Regolamento (UE) 2021/2103

Regolamento delegato (UE) 2021/2103: funzionamento del portale web ai sensi dell'articolo 49 del regolamento (UE) 2019/818

Il regolamento definisce le regole tecniche e organizzative del portale web destinato ad agevolare l'esercizio dei diritti degli interessati nell'ambito del quadro di interoperabilità dei sistemi di informazione dell'UE. Esso si inserisce nel contesto del regolamento (UE) 2019/818, volto a garantire l'interoperabilità tra sistemi di informazione nel settore della cooperazione di polizia e giudiziaria, asilo e migrazione, con particolare attenzione alla gestione di dati personali sensibili.

Finalità e contesto normativo

Il portale web è concepito per facilitare l'esercizio dei diritti di informazione, accesso, rettifica, cancellazione e limitazione del trattamento previsti per gli interessati. Un'esigenza specifica evidenziata dal regolamento è quella di consentire alle persone informate dell'esistenza di un collegamento rosso o bianco nel rilevatore di identità multiple di individuare facilmente l'autorità competente responsabile della verifica manuale delle identità diverse e di comunicarvi in modo standardizzato.

Ambito di applicazione soggettivo e territoriale

Le disposizioni riguardano il portale web, eu-LISA, la Commissione e gli Stati membri. eu-LISA cura lo sviluppo, l'hosting, il funzionamento e la manutenzione tecnica; la Commissione fornisce i contenuti; gli Stati membri trasmettono i dettagli di contatto delle autorità competenti e individuano un punto di contatto unico per il riesame. Quanto alla partecipazione degli Stati, il regolamento si colloca nell'acquis di Schengen: la Danimarca è vincolata, l'Irlanda non partecipa né è vincolata, mentre Islanda, Norvegia, Svizzera e Liechtenstein sono coinvolti in base ai rispettivi accordi di associazione; per Cipro, Bulgaria, Romania e Croazia il regolamento è qualificato come atto basato su, o connesso a, Schengen.

Contenuti obbligatori del portale

Il portale deve utilizzare il dominio europa.eu e risultare pubblicamente accessibile. Deve essere disponibile in tutte le lingue ufficiali degli Stati membri e, almeno, in russo, arabo, giapponese, cinese, albanese, bosniaco, macedone, hindi e turco. Deve contenere le informazioni previste dagli articoli 47 e 48 del regolamento (UE) 2019/818, oltre a uno strumento di ricerca che consenta di estrarre i contatti dell'autorità competente responsabile della verifica manuale delle identità diverse.

Il portale può altresì includere altre informazioni utili a facilitare l'esercizio dei diritti degli interessati. È inoltre richiesto che la descrizione del portale sia indicizzabile dai motori di ricerca, mentre le informazioni di contatto delle autorità devono essere protette da raccolta automatizzata da parte di motori di ricerca e altri strumenti analoghi.

Gestione operativa e responsabilità

La gestione tecnica è attribuita a eu-LISA, che deve anche garantire il riesame periodico, almeno annuale, dei dettagli di contatto forniti dagli Stati membri. La Commissione è responsabile del contenuto sostanziale del portale e degli aggiornamenti. Gli Stati membri devono trasmettere tempestivamente le informazioni di contatto delle autorità competenti e designare un punto di contatto unico responsabile del riesame e della manutenzione.

Sul piano della protezione dei dati, il regolamento qualifica le autorità degli Stati membri come titolari del trattamento e eu-LISA come responsabile del trattamento per i dati personali trattati nel portale, in coerenza con il GDPR, con il regolamento (UE) 2018/1725 e con la direttiva (UE) 2016/680.

Interfaccia utente e richiesta di informazioni

Il portale deve offrire uno strumento di ricerca che permetta all'utente di inserire il riferimento dell'autorità responsabile della verifica manuale delle identità diverse, così da recuperare i dati di contatto corretti. È poi previsto un modulo web con un modello di posta elettronica standardizzato, che include un campo specifico per il numero di identificazione unico di cui all'articolo 34, lettera c), del regolamento (UE) 2019/818.

Il modello è disponibile nelle lingue indicate dal regolamento e prevede anche un'opzione per la lingua della risposta, con almeno due lingue scelte da ciascuno Stato membro. L'utente può selezionare la lingua del modello. Una volta inviato il modulo, il sistema genera un messaggio automatico di conferma contenente i recapiti dell'autorità competente cui la richiesta deve essere indirizzata.

Gestione dei contenuti e separazione delle aree del sito

Il portale deve mantenere una separazione funzionale tra le pagine informative pubbliche, lo strumento di ricerca e le pagine che consentono l'estrazione dei contatti dell'autorità competente. Per consentire a eu-LISA di aggiornare i contenuti, è prevista un'interfaccia di amministrazione protetta, con registrazione di ogni accesso e di ogni modifica.

L'interfaccia consente soltanto di aggiungere, modificare o rimuovere contenuti del portale e non permette in alcun caso l'accesso ai dati relativi ai cittadini di paesi terzi conservati nei sistemi di informazione dell'UE. La gestione dei contenuti avviene tramite un sistema di staging che consente preparazione, anteprima e pubblicazione programmata delle modifiche.

Sicurezza informatica e continuità operativa

Il regolamento impone una progettazione del portale orientata a garantire riservatezza, integrità, disponibilità e non disconoscibilità. A tal fine elenca una serie di principi di sicurezza applicativa che devono essere applicati, tra cui difesa in profondità, modello di sicurezza positiva, fail-safe, minimo privilegio, semplicità della sicurezza, rilevamento e prevenzione delle intrusioni, diffidenza verso infrastruttura e servizi e impostazioni di sicurezza predefinite sicure.

Il portale deve inoltre assicurare la disponibilità e l'integrità delle registrazioni. Dal punto di vista dell'uso, è richiesto un avviso che informi gli utenti sulle regole del portale e sulle conseguenze della comunicazione di dati inesatti, accompagnato da un modulo di accettazione delle regole che l'utente deve presentare prima di poter utilizzare il portale. L'attuazione tecnica e organizzativa deve essere conforme al piano di sicurezza, al piano di continuità operativa e al piano di ripristino in caso di disastro previsti dal regolamento (UE) 2019/818.

Protezione dei dati personali e informativa agli interessati

Il portale deve essere conforme alle norme in materia di protezione dei dati contenute nel regolamento (UE) 2016/679, nel regolamento (UE) 2018/1725 e nella direttiva (UE) 2016/680. È inoltre richiesta un'informativa sulla protezione dei dati personali, accessibile con un collegamento dedicato e reperibile da ogni pagina del portale, in forma chiara ed esauriente.

Registrazioni, monitoraggio e conservazione

Ogni accesso al portale deve essere registrato con indirizzo IP, data e ora della richiesta e informazioni tecniche sull'ambiente utilizzato, quali tipo di dispositivo, sistema operativo e browser. Tali informazioni possono essere usate solo per finalità statistiche e di monitoraggio dell'utilizzo, con funzione preventiva contro gli abusi.

Per l'accesso all'interfaccia di amministrazione, oltre ai dati di accesso, devono essere registrati l'identità dell'utente e le azioni compiute sul portale, come aggiunta, modifica o cancellazione di contenuti. Possono inoltre essere raccolte informazioni tecniche anonime per migliorare l'uso e le prestazioni del portale, purché non contengano dati personali. Le registrazioni previste sono conservate per un massimo di due anni. eu-LISA conserva anche le registrazioni di tutte le operazioni di trattamento dei dati effettuate nel portale e, insieme alle autorità degli Stati membri e alle agenzie dell'Unione, definisce gli elenchi del personale autorizzato ad accedervi.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea. In quanto regolamento, è obbligatorio in tutti i suoi elementi e direttamente applicabile negli Stati membri.