Direttiva 2023/2123

Direttiva (UE) 2023/2123: allineamento della decisione 2005/671/GAI alle norme UE sulla protezione dei dati personali

La direttiva interviene sulla disciplina dello scambio di informazioni e della cooperazione in materia di reati terroristici, per renderla coerente con la direttiva (UE) 2016/680 e con il sistema europeo di tutela dei dati personali. L’obiettivo è assicurare che il trattamento dei dati personali effettuato nell’ambito della decisione 2005/671/GAI avvenga nel rispetto delle finalità, delle categorie di dati e delle garanzie previste dal diritto dell’Unione.

Finalità e contesto normativo

Il provvedimento nasce dal riesame richiesto dalla direttiva (UE) 2016/680, che impone un approccio armonizzato alla protezione dei dati personali trattati dalle autorità competenti per prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, inclusa la prevenzione di minacce alla sicurezza pubblica. In tale quadro, la decisione 2005/671/GAI viene modificata per:

• specificare in modo coerente la finalità del trattamento dei dati personali;
• indicare le categorie di dati personali che possono essere scambiate;
• tenere conto delle necessità operative delle autorità competenti;
• aggiornare i riferimenti agli strumenti UE che disciplinano Europol.

Ambito di applicazione

La disciplina riguarda il trattamento di dati personali connesso allo scambio, alla trasmissione e al successivo uso di informazioni in materia di reati terroristici, sia verso Europol sia tra Stati membri. Il perimetro operativo si colloca nell’ambito della cooperazione di polizia e della cooperazione giudiziaria in materia penale rilevante ai fini del titolo V della parte terza TFUE.

Restano rilevanti, ai fini della protezione dei dati, anche altri strumenti del diritto dell’Unione richiamati nei considerando, in particolare:

• direttiva (UE) 2016/680;
• regolamento (UE) 2016/794 su Europol;
• regolamento (UE) 2018/1725 per istituzioni, organi e organismi dell’Unione;
• diritto nazionale applicabile.

Sono previsti regimi particolari per Irlanda e Danimarca in forza dei protocolli n. 21 e n. 22.

Modifiche alla decisione 2005/671/GAI

L’articolo 1 della direttiva interviene in modo puntuale sulla decisione 2005/671/GAI.

Definizione di gruppo o entità

La lettera b) dell’articolo 1 della decisione è soppressa. La lettera d) è sostituita per definire "gruppo o entità" come:

• un gruppo terroristico ai sensi dell’articolo 2, punto 3), della direttiva (UE) 2017/541;
• i gruppi ed entità inclusi nell’elenco allegato alla posizione comune 2001/931/PESC.

Trasmissione di informazioni a Europol e agli Stati membri

L’articolo 2 della decisione è ridenominato "Trasmissione di informazioni relative ai reati terroristici all’Europol e agli Stati membri". Il nucleo innovativo è l’inserimento del paragrafo 3 bis, secondo cui ciascuno Stato membro deve garantire che i dati personali trattati ai sensi del paragrafo 3 siano utilizzati solo per:

• prevenzione;
• indagine;
• accertamento;
• azione penale;

in relazione ai reati di terrorismo e ad altri reati di competenza di Europol elencati nell’allegato I del regolamento (UE) 2016/794.

La norma precisa inoltre che tale trattamento lascia impregiudicate le limitazioni applicabili ai dati ai sensi del regolamento (UE) 2016/794.

Limiti alle categorie di dati personali

La direttiva introduce un duplice vincolo di proporzionalità e tipizzazione delle informazioni scambiabili:

• i dati personali trasmissibili a Europol per le finalità indicate restano limitati alle categorie di cui all’allegato II, sezione B, punto 2, del regolamento (UE) 2016/794;
• i dati personali scambiabili tra Stati membri per le stesse finalità restano anch’essi limitati alle medesime categorie.

Si tratta di una scelta di armonizzazione che riduce il margine di discrezionalità nazionale sul contenuto informativo trasferibile, pur lasciando agli Stati membri l’organizzazione dei mezzi di recepimento.

Recepimento

Gli Stati membri devono adottare, entro il 1º novembre 2025, le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla direttiva. Devono inoltre comunicare immediatamente alla Commissione il testo di tali disposizioni.

Le misure nazionali devono contenere un riferimento alla direttiva, oppure essere corredate di tale riferimento al momento della pubblicazione ufficiale; le modalità del riferimento sono rimesse agli Stati membri.

È previsto anche un obbligo di informazione verso la Commissione sul testo delle disposizioni principali di diritto interno adottate nel settore disciplinato.

Entrata in vigore e destinatari

La direttiva entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. I destinatari sono gli Stati membri. Il testo richiama infine la posizione particolare di Irlanda e Danimarca rispetto allo spazio di libertà, sicurezza e giustizia, con conseguente non vincolatività nei limiti derivanti dai rispettivi protocolli.

Implicazioni operative per i professionisti

Per avvocati e commercialisti, la direttiva è rilevante soprattutto perché consolida il principio per cui gli scambi di informazioni antiterrorismo devono rispettare una base normativa chiara, finalità determinate e categorie di dati tassative. In sede di recepimento nazionale, sarà necessario verificare:

• la coerenza delle norme interne con i limiti di finalità;
• la conformità delle categorie di dati trattabili e trasmissibili;
• l’aggiornamento dei richiami a Europol e agli strumenti UE applicabili;
• l’esistenza di eventuali disposizioni nazionali ulteriori in materia di sicurezza e garanzie del trattamento dei dati.