Regolamento (UE) 2024/3084

Oggetto e finalità del sistema

L’articolo 1 stabilisce che il regolamento disciplina il funzionamento del sistema di informazione, incluse le norme sulla protezione dei dati personali e sullo scambio di dati con altri sistemi informatici. Il sistema serve a supportare l’attuazione del regolamento (UE) 2023/1115, agevolando la gestione delle dichiarazioni di dovuta diligenza e lo scambio di informazioni tra operatori, autorità competenti, autorità doganali e Commissione.

Sviluppo, gestione e uso del sistema

L’articolo 2 affida alla Commissione lo sviluppo del sistema come modulo indipendente della piattaforma TRACES, nonché il suo funzionamento, la manutenzione, il supporto e gli aggiornamenti. Il sistema è utilizzato dagli operatori e commercianti, e se del caso dai mandatari, per presentare e gestire le dichiarazioni di dovuta diligenza e verificare i numeri di riferimento; è inoltre usato dalle autorità competenti, dalle autorità doganali e dalla Commissione per accedere alle dichiarazioni e svolgere le operazioni connesse.

Assegnazione delle dichiarazioni alle autorità competenti

Sempre l’articolo 2 prevede che le dichiarazioni siano assegnate alle autorità competenti dello Stato membro indicato dall’utilizzatore come Stato di ingresso nel mercato dell’Unione o di esportazione; in mancanza, allo Stato membro in cui il prodotto è immesso o messo a disposizione sul mercato. Se tali informazioni mancano, la dichiarazione va allo Stato membro di stabilimento dell’utilizzatore; per gli utilizzatori stabiliti fuori dall’Unione, allo Stato membro associato all’identificativo usato in fase di registrazione.

Definizioni rilevanti

L’articolo 3 introduce le definizioni di sistema di informazione, partecipante al sistema di informazione, utilizzatore del sistema di informazione, dichiarazione di dovuta diligenza, numero di riferimento, numero di verifica e definizione del profilo di rischio. L’utilizzatore è identificato tramite registrazione individuale in EU Login; il numero di verifica è un elemento di sicurezza aggiuntivo; il profilo di rischio serve ad attribuire a ciascuna dichiarazione uno status di rischio.

Presentazione e contenuto delle dichiarazioni

L’articolo 4 dispone che le dichiarazioni di dovuta diligenza siano presentate e gestite nel sistema di informazione, salvo il caso in cui siano rese disponibili tramite l’interfaccia elettronica di cui all’articolo 28, paragrafo 2, del regolamento (UE) 2023/1115. Se il prodotto contiene o è stato fabbricato usando legno, devono essere indicati i nomi comuni e scientifici completi delle specie legnose interessate.

Modifica, ritiro e proroga del termine

L’articolo 5 consente la modifica o il ritiro della dichiarazione entro 72 ore dalla messa a disposizione del numero di riferimento nel sistema. Dopo tale termine, la modifica o il ritiro non sono possibili se la dichiarazione è già stata usata come riferimento in un’altra dichiarazione. Il divieto opera anche dal momento in cui l’utilizzatore riceve notifica dell’avvio di un controllo, o quando il prodotto è già stato immesso o messo a disposizione sul mercato, o quando il numero di riferimento è stato trasmesso alle dogane prima dell’immissione in libera pratica o dell’esportazione. Su richiesta motivata, le autorità competenti possono prorogare il termine fino a 8 giorni di calendario, anche retroattivamente, per cause indipendenti dalla volontà dell’utilizzatore.

Profili di rischio e controlli

L’articolo 6 consente alle autorità competenti di individuare nel sistema le situazioni di rischio elevato che richiedono un intervento immediato prima dell’immissione o messa a disposizione sul mercato o dell’esportazione. Le autorità possono predisporre profili di rischio basati, tra l’altro, sui criteri previsti nei piani annuali dei controlli ai sensi dell’articolo 16, paragrafo 5, del regolamento (UE) 2023/1115. Ogni dichiarazione, al momento dell’inserimento, è sottoposta automaticamente a definizione elettronica del profilo di rischio; l’autorità competente può poi riesaminarla in qualsiasi momento e attribuire un nuovo status di rischio prevalente su quello iniziale.

Numero di riferimento, numero di verifica e differimento della messa a disposizione

L’articolo 7 prevede l’assegnazione senza indebito ritardo di numero di riferimento e numero di verifica dopo la conclusione della valutazione di rischio. Tali numeri sono resi disponibili all’utilizzatore una volta determinato il profilo di rischio. Le autorità competenti possono differire la messa a disposizione del numero di riferimento per verificare la conformità del prodotto; il differimento deve essere il più breve possibile e non superare il termine di cui all’articolo 17, paragrafo 3, del regolamento (UE) 2023/1115, con possibilità di ulteriore proroga a discrezione dell’autorità competente.

Respingimento delle dichiarazioni

L’articolo 8 consente all’autorità competente di respingere una dichiarazione di dovuta diligenza per evitare l’immissione, la messa a disposizione sul mercato o l’esportazione di un prodotto non conforme al regolamento (UE) 2023/1115, salvo che il numero di riferimento sia già disponibile per l’utilizzatore. Il prodotto associato alla dichiarazione respinta non è considerato oggetto di una valida dichiarazione di dovuta diligenza. Il respingimento è registrato nel sistema con uno status specifico.

Ruolo della Commissione

L’articolo 9 dettaglia i compiti della Commissione: formazione, assistenza tecnica, concessione dell’accesso ai partecipanti e agli utilizzatori, trattamento dei dati personali nei casi previsti, messa a disposizione di servizi web per la gestione automatizzata delle dichiarazioni, offerta dell’interfaccia elettronica dell’articolo 28 del regolamento (UE) 2023/1115 e sospensione o revoca degli accessi su richiesta delle autorità competenti dello Stato membro di stabilimento o, per gli utilizzatori extra-UE, dello Stato membro a cui essi sono associati.

Accessi e autenticazione

L’articolo 10 stabilisce che l’accesso è riservato agli utilizzatori registrati e avviene tramite EU Login. Gli utilizzatori possono vedere le informazioni da essi inserite o quelle ottenute tramite numeri di riferimento e numeri di verifica delle dichiarazioni collegate.

Accesso dei partecipanti al sistema

L’articolo 11 riconosce alla Commissione l’accesso a tutti i dati, le informazioni e i documenti necessari per relazioni, sviluppo, funzionamento e manutenzione del sistema. La Commissione concede e può revocare i diritti di accesso dei partecipanti in caso di modifica delle competenze. I partecipanti devono garantire che i propri utilizzatori interni accedano ai dati personali solo quando strettamente necessario e hanno accesso a tutte le informazioni utili per i propri obblighi e compiti.

Categorie di dati trattati, conservazione e titolarità

L’articolo 12 limita il trattamento ai soli dati necessari e proporzionati per la comunicazione tra partecipanti, la gestione dei casi e la trasformazione tecnica e commerciale dei dati. Sono ammessi solo dati identificativi, recapiti professionali, ruolo, dati di geolocalizzazione se idonei a identificare persone fisiche, e dati di autenticazione e accesso come IP e username. I dati sono conservati su infrastrutture situate nello Spazio economico europeo e le informazioni contenute nelle dichiarazioni sono conservate per non più di 10 anni dalla presentazione, con possibile estensione su richiesta. Ogni partecipante è titolare distinto del trattamento, salvo le attività di cui all’articolo 14; le autorità nazionali di vigilanza e il Garante europeo della protezione dei dati assicurano il controllo coordinato del sistema.

Ruolo della Commissione come titolare o responsabile

L’articolo 13 qualifica la Commissione come titolare del trattamento per i dati degli utilizzatori e per la registrazione degli stessi; la qualifica come responsabile del trattamento quando tratta dati per conto di altri partecipanti ai fini dello scambio di informazioni ai sensi dell’articolo 27 del regolamento (UE) 2023/1115; e, infine, come responsabile per i dati trattati nelle indagini congiunte svolte ai sensi dell’articolo 21 dello stesso regolamento.

Contitolarità tra autorità competenti e doganali

L’articolo 14 dispone che le autorità competenti e le autorità doganali che cooperano ai sensi dell’articolo 21 del regolamento (UE) 2023/1115 sono contitolari del trattamento per la trasmissione, conservazione e altri trattamenti dei dati personali nel contesto di tale cooperazione, definendo mediante accordo interno le rispettive responsabilità ove richiesto dall’articolo 26, paragrafo 1, del regolamento (UE) 2016/679.

Sicurezza e auditabilità

L’articolo 15 impone alla Commissione di adottare misure avanzate per la sicurezza dei dati, un adeguato controllo degli accessi e un piano di sicurezza aggiornato. In caso di incidente di sicurezza devono essere adottate misure correttive e deve essere possibile verificare quali dati siano stati trattati, quando, da chi e per quale finalità. Le autorità competenti devono essere informate delle misure adottate.

Riservatezza

L’articolo 16 prevede che Stato membro e Commissione applichino le rispettive norme sul segreto professionale o obblighi equivalenti di riservatezza. I partecipanti devono garantire che le persone che operano sotto la loro autorità rispettino le richieste di trattamento riservato formulate dagli altri partecipanti.

Disponibilità multilingue e uso delle informazioni

L’articolo 17 dispone che il sistema sia disponibile in tutte le lingue ufficiali dell’Unione. Le informazioni, i documenti, le constatazioni, le dichiarazioni o le copie conformi ricevuti nel sistema possono essere usati dal partecipante per i compiti conferiti dal regolamento (UE) 2023/1115, alle stesse condizioni di informazioni analoghe ottenute nel proprio paese e per finalità compatibili con quelle originarie.

Riparto delle spese

L’articolo 18 stabilisce che le spese di istituzione, manutenzione e funzionamento del sistema sono a carico della Commissione, mentre le spese a livello nazionale, incluse formazione, promozione, assistenza tecnica, uso del sistema e adeguamenti delle reti e dei sistemi nazionali, restano a carico dello Stato membro che le sostiene.

Entrata in vigore e applicazione

L’articolo 19 prevede l’entrata in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Il regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.