EDPS chiede poteri più chiari e risorse aggiuntive per la sorveglianza dei dati utilizzati da Europol, Eurojust e EPPO

Il Supervisore Europeo per la Protezione dei Dati, EDPS, chiede il rafforzamento dei suoi poteri di controllo su come Europol, Eurojust, la Procura Europea e altri organismi dell'UE trattano dati operativi sensibili. L'istituzione sostiene l'obiettivo della Commissione di semplificare e armonizzare le regole applicabili a queste agenzie, ma ritiene che il nuovo sistema debba consentire di imporre chiaramente misure obbligatorie quando si riscontrano violazioni, di intervenire rapidamente in casi urgenti e di cooperare in modo più efficace con le autorità nazionali per la protezione dei dati.

In sintesi, l'EDPS sostiene la creazione di un quadro più uniforme per i dati operativi utilizzati da Europol, Eurojust, EPPO e, in misura più limitata, Frontex, ma afferma che l'armonizzazione delle regole deve essere accompagnata da una sorveglianza più forte. Il Supervisore chiede che sia specificato esplicitamente che può ordinare la riparazione di qualsiasi violazione delle regole europee sulla protezione dei dati e che può adottare misure provvisorie in situazioni urgenti. L'EDPS desidera procedure e scadenze più chiare per la cooperazione con le autorità nazionali, anche quando i dati provengono dagli Stati membri o sono trattati congiuntamente da un'agenzia europea e un'autorità nazionale. Gli accordi più vecchi che consentono a Europol e Eurojust di trasmettere dati operativi a paesi terzi o organizzazioni internazionali dovrebbero essere rivisti e, se necessario, rinegoziati per rispettare gli attuali standard europei. L'estensione dei poteri di Europol e Eurojust comporterà volumi maggiori di dati, operazioni più complesse e più scambi internazionali, e l'EDPS chiede quindi personale e risorse finanziarie aggiuntive per la sorveglianza.

La Commissione Europea propone di riunire in un quadro più coerente una parte importante delle regole che governano l'uso dei dati operativi da parte degli organismi europei attivi nella lotta contro la criminalità e nella cooperazione giudiziaria. Tra le istituzioni interessate ci sono Europol, Eurojust e la Procura Europea, e alcune delle modifiche dovrebbero applicarsi in misura più limitata anche a Frontex.

L'EDPS sostiene la direzione generale e ritiene che la riduzione della frammentazione tra le regole applicabili alle diverse agenzie possa rendere il sistema più facile da applicare. Attualmente, alcune delle garanzie sulla protezione dei dati si trovano nelle norme generali per le istituzioni dell'UE, mentre altre nelle regole specifiche di ciascuna agenzia, il che può creare differenze e sovrapposizioni quando le autorità europee e quelle nazionali lavorano insieme.

Tuttavia, il Supervisore avverte che l'uniformità delle regole non è sufficiente se i meccanismi attraverso i quali vengono applicate rimangono poco chiari. I dati utilizzati da polizia, procuratori e organismi europei di cooperazione possono includere informazioni molto sensibili su persone sospettate, vittime, testimoni o altre persone coinvolte nelle indagini, e gli scambi di informazioni possono attraversare simultaneamente più sistemi giuridici nazionali ed europei.

"Un quadro coerente ed efficace di protezione dei dati per le agenzie dell'UE nel campo della giustizia e degli affari interni è qualcosa che chiediamo da tempo e, pertanto, salutiamo l'obiettivo di questa proposta. Tuttavia, un tale obiettivo può essere raggiunto solo attraverso una sorveglianza e un'applicazione efficaci", ha dichiarato il Supervisore Europeo per la Protezione dei Dati, Wojciech Wiewiórowski.

Una delle modifiche richieste riguarda il potere dell'EDPS di obbligare un'istituzione a riparare una violazione. La proposta della Commissione consente l'emissione di ordini per riportare le operazioni di trattamento in conformità con le regole, ma il Supervisore ritiene che la formulazione debba coprire esplicitamente qualsiasi violazione del quadro europeo, comprese le obbligazioni che non riguardano direttamente una specifica operazione di trattamento.

Ad esempio, possono sorgere problemi nella conservazione dei registri, nella designazione e nel funzionamento del responsabile della protezione dei dati o in altre obbligazioni organizzative. L'EDPS desidera che la sua possibilità di intervento sia chiara anche in queste situazioni, incluso il fatto che l'applicazione di una sanzione può dipendere dall'esistenza precedente di un ordine obbligatorio.

Un'altra raccomandazione riguarda le situazioni in cui è necessaria un'intervento immediato. L'EDPS chiede la possibilità esplicita di adottare misure provvisorie quando ci sono motivi ragionevoli per ritenere che un'istituzione o un'agenzia europea abbia violato le regole e che il ritardo nell'intervento potrebbe mettere in pericolo i diritti delle persone interessate.

Tali misure consentirebbero di limitare temporaneamente alcune attività prima del completamento della procedura di sorveglianza. L'EDPS ritiene che la possibilità di un intervento rapido sia particolarmente importante quando sono coinvolti dati utilizzati in indagini penali o operazioni di applicazione della legge, dove le conseguenze di un trattamento inadeguato possono verificarsi prima della conclusione di un'indagine amministrativa.

Una parte importante delle preoccupazioni riguarda anche il rapporto tra l'EDPS e le autorità nazionali per la protezione dei dati. Le indagini europee coinvolgono frequentemente informazioni provenienti dalle banche dati degli Stati membri, e Europol funge in molte situazioni da centro attraverso il quale questi dati vengono ricevuti, analizzati e ritrasmessi.

L'EDPS afferma che gli attuali meccanismi di cooperazione non sono sufficientemente precisi. Le obbligazioni sono talvolta formulate in termini generali, senza procedure o scadenze chiare, e le autorità nazionali e il Supervisore europeo non possono sempre utilizzare gli stessi sistemi informatici sicuri per lo scambio di informazioni, richieste di assistenza o operazioni comuni.

Per le situazioni in cui un'agenzia europea e un'autorità nazionale controllano insieme un'operazione di trattamento, il Supervisore propone che la cooperazione tra gli organismi di controllo diventi obbligatoria in determinate fasi. La stessa logica si applica ai casi in cui una persona esercita i propri diritti su informazioni fornite da uno o più Stati membri.

In tali situazioni, l'EDPS propone che l'autorità nazionale che ha trasmesso i dati e il Supervisore europeo verifichino, ciascuno nei limiti delle proprie competenze, se il trattamento è stato legale. L'autorità nazionale dovrebbe poi comunicare il risultato delle verifiche entro un termine stabilito.

Il Supervisore solleva anche la questione degli scambi di informazioni con paesi al di fuori dello Spazio Economico Europeo. La proposta della Commissione introduce regole più chiare per i trasferimenti internazionali di dati operativi, ma l'EDPS avverte riguardo agli accordi più vecchi stipulati da Europol e Eurojust prima dell'entrata in vigore degli attuali standard europei di protezione dei dati.

Nel caso di Eurojust, sono interessati gli accordi di cooperazione stipulati prima del 12 dicembre 2019, mentre nel caso di Europol quelli stipulati prima del 1 maggio 2017. Questi strumenti continuano a consentire alcuni scambi di informazioni con paesi terzi o organizzazioni internazionali, anche se nel frattempo gli standard europei riguardanti la sorveglianza indipendente, i diritti delle persone e la possibilità di contestare l'uso dei dati sono cambiati.

L'EDPS non chiede l'annullamento immediato di tutti questi accordi, ma ritiene che debbano essere rivisti e, dove necessario, rinegoziati. Gli accordi più vecchi non dovrebbero essere trattati come eccezioni permanenti agli standard attuali, e i trasferimenti di informazioni per l'applicazione della legge dovrebbero fornire garanzie compatibili con il quadro europeo attualmente in vigore.

Un'altra raccomandazione riguarda il Customs Information System, il sistema utilizzato per lo scambio di informazioni rilevanti nel campo doganale. L'EDPS chiede l'integrazione della sorveglianza coordinata di questo sistema nel meccanismo comune già utilizzato per altri sistemi europei, in modo che non rimanga in una struttura separata di controllo.

L'opinione analizza anche il rapporto con il Digital Omnibus, attraverso il quale vengono discusse modifiche più ampie al quadro digitale europeo. L'EDPS avverte che il cambiamento immediato delle regole per le agenzie europee di applicazione della legge, senza modifiche corrispondenti delle regole che si applicano alle autorità nazionali, potrebbe produrre nuove differenze proprio nel settore in cui la Commissione cerca di eliminare la frammentazione.

Il rischio potrebbe sorgere soprattutto nelle operazioni comuni, dove la stessa attività può coinvolgere simultaneamente un'agenzia europea e la polizia o un'altra autorità di uno Stato membro. Se le regole evolvono in direzioni diverse, gli stessi dati potrebbero essere soggetti a requisiti diversi a seconda dell'istituzione che li tratta.

Per questo motivo, l'EDPS chiede di mantenere la coerenza tra le regole applicabili alle istituzioni europee e il quadro che governa l'uso dei dati da parte della polizia e delle autorità giudiziarie nazionali. Le modifiche dovrebbero essere coordinate in modo che la semplificazione di un livello non crei complicazioni aggiuntive nelle operazioni svolte insieme.

L'estensione dei poteri di Europol e Eurojust porta anche a un problema pratico per l'istituzione che deve sorvegliarli. L'EDPS stima che i nuovi compiti non genereranno solo un aumento del volume di informazioni trattate, ma anche operazioni più complesse, più flussi di dati verso le autorità nazionali e paesi terzi e un numero maggiore di situazioni in cui deve essere verificato il rispetto delle garanzie sulla vita privata.

Il Supervisore afferma che queste responsabilità aggiuntive non possono essere coperte senza risorse adeguate. Se Europol e Eurojust ricevono nuovi compiti che comportano il trattamento di volumi maggiori e più complessi di dati personali, l'EDPS chiede che la propria capacità di sorveglianza sia rafforzata attraverso personale e finanziamenti aggiuntivi.

La proposta riguardante le regole di protezione dei dati fa parte di un pacchetto più ampio attraverso il quale la Commissione mira a rafforzare la capacità europea di prevenzione, indagine e perseguimento penale della criminalità transfrontaliera grave. Il pacchetto include anche modifiche ai mandati di Europol e Eurojust e nuove regole per la cooperazione nelle indagini penali.

L'opinione dell'EDPS non respinge questa estensione e sostiene l'obiettivo di un quadro più coerente per l'uso dei dati operativi. La sua principale condizione è che lo sviluppo delle capacità delle agenzie sia accompagnato da strumenti di controllo sufficientemente chiari e da una capacità istituzionale che consenta un'effettiva verifica di come vengono utilizzate le informazioni personali.

Le raccomandazioni dell'EDPS entreranno nelle discussioni sulla proposta della Commissione. Esse non modificano da sole le regole applicabili a Europol, Eurojust, EPPO o Frontex e non rappresentano una decisione finale sulla forma del futuro quadro europeo.