Regolamento (UE) 2024/982

Regolamento (UE) 2024/982 (Prüm II)

Il regolamento istituisce un nuovo quadro europeo per la consultazione e lo scambio automatizzati di dati tra autorità di polizia, sostituendo progressivamente la precedente architettura Prüm fondata su connessioni bilaterali. L’intervento mira ad aumentare rapidità, copertura e affidabilità degli scambi, includendo nuove categorie di dati e prevedendo una forte disciplina su protezione dei dati, sicurezza, qualità delle informazioni e controllo umano nei passaggi decisivi.

Finalità e contesto

Il regolamento si colloca nel quadro dello spazio di libertà, sicurezza e giustizia e dell’obiettivo di contrastare criminalità grave, criminalità organizzata, terrorismo e altre minacce alla sicurezza pubblica. I considerando evidenziano che le procedure esistenti hanno già avuto un ruolo importante, ma necessitano di un’evoluzione tecnica e giuridica per evitare lacune, semplificare l’interoperabilità e sfruttare meglio i dati disponibili anche presso Europol.

Ambito di applicazione

Il quadro Prüm II riguarda le banche dati nazionali istituite conformemente al diritto nazionale e utilizzate per il trasferimento automatizzato di:

• profili DNA;
• dati dattiloscopici;
• dati di immatricolazione dei veicoli;
• immagini del volto;
• estratti del casellario giudiziale.

Si applica alle autorità competenti degli Stati membri, inclusi polizia, dogane e altri servizi incaricati dell’applicazione della legge, nonché a Europol per quanto previsto dal regolamento. Restano fermi il SIS, ECRIS e la disciplina dello scambio di informazioni supplementari ex direttiva (UE) 2023/977. La partecipazione allo scambio automatizzato di estratti del casellario giudiziale è volontaria. La Danimarca non è vincolata; l’Irlanda partecipa.

Struttura del sistema: router ed EPRIS

Il regolamento sostituisce il vecchio collegamento bilaterale con due infrastrutture centrali:

• il router, per i dati biometrici e il loro scambio tra Stati membri ed Europol;
• EPRIS, per gli estratti del casellario giudiziale.

Il router deve facilitare l’instaurazione delle connessioni, l’interrogazione simultanea delle banche dati e l’eventuale classificazione delle corrispondenze biometriche. EPRIS consente la consultazione simultanea degli indici nazionali dei casellari giudiziali sulla base di serie anagrafiche pseudonimizzate. In entrambi i casi, le infrastrutture centrali sono sviluppate e gestite rispettivamente da eu-LISA e da Europol, senza accesso ai dati personali trattati.

Profili DNA

Gli articoli 5-9 disciplinano il nuovo regime per i profili DNA.

Gli Stati membri devono rendere disponibili i dati indicizzati sul DNA, privi di informazioni ulteriori che consentano l’identificazione diretta. Al primo collegamento al router devono effettuare una consultazione completa di tutti i profili DNA verso tutti gli altri Stati membri e i dati Europol; successivamente devono confrontare regolarmente i nuovi profili aggiunti. Le consultazioni sono limitate al singolo caso e al rispetto del diritto nazionale dello Stato membro richiedente.

In caso di corrispondenza:

• il punto di contatto nazionale riceve automaticamente i dati indicizzati corrispondenti;
• lo Stato membro richiedente può confermare manualmente la corrispondenza tramite personale qualificato;
• anche lo Stato membro richiesto può, se pertinente, confermare la corrispondenza.

La domanda e la risposta possono contenere solo i dati tassativamente indicati dal regolamento. La Commissione deve adottare atti di esecuzione per:

• specificare le caratteristiche identificative del profilo DNA scambiabile;
• fissare una norma minima di qualità;
• individuare le norme europee o internazionali applicabili;
• determinare il numero minimo di loci necessario per la notifica automatica della corrispondenza.

Dati dattiloscopici

Gli articoli 10-15 seguono una logica simile per impronte digitali e palmari, incluse immagini latenti e modelli minutiae.

Gli Stati membri devono rendere disponibili i dati indicizzati dattiloscopici, anch’essi privi di dati identificativi diretti, e riconoscere i dati non identificati. Le consultazioni sono consentite per prevenzione, indagine e accertamento di reati, sempre nel contesto di singoli casi.

La corrispondenza può essere confermata manualmente da personale qualificato. Il regolamento impone inoltre:

• cifratura e misure di integrità;
• qualità sufficiente dei dati;
• trasmissione secondo norme europee o internazionali;
• limiti di capacità giornaliera per le consultazioni, comunicati alla Commissione, a eu-LISA e agli altri Stati membri.

Dati di immatricolazione dei veicoli

Gli articoli 16-18 mantengono lo scambio automatizzato dei dati veicoli tramite EUCARIS.

Le consultazioni possono riguardare dati dei proprietari/possessori e dei veicoli, e si fondano su:

• numero di telaio completo;
• numero di immatricolazione completo;
• oppure, se consentito dal diritto nazionale, dati del proprietario/possessore.

Le ricerche basate sui dati del proprietario o possessore sono limitate alle persone indagate o condannate. Le informazioni devono essere cifrate. Sono previste regole dettagliate sulle registrazioni, che servono solo per statistiche, monitoraggio della protezione dei dati, verifica della liceità e sicurezza; le registrazioni sono cancellate dopo tre anni, salvo necessità per controlli in corso.

Immagini del volto

Gli articoli 19-24 introducono una nuova categoria di dati biometrci nel quadro Prüm II.

Gli Stati membri devono rendere disponibili dati indicizzati sulle immagini del volto di indagati, condannati e, se il diritto nazionale lo consente, vittime. Le consultazioni sono ammesse solo per reati punibili con pena detentiva massima di almeno un anno, sempre nel contesto del singolo caso e con divieto di profilazione ai sensi della direttiva (UE) 2016/680.

Il sistema prevede:

• corrispondenza automatizzata;
• conferma manuale della corrispondenza da parte di personale qualificato;
• cifratura;
• norma minima di qualità fissata dalla Commissione;
• limiti di capacità giornaliera;
• formati tassativi per domande e risposte.

Estratti del casellario giudiziale ed EPRIS

Gli articoli 25-28 regolano uno strumento volontario per gli Stati membri che decidono di partecipare allo scambio automatizzato di estratti del casellario giudiziale.

Gli Stati partecipanti devono creare indici nazionali contenenti solo specifici dati anagrafici di persone sospettate e condannate, nella misura in cui disponibili:

• nome o nomi;
• cognome o cognomi;
• alias e nomi precedenti;
• data di nascita;
• cittadinanza;
• paese di nascita;
• genere.

I dati identificativi principali sono pseudonimizzati. Le consultazioni tramite EPRIS sono consentite solo per reati punibili con pena massima di almeno un anno. In caso di corrispondenza, lo Stato membro richiedente decide quali follow-up avviare e trasmette una domanda motivata tramite SIENA allo Stato membro o agli Stati membri richiesti.

Persone scomparse e resti umani non identificati

L’articolo 29 consente l’uso del quadro Prüm II per:

• ricercare persone scomparse nel contesto di indagini penali o per motivi umanitari;
• identificare resti umani.

Gli Stati membri che intendono usare questa facoltà devono adottare misure legislative nazionali che designino le autorità competenti e stabiliscano procedure, condizioni e criteri, inclusi i motivi umanitari. I considerando chiariscono che tali motivi possono includere catastrofi naturali e provocate dall’uomo e altri casi giustificati, come il sospetto di suicidio.

Scambio di dati a seguito di corrispondenza

L’articolo 47 è centrale per il passaggio dalla corrispondenza automatizzata allo scambio di informazioni più ampie.

Una serie di dati di base deve essere trasmessa tramite il router entro 48 ore da quando:

• c’è una corrispondenza tra dati consultati e dati detenuti dallo Stato membro richiesto;
• la corrispondenza è stata confermata manualmente;
• è stata trasmessa una descrizione dei fatti e l’indicazione del reato usando la tavola comune delle categorie di reato prevista dalla decisione quadro 2009/315/GAI.

Se il diritto nazionale richiede autorizzazione giudiziaria, i termini possono essere derogati quanto necessario. La serie di dati di base varia a seconda che la corrispondenza riguardi una persona identificata o dati non identificati/tracce. La trasmissione richiede sempre decisione umana.

Accesso di Europol e uso dei dati di paesi terzi

Gli articoli 48 e 49 estendono il quadro al ruolo di Europol.

Europol può far consultare, tramite il router, i dati biometrici ricevuti da paesi terzi e conservati presso l’Agenzia. Può inoltre consultare, usando dati di paesi terzi come criterio di ricerca, le banche dati nazionali degli Stati membri tramite router, EUCARIS ed EPRIS a seconda del tipo di dato. L’uso ulteriore dei risultati è soggetto al consenso dello Stato membro che ha fornito i dati e alle regole del regolamento (UE) 2016/794.

Protezione dei dati, sicurezza e controllo

Il capo 6 contiene un apparato molto dettagliato di garanzie.

Il trattamento è ammesso solo per la finalità per cui i dati sono stati trasmessi, salvo autorizzazione dello Stato membro che li ha forniti. I dati ricevuti devono essere cancellati immediatamente dopo la risposta automatizzata, salvo ulteriore necessità per gli scopi autorizzati. Prima del collegamento al router o a EPRIS, gli Stati membri devono effettuare una valutazione d’impatto sulla protezione dei dati ai sensi della direttiva (UE) 2016/680 e, se del caso, consultare l’autorità di controllo.

Sono previste regole su:

• esattezza e aggiornamento dei dati;
• rettifica e cancellazione senza ritardo;
• contrassegno di validità se l’interessato contesta l’esattezza;
• limiti di conservazione;
• limitazione del trattamento in caso di pregiudizio agli interessi dell’interessato;
• responsabilità del trattamento, attribuita a eu-LISA per il router e a Europol per EPRIS.

Le misure di sicurezza devono includere protezione fisica, controllo degli accessi, cifratura, tracciabilità, piani di continuità operativa e ripristino. Gli incidenti di sicurezza devono essere gestiti rapidamente; per router ed EPRIS centrale, eu-LISA ed Europol devono notificare a CERT-UE, entro 24 ore dalla conoscenza, minacce informatiche significative, vulnerabilità significative e incidenti significativi.

Responsabilità, audit e cooperazione tra autorità di vigilanza

Gli Stati membri devono verificare la conformità delle proprie autorità abilitate; Europol fa lo stesso per i propri trattamenti. Il Garante europeo della protezione dei dati effettua audit almeno ogni quattro anni sulle operazioni di trattamento di eu-LISA e Europol relative al regolamento.

Le autorità di controllo nazionali e il Garante europeo devono cooperare attivamente per assicurare un controllo coordinato, soprattutto in caso di divergenze significative o trasferimenti potenzialmente illeciti. Sono previste relazioni periodiche del Comitato europeo per la protezione dei dati due anni dopo l’entrata in funzione di router ed EPRIS e poi ogni due anni.

Competenze operative e riparto dei costi

Gli Stati membri sono responsabili della connessione delle proprie autorità competenti al router, a EPRIS ed EUCARIS, della gestione degli accessi, della conferma manuale delle corrispondenze e della disponibilità dei dati nazionali. Devono anche rettificare o cancellare i dati ricevuti entro 48 ore dalla notifica di inesattezza o trasmissione illecita.

Europol è responsabile della gestione tecnica di EPRIS, della formazione tecnica e delle procedure di accesso del proprio personale. eu-LISA sviluppa e gestisce tecnicamente il router. Le spese di istituzione e funzionamento del router ed EPRIS, nonché l’integrazione nazionale con essi e la creazione di determinate banche dati nazionali, sono a carico del bilancio generale dell’Unione; restano a carico degli Stati membri i costi di gestione di EUCARIS e delle loro connessioni.

Entrata in funzione, transizione e valutazione

L’entrata in funzione del router ed EPRIS è subordinata all’adozione di numerosi atti di esecuzione della Commissione e al positivo completamento dei collaudi generali. La Commissione fissa con atto di esecuzione la data di avvio; per il router la data obbligatoria di utilizzo è fissata un anno dopo, con possibilità di rinvio fino a un massimo di un ulteriore anno.

Due anni dopo l’entrata in funzione del router, le immagini del volto devono essere disponibili per le consultazioni automatizzate. Sono previste applicazioni transitorie specifiche per le varie sezioni del regolamento. La Commissione deve presentare valutazioni periodiche, con particolare attenzione alle nuove categorie di dati, al rischio di false corrispondenze, alla qualità dei dati e all’impatto sui diritti fondamentali.

Modifiche agli atti vigenti

Il regolamento modifica in modo puntuale:

• le decisioni 2008/615/GAI e 2008/616/GAI, che vengono sostanzialmente superate per gli Stati membri vincolati dal nuovo regime;
• il regolamento (UE) 2018/1726, attribuendo a eu-LISA compiti sul router Prüm II;
• i regolamenti (UE) 2019/817 e (UE) 2019/818, per collegare il router al Portale di ricerca europeo e al CRRS e per supportare l’interoperabilità.

Entrata in vigore

Il regolamento è entrato in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile negli Stati membri.