della protezione dei dati e della vita privata.

4. CONCLUSIONI

31.

Alla luce di quanto sopra, il GEPD formula le seguenti raccomandazioni principali:

—

il GEPD raccomanda vivamente che la proposta definisca in modo chiaro le attività di trattamento dei dati personali che sono consentite ai fini del regolamento in questione, tra cui: la o le finalità del trattamento; categorie di dati personali; categorie di interessati; definizione di ruoli applicabili (titolare del trattamento, responsabile del trattamento, contitolari del trattamento), periodi di conservazione, destinatari in caso di trasmissione a entità non soggette all’EUDPR. Il GEPD ritiene che questi elementi debbano essere espressamente contemplati dalla proposta o, quanto meno, da un atto delegato adottato successivamente dalla Commissione. La proposta dovrebbe prevedere tale delega;

—

il GEPD raccomanda di spiegare in un considerando che verranno applicate tutte le disposizioni dell’EUDPR, comprese le norme sui trasferimenti internazionali. Il considerando 6 può essere inoltre utilizzato per includere tutte le altre raccomandazioni generali sulla protezione dei dati formulate nel presente parere che non sono intese a modificare le disposizioni sostanziali;

—	il GEPD raccomanda vivamente di includere la cifratura end-to-end nell’elenco delle misure minime di sicurezza della proposta, ove applicabile, in particolare durante lo scambio di informazioni sensibili non classificate;

—

il GEPD consiglia di aggiungere all’articolo 5, paragrafo 3, che tra gli elementi presi in considerazione dalla procedura di gestione del rischio di sicurezza delle informazioni si tiene conto anche delle minacce derivanti dall’accesso basato sulla giurisdizione di paesi terzi (per esempio da parte delle loro autorità pubbliche);

—

il GEPD raccomanda vivamente di spiegare in un considerando pertinente i vantaggi di disporre di una procedura integrata di gestione del rischio di sicurezza delle informazioni e di una procedura integrata di trattamento degli incidenti di sicurezza, in modo da garantire sia la sicurezza delle informazioni che il rispetto degli obblighi in materia di protezione dei dati per quanto concerne le notifiche di una loro violazione;

—

il GEPD raccomanda vivamente di includere nella proposta un obbligo specifico che imponga ai funzionari dell’UE addetti alla sicurezza delle informazioni di cooperare strettamente con il responsabile della protezione dei dati, designato ai sensi dell’articolo 43 dell’EUDPR, durante lo svolgimento di attività quali l’applicazione della protezione dei dati fin dalla progettazione e per impostazione definita nei confronti delle misure per la sicurezza delle informazioni, la selezione di misure di sicurezza che coinvolgano dati personali, la gestione integrata del rischio e il trattamento integrato degli incidenti di sicurezza.

Bruxelles, 17 maggio 2022

Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 119 final.

(2) COM(2022) 122 final.

(3) La strategia dell’UE in materia di cibersicurezza per il decennio digitale | Plasmare il futuro digitale dell’Europa (europa.eu), comprendente una comunicazione congiunta con l’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza (JOIN(2020)18).

(4) Cfr. capitolo I. INTRODUZIONE, pag. 5 della strategia.

(5) Comunicazione congiunta della Commissione europea e dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza al Parlamento europeo e al Consiglio dal titolo «La strategia dell’UE in materia di cibersicurezza per il decennio digitale».

(6) Parere del GEPD 5/2021 sulla strategia in materia di cibersicurezza e sulla direttiva NIS 2.0.

(7) Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39).

5.7.2022

Gazzetta ufficiale dell’Unione europea

C 258/10

Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione

[Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu]

(2022/C 258/07)

Il 22 marzo 2022 la Commissione europea ha adottato una proposta di regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione («la proposta»).

Il GEPD accoglie con favore l’obiettivo della proposta di migliorare la posizione di cibersicurezza fra le istituzioni, gli organi e gli organismi dell’Unione («IUE») e accoglie con altrettanto favore il nuovo ruolo dell’ex «squadra di pronto intervento informatico», ora denominata «Centro per la cibersicurezza» (CERT-UE), tenendo conto dell’amplificazione della digitalizzazione, della rapida evoluzione del panorama delle minacce alla cibersicurezza e del recente passaggio alla digitalizzazione anche a causa della pandemia di COVID-19.

Il GEPD si rammarica che la proposta non è in linea con la direttiva NIS e con la proposta NIS 2.0 in modo da conseguire norme coerenti e omogenee per gli Stati membri e le IUE, contribuendo al livello generale di cibersicurezza dell’Unione. Il GEPD raccomanda di aggiungere nella proposta che i requisiti minimi di sicurezza dovrebbero essere almeno equivalenti o superiori ai requisiti minimi di sicurezza dei soggetti della direttiva NIS e della proposta NIS 2.0.

Al fine di conformarsi alla proposta, le IUE e il CERT-UE dovranno attuare determinati processi e misure in materia di cibersicurezza, che comportano necessariamente un ulteriore trattamento dei dati personali. Per conseguire la certezza del diritto e la prevedibilità e garantire il rispetto del RGPD, il GEPD raccomanda vivamente che la proposta, o quanto meno un atto delegato che sarà successivamente adottato dalla Commissione, preveda chiaramente una base giuridica per il trattamento dei dati personali da parte del CERT-UE e delle IUE, comprese in particolare le finalità del trattamento e le categorie di dati personali.

Il GEPD sottolinea l’importanza di integrare la prospettiva della protezione della vita privata e dei dati nella gestione della cibersicurezza, al fine di realizzare sinergie positive tra la proposta e la normativa in materia di protezione della vita privata e dei dati, e formula raccomandazioni specifiche su come conseguire tali sinergie, compreso un obbligo specifico per i funzionari dell’UE responsabili della cibersicurezza di collaborare strettamente con il responsabile della protezione dei dati designato in conformità del RGPD.

Il GEPD raccomanda vivamente che la proposta preveda una stretta cooperazione tra il CERT-UE e il GEPD in attività come la gestione degli incidenti che comportano violazioni dei dati personali, nel far fronte a vulnerabilità significative, incidenti significativi o attacchi gravi che possono comportare violazioni dei dati personali, nonché quando il CERT-UE ha indicazioni che una violazione della proposta comporta una violazione dei dati personali.

Il GEPD raccomanda inoltre vivamente che la proposta preveda la partecipazione del GEPD al «comitato interistituzionale per la cibersicurezza» (IICB).

1. INTRODUZIONE E CONTESTO

1.	Il 22 marzo 2022 la Commissione europea ha adottato una proposta di regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione (1) («la proposta»).

2.	Lo stesso giorno la Commissione europea ha adottato la proposta di regolamento del Parlamento europeo e del Consiglio sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell’Unione (2) («la proposta Infosec»).

Entrambe le proposte erano previste dalla strategia dell’UE in materia di cibersicurezza per il decennio digitale, presentata il 16 dicembre 2020 (3) («la strategia»). L’obiettivo generale della strategia è rafforzare l’autonomia strategica dell’Unione nel settore della cibersicurezza e migliorarne la resilienza e la risposta collettiva, nonché costruire un’Internet globale e aperta con forti linee guida per affrontare i rischi per la sicurezza e per i diritti e le libertà fondamentali dei cittadini europei (4).

La proposta costituisce una delle iniziative normative della strategia, in particolare nel settore della cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione (IUE) Secondo la relazione, l’obiettivo della proposta è duplice:

—

affrontare il panorama sempre più ostile delle minacce informatiche, nonché la crescente incidenza di attacchi informatici più sofisticati che interessano le istituzioni, gli organismi e le agenzie dell’UE, che determina la necessità di aumentare gli investimenti per raggiungere un elevato livello di maturità informatica, e

—

rafforzare la squadra di pronto intervento informatico dell’UE (CERT-UE) con un meccanismo di finanziamento migliorato, necessario per aumentare la sua capacità di aiutare le istituzioni, gli organi e le agenzie dell’UE ad applicare le nuove norme in materia di cibersicurezza e migliorare la loro ciberresilienza.

Il GEPD osserva che l’oggetto della proposta in esame è interconnesso con la proposta di direttiva del Parlamento europeo e del Consiglio relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, che abroga la direttiva (UE) 2016/1148 («la proposta NIS 2.0»). Il GEPD ricorda di avere emanato il parere 5/2021 sulla strategia in materia di cibersicurezza (5) e sulla direttiva NIS 2.0 («il parere NIS 2.0») (6). Per questo motivo il presente parere farà riferimento al parere NIS 2.0.

In linea con la strategia, la proposta mira a migliorare ulteriormente la resilienza di tutte le istituzioni, gli organi e le agenzie dell’Unione e le loro capacità di risposta agli incidenti. È inoltre in linea con le priorità della Commissione di preparare l’Europa per l’era digitale e costruire un’economia pronta per le sfide del futuro e al servizio dei cittadini. Sottolinea inoltre che la sicurezza e la resilienza della pubblica amministrazione sono il fondamento della trasformazione digitale della società nel suo complesso.

Secondo la relazione, la proposta:

—	prevede misure volte a garantire un livello comune elevato di cibersicurezza per le istituzioni, gli organi e le agenzie dell’Unione europea;

—	istituisce il «comitato interistituzionale per la cibersicurezza», che avrà il compito di monitorare l’attuazione del regolamento proposto,

—

stabilisce il nuovo ruolo della squadra di pronto intervento informatico delle istituzioni, degli organi e delle agenzie dell’UE («CERT-UE») (7), quale «centro per la cibersicurezza» delle istituzioni, degli organi e delle agenzie dell’Unione, in linea con gli sviluppi negli Stati membri e a livello globale.

Il 22 marzo 2022 la Commissione ha chiesto al GEPD di formulare un parere sulla proposta, ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio («RGPD») (8). Le osservazioni e le raccomandazioni di cui al presente parere si limitano alle disposizioni della proposta che sono più pertinenti in termini di protezione dei dati e della vita privata.

4. CONCLUSIONI

48.

Alla luce di quanto sopra, il GEPD formula le seguenti raccomandazioni principali:

—

il GEPD raccomanda di aggiungere in un considerando che la proposta si basa sulla proposta NIS 2.0 e di spiegare ulteriormente il legame tra la proposta e la direttiva NIS nonché la proposta NIS 2.0 nei considerando 4 e 5. Inoltre, il GEPD raccomanda di inserire nel testo principale la seguente formulazione: «I requisiti minimi di sicurezza dovrebbero essere almeno equivalenti o superiori ai requisiti minimi di sicurezza dei soggetti della direttiva NIS e della proposta NIS 2.0»;

—

il GEPD raccomanda vivamente che la proposta preveda chiaramente una base giuridica per il trattamento dei dati personali da parte del CERT-UE e delle IUE, comprese in particolare le finalità del trattamento e le categorie di dati personali. Inoltre, dovrebbero essere esplicitamente stabiliti gli elementi seguenti: a) l’individuazione del titolare o dei titolari del trattamento, dei responsabili del trattamento o dei contitolari del trattamento, a seconda dei casi; b) le categorie di interessati; c) i periodi di conservazione o almeno i criteri per determinare tali periodi. Il GEPD ritiene che tali elementi debbano essere previsti esplicitamente nella proposta, o quanto meno in un atto delegato che sarà successivamente adottato dalla Commissione. La proposta dovrebbe prevedere tale delega;

—	il GEPD raccomanda vivamente di includere la «cifratura a riposo», la «cifratura in transito» e la «cifratura da punto a punto» nell’elenco delle misure minime di cibersicurezza di cui all’allegato II della proposta;

—

il GEPD raccomanda vivamente che la proposta preveda un obbligo specifico per il responsabile locale della cibersicurezza di cui all’articolo 4, paragrafo 5, di cooperare con il responsabile della protezione dei dati designato a norma dell’articolo 43 del RGPD, quando si tratta di attività che si sovrappongono quali l’applicazione della protezione dei dati fin dalla progettazione e per impostazione predefinita alle misure di cibersicurezza, la selezione delle misure di cibersicurezza che comportano dati personali, la gestione integrata dei rischi e la gestione integrata degli incidenti di sicurezza;

—

il GEPD raccomanda vivamente di aggiungere una disposizione all’articolo 12 «Missione e compiti del CERT-UE» della proposta secondo la quale «il CERT-UE opera in stretta cooperazione con il GEPD nel trattare gli incidenti che comportano violazioni dei dati personali o violazioni della riservatezza delle comunicazioni elettroniche»;

—	il GEPD raccomanda di aggiungere l’obbligo per il CERT-UE di informare il GEPD quando affronta vulnerabilità significative, incidenti significativi o attacchi gravi che possono comportare violazioni dei dati personali e/o violazioni della riservatezza delle comunicazioni elettroniche;

—	il GEPD raccomanda di prevedere all’articolo 12 di coinvolgere il GEPD nelle attività di sensibilizzazione del CERT-UE in materia di cibersicurezza, al fine di considerare l’interazione tra violazioni dei dati personali e incidenti di cibersicurezza;

—

il GEPD raccomanda di aggiungere all’articolo 12 «Missione e compiti del CERT-UE» della proposta una disposizione che specifichi che il CERT-UE informa senza indebito ritardo il GEPD quando ha indicazioni che una violazione da parte delle IUE degli obblighi stabiliti nella proposta comporta una violazione dei dati personali;

—	il GEPD raccomanda vivamente che il Garante europeo della protezione dei dati sia aggiunto all’articolo 9, paragrafo 3, in qualità di partecipante permanente all’IICB con un rappresentante.

Bruxelles, 17 maggio 2022

Wojciech Rafał WIEWIÓROWSKI

(1) () COM(2022) 122 final.

(2) () COM(2022) 119 final.

(3) () La strategia dell’UE in materia di cibersicurezza per il decennio digitale | Plasmare il futuro digitale dell’Europa (europa.eu), compresa una comunicazione congiunta con l’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza (JOIN (2020) 18).

(4) () Cfr. capitolo I. INTRODUZIONE della strategia, pag. 4.

(5) () Comunicazione congiunta della Commissione europea e dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza al Parlamento europeo e al Consiglio dal titolo «La strategia dell’UE in materia di cibersicurezza per il decennio digitale».

(6) () Parere 5/2021 del GEPD sulla strategia in materia di cibersicurezza e sulla direttiva NIS 2.0.

(7) () L’attuale ruolo del CERT-UE deriva dall’accordo interistituzionale 2018/C 12/01.

(8) () Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39).

5.7.2022

Gazzetta ufficiale dell’Unione europea

C 258/13

Aggiornamento degli importi di riferimento per l’attraversamento delle frontiere esterne, a norma dell’articolo 6, paragrafo 4, del regolamento (UE) 2016/399 del Parlamento europeo e del Consiglio che istituisce un codice unionale relativo al regime di attraversamento delle frontiere da parte delle persone (codice frontiere Schengen) (1)

(2022/C 258/08)

a pubblicazione degli importi di riferimento per l’attraversamento delle frontiere esterne, a norma dell’articolo 6, paragrafo 4, del regolamento (UE) 2016/399 del Parlamento europeo e del Consiglio, del 9 marzo 2016, che istituisce un codice unionale relativo al regime di attraversamento delle frontiere da parte delle persone (codice frontiere Schengen) (2) si basa sulle informazioni comunicate dagli Stati membri alla Commissione in conformità con l’articolo 39 del codice frontiere Schengen.

Oltre alle pubblicazioni nella Gazzetta ufficiale, sul sito web della direzione generale Affari interni è possibile consultare un aggiornamento mensile.

IMPORTI DI RIFERIMENTO PER L’ATTRAVERSAMENTO DELLE FRONTIERE ESTERNE FISSATI DALLE AUTORITÀ NAZIONALI

ISLANDA

Sostituisce l’elenco pubblicato nella GU C 247 dell’13.10.2006, pag. 19.

In virtù della legge islandese, gli stranieri devono dimostrare di essere in possesso di denaro sufficiente per soddisfare le loro necessità in Islanda e per effettuare il viaggio di ritorno. In pratica l’importo di riferimento è fissato a 8 000 ISK per persona al giorno. Per le persone le cui spese di soggiorno sono sostenute da un terzo, questo importo è diviso per due. L’importo totale minimo è di 40 000 ISK per ogni ingresso.

Elenco delle precedenti pubblicazioni

GU C 247 del 13.10.2006, pag. 19.

GU C 77 del 5.4.2007, pag. 11.

GU C 153 del 6.7.2007, pag. 22.

GU C 164 del 18.7.2007, pag. 45.

GU C 182 del 4.8.2007, pag. 18.

GU C 57 dell’1.3.2008, pag. 38.

GU C 134 del 31.5.2008, pag. 19.

GU C 331 del 31.12.2008, pag. 13.

GU C 33 del 10.2.2009, pag. 1.

GU C 36 del 13.2.2009, pag. 100.

GU C 37 del 14.2.2009, pag. 8.

GU C 98 del 29.4.2009, pag. 11.

GU C 35 del 12.2.2010, pag. 7.

GU C 304 del 10.11.2010, pag. 5.

GU C 24 del 26.1.2011, pag. 6.

GU C 157 del 27.5.2011, pag. 8.

GU C 203 del 9.7.2011, pag. 16.

GU C 11 del 13.1.2012, pag. 13.

GU C 72 del 10.3.2012, pag. 44.

GU C 199 del 7.7.2012, pag. 8.

GU C 298 del 4.10.2012, pag. 3.

GU C 56 del 26.2.2013, pag. 13.

GU C 98 del 5.4.2013, pag. 3.

GU C 269 del 18.9.2013, pag. 2.

GU C 57 del 28.2.2014, pag. 2.

GU C 152 del 20.5.2014, pag. 25.

GU C 224 del 15.7.2014, pag. 31.

GU C 434 del 4.12.2014, pag. 3.

GU C 447 del 13.12.2014, pag. 32.

GU C 38 del 4.2.2015, pag. 20.

GU C 96 del 11.3.2016, pag. 7.

GU C 146 del 26.4.2016, pag. 12.

GU C 248 dell’8.7.2016, pag. 12.

GU C 111 dell’8.4.2017, pag. 11.

GU C 21, dell’20.1.2018, pag. 3.

GU C 93 del 12.3.2018, pag. 4.

GU C 153 del 2.5.2018, pag. 8.

GU C 186 del 31.5.2018, pag. 10.

GU C 264 del 26.07.2018, pag. 6.

GU C 366 del 10.10.2018, pag. 12.

GU C 459 del 20.12.2018, pag. 38.

GU C 140 del 16.4.2019, pag. 7.

GU C 178 del 28.5.2020, pag. 3.

GU C 102 del 24.3.2021, pag. 8.

GU C 486 del 3.12.2021, pag. 26.

GU C 139 del 29.3.2022, pag. 3.

GU C 143 del 31.3.2022, pag. 6.

(1) Cfr. l’elenco delle pubblicazioni precedenti alla fine di tale aggiornamento.

(2) GU L 77 del 23.3.2016, pag. 1.

		ISSN 1977-0944
Gazzetta ufficiale dell’Unione europea		C 258

Edizione in lingua italiana	Comunicazioni e informazioni	65° anno 5 luglio 2022

Sommario		pagina
	II Comunicazioni
	COMUNICAZIONI PROVENIENTI DALLE ISTITUZIONI, DAGLI ORGANI E DAGLI ORGANISMI DELL'UNIONE EUROPEA
	Commissione europea
2022/C 258/01	Non opposizione ad un’operazione di concentrazione notificata (Caso M.10708 — CURA / OCG / DEUTSCHE EUROSHOP JV) ( 1 )	1
2022/C 258/02	Non opposizione ad un’operazione di concentrazione notificata (Caso M.10529 — HEIDELBERGCEMENT / THOMA BRAVO / COMMAND ALKON) ( 1 )	2

	IV Informazioni
	INFORMAZIONI PROVENIENTI DALLE ISTITUZIONI, DAGLI ORGANI E DAGLI ORGANISMI DELL'UNIONE EUROPEA
	Commissione europea
2022/C 258/03	Tassi di cambio dell’euro — 4 luglio 2022	3
	Corte dei conti
2022/C 258/04	Relazione speciale 14/2022: — La risposta della Commissione alle frodi nella politica agricola comune – È ora di affrontare il problema alla radice	4
	Garante europeo della protezione dei dati
2022/C 258/05	Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento relativo alla protezione delle indicazioni geografiche per i prodotti artigianali e industriali (Il testo integrale del presente parere è disponibile in EN, FR e DE sul sito web del GEPD www.edps.europa.eu)	5
2022/C 258/06	Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell’Unione (Il testo integrale del presente parere è disponibile in n inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)	7
2022/C 258/07	Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione [Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu]	10
	INFORMAZIONI PROVENIENTI DAGLI STATI MEMBRI
2022/C 258/08	Aggiornamento degli importi di riferimento per l’attraversamento delle frontiere esterne, a norma dell’articolo 6, paragrafo 4, del regolamento (UE) 2016/399 del Parlamento europeo e del Consiglio che istituisce un codice unionale relativo al regime di attraversamento delle frontiere da parte delle persone (codice frontiere Schengen)	13


	(1) Testo rilevante ai fini del SEE.