REGOLAMENTO DI ESECUZIONE (UE) 2023/2117 DELLA COMMISSIONE

del 12 ottobre 2023

che stabilisce le norme necessarie e i requisiti dettagliati per il funzionamento e la gestione di un repertorio di informazioni ai sensi del regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio

(Testo rilevante ai fini del SEE)

LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell’Unione europea,

visto il regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio, del 4 luglio 2018, recante norme comuni nel settore dell’aviazione civile, che istituisce un’Agenzia dell’Unione europea per la sicurezza aerea e che modifica i regolamenti (CE) n. 2111/2005, (CE) n. 1008/2008, (UE) n. 996/2010, (UE) n. 376/2014 e le direttive 2014/30/UE e 2014/53/UE del Parlamento europeo e del Consiglio, e abroga i regolamenti (CE) n. 216/2008 e (CE) n. 552/2004 del Parlamento europeo e del Consiglio e il regolamento (CEE) n. 3922/91 del Consiglio (1), in particolare l’articolo 74, paragrafo 8,

considerando quanto segue:

(1)

A norma dell’articolo 74 del regolamento (UE) 2018/1139, devono essere conservate in un repertorio elettronico di informazioni istituito e gestito dall’Agenzia dell’Unione europea per la sicurezza aerea («Agenzia») le informazioni relative all’aviazione civile necessarie per garantire una cooperazione efficace fra l’Agenzia e le autorità nazionali competenti in relazione all’esecuzione dei compiti connessi alla certificazione, alla sorveglianza e all’applicazione delle norme in virtù di tale regolamento.

(2)

È importante che la Commissione e le autorità nazionali competenti siano coinvolte nello sviluppo e nella gestione del repertorio da parte dell’Agenzia ed è quindi opportuno che il presente regolamento istituisca un meccanismo di consultazione adeguato per garantire che l’Agenzia consulti gli Stati membri e la Commissione prima di adottare decisioni in merito al repertorio.

(3)

Per assicurare l’utilizzo efficace del repertorio, la sua struttura dovrebbe prevedere una banca dati centrale, un’infrastruttura di comunicazione e una necessaria interfaccia per l’emissione e la consultazione delle informazioni conservate nel repertorio, e per l’accesso alle medesime. Al fine di agevolare la cooperazione tra i soggetti che utilizzano il repertorio, dovrebbero essere disponibili un’interfaccia unica per la consultazione diretta del repertorio da parte degli utenti e un’interfaccia unica per le autorità nazionali competenti.

(4)	Tramite le adeguate specifiche funzionali relative all’interfaccia, alla security, alla rete e alle informazioni sulla configurazione delle applicazioni, il repertorio dovrebbe agevolare le autorità competenti nell’integrazione all’interno del repertorio e nella comunicazione con il medesimo.

(5)	L’Agenzia dovrebbe provvedere affinché il repertorio sia mantenuto in adeguato stato di funzionamento allo scopo di evitare guasti tecnici e di garantirne la continuità operativa e la gestione dei relativi dati.

(6)	Le informazioni dovrebbero essere trasmesse al repertorio e scambiate tramite il repertorio sulla base di formati delle informazioni convenuti di comune accordo e proposti dall’Agenzia, in modo che le informazioni scambiate siano comprese allo stesso modo dai soggetti coinvolti nella comunicazione.

(7)

Gli aggiornamenti periodici delle informazioni conservate nel repertorio dovrebbero consentire uno scambio migliore delle stesse. A tale riguardo l’Agenzia e le autorità nazionali competenti dovrebbero elaborare una metodologia di aggiornamento periodico delle informazioni conservate nel repertorio.

(8)

Il presente regolamento dovrebbe altresì stabilire le prescrizioni per la classificazione delle informazioni in modo tale che le informazioni conservate nel repertorio siano trattate conformemente ai parametri relativi alla tutela della vita privata, alla riservatezza, all’integrità e alla disponibilità. Ogniqualvolta si verifichi un cambiamento nell’utilizzo dei dati, è opportuno procedere a una nuova valutazione di tale classificazione al fine di garantirne l’attualità.

(9)

È importante individuare le parti interessate che possono ricevere le informazioni conservate nel repertorio e stabilire norme dettagliate per il trattamento delle loro richieste di accesso. A tal fine il presente regolamento dovrebbe definire le condizioni necessarie per la diffusione delle informazioni alle parti interessate. È altresì opportuno garantire la gestione riservata delle informazioni ricevute dalle parti interessate.

(10)

Un sistema di tracciabilità delle informazioni conservate nel repertorio dovrebbe garantire la protezione delle stesse contro l’accesso non autorizzato e consentire il monitoraggio delle operazioni che prevedono il trattamento di informazioni, compresi i dati personali, al fine di garantire l’integrità dei dati e la security delle informazioni.

(11)	Il personale degli utenti autorizzati che deve accedere al repertorio dovrebbe essere autorizzato dalla rispettiva organizzazione secondo procedure documentate. Il personale dei centri aeromedici dovrebbe essere autorizzato dalla rispettiva autorità nazionale competente.

(12)

Nell’ambito delle politiche di gestione della security dovrebbero essere elaborati requisiti per la protezione di infrastrutture e dati pertinenti. In particolare, dovrebbero essere elaborate misure per quanto riguarda la gestione della security, la continuità operativa e i piani di ripristino in caso di disastro. Gli utenti autorizzati dovrebbero assicurare l’adozione delle necessarie misure di security e la propria collaborazione in tal senso.

(13)

Il trattamento dei dati personali dovrebbe essere finalizzato esclusivamente a garantire una cooperazione efficace tra l’Agenzia e le autorità nazionali competenti in ordine all’esecuzione dei loro compiti riguardanti la certificazione, la sorveglianza e l’applicazione delle norme. Il presente regolamento dovrebbe definire modalità dettagliate di protezione dei dati personali conservati nel repertorio e scambiati tramite quest’ultimo. Tale trattamento deve essere conforme ai regolamenti (UE) 2016/679 (2) e (UE) 2018/1725 del Parlamento europeo e del Consiglio (3) e chiarire le responsabilità dei soggetti pertinenti incaricati di garantire la protezione dei dati.

(14)

È necessario individuare e ripartire le responsabilità dei singoli soggetti che effettuano il trattamento dei dati personali nel repertorio, compresi l’inserimento di dati personali nel repertorio stesso e la loro estrazione dal medesimo. Il regolamento (UE) 2018/1139 prevede che, in collaborazione con la Commissione e le autorità nazionali competenti, l’Agenzia istituisca e gestisca un repertorio di informazioni necessarie per garantire una cooperazione efficace fra l’Agenzia e le autorità nazionali competenti, finalizzata in particolare a garantire la gestione della security del repertorio. Pertanto esse dovrebbero essere contitolari del trattamento per quanto riguarda il trattamento dei dati personali ai fini della gestione del repertorio. È quindi necessario definire le responsabilità dei contitolari del trattamento e i loro obblighi specifici nei confronti degli interessati.

(15)

Le singole autorità nazionali competenti, l’Agenzia e la Commissione dovrebbero essere gli unici titolari dei trattamenti di dati effettuati nell’ambito dei propri sistemi in qualità di utenti autorizzati. I trattamenti di dati dovrebbero essere effettuati conformemente ai regolamenti (UE) 2016/679 e (UE) 2018/1725. Dal momento che i dati scambiati nel repertorio provengono da ciascun titolare del trattamento, questi dovrebbe notificare all’Agenzia qualsiasi violazione dei dati personali verificatasi nel proprio sistema e in grado di compromettere la security, la riservatezza, la disponibilità o l’integrità dei dati personali trattati nel repertorio.

(16)

Per consentire ai contitolari del trattamento di individuare quanto prima gli inconvenienti relativi alla security e le violazioni dei dati, è opportuno esplicitare l’obbligo di notifica reciproca delle violazioni della security, comprese le violazioni dei dati personali. Ciascun titolare del trattamento dovrebbe pertanto garantire la necessaria segnalazione di tali violazioni.

(17)

Se del caso, l’esercizio dei diritti dell’interessato può essere oggetto di restrizioni a talune condizioni determinate. Tali restrizioni dovrebbero essere proporzionate e avere un ambito di applicazione e una durata limitati. L’interessato dovrebbe poter esercitare i propri diritti a una difesa e a un ricorso giurisdizionale effettivi.

(18)

Al fine di garantire la sicurezza dell’aviazione l’autorità competente può avere la necessità di accedere a registrazioni precedenti, comprese quelle contenenti dati personali, e in particolare ai dati medici giustificativi di precedenti periodi di inidoneità o dell’imposizione di limitazioni. Di conseguenza, e fatti salvi periodi più brevi previsti dal diritto nazionale, un periodo massimo di conservazione di 10 anni a decorrere dalla data di scadenza del documento (ad esempio un certificato sanitario, un referto medico o una licenza), così come di eventuali documenti necessari per le procedure di cui al regolamento (UE) 2018/1139, dovrebbe garantire agli utenti autorizzati la possibilità di continuare a disporre di tali dati.

(19)

I dati personali contenuti nel repertorio sono informazioni essenziali che dovrebbero essere conservate a fini di archiviazione nell’interesse della sicurezza aerea e per finalità di ricerca storica. Dopo la scadenza del periodo di conservazione o di un periodo più breve eventualmente previsto dal diritto nazionale, i dati personali dovrebbero essere immediatamente cancellati dal repertorio. I dati personali possono essere conservati al di fuori del repertorio a fini di archiviazione nell’interesse pubblico della sicurezza aerea e per finalità di ricerca storica.

(20)

Al fine di garantire un’applicazione corretta del presente regolamento, è opportuno concedere agli Stati membri e ai soggetti coinvolti un periodo di tempo sufficiente per adeguare le loro procedure al nuovo quadro normativo prima che il presente regolamento sia applicabile. Alcuni requisiti di cui all’allegato I dovrebbero pertanto essere applicabili in date successive a seconda della categoria dell’elemento di informazione e della data di emissione.

(21)

L’Agenzia ha elaborato un progetto di atto di esecuzione per il funzionamento e la gestione di un repertorio di informazioni a norma del regolamento (UE) 2018/1139 e lo ha presentato alla Commissione unitamente al parere n. 04/2022 (4), in conformità dell’articolo 75, paragrafo 2, lettera b), e dell’articolo 76, paragrafo 1, del regolamento (UE) 2018/1139.

(22)	Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 29 marzo 2023.

(23)	Le misure di cui al presente regolamento sono conformi al parere del comitato per l’applicazione delle norme comuni di sicurezza nel settore dell’aviazione civile,

HA ADOTTATO IL PRESENTE REGOLAMENTO:

CAPO I

DISPOSIZIONI GENERALI

Articolo 1

Oggetto

Il presente regolamento stabilisce le norme e le procedure di funzionamento e di gestione di un repertorio di informazioni necessarie per garantire una cooperazione efficace fra l’Agenzia e le autorità nazionali competenti in relazione all’esecuzione dei compiti connessi alla certificazione, alla sorveglianza e all’applicazione delle norme in virtù del regolamento (UE) 2018/1139.

Articolo 2

Definizioni

1. Ai fini del presente regolamento si applicano le definizioni di cui ai regolamenti (UE) 2018/1139, (UE) 2016/679, (UE) 2018/1725, e ai regolamenti di esecuzione (UE) 2019/947 della Commissione (5) e (UE) 2021/664 della Commissione (6).

2. Si applicano inoltre le definizioni seguenti:

«utenti autorizzati»: la Commissione, l’Agenzia, le autorità nazionali competenti e le autorità competenti degli Stati membri preposte alle inchieste sugli incidenti e sugli inconvenienti nel settore dell’aviazione civile di cui all’articolo 74, paragrafo 6, prima frase, del regolamento (UE) 2018/1139;

b)	«interfaccia»: il punto in cui sistemi indipendenti e spesso non correlati si collegano e interagiscono o comunicano tra loro;

c)	«personale autorizzato»: il personale degli utenti autorizzati al quale è stato concesso l’accesso al repertorio;

d)	«categoria dell’elemento di informazione»: la natura delle informazioni che rientrano nell’ambito di applicazione dell’articolo 74, paragrafo 1, del regolamento (UE) 2018/1139 e sono oggetto di scambio e di accesso da parte degli utenti autorizzati;

e)	«elemento di informazione»: un’informazione scambiata singolarmente che è sempre corrispondente alla categoria dell’elemento di informazione ed è compatibile con il relativo formato delle informazioni;

«formato delle informazioni»: struttura predefinita della categoria dell’elemento di informazione, costituita da uno schema di campi corrispondenti a specifiche tipologie di contenuti all’interno di ciascuna categoria dell’elemento di informazione e da vocabolari composti da serie limitate di valori ammissibili associati a ciascun campo;

«parte interessata»: le autorità pubbliche delle istituzioni, degli organi e degli organismi dell’Unione europea e le autorità pubbliche, le persone fisiche e le persone giuridiche degli Stati membri che sono destinatarie di uno degli elementi di informazione definiti nell’allegato I del presente regolamento e i soggetti qualificati ai sensi dell’articolo 69 del regolamento (UE) 2018/1139.

CAPO II

ISTITUZIONE, GESTIONE E MANUTENZIONE DEL REPERTORIO

Articolo 3

Istituzione del repertorio

1. Il repertorio è composto dalle interfacce di conservazione, di scambio e di accesso da parte degli utenti.

2. L’interfaccia di conservazione di cui al paragrafo 1 è costituita da:

a)	una banca dati centrale contenente le informazioni di cui all’articolo 74, paragrafo 1, del regolamento (UE) 2018/1139, comprendenti sia informazioni esistenti sia nuove informazioni; e da

b)	una cronologia delle modifiche apportate alle informazioni e lo stato attuale/archiviato di queste ultime.

3. L’interfaccia di scambio di cui al paragrafo 1 è costituita da:

a)	un’infrastruttura di comunicazione che fornisca interfacce per programmi applicativi (API) sicure per l’emissione, la modifica, la consultazione/lettura e l’archiviazione delle informazioni tra i sistemi degli utenti autorizzati e il repertorio; nonché da

b)	norme di verifica della qualità delle informazioni che garantiscano la coerenza, l’integrità e l’accuratezza delle informazioni conservate.

4. L’interfaccia di accesso da parte degli utenti, di cui al paragrafo 1, consente l’accesso online e sicuro alle informazioni conservate finalizzato alla consultazione e alla lettura delle stesse. L’interfaccia di accesso da parte degli utenti è a disposizione del solo personale autorizzato.

5. L’Agenzia elabora la documentazione necessaria a sostenere l’integrazione degli utenti autorizzati con il repertorio. Tale documentazione comprende:

a)	standard API e meccanismi di scambio;

b)	informazioni sulla configurazione della security, della rete e delle applicazioni, necessarie per la comunicazione con il repertorio;

c)	norme che precisano la struttura e il contenuto validi delle informazioni scambiate con il repertorio.

6. L’Agenzia fornisce anche un ambiente di prova in cui gli utenti autorizzati possono testare la funzionalità e le prestazioni dell’interfaccia di scambio tra i propri sistemi e il repertorio.

Articolo 4

Gestione del repertorio

1. L’Agenzia è competente per la gestione operativa del repertorio e conserva le informazioni in modo sicuro nel repertorio stesso.

2. Gli utenti autorizzati effettuano la trasmissione di informazioni al repertorio e lo scambio di informazioni tramite il repertorio utilizzando le interfacce e garantiscono una connessione online sicura tra il proprio sistema (o i propri sistemi) e il repertorio.

3. Prima di adottare qualsiasi decisione in merito alla gestione operativa del repertorio o di renderlo disponibile al pubblico, l’Agenzia consulta la Commissione e le autorità nazionali competenti.

4. Il personale autorizzato degli esaminatori aeromedici nazionali e dei centri aeromedici nazionali trasmette e scambia le informazioni contenute nel repertorio tramite le proprie autorità nazionali competenti in conformità dell’articolo 10, paragrafo 4, del presente regolamento.

Articolo 5

Manutenzione del repertorio

1. L’Agenzia mantiene il repertorio e ne assicura il corretto funzionamento in termini di tutela della vita privata, riservatezza, integrità e disponibilità.

2. L’Agenzia esegue sistematicamente il backup del repertorio e dei relativi dati.

CAPO III

NORME SULLE INFORMAZIONI CONSERVATE NEL REPERTORIO

Articolo 6

Formati e standard delle informazioni

1. Gli utenti autorizzati trasmettono, aggiornano periodicamente e scambiano informazioni tramite il repertorio sulla base di formati delle informazioni convenuti di comune accordo e proposti dall’Agenzia.

2. I formati delle informazioni sono standardizzati per ciascuna categoria di informazioni. Gli utenti autorizzati trasmettono gli elementi di informazione al repertorio unicamente nel formato delle informazioni proprio della singola categoria di informazioni.

3. L’elenco delle categorie degli elementi di informazione figura nell’allegato I.

Articolo 7

Classificazione delle informazioni

1. L’Agenzia, in cooperazione con la Commissione e le autorità nazionali competenti, classifica le categorie degli elementi di informazione in base alle marcature seguenti:

a)	tutela della vita privata: dati non personali, dati personali non sensibili o sensibili;

b)	riservatezza: nessun impatto, limitato, rilevante, catastrofico;

c)	integrità: nessun impatto, limitato, rilevante, catastrofico;

d)	disponibilità: nessun impatto, limitato, rilevante, catastrofico.

2. Le definizioni dettagliate delle marcature di cui al paragrafo 1 figurano nell’allegato II.

3. Ogniqualvolta lo ritenga necessario l’Agenzia, in cooperazione con la Commissione e le autorità nazionali competenti, riesamina la classificazione delle informazioni per garantirne la continua adeguatezza in funzione delle variazioni nell’uso delle informazioni stesse.

Articolo 8

Modalità di diffusione delle informazioni

1. Su richiesta di una parte interessata, l’Agenzia può fornirle le informazioni contenute nel repertorio alle specifiche condizioni di utilizzo di cui al presente articolo.

2. La richiesta di diffusione delle informazioni contenute nel repertorio è presentata nella forma e secondo le modalità stabilite dall’Agenzia.

3. Quando riceve una richiesta, l’Agenzia verifica che:

a)	la richiesta sia stata presentata da una parte interessata; e che

b)	la parte interessata dimostri che le informazioni richieste sono strettamente necessarie per le operazioni della medesima.

4. L’Agenzia valuta se la richiesta sia giustificata e, se sono soddisfatte le condizioni di cui al paragrafo 5, fornisce alla parte interessata le informazioni richieste.

5. L’Agenzia fornisce le informazioni richieste alla parte interessata esclusivamente alle condizioni seguenti:

a)	la parte interessata non ottiene l’accesso all’intero contenuto del repertorio;

b)	le informazioni sono strettamente necessarie per le operazioni della parte interessata;

c)	non sono diffusi dati personali, a meno che tali dati non riguardino la parte interessata stessa o che tale diffusione non sia strettamente necessaria per l’esecuzione delle operazioni della parte interessata.

6. L’Agenzia mette a disposizione degli utenti autorizzati un elenco aggiornato delle richieste ricevute e delle azioni da essa intraprese.

7. La parte interessata:

a)	utilizza le informazioni soltanto per lo scopo indicato nel modulo di richiesta;

b)	non divulga le informazioni ricevute senza avere ottenuto l’autorizzazione in tal senso da parte degli utenti autorizzati;

c)	adotta le misure necessarie per garantire la riservatezza delle informazioni ricevute.

Articolo 9

Registrazione dei trattamenti di dati

1. L’Agenzia provvede alla registrazione di tutti i trattamenti di dati. Le registrazioni contengono le informazioni seguenti:

a)	lo scopo della richiesta di accesso al repertorio;

b)	l’identificazione dell’utente autorizzato che estrae i dati;

c)	la data e l’ora esatta dei trattamenti dei dati;

d)	l’identificazione del personale autorizzato che effettua la ricerca.

2. L’Agenzia utilizza le registrazioni dei trattamenti di dati esclusivamente per il controllo della liceità dell’accesso alle informazioni e per garantire l’integrità e la security dei dati. Le registrazioni contengono i dati strettamente necessari a tal fine, nel rispetto del principio della minimizzazione dei dati di cui all’articolo 89 del regolamento (UE) 2016/679 e all’articolo 13 del regolamento (UE) 2018/1725. Le registrazioni sono cancellate dopo la conclusione della procedura di controllo o al più tardi dopo un anno.

3. Alla Commissione e alle autorità nazionali competenti è consentito, su loro richiesta, l’accesso alle registrazioni al fine di valutare la liceità dell’accesso alle informazioni, controllare la liceità dei trattamenti dei dati e garantire l’integrità e la security dei dati.

Articolo 10

Accesso al repertorio

1. Gli utenti autorizzati provvedono affinché soltanto il personale autorizzato abbia accesso al repertorio.

2. Gli utenti autorizzati provvedono affinché il proprio personale ottenga l’accesso alle informazioni sulla base delle marcature relative alla tutela della vita privata e alla riservatezza proprie della categoria dell’elemento di informazione conformemente all’articolo 7.

3. Gli utenti autorizzati predispongono e mantengono:

a)	un elenco dei membri del personale autorizzato;

procedure relative all’accesso al repertorio; tali procedure sono conformi agli obblighi giuridici applicabili all’accesso alle informazioni e al relativo trattamento stabiliti dal diritto dell’Unione e dal diritto nazionale. Esse documentano i termini e le condizioni di accesso al repertorio da parte del personale autorizzato.

4. Gli esaminatori aeromedici e i centri aeromedici nazionali provvedono affinché soltanto il personale autorizzato dalle rispettive autorità nazionali competenti abbia accesso al repertorio.

Articolo 11

Gestione della security del repertorio

1. L’Agenzia protegge l’infrastruttura del repertorio e le informazioni in esso contenute ed elabora:

a)	un piano di gestione della security;

b)	un piano di continuità operativa;

c)	un piano di ripristino in caso di disastro.

2. L’Agenzia, in particolare mediante adeguate tecniche di cifratura, impedisce il trattamento non autorizzato delle informazioni e qualsiasi lettura, copia, modifica, rimozione o cancellazione non autorizzate delle informazioni contenute nel repertorio o delle informazioni di cui è in corso la diffusione al repertorio o a partire dal repertorio oppure la trasmissione.

3. L’Agenzia garantisce che le persone autorizzate ad accedere al repertorio abbiano accesso solo alle informazioni previste dalla loro autorizzazione di accesso, tramite identità di utente individuali ed esclusivamente con modalità di accesso riservato.

4. Gli utenti autorizzati gestiscono la security delle proprie informazioni prima e durante la trasmissione al repertorio e proteggono la propria infrastruttura assicurando:

a)	la creazione di interfacce tra i propri sistemi e il repertorio;

b)	la gestione e la manutenzione delle interfacce;

c)	che il personale autorizzato riceva un’adeguata formazione in materia di security delle informazioni, legislazione pertinente in materia di protezione dei dati e diritti fondamentali prima di essere autorizzato a trattare le informazioni conservate nel repertorio.

5. Gli utenti autorizzati cooperano per assicurare la gestione della security del repertorio.

CAPO IV

PROTEZIONE DEI DATI PERSONALI

Articolo 12

Trattamento dei dati personali conservati nel repertorio

1. I dati personali conservati nel repertorio sono trattati unicamente per assicurare la cooperazione tra gli utenti autorizzati necessaria per l’esecuzione dei rispettivi compiti connessi alla certificazione, alla sorveglianza e all’applicazione delle norme. Il trattamento è limitato alla misura necessaria allo svolgimento di detti compiti e a quanto strettamente necessario e proporzionato agli obiettivi perseguiti.

2. I dati personali sono consultati e trattati conformemente alle specifiche tecniche del repertorio.

3. Gli obblighi di protezione dei dati fin dalla progettazione e per impostazione predefinita sono presi in considerazione sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso.

4. L’Agenzia effettua riesami periodici per assicurare l’efficacia di tutte le misure di salvaguardia della protezione dei dati attuate.

Articolo 13

Contitolarità del trattamento dei dati personali trattati nel repertorio

1. Gli utenti autorizzati sono i contitolari del trattamento dei dati personali conservati nel repertorio.

2. Ciascun contitolare del trattamento è responsabile del rispetto dei criteri di classificazione delle informazioni per ogni elemento di informazione trattato nel repertorio.

Articolo 14

Ripartizione delle responsabilità tra i contitolari del trattamento dei dati

1. L’Agenzia ha le responsabilità seguenti:

a)	provvedere all’istituzione, al funzionamento e alla gestione del repertorio;

b)	provvedere alla gestione continua del repertorio, in particolare per quanto riguarda i diritti di accesso così come la security e la riservatezza dei dati personali trattati nel repertorio, conformemente agli articoli 4, 5, 9 e 12;

c)	comunicare eventuali violazioni dei dati personali avvenute all’interno del repertorio agli utenti autorizzati, al Garante europeo della protezione dei dati e, se necessario, agli interessati in conformità dell’articolo 34 del regolamento (UE) 2018/1725;

d)	definire e predisporre i mezzi tecnici per consentire agli interessati di esercitare i loro diritti in conformità del regolamento (UE) 2018/1725.

2. Le autorità nazionali competenti e la Commissione hanno le responsabilità seguenti:

a)	effettuare il trattamento dei dati personali nel repertorio conformemente alle interfacce di archiviazione, di scambio e di accesso da parte degli utenti di cui all’articolo 3 e ai requisiti di security di cui all’articolo 12, paragrafo 4;

b)	garantire la security di qualsiasi trattamento di dati personali al di fuori del repertorio quando tali dati sono trattati ai fini del trattamento tramite il repertorio o in relazione a detto trattamento;

c)	designare e comunicare all’Agenzia il personale autorizzato cui è consentito l’accesso al repertorio a norma dell’articolo 11;

fungere da punto di contatto per gli interessati che rientrano sotto la loro responsabilità di unici titolari del trattamento, anche nel momento in cui tali interessati esercitano i propri diritti, utilizzando ove necessario i mezzi tecnici forniti dall’Agenzia conformemente al punto 1, lettera d), oppure mediante i canali di comunicazione di cui al punto 3;

e)	notificare all’Agenzia qualsiasi inconveniente relativo alla security, comprese le violazioni dei dati personali che possano compromettere la security, la riservatezza, la disponibilità o l’integrità dei dati personali trasmessi e/o conservati nel repertorio;

notificare qualsiasi violazione dei dati relativa ai dati personali trattati nel repertorio alle rispettive autorità di controllo competenti e, ove previsto, agli interessati, conformemente agli articoli 33 e 34 del regolamento (UE) 2016/679 e all’articolo 34 del regolamento (UE) 2018/1725, a seconda dei casi.

3. Ciascun contitolare del trattamento designa:

a)	un punto di contatto dotato di una casella di posta elettronica funzionale per le comunicazioni reciproche;

b)	un punto di contatto per assistere gli interessati nell’esercizio dei loro diritti conformemente alla legislazione pertinente in materia di protezione dei dati.

4. Qualora un contitolare del trattamento riceva una richiesta da un interessato che non rientra sotto la sua responsabilità, inoltra prontamente la richiesta al contitolare del trattamento competente. Se richiesto, i contitolari del trattamento si forniscono assistenza reciproca nella gestione delle richieste degli interessati e si rispondono reciprocamente senza indebito ritardo e al più tardi entro 15 giorni dalla data di ricezione della richiesta di assistenza.

5. Se un titolare del trattamento, per rispettare gli obblighi di cui agli articoli 33 e 34 del regolamento (UE) 2016/679 o all’articolo 34 del regolamento (UE) 2018/1725, necessita di ottenere informazioni da un altro titolare del trattamento, invia una richiesta specifica alla casella di posta elettronica funzionale di cui al punto 3, lettera a). Quest’ultimo titolare del trattamento si adopera al meglio per fornire tali informazioni

Articolo 15

Limitazioni

1. I titolari del trattamento possono limitare l’esercizio dei diritti degli interessati solo nella misura e per il tempo strettamente necessari per salvaguardare la sicurezza dell’aviazione civile. L’esercizio dei diritti degli interessati può subire limitazioni solo nelle situazioni seguenti:

a)	indagini, ispezioni o attività di monitoraggio in corso di cui all’articolo 75, paragrafo 2, lettera e), del regolamento (UE) 2018/1139 svolte dall’Agenzia nell’ambito delle sue competenze o dalle autorità competenti secondo quanto previsto dal diritto nazionale o dell’Unione;

b)	procedimenti in corso dinanzi alla Corte di giustizia dell’Unione europea o a qualsiasi altro organo giurisdizionale competente a norma del diritto nazionale o internazionale.

2. Qualora siano i titolari del trattamento, anche la Commissione e l’Agenzia possono, nel caso di indagini sulla security informatica in corso che abbiano un impatto diretto o indiretto sul funzionamento del repertorio, limitare l’esercizio dei diritti degli interessati solo nella misura e per il tempo strettamente necessari per salvaguardare la sicurezza dell’aviazione civile.

3. Tutte le limitazioni sono soggette a una valutazione della necessità e proporzionalità e hanno portata e durata limitate.

4. L’interessato il cui esercizio dei diritti subisce limitazioni è informato dei motivi e della portata delle stesse.

Articolo 16

Periodo di conservazione dei dati personali

1. Gli utenti autorizzati:

conservano i dati personali nel repertorio per un periodo massimo di 10 anni a decorrere dalla data di scadenza o dalla data di cessazione della validità del documento, così come eventuali documenti necessari per le procedure di cui al regolamento (UE) 2018/1139, a meno che il diritto nazionale non imponga un periodo diverso;

b)	cancellano i dati personali dal repertorio non appena trascorso il periodo di conservazione.

2. Il repertorio dispone dei mezzi tecnici per consentire:

a)	la cancellazione automatizzata dei dati personali alla scadenza del periodo di conservazione;

b)	la pseudonimizzazione automatizzata, o altre soluzioni tecniche di effetto equivalente, dei dati personali conservati a fini di archiviazione.

Articolo 17

Trattamento a fini di archiviazione e di ricerca storica nell’interesse della sicurezza dell’aviazione

1. Trascorso il periodo di conservazione, l’Agenzia può conservare i dati personali del repertorio in un registro separato per finalità di archiviazione e di ricerca storica.

2. Tali dati personali sono limitati a quanto strettamente necessario per conseguire le finalità di archiviazione e ricerca nell’interesse della sicurezza dell’aviazione e nel rispetto del principio della minimizzazione dei dati di cui all’articolo 89 del regolamento (UE) 2016/679 e all’articolo 13 del regolamento (UE) 2018/1725.

3. L’Agenzia elabora un protocollo di accesso al registro. A tale registro si applicano gli articoli 4, 5 e da 9 a 12.

CAPO V

DISPOSIZIONI FINALI

Articolo 18

Entrata in vigore e applicazione

1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

2. I capi I e II si applicano a decorrere dal 1o aprile 2025.

3. I requisiti relativi agli elementi di informazione emessi dopo l’entrata in vigore del presente regolamento si applicano:

a)	dal 1o gennaio 2027 per la categoria del gruppo A di cui all’allegato I;

b)	dal 1o gennaio 2028 per la categoria del gruppo B di cui all’allegato I;

c)	dal 1o gennaio 2029 per la categoria del gruppo C di cui all’allegato I.

4. I requisiti relativi agli elementi di informazione validi e forniti prima dell’entrata in vigore del presente regolamento, elencati nell’allegato I, si applicano a decorrere dal 1o gennaio 2029.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 12 ottobre 2023

Per la Commissione

La presidente

Ursula VON DER LEYEN

(1) GU L 212 del 22.8.2018, pag. 1.

(2) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).

(3) Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39).

(4) https://www.easa.europa.eu/document-library/opinions

(5) Regolamento di esecuzione (UE) 2019/947 della Commissione, del 24 maggio 2019, relativo a norme e procedure per l’esercizio di aeromobili senza equipaggio (GU L 152 dell’11.6.2019, pag. 45).

(6) Regolamento di esecuzione (UE) 2021/664 della Commissione, del 22 aprile 2021, relativo a un quadro normativo per lo U-space (GU L 139 del 23.4.2021, pag. 161).

ALLEGATO I

ELENCO DEGLI ELEMENTI DI INFORMAZIONE

Elemento di informazione	Gruppi prioritari
LICENZE
Licenza di pilota	A
Convalida della licenza di pilota	A
Licenza di controllore del traffico aereo	A
Licenza di manutenzione aeronautica	B
CERTIFICATI — ORGANIZZAZIONI
Certificato di fornitore di ATM/ANS	B
Certificato di gestore aeroportuale	B
Certificato di operatore aereo (COA)	B
Certificato degli equipaggiamenti aeroportuali	B
Certificato di aeronavigabilità (CofA)	B
Certificato di qualificazione dei dispositivi di addestramento al volo simulato (FSTD)	C
Certificato di operatore di UAS leggero (LUC)	A
Certificato di operatore di UAS	C
Certificato di fornitore di servizi U-space (USSP)	B
Certificato di fornitore di servizi comuni di informazione	B
CERTIFICATI — PERSONALE
Certificato di formazione teorica di pilota remoto	C
Certificato di esaminatore	A
Certificato di istruttore	A
Certificato del centro di valutazione delle competenze linguistiche	C
CERTIFICATI — PRODOTTI/EQUIPAGGIAMENTI
Certificato di omologazione (TC)	B
Certificato di omologazione supplementare (STC)	B
Certificato di omologazione ristretto (RTC)	B
Scheda tecnica del certificato di omologazione	C
Certificato acustico	C
Certificato acustico ristretto	C
Certificato di revisione dell’aeronavigabilità (ARC)	C
Certificato ristretto di aeronavigabilità (RCofA)	C
Approvazione di modifiche importanti/di minore entità	C
Approvazione di un progetto di riparazione importante/di minore entità	C
Certificato dei sistemi ATM/ANS e dei componenti ATM/ANS	B
CERTIFICATI — MEDICI
Certificato di esaminatore aeromedico	A
Certificato di centro aeromedico (AeMC)	A
Certificato di esaminatore aeromedico del controllore del traffico aereo (ATCO)	A
Certificato medico per controllore del traffico aereo (ATCO)	A
Modulo di richiesta di certificato medico per pilota	A
Moduli per l’esame medico del pilota e certificati medici giustificativi	A
Certificato medico per pilota	A
DICHIARAZIONI
Dichiarazione del fornitore di servizi di informazione di volo (FIS)	B
Dichiarazione del fornitore del servizio di gestione del piazzale	B
Dichiarazione del fornitore di servizi di assistenza a terra	B
Sistemi ATM/ANS e componenti ATM/ANS — dichiarazione	B
Sistemi ATM/ANS e componenti ATM/ANS — dichiarazione di conformità	B
Dichiarazione dell’operatore in qualità di fornitore di addestramento tecnico STS	C
Dichiarazioni NCC e SPO degli operatori di aeromobili	C
Dichiarazione operativa UAS STS	A
ATTESTATI E RELAZIONI
Attestato di equipaggio di cabina	C
Rapporto medico sull’equipaggio di cabina	C
ESENZIONI
Durata (cumulativa) dell’esenzione superiore a 8 mesi — decisione	B
Durata (cumulativa) dell’esenzione superiore a 8 mesi — notifica	B
Durata (cumulativa) dell’esenzione superiore a 8 mesi — raccomandazione	B
Durata (cumulativa) dell’esenzione fino a 8 mesi — notifica	A
Esenzione dall’obbligo di possedere un certificato ATM/ANS in qualità di fornitore — decisione	C
Esenzione dall’obbligo di possedere un certificato ATM/ANS in qualità di fornitore — notifica	C
Esenzione dall’obbligo di possedere un certificato ATM/ANS in qualità di fornitore	C
APPROVAZIONI
Permesso di volo — approvazione delle condizioni di volo	A
Permesso di volo	A
Approvazione della relazione del comitato di revisione della manutenzione (MRB)	C
Esami di conoscenza teorica (ECQB)	C
Approvazioni delle imprese di aeronavigabilità combinata (CAOA) — parte CAO	B
Approvazioni delle imprese di gestione del mantenimento dell’aeronavigabilità (CAMOA)	B
Approvazioni delle organizzazioni di manutenzione (MOA) — parte M, sottoparte F Modulo AESA 3-MF	B
Approvazioni delle organizzazioni di manutenzione (MOA) — parte 145	B
Approvazioni delle organizzazioni di addestramento in materia di manutenzione (MTOA) — parte 147	B
Autorizzazione a procedere a produzione senza approvazione di impresa di produzione	C
Approvazione dell’impresa di produzione (POA)	B
Procedura alternativa alle approvazioni delle imprese di progettazione (APDOA)	C
Approvazione dell’impresa di progettazione (DOA)	B
Approvazione della progettazione o produzione di apparecchiature ATM/ANS	B
Organizzazioni di addestramento dei controllori del traffico aereo (ATCO)	B
Approvazione dell’organizzazione di addestramento dell’equipaggio di cabina (CCTO)	C
Approvazione dell’organizzazione di addestramento autorizzata (ATO) (pilota)	C
Organizzazione di addestramento dichiarata (DTO) per il pilota	C
Approvazione dell’organizzazione per la formazione in materia di ispezioni di rampa (RITO)	B
DECISIONI
Adesione all’applicazione delle disposizioni specifiche del regolamento di base per le attività elencate – decisione	C
Annullamento e riconoscimento dei certificati o delle dichiarazioni	C
Decisione di esentare gli aeroporti dalle disposizioni del regolamento di base	C
Competenza congiunta per i compiti relativi agli operatori di aeromobili del trasporto aereo commerciale	C
Proposta di modifica dell’atto di esecuzione/dell’atto delegato	C
Accreditamento come soggetto qualificato	C
Proposta di uno schema individuale dei tempi di volo (IFTSS)	C
Notifiche di schemi di FTL	C
Conferma da parte dell’operatore dell’accettabilità delle misure di attenuazione aggiornate e della conformità delle condizioni locali in caso di operazioni transfrontaliere	C
Immatricolazione dell’operatore UAS	A
Decisione di uno Stato membro sulla designazione di un fornitore unico di servizi comuni di informazione	B
MISURE
Misura immediata adottata in risposta a un grave problema di sicurezza (decisione)	B
Misura immediata adottata in risposta a un grave problema di sicurezza (raccomandazione)	B
Misura immediata adottata in risposta a un grave problema di sicurezza (notifica)	B
Bollettini di informazione sulle zone di conflitto (CZIB) - Misure	B
Adesione (articolo 2, paragrafo 6) all’applicazione delle disposizioni specifiche del regolamento di base per le attività elencate (notifica)	C
Adesione all’applicazione delle disposizioni specifiche del regolamento di base per le attività elencate (raccomandazione)	C
Rinuncia all’esenzione di categorie di aeromobili da disposizioni specifiche del regolamento di base	C
VARIE
Operatore aereo — Specifiche operative	C
Autorizzazione rilasciata a un operatore di un paese terzo (TCO)	B
Operazioni commerciali specializzate ad alto rischio — autorizzazione	B
Registrazione del dispositivo certificato UAS	A
Autorizzazione ETSO (European Technical Standard Order)	C
Deviazione rispetto all’ETSO	C
Proposta di modifica di un atto di esecuzione/atto delegato — notifica	B
Proposta di modifica AE/AD — raccomandazione	B
Elenco degli Stati membri e delle organizzazioni che hanno trasferito competenze, dei compiti riassegnati (ex articoli 64 e 65) e dell’autorità competente responsabile dopo la riassegnazione	C
Direttive di aeronavigabilità (AD), direttive sulla sicurezza, bollettini informativi sulla sicurezza (SIB)	C
Progetti di raccomandazioni per le risposte alle lettere agli Stati dell’ICAO	C
Lista di controllo della conformità alle norme e alle pratiche raccomandate (SARP) dell’ICAO	C
Raccomandazioni per le risposte alle lettere agli Stati dell’ICAO	C
Richieste di metodi alternativi di rispondenza	C

ALLEGATO II

CLASSIFICAZIONE DELLE INFORMAZIONI

Definizioni dettagliate delle marcature a norma dell’articolo 7, paragrafo 2

La TUTELA DELLA VITA PRIVATA è valutata in base alle categorie indicate di seguito:

Identificativo	Denominazione della valutazione della tutela della vita privata	Descrizione della valutazione della tutela della vita privata
PRIV-2	Informazioni personali sensibili	Dati personali che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale; il trattamento di dati genetici o di dati biometrici al fine di identificare in modo univoco una persona fisica; dati relativi alla salute o dati relativi alla vita sessuale o all’orientamento sessuale di una persona fisica; dati relativi a condanne penali e a reati
PRIV-1	Informazioni personali non sensibili	Qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale e a condizione che detti dati non rivelino aspetti dell’interessato classificabili come informazioni personali sensibili.
PRIV-0	Informazioni non personali	Informazioni che non si riferiscono a una persona fisica o che non conducono all’identificazione di una persona fisica, quali i dati personali resi anonimi.

La RISERVATEZZA è classificata in base ai livelli indicati di seguito:

Identificativo

Denominazione del livello di classificazione

Descrizione del livello di classificazione

CONF-3

Catastrofico

Informazioni la cui divulgazione non autorizzata provocherebbe una o più delle conseguenze seguenti:

—	incidenza finanziaria superiore a 10 milioni di EUR

—	azioni risarcitorie di considerevole entità per responsabilità/per danni presentate dagli utenti autorizzati del repertorio dell’aviazione e/o dalle parti interessate

—	svantaggio concorrenziale di considerevole entità per gli utenti autorizzati del repertorio dell’aviazione e/o le parti interessate

—	impossibilità da parte degli utenti autorizzati del repertorio dell’aviazione di conseguire i propri obiettivi

—	perdita totale della fiducia delle parti interessate e del pubblico

—	perdita totale della reputazione

—	contestazione dell’Agenzia in quanto organizzazione

CONF-2

Rilevante

Informazioni la cui divulgazione non autorizzata provocherebbe una o più delle conseguenze seguenti:

—	incidenza finanziaria compresa tra 1 e 10 milioni di EUR

—	azioni risarcitorie di media entità per responsabilità/per danni presentate dagli utenti autorizzati del repertorio dell’aviazione e/o dalle parti interessate

—	grave danno alla reputazione nello specifico settore di attività, esposizione negativa nella stampa specializzata e in quella generalista

—	perdita della fiducia delle parti interessate in relazione allo specifico processo aziendale

—	violazione degli obblighi regolamentari

—	violazione degli obblighi di legge

—	violazione di requisiti contrattuali

CONF-1

Limitato

Informazioni la cui divulgazione non autorizzata provocherebbe una o più delle conseguenze seguenti:

—	incidenza finanziaria inferiore a 1 milione di EUR

—	azioni risarcitorie di minore entità per responsabilità/per danni presentate dagli utenti autorizzati del repertorio dell’aviazione e/o dalle parti interessate

—	reputazione: limitata esposizione negativa nei media specializzati

—	perdita della fiducia delle parti interessate interne in relazione allo specifico processo aziendale

CONF-0

Nessun impatto

Informazioni la cui divulgazione non autorizzata causerebbe un’incongruenza tra la reputazione degli utenti autorizzati del repertorio dell’aviazione e l’immagine da essi desiderata, ma non provocherebbe:

—	nessuna copertura da parte della stampa: le informazioni sono già pubbliche

—	nessuna incidenza sulle parti interessate

—	nessuna incidenza finanziaria

L’INTEGRITÀ è classificata in base ai livelli indicati di seguito:

Identificativo

Denominazione del livello di integrità

Descrizione del livello di classificazione

INTGR-3

Catastrofico

L’alterazione e/o la compromissione delle informazioni che rientrano in questa categoria comporterebbe una o più delle conseguenze seguenti:

—	perdita finanziaria superiore a 10 milioni di EUR

—	azioni risarcitorie di considerevole entità per responsabilità/per danni presentate dagli utenti autorizzati del repertorio dell’aviazione e/o dalle parti interessate

—	svantaggio concorrenziale di considerevole entità per gli utenti autorizzati del repertorio dell’aviazione e/o le parti interessate; impossibilità da parte degli utenti autorizzati del repertorio dell’aviazione di conseguire i propri obiettivi

—	perdita totale della fiducia delle parti interessate e del pubblico

—	perdita totale della reputazione

—	contestazione dell’Agenzia in quanto organizzazione

INTGR-2

Rilevante

L’alterazione e/o la compromissione delle informazioni che rientrano in questa categoria comporterebbe una o più delle conseguenze seguenti:

—	incidenza finanziaria compresa tra 1 e 10 milioni di EUR

—	azioni risarcitorie di media entità per responsabilità/per danni presentate dagli utenti autorizzati del repertorio dell’aviazione e/o dalle parti interessate

—	grave danno alla reputazione nello specifico settore di attività, esposizione negativa nella stampa specializzata e in quella generalista

—	perdita di fiducia delle parti interessate in relazione allo specifico processo aziendale

—	violazione degli obblighi regolamentari

—	violazione degli obblighi di legge

—	violazione di requisiti contrattuali

INTGR-1

Limitato

Informazioni la cui divulgazione non autorizzata provocherebbe una o più delle conseguenze seguenti:

—	incidenza finanziaria inferiore a 1 milione di EUR

—	azioni risarcitorie di minore entità per responsabilità/per danni presentate dagli utenti autorizzati del repertorio dell’aviazione e/o dalle parti interessate

—	reputazione: limitata esposizione negativa nei media specializzati

—	perdita della fiducia delle parti interessate interne in relazione allo specifico processo aziendale

INTGR-0

Nessun impatto

—	nessuna copertura da parte della stampa

—	le informazioni sono già pubbliche

—	nessuna incidenza sulle parti interessate

—	nessuna incidenza finanziaria

La DISPONIBILITÀ è classificata in base ai livelli indicati di seguito:

Identificativo	Denominazione del livello di disponibilità	Descrizione del livello di classificazione
AVAIL-3	Catastrofico	In caso di interruzione, l’accesso alle informazioni deve essere ripristinato entro un periodo massimo di 24 ore (compresi le notti e i fine settimana)
AVAIL-2	Rilevante	In caso di interruzione, l’accesso alle informazioni deve essere ripristinato entro un periodo massimo di 1 settimana di calendario
AVAIL-1	Limitato	In caso di interruzione, l’accesso alle informazioni deve essere ripristinato entro un periodo massimo di 2 settimane di calendario
AVAIL-0	Nessun impatto	In caso di interruzione, l’accesso alle informazioni deve essere ripristinato entro un periodo massimo di 1 mese