Regolamento (UE) 2023/2131

Regolamento (UE) 2023/2131: scambio digitale di informazioni nei casi di terrorismo

Il regolamento interviene sul quadro di Eurojust per rafforzare la capacità di individuare collegamenti tra indagini e procedimenti in materia di terrorismo, superando criticità applicative emerse nella disciplina previgente. Il legislatore dell’Unione evidenzia nei considerando l’esigenza di informazioni complete, aggiornate, tempestive e trattate in modo sicuro, con particolare attenzione all’uso di dati biometrici, alla protezione dei dati personali e alla necessità di uno scambio strutturato e semiautomatizzato.

Finalità e contesto normativo

La riforma si inserisce nel quadro del regolamento (UE) 2018/1727 istitutivo di Eurojust e della decisione 2005/671/GAI sullo scambio di informazioni in materia di reati terroristici. I considerando richiamano il ruolo del registro giudiziario europeo antiterrorismo, istituito da Eurojust nel 2019, e la necessità di integrarlo pienamente nell’infrastruttura tecnica dell’Agenzia. Si sottolinea inoltre che il terrorismo è spesso connesso ad altre forme gravi di criminalità e che l’efficacia dell’azione penale dipende da controlli incrociati rapidi e affidabili.

Ambito soggettivo e oggettivo

Le nuove regole riguardano le autorità nazionali competenti degli Stati membri, i corrispondenti nazionali di Eurojust in materia di terrorismo, i membri nazionali, Eurojust e, in specifiche ipotesi, i magistrati di collegamento di paesi terzi distaccati presso Eurojust. L’oggetto del flusso informativo sono i casi di terrorismo, intesi secondo la direttiva (UE) 2017/541, compresi indagini, azioni penali, procedimenti giudiziari e decisioni definitive; la disciplina opera anche quando il caso, pur essendo inizialmente considerato nazionale, può rivelare collegamenti transfrontalieri.

Obblighi di informazione verso Eurojust

Con l’art. 21 bis le autorità nazionali competenti devono informare i propri membri nazionali non appena il caso è deferito all’autorità giudiziaria secondo il diritto nazionale. L’obbligo copre indagini in corso o concluse, azioni penali e procedimenti giudiziari, oltre alle decisioni giudiziarie relative ai reati di terrorismo. Le informazioni devono essere aggiornate senza indebito ritardo e, ove possibile, entro dieci giorni dalle modifiche.

L’obbligo non si applica in due ipotesi:

• se la condivisione comprometterebbe un’indagine in corso o la sicurezza di una persona;
• se la condivisione è in contrasto con gli interessi essenziali di sicurezza dello Stato membro interessato.

Il regolamento chiarisce anche che non vi è obbligo di reiterare informazioni già trasmesse a Eurojust in base ad altre disposizioni del regolamento.

Contenuto delle informazioni e dati biometrici

Le informazioni da trasmettere comprendono i dati personali operativi e i dati non personali elencati nell’allegato III. Per l’identificazione affidabile della persona interessata, possono essere trasmessi anche dati biometrici, in particolare impronte digitali e fotografie, ma solo se tali dati sono già conservati o comunicabili secondo il diritto nazionale e se la trasmissione è necessaria per l’identificazione.

L’allegato III distingue quattro gruppi di informazioni:

• dati identificativi della persona fisica o giuridica;
• informazioni sul reato di terrorismo;
• informazioni sul procedimento nazionale;
• dati aggiuntivi per identificare l’indagato, come impronte digitali e fotografie.

Trasmissione digitale, sistema decentrato e standard tecnici

L’art. 22 bis introduce il principio della comunicazione tramite sistema informatico decentrato, basato su sistemi back-end nazionali ed Eurojust e su punti di accesso interoperabili e-CODEX. La trasmissione deve avvenire in modo semiautomatizzato e strutturato dai registri nazionali, secondo modalità stabilite dalla Commissione mediante atto di esecuzione.

La Commissione deve definire:

• il formato dei dati, inclusi quelli dell’allegato III, lettera d);
• le norme tecniche di trasmissione;
• gli standard procedurali digitali.

Gli atti di esecuzione devono essere adottati entro il 1º novembre 2025. In caso di indisponibilità del sistema, è prevista la possibilità di usare mezzi alternativi più rapidi e appropriati, purché offrano un livello equivalente di sicurezza e protezione dei dati.

Sistema automatico di gestione dei fascicoli e controllo degli accessi

Il nuovo art. 23 rafforza il sistema automatico di gestione dei fascicoli di Eurojust, che deve trattare dati personali operativi, dati dell’allegato III e dati non personali. Il sistema è finalizzato al coordinamento delle indagini e azioni penali, allo scambio sicuro delle informazioni, ai controlli incrociati e alla verifica della liceità del trattamento.

Il regolamento conserva il principio secondo cui il membro nazionale resta responsabile dei dati che ha trattato e decide caso per caso sul livello di accesso da concedere ad altri soggetti autorizzati. Il sistema può collegarsi alla rete protetta di telecomunicazioni della decisione 2008/976/GAI e ad altri canali sicuri, senza ampliare di per sé i diritti di accesso di Eurojust ad altri sistemi dell’Unione.

È inoltre previsto che i membri nazionali possano conservare temporaneamente dati personali per un massimo di tre mesi al solo fine di valutarne la rilevanza e l’eventuale inserimento nel sistema.

Trattamento, conservazione e cancellazione dei dati personali operativi

Il regolamento disciplina in modo più stringente il trattamento dei dati personali operativi, compresi i dati sensibili. Eurojust può trattare categorie particolari di dati personali operativi ai sensi dell’art. 76 del regolamento (UE) 2018/1725; per i dati relativi a testimoni o vittime la decisione spetta ai membri nazionali interessati.

Per i dati trasmessi ex art. 21 bis, Eurojust può trattare i dati delle persone nei cui confronti vi siano fondati motivi di ritenere che abbiano commesso o stiano per commettere un reato di competenza di Eurojust, nonché dei condannati. Se il procedimento non si conclude con condanna, il trattamento è limitato all’individuazione di collegamenti con indagini e azioni penali in corso, future o concluse.

La conservazione è soggetta a un limite speciale: Eurojust non può conservare i dati trasmessi ai sensi dell’art. 21 bis oltre la prima tra le date previste dall’art. 29, par. 1 bis. Il sistema deve verificare automaticamente il rispetto dei termini, riesaminare la necessità di conservazione ogni tre anni e cancellare i dati in assenza di una decisione di proroga motivata e registrata.

Rapporti con paesi terzi

Con l’art. 54 bis il regolamento fornisce una base espressa per il distacco presso Eurojust di magistrati di collegamento di paesi terzi, purché esista un accordo di cooperazione anteriore al 12 dicembre 2019 o un accordo internazionale tra l’Unione e il paese terzo interessato che lo consenta. I magistrati di collegamento possono accedere al sistema automatico di gestione dei fascicoli per lo scambio sicuro dei dati; Eurojust resta responsabile del trattamento e il collegio stabilisce le condizioni dettagliate di accesso.

Modifiche alla decisione 2005/671/GAI e coordinamento con Europol

La decisione 2005/671/GAI viene modificata per coordinare la disciplina con il nuovo sistema di Eurojust. Vengono soppresse alcune disposizioni e riformulato l’obbligo di trasmissione di informazioni a Europol sulle indagini per reati di terrorismo che interessano o possono interessare due o più Stati membri, nel rispetto del regolamento (UE) 2016/794.

Disposizioni transitorie ed entrata in vigore

Sono previste misure transitorie per consentire agli Stati membri e a Eurojust di adattare i propri sistemi:

• Eurojust può continuare a usare il precedente sistema automatico di gestione dei fascicoli fino al 1º dicembre 2025, se il nuovo sistema non è ancora disponibile;
• i canali di comunicazione diversi da quelli del nuovo sistema possono essere utilizzati fino al primo giorno del mese successivo al periodo di due anni dall’entrata in vigore dell’atto di esecuzione ex art. 22 ter, se i nuovi canali non sono disponibili;
• la trasmissione non semiautomatizzata può proseguire per lo stesso periodo transitorio, se i requisiti tecnici non sono ancora disponibili.

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti i suoi elementi negli Stati membri conformemente ai trattati.