Regolamento (UE) 2021/1224

Servizio web del sistema di ingressi/uscite (EES): regole tecniche, autenticazione e protezione dei dati

Il regolamento di esecuzione (UE) 2021/1224 della Commissione aggiorna e sostituisce la precedente disciplina del servizio web collegato al sistema di ingressi/uscite istituito dal regolamento (UE) 2017/2226. La finalità è rendere operativo, in modo uniforme e sicuro, lo strumento informatico che consente ai vettori di verificare se un visto di breve durata sia già stato utilizzato e ai cittadini di paesi terzi di controllare i giorni di soggiorno ancora disponibili.

Il testo si colloca nel più ampio quadro Schengen e tiene conto dell’interazione con il regolamento (UE) 2018/1240 (ETIAS), nonché della necessità di ridurre gli oneri amministrativi per vettori e viaggiatori, garantendo al contempo protezione dei dati, sicurezza e tracciabilità delle operazioni.

Ambito soggettivo e territoriale

Il regolamento riguarda in primo luogo i vettori aerei, marittimi e internazionali con trasporti di gruppo in autopullman verso il territorio degli Stati membri. Il loro obbligo consiste nell’utilizzare l’interfaccia per i vettori per verificare, prima dell’imbarco o della partenza, l’utilizzo degli ingressi autorizzati dal visto del passeggero.

Il servizio web è inoltre accessibile ai cittadini di paesi terzi per il calcolo dei giorni residui di soggiorno autorizzato. L’applicazione concreta del regolamento è collegata agli Stati membri in cui il sistema di ingressi/uscite è operativo; il testo richiama anche le specificità relative a Danimarca, Irlanda, Islanda, Norvegia, Svizzera, Liechtenstein, Bulgaria, Romania, Cipro e Croazia nei considerando, secondo i rispettivi regimi di partecipazione all’acquis di Schengen.

Definizioni rilevanti

Ai fini dell’atto assumono rilievo tre concetti principali:

• l’"interfaccia per i vettori", cioè il servizio web sviluppato da eu-LISA per le finalità dell’articolo 13, paragrafo 3, del regolamento (UE) 2017/2226, collegato a una banca dati a sola lettura;
• gli "orientamenti tecnici", che costituiscono la parte delle specifiche tecniche rilevante per i vettori;
• il "personale debitamente autorizzato", vale a dire le persone incaricate dal vettore di svolgere le verifiche per suo conto.

Obblighi dei vettori e modalità di utilizzo

I vettori devono avviare un’interrogazione di verifica tramite l’interfaccia per i vettori e devono farlo con un anticipo non superiore a 48 ore rispetto all’orario di partenza programmato. Devono inoltre garantire che l’accesso sia riservato esclusivamente al personale autorizzato e adottare misure organizzative e tecniche minime, tra cui:

• controllo degli accessi fisici e logici;
• autenticazione degli utenti;
• registrazione degli accessi per finalità di tracciabilità;
• revisione periodica dei diritti di accesso.

La connessione all’interfaccia può avvenire tramite rete dedicata o Internet. L’accesso operativo può essere effettuato tramite:

• interfaccia sistema-sistema (API);
• browser;
• applicazione per dispositivi mobili.

Dati richiesti per le interrogazioni e regole di risposta

Per avviare la verifica, il vettore deve inserire un insieme dettagliato di dati del viaggiatore: identità, dati anagrafici, cittadinanza, documenti di viaggio, scadenza del documento, data prevista di arrivo, Stato membro o aeroporto di ingresso previsto e dettagli del mezzo di trasporto. Se l’itinerario richiede un visto per ingresso doppio, il vettore deve indicarlo espressamente. Per l’inserimento di alcuni dati è consentita la scansione della zona a lettura ottica del documento di viaggio.

Il sistema deve anche consentire di indicare che il passeggero non rientra nell’ambito del regolamento (UE) 2017/2226 o che è in transito aeroportuale. In tali casi la risposta è "non applicabile". Negli altri casi la risposta è "OK" oppure "non OK". Il regolamento disciplina in modo puntuale i criteri di risposta in relazione a:

• visto uniforme per soggiorno di breve durata;
• obbligo del visto senza dati disponibili;
• visto per ingresso doppio;
• casi in cui il viaggiatore è esente dall’obbligo del visto o rientra nell’ETIAS, per i quali si applica il regolamento di esecuzione (UE) 2021/1217.

Formati dei messaggi e scambio dati

eu-LISA deve definire negli orientamenti tecnici i formati e la struttura dei messaggi usati per trasmettere interrogazioni e risposte. Il regolamento richiede almeno il supporto dei formati UN/EDIFACT, PAXLST/CUSRES, XML e JSON.

L’atto precisa anche che i dati relativi ai visti di breve durata e alle autorizzazioni di viaggio rilasciate, annullate o revocate sono estratti automaticamente, a intervalli regolari, dal sistema di informazione visti, dall’ETIAS e dall’EES e trasmessi alla banca dati a sola lettura. Ogni estrazione deve essere registrata, e eu-LISA è responsabile della sicurezza del servizio web, dei dati personali contenuti e dell’intero processo di estrazione e trasmissione. È vietato il flusso inverso di dati dalla banca dati a sola lettura verso l’EES o il sistema visti.

Metodo di autenticazione, registrazione e cancellazione dei vettori

eu-LISA deve sviluppare un metodo di autenticazione coerente con la gestione del rischio di sicurezza e con i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita. Il metodo deve inoltre consentire di tracciare il soggetto che avvia l’interrogazione di verifica. Se l’accesso avviene tramite API, l’autenticazione deve essere reciproca.

I vettori che operano e trasportano passeggeri nel territorio degli Stati membri devono registrarsi prima di poter accedere al metodo di autenticazione. La registrazione avviene tramite un modulo online pubblicato da eu-LISA e richiede dati societari, contatti, informazioni sul rappresentante legale, indicazioni sull’eventuale documento ufficiale di iscrizione e sugli Stati membri in cui il vettore opera o intende operare. Il modulo impone inoltre dichiarazioni sul rispetto dei requisiti minimi di sicurezza e sul fatto che solo personale autorizzato avrà accesso all’interfaccia.

Il regolamento prevede anche l’obbligo di aggiornare eu-LISA in caso di modifiche rilevanti, la cancellazione automatica dopo un anno di inutilizzo e la possibilità di esclusione in caso di violazioni, abuso dell’interfaccia o mancato rispetto dei requisiti di sicurezza. In caso di problemi di sicurezza urgenti, eu-LISA può disconnettere immediatamente il vettore. È inoltre previsto un preavviso di un mese e la possibilità di presentare osservazioni scritte prima della cancellazione, salvo le ipotesi di urgenza informatica.

Sviluppo, collaudo e connessione operativa

Per consentire ai vettori di sviluppare e testare i propri sistemi, eu-LISA deve mettere a disposizione gli orientamenti tecnici, un piano di collaudo, un ambiente di collaudo e un simulatore. Se il vettore usa l’API, vengono verificati il formato del messaggio e il metodo di autenticazione; se usa browser o app mobile, deve notificare di avere completato con successo il collaudo e di aver formato adeguatamente il personale autorizzato.

eu-LISA collega il vettore all’interfaccia per i vettori solo dopo la registrazione corretta e il completamento dei collaudi richiesti, oppure dopo la notifica di collaudo e formazione nei casi di accesso tramite browser o applicazione mobile.

Impossibilità tecnica e assistenza ai vettori

Se sia tecnicamente impossibile avviare un’interrogazione di verifica a causa del guasto di una componente dell’EES, il regolamento rinvia mutatis mutandis all’articolo 13 del regolamento di esecuzione (UE) 2021/1217. Lo stesso rinvio vale per l’assistenza ai vettori in relazione alle richieste di supporto connesse al sistema di ingressi/uscite.

Servizio web per i cittadini di paesi terzi

L’articolo 15 disciplina l’accesso al servizio web da parte dei cittadini di paesi terzi per verificare i giorni rimanenti di soggiorno autorizzato. L’utente deve indicare lo Stato membro di destinazione e inserire i dati del documento di viaggio; può inoltre indicare facoltativamente la data prevista di ingresso o di uscita. Il servizio fornisce tre possibili esiti: "OK" con il numero di giorni residui, "non OK" con zero giorni, oppure "non disponibile".

Il calcolo varia a seconda che vi sia o meno un periodo transitorio ai sensi dell’articolo 22 del regolamento (UE) 2017/2226 e tiene conto di numerose ipotesi: mancanza di dati nel sistema, superamento del soggiorno autorizzato, visto mancante o non valido, autorizzazione di viaggio mancante o non valida, e limiti derivanti dalla scadenza del visto o dell’autorizzazione di viaggio. Il servizio deve inoltre mostrare avvertenze e informazioni aggiuntive, tra cui l’elenco degli Stati membri, l’esclusione di responsabilità e la precisazione che la risposta non equivale a una decisione di ingresso nello spazio Schengen.

Abrogazione, decorrenza e applicazione

La decisione di esecuzione C(2019)1230 è abrogata. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in tutti gli Stati membri, conformemente ai Trattati.