6355/17 ELE/lui/S 1 DG D 1 A

Transcript

1 Consiglio dell'unione europea Bruxelles, 17 febbraio 2017 (OR. en) Fascicolo interistituzionale: 2016/0390 (NLE) 6355/17 SCH-EVAL 64 COMIX 127 RISULTATI DEI LAVORI Origine: in data: 17 febbraio 2017 Destinatario: Segretariato generale del Consiglio delegazioni n. doc. prec.: 5778/17 Oggetto: Decisione di esecuzione del Consiglio recante raccomandazione relativa alla correzione delle carenze individuate nella valutazione del 2016 dell'applicazione, da parte dell'italia, dell'acquis di Schengen nel settore della protezione dei dati Si allega per le delegazioni la decisione di esecuzione del Consiglio recante raccomandazione relativa alla correzione delle carenze individuate nella valutazione del 2016 dell'applicazione, da parte dell'italia, dell'acquis di Schengen nel settore della protezione dei dati, adottata dal Consiglio nella 3518 a sessione tenutasi il 17 febbraio In linea con l'articolo 15, paragrafo 3, del regolamento (UE) n. 1053/2013 del Consiglio, del 7 ottobre 2013, la presente raccomandazione sarà trasmessa al Parlamento europeo e ai parlamenti nazionali. 6355/17 ELE/lui/S 1 DG D 1 A IT

2 ALLEGATO Decisione di esecuzione del Consiglio recante RACCOMANDAZIONE relativa alla correzione delle carenze individuate nella valutazione del 2016 dell applicazione, da parte dell Italia, dell acquis di Schengen nel settore della protezione dei dati IL CONSIGLIO DELL'UNIONE EUROPEA, visto il regolamento (UE) n. 1053/2013 del Consiglio, del 7 ottobre 2013, che istituisce un meccanismo di valutazione e di controllo per verificare l'applicazione dell'acquis di Schengen e che abroga la decisione del comitato esecutivo del 16 settembre 1998 che istituisce una Commissione permanente di valutazione e di applicazione di Schengen 1, in particolare l'articolo 15, vista la proposta della Commissione europea, considerando quanto segue: (1) Scopo della presente decisione è raccomandare all'italia provvedimenti correttivi per rimediare alle carenze riscontrate durante la valutazione Schengen del 2016 nel settore della protezione dei dati. A seguito della valutazione, con decisione di esecuzione della Commissione [C(2016)7202] è stata adottata una relazione riguardante i risultati e le valutazioni, che elenca le migliori pratiche e le carenze riscontrate. 1 GU L 295 del , pag /17 ELE/lui/S 2

3 (2) Fra le buone pratiche individuate figurano il manuale inviato dal Ministero degli affari esteri e della cooperazione internazionale (MAE) a tutte le sedi consolari, contenente istruzioni formali per le procedure di selezione dei fornitori esterni di servizi e per la gestione dei rapporti con questi ultimi, e l'applicazione di regole rigorose da parte del Ministero dell'interno per il rilascio delle autorizzazioni di accesso al sistema d'informazione Schengen II (SIS II), che prevedono un rinnovo ogni 60 giorni e il regolare controllo delle attività in SIS II degli utenti finali quale condizione per il rinnovo delle autorizzazioni. (3) In considerazione dell'importanza del rispetto dell'acquis di Schengen, in particolare di garantire la liceità del trattamento dei dati personali nel VIS nazionale, dovrebbe essere data priorità all'attuazione della raccomandazione n. 6. (4) È opportuno trasmettere la presente decisione recante raccomandazione al Parlamento europeo e ai parlamenti degli Stati membri. Entro tre mesi dalla sua adozione, lo Stato membro valutato elabora, ai sensi dell'articolo 16, paragrafo 1, del regolamento (UE) n. 1053/2013, un piano d'azione volto a correggere le carenze riscontrate nella relazione di valutazione e lo presenta alla Commissione e al Consiglio, RACCOMANDA: l'italia dovrebbe Autorità di controllo della protezione dei dati 1. al fine di garantire meglio la totale indipendenza del garante italiano per la protezione dei dati personali (GPD), riformare le disposizioni nazionali relative alla procedura di bilancio, in modo da ripristinare la partecipazione del garante stesso all'elaborazione del proprio bilancio prima della trasmissione della proposta di bilancio generale dello Stato al Parlamento per discussione e adozione; occorrerebbe in particolare disporre che il GPD possa contribuire direttamente all'elaborazione della proposta di stanziamento di cui alla legge di stabilità, che attualmente è prerogativa esclusiva del governo; 6355/17 ELE/lui/S 3

4 2. assegnare al GPD sufficienti risorse finanziarie e umane per metterlo in grado di svolgere tutti i compiti ad esso affidati a norma dell'acquis relativo al sistema d'informazione Schengen II (SIS II) e al sistema d'informazione visti (VIS); 3. garantire che il GPD controlli, mediante ispezioni, la liceità del trattamento dei dati personali in SIS II, ivi compreso un controllo più sistematico dei file di log; 4. garantire che, almeno ogni quattro anni, gli audit delle operazioni di trattamento dei dati in N.SIS siano effettuati dal GPD stesso o, in alternativa, da questo commissionati direttamente ad un revisore indipendente in materia di protezione dei dati; il revisore deve rimanere sotto il controllo e la responsabilità del GPD, il quale è quindi tenuto a definire chiaramente la finalità, il campo di applicazione e la metodologia dell'audit nonché a fornire le istruzioni e a supervisionare l'audit e i suoi risultati finali; 5. garantire che il GPD sorvegli la liceità del trattamento dei dati personali del VIS, ivi compreso un controllo più sistematico dei file di log; 6. garantire che, almeno ogni quattro anni, gli audit delle operazioni di trattamento dei dati nel sistema nazionale VIS siano effettuati dal GPD stesso o, in alternativa, da questo commissionati direttamente ad un revisore indipendente in materia di protezione dei dati; il revisore deve rimanere sotto il controllo e la responsabilità del GPD, il quale è quindi tenuto a definire chiaramente la finalità, il campo di applicazione e la metodologia dell'audit nonché a fornire le istruzioni e a supervisionare l'audit e i suoi risultati finali; occorrerebbe intraprendere quanto prima le azioni necessarie per adempiere tale obbligo del GPD, in quanto la scadenza per il primo audit (ottobre 2015) non è stata rispettata; Diritti degli interessati 7. fornire informazioni sui diritti degli interessati in relazione al SIS II sul sito web del ministero dell'interno e della polizia di Stato anche in altre lingue, in particolare in inglese; 8. mettere a disposizione specifici modelli di lettere per l'esercizio dei diritti degli interessati in relazione al SIS II; 6355/17 ELE/lui/S 4

5 9. specificare chiaramente sul sito web del GPD che i reclami in materia di diritti degli interessati in relazione al SIS II sono gratuiti; 10. garantire che le risposte alle richieste degli interessati possano essere fornite anche in altre lingue, in particolare in inglese; 11. garantire che le lettere di risposta del ministero dell'interno riguardanti segnalazioni inserite da autorità italiane contengano informazioni sulle possibilità di ricorso e sul diritto di presentare un reclamo presso il GPD; 12. mettere a disposizione specifici modelli di lettere per l'esercizio dei diritti degli interessati relativi al VIS; 13. garantire che il modulo standard di domanda di visto utilizzato alle frontiere esterne individui il ministero dell'interno quale titolare del trattamento per la I-VIS (applicazione VIS - Affari interni); 14. fornire informazioni sui diritti degli interessati in relazione al VIS sul sito web del ministero dell'interno e della polizia di Stato; 15. prendere in considerazione la possibilità di presentare gratuitamente reclami formali presso il GPD in merito ai diritti degli interessati in relazione al VIS, per evitare di scoraggiare i richiedenti dall'esercizio del diritto di presentare un reclamo presso il garante; in ogni caso, occorrerebbe rendere più accessibili, sul sito web del GPD, le informazioni sull'esenzione dal pagamento dei diritti; Sistema d'informazione visti (VIS) 16. garantire un livello adeguato di protezione delle informazioni limitando o eliminando il numero di postazioni di lavoro per l'accesso remoto ai server presso il MAE; se tali postazioni di lavoro continuano ad essere utilizzate, dovrebbero essere dotate degli stessi sistemi di protezione delle sale server; 17. garantire che la copia di backup del VIS non sia situata nella stessa sala del sistema operativo, bensì off-site; 18. predisporre una procedura per effettuare un'analisi regolare e sistematica dei file di log per individuare eventuali abusi del VIS; 6355/17 ELE/lui/S 5

6 19. garantire che il MAE metta a punto una procedura per assicurare un controllo regolare delle autorizzazioni di accesso accordate agli utenti dell'n-vis (applicazione VIS nazionale centrale), dell'l-vis (applicazioni VIS locali) e della piattaforma di esternalizzazione, compresa, se necessario, la loro disattivazione; 20. garantire che l'impiego degli elenchi locali di allerta (relativi a persone che rischiano di non ricevere un visto) tenuti presso i consolati sia pienamente in linea con la normativa UE sulla protezione dei dati quale attuata dalle corrispondenti norme di legge italiane; in merito, il MAE dovrebbe consultare il GPD; 21. garantire che il MAE adotti il prima possibile un piano di sicurezza comprendente anche la sicurezza dei dati nel VIS nazionale; Sistema d'informazione Schengen di seconda generazione (SIS II) 22. garantire che il sito separato di ripristino in caso di disastro (disaster recovery) di Bari sia reso operativo il prima possibile; 23. garantire che la copia di backup dei file di log N.SIS sia conservata off-site in una diversa ubicazione geografica; 24. implementare i moduli software per l'effettiva analisi dei file di log SIS II, per individuare eventuali abusi; Sensibilizzazione dell'opinione pubblica 25. garantire una migliore reperibilità delle informazioni in italiano sul sito web del GPD in merito a VIS e SIS II e ai relativi diritti degli interessati; occorrerebbe fornire informazioni generali sul SIS II e dare maggiore visibilità, sul sito web del GPD, al link alla versione italiana della sintesi della guida di accesso a SIS II (elaborata dal gruppo di coordinamento del controllo del SIS II); 26. garantire che i materiali informativi cartacei su SIS II e VIS e sui diritti degli interessati (ad esempio opuscoli) siano disponibili presso lo sportello del GPD, nei commissariati e nei porti e negli aeroporti; 6355/17 ELE/lui/S 6

7 27. garantire che le informazioni sul SIS II e sulla procedura di rilascio dei visti siano disponibili sul sito web del ministero dell'interno non solo in italiano ma anche in altre lingue, in particolare in inglese. Fatto a Bruxelles, il Per il Consiglio Il presidente 6355/17 ELE/lui/S 7