5726/17 buc/sp 1 DG D 1 A

Transcript

1 Consiglio dell'unione europea Bruxelles, 27 gennaio 2017 (OR. en) Fascicolo interistituzionale: 2016/0352 (NLE) 5726/17 SCH-EVAL 32 COMIX 67 RISULTATI DEI LAVORI Origine: in data: 27 gennaio 2017 Destinatario: Segretariato generale del Consiglio delegazioni n. doc. prec.: 5225/1/17 REV 1 Oggetto: Decisione di esecuzione del Consiglio recante raccomandazione relativa alla correzione delle carenze individuate nella valutazione del 2016 dell'applicazione, da parte del Lussemburgo, dell'acquis di Schengen nel settore della protezione dei dati Si allega per le delegazioni la decisione di esecuzione del Consiglio recante raccomandazione relativa alla correzione delle carenze individuate nella valutazione del 2016 dell'applicazione, da parte del Lussemburgo, dell'acquis di Schengen nel settore della protezione dei dati, adottata dal Consiglio nella 3515ª sessione tenutasi il 27 gennaio In linea con l'articolo 15, paragrafo 3, del regolamento (UE) n. 1053/2013 del Consiglio, del 7 ottobre 2013, la presente raccomandazione sarà trasmessa al Parlamento europeo e ai parlamenti nazionali. 5726/17 buc/sp 1 DG D 1 A IT

2 ALLEGATO Decisione di esecuzione del Consiglio recante RACCOMANDAZIONE relativa alla correzione delle carenze individuate nella valutazione del 2016 dell'applicazione, da parte del Lussemburgo, dell'acquis di Schengen nel settore della protezione dei dati IL CONSIGLIO DELL'UNIONE EUROPEA, visto il regolamento (UE) n. 1053/2013 del Consiglio, del 7 ottobre 2013, che istituisce un meccanismo di valutazione e di controllo per verificare l'applicazione dell'acquis di Schengen e che abroga la decisione del comitato esecutivo del 16 settembre 1998 che istituisce una Commissione permanente di valutazione e di applicazione di Schengen 1, in particolare l'articolo 15, vista la proposta della Commissione europea, considerando quanto segue: (1) Scopo della presente decisione è raccomandare al Lussemburgo provvedimenti correttivi per colmare le carenze riscontrate durante la valutazione Schengen del 2016 nel settore della protezione dei dati. A seguito della valutazione, con decisione di esecuzione della Commissione [C(2016)7200] è stata adottata una relazione riguardante i risultati e le valutazioni, che elenca le migliori pratiche e le carenze riscontrate. (2) Le attività dell'autorità per la protezione dei dati del Lussemburgo ("Commission nationale pour la protection des données" e "l'autorità di controllo di cui all'articolo 17") e il Ministero degli affari esteri ed europei concernenti la comunicazione di informazioni sugli aspetti relativi alla protezione dei dati e, in particolare, sui diritti degli interessati in relazione al sistema d'informazione Schengen II e al sistema d'informazione visti sono considerate una buona prassi. 1 GU L 295 del , pag /17 buc/sp 2

3 (3) In considerazione dell'importanza di rispettare l'acquis di Schengen, in particolare di garantire che i dati personali nel VIS nazionale (N-VIS) siano trattati in modo lecito, dovrebbe essere data priorità all'attuazione della raccomandazione n. 7. (4) La presente decisione recante raccomandazione va trasmessa al Parlamento europeo e ai parlamenti degli Stati membri. Entro tre mesi dalla sua adozione lo Stato membro valutato elabora, ai sensi dell'articolo 16, paragrafo 1, del regolamento (UE) n. 1053/2013, un piano d'azione volto a correggere le carenze riscontrate nella relazione di valutazione e lo presenta alla Commissione e al Consiglio, RACCOMANDA: il Lussemburgo dovrebbe Normativa 1. nel caso in cui le discussioni delle autorità lussemburghesi sul futuro dell'autorità di controllo di cui all'articolo 17 (SA) non portino alla fusione tra la SA e l'autorità nazionale per la protezione dei dati ("Commission nationale pour la protection des données", CNDP), adottare un regolamento che disciplini la struttura organizzativa e le attività della SA, come previsto all'articolo 17, paragrafo 2, della legge sulla protezione dei dati 2 per garantire il corretto svolgimento dei compiti della SA relativi all'acquis di Schengen; Autorità di controllo della protezione dei dati 2. al fine di garantire la totale indipendenza della CNDP, riformare le disposizioni nazionali relative alla revoca dei membri e membri supplenti della CNPD in modo tale che la base giuridica applicabile a tal fine sia chiaramente definita e non poggi soltanto sull'interpretazione delle disposizioni vigenti. Stabilire espressamente che membri e membri supplenti della CNPD possono essere revocati solo in situazioni eccezionali, in particolare per colpa grave; 2 Legge del 2 agosto 2002 (come modificata) relativa alla protezione delle persone con riguardo al trattamento dei dati personali. 5726/17 buc/sp 3

4 3. chiarire e potenziare la situazione della SA. Compete alle autorità lussemburghesi decidere in che modo farlo. Ciò potrebbe avvenire ad esempio, come discusso, mediante la fusione della CNPD e della SA, oppure mantenendo la SA come autorità a se stante, alla quale andrebbero destinati una dotazione di bilancio e il necessario personale dotato di conoscenze tecniche e giuridiche; inoltre dovrebbe essere adottato il regolamento previsto all'articolo 17 della legge sulla protezione dei dati; 4. se la SA è mantenuta come autorità distinta, conferirle maggiori poteri, in particolare per garantire l'esecuzione delle sue misure e decisioni, ad esempio quelle adottate nei confronti della polizia. Tali poteri dovrebbero essere comparabili a quelli attribuiti alla CNPD; 5. garantire che la SA sorvegli la liceità del trattamento dei dati personali del sistema d'informazione Schengen II (SIS II), nonché la liceità del trattamento dei dati del sistema d'informazione visti (VIS) da parte delle autorità di contrasto, ivi compreso un controllo più sistematico delle registrazioni (log-file); 6. garantire che la CNPD sorvegli la liceità del trattamento dei dati personali del VIS, ivi compreso un controllo più sistematico delle registrazioni (log-file); 7. assicurare che la CNPD e la SA provvedano a che, almeno ogni quattro anni, siano effettuati audit delle operazioni di trattamento dei dati nel sistema nazionale del VIS. Occorre intraprendere quanto prima le azioni necessarie per conformarsi a tale obbligo, giacché la scadenza per il primo audit (ottobre 2015) non è stata rispettata; Diritti degli interessati 8. esaminare la possibilità di stabilire che la SA è tenuta a fornire risposte più trasparenti alle richieste degli interessati di accedere ai propri dati personali memorizzati nel SIS II; 9. garantire che le risposte della SA alle richieste d'accesso degli interessati contengano informazioni sul diritto di ricorso per via giudiziaria; 10. assicurare un più agevole reperimento delle informazioni sui diritti degli interessati in relazione al SIS II sul sito web della polizia del Granducato; tali informazioni dovrebbero essere fornite anche in inglese; 5726/17 buc/sp 4

5 11. garantire che il ministero degli Affari esteri ed europei designi una persona/unità che tratti le richieste degli interessati di accesso ai propri dati personali memorizzati nel VIS così come di rettifica o cancellazione degli stessi; Sistema d'informazione visti 12. provvedere a che il ministero degli Affari esteri ed europei elabori una metodologia e prassi chiare e complete per il controllo interno dell'efficacia delle misure di sicurezza relative alla protezione e alla sicurezza dei dati, a norma dell'articolo 32, paragrafo 2, lettera k), del regolamento (CE) n. 767/2008 e dell'articolo 9, paragrafo 2, lettera k), della decisione 2008/633/GAI del Consiglio relativa al VIS, compresa una verifica periodica della liceità del trattamento dei dati nel VIS sulla base dei registri; 13. assicurare che i registri N-VIS siano conservati e cancellati in conformità dell'articolo 34 del regolamento (CE) n. 767/2008 e dell'articolo 16 della decisione del Consiglio relativa al VIS; 14. attuare misure tecniche o organizzative per garantire la distruzione dei fascicoli AE.VIS (banca dati nazionale sui visti) allo scadere dei previsti periodi di conservazione dei dati; Sistema d Informazione Schengen II 15. garantire che la polizia elabori una metodologia e prassi chiare e complete per il controllo interno dell'efficacia delle sue misure di sicurezza relative alla protezione e alla sicurezza dei dati, a norma dell'articolo 10, paragrafo 1, lettera k), del regolamento (CE) n. 1987/2006 e dell'articolo 10, paragrafo 1, lettera k), della decisione del Consiglio relativa al SIS II (decisione 2007/533/GAI del 12 giugno 2007); 16. assicurare che i registri SIS II siano utilizzati su base periodica per verificare la liceità del trattamento dei dati nel SIS II. La polizia dovrebbe procedere a verifiche randomizzate dei fascicoli contenuti nel registro per individuare eventuali abusi delle informazioni nella sezione nazionale del SIS (N-SIS); 5726/17 buc/sp 5

6 Sensibilizzazione dell'opinione pubblica 17. fornire informazioni generali sul trattamento dei dati e sulla protezione dei dati personali in relazione al SIS II sul sito web della polizia del Granducato. Fatto a Bruxelles, il Per il Consiglio Il presidente 5726/17 buc/sp 6