Regolamento (UE) 2024/868

Allineamento del SID alle norme UE sulla protezione dei dati

La decisione 2009/917/GAI è modificata per conformare il SID alla direttiva (UE) 2016/680 e ai regolamenti (UE) 2018/1725, 2016/794 e 2018/1727. Il sistema deve rispettare i principi di limitazione delle finalità, necessità e proporzionalità, sicurezza dei dati, protezione rafforzata per categorie particolari di dati e condizioni per il successivo trattamento.

Finalità del sistema informativo doganale

L’articolo 1, paragrafo 2, è sostituito: il SID serve ad aiutare le autorità competenti degli Stati membri a prevenire, ricercare e perseguire i reati ai sensi delle leggi nazionali, rendendo più rapidamente disponibili i dati e più efficaci le procedure di cooperazione e controllo delle amministrazioni doganali.

Definizioni e categorie di dati

L’articolo 2 è aggiornato per rinviare alla definizione di "dati personali" della direttiva (UE) 2016/680 e per introdurre la nozione di "autorità nazionale di controllo". L’articolo 3 precisa che il SID è una banca dati centrale accessibile tramite terminali in ogni Stato membro e che contiene solo i dati necessari al suo scopo.

Limiti ai dati inseribili e divieto di categorie particolari

L’articolo 4 stabilisce che gli Stati membri determinano gli elementi da inserire nel SID solo nella misura necessaria al suo scopo; nella categoria di cui all’articolo 3, paragrafo 1, lettera e), non possono in alcun caso figurare dati personali. È vietato inserire nel SID le categorie particolari di dati personali di cui all’articolo 10 della direttiva (UE) 2016/680.

Condizioni per l’inserimento di dati personali

Ai sensi dell’articolo 5, paragrafo 2, i dati personali possono essere inseriti nel SID solo se vi sono motivi ragionevoli, in particolare sulla base di precedenti attività illecite, per ritenere che la persona interessata abbia commesso, stia commettendo o intenda commettere un reato ai sensi delle leggi nazionali.

Utilizzo, accesso e trasferimenti dei dati

L’articolo 8 disciplina l’uso dei dati. Le autorità nazionali designate, Europol ed Eurojust possono trattare i dati personali ottenuti dal SID per lo scopo del sistema, previa autorizzazione dello Stato membro che ha inserito i dati e nel rispetto delle condizioni imposte; i dati non personali possono essere usati anche per altri scopi, inclusi quelli amministrativi, secondo le condizioni stabilite dallo Stato membro inserente. È inoltre consentito trasferire dati personali ad altre autorità nazionali, a paesi terzi e a organizzazioni internazionali o regionali solo con autorizzazione e nel rispetto del diritto applicabile; i dati non personali possono essere trasferiti più ampiamente secondo le condizioni fissate dallo Stato membro che li ha inseriti.

Rettifica, cancellazione e conflitti tra decisioni

L’articolo 13, paragrafo 5, prevede che le decisioni definitive di un tribunale o di altra autorità competente di uno Stato membro, relative a modifica, completamento, rettifica o cancellazione dei dati nel SID, siano eseguite reciprocamente dagli Stati membri. In caso di contrasto tra decisioni di Stati membri diversi, comprese quelle delle autorità nazionali di controllo, prevale la cancellazione dei dati da parte dello Stato membro che li ha inseriti.

Conservazione dei dati

L’articolo 14 sostituito prevede che i dati personali siano conservati solo per il tempo necessario al conseguimento della finalità del SID e comunque non oltre cinque anni, con una proroga eccezionale fino a due ulteriori anni se strettamente necessario nel singolo caso.

Archivio di identificazione dei fascicoli a fini doganali

L’articolo 15, paragrafo 3, impone a ciascuno Stato membro di comunicare agli altri Stati membri, a Europol, a Eurojust e al comitato di cui all’articolo 27 l’elenco dei reati punibili ai sensi della legislazione nazionale. L’elenco comprende solo reati punibili con pena detentiva o misura di sicurezza privativa della libertà non inferiore, nel massimo, a dodici mesi oppure con ammenda di almeno 15 000 EUR.

Regime applicabile al trattamento dei dati

L’articolo 20 chiarisce che, salvo diversa previsione, al trattamento da parte delle autorità nazionali designate si applicano le norme nazionali adottate ai sensi della direttiva (UE) 2016/680; alla Commissione si applica il regolamento (UE) 2018/1725; a Europol il regolamento (UE) 2016/794; a Eurojust il regolamento (UE) 2018/1727.

Soppressione di articoli e aggiornamento della governance

Sono soppressi gli articoli 22, 23, 24 e 25. L’articolo 26 è riscritto attribuendo al Garante europeo della protezione dei dati il compito di monitorare il trattamento da parte della Commissione, di effettuare almeno ogni cinque anni un controllo e di cooperare con le autorità nazionali per il controllo coordinato del funzionamento del SID.

Comitato, controlli e sicurezza del sistema

L’articolo 27, paragrafo 2, lettera a), è aggiornato per includere l’attuazione e la corretta applicazione della decisione, fatti salvi i poteri delle autorità di controllo. L’articolo 28 introduce ulteriori requisiti di sicurezza: possibilità di ripristino dei sistemi in caso di interruzione, corretto funzionamento, segnalazione degli errori e prevenzione di alterazioni dei dati personali dovute a malfunzionamenti. Il comitato controlla almeno l’1% delle interrogazioni del SID; la registrazione di ricerche e controlli è conservata solo per tale finalità ed è cancellata dopo sei mesi.

Responsabilità dell’amministrazione doganale competente

L’articolo 29 stabilisce che l’amministrazione doganale competente è responsabile delle misure di sicurezza relative ai terminali nel territorio dello Stato membro, delle funzioni di riesame di cui agli articoli 14 e 19 e della corretta attuazione della decisione nei limiti previsti dal diritto nazionale.

Riesame dei dati preesistenti e applicazione temporale

Entro il 9 ottobre 2025 gli Stati membri devono riesaminare i dati personali inseriti nel SID prima dell’8 aprile 2024 e, se necessario, aggiornarli o cancellarli per assicurarne la conformità alla decisione 2009/917/GAI come modificata. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile.