Regolamento (UE) 2025/1290

Oggetto e definizioni

L’articolo 1 stabilisce i requisiti necessari per l’interoperabilità tra il sistema centrale di trasmissione e scambio elettronico dei dati relativi alle spedizioni di rifiuti, i sistemi locali e altri software, nonché gli ulteriori requisiti tecnici e organizzativi per l’attuazione pratica della trasmissione e dello scambio elettronico. L’articolo 2 richiama le definizioni del regolamento (UE) 2024/1157 e introduce nozioni proprie, tra cui sistema centrale, sistema locale, software, sistema di ispezione, GUI, API, piattaforma eFTI, numero del documento di movimento, numero del documento di cui all’allegato VII, operatore, sito, autorità e giorno lavorativo.

Proprietà e responsabilità dei dati

L’articolo 3 attribuisce a ciascun utente la proprietà e la responsabilità dei dati, delle informazioni e dei documenti inseriti o generati nei sistemi. Le autorità competenti sono proprietarie e responsabili dei dati, delle informazioni e dei documenti inseriti o generati per loro conto da utenti autorizzati. Resta ferma l’applicazione del diritto nazionale sulla responsabilità delle persone che agiscono per conto di soggetti fisici o giuridici.

Dichiarazione delle modalità di accesso e limiti dei sistemi locali

L’articolo 4 impone alle autorità competenti di dichiarare alla Commissione, entro il 3 febbraio 2026, le modalità di accesso al sistema centrale per sé e per gli utenti che rappresentano gli operatori stabiliti nel loro Stato membro. La dichiarazione può essere rivista successivamente; la nuova disciplina di accesso si applica 20 giorni lavorativi dopo la trasmissione della dichiarazione riveduta, salvo data successiva indicata dall’autorità. Le autorità possono limitare l’uso del sistema locale a specifiche categorie di procedure previste dal regolamento, con conseguente disapplicazione di alcune prescrizioni tecniche del presente atto in relazione a tali ambiti.

Accesso degli utenti

L’articolo 5 distingue tra accesso tramite modalità indicate nella dichiarazione dell’autorità competente, accesso tramite GUI e accesso tramite API. Gli operatori che agiscono solo come vettore possono accedere tramite GUI o tramite piattaforma eFTI interconnessa con il sistema centrale via API. Le autorità coinvolte nelle ispezioni possono accedere tramite GUI, tramite sistema di ispezione o punto di accesso per le autorità via API, oppure tramite gate eFTI via API, se ricorrono i requisiti tecnici. È inoltre previsto l’accesso tramite API mediante software conformi, purché menzionati nella dichiarazione dell’autorità competente. Se l’autorità dichiara di usare un’API, i propri utenti possono comunque usare la GUI per configurare l’API e verificare l’interazione con il sistema centrale.

Registrazione di utenti, operatori e autorità

L’articolo 6 richiede che ciascun utente crei un account personale e possa rappresentare uno o più operatori, un’autorità competente, un’autorità coinvolta nelle ispezioni, o combinazioni di tali soggetti. Il sistema distingue utenti master e standard; i master possono aggiungere o rimuovere altri utenti. Ogni operatore deve avere almeno un utente master e ogni autorità almeno due utenti master. Gli articoli 7 e 8 disciplinano la registrazione degli operatori, dei siti e delle autorità: la registrazione avviene su richiesta, con verifica da parte dell’autorità competente o della Commissione entro 5 giorni lavorativi, con eventuale richiesta di informazioni aggiuntive e decisione entro ulteriori 3 giorni lavorativi. Sono previste regole specifiche per operatori di paesi terzi non collegati al sistema centrale e per autorità competenti di paesi terzi, nonché la necessità che il primo utente autorizzato sia master.

Identificazione di operatori e autorità

L’articolo 9 impone ai sistemi e ai software di identificare gli operatori tramite un numero di identificazione principale. Per gli operatori registrati a fini doganali, il numero EORI è il numero principale; entro il 3 febbraio 2026 gli Stati membri comunicano alla Commissione e agli operatori quale numero usare per gli altri operatori stabiliti nel loro territorio, nonché i numeri di registrazione richiesti. Le autorità competenti sono identificate tramite codici specifici assegnati dal sistema centrale, unici e composti da codice paese ISO 3166-1 alpha-2 seguito da due cifre numeriche. È ammessa anche l’identificazione tramite altri numeri di identificazione.

Ruoli operativi e processo di prova dell’interoperabilità

L’articolo 10 elenca i ruoli che i sistemi devono consentire: autorità competente di spedizione, transito o destinazione; produttore di rifiuti; notificatore; vettore; destinatario; impianto che riceve i rifiuti; persona che organizza la spedizione; autorità coinvolta nelle ispezioni. L’articolo 11 prevede un processo di prova per i sistemi locali, che devono poter eseguire le operazioni dell’allegato II e, se l’accesso avviene via API, tutte le operazioni pertinenti secondo il ruolo esercitato. Le prove devono essere completate almeno 25 giorni lavorativi prima dell’uso dell’API; solo dopo esito positivo gli utenti passano dall’accesso GUI all’API secondo la dichiarazione dell’autorità, con obbligo decorso 25 giorni lavorativi dalla conferma scritta alla Commissione, salvo data successiva indicata. I software e i sistemi di ispezione possono anch’essi essere testati.

Protocollo di scambio dati e allegati

L’articolo 12 prescrive che i sistemi locali e i software usino il protocollo di scambio dati di cui all’allegato II per le operazioni pertinenti. L’articolo 13 limita lo scambio di allegati ai formati pdf o jpeg, con dimensione massima di 32 MB per singolo allegato. L’allegato II dettaglia le operazioni applicative per notifica, richieste e risposte di informazioni, conferme, decisioni, modifiche, richieste di ripresa, annullamenti, gestione di allegati, creazione e aggiornamento di operatori e recupero delle informazioni.

Autenticazione dei documenti e audit trail

L’articolo 14 obbliga tutti i sistemi e i software a richiedere l’autenticazione di specifici documenti e azioni: notifiche, documenti di movimento, richieste di modifica, richieste e risposte di informazioni, conferme di ricevimento, documenti di cui all’allegato VII, conferme del vettore, certificati di completamento e conferme relative agli impianti. L’autenticazione deve registrare data e ora, identità dell’utente e ruolo. Le informazioni devono essere scambiate secondo il protocollo e conservate nei log di audit, che devono essere messi a disposizione delle autorità su richiesta.

Numerazione univoca di notifiche, documenti di movimento e allegato VII

L’articolo 15 disciplina la generazione dei numeri di notifica, dei numeri dei documenti di cui all’allegato VII e dei numeri dei documenti di movimento. Il numero di notifica, per spedizioni che iniziano nell’Unione, deve essere unico, preceduto dal codice dell’autorità competente di spedizione, contenere le ultime due cifre dell’anno, essere di 12 caratteri e, se generato nel sistema centrale, terminare con la lettera "i". Il numero del documento di cui all’allegato VII è composto dal prefisso "GLW", dal codice paese di spedizione separato da un punto e dalle ultime due cifre dell’anno, per un totale di 16 caratteri. Il numero del documento di movimento inizia con il numero di notifica, seguito dal numero di serie del documento di movimento separati da un punto; il numero di serie è di 6 cifre. I numeri non possono essere riutilizzati, neppure in caso di annullamento o invalidazione.

Impianti titolari di autorizzazione preventiva

L’articolo 16 impone ai sistemi di consentire alle autorità competenti di trasmettere e rendere disponibili informazioni sugli impianti titolari di autorizzazione preventiva: identificazione dell’impianto e dell’operatore, sito, codici R, codici dei rifiuti e quantitativi autorizzati, validità, eventuale revoca e copia della decisione. I notificatori possono indicare che una spedizione è destinata a tale tipo di impianto; in tal caso si applicano le procedure speciali previste dal regolamento (UE) 2024/1157, salvo rifiuto motivato dell’autorità competente.

Funzionalità dei sistemi

L’articolo 17 prevede varie funzioni di controllo: divieto di talune conferme quando il destinatario coincide con l’impianto, gestione di più voci per vettori, produttori, codici di rifiuti, codici doganali, tipi di imballaggio, caratteristiche fisiche, operazioni D/R e paesi/autorità di transito, nonché per numeri di registrazione e altri identificativi degli operatori. I sistemi devono richiedere una conferma di ricevimento distinta per ciascun documento di movimento e verificare la corrispondenza tra i dati del documento di movimento e quelli della notifica. Sono previste regole sul numero massimo di documenti di movimento generabili, sull’uso di un solo "1" per spedizioni uniche e sul rispetto dei quantitativi autorizzati. La disposizione disciplina inoltre l’aggiornamento delle decisioni e la gestione delle modifiche post-autorizzazione, con approvazione da parte di tutte le autorità competenti interessate.

Accesso alle informazioni e conservazione

L’articolo 18 disciplina i diritti di accesso: ogni operatore accede ai dati che ha trasmesso o gestisce; i soggetti coinvolti nelle diverse funzioni hanno accesso ai dati relativi alle spedizioni in cui sono coinvolti; le autorità coinvolte nelle ispezioni hanno accesso a tutti i dati e possono conservarli ai fini dell’applicazione della legge secondo il diritto nazionale. Sono inoltre visualizzati i termini procedurali e i giorni trascorsi dalla loro scadenza. L’articolo 19 impone la conservazione di tutte le informazioni e i documenti scambiati secondo l’articolo 20 del regolamento (UE) 2024/1157, compresi gli aggiornamenti successivi.

Sincronizzazione, sicurezza e qualità dei dati

L’articolo 20 richiede uno scambio reciproco di dati tra il sistema centrale e i sistemi locali o i software, con sincronizzazione dopo ciascuna operazione rilevante e comunque almeno ogni 12 ore; tale obbligo non si applica ai sistemi di ispezione e ai software che estraggono solo informazioni. Gli articoli 21, 22 e 23 impongono rispettivamente adeguati livelli di sicurezza e cibersicurezza, meccanismi di governance e qualità dei dati, e protezione della riservatezza contro accessi non autorizzati, perdite o danneggiamenti accidentali.

Conservazione dei dati personali

L’articolo 24 disciplina termini specifici di conservazione dei dati personali: cinque anni dalla trasmissione del certificato nei casi ordinari di notifica e di documento di cui all’allegato VII, e dieci anni dalla trasmissione della notifica o cinque anni dalla trasmissione del documento di cui all’allegato VII se il certificato non è rilasciato entro un anno dalla scadenza dei termini. Se non tutte le autorità competenti hanno autorizzato la notifica, i dati personali sono conservati per cinque anni dalla trasmissione. Per le autorità coinvolte nelle ispezioni, la conservazione ai fini dell’applicazione della legge dura solo il tempo necessario secondo la legislazione nazionale.

Trattamento dei dati personali e titolarità del trattamento

L’articolo 25 consente il trattamento dei dati personali nei sistemi e nei software per perseguire gli obiettivi del regolamento (UE) 2024/1157, in particolare per la tutela dell’ambiente e della salute umana e per l’adozione di decisioni e misure di esecuzione. Sono individuate le categorie di interessati e di dati personali trattabili, limitate a informazioni anagrafiche, contatti, firma, incarico e numero di identificazione, a seconda dei ruoli. Le autorità competenti degli Stati membri e, se del caso, dei paesi terzi sono titolari del trattamento ai sensi del GDPR; la Commissione è titolare del trattamento ai sensi del regolamento (UE) 2018/1725 per finalità di pubblicazione, statistiche, relazioni e esercizio dei poteri di ispezione.

Obblighi degli Stati membri e della Commissione

L’articolo 26 impone alle autorità competenti di trasmettere alla Commissione, entro il 3 giugno 2026, l’elenco degli impianti con autorizzazione preventiva rilasciata ai sensi del previgente regolamento (CE) n. 1013/2006, con dati identificativi, autorizzativi e copia della decisione. Le autorità devono inoltre informare tempestivamente gli operatori sul contenuto della dichiarazione di accesso, sull’obbligo di usare la GUI in una certa data e sull’eventuale passaggio all’uso del sistema locale dopo le prove positive, e fornire i contatti del helpdesk. La Commissione deve pubblicare sul proprio sito le informazioni sulle dichiarazioni delle autorità, sui codici di identificazione principali da usare, sugli obblighi di accesso e sui punti di contatto, nonché offrire formazione alle autorità e assistenza tecnica agli operatori.

Entrata in vigore e applicazione

L’articolo 28 prevede l’entrata in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Il regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.