Articolo 36. Trattamento di categorie particolari di dati personali e di diverse categorie di interessati

Transcript

1 Terzo parere dell autorità di controllo comune dell Europol (parere 14-39) relativo all orientamento generale adottato dal Consiglio dell Unione europea in relazione al regolamento del Parlamento europeo e del Consiglio che istituisce l Agenzia dell Unione europea per la cooperazione e la formazione delle autorità di contrasto (Europol) 1. Introduzione Nella riunione del 5 e 6 giugno 2014 il Consiglio Giustizia e affari interni ha definito un orientamento generale sul progetto di regolamento Europol. In merito a questo progetto il Parlamento europeo ha adottato la sua posizione in prima lettura il 25 febbraio Alla luce di alcune importanti modifiche della proposta di progetto, che introducono nuove disposizioni in materia di protezione dei dati, l autorità di controllo comune (ACC) dell Europol intende contribuire alle prossime discussioni formulando un terzo parere sul progetto di regolamento Europol 1. Il presente parere sarà incentrato su due aspetti recentemente introdotti nell orientamento generale e su un cambiamento della politica relativa al trattamento dei dati sensibili. Articolo 36. Trattamento di categorie particolari di dati personali e di diverse categorie di interessati Il progetto di regolamento proposto prevede all articolo 36 il divieto di trattamento dei dati sensibili e dei dati su specifiche categorie di interessati, come i minori. Il trattamento dovrebbe essere consentito solo se strettamente necessario. Con questa formulazione la proposta dà seguito alla 1 Cfr. i precedenti pareri n. 13/31 del 10 giugno 2013 e n. 13/56 del 9 ottobre

2 preoccupazione espressa nei vari strumenti applicabili in materia di protezione dei dati 2 secondo cui il trattamento di categorie particolari di dati deve essere limitato. Il testo attualmente concordato nell orientamento generale si discosta notevolmente da quello che deve essere inteso come un principio di protezione dei dati accettato: i dati sensibili non dovrebbero essere trattati a meno che non vi sia un motivo chiaro e imperativo. Tale principio si applica anche al trattamento dei dati relativi a categorie particolari di persone 3. Attualmente il testo stabilisce solo che il trattamento sarà consentito qualora necessario. Tale regolamentazione del trattamento elimina la differenza tra le norme sul trattamento dei dati personali generici e quelle relative ai dati sensibili. Poiché non sussiste alcuna giustificazione per discostarsi dall orientamento generale relativo alla protezione di dati per i dati sensibili e vista la necessità di disporre di norme più rigorose per il trattamento di tali dati e per categorie specifiche di interessati, l ACC esorta a mantenere la norma generale di cui all articolo 36 secondo cui il trattamento dei dati sensibili è vietato, a meno che non sia strettamente necessario per prevenire o combattere forme di criminalità. L ACC ha anche osservato che all articolo 36, paragrafo 2, la formulazione che rivelino la razza o l origine etnica [...] è sostituita da riguardanti la razza o l origine etnica [...]. Poiché la nuova formulazione si discosta dalle formulazioni generalmente utilizzate ( che rivelino ), ciò potrebbe generare una limitazione inattesa della definizione di dati personali sensibili. L ACC esorta a rimanere in linea con gli altri strumenti giuridici utilizzando l espressione che rivelino anziché riguardanti. Articolo 39. Diritto di accesso dell interessato L ACC ha osservato che molti dei suoi suggerimenti sono utilizzati nell ottica di migliorare l articolo 39. Tali miglioramenti sono estremamente importanti: il diritto di accesso costituisce un elemento indispensabile per il diritto fondamentale della protezione dei dati. Tuttavia, l ACC ha altresì rilevato che il testo concordato nell orientamento generale contiene un nuovo elemento che desta serie preoccupazioni. L ACC si riferisce all introduzione nell articolo 39, paragrafo 4, dell ultima frase: L Europol rispetta tali opposizioni. 2 3 Cfr. l articolo 6 della convenzione del Consiglio d Europa (ETS n. 108), del 28 gennaio 1981: i dati a carattere personale non possono essere elaborati automaticamente a meno che il diritto interno preveda delle garanzie appropriate. Raccomandazione del comitato dei ministri n. R(87) 15, principio 2: il trattamento dovrebbe essere vietato salvo se assolutamente necessario. Decisione quadro 2008/977/GAI del Consiglio, articolo 6: il trattamento è ammesso soltanto se strettamente necessario. Cfr. il considerando 34 del progetto di regolamento Europol. 2

3 Il contesto delle osservazioni dell ACC si fonda sulla prassi seguita dall Europol per l attuazione di tale diritto nell ultimo decennio. L articolo 19, paragrafo 4, ultima frase della prima base giuridica dell Europol, ossia la convenzione Europol 4, impone a quest ultimo, a seguito di una domanda di accesso, di non fornire all interessato indicazioni che possano rivelargli se l Europol abbia o meno informazioni sul suo conto, qualora uno o più Stati membri o l Europol si siano detti contrari a tale comunicazione. Questa disposizione, insieme all applicabilità del diritto nazionale dello Stato membro in cui è stata presentata una domanda di accesso, ha creato una situazione in cui le richieste ricevevano sempre una risposta in linea con l articolo 19, paragrafo 4. Le decisioni del comitato per i ricorsi 5 relative ai ricorsi a tali decisioni dell Europol hanno dimostrato, in casi identici, notevoli differenze tra le leggi e le prassi nazionali. Hanno inoltre rivelato che, nella maggior parte dei casi, gli Stati membri hanno fornito all Europol opposizioni non motivate o scarsamente motivate. Su iniziativa dell Europol e dell ACC, il testo attuale dell articolo 30 è stato introdotto nella decisione Europol. La modifica principale ha riguardato il conferimento all Europol della responsabilità di emettere una decisione definitiva. Gli Stati membri interessati possono opporsi a una decisione proposta dall Europol, ma l Europol mantiene la responsabilità di decidere in merito alla domanda di accesso. L Europol deve decidere se concedere l accesso alla domanda o, qualora ritenga che si applichi una delle deroghe di cui all articolo 30, paragrafo 5, deve assumersi la responsabilità di negare l accesso. Ai sensi dell articolo 30, paragrafo 4, nel valutare una domanda, l Europol deve consultare le autorità competenti degli Stati membri interessati. La decisione dell Europol è assunta in stretta collaborazione con gli Stati membri direttamente coinvolti. Quando si oppone alla risposta proposta dall Europol, lo Stato membro informa l Europol del motivo o dei motivi dell opposizione. La responsabilità dell Europol di decidere in merito a una domanda di accesso contempla anche gli interessi dell interessato nonché eventuali informazioni fornite dagli Stati membri coinvolti. 4 5 GU C 316 del , pag. 1. Le decisioni del comitato per i ricorsi sono pubblicate al seguente indirizzo: 3

4 Tali deroghe sono applicabili solo se, e nella misura in cui 6, gli interessi della polizia o di terzi prevalgono sull interesse a esercitare il diritto di accesso. Secondo il principio di proporzionalità, una decisione sul diritto di accesso comporta una valutazione caso per caso. L accesso può essere rifiutato solo se necessario ai fini previsti dalle deroghe. Il termine necessario implica l obbligo da parte dell Europol di motivare il ricorso a una deroga. Il semplice riferimento a un timore più generale non è sufficiente per dimostrare la necessità di ricorrere a una deroga. L Europol deve stabilire, ed essere in grado di spiegare, che la comunicazione potrebbe pregiudicare esplicitamente ed effettivamente l interesse tutelato. Il rischio che la comunicazione leda l interesse tutelato dovrebbe essere ragionevolmente prevedibile e non puramente ipotetico. Sebbene nella sua valutazione l Europol debba prendere in considerazione le opposizioni degli Stati membri, la mera opposizione di uno Stato membro non giustifica l applicazione delle deroghe di cui all articolo 30, paragrafo 5. L applicazione del diritto fondamentale di accesso ai dati trattati dall Europol non può essere annullata da una semplice opposizione o da un opposizione scarsamente motivata avanzata da uno Stato membro. L Europol è responsabile di valutare se una deroga è applicabile o meno e in tale valutazione deve ponderare per ogni caso specifico se le ragioni fornite da uno Stato membro siano tali da rendere applicabile o meno la deroga. 7 Poiché ciascun interessato può proporre un reclamo al Garante europeo della protezione dei dati e, infine, avviare un ricorso dinanzi alla Corte di giustizia dell Unione europea 8, l Europol deve essere in grado di effettuare una propria valutazione senza essere costretto a prendere una determinata decisione che potrebbe non essere conforme all articolo 39. In sintesi, l ACC sollecita la soppressione dell ultima frase dell articolo 39, paragrafo 4: L Europol rispetta tali opposizioni. Articolo 47. Cooperazione tra il Garante europeo della protezione dei dati e le autorità di controllo nazionali Come già indicato nei due pareri dell ACC sul progetto di regolamento 9, il coinvolgimento delle autorità nazionali per la protezione dei dati durante il controllo dell Europol è fondamentale, poiché una grande maggioranza dei dati raccolti e trattati dall Europol proviene dagli Stati membri, ai quali Cfr. al riguardo il secondo parere n. 13/56 dell ACC sul progetto di regolamento, in cui l ACC invita a conformare l articolo 39, paragrafo 5, alla presente decisione Europol e al progetto di direttiva concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità di contrasto introducendo all articolo 39, paragrafo 5, la seguente espressione [...] è rifiutata nella misura in cui tale rifiuto totale o parziale sia [ ]. Il parere in questione è pubblicato al seguente indirizzo: Cfr. al riguardo anche la decisione n. 10/02 del comitato per i ricorsi, del 14 marzo 2012, pubblicata al seguente indirizzo: Cfr. l articolo 49 e l articolo 50 del progetto di regolamento. Cfr. i precedenti pareri n. 13/31 del 10 giugno 2013 e n. 13/56 del 9 ottobre

5 a un certo punto sarà rinviata per un ulteriore utilizzo nel contesto di indagini nazionali. Pertanto, occorre la vasta esperienza nazionale sul trattamento delle informazioni riguardanti l attività di contrasto. Nel suo secondo parere l ACC ha inoltre sottolineato che la coerenza nel controllo della protezione dei dati dell Europol si consegue meglio con la creazione di una struttura di controllo comune indipendente ed efficace che preveda l equa partecipazione di ciascuna autorità nazionale per la protezione dei dati e del Garante europeo della protezione dei dati. Anche in questo caso, la vasta esperienza nazionale sul trattamento delle informazioni riguardanti l attività di contrasto è fondamentale. In realtà, il funzionamento dei sistemi d informazione dell Europol, la condivisione di responsabilità sui dati tra l Europol e gli Stati membri, la possibilità per gli interessati di esercitare il diritto di accesso e il ruolo dell Europol quale fornitore di servizi per gli Stati membri richiedono il coinvolgimento stretto e diretto delle autorità di controllo nazionali. Tutto questo esige un controllo attivo e integrato che oltrepassa un modello coordinato, allo scopo di riflettere la situazione unica dell Europol. A questo proposito, l ACC ribadisce le osservazioni formulate nei primi due pareri su altre forme di cooperazione. L orientamento generale del Consiglio introduce all articolo 47 elementi nuovi e di cruciale importanza ai fini della cooperazione tra le diverse autorità di controllo coinvolte nelle attività dell Europol. Ai sensi dell articolo 47, paragrafo 2, il Garante europeo della protezione dei dati si avvale delle competenze e dell esperienza delle autorità di controllo nazionali nell espletamento delle sue funzioni. L ACC non può che sostenere tale obbligo, poiché durante il controllo dell Europol garantisce il ricorso alla vasta esperienza nazionale sul trattamento delle informazioni riguardanti l attività di contrasto. L ACC accoglie con favore il progresso compiuto con l introduzione di un nuovo modello che prevede una struttura di controllo comune, ossia il consiglio di cooperazione. La composizione del consiglio e la definizione dei suoi compiti, come descritto all articolo 47, paragrafo 6, sono fondamentali per la parità di partecipazione (strutturale e non gerarchica) di tutti gli attori coinvolti, garantendo così la coerenza in termini di supervisione e di controllo efficace della protezione dei dati dell Europol. L ACC evidenzia l importanza di determinare le competenze e i compiti del consiglio di cooperazione in modo da garantire il coordinamento delle attività tra i suoi membri. Una caratteristica essenziale del consiglio di cooperazione consiste nel creare una struttura autonoma in cui le autorità nazionali per la protezione dei dati, insieme al Garante europeo della protezione dei dati, contribuiscono a equilibrare attentamente gli interessi legati alle attività di contrasto e di protezione dei dati nel lavoro quotidiano dell Europol. I dettagli relativi allo 5

6 svolgimento pratico dei compiti del consiglio di cooperazione saranno stabiliti in una fase successiva con la redazione del regolamento interno del consiglio. L ACC rileva inoltre che, tenuto conto delle esigenze simili nella fase di controllo di altre strutture di cooperazione con le autorità di contrasto, il consiglio di cooperazione proposto può costituire un esempio per il futuro. Come già osservato, questo esempio assicura un controllo coerente ed efficace. Un ultima osservazione riguarda la composizione del consiglio di cooperazione. L articolo 47, paragrafo 4, stabilisce che il consiglio è composto da un rappresentante di un autorità di controllo di ciascuno Stato membro. La base giuridica dell ACC consente un massimo di due membri o rappresentanti dell autorità di controllo nazionale 10. In questo modo, la partecipazione di autorità di controllo subnazionali può essere garantita qualora tali autorità siano (anche) competenti in materia di controllo del trattamento dei dati delle autorità di contrasto in uno Stato membro. L ACC propone di modificare l articolo 47, paragrafo 4, seguendo questa formulazione. L ACC auspica che il presente parere contribuirà alle discussioni del progetto di regolamento Europol ed è naturalmente sempre disposta a fornire ulteriore consulenza e assistenza. Fatto a Bruxelles, il 2 ottobre 2014 Vanna Palumbo Presidente 10 Cfr. l articolo 34, paragrafo 1, della decisione del Consiglio relativa a Europol. 6