Regolamento (UE) 2021/2104

Norme dettagliate sul funzionamento del portale web ai sensi dell’articolo 49, paragrafo 6, del regolamento (UE) 2019/817

Il regolamento delegato (UE) 2021/2104 completa il quadro sull’interoperabilità dei sistemi di informazione dell’Unione nel settore frontiere e visti, disciplinando il portale web destinato a facilitare l’esercizio dei diritti degli interessati connessi al rilevatore di identità multiple. La disciplina mira a conciliare accessibilità per l’utente, efficienza amministrativa e tutela rafforzata dei dati personali, in un contesto caratterizzato dal trattamento di informazioni sensibili e dalla necessità di prevenire abusi e accessi non autorizzati.

Contesto e finalità

Il regolamento si inserisce nel sistema creato dal regolamento (UE) 2019/817, che istituisce un quadro di interoperabilità tra i sistemi di informazione dell’UE nel settore delle frontiere e dei visti, in coordinamento con il regolamento (UE) 2019/818. I considerando evidenziano che il portale web serve a rendere effettivi i diritti di informazione, accesso, rettifica, cancellazione e limitazione del trattamento previsti per gli interessati, facilitando in particolare la comunicazione con l’autorità competente responsabile della verifica manuale delle identità diverse.

Ambito funzionale del portale

Il portale utilizza il dominio dell’Unione europea "europa.eu" ed è pubblicamente accessibile. Oltre alle lingue ufficiali degli Stati membri, deve essere disponibile almeno in russo, arabo, giapponese, cinese, albanese, bosniaco, macedone, hindi e turco. Il portale contiene le informazioni previste dagli articoli 47 e 48 del regolamento (UE) 2019/817 e uno strumento di ricerca per reperire i recapiti dell’autorità competente responsabile della creazione del collegamento rosso o bianco a seguito della verifica manuale delle identità diverse.

Il regolamento consente che il portale contenga anche ulteriori informazioni necessarie a facilitare l’esercizio dei diritti dell’interessato, ma impone che le informazioni di contatto non siano indicizzabili da motori di ricerca o strumenti automatici di raccolta contatti. Il portale deve inoltre rispettare la Europa Web Guide della Commissione, inclusi i requisiti di accessibilità.

Ruoli e responsabilità istituzionali

La responsabilità operativa è ripartita tra eu-LISA, Commissione e Stati membri. eu-LISA sviluppa il portale e ne assicura gestione tecnica, hosting, funzionamento e manutenzione. La Commissione fornisce i contenuti del portale, nonché le correzioni e gli aggiornamenti necessari. Gli Stati membri devono trasmettere tempestivamente a eu-LISA i recapiti delle autorità competenti a esaminare e rispondere alle richieste previste dagli articoli 47 e 48 del regolamento (UE) 2019/817 e designare un punto di contatto unico per il riesame e la manutenzione.

Il riesame dei recapiti è affidato a eu-LISA, che deve chiedere agli Stati membri di verificare le informazioni disponibili e aggiornarle con eventuali modifiche o aggiunte almeno una volta l’anno. Quanto alla disciplina privacy, le autorità degli Stati membri agiscono come titolari del trattamento, mentre eu-LISA è responsabile del trattamento per i dati personali trattati nel portale.

Interfaccia utente e richiesta di informazioni

L’interfaccia utente prevede uno strumento di ricerca che consente di inserire il riferimento dell’autorità responsabile della verifica manuale delle identità diverse, come indicato all’articolo 34, lettera d), del regolamento (UE) 2019/817. Dopo la verifica di validità e completezza dei dati inseriti, il portale estrae i dettagli di contatto dell’autorità competente.

È inoltre previsto un modello di posta elettronica accessibile tramite modulo web, che consente all’utente di presentare una richiesta di informazioni all’autorità competente. Il modello contiene un campo dedicato al numero di identificazione unico di cui all’articolo 34, lettera c), del regolamento (UE) 2019/817, così da permettere all’autorità di individuare correttamente il collegamento e le registrazioni corrispondenti. Il modello standardizzato è disponibile nelle lingue indicate all’articolo 1, paragrafo 3, e offre la possibilità di scegliere la lingua di risposta; ciascuno Stato membro deve mettere a disposizione almeno due lingue. Dopo l’invio, l’utente riceve un messaggio automatico di conferma con i dettagli dell’autorità cui spetta dare seguito alla richiesta.

Gestione dei contenuti e separazione funzionale

Il portale deve distinguere chiaramente le pagine destinate al pubblico generale dallo strumento di ricerca e dalle pagine che consentono l’estrazione dei recapiti dell’autorità competente. Per la gestione editoriale è prevista un’interfaccia di amministrazione protetta, accessibile a eu-LISA, che consente l’aggiunta, la modifica e la rimozione di contenuti, con registrazione di ogni accesso e modifica secondo le regole sui log.

La soluzione di content management deve includere un sistema di staging, nel quale le modifiche possono essere preparate, visualizzate e poi pubblicate nel sistema online in un momento determinato. L’interfaccia di amministrazione non può in alcun caso consentire a eu-LISA di accedere ai dati relativi ai cittadini di paesi terzi conservati nei sistemi di informazione dell’UE.

Sicurezza, continuità operativa e uso corretto del portale

La disciplina tecnica di sicurezza è particolarmente dettagliata. Il portale deve essere progettato e attuato per garantire riservatezza, integrità, disponibilità dei servizi e non disconoscibilità delle operazioni, applicando principi quali:

• difesa in profondità;
• modello di sicurezza positiva;
• fallimento in sicurezza;
• principio del minimo privilegio;
• semplicità della sicurezza;
• rilevamento e prevenzione delle intrusioni;
• diffidenza verso infrastruttura e servizi;
• impostazioni di sicurezza predefinite sicure.

Il portale deve inoltre assicurare la disponibilità e l’integrità delle registrazioni. A fini di sicurezza e protezione dei dati, deve contenere un avviso sulle regole di utilizzo e sulle conseguenze della trasmissione di informazioni inesatte, con un modulo di accettazione obbligatoria delle regole prima dell’accesso al servizio. L’attuazione tecnica e organizzativa deve essere coerente con il piano di sicurezza, il piano di continuità operativa e il piano di ripristino in caso di disastro previsti dall’articolo 42, paragrafo 3, del regolamento (UE) 2019/817.

Protezione dei dati personali

Il portale è soggetto alle norme in materia di protezione dei dati del regolamento (UE) 2016/679, del regolamento (UE) 2018/1725 e della direttiva (UE) 2016/680. Deve inoltre includere un’informativa sulla protezione dei dati personali, accessibile mediante un link dedicato e da ogni pagina del portale, formulata in modo chiaro ed esauriente.

Registrazioni e conservazione dei log

Ogni accesso al portale deve essere annotato in un registro che include almeno:

• indirizzo IP del sistema utilizzato dal richiedente;
• data e ora della richiesta;
• informazioni tecniche sull’ambiente di utilizzo, come tipo di dispositivo, versione del sistema operativo, modello e versione del browser.

Tali dati sono utilizzabili solo per fini statistici e di monitoraggio dell’uso del portale, con l’obiettivo di prevenire abusi. Se l’accesso riguarda l’interfaccia di amministrazione, devono essere registrati anche l’identità dell’utente e le azioni compiute sul portale (aggiunta, modifica o eliminazione di contenuti). Possono inoltre essere raccolte ulteriori informazioni tecniche in forma anonima, purché prive di dati personali, per ottimizzare l’utilizzo e le prestazioni del portale.

Le informazioni registrate ai sensi delle regole principali sui log sono conservate per un massimo di due anni. eu-LISA conserva inoltre le registrazioni di tutte le operazioni di trattamento effettuate nel portale e, insieme alle autorità degli Stati membri e alle agenzie dell’Unione, definisce gli elenchi del personale debitamente autorizzato ad accedere a tali registrazioni.

Entrata in vigore e rapporti con l’acquis di Schengen

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile negli Stati membri. I considerando chiariscono il suo inquadramento nell’ambito dell’acquis di Schengen e la posizione dei diversi Stati partecipanti: la Danimarca è vincolata; l’Irlanda non partecipa né è vincolata; Islanda, Norvegia, Svizzera e Liechtenstein vi partecipano come sviluppi dell’acquis di Schengen secondo i rispettivi accordi; Cipro, Bulgaria, Romania e Croazia sono menzionati come Stati per i quali l’atto costituisce un atto basato sull’acquis o ad esso connesso.