Regolamento (UE) 2022/1380

Regolamento di esecuzione (UE) 2022/1380: interrogazioni dei vettori nel sistema ETIAS

Il regolamento attua gli articoli 45 e 46 del regolamento (UE) 2018/1240, che istituisce l’ETIAS per i cittadini di paesi terzi esenti dall’obbligo di visto. La finalità è rendere operativa l’interrogazione di verifica da parte dei vettori, disciplinando in modo puntuale accesso al portale, autenticazione, protezione dei dati, sicurezza, formati tecnici e procedure alternative in caso di guasto o impossibilità tecnica.

Ambito soggettivo e applicativo

Il regolamento si applica ai vettori aerei, marittimi e internazionali stradali che effettuano trasporti di gruppo con autopullman e che entrano nel territorio degli Stati membri. L’obbligo principale consiste nell’interrogare l’ETIAS per verificare se i viaggiatori soggetti ad autorizzazione ai viaggi ne siano titolari. Il testo precisa inoltre che, se l’imbarco è preceduto da verifiche di frontiera per l’ingresso nel territorio degli Stati membri, i vettori sono esonerati dall’obbligo di verificare lo status dell’autorizzazione ai viaggi.

Definizioni rilevanti

Ai fini del regolamento, l’"interfaccia per i vettori" è il portale sviluppato da eu-LISA ai sensi dell’articolo 73, paragrafo 3, del regolamento (UE) 2018/1240 e collegato a una banca dati a sola lettura. Gli "orientamenti tecnici" costituiscono la parte delle specifiche tecniche rilevante per l’attuazione del metodo di autenticazione e per lo sviluppo del formato dei messaggi. È inoltre definito il concetto di "personale debitamente autorizzato", ossia il personale del vettore o di soggetti che agiscono sotto la sua direzione o supervisione e incaricato di verificare lo status dei viaggiatori per conto del vettore.

Obblighi operativi dei vettori

L’interrogazione di verifica deve essere avviata tramite l’interfaccia per i vettori e con un anticipo non superiore a 48 ore rispetto all’orario di partenza programmato. Il vettore deve assicurare che solo il personale autorizzato acceda all’interfaccia, adottando almeno quattro categorie di misure: controllo degli accessi fisici e logici, autenticazione, registrazione degli accessi e revisione periodica dei diritti di accesso.

Per connettersi all’interfaccia, il vettore può usare una connessione di rete apposita o internet. L’accesso è possibile tramite API, browser web o applicazione mobile.

Dati da inserire nell’interrogazione

Per avviare l’interrogazione, il vettore deve inserire i dati anagrafici e di viaggio del passeggero: cognome e nome, data di nascita, sesso, cittadinanza, tipo e numero del documento di viaggio, codice del paese di rilascio, data di scadenza del documento, giorno di arrivo previsto alla frontiera, Stato membro di ingresso previsto o, se identificabile, aeroporto nello Stato membro di ingresso, nonché i dettagli del mezzo di trasporto utilizzato. È ammessa la scansione della zona a lettura ottica del documento di viaggio per acquisire alcuni dati.

Se il passeggero non rientra nell’ambito del regolamento (UE) 2018/1240 oppure si trova in transito aeroportuale, il vettore deve poterlo indicare nell’interrogazione. Le interrogazioni possono riguardare uno o più passeggeri e l’interfaccia restituisce una risposta separata per ciascuno.

Esiti dell’interrogazione e regime transitorio

La risposta può essere "non applicabile", "OK" o "non OK". Nei casi di non applicabilità o transito aeroportuale, la risposta è sempre "non applicabile". Negli altri casi, la logica di risposta varia in funzione della fase di applicazione dell’ETIAS.

Durante il periodo transitorio di cui all’articolo 83, paragrafo 1, del regolamento (UE) 2018/1240, l’accesso resta più permissivo: in varie ipotesi il risultato è "OK" anche in assenza di autorizzazione ai viaggi valida, mentre la risposta "non applicabile" è usata in specifiche situazioni indicate dal regolamento. Dopo il periodo di tolleranza di cui all’articolo 83, paragrafo 3, la disciplina diventa più restrittiva e distingue anche tra prime e successive entrate nel territorio degli Stati membri che applicano l’ETIAS, nonché tra casi con validità territoriale limitata (VTL) e casi ordinari.

Dopo la scadenza del periodo di tolleranza, il regolamento distingue ulteriormente tra la fase precedente e quella successiva all’entrata in funzione del sistema di informazione visti di cui al regolamento (CE) n. 767/2008. In tale fase, la risposta positiva può dipendere dall’esistenza di almeno un giorno residuo di soggiorno autorizzato.

Aspetti tecnici: formati dei messaggi, estrazione dati e sicurezza

eu-LISA deve specificare negli orientamenti tecnici i formati e la struttura dei messaggi usati per le interrogazioni e le risposte. Il regolamento impone almeno la compatibilità con UN/EDIFACT, PAXLST/CUSRES, XML e JSON.

I dati relativi alle autorizzazioni ai viaggi rilasciate, annullate e revocate devono essere estratti automaticamente dal sistema ETIAS almeno una volta al giorno e trasmessi alla banca dati a sola lettura. Le estrazioni sono registrate, ed eu-LISA è responsabile della sicurezza dell’interfaccia, dei dati personali e del processo di estrazione e trasmissione. Il flusso è unidirezionale: non è consentito trasferire dati dalla banca dati a sola lettura verso il sistema ETIAS.

Autenticazione e registrazione dei vettori

eu-LISA deve sviluppare un metodo di autenticazione che incorpori principi di sicurezza e di protezione dei dati fin dalla progettazione e per impostazione predefinita, oltre a meccanismi di controllo e tracciabilità. Il metodo va dettagliato negli orientamenti tecnici e collaudato; se il vettore usa l’API, occorre anche l’autenticazione reciproca.

La registrazione è obbligatoria per i vettori che operano e trasportano passeggeri nel territorio degli Stati membri. Il modulo di registrazione, messo a disposizione online da eu-LISA, richiede informazioni societarie e di contatto, dati del rappresentante legale, informazioni sul documento di iscrizione societaria e, se del caso, sugli Stati membri in cui il vettore opera o intende operare. Il vettore deve dichiarare di rispettare i requisiti minimi di sicurezza, di operare o voler operare entro sei mesi e di garantire che solo personale autorizzato abbia accesso all’interfaccia.

Il modulo richiede anche l’allegazione di atti costitutivi e di un estratto dell’iscrizione societaria, salvo sostituzione con un’autorizzazione a operare in uno o più Stati membri. Inoltre, il regolamento impone al vettore di comunicare ogni variazione rilevante, di notificare eventuali violazioni di dati personali e di rivedere regolarmente i diritti di accesso del personale.

Cancellazione della registrazione e sconnessione

La registrazione può essere cancellata se il vettore lo richiede, se non è più operativo, se non usa l’interfaccia da un anno, o se viola il regolamento, i requisiti di sicurezza o gli orientamenti tecnici, anche in caso di abuso dell’interfaccia. In linea generale, eu-LISA deve preavvisare la cancellazione di un mese e consentire osservazioni scritte.

In caso di urgenze di sicurezza informatica, eu-LISA può disconnettere immediatamente il vettore. Il testo prevede inoltre assistenza per correggere le carenze e, ove possibile, un accesso temporaneo con strumenti diversi da quelli ordinari. Una volta rimossi i problemi di sicurezza, il vettore può essere riconnesso; se la registrazione è stata cancellata, può presentare una nuova domanda.

Collaudo e connessione operativa

eu-LISA deve fornire orientamenti tecnici, piano di collaudo, ambiente di collaudo e simulatore. Per le connessioni API vengono testati il formato del messaggio e il metodo di autenticazione; per browser e app mobile, il vettore comunica l’avvenuto collaudo e la formazione adeguata del personale. La connessione operativa avviene dopo il completamento corretto della registrazione e dei test, oppure dopo la notifica di esito positivo per le connessioni non API.

Impossibilità tecnica e assistenza ai vettori

Se l’interrogazione di verifica non può essere avviata per un guasto del sistema ETIAS, il vettore deve informare l’unità centrale ETIAS con i mezzi previsti dall’articolo 14; se il guasto è rilevato o confermato da eu-LISA, l’unità centrale informa i vettori interessati e gli Stati membri e segnala la riparazione. Se l’impossibilità tecnica deriva da cause diverse da un guasto del sistema, il vettore deve comunque informare l’unità centrale ETIAS.

L’assistenza avviene tramite un modulo web di ticketing che raccoglie i dati identificativi del vettore, una sintesi della richiesta e, se tecnica, la data e l’ora di inizio del problema. Ogni richiesta riceve conferma con numero di ticket. Le richieste tecniche sono trattate da eu-LISA; quelle non tecniche dall’unità centrale ETIAS. Se il modulo web non è utilizzabile, è disponibile una linea telefonica di emergenza. Il servizio è operativo 24 ore su 24, 7 giorni su 7, in lingua inglese, e viene messo a disposizione un elenco di domande e risposte frequenti in tutte le lingue ufficiali dell’Unione.

Abrogazione ed entrata in vigore

Il regolamento abroga il regolamento di esecuzione (UE) 2021/1217. Entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.