Regolamento (UE) 2017/2226 del Parlamento europeo e del Consiglio del 30 novembre 2017 che istituisce un sistema di ingressi/uscite per la registrazione dei dati di ingresso e di uscita e dei dati relativi al respingimento dei cittadini di paesi terzi che attraversano le frontiere esterne degli Stati membri e che determina le condizioni di accesso al sistema di ingressi/uscite a fini di contrasto e che modifica la Convenzione di applicazione dell’Accordo di Schengen e i regolamenti (CE) n. 767/2008 e (UE) n. 1077/2011

visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 77, paragrafo 2, lettere b) e d), e l’articolo 87, paragrafo 2, lettera a),

vista la proposta della Commissione europea,

previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,

visto il parere del Comitato economico e sociale europeo¹,

previa consultazione del Comitato delle regioni,

deliberando secondo la procedura legislativa ordinaria²,

Nella comunicazione del 13 febbraio 2008 intitolata «Preparare le prossime fasi della gestione delle frontiere nell’Unione europea» la Commissione ha evidenziato la necessità, nell’ambito della strategia dell’Unione di gestione integrata delle frontiere, di istituire un sistema di ingressi/uscite (Entry/Exit System – EES) che registri elettronicamente l’ora e il luogo di ingresso e di uscita dei cittadini di paesi terzi ammessi per un soggiorno di breve durata nel territorio degli Stati membri e che calcoli la durata del soggiorno autorizzato.

Il Consiglio europeo del 19 e 20 giugno 2008 ha sottolineato l’importanza di continuare i lavori sullo sviluppo della strategia dell’Unione di gestione integrata delle frontiere, anche attraverso un miglior utilizzo delle moderne tecnologie per migliorare la gestione delle frontiere esterne.

Nella comunicazione del 10 giugno 2009 intitolata «Uno spazio di libertà, sicurezza e giustizia al servizio dei cittadini», la Commissione ha auspicato l’istituzione di un sistema elettronico di registrazione degli ingressi e delle uscite dal territorio degli Stati membri alle frontiere esterne per garantire una gestione più efficace dell’accesso a tale territorio.

Il Consiglio europeo del 23 e 24 giugno 2011 ha invitato ad accelerare i lavori in materia di «frontiere intelligenti». Il 25 ottobre 2011 la Commissione ha pubblicato la comunicazione intitolata «Frontiere intelligenti – opzioni e prospettive».

Negli orientamenti strategici adottati nel giugno 2014 il Consiglio europeo ha sottolineato che lo spazio Schengen, che consente alle persone di viaggiare senza controlli alle frontiere interne, e il crescente numero di persone che viaggiano verso l’Unione richiedono una gestione efficace delle frontiere esterne comuni dell’Unione per garantire una forte protezione. Esso ha inoltre sottolineato che l’Unione deve mobilitare tutti gli strumenti a sua disposizione per sostenere gli Stati membri nel loro compito e che a tale scopo la gestione integrata delle frontiere per le frontiere esterne dovrebbe essere modernizzata in maniera efficiente in termini di costi per assicurare una gestione intelligente delle frontiere, tra l’altro con un sistema di ingresso/uscita, con il sostegno della nuova agenzia per i sistemi IT su larga scala (eu-LISA).

Nella comunicazione del 13 maggio 2015 intitolata «Agenda europea sulla migrazione» la Commissione ha osservato che l’iniziativa «frontiere intelligenti» dovrebbe inaugurare una nuova fase per rendere più efficace l’attraversamento dei valichi di frontiera, agevolando l’attraversamento della grande maggioranza dei viaggiatori «in buona fede» dei paesi terzi e rafforzando la lotta contro l’immigrazione irregolare attraverso la creazione di registro di tutti i movimenti transfrontalieri di cittadini di paesi terzi, nel pieno rispetto della proporzionalità.

Nell’ottica di migliorare ulteriormente la gestione delle frontiere esterne e, in particolare, al fine di verificare il rispetto delle disposizioni relative al periodo di soggiorno autorizzato nel territorio degli Stati membri, è opportuno istituire un EES, che registri elettronicamente l’ora e il luogo di ingresso e di uscita dei cittadini di paesi terzi ammessi per un soggiorno di breve durata nel territorio degli Stati membri e che calcoli la durata del soggiorno autorizzato. Tale sistema dovrebbe sostituire l’obbligo, che è applicabile a tutti gli Stati membri, di apporre timbri sui passaporti dei cittadini di paesi terzi.

È necessario specificare gli obiettivi dell’EES, le categorie di dati da inserirvi, le finalità per le quali i dati devono essere utilizzati, i criteri di inserimento dei dati, le autorità autorizzate ad accedere ai dati, ulteriori norme sul trattamento dei dati e sulla protezione dei dati personali, nonché l’architettura tecnica dell’EES, le norme relative al suo funzionamento e utilizzo e l’interoperabilità con altri sistemi d’informazione. Occorre altresì definire le responsabilità per l’EES.

L’EES dovrebbe applicarsi ai cittadini di paesi terzi ammessi per un soggiorno di breve durata nel territorio degli Stati membri. Esso dovrebbe applicarsi altresì ai cittadini di paesi terzi ai quali sia stato rifiutato l’ingresso per un soggiorno di breve durata.

L’EES dovrebbe essere operativo presso le frontiere esterne degli Stati membri che applicano integralmente l’acquis di Schengen. È auspicabile che gli Stati membri che non applicano ancora integralmente l’acquis di Schengen provvedano a farlo entro l’entrata in funzione dell’EES. Tuttavia, nel caso in cui non possa essere raggiunta l’eliminazione dei controlli alle frontiere interne entro l’entrata in funzione dell’EES, è necessario specificare le condizioni di funzionamento dell’EES da parte degli Stati membri che non applicano integralmente l’acquis di Schengen, e stabilire le disposizioni relative al funzionamento e all’uso dell’EES alle frontiere interne presso cui i controlli non sono ancora stati eliminati. Per quanto riguarda le condizioni per le operazioni dell’EES, l’EES dovrebbe essere operativo presso le frontiere esterne degli Stati membri che non applicano ancora integralmente l’acquis di Schengen ma per i quali è già stato completato con successo l’accertamento conformemente alla procedura di valutazione Schengen applicabile, ai quali è stato concesso l’accesso passivo al sistema d’informazione visti (Visa Information System -VIS) istituito dalla decisione 2004/512/CE del Consiglio³ al fine di rendere l’EES operativo e per cui le disposizioni dell’acquis di Schengen relative al sistema d’informazione Schengen (SIS), istituito dal regolamento (CE) n. 1987/2006 del Parlamento europeo e del Consiglio⁴, sono attuate conformemente al rispettivo atto di adesione. Per quanto concerne le disposizioni specifiche relative al funzionamento e all’uso dell’EES da parte degli Stati membri che soddisfano tali condizioni, l’EES dovrebbe essere operativo presso tutte le frontiere interne di quegli Stati membri nei quali i controlli non sono ancora stati eliminati. Tuttavia, è opportuno applicare disposizioni specifiche riguardo all’operazione e all’uso dell’EES presso dette frontiere, al fine di minimizzare l’impatto sulle procedure di verifica di frontiera ivi svolte, senza pregiudicare il livello di sicurezza e il corretto funzionamento dell’EES, e fatti salvi gli altri obblighi in materia di controlli di frontiera ai sensi del regolamento (UE) 2016/399 del Parlamento europeo e del Consiglio⁵.

Il soggiorno autorizzato di cittadini di paesi terzi nel territorio degli Stati membri ai fini del presente regolamento ha una durata determinata dall’acquis di Schengen applicabile.

Un calcolatore automatico dovrebbe essere incluso nell’EES. Il calcolatore automatico dovrebbe tenere conto dei soggiorni nel territorio degli Stati membri in cui l’EES è operativo per il calcolo del limite complessivo di 90 giorni su un periodo di 180 giorni. Qualsiasi proroga del soggiorno autorizzato dovrebbe essere presa in considerazione ai fini del calcolo di tale limite complessivo all’atto del successivo ingresso del cittadino di paese terzo nel territorio degli Stati membri. I soggiorni nel territorio di Stati membri in cui l’EES non è ancora operativo dovrebbero essere calcolati separatamente, sulla base di timbri apposti sui documenti di viaggio dei cittadini di paesi terzi.

Il calcolatore automatico dovrebbe tenere conto soltanto dei soggiorni nel territorio degli Stati membri che non applicano ancora integralmente l’acquis di Schengen ma in cui l’EES è operativo allo scopo di verificare il rispetto del limite complessivo di 90 giorni su un periodo di 180 giorni e al fine di verificare il periodo di validità di un visto Schengen per soggiorno di breve durata. Il calcolatore automatico non dovrebbe calcolare la durata del soggiorno autorizzato da un visto nazionale per soggiorno di breve durata rilasciato da uno Stato membro che non applica ancora integralmente l’acquis di Schengen ma in cui l’EES è operativo. Nel calcolare la durata di un soggiorno autorizzato da un visto Schengen per soggiorno di breve durata, il calcolatore automatico non dovrebbe tenere conto dei soggiorni nel territorio degli Stati membri che non applicano ancora integralmente l’acquis di Schengen ma in cui l’EES è operativo.

È opportuno elaborare norme precise concernenti la responsabilità per lo sviluppo e il funzionamento dell’EES e la responsabilità degli Stati membri in relazione alla loro connessione all’EES. L’agenzia europea per la gestione operativa dei sistemi d’informazione su larga scala nello spazio di libertà, sicurezza e giustizia, istituita con regolamento (UE) n. 1077/2011 del Parlamento europeo e del Consiglio⁶, dovrebbe essere responsabile dello sviluppo e della gestione operativa di un EES centralizzato conformemente al presente regolamento. È opportuno pertanto modificare di conseguenza il regolamento (UE) n. 1077/2011.

Gli obiettivi dell’EES dovrebbero consistere nel migliorare la gestione delle frontiere esterne, nel prevenire l’immigrazione irregolare e nel facilitare la gestione dei flussi migratori. In particolare, ove opportuno, l’EES dovrebbe contribuire all’identificazione di qualsiasi persona che non soddisfi o non soddisfi più le condizioni relative alla durata del soggiorno autorizzato nel territorio degli Stati membri. Inoltre, l’EES dovrebbe contribuire alla prevenzione, all’accertamento e all’indagine di reati di terrorismo e altri reati gravi.

L’EES dovrebbe essere composto da un sistema centrale (sistema centrale dell’EES), che gestisce una banca dati centrale informatizzata di dati biometrici e alfanumerici, un’interfaccia uniforme nazionale in ciascuno Stato membro, un canale di comunicazione sicuro tra il sistema centrale dell’EES e il sistema centrale d’informazione visti (sistema centrale del VIS) del VIS, e da un’infrastruttura di comunicazione sicura e criptata tra il sistema centrale dell’EES e le interfacce uniformi nazionali. Ciascuno Stato membro dovrebbe collegare le infrastrutture nazionali di frontiera all’interfaccia uniforme nazionale in modo sicuro. Al fine di rendere possibile la generazione di statistiche e relazioni, un archivio di dati dovrebbe essere istituito a livello centrale. Per consentire ai cittadini di paesi terzi di verificare in qualsiasi momento il rimanente soggiorno autorizzato, si dovrebbe sviluppare un servizio web. Il servizio web dovrebbe anche consentire ai vettori di verificare se i cittadini di paesi terzi titolari di un visto Schengen di soggiorno di breve durata rilasciato per uno o due ingressi abbiano già utilizzato il numero di ingressi autorizzati dal loro visto. Durante la fase di sviluppo di tale servizio web è opportuno consultare le pertinenti parti interessate. Nel definire le specifiche tecniche per l’accesso da parte dei vettori al servizio web, si dovrebbe limitare per quanto possibile l’impatto sul traffico di viaggiatori e sui vettori. A tal fine, dovrebbe essere presa in considerazione l’adeguata integrazione con i pertinenti sistemi.

È opportuno che sia stabilita l’interoperabilità tra l’EES e il VIS mediante un canale diretto di comunicazione tra il sistema centrale del VIS e il sistema centrale dell’EES affinché le autorità di frontiera che utilizzano l’EES possano consultare il VIS al fine di estrarre dati relativi ai visti e costituire o aggiornare le cartelle di ingresso/uscita o le cartelle relative al respingimento, affinché le autorità di frontiera possano verificare la validità del visto e l’identità del titolare del visto mediante l’interrogazione diretta del VIS con le impronte digitali alle frontiere presso cui l’EES è operativo e affinché le autorità di frontiera possano verificare l’identità dei cittadini di paesi terzi esenti dall’obbligo del visto nel VIS usando le impronte digitali. L’interoperabilità dovrebbe anche consentire alle autorità di frontiera e alle autorità competenti per i visti che utilizzano il VIS di consultare direttamente l’EES a partire dal VIS ai fini dell’esame delle domande di visto e dell’adozione delle relative decisioni, consentendo alle autorità competenti per i visti di aggiornare i dati relativi ai visti nell’EES nel caso in cui un visto sia annullato, revocato o prorogato. È opportuno pertanto modificare di conseguenza il regolamento (CE) n. 767/2008 del Parlamento europeo e del Consiglio⁷. L’estrazione dei dati relativi ai visti dal VIS, la loro importazione nell’EES e l’aggiornamento dei dati dal VIS nell’EES dovrebbe avvenire mediante un processo automatizzato nel momento in cui l’autorità interessata avvia l’operazione in questione. Nell’istituire l’interoperabilità tra l’EES e il VIS si dovrebbe rispettare il principio di limitazione delle finalità.

È opportuno che il presente regolamento specifichi quali autorità degli Stati membri possano essere autorizzate ad accedere all’EES per inserire, modificare, cancellare o consultare dati ai fini specifici dell’EES e nella misura necessaria all’assolvimento dei loro compiti.

Ogni trattamento dei dati dell’EES dovrebbe essere proporzionato agli obiettivi perseguiti e necessario all’assolvimento dei compiti delle autorità competenti. Nell’utilizzare l’EES le autorità competenti dovrebbero assicurare il rispetto della dignità umana e dell’integrità delle persone i cui dati sono richiesti, senza alcuna discriminazione basata su motivi quali sesso, razza, colore della pelle, origine etnica o sociale, caratteristiche genetiche, lingua, religione o convinzioni personali, opinioni politiche o di altro tipo, appartenenza a una minoranza nazionale, patrimonio, nascita, disabilità, età o orientamento sessuale.

L’EES dovrebbe registrare e trattare dati alfanumerici e dati biometrici principalmente per migliorare la gestione delle frontiere esterne, prevenire l’immigrazione irregolare e facilitare la gestione dei flussi migratori. Inoltre, dovrebbe anche essere possibile accedere ai dati personali dell’EES al fine di contribuire alla prevenzione, all’accertamento e all’indagine di reati di terrorismo e di altri reati gravi solo alle condizioni stabilite nel presente regolamento. Malgrado l’impatto sulla vita privata dei viaggiatori, l’utilizzo delle rilevazioni biometriche si giustifica per due motivi. In primo luogo, le rilevazioni biometriche rappresentano un metodo affidabile per identificare i cittadini di paesi terzi che si trovano nel territorio degli Stati membri ma senza documento di viaggio o altro mezzo di identificazione, circostanza comune per i migranti in situazione irregolare. In secondo luogo, le rilevazioni biometriche permettono un raffronto più affidabile tra i dati di ingresso e di uscita dei viaggiatori in buona fede. L’uso delle immagini del volto in combinazione con i dati relativi alle impronte digitali consente di ridurre il numero totale di impronte digitali necessarie da essere registrate pur garantendo il medesimo risultato in termini di accuratezza dell’identificazione.

Se fisicamente possibile, dovrebbero essere registrate nell’EES quattro impronte digitali per cittadino di paese terzo esente dall’obbligo del visto per permettere una verifica e un’identificazione precise, così assicurando che il cittadino di paese terzo non sia già registrato sotto un’altra identità o con un altro documento di viaggio e per garantire la disponibilità di dati sufficiente a garantire il conseguimento degli obiettivi dell’EES in ogni circostanza. Le impronte digitali dei cittadini di paesi terzi titolari del visto dovrebbero essere verificate nel VIS. L’immagine del volto sia dei cittadini di paesi terzi esenti dall’obbligo del visto che dei cittadini di paesi terzi titolari di visto dovrebbe essere registrata nell’EES. Le impronte digitali o le immagini del volto dovrebbero essere utilizzate come identificatore biometrico per verificare l’identità dei cittadini di paesi terzi precedentemente registrati nell’EES, fintanto che i loro fascicoli individuali non siano stati cancellati. Al fine di tener conto delle specificità di ogni valico di frontiera e dei diversi tipi di frontiere, per ogni valico di frontiera le autorità nazionali dovrebbero stabilire se le impronte digitali o l’immagine del volto devono essere utilizzate come principale identificatore biometrico per effettuare le verifiche necessarie.

Nella lotta ai reati di terrorismo e ad altri reati gravi è necessario che le autorità designate dispongano delle informazioni più aggiornate possibili per poter svolgere i loro compiti. L’accesso ai dati del VIS per finalità di contrasto ha già dimostrato la propria utilità per identificare le persone che hanno subito una morte violenta o aiutare gli investigatori a compiere progressi sostanziali nei casi relativi alla tratta di esseri umani, a reati di terrorismo, o al traffico illecito di droga. L’accesso all’EES è necessario a fini di prevenzione, accertamento e indagine dei reati di terrorismo di cui alla direttiva (UE) 2017/541 del Parlamento europeo e del Consiglio⁸ o altri reati gravi di cui alla decisione quadro 2002/584/GAI del Consiglio⁹. Dovrebbe essere possibile usare i dati dell’EES come strumento di verifica dell’identità sia nei casi in cui il cittadino di paese terzo ha distrutto i propri documenti, che nei casi in cui le autorità designate indagano su un reato avvalendosi delle impronte digitali o delle immagini del volto e desiderano determinare un’identità. Dovrebbe anche essere possibile usare tali dati come strumento per raccogliere prove risalendo alle rotte di viaggio di una persona sospettata di aver commesso un reato o di una vittima di reato. Pertanto, è opportuno che i dati dell’EES siano accessibili alle autorità designate degli Stati membri e dell’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto («Europol»), istituita dal regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio¹⁰, nel rispetto delle condizioni e delle limitazioni stabilite nel presente regolamento. Le condizioni di accesso all’EES a fini di prevenzione, accertamento o indagine di reati di terrorismo o di altri reati gravi dovrebbero essere tali da permettere alle autorità designate degli Stati membri di affrontare i casi di sospetti che ricorrono a identità multiple. A tale scopo, l’accesso all’EES non dovrebbe essere impedito qualora un riscontro positivo sia ottenuto durante la consultazione di una banca dati pertinente prima di accedere all’EES. A fini di contrasto e nell’ottica di prevenire, accertare e indagare reati di terrorismo o altri reati gravi, un’interrogazione della banca dell’EES dovrebbe ritenersi proporzionata se esiste un prevalente interesse di sicurezza pubblica. Ogni interrogazione deve essere debitamente motivata e proporzionata alla luce dell’interesse invocato.

Solo le autorità designate responsabili della prevenzione, dell’accertamento o dell’indagine di reati di terrorismo o altri reati gravi per cui gli Stati membri possono garantire che si applicano tutte le disposizioni del presente regolamento e quelle di cui alla direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio¹¹ e relativamente a cui la corretta applicazione di tali disposizioni può essere verificata dalle autorità competenti, comprese l’autorità di controllo istituita a norma della direttiva (UE) 2016/680, dovrebbero essere autorizzate a consultare i dati dell’EES.

Europol svolge un ruolo fondamentale nell’ambito della cooperazione tra le autorità degli Stati membri nel settore dell’indagine di reati transfrontalieri, contribuendo alla prevenzione, conducendo analisi e svolgendo indagini di attività criminali su scala dell’Unione. Di conseguenza, anche Europol dovrebbe poter accedere all’EES nell’esercizio dei suoi compiti e conformemente al regolamento (UE) 2016/794. Il Garante europeo della protezione dei dati dovrebbe monitorare il trattamento dei dati da parte di Europol e garantire la piena conformità alle norme applicabili in materia di protezione dei dati.

L’accesso all’EES a fini di prevenzione, accertamento e indagine di reati di terrorismo o di altri reati gravi costituisce un’ingerenza nei diritti fondamentali al rispetto della vita privata delle persone e della protezione dei dati personali di coloro i cui dati personali sono trattati nell’EES. Ogni ingerenza di questo tipo deve essere prevista dalla legge, che deve essere formulata con precisione sufficiente a consentire alla persona di adeguare il proprio comportamento, tutelare la persona dall’arbitrarietà nonché indicare con sufficiente chiarezza la portata del potere discrezionale conferito alle autorità competenti e il modo in cui esse devono esercitare tale potere discrezionale. Inoltre, in una società democratica qualunque ingerenza nei diritti fondamentali deve essere limitata a ciò che è necessario per proteggere un interesse legittimo e proporzionato e deve essere commisurata all’obiettivo legittimo che deve perseguire.

Il confronto di dati sulla base di una traccia dattiloscopica che può essere rinvenuta sul luogo del reato («impronta digitale latente»), sono di fondamentale importanza nell’ambito della cooperazione di polizia. La possibilità di confrontare un’impronta digitale latente con i dati relativi alle impronte digitali che sono conservati nell’EES, nei casi in cui si può ragionevolmente ritenere che l’autore o la vittima di un reato potrebbero essere registrati nell’EES, è necessaria per la prevenzione, l’accertamento o l’indagine, da parte delle autorità designate degli Stati membri, di reati di terrorismo o di altri reati gravi, qualora per esempio l’unica prova sul luogo del reato consista in impronte digitali latenti.

È necessario designare le autorità competenti degli Stati membri e i punti di accesso centrale attraverso cui devono essere inoltrate le richieste di accesso ai dati dell’EES e conservare un elenco delle unità operative in seno alle autorità designate autorizzate a chiedere tale accesso a fini specifici di prevenzione, accertamento o indagine di reati di terrorismo o di altri reati gravi.

Le richieste di accesso ai dati dell’EES dovrebbero essere presentate dalle unità operative in seno alle autorità designate al punto di accesso centrale e dovrebbero essere debitamente motivate. Le unità operative in seno alle autorità designate che sono autorizzate a chiedere accesso ai dati dell’EES non dovrebbero agire in qualità di autorità di verifica. Il punto di accesso centrale dovrebbe essere un organismo o un’entità a cui è conferito, in conformità del diritto nazionale, l’incarico di esercitare l’autorità pubblica e dovrebbe essere in grado, in virtù della qualità e del numero del suo personale, di verificare efficacemente se le condizioni per la richiesta di accesso all’EES sono soddisfatte in ogni caso. I punti di accesso centrale dovrebbero agire in modo indipendente dalle autorità designate ed essere responsabili di garantire, in modo indipendente, il rigoroso rispetto delle condizioni di accesso di cui al presente regolamento. In caso di urgenza, qualora sia necessario un accesso tempestivo per rispondere a una minaccia specifica e reale connessa a reati di terrorismo o altri reati gravi, il punto di accesso centrale dovrebbe poter trattare la richiesta immediatamente ed effettuare la verifica a posteriori.

Onde proteggere i dati personali ed escludere le interrogazioni sistematiche, il trattamento dei dati dell’EES dovrebbe avvenire solo in casi specifici e quando necessario a fini di prevenzione, accertamento o indagine di reati di terrorismo o altri reati gravi. Le autorità designate ed Europol dovrebbero chiedere l’accesso all’EES soltanto quando abbiano ragionevoli motivi per ritenere che tale accesso fornisca informazioni che contribuiranno in modo sostanziale alla prevenzione, all’accertamento o all’indagine di reati di terrorismo o altri reati gravi.

Inoltre, l’accesso all’EES al fine di identificare sconosciute persone sospette„ autori oppure vittime di reati di terrorismo o di altri reati gravi, dovrebbe essere autorizzato soltanto a condizione che siano state effettuate interrogazioni nelle banche dati nazionali dello Stato membro e l’interrogazione dei sistemi automatizzati d’identificazione dattiloscopica di tutti gli altri Stati membri ai sensi della decisione 2008/615/GAI del Consiglio¹² è stata effettuata pienamente, oppure non è stata effettuata pienamente entro due giorni dal suo avvio.

Ai fini di un confronto e di uno scambio di dati personali efficaci, gli Stati membri dovrebbero attuare e applicare pienamente gli accordi internazionali esistenti e il diritto dell’Unione in materia di scambio di dati personali già in vigore, in particolare la decisione 2008/615/GAI.

I dati personali conservati nell’EES non dovrebbero essere conservati più di quanto strettamente necessario agli scopi del trattamento dei dati. Ai fini della gestione delle frontiere è sufficiente conservare i dati relativi ai cittadini di paesi terzi che hanno rispettato la durata del soggiorno autorizzato nell’EES per un periodo di tre anni, in modo da evitare che tali cittadini debbano registrare nuovamente i propri dati nell’EES prima della scadenza di detto periodo. Questo periodo di conservazione dei dati di tre anni ridurrà il bisogno di frequenti registrazioni ripetute e andrà a vantaggio di tutti i viaggiatori poiché sia il tempo medio di attraversamento della frontiera sia i tempi di attesa ai valichi di frontiera diminuiranno. Anche per il viaggiatore che entra solo una volta nel territorio degli Stati membri, il fatto che altri viaggiatori già registrati nell’EES non debbano registrarsi nuovamente prima della scadenza del periodo di tre anni di conservazione dei dati ridurrà i tempi di attesa al valico di frontiera. Il periodo di conservazione dei dati di tre anni è inoltre necessario per facilitare e velocizzare l’attraversamento delle frontiere, anche utilizzando sistemi automatizzati e di self-service. È altresì opportuno fissare un periodo di conservazione dei dati di tre anni per i cittadini di paesi terzi a cui è stato rifiutato l’ingresso per un soggiorno di breve durata. Per i cittadini di paesi terzi che sono familiari di un cittadino dell’Unione a cui si applica la direttiva 2004/38/CE del Parlamento europeo e del Consiglio¹³, o di un cittadino di paese terzo che gode del diritto di libera circolazione a norma del diritto dell’Unione, e che non sono titolari della carta di soggiorno a norma della direttiva 2004/38/CE è opportuno conservare ciascuna coppia di cartelle di ingresso/uscita per un periodo massimo di un anno dopo la data dell’uscita dal territorio degli Stati membri collegata a tale cartella. In seguito alla scadenza dei pertinenti periodi di conservazione dei dati, i dati dovrebbero essere cancellati automaticamente.

È necessario conservare i dati relativi ai cittadini di paesi terzi che non hanno lasciato il territorio degli Stati membri entro il periodo di soggiorno autorizzato per un periodo di cinque anni, onde contribuire alla loro individuazione e al processo di rimpatrio. Tali dati dovrebbero essere cancellati automaticamente al termine del periodo di cinque anni, a meno che non sussistano motivi per cancellarli prima.

È necessario conservare i dati personali dei cittadini di paesi terzi che hanno rispettato la durata del soggiorno autorizzato e dei cittadini di paesi terzi a cui è stato rifiutato l’ingresso per un soggiorno di breve durata per un periodo di tre anni e conservare i dati personali dei cittadini di paesi terzi che non hanno lasciato il territorio degli Stati membri entro il periodo di soggiorno autorizzato per un periodo di cinque anni, al fine di consentire alle guardie di frontiera di condurre le necessarie analisi del rischio previste dal regolamento (UE) 2016/399 prima di autorizzare un viaggiatore ad entrare nel territorio degli Stati membri. Il trattamento delle domande di visto negli uffici consolari richiede anche di analizzare lo storico dei viaggi del richiedente per valutare l’utilizzo di precedenti visti e il rispetto delle condizioni del soggiorno. La soppressione dell’apposizione del timbro sul passaporto deve essere compensata da una consultazione dell’EES. Lo storico dei viaggi disponibile nell’EES dovrebbe quindi coprire un periodo di tempo sufficiente ai fini del rilascio del visto. Nel condurre le analisi del rischio alla frontiera e nel trattare domande di visto è opportuno verificare lo storico dei viaggi dei cittadini di paesi terzi al fine di stabilire se in passato abbiano oltrepassato la durata massima di soggiorno autorizzato. Pertanto, è necessario conservare i dati personali dei cittadini di paesi terzi che non hanno lasciato il territorio degli Stati membri entro il periodo di soggiorno autorizzato per un periodo più lungo, pari a cinque anni, rispetto a quello previsto per i dati personali dei cittadini di paesi terzi che hanno rispettato la durata del soggiorno autorizzato e dei cittadini di paesi terzi il cui ingresso per un soggiorno di breve durata è stato rifiutato.

È opportuno elaborare norme relative alla responsabilità degli Stati membri per danni derivanti dalla violazione del presente regolamento.

Fatte salve le norme più specifiche di cui al presente regolamento concernenti il trattamento dei dati personali, al trattamento dei dati personali da parte degli Stati membri in applicazione del presente regolamento si dovrebbe applicare il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio¹⁴, tranne il caso in cui tale trattamento sia effettuato dalle autorità designate o dai punti di accesso centrale degli Stati membri a fini di prevenzione, indagine o accertamento di reati di terrorismo o altri reati gravi.

Fatte salve le norme più specifiche di cui al presente regolamento concernenti il trattamento dei dati personali, a quest’ultimo trattamento da parte delle autorità competenti degli Stati membri a fini di prevenzione, indagine o accertamento di reati di terrorismo o di altri reati gravi in virtù del presente regolamento si dovrebbero applicare le disposizioni legislative, regolamentari e amministrative nazionali adottate a norma della direttiva (UE) 2016/680.

Alle attività delle istituzioni e degli organismi dell’Unione nell’espletamento dei propri compiti in qualità di responsabili della gestione operativa dell’EES si dovrebbe applicare il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio¹⁵.

I dati personali ottenuti da uno Stato membro a norma del presente regolamento non dovrebbero essere trasferiti o resi disponibili a qualsiasi paese terzo, organizzazione internazionale o ente privato stabiliti all’interno o all’esterno dell’Unione. In deroga a tale norma, tuttavia, dovrebbe essere possibile trasferire tali dati personali a un paese terzo o a un’organizzazione internazionale, qualora tale trasferimento sia soggetto a condizioni rigorose e qualora sia necessario in singoli casi per contribuire all’identificazione di un cittadino di paese terzo in relazione al suo rimpatrio. In mancanza di una decisione di adeguatezza mediante un atto di esecuzione ai sensi del regolamento (UE) 2016/679 o di garanzie adeguate a cui sono soggetti i trasferimenti ai sensi di tale regolamento, dovrebbe essere possibile trasferire eccezionalmente ai fini del rimpatrio i dati dell’EES a un paese terzo o a un’organizzazione internazionale soltanto se necessario per importanti motivi di interesse pubblico ai sensi di tale regolamento.

Dovrebbe anche essere possibile trasferire i dati personali ottenuti dagli Stati membri a norma del presente regolamento a un paese terzo in un caso eccezionale di urgenza in cui sussista un pericolo imminente associato a un reato di terrorismo o qualora vi sia un pericolo imminente per la vita di una persona associato a un reato grave. Il pericolo imminente per la vita di una persona dovrebbe essere inteso come concernente un pericolo derivante da un reato grave commesso nei confronti di detta persona, ad esempio lesioni personali gravi, traffico illecito di organi e tessuti umani, rapimento, sequestro e presa di ostaggi, sfruttamento sessuale di minori e pedopornografia, e stupro. Tali dati dovrebbero essere trasferiti a un paese terzo solo se è garantito che, su base di reciprocità, il paese terzo richiedente fornisca le informazioni sulle cartelle di ingresso/uscita da esso detenute agli Stati membri in cui l’EES è operativo. Dovrebbe essere possibile per le autorità competenti degli Stati membri le cui autorità designate hanno accesso all’EES a norma del presente regolamento di trasferire i dati dell’EES agli Stati membri in cui l’EES non è operativo e a quelli a cui non si applica il presente regolamento. Tale fornitura di informazioni dovrebbe essere subordinata a una richiesta debitamente motivata e limitarsi ai casi in cui è necessaria per la prevenzione, l’accertamento o l’indagine di un reato di terrorismo o di un altro reato grave. Dovrebbe essere possibile per uno Stato membro in cui l’EES è operativo fornire tali informazioni solo se è garantito che, su base di reciprocità, lo Stato membro richiedente fornisca le informazioni sulle cartelle di ingresso/uscita da esso detenute agli Stati membri in cui l’EES è operativo. A tutti i trattamenti successivi dei dati ottenuti dall’EES si applica la direttiva (UE) 2016/680.

In ogni Stato membro, l’autorità di controllo istituita in conformità del regolamento (UE) 2016/679 dovrebbe controllare la liceità del trattamento dei dati personali da parte degli Stati membri mentre il Garante europeo della protezione dei dati dovrebbe sorvegliare le attività delle istituzioni e degli organismi dell’Unione connesse al trattamento dei dati personali. Il Garante europeo della protezione dei dati e le autorità di controllo dovrebbero cooperare ai fini del controllo dell’EES.

In ogni Stato membro, l’autorità di controllo istituita in conformità della direttiva (UE) 2016/680 dovrebbe monitorare la liceità del trattamento dei dati personali da parte degli Stati membri a fini di contrasto.

Oltre alle disposizioni concernenti le informazioni da fornire in conformità del regolamento (UE) 2016/679, ai cittadini di paesi terzi i cui dati devono essere registrati nell’EES si dovrebbero fornire le informazioni opportune in relazione alla registrazione di tali dati. Gli Stati membri dovrebbero fornire tali informazioni per iscritto, mediante qualsiasi mezzo appropriato, compresi opuscoli, manifesti o qualsiasi altro mezzo elettronico adeguato.

Per garantire l’efficace monitoraggio dell’applicazione del presente regolamento, quest’ultimo dovrebbe essere valutato ad intervalli regolari.

Gli Stati membri dovrebbero stabilire norme sulle sanzioni applicabili in caso di violazione delle disposizioni del presente regolamento e garantirne l’applicazione.

È opportuno attribuire alla Commissione competenze di esecuzione al fine di garantire condizioni uniformi di esecuzione del presente regolamento. Tali competenze dovrebbero essere esercitate conformemente al regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio¹⁶.

Poiché gli obiettivi del presente regolamento, vale a dire l’istituzione dell’EES e la definizione di obblighi, condizioni e procedure comuni per l’uso dei dati non possono essere conseguiti in misura sufficiente dagli Stati membri ma, a motivo della portata e degli effetti dell’azione, possono essere conseguiti meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 del trattato sull’Unione europea (TUE). Il presente regolamento si limita a quanto è necessario per conseguire tali obiettivi in ottemperanza al principio di proporzionalità enunciato nello stesso articolo.

A seguito dell’avvio delle operazioni dell’EES, è opportuno modificare la Convenzione di applicazione dell’Accordo di Schengen, del 14 giugno 1985, tra i governi degli Stati dell’Unione economica Benelux, della Repubblica federale di Germania e della Repubblica francese relativo all’eliminazione graduale dei controlli alle frontiere comuni¹⁷ (la «Convenzione di applicazione dell’Accordo di Schengen») per quanto concerne gli accordi bilaterali conclusi dagli Stati membri e la durata di oltre 90 giorni su un periodo di 180 giorni del soggiorno autorizzato dei cittadini di paesi terzi esenti dall’obbligo del visto. La Commissione dovrebbe includere nella valutazione globale dell’EES una valutazione riguardante l’uso degli accordi bilaterali degli Stati membri. Dovrebbe essere possibile per la Commissione includere opzioni nella prima relazione di valutazione in vista della graduale eliminazione di tali accordi bilaterali e della loro sostituzione per mezzo di uno strumento dell’Unione.

I costi previsti dell’EES sono inferiori agli stanziamenti destinati alle «frontiere intelligenti» con regolamento (UE) n. 515/2014 del Parlamento europeo e del Consiglio¹⁸. Di conseguenza, a seguito dell’adozione del presente regolamento è opportuno che la Commissione, mediante un atto delegato previsto dal regolamento (UE) n. 515/2014, riassegni l’importo attualmente destinato allo sviluppo di sistemi IT per la gestione dei flussi migratori attraverso le frontiere esterne.

Il presente regolamento non pregiudica l’applicazione della direttiva 2004/38/CE.

A norma degli articoli 1 e 2 del protocollo n. 22 sulla posizione della Danimarca, allegato al TUE e al trattato sul funzionamento dell’Unione europea, la Danimarca non partecipa all’adozione del presente regolamento, non è da esso vincolata, né è soggetta alla sua applicazione. Dato che il presente regolamento si basa sull’acquis di Schengen, la Danimarca decide, ai sensi dell’articolo 4 di tale protocollo, entro sei mesi dalla decisione del Consiglio sul presente regolamento, se intende recepirlo nel proprio diritto interno.

Il presente regolamento costituisce uno sviluppo delle disposizioni dell’acquis di Schengen a cui il Regno Unito non partecipa, a norma della decisione 2000/365/CE del Consiglio¹⁹; il Regno Unito non partecipa pertanto alla sua adozione, non è da esso vincolato né è soggetto alla sua applicazione.

Il presente regolamento costituisce uno sviluppo delle disposizioni dell’acquis di Schengen a cui l’Irlanda non partecipa, a norma della decisione 2002/192/CE del Consiglio²⁰; l’Irlanda non partecipa pertanto alla sua adozione, non è da esso vincolata, né è soggetta alla sua applicazione.

Per quanto riguarda l’Islanda e la Norvegia, il presente regolamento costituisce i sensi dell’accordo concluso dal Consiglio dell’Unione europea con la Repubblica d’Islanda e il Regno di Norvegia sulla loro associazione all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen²¹, uno sviluppo delle disposizioni dell’acquis di Schengen a che rientrano nel settore di cui all’articolo 1, lettera A, della decisione 1999/437/CE del Consiglio²².

Per quanto riguarda la Svizzera, il presente regolamento costituisce uno sviluppo ai sensi dell’accordo tra l’Unione europea, la Comunità europea e la Confederazione svizzera riguardante l’associazione di quest’ultima all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen²³, delle disposizioni dell’acquis di Schengen che rientrano nel settore di cui all’articolo 1, lettera A, della decisione 1999/437/CE, in combinato disposto con l’articolo 3 della decisione 2008/146/CE del Consiglio²⁴ e con l’articolo 3 della decisione 2008/149/GAI del Consiglio²⁵.

Per quanto riguarda il Liechtenstein, il presente regolamento costituisce uno sviluppo ai sensi del protocollo tra l’Unione europea, la Comunità europea, la Confederazione svizzera e il Principato del Liechtenstein sull’adesione del Principato del Liechtenstein all’accordo tra l’Unione europea, la Comunità europea e la Confederazione svizzera riguardante l’associazione della Confederazione svizzera all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen²⁶, delle disposizioni dell’acquis di Schengen che rientrano nel settore di cui all’articolo 1, lettera A, della decisione 1999/437/CE, in combinato disposto con l’articolo 3 della decisione 2011/350/UE del Consiglio²⁷ e con l’articolo 3 della decisione 2011/349/UE del Consiglio²⁸.

Per quanto riguarda, Cipro, Bulgaria, Romania e Croazia, le disposizioni del presente regolamento relative al SIS e al VIS costituiscono disposizioni basate sull’acquis di Schengen o a esso altrimenti connesse, ai sensi, rispettivamente, dell’articolo 3, paragrafo 2, dell’atto di adesione del 2003, dell’articolo 4, paragrafo 2, dell’atto di adesione del 2005 e dell’articolo 4, paragrafo 2, dell’atto di adesione del 2011, in combinato disposto con le decisioni 2010/365/UE²⁹, (UE) 2017/733³⁰ e (UE) 2017/1908 del Consiglio³¹. Inoltre, per il funzionamento dell’EES occorre la concessione di un accesso passivo al VIS e l’attuazione di tutte le disposizioni dell’acquis di Schengen relative al SIS conformemente alle pertinenti decisioni del Consiglio. Tali condizioni possono essere soddisfatte soltanto una volta completata con successo la verifica conformemente alla procedura di valutazione Schengen applicabile. Pertanto, l’EES dovrebbe essere operativo solamente in quegli Stati membri che soddisferanno tali condizioni entro l’entrata in funzione dell’EES. Gli Stati membri in cui l’EES non è operativo dall’entrata in funzione iniziale dovrebbero connettersi all’EES conformemente alla procedura di cui al presente regolamento non appena saranno soddisfatte tutte le suddette condizioni.

Il Garante europeo della protezione dei dati è stato consultato a norma dell’articolo 28, paragrafo 2, del regolamento (CE) n. 45/2001 ed ha espresso un parere il 21 settembre 2016.

Il presente regolamento stabilisce rigorose norme relative all’accesso all’EES nonché le necessarie garanzie per tale accesso. Stabilisce inoltre i diritti individuali di accesso, rettifica, completamento, cancellazione e ricorso, in particolare il diritto a un ricorso giurisdizionale, e il controllo del trattamento dei dati da parte di autorità pubbliche indipendenti. Il presente regolamento rispetta pertanto i diritti fondamentali ed è conforme ai principi riconosciuti dalla Carta dei diritti fondamentali dell’Unione europea, segnatamente il diritto alla dignità umana, la proibizione della schiavitù e del lavoro forzato, il diritto alla libertà e alla sicurezza, il diritto al rispetto della vita privata e della vita familiare, il diritto alla protezione dei dati di carattere personale, il diritto di non discriminazione, i diritti del minore, i diritti degli anziani, l’integrazione delle persone con disabilità e il diritto a un ricorso effettivo e a un giudice imparziale.

Il presente regolamento fa salvi gli obblighi derivanti dalla Convenzione di Ginevra, del 28 luglio 1951, relativa allo status dei rifugiati, integrata dal Protocollo di New York del 31 gennaio 1967,