Regolamento (UE) 2023/2117

Oggetto e definizioni

L’articolo 1 individua la finalità del regolamento: fissare norme e procedure per il funzionamento e la gestione del repertorio di informazioni necessario alla cooperazione tra EASA e autorità nazionali competenti nei compiti di certificazione, sorveglianza e applicazione delle norme. L’articolo 2 richiama le definizioni dei regolamenti UE rilevanti e introduce nozioni specifiche come utenti autorizzati, personale autorizzato, interfaccia, categoria ed elemento di informazione, formato delle informazioni e parte interessata.

Istituzione, architettura e integrazione del repertorio

L’articolo 3 prevede che il repertorio sia composto da un’interfaccia di conservazione, una di scambio e una di accesso da parte degli utenti. La conservazione include banca dati centrale, cronologia delle modifiche e stato attuale/archiviato; lo scambio avviene tramite infrastruttura di comunicazione con API sicure e regole di qualità dei dati; l’accesso degli utenti consente consultazione e lettura online in modo sicuro. L’EASA deve inoltre predisporre documentazione tecnica, standard API, specifiche di security e un ambiente di prova per l’integrazione degli utenti autorizzati.

Gestione operativa, manutenzione e consultazione preventiva

L’articolo 4 attribuisce all’EASA la gestione operativa del repertorio e l’obbligo di conservarvi in modo sicuro le informazioni. Prima di adottare decisioni sulla gestione operativa o sulla messa a disposizione al pubblico del repertorio, l’EASA deve consultare Commissione e autorità nazionali competenti. L’articolo 5 impone il mantenimento del repertorio in termini di tutela della vita privata, riservatezza, integrità e disponibilità, nonché l’esecuzione sistematica del backup.

Formati standard e classificazione delle informazioni

L’articolo 6 impone che trasmissione, aggiornamento periodico e scambio avvengano secondo formati delle informazioni concordati e proposti dall’EASA, standardizzati per ciascuna categoria e indicati nell’allegato I. L’articolo 7 disciplina la classificazione delle categorie di elementi di informazione secondo tutela della vita privata, riservatezza, integrità e disponibilità, con livelli specifici dettagliati nell’allegato II; la classificazione deve essere riesaminata quando necessario, in funzione dei mutamenti nell’uso delle informazioni.

Diffusione delle informazioni a parti interessate

L’articolo 8 consente all’EASA di fornire informazioni del repertorio a una parte interessata su richiesta, secondo forma e modalità stabilite dall’Agenzia. La richiesta deve provenire da una parte interessata e dimostrare la stretta necessità delle informazioni per le proprie operazioni. L’accesso non può riguardare l’intero repertorio, le informazioni devono essere strettamente necessarie e i dati personali sono esclusi salvo che riguardino la parte interessata stessa o siano strettamente necessari; la parte interessata può usare i dati solo per lo scopo dichiarato e deve mantenerne la riservatezza.

Tracciabilità dei trattamenti e controllo degli accessi

L’articolo 9 impone la registrazione di tutti i trattamenti di dati, indicando finalità della richiesta, identità dell’utente autorizzato che estrae i dati, data e ora e identità del personale autorizzato che effettua la ricerca. Le registrazioni sono usate solo per controllare la liceità dell’accesso e garantire integrità e security, con minimizzazione dei dati e cancellazione dopo la conclusione del controllo o al più tardi dopo un anno. Commissione e autorità nazionali competenti possono accedere alle registrazioni su richiesta. L’articolo 10 stabilisce che soltanto il personale autorizzato abbia accesso al repertorio e che gli utenti autorizzati mantengano elenchi del personale e procedure di accesso documentate; per esaminatori e centri aeromedici nazionali l’accesso avviene tramite le autorità nazionali competenti.

Gestione della security e misure tecniche

L’articolo 11 impone all’EASA di proteggere infrastruttura e informazioni e di predisporre un piano di gestione della security, un piano di continuità operativa e un piano di ripristino in caso di disastro. Sono previste misure di cifratura e controlli che impediscano trattamenti, letture, copie, modifiche, rimozioni o cancellazioni non autorizzate. Gli utenti autorizzati devono proteggere le proprie informazioni e infrastrutture, gestire le interfacce, formare il personale in materia di security, protezione dei dati e diritti fondamentali, e cooperare per la gestione della security del repertorio.

Trattamento dei dati personali e contitolarità

L’articolo 12 limita il trattamento dei dati personali alla cooperazione necessaria per certificazione, sorveglianza e applicazione delle norme, con osservanza dei principi di necessità e proporzionalità e con attenzione a privacy by design e by default. L’articolo 13 qualifica gli utenti autorizzati come contitolari del trattamento dei dati personali conservati nel repertorio e li rende responsabili del rispetto della classificazione delle informazioni. L’articolo 14 ripartisce le responsabilità: l’EASA cura istituzione, funzionamento, gestione continua, accessi, security, notifica delle violazioni e strumenti tecnici per l’esercizio dei diritti; Commissione e autorità nazionali competenti trattano i dati secondo le interfacce, assicurano security dei trattamenti esterni, designano il personale autorizzato, fungono da punti di contatto per gli interessati e notificano violazioni alle autorità di controllo e, se del caso, agli interessati. È inoltre previsto un meccanismo di assistenza reciproca tra contitolari entro 15 giorni dalla richiesta.

Limitazioni dei diritti degli interessati

L’articolo 15 consente limitazioni all’esercizio dei diritti degli interessati solo nella misura e per il tempo strettamente necessari a salvaguardare la sicurezza dell’aviazione civile, in particolare durante indagini, ispezioni o attività di monitoraggio in corso ai sensi dell’articolo 75, paragrafo 2, lettera e), del regolamento (UE) 2018/1139, oppure in procedimenti giurisdizionali pendenti. Analoghe limitazioni sono ammesse per indagini di security informatica con impatto sul repertorio. Ogni limitazione deve essere valutata in termini di necessità e proporzionalità e l’interessato deve essere informato dei motivi e della portata della limitazione.

Conservazione, cancellazione e archiviazione dei dati

L’articolo 16 fissa un periodo massimo di conservazione di 10 anni dalla data di scadenza o di cessazione della validità del documento, salvo periodi diversi previsti dal diritto nazionale; trascorso tale termine i dati devono essere cancellati dal repertorio senza ritardo. Il repertorio deve disporre di strumenti per la cancellazione automatizzata alla scadenza e per la pseudonimizzazione automatizzata o soluzioni equivalenti ai fini archivistici. L’articolo 17 consente all’EASA, dopo il periodo di conservazione, di trasferire i dati in un registro separato per archiviazione e ricerca storica nell’interesse della sicurezza dell’aviazione, con accesso regolato da protocollo dedicato e applicazione di varie disposizioni del regolamento.

Entrata in vigore e applicazione progressiva

L’articolo 18 prevede l’entrata in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. I capi I e II si applicano dal 1o aprile 2025. I requisiti relativi agli elementi di informazione emessi dopo l’entrata in vigore si applicano dal 1o gennaio 2027 per il gruppo A, dal 1o gennaio 2028 per il gruppo B e dal 1o gennaio 2029 per il gruppo C. I requisiti relativi agli elementi di informazione validi e forniti prima dell’entrata in vigore si applicano dal 1o gennaio 2029.