Regolamento (UE) 2019/1715

Regolamento di esecuzione (UE) 2019/1715 della Commissione – regolamento IMSOC

Il regolamento istituisce e disciplina in modo unitario il sistema per il trattamento delle informazioni per i controlli ufficiali (IMSOC), quale piattaforma informatica comune dell’Unione per lo scambio automatizzato di dati, informazioni e documenti nei settori della sicurezza alimentare, sanità animale, sanità delle piante e controlli ufficiali alle frontiere. L’atto nasce dall’esigenza di integrare sistemi preesistenti, tra loro sviluppati in tempi diversi, e di assicurare coerenza operativa, interoperabilità, governance multilivello e protezione dei dati personali.

Finalità e contesto normativo

Il regolamento si innesta principalmente sul regolamento (UE) 2017/625, ma coordina anche il regolamento (CE) n. 178/2002, il regolamento (UE) 2016/429 e il regolamento (UE) 2016/2031. I considerando evidenziano che l’IMSOC deve fungere da strumento di collegamento tra sistemi della Commissione, sistemi nazionali degli Stati membri e, in alcuni casi, sistemi di paesi terzi e organizzazioni internazionali, così da agevolare controlli ufficiali, notifiche di rischio, assistenza amministrativa e certificazione elettronica.

Struttura dell’IMSOC e principi generali

L’IMSOC è composto da quattro elementi: iRASFF, ADIS, EUROPHYT e Traces. Ciascun elemento opera tramite una rete di membri e punti di contatto, con la Commissione presente in tutte le reti e responsabile del funzionamento tecnico, della manutenzione e degli sviluppi del software e dell’infrastruttura. Il regolamento attribuisce a ciascun membro della rete la proprietà e la responsabilità dei dati, delle informazioni e dei documenti da esso immessi o prodotti; nel Traces tale responsabilità segue anche il firmatario o il soggetto che appone il sigillo elettronico.

La Commissione istituisce inoltre una struttura di governance composta da un gruppo di gestione operativa, che si riunisce almeno una volta l’anno con gli Stati membri, e da sottogruppi dedicati alle funzioni specifiche dei singoli elementi. Gli scambi con altri sistemi elettronici devono basarsi su standard internazionali e su formati XML, CMS o PDF, oltre che sui dizionari di dati e sulle norme commerciali previsti dal singolo elemento.

Protezione dei dati personali

Il regolamento dedica un capo specifico alla protezione dei dati. I dati personali possono essere trattati solo per l’esecuzione dei controlli ufficiali e delle altre attività ufficiali e comprendono, in particolare, dati di punti di contatto, operatori, importatori, esportatori, trasportatori, tecnici di laboratorio e utenti dei sistemi. Commissione e Stati membri sono contitolari del trattamento nelle rispettive sfere di competenza. La Commissione deve garantire sicurezza del trattamento, gestione degli accessi, notifica delle violazioni e formazione del personale e dei fornitori; gli Stati membri devono assicurare il rispetto del GDPR, della direttiva (UE) 2016/680 e delle regole nazionali applicabili.

Il regolamento introduce limiti di conservazione: i dati personali delle notifiche chiuse nell’iRASFF sono conservati per un massimo di 10 anni; lo stesso termine vale, in via generale, per le notifiche di focolaio EUROPHYT e per i dati personali contenuti nei certificati e nei DSCE. I dati tecnici relativi a firme, sigilli, validazioni temporali e scambi elettronici sono conservati per almeno 3 anni.

iRASFF: allarmi, informazioni, assistenza amministrativa e frodi alimentari

La parte più articolata del regolamento riguarda iRASFF, che integra il sistema RASFF e la rete AAC e include anche la rete sulle frodi alimentari. Gli Stati membri devono organizzare un punto di contatto unico per la rete RASFF, predisporre canali efficienti di scambio con tutte le autorità competenti e garantire la reperibilità 24 ore su 24 e 7 giorni su 7 per le comunicazioni d’emergenza. Per la rete sulle frodi alimentari gli Stati membri devono indicare gli organi di collegamento competenti.

Il regolamento distingue varie tipologie di notifiche: notifiche di allarme, di informazione, di informazione per follow-up, di informazione per attenzione, di notizie, di respingimento alla frontiera, di non conformità e di frode alimentare. Le notifiche di allarme devono essere inviate senza ritardi ingiustificati e comunque entro 48 ore dalla conoscenza del rischio; la Commissione le verifica e le ridistribuisce entro 24 ore. Le notifiche di informazione, di non conformità, di notizie e di frode alimentare seguono regole analoghe di invio e verifica, ma con diversa intensità e diverso accesso alle informazioni.

Le notifiche di non conformità contengono almeno: autorità competente, descrizione della non conformità, operatori coinvolti se individuabili, dettagli su animali o merci, rischi presunti e indicazione circa un possibile profilo fraudolento. Le notifiche di frode alimentare richiedono inoltre la descrizione della pratica fraudolenta, i riferimenti a eventuali indagini di polizia o giudiziarie e le eventuali istruzioni delle autorità investigative, ove divulgabili. Le notifiche di respingimento alla frontiera devono essere trasmesse anche tramite Traces a tutti i posti di controllo frontalieri.

Il sistema disciplina anche le notifiche di follow-up, che servono a integrare o aggiornare le notifiche originali, e prevede la possibilità di ritiro o modifica delle notifiche quando le informazioni iniziali risultano infondate o la notifica è stata trasmessa erroneamente. Le notifiche vengono chiuse automaticamente in tre casi: assenza di richieste pendenti, risposta a tutte le richieste, oppure mancata risposta all’ultima richiesta entro sei mesi.

In caso di indisponibilità dell’iRASFF, il regolamento prevede procedure sostitutive tramite e-mail e telefono per le notifiche urgenti RASFF, mentre per AAC e frodi alimentari gli scambi avvengono via posta elettronica; tutte le informazioni scambiate fuori sistema devono poi essere riversate nell’iRASFF appena possibile.

ADIS: notifiche di malattie animali

ADIS è il sistema per la notifica e comunicazione delle malattie animali previsto dal regolamento (UE) 2016/429. Ciascun membro della rete può designare più punti di contatto per la trasmissione delle notifiche di focolaio e delle comunicazioni previste dagli articoli 19 e 20 del regolamento (UE) 2016/429. Ogni punto di contatto deve mantenere aggiornato in ADIS l’elenco delle regioni di notifica e di comunicazione del proprio Stato membro. Le disposizioni relative a questa sezione si applicano dal 21 aprile 2021.

EUROPHYT: focolai e intercettazioni fitosanitarie

La sezione EUROPHYT riguarda la notifica dei focolai di organismi nocivi e delle intercettazioni di partite di piante, prodotti vegetali e altri oggetti. Ogni Stato membro deve designare un punto di contatto per i focolai e uno per le intercettazioni, comprese le trasmissioni verso paesi terzi e organizzazioni internazionali. Le notifiche di focolaio vanno trasmesse entro otto giorni lavorativi dalla conferma ufficiale e aggiornate appena disponibili nuove informazioni o nuove misure; le notifiche di intercettazione vanno trasmesse entro due giorni lavorativi.

L’allegato I descrive in modo molto dettagliato il contenuto minimo delle notifiche di focolaio, includendo: localizzazione della zona, stato fitosanitario prima e dopo la conferma, modalità di scoperta e campionamento, laboratorio e metodo diagnostico, dimensione e caratteristiche della zona infestata, piante ospiti, gravità del focolaio, fonte, misure ufficiali adottate, valutazione del rischio fitosanitario e possibili trasmissioni all’Organizzazione europea e mediterranea per la protezione delle piante. I dati personali provenienti dalle notifiche di focolaio EUROPHYT sono conservati per un massimo di 10 anni.

Traces: partite in ingresso, cooperazione doganale e documentazione elettronica

Traces è il sistema per la gestione dei dati relativi alle partite che entrano nell’Unione e agli scambi di documenti e informazioni connessi ai controlli ufficiali. Gli Stati membri devono designare punti di contatto e mantenere aggiornati, nel sistema, gli elenchi delle unità di controllo, dei posti di controllo frontalieri, dei punti di controllo e degli stabilimenti riconosciuti o registrati nei settori alimentare e dei sottoprodotti di origine animale.

La cooperazione con le autorità doganali è resa strutturale: esse devono poter accedere ai dati, alle informazioni e ai documenti relativi alle partite attraverso Traces, i sistemi nazionali o l’ambiente a interfaccia unica dell’UE per le dogane. Se tale accesso non è disponibile, gli Stati membri devono comunque garantire lo scambio tempestivo dei dati pertinenti.

DSCE e certificati ufficiali elettronici

Il regolamento disciplina in modo puntuale i documenti sanitari comuni di entrata (DSCE), distinguendo quattro modelli: DSCE-A per animali, DSCE-P per prodotti, DSCE-PP per piante, prodotti vegetali e altri oggetti, e DSCE-D per mangimi e alimenti di origine non animale. Ogni modello è articolato in tre parti: descrizione della partita, controlli e follow-up. Le istruzioni di compilazione sono minuziose e coprono origine, destinatario, luogo di destinazione, mezzo di trasporto, documenti di accompagnamento, notifica preventiva, condizioni di trasporto, conformità, transito, destinazioni di controllo, reintroduzione, ammissione temporanea, dichiarazione dell’operatore e decisioni delle autorità competenti.

I certificati ufficiali elettronici devono essere rilasciati tramite Traces, sistemi nazionali degli Stati membri o sistemi interoperabili di paesi terzi/organizzazioni internazionali; devono essere firmati con firma elettronica avanzata o qualificata, recare sigillo elettronico avanzato o qualificato e validazione temporale elettronica qualificata. Per i certificati fitosanitari elettronici l’accettazione è limitata ai casi espressamente previsti dal regolamento.

Per il DSCE elettronico, il regolamento stabilisce ulteriori requisiti di firma, sigillo e validazione temporale, oltre alle regole sul linguaggio utilizzabile e sulle parti che devono essere compilate rispettivamente dall’operatore, dall’autorità competente al posto di controllo frontaliero o di controllo e dall’autorità responsabile dei follow-up. In caso di indisponibilità del sistema per più di un’ora, è possibile usare modelli cartacei o elettronici compilabili; i documenti così generati devono recare la dicitura "elaborati in una situazione di emergenza".

Conservazione, accesso e pubblicità dei dati nel Traces

L’accesso ai dati nel Traces è differenziato: ciascun operatore accede ai dati che tratta; ciascuna autorità competente accede ai dati nell’ambito della propria responsabilità; se più autorità partecipano al trattamento, possono accedere a tutti i dati pertinenti. Entità estranee al trattamento o alla movimentazione non hanno accesso, salvo i casi specifici previsti. La Commissione può pubblicare gli elenchi degli stabilimenti e supportare gli Stati membri nella loro pubblicazione al pubblico tramite Internet o Traces.

Abrogazioni, decorrenza e successione normativa

Il regolamento abroga, a decorrere dal 14 dicembre 2019, la direttiva 94/3/CE, varie decisioni della Commissione sul vecchio sistema Traces e il regolamento (UE) n. 16/2011, oltre alle decisioni di esecuzione 2014/917/UE, (UE) 2015/1918 e (UE) 2018/1553. I riferimenti a tali atti devono intendersi fatti al presente regolamento secondo la tavola di concordanza dell’allegato III. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale e si applica dal 14 dicembre 2019, salvo la sezione ADIS che decorre dal 21 aprile 2021.