Decisione 2008/633/GAI del Consiglio del 23 giugno 2008 relativa all’accesso per la consultazione al sistema di informazione visti (VIS) da parte delle autorità designate degli Stati membri e di Europol ai fini della prevenzione, dell’individuazione e dell’investigazione di reati di terrorismo e altri reati gravi

1. L’accesso al VIS per la consultazione è accordato all’Europol entro i limiti delle sue competenze e:

1. a) quando è necessario per l’adempimento delle sue funzioni ai sensi dell’articolo 3, paragrafo 1, punto 2, della convenzione Europol o ai fini di attività specifiche di analisi di cui all’articolo 10 della suddetta convenzione; ovvero

2. b) quando è necessario per l’adempimento delle sue funzioni ai sensi dell’articolo 3, paragrafo 1, punto 2, della convenzione Europol e per la realizzazione di analisi generali di tipo strategico ai sensi dell’articolo 10 della convenzione Europol, a condizione che i dati VIS siano resi anonimi dall’Europol prima di tale trattamento e siano conservati in una forma che non consenta più di identificare la persona interessata.

1 bis. Europol può accedere al VIS a fini di consultazione qualora, in caso di interrogazione del CIR conformemente all'articolo 22 del regolamento (UE) 2019/817 ed essendo rispettate le condizioni di accesso di cui al presente articolo, la risposta ricevuta di cui all'articolo 22, paragrafo 2, di tale regolamento indichi che nel VIS sono conservati dati.

2. L’articolo 5, paragrafi 2 e 3, si applica di conseguenza.

3. Ai fini della presente decisione l’Europol designa un’unità specializzata composta di funzionari Europol autorizzati ad agire come punto di accesso centrale per la consultazione del VIS.

4. Il trattamento delle informazioni ottenute dall’Europol mediante l’accesso al VIS è soggetto all’autorizzazione dello Stato membro che ha inserito tali dati nel sistema. Tale autorizzazione è ottenuta attraverso l’unità nazionale Europol dello Stato membro.

1. Il trattamento dei dati personali consultati ai sensi della presente decisione è soggetto alle seguenti disposizioni e alla legislazione nazionale dello Stato membro che ha effettuato la consultazione. Riguardo al trattamento dei dati personali consultati in conformità della presente decisione, ciascuno Stato membro garantisce nel proprio diritto nazionale un adeguato livello di protezione dei dati, corrispondente almeno a quello che risulta dalla convenzione del Consiglio d’Europa del 28 gennaio 1981 sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale e, per gli Stati membri che lo hanno ratificato, dal protocollo addizionale dell’8 novembre 2001 di tale convenzione, e tiene conto della raccomandazione R (87) 15 del comitato dei ministri del Consiglio d’Europa, del 17 settembre 1987, relativa all’utilizzo di dati personali nel settore di polizia.

2. Il trattamento dei dati personali da parte dell’Europol ai sensi della presente decisione è effettuato conformemente alla convenzione Europol e alle disposizioni adottate in applicazione della stessa, ed è soggetto alla supervisione dell’autorità di controllo comune indipendente istituita all’articolo 24 della convenzione.

3. I dati personali ottenuti dal VIS in virtù della presente decisione sono trattati soltanto allo scopo di prevenire, individuare, indagare o perseguire reati di terrorismo o altri reati gravi.

4. I dati personali ottenuti dal VIS ai sensi della presente decisione non sono trasferiti a un paese terzo o a un’organizzazione internazionale, né sono messi a loro disposizione. Tuttavia, in un caso eccezionale d’urgenza, tali dati possono essere trasferiti a un paese terzo o a un’organizzazione internazionale, o messi a loro disposizione, esclusivamente al fine di prevenire e individuare reati di terrorismo e altri reati gravi, alle condizioni stabilite nell’articolo 5, paragrafo 1, della presente decisione, previa autorizzazione dello Stato membro che ha inserito i dati nel VIS e conformemente alla legislazione nazionale dello Stato membro che ha trasferito i dati o che li ha resi disponibili. Conformemente alla legislazione nazionale, gli Stati membri assicurano che tali trasferimenti siano registrati e, su richiesta, mettono i registri a disposizione delle autorità nazionali per la protezione dei dati. Il trasferimento di dati effettuato dallo Stato membro che ha inserito i dati nel VIS in base al regolamento (CE) n. 767/2008 è soggetto alla legislazione nazionale di tale Stato membro.

5. L’organismo o gli organismi competenti che, in virtù della legislazione nazionale, sono incaricati di sorvegliare il trattamento dei dati personali da parte delle autorità designate ai sensi della presente decisione controllano la legittimità del trattamento dei dati personali in conformità della presente decisione. Gli Stati membri garantiscono che tali organismi dispongano di risorse sufficienti per l’adempimento dei compiti loro assegnati dalla presente decisione.

6. Gli organismi di cui al paragrafo 5 provvedono affinché, almeno ogni quattro anni, sia realizzata una verifica del trattamento dei dati personali ai sensi della presente decisione, che applichi, ove possibile, le norme di revisione internazionali.

7. Gli Stati membri e l’Europol autorizzano l’autorità/l’organismo o le autorità/gli organismi competente/i di cui ai paragrafi 2 e 5 a ottenere le informazioni necessarie ai fini dell’assolvimento dei propri compiti conformemente al disposto del presente articolo.

8. Prima di essere autorizzato a elaborare dati memorizzati nel VIS, il personale delle autorità con diritto di accesso al VIS riceve la formazione adeguata sulle norme in materia di sicurezza e di protezione dei dati ed è informato dei reati e delle sanzioni pertinenti.

1. Lo Stato membro competente garantisce la sicurezza dei dati durante la loro trasmissione alle autorità designate e all’atto della ricezione da parte di queste.

2. Ciascuno Stato membro adotta le necessarie misure di sicurezza per i dati che devono essere estratti dal VIS in conformità della presente decisione e successivamente memorizzati, in particolare ai fini di:

1. a) proteggere fisicamente i dati, tra l’altro mediante l’elaborazione di piani di emergenza per la protezione delle infrastrutture critiche;

2. b) rifiutare alle persone non autorizzate l’accesso alle strutture nazionali nelle quali lo Stato membro conserva i dati (controlli all’ingresso delle strutture);

3. c) impedire che i supporti di dati possano essere letti, copiati, modificati o cancellati senza autorizzazione (controllo dei supporti di dati);

4. d) impedire che sia presa visione, senza autorizzazione, di dati personali memorizzati o che essi siano modificati o cancellati senza autorizzazione (controllo della conservazione);

5. e) impedire che siano trattati senza autorizzazione dati provenienti dal VIS (controllo del trattamento dei dati);

6. f) garantire che le persone autorizzate a usare il VIS possano accedere solo ai dati previsti dalla loro autorizzazione, attraverso identità di utente individuali e uniche ed esclusivamente con modalità di accesso riservato (controllo dell’accesso ai dati);

7. g) assicurare che tutte le autorità con diritto di accedere al VIS creino profili che descrivano i compiti e le responsabilità delle persone autorizzate ad accedere ai dati e a consultarli e mettano senza indugio tali profili a disposizione delle autorità nazionali di controllo di cui all’articolo 8, paragrafo 5, a richiesta di queste (profili personali);

8. h) garantire la possibilità di verificare e stabilire a quali organismi possono essere trasmessi dati personali mediante apparecchiature di comunicazione di dati (controllo della trasmissione);

9. i) garantire la possibilità di verificare e accertare quali dati sono stati estratti dal VIS, quando, da chi e per quale scopo (controllo della registrazione dei dati);

10. j) impedire, in particolare mediante tecniche appropriate di cifratura, che all’atto della trasmissione di dati personali dal VIS essi possano essere letti e copiati senza autorizzazione (controllo del trasporto);

11. k) controllare l’efficacia delle misure di sicurezza di cui al presente paragrafo e adottare le necessarie misure di carattere organizzativo relative al controllo interno per garantire l’osservanza della presente decisione (autocontrollo).

1. Le persone o gli Stati membri che hanno subito un danno in conseguenza di un trattamento illecito di dati o di qualsiasi altro atto incompatibile con la presente decisione hanno diritto a ottenere un risarcimento dallo Stato membro responsabile del danno. Lo Stato membro è esonerato, in tutto o in parte, da tale responsabilità se prova che l’evento dannoso non gli è imputabile.

2. Uno Stato membro è ritenuto responsabile di ogni eventuale danno arrecato al VIS conseguente all’inosservanza degli obblighi derivanti dalla presente decisione, fatto salvo il caso e nella misura in cui un altro Stato membro abbia omesso di adottare provvedimenti ragionevolmente idonei a prevenire il danno o minimizzarne l’impatto.

3. Le azioni proposte contro uno Stato membro per il risarcimento dei danni di cui ai paragrafi 1 e 2 sono disciplinate dalle disposizioni nazionali dello Stato membro convenuto.

1. I dati provenienti dal VIS possono essere conservati in archivi nazionali soltanto quando è necessario in casi specifici in conformità delle finalità della presente decisione e delle disposizioni giuridiche applicabili, comprese quelle relative alla protezione dei dati, per un periodo non superiore a quello necessario nel caso specifico.

2. Il paragrafo 1 non pregiudica le disposizioni legislative nazionali di uno Stato membro relative all’inserimento in archivi nazionali, ad opera delle sue autorità designate, di dati che lo Stato membro in questione ha inserito nel VIS in conformità del regolamento (CE) n. 767/2008.

3. Qualsiasi uso di dati non conforme ai paragrafi 1 e 2 è considerato un abuso ai sensi del diritto nazionale di ciascuno Stato membro.

1. Il diritto di ciascuno di accedere ai dati che lo riguardano provenienti dal VIS conformemente alla presente decisione è esercitato nel rispetto della legislazione dello Stato membro in cui l’interessato lo fa valere.

2. Ove previsto dalla legislazione nazionale, l’autorità nazionale di controllo decide se ed in base a quali modalità comunicare informazioni.

3. Uno Stato membro diverso da quello che ha inserito i dati nel VIS in conformità del regolamento (CE) n. 767/2008 può comunicare informazioni su tali dati soltanto se abbia preventivamente dato allo Stato membro che ha inserito i dati la possibilità di prendere posizione.

4. Le informazioni non sono comunicate alla persona interessata se ciò è indispensabile per l’esecuzione di un compito legale connesso con i dati o ai fini della tutela dei diritti e delle libertà di terzi.

5. Ciascuno ha il diritto di far rettificare dati che lo riguardano contenenti errori di fatto o di far cancellare dati che lo riguardano registrati illegittimamente. Qualora le autorità designate ricevano una richiesta in tal senso o qualora dispongano di eventuali altre prove indicanti che i dati trattati nel VIS sono inesatti, ne informano immediatamente l’autorità competente per i visti dello Stato membro che ha inserito i dati nel VIS, la quale controlla i dati in questione e, se necessario, li corregge o li cancella immediatamente, conformemente all’articolo 24 del regolamento (CE) n. 767/2008.

6. L’interessato è informato non appena possibile e comunque non oltre 60 giorni dalla data in cui ha chiesto l’accesso o prima, se la legislazione nazionale lo prevede.

7. L’interessato è informato del seguito dato all’esercizio del suo diritto di rettifica e cancellazione non appena possibile e comunque non oltre tre mesi dalla data in cui ha chiesto la rettifica o la cancellazione o prima, se la legislazione nazionale lo prevede.

8. In ciascuno Stato membro qualsiasi persona ha il diritto di proporre ricorso o presentare un reclamo alle autorità o ai giudici competenti dello Stato membro che le ha negato il diritto, sancito dal presente articolo, di accedere ai dati che la riguardano o di ottenerne la rettifica o la cancellazione.

1. Ciascuno Stato membro e l’Europol provvedono affinché tutte le operazioni di trattamento dei dati derivanti dall’accesso al VIS ai fini della consultazione a norma della presente decisione siano registrate per verificare l’ammissibilità dell’interrogazione, per controllare la legittimità del trattamento dei dati, ai fini dell’autocontrollo e per garantire il corretto funzionamento del sistema, l’integrità e la sicurezza dei dati. Tali registrazioni evidenziano:

1. a) lo scopo esatto dell’accesso per la consultazione di cui all’articolo 5, paragrafo 1, lettera a), compresi il reato terroristico o l’altro reato grave in questione e, per l’Europol, lo scopo esatto dell’accesso per la consultazione di cui all’articolo 7, paragrafo 1;

2. b) il riferimento relativo al rispettivo fascicolo nazionale;

3. c) la data e l’ora esatta dell’accesso;

4. d) se del caso, l’avvenuta utilizzazione della procedura di cui all’articolo 4, paragrafo 2;

5. e) i dati utilizzati per la consultazione;

6. f) il tipo di dati consultati;

7. g) conformemente alle disposizioni nazionali o alle disposizioni della convenzione Europol, l’identificazione del funzionario che ha effettuato la consultazione e del funzionario che ha ordinato di consultare i dati o di fornirli.

2. Le registrazioni contenenti dati personali sono utilizzate solo ai fini del controllo della legittimità del trattamento dei dati e per garantire la sicurezza dei dati. Soltanto le registrazioni che non contengono dati a carattere personale possono essere utilizzate ai fini del controllo e della valutazione di cui all’articolo 17.

3. Tali registrazioni sono protette mediante misure adeguate dall’accesso non autorizzato e dagli abusi e sono cancellate un anno dopo la scadenza del periodo di conservazione di cui all’articolo 23, paragrafo 1, del regolamento (CE) n. 767/2008, fatta salva l’eventualità che siano necessarie per procedure di controllo già avviate ai sensi del paragrafo 2 del presente articolo.