Regolamento (UE) 2023/332

Regolamento delegato (UE) 2023/332: determinazione dei casi in cui i dati di identità sono identici o simili ai fini dell’individuazione di identità multiple

Il regolamento delegato completa il regolamento (UE) 2019/818 nel quadro dell’interoperabilità tra i sistemi di informazione dell’UE. La sua funzione è definire criteri uniformi per stabilire quando i dati di identità registrati in sistemi diversi debbano essere trattati come identici o simili, così da migliorare l’efficacia del rilevatore di identità multiple e ridurre i casi che richiedono verifica manuale.

Contesto e finalità

Dai considerando emerge che il rilevatore di identità multiple crea collegamenti tra fascicoli presenti in diversi sistemi di informazione UE, al duplice scopo di agevolare le verifiche di identità dei viaggiatori in buona fede e di contrastare la frode d’identità. Il sistema genera collegamenti automatizzati di colore bianco, quando i dati sono considerati identici o simili, e giallo, quando i dati non possono essere considerati simili e serve un controllo manuale. Proprio per limitare gli oneri per le persone interessate, per le autorità nazionali e per le agenzie dell’Unione, il regolamento disciplina preventivamente i casi in cui i dati vanno qualificati come identici o simili.

Ambito di applicazione

Le regole si applicano ai confronti tra dati di identità contenuti nei sistemi di informazione dell’UE coinvolti nell’interoperabilità: SIS, EES, ETIAS, ECRIS-TCN e VIS, nei limiti delle categorie di dati indicate nell’articolo 1 e negli allegati. Il regolamento si colloca nel settore Schengen e, secondo i considerando, costituisce uno sviluppo dell’acquis di Schengen; per tale ragione si applicano le specifiche posizioni di Danimarca, Irlanda, Islanda, Norvegia, Svizzera, Liechtenstein, Cipro, Bulgaria, Romania e Croazia. Il testo è direttamente applicabile negli Stati membri e obbligatorio in tutti i suoi elementi.

Definizioni rilevanti

L’articolo 1 definisce anzitutto i "dati di identità", cioè le specifiche informazioni anagrafiche e identificative utilizzate nei vari sistemi: cognome, nome o nomi, data di nascita, cittadinanza o cittadinanze, sesso/genere, luogo di nascita, alias e varianti correlate, secondo il sistema interessato. Viene inoltre definito il concetto di "uguale" come corrispondenza del 100 % tra i dati di due sistemi, eventualmente previa conversione-armonizzazione del formato, e la "traslitterazione" come passaggio di un testo da un alfabeto a un altro secondo regole predeterminate.

Dati di identità considerati identici

L’articolo 2 rinvia all’allegato I, che stabilisce i casi in cui i dati sono considerati identici. In sintesi, per concludere che due record di sistemi diversi siano identici occorre che coincidano cumulativamente le condizioni relative a:

• nomi;
• data di nascita;
• genere;
• cittadinanze e luogo di nascita. Per la categoria "cittadinanze e luogo di nascita" è sufficiente che almeno un campo della categoria coincida, compresa almeno una cittadinanza. Nel SIS, l’allegato distingue inoltre tra "identità confermata", "identità non confermata", "alias" e "identità usurpata", precisando che i dati di alias includono le categorie di identità non confermata, alias e identità usurpata.

Dati di identità considerati simili

L’articolo 3 rinvia all’allegato II, che contiene un elenco esaustivo dei casi di similitudine. Per i nomi, i dati sono considerati simili in presenza, tra l’altro, di traslitterazioni conosciute, inversioni di cognome e nome, nome e cognome raggruppati nello stesso campo, inversioni dell’ordine di parole o lettere, singole modifiche di carattere, differenze dovute a trattini, virgole o apostrofi, e troncamenti.

Per la data di nascita, sono considerate similitudini le ipotesi di inversione tra giorno e mese, differenze dovute a conversioni tra calendari diversi e casi in cui basta una sola modifica di carattere per ottenere coincidenza. Per la categoria cittadinanze/luogo di nascita, la similitudine può derivare da traslitterazioni conosciute, da una sola modifica di carattere o da casi noti di cambiamento di denominazione di cittadinanze, paesi o città.

Ruolo di eu-LISA e gestione algoritmica

L’allegato II prevede che eu-LISA, assistita e consigliata dal gruppo consultivo sull’interoperabilità, applichi le regole tramite un algoritmo, previa consultazione della Commissione e del sottogruppo sull’interoperabilità del gruppo di esperti sui sistemi di informazione per le frontiere e la sicurezza. eu-LISA deve monitorare l’impatto dell’algoritmo e riferire periodicamente al gruppo di esperti. Se necessario per ridurre i collegamenti gialli che dovranno essere trasformati in bianchi dalle autorità competenti, la Commissione può chiedere ad eu-LISA di adeguare l’algoritmo, dando priorità ai collegamenti gialli creati tra dati di identità più simili. Il rilevatore deve comunque verificare sempre i dati in base a tutte le norme della sezione 3.

Registrazioni, conservazione e monitoraggio

L’articolo 4 disciplina le registrazioni conservate nell’archivio comune di dati di identità. Tali registrazioni devono contenere almeno:

• data e ora della registrazione;
• risultato del confronto, con indicazione dei dati considerati identici o simili;
• colore del collegamento dopo il confronto automatizzato;
• colore del collegamento dopo l’eventuale trattamento manuale successivo a un collegamento giallo;
• modifiche dei collegamenti, anche quando i dati sono stati considerati simili. Le registrazioni sono conservate per un periodo massimo di un anno dal confronto e poi soppresse automaticamente. Servono anche per produrre relazioni automatiche sulle attività e per sostenere e monitorare l’esattezza del confronto tra i sistemi d’informazione dell’UE.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell’Unione europea. È obbligatorio in tutti i suoi elementi e direttamente applicabile negli Stati membri conformemente ai trattati.

Implicazioni pratiche per gli operatori

Per gli operatori giuridici e amministrativi, il testo è rilevante perché standardizza i criteri tecnici che attivano i collegamenti tra identità nei sistemi UE, con effetti diretti sulla qualità dei controlli, sulla gestione dei falsi positivi e sugli adempimenti di conservazione e audit. Il regolamento ha quindi impatto sia sull’operatività delle autorità competenti sia sul trattamento dei dati personali nei sistemi interoperabili dell’Unione.