Decisione 2008/615/GAI del Consiglio del 23 giugno 2008 sul potenziamento della cooperazione transfrontaliera, soprattutto nella lotta al terrorismo e alla criminalità transfrontaliera

1. Ai fini della presente decisione, si intende per:

1. a) «trattamento di dati personali»: qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali, come raccolta, registrazione, organizzazione, memorizzazione, adattamento o modifica, ordinamento, estrazione, consultazione, uso, comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, allineamento, interconnessione, blocco, cancellazione o distruzione di dati. Ai sensi della presente decisione, il trattamento comprende altresì l’informazione relativa all’esistenza o meno di una risposta positiva (hit);

2. b) «procedura di consultazione automatizzata»: l’accesso diretto ad uno schedario automatizzato di un altro servizio che dà origine ad una risposta interamente automatizzata;

3. c) «indicizzazione»: contrassegno dei dati personali memorizzati senza l’obiettivo di limitarne il trattamento in futuro;

4. d) «blocco»: contrassegno dei dati personali memorizzati con l’obiettivo di limitarne il trattamento in futuro.

2. Le seguenti disposizioni si applicano ai dati da trasmettere o già trasmessi in base alla presente decisione, salvo se altrimenti previsto nei precedenti capi.

1. Per quanto riguarda il trattamento dei dati personali da trasmettere o già trasmessi ai sensi della presente decisione, ogni Stato membro garantisce nella propria legislazione nazionale un livello di protezione dei dati personali corrispondente almeno a quello che risulta dalla convenzione del Consiglio d’Europa del 28 gennaio 1981 sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale, nonché dal protocollo addizionale dell’8 novembre 2001 e tiene conto, al riguardo, della raccomandazione agli Stati membri n. R (87) 15 del comitato dei ministri, del 17 settembre 1987, tesa a regolamentare l’utilizzo dei dati a carattere personale nel settore della polizia e ciò anche quando i dati non sono trattati in maniera automatizzata.

2. La trasmissione di dati personali ai sensi della presente decisione può avvenire solo dopo l’attuazione delle disposizioni del presente capo nella legislazione nazionale dei territori degli Stati membri interessati alla trasmissione. Il Consiglio decide all’unanimità se questa condizione è soddisfatta.

3. Il paragrafo 2 non si applica agli Stati membri in cui la trasmissione di dati personali ai sensi della presente decisione è stata già avviata a norma del trattato del 27 maggio 2005 fra il Regno del Belgio, la Repubblica Federale di Germania, il Regno di Spagna, la Repubblica Francese, il Granducato di Lussemburgo, il Regno dei Paesi Bassi e la Repubblica d’Austria riguardante il potenziamento della cooperazione transfrontaliera, in particolare al fine di lottare contro il terrorismo, la criminalità transfrontaliera e la migrazione illegale («trattato di Prüm»).

1. Lo Stato membro ricevente può trattare dati personali solamente ai fini per i quali i dati sono stati trasmessi a norma della presente decisione. Il trattamento per altri fini è ammesso unicamente previa autorizzazione dello Stato membro che gestisce lo schedario e nel rispetto della legislazione nazionale dello Stato membro ricevente. L’autorizzazione può essere concessa sempreché la legislazione nazionale dello Stato membro che gestisce lo schedario consenta il trattamento per tali altri fini.

2. Il trattamento dei dati trasmessi a norma degli articoli 3, 4 e 9, da parte dello Stato membro che effettua la consultazione o il raffronto è autorizzato esclusivamente allo scopo di:

1. a) accertare la concordanza tra i profili DNA o i dati dattiloscopici raffrontati;

2. b) predisporre e introdurre una domanda di assistenza giudiziaria da parte delle autorità di polizia o giudiziarie conformemente alla legislazione nazionale in caso di concordanza dei dati;

3. c) effettuare la registrazione ai sensi dell’articolo 30.

Lo Stato membro che gestisce lo schedario può trattare i dati che gli vengono trasmessi a norma degli articoli 3, 4 e 9 solo se tale trattamento è necessario per realizzare un raffronto, rispondere per via automatizzata alle consultazioni o effettuare la registrazione ai sensi dell’articolo 30. Al termine del raffronto o della risposta automatizzata alle consultazioni, i dati trasmessi sono immediatamente cancellati a meno che non sia necessario un ulteriore trattamento per le finalità di cui al primo comma, lettere b) e c).

3. I dati trasmessi a norma dell’articolo 12 possono essere utilizzati dallo Stato membro che gestisce lo schedario solo se ciò è necessario al fine di rispondere per via automatizzata alle consultazioni o di effettuare la registrazione ai sensi dell’articolo 30. Al termine delle risposte automatizzate alle consultazioni, i dati trasmessi sono immediatamente cancellati a meno che non sia necessario un ulteriore trattamento per la registrazione ai sensi dell’articolo 30. Lo Stato membro che effettua la consultazione può utilizzare i dati ricevuti in una risposta solo ai fini della procedura in base alla quale è stata fatta la consultazione.

1. Gli Stati membri assicurano l’esattezza e l’attualità dei dati personali. Se risulta, ex officio o da una comunicazione della persona interessata, che sono stati forniti dati inesatti o dati che non avrebbero dovuto essere stati trasmessi, lo Stato membro o gli Stati membri riceventi ne sono informati quanto prima. Lo Stato membro o gli Stati membri interessati sono tenuti a rettificare o cancellare i dati. Inoltre, i dati personali trasmessi sono rettificati se risultano inesatti. Se l’autorità ricevente ha motivo di ritenere che i dati trasmessi siano inesatti o che debbano essere cancellati, ciò viene immediatamente comunicato all’autorità che li ha trasmessi.

2. Ai dati la cui esattezza è contestata dalla persona interessata e per i quali non è possibile stabilire se siano corretti o inesatti, è aggiunto un indicatore di validità, su richiesta della persona interessata, in base alla legislazione nazionale degli Stati membri. L’indicatore di validità aggiunto può essere tolto in base alla legislazione nazionale solo con il consenso della persona interessata o su decisione del tribunale competente o dell’autorità indipendente preposta alla protezione dei dati.

3. I dati personali che non avrebbero dovuto essere trasmessi o ricevuti sono cancellati. I dati legalmente trasmessi e ricevuti sono cancellati:

1. a) se non sono o non sono più necessari alle finalità per le quali sono stati trasmessi. Se dati personali sono stati trasmessi senza richiesta, l’autorità ricevente è tenuta a verificare immediatamente se siano necessari per le finalità per le quali sono stati trasmessi;

2. b) al termine del periodo massimo di conservazione dei dati ai sensi della legislazione nazionale dello Stato membro che li ha trasmessi, qualora l’autorità di trasmissione abbia indicato tale periodo massimo all’autorità ricevente all’atto della trasmissione.

I dati sono bloccati, e non cancellati, ai sensi della legislazione nazionale, quando vi sono motivi di ritenere che la cancellazione pregiudicherebbe gli interessi della persona interessata. I dati bloccati possono essere utilizzati o trasmessi solo per le finalità che ne hanno impedito la cancellazione.

1. L’autorità ricevente e l’autorità che trasmette i dati adottano le misure necessarie a proteggere efficacemente i dati personali contro ogni distruzione fortuita o non autorizzata, perdita fortuita, accesso non autorizzato, alterazione fortuita o non autorizzata e divulgazione non autorizzata.

2. I dettagli delle specifiche tecniche della procedura di consultazione automatizzata sono disciplinati dalle modalità di attuazione di cui all’articolo 33 che garantiscono:

1. a) l’adozione di misure tecniche aggiornate per assicurare la protezione e la sicurezza dei dati, in particolare riservatezza e integrità;

2. b) l’uso di procedure di cifratura e di autorizzazione riconosciute da autorità competenti durante il ricorso a reti accessibili pubblicamente; e

3. c) la possibilità di verificare l’ammissibilità delle consultazioni in base all’articolo 30, paragrafi 2, 4 e 5.

1. Ogni Stato membro garantisce che ogni trasmissione e ogni ricezione non automatizzate di dati personali da parte dell’autorità che gestisce lo schedario e dell’autorità che effettua la consultazione siano registrate cronologicamente ai fini del controllo dell’ammissibilità della trasmissione. La registrazione cronologica comprende le seguenti indicazioni:

1. a) il motivo della trasmissione;

2. b) i dati trasmessi;

3. c) la data della trasmissione; e

4. d) la denominazione o il codice di riferimento dell’autorità che effettua la consultazione e dell’autorità che gestisce lo schedario.

2. Per la consultazione automatizzata dei dati in base agli articoli 3, 9 e 12 e per il raffronto automatizzato in base all’articolo 4 si applicano le seguenti disposizioni:

1. a) la consultazione o il raffronto automatizzati possono essere realizzati solo da funzionari dei punti di contatto nazionali debitamente abilitati. Su richiesta, l’elenco dei funzionari abilitati alla consultazione o al raffronto automatizzati è messo a disposizione delle autorità di controllo di cui al paragrafo 5, nonché a quelle degli altri Stati membri;

2. b) ogni Stato membro garantisce che ogni trasmissione e ogni ricezione di dati personali da parte dell’autorità che gestisce lo schedario e dell’autorità che effettua la consultazione siano registrate, compresa l’informazione riguardante l’esistenza o meno di una risposta positiva. La registrazione comprende le seguenti informazioni:

   1. i) i dati trasmessi;

   2. ii) la data e l’ora precisa della trasmissione; e

   3. iii) la denominazione o il codice di riferimento dell’autorità che effettua la consultazione e dell’autorità che gestisce lo schedario.

   L’autorità che effettua la consultazione registra anche il motivo della consultazione o della trasmissione, nonché l’identificazione del funzionario che ha effettuato la consultazione e del funzionario che ha richiesto la consultazione o la trasmissione.

3. Su richiesta, l’autorità che effettua la registrazione informa immediatamente le autorità dello Stato membro interessato preposte alla protezione dei dati sui dati registrati, al più tardi quattro settimane dopo la ricezione della richiesta. I dati registrati possono essere utilizzati esclusivamente per i seguenti scopi:

1. a) controllare la protezione dei dati;

2. b) garantire la sicurezza dei dati.

4. I dati registrati sono protetti da idonee disposizioni contro ogni uso non conforme e altri usi impropri e sono conservati per due anni. Dopo la scadenza del termine di conservazione, i dati registrati sono immediatamente cancellati.

5. Le autorità indipendenti o, se del caso, le autorità giudiziarie di ogni Stato membro preposte alla protezione dei dati sono competenti per il controllo della trasmissione o della ricezione di dati personali. Ogni persona può, in base alla legislazione nazionale, chiedere a tali autorità di verificare la legittimità del trattamento dei dati che la riguardano. Indipendentemente da queste richieste, le suddette autorità, nonché le autorità responsabili della registrazione effettuano controlli casuali per verificare la legittimità delle trasmissioni, in base agli schedari pertinenti. Le autorità indipendenti preposte alla protezione dei dati conservano i risultati di tali controlli per diciotto mesi a fini di ispezione. Allo scadere di tale termine, detti risultati sono immediatamente cancellati. Ad ogni autorità preposta alla protezione dei dati può essere richiesto dall’autorità indipendente di un altro Stato membro preposta alla protezione dei dati di esercitare le sue prerogative conformemente alla legislazione nazionale. Le autorità indipendenti degli Stati membri preposte alle protezione dei dati svolgono le ispezioni necessarie per la cooperazione reciproca, soprattutto tramite lo scambio di informazioni pertinenti.

1. Su richiesta della persona interessata, ai sensi della legislazione nazionale, essa, dopo aver provato la sua identità, riceve, conformemente alla legislazione nazionale, senza spese irragionevoli, in forma generalmente comprensibile e senza ritardi ingiustificati, informazioni sui dati trattati che la riguardano, sull’origine dei dati, i destinatari o le categorie di destinatari, la finalità del trattamento e, se lo prescrive la legislazione nazionale, la base giuridica che lo disciplina. Inoltre, la persona interessata ha il diritto di far rettificare i dati inesatti o di far cancellare i dati trattati illecitamente. Gli Stati membri assicurano inoltre che la persona interessata, in caso di violazione dei suoi diritti in materia di protezione dei dati, possa presentare ricorso ad un giudice o ad un tribunale indipendenti ai sensi dell’articolo 6, paragrafo 1, della convenzione europea dei diritti dell’uomo o a un’autorità indipendente di controllo ai sensi dell’articolo 28 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati⁴ e che abbia la possibilità di chiedere il risarcimento dei danni o altra forma di riparazione giuridica. Le disposizioni giuridiche pertinenti dello Stato membro in cui la persona interessata fa valere i suoi diritti disciplinano le specifiche norme procedurali per l’esercizio di tali diritti, nonché la limitazione del diritto di accesso.

2. Se un’autorità di uno Stato membro ha trasmesso dati personali a norma della presente decisione, l’autorità ricevente dell’altro Stato membro non può invocare l’inesattezza dei dati trasmessi per sottrarsi alla responsabilità che, ai sensi della legislazione nazionale, le incombe nei confronti della parte lesa. Se l’autorità ricevente è tenuta a corrispondere un risarcimento danni in ragione dell’utilizzo dei dati trasmessi in maniera inesatta, l’autorità che li ha trasmessi rimborsa integralmente all’autorità ricevente le somme da questa versate per il risarcimento.