Regolamento (UE) 2021/2223

Modalità di funzionamento dell’archivio centrale di relazioni e statistiche

Il regolamento delegato integra il regolamento (UE) 2019/817, che istituisce il quadro per l’interoperabilità tra i sistemi di informazione dell’UE nel settore frontiere e visti. La finalità è definire le modalità tecniche e operative dell’archivio centrale di relazioni e statistiche, strumento destinato a fornire dati aggregati e relazioni analitiche per finalità strategiche, operative e di qualità dei dati, garantendo al contempo elevati standard di anonimizzazione, sicurezza e controllo degli accessi.

Ambito e finalità dell’archivio centrale

L’archivio centrale è una componente dell’architettura di interoperabilità e conserva solo dati anonimizzati estratti dai sistemi di informazione UE sottostanti e dalle componenti dell’interoperabilità. Il considerando evidenzia che l’archivio serve a produrre statistiche intersistemiche e relazioni analitiche, mentre eu-LISA è incaricata di istituirlo, attuarlo, ospitarlo e gestirlo operativamente. Il regolamento precisa che il personale di eu-LISA non deve avere accesso diretto ai dati personali conservati nei sistemi di informazione dell’UE o nelle componenti dell’interoperabilità.

Definizioni rilevanti

L’articolo 1 chiarisce nozioni centrali per l’applicazione del testo. I "dati statistici" sono dati anonimizzati utilizzati esclusivamente per l’elaborazione di relazioni statistiche previste dai regolamenti richiamati. Le "relazioni (statistiche)" sono raccolte organizzate di tali dati prodotte automaticamente dall’archivio centrale secondo regole predefinite; le "relazioni personalizzabili" sono invece elaborate su richiesta dell’utente secondo regole ad hoc e conservate nell’archivio centrale. Sono inoltre individuati i "dati di identità critici", cioè i dati potenzialmente identificativi da anonimizzare, tra cui nome, alias, numero del documento di viaggio, indirizzo, telefono, indirizzo IP, email e dati biometrici.

Dati e relazioni conservati nell’archivio

L’articolo 2 disciplina il contenuto dell’archivio centrale. Vi confluiscono i dati di cui all’articolo 39, paragrafo 2, del regolamento (UE) 2019/817, nonché dati statistici, relazioni sull’uso del sistema per il monitoraggio delle componenti dell’interoperabilità e relazioni tecniche per il monitoraggio dello sviluppo e del funzionamento delle componenti stesse, ai sensi dell’articolo 78, paragrafo 1, del regolamento (UE) 2019/817. L’archivio conserva anche un numero di riferimento univoco per seguire le corrispondenze incrociate di fascicoli di identità all’interno dei sistemi o tra essi, ma tale numero non può essere utilizzato per recuperare i fascicoli sottostanti.

Sul piano sostanziale, l’archivio deve consentire al personale autorizzato di ottenere relazioni e statistiche relative a diversi sistemi e basi giuridiche, tra cui:

• sistema di ingressi/uscite (EES): ingressi, uscite, respingimenti, soggiorni fuoritermine, statistiche giornaliere sui soggiornanti fuoritermine e sui cittadini di paesi terzi respinti, revoca o proroga dell’autorizzazione di soggiorno, esenzioni dall’obbligo di rilevamento delle impronte digitali, qualità dei dati e monitoraggio dello sviluppo del sistema;
• ETIAS: statistiche giornaliere sulle autorizzazioni di viaggio rilasciate o rifiutate, con indicazione dei motivi del rifiuto, dati su annullamenti e revoche, statistiche per il miglioramento della valutazione dei rischi di sicurezza, immigrazione illegale e rischio epidemico, dati sull’elenco di controllo ETIAS e monitoraggio dello sviluppo e funzionamento del sistema;
• statistiche sui tassi anormali di soggiornanti fuoritermine, respingimenti e rifiuti di autorizzazioni di viaggio per specifici gruppi di viaggiatori, nonché correlazioni tra dati della domanda ETIAS e soggiornanti fuoritermine o respingimenti;
• statistiche sui rimpatri ai sensi del regolamento (UE) 2018/1860, con dati giornalieri, mensili e annuali per categoria di segnalazione, per Stato membro e su base aggregata;
• statistiche SIS ai sensi dei regolamenti (UE) 2018/1861 e 2018/1860, incluse registrazioni per categoria di segnalazione, riscontri positivi, interrogazioni, accessi per inserimento/aggiornamento/cancellazione, relazioni aggiuntive richieste dalla Commissione o dall’Agenzia europea della guardia di frontiera e costiera, dati per manutenzione tecnica, qualità dei dati e problemi di qualità.

Le relazioni tecniche devono contenere statistiche su uso del sistema, disponibilità, incidenti, capacità operativa, esattezza dei dati biometrici, qualità dei dati e, se del caso, operazioni pendenti. È inoltre previsto un catalogo di relazioni, mentre nuove relazioni o modifiche seguono la politica di gestione delle modifiche di eu-LISA.

Architettura tecnica, estrazione e anonimizzazione

L’articolo 3 prevede che l’archivio centrale sia implementato tramite una soluzione tecnica che ospita i dati estratti dai sistemi sottostanti e dalle componenti dell’interoperabilità. Tale soluzione deve includere uno strumento di reportistica capace di creare, conservare ed eseguire le relazioni e le relazioni personalizzabili, nonché di generare e recuperare relazioni di attività e relazioni tecniche. Tutte le relazioni sono gestite nell’ambito della stessa soluzione tecnica, che deve integrare misure di sicurezza e integrità adeguate al piano di sicurezza di cui all’articolo 42, paragrafo 3, del regolamento (UE) 2019/817. La soluzione deve essere realizzata sia presso il sito tecnico di eu-LISA sia presso il sito di riserva.

L’articolo 4 stabilisce che i dati sono ottenuti dai sistemi di informazione dell’UE mediante copie in sola lettura, con estrazione unidirezionale, periodica e almeno giornaliera. L’articolo 5 impone che tali dati siano resi anonimi da uno strumento automatizzato prima della conservazione e che solo i dati anonimizzati restino nell’archivio centrale; l’anonimizzazione è irreversibile.

Accesso, profili utente e registrazione delle operazioni

L’articolo 6 disciplina in dettaglio l’accesso. L’accesso al personale autorizzato è concesso e gestito secondo i regimi previsti dai regolamenti EES, ETIAS, SIS e rimpatri. L’archivio è accessibile a Stati membri, Commissione e agenzie dell’Unione tramite connessione protetta TESTA, ma soltanto il personale debitamente autorizzato delle autorità competenti può utilizzare lo strumento di reportistica. Le autorità competenti accedono mediante profili di utente, tenuti da eu-LISA; un’autorità può avere più profili in funzione dei propri diritti di accesso.

Ogni accesso è registrato e deve contenere almeno:

• marcatura temporale;
• autorità;
• tipo di relazione richiesta.

I log che consentono di identificare gli utenti che hanno avuto accesso sono conservati a livello nazionale e presso Commissione, Agenzia europea della guardia di frontiera e costiera ed Europol; eu-LISA conserva il log di tutte le operazioni di accesso. La conservazione dei log nell’archivio centrale dura un anno, dopo di che essi sono cancellati automaticamente. Il testo richiede inoltre l’individuazione di ruoli contrastanti e l’applicazione dei principi di necessità di conoscere, privilegio minimo e separazione delle funzioni. Le relazioni sulla qualità dei dati comprendono anche uno strumento che consente agli Stati membri di fornire feedback a eu-LISA sulle correzioni necessarie.

Protezione dei dati e responsabilità di eu-LISA

L’articolo 7 attribuisce a eu-LISA la qualifica di responsabile del trattamento, limitatamente all’anonimizzazione dei dati personali, ai sensi del regolamento (UE) 2018/1725. L’articolo 8 ribadisce che i dati conservati nell’archivio possono essere consultati unicamente per elaborare relazioni e statistiche e impone a eu-LISA di adottare le misure necessarie per garantire l’integrità dei dati, prevedendo la tracciabilità di ogni modifica ai fini dell’audit.

Entrata in vigore e applicabilità

L’articolo 9 dispone che il regolamento entri in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile negli Stati membri. Il preambolo precisa inoltre la posizione di Danimarca, Irlanda, Islanda, Norvegia, Svizzera, Liechtenstein, Cipro, Bulgaria, Romania e Croazia rispetto all’acquis di Schengen e agli strumenti di cooperazione collegati.