Regolamento (UE) 2019/816

Regolamento (UE) 2019/816: sistema centralizzato ECRIS-TCN per le condanne dei cittadini di paesi terzi

Il regolamento istituisce un meccanismo europeo centralizzato per individuare con rapidità quali Stati membri detengano informazioni sul casellario giudiziale di cittadini di paesi terzi, apolidi e, in parte, cittadini dell'Unione con doppia cittadinanza. L'obiettivo dichiarato è superare le criticità dell'attuale scambio "generalizzato" di richieste tra tutti gli Stati membri, rendendo più efficiente e completo l'accesso alle informazioni penali nel quadro della cooperazione giudiziaria. Il sistema ECRIS-TCN non sostituisce ECRIS, ma lo integra: una volta individuati gli Stati membri interessati, la richiesta di contenuto avviene tramite ECRIS secondo le regole della decisione quadro 2009/315/GAI.

Finalità e contesto

Il regolamento si colloca nello spazio di libertà, sicurezza e giustizia e risponde all'esigenza di assicurare che le precedenti condanne pronunciate in uno Stato membro siano considerate anche altrove, sia nel corso di nuovi procedimenti penali sia per finalità di prevenzione e controllo previste dal diritto nazionale. I considerando evidenziano che il sistema precedente non era adeguato rispetto alle richieste relative ai cittadini di paesi terzi, i cui dati non sono raccolti in uno Stato di cittadinanza ma solo negli Stati in cui sono state pronunciate le condanne. Da qui la scelta di un sistema che consenta all'autorità centrale di verificare rapidamente quali altri Stati membri siano in possesso di informazioni pertinenti.

Ambito soggettivo e definizioni rilevanti

L'ambito di applicazione riguarda il trattamento delle informazioni sull'identità di cittadini di paesi terzi condannati negli Stati membri, al fine di localizzare gli Stati membri in possesso delle corrispondenti informazioni giudiziarie. La disciplina si estende anche ai cittadini dell'Unione che possiedono simultaneamente la cittadinanza di un paese terzo, salvo una specifica eccezione relativa all'inserimento di impronte digitali prevista dall'articolo 5, paragrafo 1, lettera b), punto ii).

Tra le definizioni essenziali, il regolamento chiarisce che per "condanna" si intende la decisione definitiva di una giurisdizione penale riportata nel casellario giudiziale; per "autorità centrale" si intende quella designata ai sensi della decisione quadro 2009/315/GAI; per "sistema centrale" la banca dati gestita da eu-LISA; per "informazioni sull'identità" i dati alfanumerici, le impronte digitali e le immagini del volto. È inoltre definito il "riscontro positivo", cioè la corrispondenza tra dati contenuti nel sistema e dati usati per interrogare il sistema.

Architettura del sistema e ruolo di eu-LISA

ECRIS-TCN è composto da quattro elementi: un sistema centrale, un punto di accesso centrale nazionale in ciascuno Stato membro, un software di interfaccia e un'infrastruttura di comunicazione tra sistema centrale e punti nazionali. Il sistema centrale è ospitato da eu-LISA presso i propri siti tecnici. Il software di interfaccia è integrato con l'attuazione di riferimento ECRIS, ma gli Stati membri che utilizzano un proprio software nazionale ECRIS possono continuare a farlo, a condizione che esso sia tecnicamente conforme agli atti di esecuzione e ai requisiti fissati da eu-LISA.

Gli Stati membri che impiegano software nazionale sostengono i costi di sviluppo, manutenzione e interconnessione, salvo il software di interfaccia. Se uno Stato membro non è in grado di conformarsi agli obblighi tecnici, deve usare l'attuazione di riferimento ECRIS, compreso il software di interfaccia integrato.

eu-LISA è responsabile dello sviluppo e della gestione operativa di ECRIS-TCN secondo il principio della protezione dei dati fin dalla progettazione e per impostazione predefinita. L'Agenzia cura anche l'ulteriore sviluppo e la manutenzione dell'attuazione di riferimento ECRIS, definisce l'architettura fisica del sistema e coordina il progetto tramite un consiglio di gestione del programma e un gruppo consultivo tecnico.

Dati trattati e regole di inserimento

Per ogni cittadino di paese terzo condannato, l'autorità centrale dello Stato membro di condanna crea una registrazione nel sistema centrale. I dati obbligatori includono:

• cognome;
• nome o nomi;
• data di nascita;
• luogo di nascita (città e paese);
• cittadinanza o cittadinanze;
• sesso;
• nomi precedenti, se del caso;
• codice dello Stato membro di condanna.

Sono previsti inoltre dati facoltativi, come il nome dei genitori se già presenti nel casellario, e dati supplementari, come numero o tipo di documento di identità, autorità di rilascio, pseudonimi o alias. L'articolo 5 impone anche l'inserimento dei dati relativi alle impronte digitali rilevati conformemente al diritto nazionale nel corso di procedimenti penali. In termini minimi, gli Stati membri devono includere le impronte digitali almeno nei casi di condanna a pena detentiva di almeno sei mesi oppure per reati punibili con pena detentiva massima non inferiore a 12 mesi secondo il diritto nazionale.

Le registrazioni devono essere create, ove possibile, automaticamente e senza ingiustificato ritardo dopo l'iscrizione della condanna nel casellario nazionale. Per le condanne anteriori all'avvio del sistema, gli Stati membri devono comunque creare le registrazioni, nei limiti dei dati già detenuti nelle proprie banche dati nazionali. Le impronte digitali pregresse possono essere incluse solo se raccolte in procedimenti penali e se è possibile stabilire una chiara corrispondenza con le altre informazioni d'identità. Il regolamento consente di usare anche impronte digitali raccolte per finalità diverse dal procedimento penale, se il diritto nazionale ne autorizza l'uso in sede penale.

Immagini del volto e futuro ampliamento biometrico

Le immagini del volto possono essere inserite nella registrazione se il diritto dello Stato membro di condanna consente la raccolta e conservazione di tali immagini. In una prima fase, l'uso delle immagini del volto è limitato alla conferma dell'identità di una persona già identificata tramite dati alfanumerici o impronte digitali. La Commissione può adottare atti delegati per estendere l'uso delle immagini del volto all'identificazione dei cittadini di paesi terzi, ma solo dopo aver valutato disponibilità tecnologica, necessità e proporzionalità, anche alla luce degli sviluppi del riconoscimento facciale.

Consultazione del sistema e casi d'uso

Le autorità centrali devono usare ECRIS-TCN per individuare gli Stati membri in possesso di informazioni sul casellario giudiziale di un cittadino di paese terzo quando tali informazioni siano richieste in uno Stato membro per un procedimento penale o per altri fini previsti dal diritto nazionale. Il regolamento elenca tra questi fini la verifica del proprio casellario su richiesta dell'interessato, il rilascio di nulla osta di sicurezza, il rilascio di licenze o permessi, le indagini di sicurezza in ambito lavorativo o di volontariato a contatto con minori o persone vulnerabili, le procedure in materia di visti, cittadinanza, migrazione e asilo, nonché i controlli per appalti pubblici e concorsi pubblici.

In determinati casi, l'autorità che richiede le informazioni può decidere che l'uso del sistema non sia adeguato; ciò non vale, però, quando la richiesta proviene dall'interessato per il proprio casellario o quando è formulata per l'applicazione dell'articolo 10, paragrafo 2, della direttiva 2011/93/UE. Il regolamento consente anche di interrogare il sistema rispetto a cittadini dell'Unione per verificare se siano trattati come cittadini di paese terzo in ragione della loro doppia cittadinanza.

Quando vi è un riscontro positivo, il sistema comunica automaticamente quali Stati membri detengono informazioni e i numeri di riferimento associati, insieme alle corrispondenti informazioni d'identità. Tali informazioni devono servire soltanto per confermare l'identità e per inoltrare una richiesta tramite ECRIS o, per Eurojust/Europol/EPPO, per le richieste previste dai rispettivi strumenti istitutivi. In assenza di riscontro, il sistema lo comunica automaticamente all'autorità interrogante.

Accesso di Eurojust, Europol ed EPPO e rapporti con paesi terzi

Eurojust, Europol ed EPPO dispongono di accesso diretto a ECRIS-TCN per svolgere i rispettivi compiti istituzionali e individuare gli Stati membri in possesso di informazioni sulle condanne di cittadini di paesi terzi. Dopo un riscontro positivo, essi possono contattare le autorità nazionali degli Stati membri individuati per ottenere le informazioni secondo le procedure applicabili nei rispettivi strumenti giuridici.

L'articolo 17 disciplina il ruolo di Eurojust quale punto di contatto per i paesi terzi e le organizzazioni internazionali: tali soggetti possono chiedere, per fini di procedimento penale, quali Stati membri possano detenere informazioni sul casellario di un cittadino di paese terzo. Eurojust interroga ECRIS-TCN e, se vi è riscontro positivo, può comunicare il nome dello Stato membro solo con il suo consenso. L'articolo 18 vieta a Eurojust, Europol, EPPO e alle autorità centrali di trasmettere a paesi terzi, organizzazioni internazionali o soggetti privati informazioni ottenute tramite ECRIS-TCN, salvo il meccanismo specifico dell'articolo 17, paragrafo 3.

Conservazione, aggiornamento e cancellazione dei dati

Le registrazioni restano nel sistema centrale finché le relative condanne sono conservate nel casellario giudiziale nazionale. Alla scadenza del periodo di conservazione, l'autorità centrale dello Stato membro di condanna cancella la registrazione, comprese impronte digitali e immagini del volto; la cancellazione deve avvenire automaticamente, se possibile, e comunque entro un mese.

Gli Stati membri possono modificare o cancellare i dati che hanno inserito. Ogni variazione nel casellario giudiziale che abbia generato la registrazione deve comportare un corrispondente aggiornamento senza ingiustificato ritardo. Se uno Stato membro ritiene che i dati siano inesatti o trattati illecitamente, deve avviare immediatamente una verifica e, se necessario, rettificare o cancellare i dati. Se il problema è segnalato da uno Stato membro diverso da quello di condanna, quest'ultimo deve verificare, correggere o cancellare e informare senza ritardo lo Stato che ha sollevato la questione.

Sicurezza, responsabilità e sanzioni

Il regolamento contiene una disciplina molto dettagliata sulla sicurezza del sistema. eu-LISA deve adottare misure tecniche e organizzative adeguate, compresi un piano di sicurezza e di continuità operativa e ripristino in caso di disastro. Gli Stati membri devono assicurare la sicurezza dei dati prima e durante la trasmissione al punto di accesso centrale nazionale e al momento del ricevimento, proteggere le infrastrutture, impedire accessi non autorizzati, controllare e cifrare la trasmissione, mantenere profili del personale autorizzato e consentire la tracciabilità delle operazioni compiute nel sistema.

Sul piano della responsabilità, il regolamento prevede il diritto al risarcimento per danni materiali o non materiali subiti a causa di trattamenti illeciti o altri atti incompatibili con il regolamento. La responsabilità può ricadere sullo Stato membro responsabile del danno oppure su eu-LISA se non ha adempiuto ai propri obblighi. Sono inoltre disciplinate le responsabilità per danni causati a ECRIS-TCN dagli Stati membri, da Eurojust, Europol o EPPO. L'uso improprio dei dati deve essere sanzionato con misure effettive, proporzionate e dissuasive secondo il diritto nazionale o dell'Unione.

Protezione dei dati e diritti degli interessati

L'autorità centrale di ciascuno Stato membro è titolare del trattamento per le operazioni da essa effettuate; eu-LISA è responsabile del trattamento per l'inserimento dei dati nel sistema centrale ai sensi del regolamento (UE) 2018/1725. I dati possono essere trattati solo per individuare gli Stati membri in possesso di informazioni sui casellari giudiziali di cittadini di paesi terzi, e l'accesso è limitato al personale autorizzato strettamente necessario.

Il regolamento riconosce ai cittadini di paesi terzi il diritto di chiedere accesso, rettifica, cancellazione e limitazione del trattamento. Le richieste possono essere presentate a qualunque autorità centrale; se arrivano a uno Stato diverso da quello di condanna, devono essere trasmesse entro dieci giorni lavorativi. Lo Stato membro di condanna deve verificare subito i dati e rispondere senza ritardo. Se i dati sono inesatti o trattati illecitamente, devono essere rettificati o cancellati; in caso contrario, lo Stato membro deve adottare una decisione scritta e informare l'interessato sulle vie di ricorso e sull'eventuale assistenza disponibile, inclusa quella delle autorità nazionali di controllo.

Le autorità centrali cooperano per garantire l'esercizio effettivo di tali diritti. Chiunque può presentare reclamo e ricorso nello Stato membro di condanna che abbia negato l'accesso, la rettifica o la cancellazione. Le autorità nazionali di controllo verificano la liceità del trattamento e devono effettuare un audit almeno ogni tre anni; il Garante europeo della protezione dei dati vigila sul trattamento svolto da eu-LISA ed effettua analoghi audit triennali.

Registri, statistiche e monitoraggio

eu-LISA e le autorità competenti devono registrare i trattamenti effettuati in ECRIS-TCN, indicando in particolare finalità, dati trasmessi, riferimento dell'archivio nazionale, data e ora, dati usati per l'interrogazione e identità del funzionario. I registri servono a verificare la liceità del trattamento e a garantire integrità e sicurezza; sono conservati per tre anni, salvo esigenze di verifiche già avviate.

Il regolamento prevede anche un uso anonimizzato dei dati per relazioni e statistiche. eu-LISA deve creare un archivio centrale per elaborazioni statistiche e trasmettere ogni mese alla Commissione statistiche sulla registrazione, conservazione e scambio delle informazioni tramite ECRIS-TCN e l'attuazione di riferimento ECRIS. Gli Stati membri devono fornire a eu-LISA e alla Commissione le statistiche necessarie, incluse quelle sul numero di cittadini di paesi terzi condannati e sul numero di condanne pronunciate sul loro territorio.

Entrata in funzione, transizione e valutazione

L'avvio del sistema è subordinato all'adozione degli atti di esecuzione, alla validazione delle misure tecniche e giuridiche da parte degli Stati membri e al collaudo generale da parte di eu-LISA. Una volta fissata la data di inizio dell'inserimento dei dati, gli Stati membri devono inserire le informazioni entro due mesi; poi eu-LISA esegue un collaudo finale e la Commissione stabilisce la data di entrata in funzione. Gli Stati membri iniziano a usare il sistema da tale data.

Per le condanne pregresse, i dati alfanumerici devono essere inseriti entro il termine previsto dall'articolo 35, paragrafo 2, mentre i dati relativi alle impronte digitali devono essere inseriti al più tardi entro due anni dall'entrata in funzione. Il regolamento prevede anche che gli Stati membri adottino quanto prima le misure necessarie per la conformità, disponendo comunque di almeno 36 mesi dall'entrata in vigore per adeguarsi.

Sul piano del controllo ex post, eu-LISA deve presentare relazioni periodiche sullo sviluppo e sul funzionamento del sistema, e la Commissione deve effettuare una valutazione globale quattro anni dopo l'entrata in funzione e poi ogni quattro anni. La valutazione deve considerare anche l'impatto sui diritti fondamentali, la persistenza dei principi di base del sistema, l'adeguatezza dell'uso dei dati biometrici e, nella prima valutazione, l'effetto dell'inclusione dei cittadini UE con doppia cittadinanza, la permanenza dell'uso di software nazionale da parte di alcuni Stati membri, l'inserimento delle impronte digitali e l'incidenza sulla protezione dei dati.

Modifiche al regolamento istitutivo di eu-LISA

Il regolamento modifica il regolamento (UE) 2018/1726 per attribuire espressamente a eu-LISA la preparazione, lo sviluppo e la gestione operativa di ECRIS-TCN e dell'attuazione di riferimento ECRIS. Vengono aggiornati i compiti dell'Agenzia, le relazioni che deve adottare, la pubblicazione degli elenchi delle autorità centrali e la possibilità per Eurojust, Europol ed EPPO di assistere come osservatori alle riunioni del consiglio di amministrazione quando si discutono questioni connesse a ECRIS-TCN.