Regolamento (UE) 2021/1217

Norme tecniche e operative per i vettori nel sistema ETIAS

Il regolamento di esecuzione (UE) 2021/1217 della Commissione completa la disciplina ETIAS per la parte relativa ai vettori, in attuazione degli articoli 45 e 46 del regolamento (UE) 2018/1240. Esso è volto a consentire ai vettori di verificare in modo sicuro e standardizzato se i passeggeri soggetti all’obbligo ETIAS siano in possesso di un’autorizzazione ai viaggi valida, garantendo al contempo protezione dei dati, sicurezza informatica e procedure alternative in caso di indisponibilità tecnica.

Ambito di applicazione soggettivo e territoriale

Le disposizioni si applicano ai vettori aerei, marittimi e ai vettori internazionali che effettuano trasporti di gruppo con autopullman e che entrano nel territorio degli Stati membri. L’obbligo principale riguarda la verifica ETIAS dei passeggeri soggetti all’autorizzazione ai viaggi; il regolamento prevede tuttavia casi di esclusione/neutralizzazione dell’obbligo, come quando il passeggero non rientra nell’ambito ETIAS o si trova in transito aeroportuale. Il testo precisa inoltre che non pregiudica la direttiva 2004/38/CE. Quanto alla partecipazione degli Stati, il regolamento non vincola Danimarca e Irlanda, mentre costituisce sviluppo dell’acquis di Schengen per Islanda, Norvegia, Svizzera e Liechtenstein, oltre a essere connesso all’acquis di Schengen per Cipro, Bulgaria, Romania e Croazia nei limiti delle rispettive disposizioni di adesione.

Interfaccia per i vettori, connessione e accesso

L’articolo 2 qualifica l’"interfaccia per i vettori" come il portale sviluppato da eu-LISA e collegato a una banca dati a sola lettura. I vettori possono connettersi tramite rete dedicata o internet e accedere mediante API, browser o applicazione mobile. Il regolamento collega l’accesso all’interfaccia a un metodo di autenticazione sviluppato da eu-LISA e a un sistema di registrazione preventiva, con particolare attenzione ai principi di protezione dei dati fin dalla progettazione e per impostazione predefinita.

Obblighi di verifica: dati da inserire e tempistiche

I vettori devono avviare l’interrogazione di verifica tramite l’interfaccia per i vettori e devono farlo con un anticipo non superiore a 48 ore rispetto all’orario di partenza programmato. Per effettuare la verifica devono inserire dati identificativi del viaggiatore, dati del documento di viaggio, giorno previsto di arrivo alla frontiera, Stato membro di ingresso o aeroporto se identificabile, e informazioni sul mezzo di trasporto. È consentita la scansione della zona a lettura ottica del documento di viaggio per estrarre alcune informazioni. Il vettore può inoltre indicare espressamente che il passeggero non rientra nell’ambito ETIAS o che si trova in transito aeroportuale.

Risposte del sistema: "OK", "non OK" e "non applicabile"

La risposta del portale varia in funzione della situazione del passeggero. Se il passeggero non rientra nell’ambito ETIAS o è in transito aeroportuale, la risposta è "non applicabile"; negli altri casi la risposta è "OK" o "non OK". L’articolo 6 disciplina in modo distinto il periodo transitorio di cui all’articolo 83, paragrafo 1, del regolamento (UE) 2018/1240, il periodo di tolleranza di cui all’articolo 83, paragrafo 3, e il regime successivo alla fine di tale periodo. Nel periodo transitorio, anche l’assenza di autorizzazione ai viaggi può condurre a esito "OK"; nella fase post-transitoria e nel periodo di tolleranza le regole si articolano in base alla prima o alla successiva entrata nel territorio di uno Stato membro in cui opera il sistema di ingressi/uscite (EES), nonché in funzione della presenza di autorizzazioni con validità territoriale limitata (VTL) e della corrispondenza tra Stato membro di ingresso e Stato della VTL.

Sicurezza, protezione dei dati e banca dati a sola lettura

L’articolo 8 impone l’estrazione regolare e automatica dei dati sulle autorizzazioni ai viaggi rilasciate, annullate e revocate dal sistema ETIAS verso la banca dati a sola lettura. Tutte le estrazioni devono essere registrate. eu-LISA è responsabile della sicurezza dell’interfaccia, dei dati personali ivi contenuti e del processo di estrazione e trasmissione dei dati; è espressamente esclusa la possibilità di trasmissione inversa dalla banca dati a sola lettura al sistema ETIAS.

Metodo di autenticazione e registrazione dei vettori

L’articolo 9 affida a eu-LISA lo sviluppo del metodo di autenticazione, con logiche di sicurezza e tracciabilità del soggetto che avvia l’interrogazione. L’articolo 10 richiede la registrazione preventiva dei vettori che operano e trasportano passeggeri nel territorio degli Stati membri; la registrazione avviene tramite modulo web pubblico e richiede dati identificativi, contatti, informazioni sulla società e documentazione societaria. Il modulo impone ai vettori di dichiarare di operare o di voler operare entro sei mesi, di rispettare i requisiti minimi di sicurezza e di garantire l’accesso solo al personale debitamente autorizzato. Sono inoltre previsti obblighi di aggiornamento delle informazioni, segnalazione delle violazioni dei dati personali e revisione periodica dei diritti di accesso.

Cancellazione, disconnessione e riattivazione

L’articolo 11 disciplina i casi di cancellazione o disconnessione dal metodo di autenticazione: il vettore viene cancellato se non è più operativo o se non usa l’interfaccia da un anno; eu-LISA può cancellarlo anche per violazione delle regole o abuso dell’interfaccia. In caso di problemi urgenti di cibersicurezza può intervenire una disconnessione immediata. Prima della cancellazione ordinaria, eu-LISA deve informare il vettore con un mese di preavviso e consentirgli di presentare osservazioni scritte. Se possibile, eu-LISA assiste il vettore per correggere le carenze; i vettori disconnessi possono essere nuovamente collegati, mentre quelli cancellati possono ripresentare domanda. I dati personali connessi alla registrazione devono essere cancellati al più tardi un anno dopo la cancellazione.

Collaudo, connessione operativa e supporto tecnico

L’articolo 12 prevede che eu-LISA metta a disposizione orientamenti tecnici, ambiente di collaudo, piano di test e simulatore. Se il vettore usa l’API, devono essere testati sia il formato del messaggio sia il metodo di autenticazione; per browser e app mobile, il vettore comunica l’avvenuto collaudo e la formazione del personale. La connessione all’interfaccia avviene solo dopo registrazione e test corretti, o dopo la notifica di esito positivo nei casi web/mobile.

Impossibilità tecnica e assistenza ai vettori

L’articolo 13 regola i casi in cui l’interrogazione non sia tecnicamente possibile per guasto di una componente ETIAS o per altre cause tecniche. Il vettore deve informare l’unità centrale ETIAS, che conferma la ricezione; se il guasto è rilevato o confermato da eu-LISA, l’unità centrale avvisa i vettori e li informa anche della riparazione. L’articolo 14 istituisce un modulo web di assistenza con numero di ticket, una linea telefonica di emergenza in caso di indisponibilità del web form, e una ripartizione delle competenze tra unità centrale ETIAS ed eu-LISA a seconda che la richiesta sia informativa o tecnica. Il supporto è disponibile 24 ore su 24, 7 giorni su 7, in lingua inglese, e l’unità centrale rende disponibili FAQ in tutte le lingue ufficiali dell’Unione.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri, fatte salve le particolari posizioni di partecipazione o non partecipazione indicate nel testo.