Regolamento (UE) 2023/969

Piattaforma di collaborazione per le squadre investigative comuni

Il regolamento istituisce una piattaforma informatica dell’Unione per agevolare il funzionamento delle squadre investigative comuni (SIC), con l’obiettivo di rendere più rapido, sicuro ed efficiente lo scambio di informazioni, prove e comunicazioni tra i partecipanti. Il testo nasce dall’esigenza, evidenziata nei considerando, di dotare le SIC di uno strumento digitale comune capace di rafforzare la cooperazione transfrontaliera in materia penale, senza incidere sulle basi giuridiche e sulle regole sostanziali che disciplinano la costituzione e l’operatività delle SIC.

Ambito di applicazione e contesto operativo

Il regolamento si applica al trattamento delle informazioni, inclusi i dati personali, nel contesto di una SIC, e copre sia i dati operativi sia i dati non operativi. La disciplina opera dalla firma dell’accordo SIC fino alla rimozione completa dei dati dal sistema di informazione centralizzato, estendendosi quindi alle fasi operativa e post-operativa. Rimangono ferme le disposizioni vigenti sulla costituzione, conduzione e valutazione delle SIC, e l’utilizzo della piattaforma è concepito come volontario, pur essendo fortemente incoraggiato.

Soggetti coinvolti e accesso alla piattaforma

L’accesso alla piattaforma è previsto, in base al pertinente accordo SIC, per le autorità competenti degli Stati membri, per l’EPPO, per Eurojust, Europol, OLAF e altri organi, uffici e agenzie competenti dell’Unione, nonché, quando l’accordo lo consenta, per autorità competenti di paesi terzi e per rappresentanti di autorità giudiziarie internazionali. Il regolamento insiste sulla necessità che ogni accesso sia previsto e regolato dall’accordo SIC, che costituisce il presupposto indispensabile per la creazione dello spazio di collaborazione relativo a quella specifica SIC.

Architettura tecnica della piattaforma

La piattaforma si compone di tre elementi: un sistema di informazione centralizzato per la conservazione temporanea dei dati, un software di comunicazione che conserva localmente i dati di messaggistica sui dispositivi degli utenti, e un collegamento con gli strumenti informatici già gestiti dal segretariato della rete delle SIC. Il sistema centralizzato è ospitato da eu-LISA presso i propri siti tecnici. Le funzionalità includono il coordinamento e la gestione della SIC, lo scambio sicuro di file anche di grandi dimensioni, la messaggistica istantanea, chat e conferenze audio/video, nonché un meccanismo avanzato di registrazione e tracciamento per garantire la tracciabilità delle prove scambiate.

Ruolo della Commissione ed eu-LISA

La Commissione adotta gli atti di esecuzione necessari allo sviluppo tecnico della piattaforma, con riferimento, in particolare, all’elenco delle funzionalità, alle specifiche operative del collegamento tecnico, alla sicurezza, ai registri tecnici, alle statistiche e ai requisiti di funzionamento e disponibilità. eu-LISA è incaricata della progettazione dell’architettura, dello sviluppo, del collaudo, della gestione operativa e della manutenzione della piattaforma, nel rispetto del principio di protezione dei dati fin dalla progettazione e per impostazione predefinita. eu-LISA deve inoltre fornire formazione tecnica al segretariato della rete delle SIC, istituire un servizio di supporto per gli incidenti tecnici e introdurre miglioramenti sulla base del feedback operativo.

Ruolo degli Stati membri, degli organi UE e del segretariato della rete delle SIC

Gli Stati membri devono predisporre le misure tecniche necessarie per l’accesso delle proprie autorità competenti e garantire che gli utenti abbiano accesso a formazione adeguata e siano consapevoli degli obblighi in materia di protezione dei dati. Eurojust, Europol, EPPO, OLAF e gli altri organi, uffici e agenzie competenti dell’Unione devono a loro volta adottare le misure tecniche per l’accesso. Il segretariato della rete delle SIC svolge un ruolo di assistenza quotidiana, supporto amministrativo, giuridico e tecnico, formazione, sensibilizzazione e aggiornamento di eu-LISA sui possibili miglioramenti della piattaforma.

Governance del progetto

Durante la fase di progettazione e sviluppo, il consiglio di amministrazione di eu-LISA istituisce un consiglio di gestione del programma composto da dieci membri, con partecipazione di eu-LISA e della Commissione. Il consiglio si riunisce almeno trimestralmente, segue l’avanzamento del progetto e riferisce regolarmente al consiglio di amministrazione di eu-LISA. eu-LISA istituisce inoltre un gruppo consultivo tecnico composto da rappresentanti degli Stati membri, della Commissione e del segretariato della rete delle SIC, presieduto da eu-LISA, che fornisce consulenza tecnica e contribuisce alla definizione delle evoluzioni funzionali.

Regole sugli spazi di collaborazione SIC

Per ogni SIC che scelga di utilizzare la piattaforma viene creato uno spazio di collaborazione dedicato e isolato. L’accordo SIC disciplina chi può accedere allo spazio e a quali condizioni. Uno o più amministratori dello spazio SIC, designati nell’accordo fra i membri della SIC degli Stati membri o dell’EPPO, gestiscono i diritti di accesso; possono delegare al segretariato della rete delle SIC alcune attività tecniche e amministrative, salvo la verifica dei dati caricati da paesi terzi o da autorità giudiziarie internazionali. Il regolamento prevede anche la possibilità di iniziare l’uso della piattaforma dopo la firma dell’accordo SIC, o di interromperlo durante le attività della SIC, con conseguente modifica dell’accordo se necessario.

Paesi terzi e autorità giudiziarie internazionali

L’accesso di paesi terzi e di rappresentanti di autorità giudiziarie internazionali è ammesso solo se previsto dal pertinente accordo SIC e entro i limiti delle finalità della SIC. In tali casi, gli amministratori devono verificare che i dati operativi siano limitati a quanto necessario e che rispettino le condizioni stabilite nell’accordo. I trasferimenti di dati personali verso paesi terzi o autorità giudiziarie internazionali sono subordinati alle rispettive norme applicabili: per gli Stati membri si applica il capo V della direttiva (UE) 2016/680, per gli organi e le agenzie UE il capo IX del regolamento (UE) 2018/1725, e per l’EPPO le disposizioni del regolamento (UE) 2017/1939 richiamate dal testo.

Sicurezza, riservatezza e responsabilità

Il regolamento impone un livello elevato di cibersicurezza e di sicurezza delle informazioni. eu-LISA deve adottare misure tecniche e organizzative idonee, impedire accessi non autorizzati, definire un piano di sicurezza e un piano di continuità operativa e ripristino in caso di disastro, oltre a prevedere un collegamento operativo con il CERT-UE. Il personale di eu-LISA che opera sui dati è soggetto a obblighi di segreto professionale o riservatezza. Sul piano della responsabilità, ciascuno Stato membro e ciascun organo/ente UE risponde dei danni causati alla piattaforma per inosservanza degli obblighi del regolamento, con disciplina processuale rimessa al diritto nazionale o agli atti istitutivi pertinenti.

Protezione dei dati e conservazione

Il testo contiene una disciplina dettagliata sulla protezione dei dati. I dati operativi sono conservati nel sistema centrale solo per il tempo necessario al completamento del download da parte di tutti gli utenti interessati e comunque non oltre quattro settimane dal caricamento; una volta esaurita la funzione, sono cancellati automaticamente in modo permanente. I dati non operativi, se prevista una valutazione della SIC, sono conservati fino al completamento della valutazione e comunque non oltre cinque anni. I dati personali operativi sono trattati dalle autorità competenti e, se del caso, da Eurojust, Europol, EPPO, OLAF o altri organi UE, ciascuno quale titolare del trattamento; eu-LISA è responsabile del trattamento per i dati personali scambiati e conservati sulla piattaforma; gli utenti sono contitolari per i dati non operativi.

Registri tecnici e controlli

eu-LISA deve tenere un registro tecnico di tutti gli accessi e di tutti i trattamenti nel sistema di informazione centralizzato, con indicazione di data, ora, utente e operazione effettuata. I registri sono protetti da modifiche e accessi non autorizzati e conservati per tre anni, o più a lungo se necessario per verifiche in corso. Su richiesta, essi sono messi a disposizione delle autorità competenti degli Stati membri, delle autorità nazionali di controllo e del Garante europeo della protezione dei dati, nei limiti delle rispettive competenze.

Monitoraggio, valutazione e possibile collegamento con SIENA

eu-LISA deve monitorare lo sviluppo e il funzionamento della piattaforma rispetto a obiettivi di programmazione, costi, risultati tecnici, rapporto costi/benefici, usabilità, sicurezza e qualità del servizio. In caso di ritardi rilevanti o di aggiornamenti tecnici costosi, deve informare il Parlamento europeo e il Consiglio. Entro due anni dall’entrata in funzione della piattaforma, eu-LISA presenta una relazione tecnica alla Commissione, che a sua volta effettua una valutazione globale e la trasmette al Parlamento europeo e al Consiglio; relazioni analoghe sono previste con cadenza annuale e quadriennale. Entro 18 mesi dall’entrata in funzione, la Commissione deve inoltre valutare l’opportunità di un collegamento con SIENA, previa consultazione di Europol e del gruppo consultivo.

Modifiche al regolamento (UE) 2018/1726 e entrata in vigore

Il regolamento modifica il regolamento (UE) 2018/1726 attribuendo a eu-LISA la responsabilità dello sviluppo e della gestione operativa della piattaforma e introducendo un nuovo articolo 8 quater sui compiti relativi alla piattaforma di collaborazione per le SIC. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. La data di entrata in funzione della piattaforma è fissata dalla Commissione dopo l’adozione degli atti di esecuzione e il collaudo generale con dati anonimi, e non può essere successiva al 7 dicembre 2025.