Regolamento (UE) 2022/991

Regolamento (UE) 2022/991 - modifica del regolamento Europol

Il regolamento interviene in modo organico sul regolamento (UE) 2016/794, rafforzando Europol quale piattaforma europea di supporto operativo, analitico e tecnologico nella lotta alla criminalità grave, al terrorismo e alle minacce digitali. Il legislatore dell’Unione collega l’ampliamento del mandato a un rafforzamento parallelo delle garanzie sui diritti fondamentali, del controllo democratico e della disciplina in materia di protezione dei dati.

Finalità della riforma e contesto

Le premesse descrivono un contesto di minacce criminali e terroristiche in rapida evoluzione, rese più complesse dalla trasformazione digitale, dall’uso di tecnologie sofisticate e dalla crescente transnazionalità delle condotte illecite. In tale quadro, Europol viene chiamata a fornire un sostegno più ampio agli Stati membri, preservando però integralmente le competenze nazionali in materia di sicurezza nazionale.

Il regolamento mira quindi a:

• ampliare i compiti dell’Agenzia;
• facilitare la cooperazione con soggetti pubblici e privati;
• disciplinare più puntualmente i flussi di dati personali;
• introdurre un quadro specifico per ricerca, innovazione e uso di tecnologie emergenti;
• rafforzare i controlli del GEPD, del Parlamento europeo e dei parlamenti nazionali.

Ambito soggettivo e oggettivo

La disciplina riguarda innanzitutto Europol e il suo personale, ma anche gli Stati membri, le unità nazionali, le autorità competenti, EPPO, Eurojust, OLAF, ENISA, le FIU, i paesi terzi, le organizzazioni internazionali e le parti private. Il perimetro materiale comprende il trattamento di dati personali operativi e amministrativi, le indagini penali specifiche, gli scambi con parti private, la cooperazione in materia di SIS e Schengen, il contrasto alla diffusione online di contenuti terroristici e materiale pedopornografico, la ricerca e innovazione, nonché il supporto al controllo degli investimenti esteri diretti con impatti sulla sicurezza.

Nuovi compiti di Europol

L’articolo 4 del regolamento Europol viene ampliato con numerose funzioni aggiuntive. In particolare, Europol può:

• sostenere le unità speciali d’intervento degli Stati membri con supporto amministrativo e finanziario;
• cooperare con altri organismi dell’Unione, con ENISA e con OLAF, anche tramite scambi di informazioni e supporto analitico;
• supportare gli Stati membri nel contrasto alla criminalità agevolata da internet, agli attacchi informatici, alle situazioni di crisi online e alla diffusione online di materiale pedopornografico;
• sostenere l’identificazione di criminali ad alto rischio e l’avvio di indagini congiunte, coordinate e prioritarie;
• assistere gli Stati membri nel trattamento di dati provenienti da paesi terzi o organizzazioni internazionali e nella possibile iscrizione nel SIS di segnalazioni di informazione nell’interesse dell’Unione;
• contribuire alle valutazioni del rischio e alle valutazioni della minaccia basate sulle informazioni in suo possesso;
• sostenere i controlli sugli investimenti esteri diretti, con particolare attenzione alle tecnologie usate da Europol o essenziali per il contrasto al terrorismo.

Rapporti con EMPACT, SIS e meccanismi di controllo Schengen

Europol viene formalmente inserita a sostegno della piattaforma EMPACT, con possibilità di fornire supporto amministrativo, logistico, finanziario e operativo alle iniziative guidate dagli Stati membri. Sul piano Schengen, Europol può contribuire al meccanismo di valutazione e monitoraggio del regolamento (UE) n. 1053/2013 e, per il SIS, gli Stati membri possono avvalersi delle sue analisi per formulare segnalazioni di informazione, secondo un meccanismo di rendicontazione periodica entro 12 mesi dalla proposta di inserimento.

Cooperazione con EPPO, Eurojust e OLAF

Il regolamento dedica particolare attenzione alla cooperazione con EPPO. Europol deve instaurare e mantenere relazioni strette con la Procura europea e concludere un accordo di lavoro che ne disciplini la cooperazione. EPPO può accedere indirettamente ai dati tramite un sistema hit/no hit; in caso di riscontro positivo, Europol attiva il canale di condivisione in conformità alle limitazioni del fornitore originario.

Europol deve inoltre informare senza ritardo EPPO delle condotte criminose che possono rientrare nella sua competenza. Una regola analoga vale per OLAF, cui vanno trasmesse senza indugio le informazioni su possibili illeciti lesivi degli interessi finanziari dell’Unione. La cooperazione con le FIU resta preservata e non deve duplicare né interferire con gli obblighi previsti dalla normativa antiriciclaggio.

Sostegno operativo alle indagini degli Stati membri

Il nuovo articolo 6 e le modifiche correlate rafforzano il ruolo di iniziativa del direttore esecutivo. Oltre a poter rispondere alle richieste degli Stati membri, il direttore esecutivo può proporre alle autorità competenti di avviare, svolgere o coordinare un’indagine su uno specifico reato che riguardi un solo Stato membro ma incida su un interesse comune oggetto di una politica dell’Unione.

Il personale Europol può fornire supporto operativo in operazioni e indagini, anche tramite:

• facilitazione dello scambio transfrontaliero di informazioni;
• supporto forense e tecnico;
• presenza durante l’esecuzione di misure investigative.

Resta fermo che Europol non ha poteri coercitivi e il personale non può eseguire misure investigative autonomamente.

Cooperazione con le parti private

Uno dei blocchi più innovativi della riforma riguarda il rapporto con le parti private. Europol può ricevere dati personali direttamente da imprese e altri soggetti privati, specialmente per individuare le unità nazionali interessate da informazioni multi-giurisdizionali o non facilmente attribuibili a una sola giurisdizione. Può altresì, in casi specifici e nel rispetto di condizioni rigorose, trasmettere o trasferire dati a tali soggetti.

La cooperazione con le parti private è però delimitata da più presidi:

• non deve duplicare le attività delle FIU né interferire con esse;
• deve essere strettamente necessaria e proporzionata;
• può richiedere autorizzazione del direttore esecutivo quando il destinatario sia extra-UE o privo di adeguate garanzie;
• deve rispettare eventuali limitazioni imposte dal fornitore dei dati;
• deve essere oggetto di registrazione dettagliata e di relazione annuale al consiglio di amministrazione e alle istituzioni interessate.

Situazioni di crisi online e materiale pedopornografico online

Gli articoli 26 bis e 26 ter introducono una disciplina specifica per lo scambio di dati con le parti private in due ipotesi: situazioni di crisi online e diffusione online di materiale pedopornografico. In entrambi i casi Europol può ricevere dati direttamente dalle parti private, trattarli per finalità operative e, ove necessario, trasmetterli o trasferirli a Stati membri o paesi terzi qualificati dall’articolo 25.

Se il trasferimento riguarda parti private stabilite fuori dall’Unione o in paesi terzi non adeguati, è richiesta l’autorizzazione del direttore esecutivo. Europol deve inoltre cooperare con le autorità nazionali per evitare duplicazioni, migliorare il coordinamento e prevenire interferenze con indagini in corso.

Trattamento dei dati personali: principi generali

Il regolamento riscrive in modo molto ampio il regime dei dati personali. L’impianto si fonda su una distinzione tra:

• dati personali operativi, disciplinati dal regolamento Europol e dal capo IX del regolamento (UE) 2018/1725;
• dati personali amministrativi, soggetti al regolamento (UE) 2018/1725 salvo il capo IX.

Europol deve trattare i dati in modo da individuare sempre la fonte, garantire la tracciabilità e mantenere separazione funzionale tra categorie di dati e trattamenti. Viene confermato che, salvo casi specifici, i dati relativi a categorie particolari sono trattabili solo se strettamente proporzionati e necessari.

Analisi preliminare, categorie di interessati e dati investigativi

Un elemento centrale è la possibilità per Europol di effettuare un’analisi preliminare dei dati ricevuti per stabilire se riguardino le categorie di interessati dell’allegato II. Questa fase serve a decidere se i dati possano essere ulteriormente trattati a fini di controlli incrociati, analisi strategiche, analisi operative o scambio di informazioni.

I termini sono molto stringenti:

• l’analisi preliminare può durare fino a 18 mesi dalla verifica di pertinenza;
• può essere prorogata in casi giustificati, con informazione al GEPD;
• la durata massima complessiva non può superare 3 anni dal ricevimento iniziale.

Se i dati non risultano pertinenti, devono essere cancellati. Se invece si tratta di dati investigativi ricevuti a sostegno di un’indagine penale specifica, Europol può trattarli solo entro i limiti dell’indagine e per il tempo necessario a sostenerla.

Trattamento dei dati a sostegno di indagini penali specifiche

L’articolo 18 bis disciplina il cuore della nuova operatività investigativa. Europol può trattare dati personali non ricompresi nell’allegato II quando:

• uno Stato membro, EPPO o Eurojust le fornisce dati investigativi e chiede supporto per un’indagine specifica;
• oppure, secondo la valutazione di Europol, l’analisi operativa o i controlli incrociati non sono possibili senza trattare tali dati.

Il trattamento è consentito solo se necessario, proporzionato e limitato al sostegno dell’indagine. Se il fornitore non è più autorizzato a trattare i dati nell’indagine, deve informarne Europol. Inoltre, i dati possono essere conservati oltre il termine del trattamento solo su richiesta del fornitore, per garantire la veridicità, l’affidabilità e la tracciabilità del processo di intelligence criminale, e solo mentre pende il procedimento giudiziario collegato.

La disposizione si estende anche a taluni dati provenienti da paesi terzi, ma solo se il paese terzo ha ottenuto i dati nel contesto di un’indagine penale conformemente al proprio diritto e se non vi sono indici di sproporzione manifesta o di violazione palese dei diritti fondamentali.

Trasferimenti internazionali di dati

Il regime di trasferimento a paesi terzi e organizzazioni internazionali viene riorganizzato. Il trasferimento è possibile in presenza di:

• decisione di adeguatezza della Commissione;
• accordo internazionale concluso dall’Unione;
• accordo di cooperazione già esistente con Europol;
• strumenti giuridicamente vincolanti con garanzie adeguate;
• oppure, in mancanza di tali basi, valutazione autonoma di Europol o autorizzazione del consiglio di amministrazione nei casi previsti.

Il direttore esecutivo può autorizzare trasferimenti caso per caso per interessi vitali, minacce gravi e immediate alla sicurezza pubblica, legittimi interessi dell’interessato e finalità di prevenzione, indagine, accertamento, perseguimento o tutela giudiziaria. Ogni trasferimento deve essere documentato e, su richiesta, messo a disposizione del GEPD.

Uso dell’infrastruttura Europol da parte degli Stati membri

Gli Stati membri possono utilizzare l’infrastruttura tecnica di Europol per scambi bilaterali di dati personali con parti private anche in relazione a forme di criminalità non rientranti negli obiettivi di Europol. In tali casi, Europol non ha accesso ai dati e può essere qualificata come responsabile del trattamento ai sensi dell’articolo 87 del regolamento (UE) 2018/1725. Se invece i dati riguardano reati rientranti nelle competenze Europol, gli Stati membri possono concederle l’accesso.

Consultazione preventiva, sicurezza e controlli del GEPD

Il ruolo del GEPD è rafforzato in modo significativo. La consultazione preventiva non si applica alle singole attività operative che non introducono un nuovo tipo di trattamento ad alto rischio, ma resta obbligatoria per i nuovi sistemi o le modifiche sostanziali ad essi. In casi eccezionali di particolare urgenza, Europol può avviare il trattamento prima del parere scritto del GEPD, purché lo informi prima dell’avvio.

Il GEPD può inoltre:

• ingiungere la conformità del trattamento;
• ordinare la sospensione dei flussi di dati verso destinatari in Stati membri, paesi terzi o organizzazioni internazionali;
• infliggere sanzioni amministrative pecuniarie in caso di inosservanza.

Diritti degli interessati e risarcimento

Il regolamento aggiorna i meccanismi di accesso, rettifica, cancellazione, limitazione del trattamento, reclamo e risarcimento. L’interessato può presentare domanda a Europol o all’autorità nazionale designata del proprio Stato membro, che deve inoltrarla a Europol senza indebito ritardo e comunque entro un mese.

È riconosciuto il diritto al risarcimento per danni materiali o immateriali causati da violazioni del regolamento, con raccordo al regolamento (UE) 2018/1725 e alla direttiva (UE) 2016/680. Le controversie tra Europol e uno Stato membro sulla responsabilità finale del risarcimento sono decise dal consiglio di amministrazione a maggioranza dei due terzi.

Governance, trasparenza e rendicontazione

Il regolamento rafforza il controllo democratico attraverso:

• il documento unico di programmazione annuale entro il 30 novembre;
• la partecipazione di due rappresentanti del gruppo di controllo parlamentare congiunto a due riunioni ordinarie annue del consiglio di amministrazione, senza diritto di voto;
• nuove informazioni annuali da fornire al gruppo di controllo parlamentare congiunto e alle istituzioni UE;
• un forum consultivo sui diritti fondamentali;
• un responsabile dei diritti fondamentali, distinto dal responsabile della protezione dei dati.

Sono inoltre previste relazioni annuali dettagliate sui dati scambiati con parti private, sui casi di trattamento di dati non riferibili all’allegato II, sui trasferimenti internazionali, sulle proposte di segnalazione SIS, sui progetti di ricerca e innovazione, sul trattamento temporaneo dei dati e sull’uso di categorie particolari di dati.

Ricerca e innovazione

La riforma dedica un blocco organico alla ricerca e innovazione. Europol può sviluppare progetti specifici, anche su algoritmi e nuove soluzioni tecnologiche, purché il trattamento dei dati personali sia strettamente necessario, motivato e conforme a trasparenza, spiegabilità, correttezza e rendicontabilità.

Ogni progetto richiede:

• autorizzazione preventiva del direttore esecutivo;
• consultazione del responsabile della protezione dei dati e del responsabile dei diritti fondamentali;
• informazione al GEPD;
• valutazione d’impatto sulla protezione dei dati;
• documento vincolante del consiglio di amministrazione che definisca il perimetro dei progetti.

I dati devono essere tenuti in ambienti separati e protetti, non possono essere trasmessi o trasferiti, non devono produrre effetti sugli interessati e devono essere cancellati alla conclusione del progetto o alla scadenza dei termini di conservazione.

Disposizioni transitorie e applicazione nel tempo

Il regolamento entra in vigore il giorno successivo alla pubblicazione in Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. Tuttavia, per i dati personali detenuti o ricevuti prima del 28 giugno 2022, sono previste disposizioni transitorie specifiche:

• per l’uso a sostegno di indagini penali specifiche valgono obblighi di notifica entro il 29 settembre 2022;
• in mancanza dei requisiti richiesti, i dati devono essere cancellati entro il 29 ottobre 2022;
• per i dati già detenuti da Europol è possibile un’analisi preliminare fino a 18 mesi, prorogabile in casi giustificati, con limite massimo di 3 anni dal ricevimento iniziale.

Valutazione per i professionisti

Per avvocati e commercialisti, il regolamento è rilevante soprattutto per tre profili: operatività investigativa, trasferimenti e circolazione dei dati, governance/privacy compliance. Le imprese che interagiscono con Europol o con le autorità nazionali in contesti di cybercrime, terrorismo online, frodi o indagini transnazionali devono considerare il nuovo canale di cooperazione con Europol, le condizioni rigorose per i trasferimenti verso paesi terzi e gli obblighi documentali e di minimizzazione dei dati. Sul piano del controllo interno, la posizione del DPO, del responsabile dei diritti fondamentali e del GEPD assume un rilievo molto maggiore, con impatti anche sulla documentazione di audit, sulle DPIA e sulla gestione dei flussi informativi transfrontalieri.