Regolamento (UE) 2019/1799

Specifiche tecniche per i sistemi individuali di raccolta elettronica nell’iniziativa dei cittadini europei

Il regolamento di esecuzione (UE) 2019/1799 della Commissione definisce le specifiche tecniche che i sistemi individuali di raccolta elettronica devono rispettare nell’ambito dell’iniziativa dei cittadini europei disciplinata dal regolamento (UE) 2019/788. La finalità è garantire sicurezza, integrità, autenticità e conformità dei dati raccolti, soprattutto nella fase in cui gli organizzatori scelgono di usare un sistema proprio anziché quello centrale della Commissione. Le nuove regole sostituiscono quelle precedenti del regolamento di esecuzione (UE) n. 1179/2011 e si applicano dal 1° gennaio 2020.

Ambito applicativo e coordinamento con il regolamento (UE) 2019/788

Il regolamento si applica agli organizzatori di iniziative dei cittadini registrate che impiegano un sistema individuale di raccolta online per le dichiarazioni di sostegno. Il considerando chiarisce che, in via generale, il regolamento (UE) 2019/788 prevede l’uso del sistema centrale di raccolta elettronica istituito e gestito dalla Commissione; tuttavia, per agevolare la transizione, per le iniziative registrate prima della fine del 2022 gli organizzatori possono scegliere un sistema individuale. Le specifiche del presente regolamento attuano l’articolo 11, paragrafo 5, del regolamento (UE) 2019/788 e si inseriscono nel quadro delle certificazioni rilasciate dalle autorità competenti degli Stati membri.

Obblighi generali di conformità e notifiche

Gli organizzatori devono assicurare che il sistema resti conforme alle specifiche tecniche per tutto il periodo di raccolta. Dopo la certificazione del sistema, eventuali modifiche al sistema o alle misure organizzative di supporto devono essere notificate senza indebito ritardo all’autorità competente dello Stato membro se possono incidere sulla valutazione che ha fondato la certificazione. Prima della notifica, gli organizzatori possono chiedere un parere all’autorità competente per verificare se la modifica sia effettivamente rilevante ai fini della certificazione.

Requisiti tecnici funzionali del sistema

L’allegato impone che il sistema consenta la presentazione delle dichiarazioni di sostegno solo da parte di persone fisiche e senza richiedere dati personali ulteriori rispetto a quelli previsti dall’allegato III del regolamento (UE) 2019/788. Inoltre, il sistema deve presentare all’utente le informazioni sull’iniziativa pubblicate nel registro prima della trasmissione della dichiarazione, deve evitare che i campi di compilazione siano disgiunti dalle informazioni dell’iniziativa e deve salvare i dati trasmessi insieme a tali informazioni, così da prevenire errori di attribuzione o dichiarazioni riferite a iniziative diverse. È anche richiesto che il sistema impedisca modifiche non autorizzate alle informazioni sull’iniziativa.

Informazioni al firmatario e struttura della dichiarazione

Le dichiarazioni di sostegno devono essere presentate conformemente ai campi di inserimento dati previsti dall’allegato III del regolamento (UE) 2019/788. Il sistema deve inoltre imporre che la trasmissione della dichiarazione avvenga solo dopo che la persona interessata ha confermato di aver letto l’informativa sulla privacy prevista dal medesimo allegato.

Sicurezza, gestione del rischio e ruolo del funzionario addetto alla sicurezza

In materia di sicurezza, il gruppo di organizzatori deve designare un funzionario addetto alla sicurezza incaricato della sicurezza del sistema e della trasmissione sicura delle dichiarazioni di sostegno all’autorità competente dello Stato membro. Il funzionario deve vigilare sui processi di garanzia delle informazioni e sulle misure tecniche e organizzative necessarie per assicurare raccolta, conservazione e trasmissione sicure dei dati dei firmatari. Gli organizzatori devono inoltre adottare processi di gestione del rischio per identificare minacce e vulnerabilità, incluse quelle con impatto sui diritti e sulle libertà dei firmatari, e per definire contromisure adeguate e proporzionate.

Norme di sicurezza per la certificazione

Gli organizzatori possono chiedere all’autorità nazionale competente di fornire le norme e i requisiti di sicurezza applicabili alla certificazione dei sistemi individuali di raccolta elettronica. L’autorità competente dovrebbe fornirli, di regola, entro un mese dalla richiesta. Tali norme devono essere coerenti con le pertinenti norme di sicurezza nazionali o internazionali esistenti e devono affrontare i rischi individuati nella parte tecnica dell’allegato.

Contenuto minimo delle misure di sicurezza

Le misure di prevenzione e mitigazione degli incidenti di sicurezza devono riguardare almeno:

• sicurezza delle risorse umane;
• controllo degli accessi;
• controlli crittografici;
• sicurezza fisica e dell’ambiente;
• sicurezza delle operazioni;
• sicurezza delle comunicazioni;
• acquisizione, sviluppo e manutenzione dei sistemi;
• gestione degli incidenti relativi alla sicurezza informatica;
• conformità.

L’applicazione di queste misure può essere limitata alle sole parti dell’organizzazione pertinenti al sistema di raccolta elettronica, ad esempio al personale che vi ha accesso o agli edifici che lo ospitano.

Documentazione e controlli in caso di esternalizzazione

Gli organizzatori devono documentare la valutazione dei rischi, le misure adottate, i rischi residui, l’effettiva attuazione dei controlli e i mezzi organizzativi predisposti per restare aggiornati sulle nuove minacce e sui miglioramenti in materia di sicurezza. Se si avvalgono di un servizio di trattamento per lo sviluppo o l’installazione del sistema, devono produrre documentazione sufficiente per consentire all’autorità di certificazione di verificare che siano stati effettuati i necessari controlli di sicurezza.

Cifratura e protezione dei dati personali

Il sistema deve cifrare i dati personali in formato elettronico sia durante la conservazione sia durante la trasmissione alle autorità competenti degli Stati membri. Le chiavi devono essere gestite e conservate separatamente, devono essere usati algoritmi standard adeguati e chiavi conformi alle norme internazionali, come quelle ETSI, e tutte le chiavi e password devono essere protette da accessi non autorizzati. Le misure del regolamento lasciano comunque impregiudicati gli obblighi derivanti dal regolamento (UE) 2016/679, compresa l’eventuale valutazione d’impatto sulla protezione dei dati, e tengono conto del ruolo del responsabile del trattamento ai sensi del GDPR, identificato nel rappresentante del gruppo di organizzatori o, se del caso, nell’entità giuridica di cui all’articolo 5, paragrafo 7, del regolamento (UE) 2019/788.