Regolamento (UE) 2019/818

Regolamento (UE) 2019/818: quadro per l’interoperabilità tra i sistemi di informazione dell’UE

Il regolamento nasce dall’esigenza, richiamata nei considerando, di superare la frammentazione dei grandi sistemi informativi UE in materia di frontiere, sicurezza, asilo e migrazione, migliorando l’accesso alle informazioni, la qualità dei dati e la corretta identificazione delle persone. L’impianto è costruito attorno a quattro componenti tecniche comuni, con un forte presidio di tutela dei diritti fondamentali e della protezione dei dati.

Finalità e architettura generale

Il regolamento, insieme al regolamento (UE) 2019/817, istituisce il quadro di interoperabilità tra EES, VIS, ETIAS, Eurodac, SIS ed ECRIS-TCN. L’obiettivo è migliorare i controlli di frontiera, contrastare l’immigrazione illegale, sostenere la politica dei visti e l’esame delle domande di protezione internazionale, rafforzare la sicurezza interna e facilitare l’identificazione di persone ignote o resti umani non identificati.

Il quadro si fonda su quattro componenti:

• il portale di ricerca europeo (ESP);
• il servizio comune di confronto biometrico (BMS comune);
• l’archivio comune di dati di identità (CIR);
• il rilevatore di identità multiple (MID).

L’articolo 1 stabilisce inoltre che il regolamento disciplina qualità dei dati, formato universale dei messaggi (UMF), archivio centrale di relazioni e statistiche (CRRS), nonché ruoli e responsabilità di Stati membri ed eu-LISA.

Ambito di applicazione e soggetti coinvolti

Il regolamento si applica direttamente ai sistemi Eurodac, SIS ed ECRIS-TCN, ai dati Europol nella misura in cui sono interrogati insieme a tali sistemi, e alle persone i cui dati personali sono trattati. In concreto, il testo coinvolge:

• le autorità degli Stati membri abilitate all’accesso ai sistemi;
• le autorità designate per finalità di prevenzione/indagine di terrorismo e reati gravi;
• Europol;
• l’unità centrale ETIAS;
• eu-LISA, che sviluppa e gestisce le componenti tecniche.

Portale di ricerca europeo (ESP)

L’ESP è pensato come interfaccia unica per interrogazioni simultanee dell’EES, VIS, ETIAS, Eurodac, SIS, ECRIS-TCN, dei dati Europol e, se consentito, delle banche dati Interpol. Le autorità e le agenzie che lo usano possono farlo solo entro i rispettivi diritti di accesso e per le finalità previste dai singoli strumenti giuridici.

L’articolo 8 prevede profili utente basati su categorie di utenti e finalità delle interrogazioni; la Commissione deve specificarne i dettagli tecnici con atto di esecuzione. L’articolo 9 disciplina le modalità di interrogazione: l’utente avvia la ricerca con dati alfanumerici o biometrici; l’ESP interroga simultaneamente i sistemi pertinenti e restituisce solo i dati accessibili all’utente. Le interrogazioni verso Interpol devono essere configurate in modo da non rivelare informazioni al titolare della segnalazione.

L’articolo 10 impone la registrazione delle operazioni; i log sono usati solo per controlli di protezione dei dati, sicurezza e integrità e sono conservati, di regola, per un anno. L’articolo 11 prevede procedure sostitutive in caso di guasti tecnici.

Servizio comune di confronto biometrico (BMS comune)

Il BMS comune consolida i template biometrici provenienti dai sistemi interessati e permette confronti biometrici trasversali. Il regolamento insiste sul fatto che i template sono rappresentazioni matematiche e non consentono di ricostruire i dati biometrici originari.

L’articolo 13 prevede che il BMS comune conservi i template biometrici estratti dai dati biometrici ammessi dai regolamenti settoriali, separandoli logicamente per sistema di provenienza. L’inserimento è subordinato a controlli automatizzati di qualità; la Commissione deve stabilire requisiti di prestazione e modalità di monitoraggio. L’articolo 15 fissa la conservazione per il tempo in cui i dati corrispondenti restano nel CIR o nel SIS, con cancellazione automatizzata.

Archivio comune di dati di identità (CIR)

Il CIR è una banca dati comune di identità pensata per migliorare la precisione dell’identificazione e supportare il MID. Esso contiene un fascicolo individuale per ogni persona registrata nell’EES, VIS, ETIAS, Eurodac o ECRIS-TCN, con i dati essenziali di identità, i dati del documento di viaggio ove disponibili e i riferimenti ai sistemi di origine.

L’articolo 18 elenca i dati conservati; l’articolo 19 disciplina aggiornamenti automatici quando cambiano i dati nell’Eurodac o nell’ECRIS-TCN, e l’aggancio di nuovi dati in presenza di collegamenti nel MID. L’articolo 23 stabilisce che il fascicolo è conservato solo per il tempo in cui i corrispondenti dati restano in almeno uno dei sistemi sottostanti.

L’accesso al CIR è rigorosamente tipizzato:

• per l’identificazione, in casi tassativi, da parte di autorità di polizia (articolo 20);
• per il supporto alla verifica manuale delle identità diverse e alla gestione dei collegamenti nel MID (articolo 21);
• per finalità di prevenzione, accertamento o indagine di terrorismo e reati gravi, con meccanismo di verifica “match/no match” rispetto all’Eurodac e successiva richiesta di accesso integrale secondo gli strumenti settoriali (articolo 22).

L’articolo 24 regola le registrazioni, prevedendo anche verifiche periodiche delle autorità di controllo sui trattamenti effettuati ai fini dell’articolo 22.

Rilevatore di identità multiple (MID)

Il MID serve a individuare casi in cui una stessa persona risulta registrata con identità diverse in più sistemi. Contiene fascicoli di conferma dell’identità con collegamenti tra dati dei sistemi inclusi nel CIR e del SIS.

La procedura si attiva quando vengono create o aggiornate segnalazioni nel SIS o dati nell’ECRIS-TCN. Se sono presenti dati biometrici, si usa anche il BMS comune; in ogni caso, si utilizzano anche confronti alfanumerici e dei documenti di viaggio (articolo 27). Quando emergono corrispondenze, il collegamento può essere:

• bianco, se i dati risultano riferibili alla stessa persona in modo giustificato o con identità simili;
• verde, se la verifica manuale conclude che i dati riguardano persone diverse;
• giallo, se è necessario un esame manuale perché le identità non sono chiaramente simili;
• rosso, se vi è uso ingiustificato di identità diverse o di identità altrui.

Gli articoli 29-33 dettagliano le autorità competenti alla verifica manuale, gli effetti dei diversi collegamenti e gli obblighi di informazione all’interessato nei casi di collegamento rosso o bianco. L’articolo 34 definisce il contenuto del fascicolo di conferma dell’identità; l’articolo 35 ne limita la conservazione al periodo in cui i dati collegati restano presenti in almeno due sistemi.

Qualità dei dati, UMF e CRRS

L’articolo 37 attribuisce a eu-LISA il compito di istituire controlli automatizzati di qualità, indicatori comuni e norme minime di qualità per i dati del SIS, Eurodac, ECRIS-TCN, BMS comune e CIR. Solo i dati conformi possono essere inseriti. La Commissione deve valutare annualmente l’attuazione e può formulare raccomandazioni; gli Stati membri devono adottare piani d’azione correttivi.

L’articolo 38 istituisce l’UMF come standard per lo scambio strutturato di informazioni transfrontaliere nel settore giustizia e affari interni.

L’articolo 39 crea il CRRS, archivio centrale di relazioni e statistiche, con dati solo anonimizzati, gestito da eu-LISA, utile per analisi strategiche, operative e di qualità dei dati.

Protezione dei dati, sicurezza e rimedi

Il capo VII definisce con attenzione il quadro privacy. Il regolamento richiama il GDPR, la direttiva (UE) 2016/680 e il regolamento (UE) 2018/1725 a seconda del soggetto che tratta i dati e della finalità del trattamento. Sono stabilite misure di sicurezza dettagliate, obblighi di logging, procedure per incidenti di sicurezza, verifiche interne e audit periodici delle autorità nazionali e del Garante europeo della protezione dei dati.

Gli articoli 47 e 48 riconoscono agli interessati il diritto di informazione e di esercizio dei diritti di accesso, rettifica, cancellazione e limitazione, con termini procedurali specifici: risposta entro 45 giorni, prorogabili di 15; per le richieste che coinvolgono la verifica manuale, l’autorità competente deve essere contattata entro 7 giorni e rispondere entro 30 giorni, prorogabili di 15.

L’articolo 49 istituisce un portale web per agevolare l’esercizio dei diritti e l’individuazione dell’autorità competente nei casi di collegamento rosso.

Ruoli e responsabilità operative

Eu-LISA è il soggetto tecnico centrale: sviluppa, ospita e gestisce ESP, BMS comune, CIR, MID e CRRS, applicando misure di sicurezza, continuità operativa e ripristino, e senza accesso ai dati personali trattati attraverso ESP, BMS comune, CIR o MID, salvo i casi previsti dall’articolo 62. Gli Stati membri devono integrare le infrastrutture nazionali, garantire le connessioni e adottare le misure legislative nazionali richieste, in particolare per l’accesso al CIR ai fini di identificazione. Europol ha obblighi specifici per i propri accessi e per l’interfaccia QUEST.

Modifiche a regolamenti collegati

Il regolamento modifica il regolamento (UE) 2018/1726 su eu-LISA, il regolamento (UE) 2018/1862 sul SIS e il regolamento (UE) 2019/816 su ECRIS-TCN. Le modifiche servono a recepire l’interoperabilità nei testi settoriali, a introdurre ESP, BMS comune, CIR e MID nelle definizioni e nelle regole tecniche, a prevedere la consultazione del SIS via ESP e a inserire nel CIR i dati essenziali di ECRIS-TCN per una corretta identificazione.

Entrata in vigore, periodi transitori e oneri finanziari

L’articolo 75 dispone l’entrata in vigore venti giorni dopo la pubblicazione in Gazzetta ufficiale, ma l’applicazione delle singole componenti è differita alle date fissate dalla Commissione. Sono previsti periodi transitori, in particolare per l’ESP e per il MID, e un regime di avvio graduale subordinato a collaudi e atti di esecuzione.

Sul piano finanziario, l’articolo 66 prevede che i costi di istituzione e funzionamento di ESP, BMS comune, CIR e MID gravino sul bilancio dell’Unione. È inoltre mobilitato un importo di 32 077 000 EUR dalla dotazione del regolamento (UE) n. 515/2014, con assegnazioni specifiche a eu-LISA, Europol e CEPOL.