Regolamento (UE) 2018/1862

Istituzione, esercizio e uso del Sistema d'informazione Schengen (SIS) nel settore della cooperazione di polizia e della cooperazione giudiziaria in materia penale

Il regolamento costituisce la base giuridica del SIS per le materie di cooperazione di polizia e giudiziaria penale, in parallelo al regolamento (UE) 2018/1861 che disciplina il SIS per le verifiche di frontiera. La disciplina è concepita per mantenere un unico sistema informativo Schengen, con architettura tecnica comune, scambio di informazioni supplementari tramite uffici SIRENE e regole sostanzialmente omogenee tra i diversi atti che compongono il quadro SIS.

Finalità, struttura e principi generali

Lo scopo del SIS è assicurare un elevato livello di sicurezza nello spazio di libertà, sicurezza e giustizia, garantendo al contempo l'applicazione delle norme sulla circolazione delle persone. Il sistema si fonda su segnalazioni relative a persone e oggetti, corredate da informazioni supplementari e dati complementari, e deve operare in modo continuo 24 ore su 24 e 7 giorni su 7.

L'architettura del sistema comprende:

• un SIS centrale, articolato in CS-SIS, banca dati del SIS, copia di riserva e NI-SIS;
• N.SIS nazionali in ciascuno Stato membro, con eventuali copie nazionali o condivise;
• un'infrastruttura di comunicazione cifrata per lo scambio dei dati SIS e delle informazioni fra uffici SIRENE.

Gli Stati membri sono responsabili dell'istituzione, gestione e sicurezza del proprio N.SIS; eu-LISA è responsabile della gestione operativa del SIS centrale e dell'infrastruttura di comunicazione. I costi del SIS centrale e della comunicazione sono a carico del bilancio dell'Unione; i costi dei N.SIS restano a carico degli Stati membri.

Uffici N.SIS e uffici SIRENE

Ogni Stato membro deve designare:

• un ufficio N.SIS, con competenza centrale sul sistema nazionale e responsabilità di corretto funzionamento, sicurezza e accesso delle autorità competenti;
• un ufficio SIRENE, operativo 24/7, quale punto unico di contatto per lo scambio di informazioni supplementari.

Le informazioni supplementari devono essere scambiate secondo il manuale SIRENE, che è adottato dalla Commissione mediante atti di esecuzione. Gli uffici SIRENE devono rispondere rapidamente: in linea generale entro 12 ore, mentre per terrorismo, arresto a fini di consegna o estradizione e segnalazioni su minori la risposta deve essere immediata. Il personale deve ricevere formazione specifica, anche su sicurezza, protezione dei dati e qualità dei dati.

Categorie di segnalazioni e dati trattati

Il regolamento disciplina diverse categorie di segnalazioni:

• persone ricercate per arresto a fini di consegna o estradizione;
• persone scomparse o vulnerabili a cui impedire di viaggiare;
• persone richieste per comparire davanti all'autorità giudiziaria;
• persone e oggetti ai fini di controlli discreti, di indagine o specifici;
• oggetti ricercati a fini di sequestro o prova in procedimenti penali;
• ignoti ricercati ai fini di identificazione con dati dattiloscopici.

Le segnalazioni contengono solo i dati necessari. Tra i dati personali ammessi vi sono identità, alias, segni fisici, cittadinanze, documenti, motivi della segnalazione, azione da intraprendere e, nei casi previsti, fotografie, immagini del volto, impronte digitali, impronte palmari e profili DNA. L'articolo 21 impone il test di proporzionalità prima dell'inserimento e del rinnovo della segnalazione; per i reati di terrorismo la rilevanza della segnalazione è presunta.

Segnalazioni per arresto, consegna ed estradizione

Le segnalazioni per l'arresto a fini di consegna si fondano sul mandato d'arresto europeo e, nei casi previsti, su accordi UE con paesi terzi che prevedano la trasmissione tramite SIS. Lo Stato membro segnalante deve inserire nel SIS la copia del mandato d'arresto europeo e può aggiungerne la traduzione.

È anche prevista la possibilità di rendere temporaneamente non consultabile una segnalazione durante operazioni in corso, per un massimo di 48 ore, prorogabili di ulteriori periodi di 48 ore, previa autorizzazione giudiziaria e comunicazione agli Stati membri interessati. Se l'esecuzione dell'arresto non è possibile a causa di un indicatore di validità o, per l'estradizione, perché l'indagine non è ancora conclusa, lo Stato membro richiesto comunica comunque il luogo di soggiorno della persona.

La segnalazione e i dati complementari, nei casi di applicazione della decisione quadro 2002/584/GAI, hanno lo stesso effetto del mandato d'arresto europeo; negli altri casi la segnalazione ha la stessa valenza di una richiesta di arresto provvisorio ai sensi degli strumenti internazionali richiamati.

Segnalazioni di persone scomparse e persone vulnerabili

Il regolamento introduce un regime dettagliato per:

• persone scomparse da proteggere;
• persone scomparse non da proteggere;
• minori a rischio di sottrazione da parte di un genitore, familiare o tutore;
• minori a cui deve essere impedito di viaggiare per rischio di tratta, matrimonio forzato, mutilazioni genitali femminili, violenza di genere, terrorismo o reclutamento in gruppi armati;
• adulti vulnerabili a cui impedire di viaggiare per rischio di tratta o violenza di genere.

Per i minori l'interesse superiore del minore è criterio decisivo. Le autorità competenti devono cooperare immediatamente con gli uffici SIRENE e, ove necessario, con le autorità per la tutela dei minori. Il regolamento prevede che tutti i minori scomparsi dalle strutture di accoglienza degli Stati membri siano segnalati nel SIS.

Le segnalazioni di minori o persone vulnerabili sono in generale adottate su decisione delle autorità competenti o giudiziarie, e il CS-SIS avverte automaticamente lo Stato membro segnalante quattro mesi prima che il minore raggiunga la maggiore età, affinché la segnalazione sia aggiornata o cancellata.

Controlli discreti, di indagine e specifici

Le segnalazioni ai fini di controlli discreti, di indagine o specifici possono riguardare persone, oggetti e mezzi di pagamento diversi dai contanti. Tali controlli servono alla prevenzione e repressione di reati, all'esecuzione di pene o misure di sicurezza e alla prevenzione di minacce alla sicurezza pubblica.

Lo Stato membro di esecuzione deve raccogliere e trasmettere, tramite scambio di informazioni supplementari, i dati operativi pertinenti, tra cui luogo, ora e motivo del controllo, itinerario, persone accompagnanti, oggetti trasportati e ulteriori informazioni richieste. Il controllo discreto deve restare tale e non deve rivelare alla persona l'esistenza della segnalazione. Il controllo specifico può includere perquisizioni secondo il diritto nazionale; se il diritto nazionale non consente il controllo specifico o di indagine, la misura si converte nel livello inferiore di controllo previsto dal regolamento.

Oggetti ricercati e nuove categorie tecniche

Le segnalazioni di oggetti riguardano soprattutto beni agevolmente identificabili ricercati a fini di sequestro o prova: veicoli, rimorchi, roulotte, natanti, motori, container, aeromobili, armi da fuoco, documenti ufficiali in bianco, documenti di identità, carte di circolazione e targhe, banconote registrate e false, prodotti informatici e altri oggetti di valore elevato.

Per alcune sottocategorie, la Commissione può adottare atti delegati per aggiornarne la disciplina tecnica. In caso di hit, l'autorità competente deve sequestrare l'oggetto secondo il diritto nazionale e avviare lo scambio di informazioni supplementari con lo Stato membro segnalante.

Dati biometrici e identificazione

Il regolamento attribuisce un ruolo centrale ai dati biometrici, con regole specifiche per qualità e uso:

• fotografie e immagini del volto;
• impronte digitali e palmari;
• profili DNA, ma solo in casi limitati e soprattutto per persone scomparse.

Le impronte possono essere utilizzate per l'identificazione in tutti i casi e devono esserlo quando l'identità non può essere accertata con altri mezzi. Il SIS centrale contiene un sistema automatico di riconoscimento delle impronte digitali (AFIS). Le immagini del volto possono essere utilizzate per identificare persone presso i valichi di frontiera regolari e, in futuro, anche in altri casi stabiliti con atto delegato, previa valutazione della Commissione sulla disponibilità e affidabilità della tecnologia.

Per i profili DNA inseribili nelle segnalazioni di persone scomparse valgono limiti stringenti: possono essere aggiunti solo se fotografie, immagini del volto o dati dattiloscopici non sono disponibili o non sono sufficienti, e i profili di ascendenti, discendenti o fratelli richiedono il consenso esplicito degli interessati.

Accessi al SIS e soggetti autorizzati

L'accesso al SIS è articolato per finalità:

• controlli di frontiera;
• controlli di polizia e doganali;
• prevenzione e repressione di reati di terrorismo o altri reati gravi;
• decisioni su ingresso, soggiorno e rimpatrio di cittadini di paesi terzi;
• controlli di sicurezza in materia di protezione internazionale;
• naturalizzazione;
• funzioni giudiziarie penali.

Ulteriori accessi sono previsti per i servizi competenti per l'immatricolazione di veicoli, natanti e aeromobili e per la registrazione di armi da fuoco, con distinzione tra servizi pubblici, che possono consultare direttamente il sistema, e servizi non pubblici, che vi accedono tramite un'autorità competente di cui all'articolo 44.

Europol ha diritto di accesso per l'adempimento del proprio mandato, può scambiare informazioni supplementari e deve informare lo Stato membro segnalante in caso di hit. Eurojust ha accesso limitato ai propri membri nazionali e assistenti. Le squadre della guardia di frontiera e costiera europea e i team di rimpatrio possono consultare il SIS tramite un'interfaccia tecnica dedicata, solo nei limiti delle operazioni autorizzate.

Qualità dei dati, registri, sicurezza e incidenti

Lo Stato membro segnalante è responsabile dell'esattezza, attualità e liceità dei dati inseriti nel SIS. Se emergono errori o dati illecitamente archiviati, lo Stato membro interessato deve informare immediatamente lo Stato membro segnalante, che deve rettificare o cancellare i dati senza indugio; in mancanza di accordo, intervengono le autorità di controllo e il Garante europeo della protezione dei dati.

Sia a livello nazionale sia centrale sono previsti:

• registri di accesso e trattamento;
• cancellazione dei registri dopo tre anni, salvo contenziosi o controlli in corso;
• piani di sicurezza, continuità operativa e ripristino in caso di disastro;
• misure contro accessi non autorizzati, uso improprio, manipolazione dei dati e perdita di integrità.

Gli incidenti di sicurezza devono essere comunicati senza indugio alla Commissione, a eu-LISA, all'autorità di controllo competente e al Garante europeo della protezione dei dati; gli incidenti gravi devono essere riferiti anche al Parlamento europeo e al Consiglio. In caso di uso improprio, gli Stati membri devono irrogare sanzioni ai sensi del diritto nazionale.

Protezione dei dati e diritti degli interessati

Il regolamento rinvia al regime generale di protezione dati: regolamento (UE) 2016/679 per il trattamento nazionale non penale, direttiva (UE) 2016/680 per il trattamento a fini di prevenzione e repressione penale, regolamento (UE) 2018/1725 per istituzioni e organismi UE, e regolamento (UE) 2016/794 per Europol.

Gli interessati possono esercitare diritti di accesso, rettifica e cancellazione; tuttavia, l'accesso può essere limitato se necessario e proporzionato per non compromettere indagini, procedimenti ufficiali o giudiziari, sicurezza pubblica o nazionale o diritti altrui. Le richieste sono gestite anche tramite le autorità di controllo, con obbligo di comunicare il diniego e i mezzi di ricorso. Gli Stati membri devono trasmettere relazioni annuali sul numero di richieste e sull'esito delle stesse.

Responsabilità, sanzioni e valutazioni periodiche

Il regolamento prevede la responsabilità risarcitoria degli Stati membri e di eu-LISA per danni materiali o immateriali causati da trattamenti illeciti o atti incompatibili con la disciplina SIS. Gli Stati membri sono responsabili anche dei danni arrecati al sistema per inosservanza degli obblighi, salvo che l'eu-LISA o altri Stati membri abbiano omesso misure ragionevolmente idonee a prevenire il danno.

Sono inoltre previste sanzioni nazionali effettive, proporzionate e dissuasive per gli abusi del sistema e per gli scambi di informazioni supplementari contrari al regolamento.

La Commissione, eu-LISA, gli Stati membri e le agenzie coinvolte devono produrre statistiche e relazioni periodiche. È prevista una valutazione dell'uso del SIS da parte di Europol, Eurojust e della guardia di frontiera e costiera europea almeno ogni cinque anni, oltre a relazioni tecniche di eu-LISA e valutazioni globali della Commissione a cadenza quadriennale o triennale, a seconda dell'oggetto.

Entrata in vigore, applicazione e abrogazioni

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale. L'applicazione decorre dalla data stabilita dalla Commissione, da adottarsi entro il 28 dicembre 2021, dopo verifica di tre condizioni: adozione degli atti esecutivi necessari, notifica degli adeguamenti tecnici e giuridici da parte degli Stati membri e completamento positivo dei collaudi del CS-SIS e dell'interazione con gli N.SIS.

Alcune disposizioni si applicano immediatamente all'entrata in vigore; altre dal 28 dicembre 2019 o 2020. A decorrere dalla data di applicazione sono abrogati il regolamento (CE) n. 1986/2006, la decisione 2007/533/GAI e la decisione 2010/261/UE. Il regolamento è direttamente applicabile in tutti i suoi elementi negli Stati membri, secondo le condizioni di partecipazione Schengen richiamate nei considerando.