Decisione di esecuzione (UE) 2026/1064 della Commissione dell’8 giugno 2026 recante modalità di applicazione del regolamento (UE) 2024/982 del Parlamento europeo e del Consiglio per quanto riguarda la consultazione e lo scambio automatizzati di dati biometrici tramite il router Prüm

visto il trattato sul funzionamento dell’Unione europea,

visto il regolamento (UE) 2024/982 del Parlamento europeo e del Consiglio, del 13 marzo 2024, sulla consultazione e lo scambio automatizzati di dati per la cooperazione di polizia e che modifica le decisioni 2008/615/GAI e 2008/616/GAI del Consiglio e i regolamenti (UE) 2018/1726, (UE) 2019/817 e (UE) 2019/818 del Parlamento europeo e del Consiglio (regolamento «Prüm II»)¹, in particolare l’articolo 5, paragrafo 3, l’articolo 8, paragrafi 2 e 3, l’articolo 9, paragrafo 3, l’articolo 13, paragrafi 2 e 3, l’articolo 14, paragrafo 2, l’articolo 22, paragrafi 2 e 3, l’articolo 23, paragrafo 2, l’articolo 31 e l’articolo 37, paragrafo 6,

Il regolamento (UE) 2024/982 istituisce un quadro per la consultazione e lo scambio automatizzati di determinate categorie di dati ai fini della cooperazione transfrontaliera di polizia, compreso lo scambio automatizzato di dati biometrici tra gli Stati membri ed Europol per prevenire e combattere la criminalità transfrontaliera.

A norma del regolamento (UE) 2024/982, la Commissione deve specificare le norme tecniche per la consultazione e lo scambio automatizzati di dati biometrici, in particolare profili DNA, dati dattiloscopici e immagini del volto, da effettuare tramite il router Prüm.

È pertanto necessario definire le norme, le procedure e le specifiche tecniche per il funzionamento del router Prüm e dei servizi connessi, per consentire a eu-LISA di definire la progettazione del router e di elaborare le specifiche tecniche, il collaudo e la gestione e il coordinamento generali del progetto.

Affinché lo scambio di dati biometrici sia efficace occorrono formati standardizzati, identificativi univoci e protocolli armonizzati per i profili DNA, i dati dattiloscopici e le immagini del volto. L’uso di norme riconosciute a livello internazionale dovrebbe garantire l’interoperabilità e la compatibilità tra i sistemi degli Stati membri e con Europol. Le norme tecniche applicabili stabiliscono i codici identificativi dei soggetti, le strutture dei messaggi, il carico utile di dati e i meccanismi di instradamento per garantire un trattamento automatizzato coerente e accurato.

Lo scambio di dati biometrici sensibili dovrebbe essere protetto contro l’accesso non autorizzato, la manomissione o la perdita e il router Prüm dovrebbe funzionare come sistema ad alta disponibilità con ridondanza tra il sito primario e quelli di riserva. È pertanto necessario definire protocolli di comunicazione sicuri, meccanismi automatizzati di ripetizione dei tentativi e procedure di monitoraggio. Tali protocolli, meccanismi e procedure dovrebbero garantire l’affidabilità del sistema, la tempestività delle risposte e la gestione degli errori ai fini di uno scambio ininterrotto di dati a livello transfrontaliero.

Affinché l’identificazione e la verifica siano affidabili, lo scambio di profili DNA, dati dattiloscopici e immagini del volto dovrebbe rispettare norme minime di qualità. Le procedure di concordanza automatizzate dovrebbero essere integrate da un esame forense manuale e richieste di dati di base. È pertanto essenziale stabilire norme tecniche per disciplinare i formati dei profili, la risoluzione, la concordanza (matching) dei loci, la classifica dei candidati, le procedure di nuova concordanza (re-matching) e la rendicontazione. In tal modo i dati scambiati potranno essere interpretati accuratamente e usati per le indagini penali conformemente al regolamento (UE) 2024/982.

A norma degli articoli 1 e 2 del protocollo n. 22 sulla posizione della Danimarca, allegato al trattato sull’Unione europea e al trattato sul funzionamento dell’Unione europea, la Danimarca non ha partecipato all’adozione del regolamento (UE) 2024/982, non è da esso vincolata né è soggetta alla sua applicazione. La Danimarca non è pertanto vincolata dalla presente decisione né è soggetta alla sua applicazione.

L’Irlanda è vincolata dal regolamento (UE) 2024/982 ed è pertanto vincolata dalla presente decisione.

Il router Prüm contribuisce a fornire un servizio pubblico digitale transfrontaliero. Poiché la presente decisione introduce requisiti vincolanti che incidono sul suo sviluppo, è necessaria una valutazione dell’interoperabilità ai sensi dell’articolo 3 del regolamento (UE) 2024/903 del Parlamento europeo e del Consiglio² (regolamento su un’Europa interoperabile). La valutazione è stata effettuata e la relazione risultante sarà pubblicata sul portale «Europa interoperabile».

Il Garante europeo della protezione dei dati ha formulato un parere il 27 gennaio 2026.

Le misure di cui alla presente decisione sono conformi al parere del comitato Prüm II istituito a norma dell’articolo 77 del regolamento (UE) 2024/982,