Direttiva 2016/680

Direttiva (UE) 2016/680 sulla protezione dei dati nel settore penale e di polizia

La direttiva istituisce un quadro armonizzato per il trattamento dei dati personali da parte delle autorità competenti quando esse agiscono per prevenire, investigare, accertare o perseguire reati, ovvero per eseguire sanzioni penali e proteggere la sicurezza pubblica. Essa nasce per colmare la specificità di questi settori rispetto al regime generale del regolamento (UE) 2016/679 e per sostituire la decisione quadro 2008/977/GAI.

Obiettivi e ratio

La direttiva persegue un duplice obiettivo: garantire un elevato livello di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del diritto alla protezione dei dati personali, e assicurare la libera circolazione dei dati tra autorità competenti nell’Unione quando tale scambio è richiesto dal diritto UE o nazionale. Il legislatore europeo sottolinea la necessità di un approccio coerente, tecnologicamente neutrale e applicabile anche ai trattamenti manuali in archivi, con un livello di protezione uniforme ma suscettibile di essere rafforzato dagli Stati membri.

Ambito di applicazione e rapporti con il regolamento (UE) 2016/679

La direttiva si applica ai trattamenti effettuati da autorità pubbliche competenti e da altri organismi incaricati di esercitare poteri pubblici nelle materie penali e di sicurezza pubblica. Sono inclusi i trattamenti automatizzati e quelli manuali contenuti in archivi o destinati a figurarvi; sono esclusi i trattamenti per attività fuori dall’ambito del diritto dell’Unione e quelli delle istituzioni, organi, uffici e agenzie dell’Unione, nonché i trattamenti connessi alla sicurezza nazionale.

Quando i dati sono trattati per finalità diverse da quelle della direttiva, oppure da soggetti che non rientrano nel suo ambito materiale, si applica il regolamento (UE) 2016/679. La direttiva chiarisce inoltre che gli Stati membri possono conservare o introdurre standard di tutela più elevati.

Principi di trattamento

Il nucleo della disciplina è costituito dai principi di liceità, correttezza, finalità determinate ed esplicite, minimizzazione, esattezza, limitazione della conservazione e sicurezza. Il trattamento è ammesso solo se necessario per l’esecuzione di un compito dell’autorità competente fondato sul diritto dell’Unione o dello Stato membro; tale diritto deve indicare almeno obiettivi, dati trattabili e finalità.

La direttiva consente il riuso dei dati per altre finalità rientranti nel suo ambito solo se autorizzato e se necessario e proporzionato. Impone inoltre la distinzione tra dati fondati su fatti e dati basati su valutazioni personali, nonché tra categorie diverse di interessati, come indagati, condannati, vittime, testimoni e soggetti collegati.

Dati sensibili, profilazione e decisioni automatizzate

Un’attenzione particolare è riservata ai dati genetici, biometrici, relativi alla salute e alle altre categorie particolari di dati, che possono essere trattati solo se strettamente necessario e con garanzie adeguate, nei casi previsti dalla legge o per salvaguardare interessi vitali, oppure se resi manifestamente pubblici dall’interessato.

La direttiva vieta le decisioni fondate unicamente su trattamenti automatizzati, inclusa la profilazione, se producono effetti giuridici negativi o incidono significativamente sulla persona, salvo base legale specifica e garanzie adeguate, tra cui il diritto all’intervento umano. È altresì vietata la profilazione discriminatoria basata su categorie particolari di dati.

Diritti dell’interessato

Gli articoli dedicati ai diritti dell’interessato prevedono informazioni chiare, concise e accessibili, da fornire di regola nella forma della richiesta, nonché il diritto di accesso, rettifica, cancellazione e limitazione del trattamento. Il titolare deve rispondere senza ingiustificato ritardo e, in linea generale, a titolo gratuito; può tuttavia rifiutare o addebitare costi ragionevoli in caso di richieste manifestamente infondate o eccessive.

La direttiva consente agli Stati membri di limitare informazioni, accesso e altri diritti mediante misure legislative necessarie e proporzionate, quando ciò sia indispensabile per non compromettere indagini, procedimenti, sicurezza pubblica o nazionale, o i diritti altrui. Nei casi di limitazione, l’interessato deve poter ricorrere all’autorità di controllo per una verifica della liceità.

Obblighi di titolare e responsabile del trattamento

Il titolare del trattamento è tenuto a mettere in atto misure tecniche e organizzative adeguate e a poter dimostrare la conformità alla direttiva. La logica è quella della responsabilizzazione, rafforzata da obblighi di protezione dei dati fin dalla progettazione e per impostazione predefinita, uso della pseudonimizzazione, registri delle attività, disciplina dei contitolari e contratti scritti con i responsabili del trattamento.

Il responsabile agisce solo su istruzione del titolare, deve garantire riservatezza, assistere il titolare nell’adempimento degli obblighi verso gli interessati, cancellare o restituire i dati al termine del servizio e non ricorrere a sub-responsabili senza autorizzazione. Se determina abusivamente finalità e mezzi del trattamento, è considerato titolare per quel trattamento.

Sicurezza, registrazioni e data breach

La direttiva impone misure di sicurezza adeguate al rischio, con una specifica lista di controlli per i trattamenti automatizzati: accesso alle attrezzature, ai supporti, ai dati, ai trasferimenti, alle introduzioni, recupero, affidabilità e integrità del sistema. Sono previsti registri delle attività di trattamento e, nei sistemi automatizzati, la registrazione di operazioni come raccolta, consultazione, comunicazione, trasferimento, interconnessione e cancellazione.

In caso di violazione dei dati personali, il titolare deve notificare l’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore. Se la violazione è suscettibile di presentare un rischio elevato, l’interessato deve essere informato senza ingiustificato ritardo, salvo casi di protezione già adeguata, di rimozione del rischio o di sproporzione della comunicazione.

Valutazione d’impatto e consultazione preventiva

Quando un trattamento, specie se basato su nuove tecnologie, è suscettibile di presentare un rischio elevato, il titolare deve effettuare una valutazione d’impatto prima di iniziare il trattamento. La valutazione deve descrivere il trattamento, analizzare i rischi e indicare misure, garanzie e meccanismi di protezione.

Se il rischio elevato persiste o il trattamento riguarda un nuovo archivio, è obbligatoria la consultazione preventiva dell’autorità di controllo. Quest’ultima rende un parere entro sei settimane, prorogabili di un mese, e può essere consultata anche in fase di elaborazione di atti legislativi o regolamentari nazionali relativi al trattamento.

Responsabile della protezione dei dati

Ogni titolare del trattamento deve designare un responsabile della protezione dei dati, salvo eventuale esenzione per le autorità giurisdizionali nell’esercizio delle funzioni giurisdizionali. Il responsabile deve avere competenze specialistiche, essere coinvolto tempestivamente, disporre di risorse adeguate e svolgere compiti di informazione, sorveglianza, consulenza sulla valutazione d’impatto, cooperazione con l’autorità di controllo e punto di contatto.

Trasferimenti verso paesi terzi e organizzazioni internazionali

I trasferimenti internazionali sono consentiti solo se necessari per le finalità della direttiva e se il destinatario è un’autorità competente. La regola generale richiede una base di adeguatezza riconosciuta dalla Commissione, oppure garanzie adeguate o, in mancanza, una deroga per situazione specifica.

La Commissione può adottare decisioni di adeguatezza con efficacia nell’intera Unione e riesame periodico almeno quadriennale. Se il livello di protezione viene meno, può revocare, modificare o sospendere la decisione. I trasferimenti senza adeguatezza richiedono garanzie giuridicamente vincolanti o una valutazione del titolare sulle circostanze del caso; in mancanza, sono possibili solo deroghe rigorosamente interpretate per interessi vitali, sicurezza pubblica, singoli casi investigativi o tutela giudiziaria.

La direttiva disciplina anche i trasferimenti diretti a destinatari privati in paesi terzi in casi singoli e specifici, a condizioni strette, e promuove meccanismi di cooperazione internazionale per la protezione dei dati.

Autorità di controllo e cooperazione

Gli Stati membri devono istituire una o più autorità di controllo indipendenti, dotate di adeguate risorse, bilancio separato e personale proprio. La direttiva disciplina in dettaglio la loro indipendenza, la nomina trasparente, la durata del mandato, le incompatibilità, il segreto professionale, la competenza, i compiti e i poteri.

Le autorità devono vigilare sull’applicazione della direttiva, trattare i reclami, effettuare verifiche di liceità, sensibilizzare il pubblico e gli operatori, cooperare tra loro e con la Commissione, e partecipare ai lavori del comitato europeo per la protezione dei dati. Sono previsti poteri di indagine, poteri correttivi, consultivi e la possibilità di adire l’autorità giudiziaria.

Rimedi, responsabilità e sanzioni

L’interessato può proporre reclamo a un’unica autorità di controllo e ottenere un ricorso giurisdizionale effettivo contro le decisioni giuridicamente vincolanti dell’autorità o in caso di inerzia. Può inoltre agire contro titolare o responsabile per la violazione dei propri diritti, anche mediante rappresentanza da parte di enti, organizzazioni o associazioni senza scopo di lucro.

La direttiva riconosce il diritto al risarcimento del danno materiale o immateriale e impone agli Stati membri di stabilire sanzioni effettive, proporzionate e dissuasive per ogni violazione.

Recepimento, abrogazione e disciplina transitoria

Il termine di recepimento è fissato al 6 maggio 2018; le disposizioni nazionali devono applicarsi da tale data. La decisione quadro 2008/977/GAI è abrogata dal 6 maggio 2018. È però previsto un regime transitorio per i sistemi di trattamento automatizzato preesistenti: in via eccezionale e in caso di sforzi sproporzionati, gli Stati membri possono conformarli agli obblighi di registrazione entro il 6 maggio 2023, e in casi ancora più eccezionali entro un termine successivo, comunque non oltre il 6 maggio 2026.

La Commissione deve presentare una prima relazione di valutazione entro il 6 maggio 2022 e successivamente ogni quattro anni, con riesame specifico del capo V e degli atti UE preesistenti che disciplinano il trattamento dei dati nel settore penale e di polizia, al fine di verificarne l’allineamento alla nuova disciplina.