Regolamento (UE) 2017/2226 del Parlamento europeo e del Consiglio del 30 novembre 2017 che istituisce un sistema di ingressi/uscite per la registrazione dei dati di ingresso e di uscita e dei dati relativi al respingimento dei cittadini di paesi terzi che attraversano le frontiere esterne degli Stati membri e che determina le condizioni di accesso al sistema di ingressi/uscite a fini di contrasto e che modifica la Convenzione di applicazione dell’Accordo di Schengen e i regolamenti (CE) n. 767/2008 e (UE) n. 1077/2011
Testo vigente
Art. 33 Procedura e condizioni di accesso ai dati dell’EES da parte di Europol
1. Europol ha accesso alla consultazione dell’EES se sono soddisfatte tutte le seguenti condizioni:
a) la consultazione è necessaria per sostenere e rafforzare l’azione degli Stati membri in materia di prevenzione, accertamento o indagine di reati di terrorismo o di altri reati gravi che sono di competenza di Europol;
b) la consultazione è necessaria e proporzionata in un caso specifico;
c) esistono prove o ragionevoli motivi per ritenere che la consultazione dei dati dell’EES contribuisca alla prevenzione, all’accertamento o all’indagine di uno dei reati in questione, in particolare laddove sussista il sospetto fondato che la persona sospettata, l’autore o la vittima di un reato di terrorismo o un altro reato grave rientri in una delle categorie contemplate dal presente regolamento.
1 bis. Europol può accedere all'EES a fini di consultazione qualora, in caso di interrogazione del CIR avviata conformemente all'articolo 22 del regolamento (UE) 2019/817, le condizioni stabilite dal presente articolo sono soddisfatte e la risposta di cui all'articolo 22, paragrafo 2, del regolamento (UE) 2019/817 indichi che nell'EES sono conservati dati.
2.
L’accesso all’EES come strumento per identificare una persona sospettata sconosciuta, un autore sconosciuto o una vittima presunta sconosciuta di un reato di terrorismo o altro reato grave è consentito quando le condizioni di cui al paragrafo 1 sono soddisfatte e la consultazione, in via prioritaria, dei dati conservati nelle banche dati che sono tecnicamente e giuridicamente accessibili a Europol non ha consentito di identificare la persona in questione.
In parallelo a una richiesta di consultazione dell’EES può essere presentata una richiesta di consultazione del VIS su uno stesso soggetto interessato conformemente alle condizioni stabilite nella decisione 2008/633/GAI.
3. Le condizioni di cui all’articolo 32, paragrafi a 3, 4 e 5, si applicano di conseguenza.
4. L’autorità designata da Europol può presentare una richiesta motivata in formato elettronico per la consultazione di tutti i dati dell’EES o una serie specifica di dati dell’EES al punto di accesso centrale di Europol di cui all’articolo 30, paragrafo 2. Quando riceve la richiesta di accesso, il punto di accesso centrale di Europol verifica se le condizioni di accesso di cui ai paragrafi 1 e 2 del presente articolo siano soddisfatte. Se tutte le condizioni di accesso sono soddisfatte, il personale debitamente autorizzato del punto di accesso centrale di Europol tratta la richiesta. I dati dell’EES consultati sono trasmessi all’unità operativa designata da Europol in modo che la sicurezza dei dati non sia compromessa.
5. Europol tratta solo le informazioni ottenute da una consultazione dei dati dell’EES soggetta all’autorizzazione dello Stato membro d’origine. Tale autorizzazione è ottenuta attraverso l’unità nazionale Europol di detto Stato membro.
Capo V. Conservazione e modifica dei dati
Art. 34 Periodo di conservazione dei dati
1. Ciascuna cartella di ingresso/uscita o relativa al respingimento collegata a un fascicolo individuale è conservata nel CIR e nel sistema centrale dell'EES per un periodo di tre anni a decorrere dalla data della registrazione di uscita o di respingimento, a seconda del caso.
2. Ciascun fascicolo individuale e la cartella o le cartelle di ingresso/uscita o relative al respingimento a esso collegate sono conservati nel CIR e nel sistema centrale dell'EES per un periodo di tre anni e un giorno a decorrere dalla data dell’ultima registrazione di uscita o della registrazione di respingimento, se non è stato registrato alcun ingresso nei tre anni successivi alla data dell’ultima registrazione di uscita o di respingimento.
3. Se, dopo la data di scadenza del periodo di soggiorno autorizzato, non è stata registrata alcuna uscita, i dati sono conservati per un periodo di cinque anni a decorrere dalla data di scadenza del periodo di soggiorno autorizzato. L’EES informa automaticamente gli Stati membri, con tre mesi di anticipo, della programmata cancellazione di dati sui soggiornanti fuoritermine per consentire loro di adottare le opportune misure.
4. In deroga al paragrafo 1, ciascuna cartella di ingresso/uscita registrata per cittadini di paesi terzi che hanno lo status di cui all’articolo 2, paragrafo 1, lettera b), sono conservate nell’EES per un periodo massimo di un anno a decorrere dall’uscita di tali cittadini di paesi terzi. Se non è stata registrata alcuna uscita, i dati sono conservati per un periodo di cinque anni a decorrere dalla data dell’ultima registrazione di ingresso.
5. Allo scadere del periodo di conservazione di cui ai paragrafi da 1 a 4, i dati in questione sono cancellati automaticamente dal sistema centrale dell'EES e dal CIR.
Art. 35 Modifica dei dati e cancellazione anticipata dei dati
1. Lo Stato membro competente ha il diritto di modificare i dati da esso introdotti nell’EES, rettificandoli, integrandoli o cancellandoli.
2. Qualora disponga di prove indicanti che i dati registrati nell’EES sono di fatto inesatti o incompleti o che sono stati trattati nell’EES in violazione del presente regolamento, lo Stato membro competente li controlla e, ove necessario, li rettifica, li integra o li cancella dall’EES senza indugio e, se del caso, dall’elenco delle persone identificate di cui all’articolo 12, paragrafo 3. I dati possono essere verificati, rettificati, integrati o cancellati anche su richiesta dell’interessato ai sensi dell’articolo 52.
3. In deroga ai paragrafi 1 e 2, del presente articolo, qualora uno Stato membro diverso dallo Stato membro competente disponga di prove indicanti che i dati registrati nell’EES sono di fatto inesatti, incompleti o che sono stati trattati nell’EES in violazione del presente regolamento, esso li controlla, purché sia possibile farlo senza consultare lo Stato membro competente, e, ove necessario, li rettifica, li integra o li cancella dall’EES senza indugio e, se del caso, dall’elenco delle persone identificate di cui all’articolo 12, paragrafo 3. Qualora non sia possibile verificare i dati senza consultare lo Stato membro responsabile, lo stesso contatta le autorità dello Stato membro competente entro sette giorni, decorsi i quali quest’ultimo verifica l’esattezza dei dati e la liceità del loro trattamento entro un mese. I dati possono essere verificati, rettificati, integrati o cancellati anche su richiesta del cittadino di paese terzo interessato ai sensi dell’articolo 52.
4. Qualora uno Stato membro disponga di prove indicanti che i dati relativi ai visti registrati nell’EES sono di fatto inesatti, incompleti o che sono stati trattati nell’EES in violazione del presente regolamento, esso verifica innanzitutto l’esattezza di tali dati nel VIS e, se necessario, li rettifica, li integra o li cancella dall’EES. Qualora i dati registrati nel VIS sono identici a quelli registrati nell’EES, ne informa immediatamente lo Stato membro competente per l’inserimento di tali dati nel VIS mediante l’infrastruttura del VIS in conformità dell’articolo 24, paragrafo 2, del regolamento (CE) n. 767/2008. Lo Stato membro competente per l’inserimento di tali dati nel VIS verifica tali dati e, se necessario, li rettifica, li integra o li cancella immediatamente dal VIS e ne informa lo Stato membro interessato, il quale provvede, se necessario, senza indugio a rettificarli, integrarli o cancellarli dall’EES e, se del caso, dall’elenco delle persone identificate di cui all’articolo 12, paragrafo 3.
5. I dati relativi alle persone identificate di cui all’articolo 12 sono cancellati senza indugio dall’elenco menzionato in tale articolo e sono rettificati o integrati nell’EES qualora il cittadino di paese terzo interessato dimostri, conformemente al diritto nazionale dello Stato membro competente o dello Stato membro al quale è stata presentata la richiesta, di essere stato costretto a superare la durata del soggiorno autorizzato a causa di circostanze gravi ed imprevedibili, di aver acquisito il diritto legale di soggiorno o che si è verificato un errore. Fatto salvo ogni ricorso amministrativo o extragiudiziale disponibile, tale cittadino di paese terzo ha accesso a un mezzo di ricorso giurisdizionale effettivo per assicurarsi che i dati siano rettificati, integrati o cancellati.
6.
Qualora un cittadino di paese terzo abbia acquisito la cittadinanza di uno Stato membro o rientri nell’ambito di applicazione dell’articolo 2, paragrafo 3, prima della scadenza del periodo applicabile di cui all’articolo 34, il fascicolo individuale e le cartelle di ingresso/uscita collegate a tale fascicolo individuale di cui agli articoli 16 e 17 e le cartelle relative al respingimento collegate a tale fascicolo individuale di cui all’articolo 18, senza indugio e, in ogni caso, non oltre cinque giorni lavorativi dal giorno in cui tale cittadino di paese terzo ha acquisito la cittadinanza di uno Stato membro o è rientrato nell’ambito di applicazione dell’articolo 2, paragrafo 3, prima della scadenza del periodo di cui all’articolo 34, sono cancellati dall’EES e, se del caso, dall’elenco delle persone identificate di cui all’articolo 12, paragrafo 3:
a) dallo Stato membro di cui ha acquisito la cittadinanza, o
b) dallo Stato membro che ha rilasciato il permesso o la carta di soggiorno o il visto per soggiorno di lunga durata.
Se il cittadino di paese terzo ha acquisito la cittadinanza di Andorra, Monaco o San Marino o è in possesso di un passaporto rilasciato dallo Stato della Città del Vaticano o della Santa Sede, informa di tale cambiamento le autorità competenti dello Stato membro in cui fa il successivo ingresso. Detto Stato membro cancella senza indugio i suoi dati dall’EES. Il cittadino di paese terzo in questione deve avere accesso a un mezzo di ricorso giurisdizionale effettivo per assicurarsi che i dati siano cancellati.
7. Il sistema centrale dell'EES e il CIR informano immediatamente tutti gli Stati membri della cancellazione dei dati dell'EES o del CIR e, ove applicabile, li eliminano dall'elenco di persone identificate di cui all'articolo 12, paragrafo 3.
8. Qualora uno Stato membro diverso dallo Stato membro competente abbia rettificato, integrato o cancellato i dati in conformità del presente regolamento, tale Stato membro diventa lo Stato membro responsabile della rettifica, dell’integrazione o della cancellazione dei dati. L’EES registra tutte le rettifiche, le integrazioni e le cancellazioni dei dati.
Capo VI. Sviluppo, funzionamento e responsabilità
Art. 36 Adozione di atti di esecuzione della Commissione prima dello sviluppo
La Commissione adotta gli atti di esecuzione necessari per lo sviluppo e la realizzazione tecnica del sistema centrale dell'EES e del CIR, delle NUI, dell’infrastruttura di comunicazione, del servizio web di cui all’articolo 13 e dell’archivio di dati di cui all’articolo 63, paragrafo 2, in particolare per quanto riguarda:
a) le specifiche per la qualità, la risoluzione e l’uso delle impronte digitali ai fini delle verifiche biometriche e dell’identificazione nell’EES;
b) le specifiche per la qualità, la risoluzione e l’uso dell’immagine del volto ai fini delle verifiche biometriche e dell’identificazione nell’EES, anche quando è rilevata sul posto o estratta elettronicamente dall’eMRTD;
c) l’inserimento dei dati conformemente agli articoli da 16 a 20;
d) l’accesso ai dati conformemente agli articoli da 23 a 33;
e) la modifica, la cancellazione e la cancellazione anticipata dei dati ai sensi dell’articolo 35;
f) la conservazione delle registrazioni e il relativo accesso conformemente all’articolo 46;
g) i requisiti operativi, inclusi le specifiche minime per le attrezzature tecniche e i requisiti relativi alle prestazioni biometriche dell’EES, in particolare per quanto riguarda i tassi richiesti di falsa identificazione positiva, di falsa identificazione negativa e di insuccesso nell’inserimento prescritti;
h) le specifiche e le condizioni per il servizio web di cui all’articolo 13, comprese le disposizioni specifiche per la protezione dei dati qualora siano forniti dai o ai vettori;
i) l’istituzione e la progettazione ad alto livello dell’interoperabilità di cui all’articolo 8;
j) le specifiche e le condizioni per l’archivio di dati di cui all’articolo 63, paragrafo 2;
k) la creazione dell’elenco delle persone identificate di cui all’articolo 12, paragrafo 3, e la procedura per mettere tale elenco a disposizione degli Stati membri;
l) le specifiche relative a soluzioni tecniche che consentano la connessione dei punti di accesso centrale ai sensi degli articoli 31, 32 e 33 e a una soluzione tecnica che consenta la raccolta dei dati statistici richiesti ai sensi dell’articolo 72, paragrafo 8.
Tali atti di esecuzione sono adottati secondo la procedura di esame di cui all’articolo 68, paragrafo 2.
Ai fini dell’adozione degli atti di esecuzione di cui al primo comma, lettera i), del presente articolo, il comitato istituito ai sensi dell’articolo 68 del presente regolamento consulta il comitato VIS istituito ai sensi dell’articolo 49 del regolamento (CE) n. 767/2008.
Art. 37 Sviluppo e gestione operativa
1.
eu-LISA è responsabile dello sviluppo del sistema centrale dell'EES, del CIR, delle NUI, dell'infrastruttura di comunicazione e del canale di comunicazione sicuro tra il sistema centrale dell'EES e il sistema centrale del VIS. eu-LISA è inoltre responsabile dello sviluppo del servizio web di cui all'articolo 13 secondo le norme dettagliate di cui all'articolo 13, paragrafo 7, e secondo le specifiche e le condizioni adottate conformemente all'articolo 36, primo comma, lettera h), e dello sviluppo dell'archivio di dati di cui all'articolo 63, paragrafo 2.
eu-LISA definisce la progettazione dell’architettura fisica dell’EES, compresa la relativa infrastruttura di comunicazione, nonché le specifiche tecniche e la loro evoluzione per quanto riguarda il sistema centrale dell’EES, le NUI, l’infrastruttura di comunicazione, il canale di comunicazione sicuro tra il sistema centrale dell’EES e il sistema centrale del VIS, il servizio web di cui all’articolo 13 del presente regolamento e l’archivio di dati di cui all’articolo 63, paragrafo 2, del presente regolamento. Tali specifiche tecniche sono adottate dal consiglio di amministrazione di eu-LISA previo parere favorevole della Commissione. eu-LISA provvede anche ad attuare i necessari adeguamenti al VIS derivanti dall’istituzione dell’interoperabilità con l’EES nonché dall’attuazione delle modifiche del regolamento (CE) n. 767/2008 di cui all’articolo 61 del presente regolamento.
eu-LISA sviluppa e implementa il sistema centrale dell’EES, le NUI, l’infrastruttura di comunicazione, il canale di comunicazione sicuro tra il sistema centrale dell’EES e il sistema centrale del VIS, il servizio web di cui all’articolo 13 e l’archivio di dati di cui all’articolo 63, paragrafo 2, non appena possibile dopo l’adozione da parte della Commissione delle misure di cui all’articolo 36.
Lo sviluppo comporta l’elaborazione e l’applicazione delle specifiche tecniche, il collaudo e il coordinamento generale del progetto.
Quando si sviluppano e realizzano il sistema centrale dell’EES, le NUI, e l’infrastruttura di comunicazione, il canale di comunicazione sicuro tra il sistema centrale dell’EES e il sistema centrale del VIS, il servizio web di cui all’articolo 13 e l’archivio di dati di cui all’articolo 63, paragrafo 2, i compiti di eu-LISA sono anche di:
a) effettuare una valutazione del rischio connesso alla sicurezza;
b) attenersi ai principi della tutela della vita privata fin dalla progettazione e per impostazione predefinita durante l’intero ciclo di vita dello sviluppo dell’EES;
c) svolgere una valutazione del rischio connesso alla sicurezza riguardo all’interoperabilità con il VIS di cui all’articolo 8 e valutare le necessarie misure di sicurezza richieste per la realizzazione dell’interoperabilità con il VIS.
2.
In fase di progettazione e di sviluppo, è istituito un consiglio di gestione del programma composto da un massimo di dieci membri. Esso è costituito da sette membri nominati dal consiglio di amministrazione di eu-LISA tra i suoi membri o i supplenti, dal presidente del gruppo consultivo dell’EES di cui all’articolo 69, da un membro che rappresenta eu-LISA nominato dal suo direttore esecutivo e da un membro nominato dalla Commissione. I membri nominati dal consiglio di amministrazione di eu-LISA sono eletti soltanto tra gli Stati membri che sono pienamente vincolati, in base al diritto dell’Unione, dagli strumenti legislativi che disciplinano lo sviluppo, l’istituzione, il funzionamento e l’uso di tutti i sistemi IT su larga scala gestiti da eu-LISA e che sono conformi alle condizioni di cui all’articolo 66, paragrafo 2.
Il consiglio di gestione del programma si riunisce periodicamente e almeno tre volte a trimestre. Garantisce l’adeguata gestione della fase di progettazione e sviluppo dell’EES e la coerenza tra il progetto centrale e i progetti nazionali dell’EES.
Il consiglio di gestione del programma presenta mensilmente relazioni scritte al consiglio di amministrazione di eu-LISA sui progressi del progetto. Il consiglio di gestione del programma non ha potere decisionale, né mandato di rappresentare i membri del consiglio di amministrazione di eu-LISA.
Il consiglio di amministrazione di eu-LISA stabilisce il regolamento interno del consiglio di gestione del programma, che comprende in particolare disposizioni concernenti:
a) la sua presidenza;
b) i luoghi di riunione;
c) la preparazione delle riunioni;
d) l’ammissione di esperti alle riunioni;
e) i piani di comunicazione atti a garantire che siano fornite informazioni complete ai membri non partecipanti del consiglio di amministrazione di eu-LISA.
La presidenza del consiglio di gestione del programma è esercitata da uno Stato membro che è pienamente vincolato, in base al diritto dell’Unione, dagli strumenti legislativi che disciplinano lo sviluppo, l’istituzione, il funzionamento e l’uso di tutti i sistemi IT su larga scala gestiti da eu-LISA.
Tutte le spese di viaggio e di soggiorno sostenute dai membri del consiglio di gestione del programma sono a carico di eu-LISA e l’articolo 10 del suo regolamento interno si applica mutatis mutandis. eu-LISA fornisce un segretariato al consiglio di gestione del programma.
In fase di progettazione e di sviluppo, il gruppo consultivo dell’EES di cui all’articolo 69 è composto dai responsabili di progetto dei sistemi nazionali dell’EES e presieduto da eu-LISA. Esso si riunisce periodicamente e almeno tre volte a trimestre fino all’entrata in funzione dell’EES. Dopo ciascuna riunione, riferisce al consiglio di gestione del programma. Fornisce la consulenza tecnica a sostegno delle attività del consiglio di gestione del programma e monitora lo stato di preparazione degli Stati membri.
3.
eu-LISA è responsabile della gestione operativa del sistema centrale dell'EES, del CIR, delle NUI e del canale di comunicazione sicuro tra il sistema centrale dell'EES e il sistema centrale del VIS. In cooperazione con gli Stati membri, provvede a che in qualsiasi momento siano utilizzate, previa analisi costi/benefici, le migliori tecnologie disponibili per il sistema centrale dell'EES, il CIR, le NUI, l'infrastruttura di comunicazione, il canale di comunicazione sicuro tra il sistema centrale dell'EES e il sistema centrale del VIS, il servizio web di cui all'articolo 13 e l'archivio di dati di cui all'articolo 63, paragrafo 2. eu-LISA è inoltre responsabile della gestione operativa dell'infrastruttura di comunicazione tra il sistema centrale dell'EES e le NUI, del servizio web di cui all'articolo 13 e dell'archivio di dati di cui all'articolo 63, paragrafo 2.
La gestione operativa dell’EES consiste nell’insieme dei compiti necessari per garantire il funzionamento dell’EES 24 ore su 24 e 7 giorni su 7, in conformità del presente regolamento e comprende, in particolare, la manutenzione e gli adeguamenti tecnici necessari per garantire che l’EES funzioni a un livello di qualità operativa soddisfacente, in particolare per quanto riguarda i tempi di risposta alle interrogazioni del sistema centrale dell’EES da parte delle autorità di frontiera, conformemente alle specifiche tecniche.
4. Fatto salvo l’articolo 17 dello statuto dei funzionari dell’Unione europea e le condizioni di impiego degli altri agenti dell’Unione, stabilite nel regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio42, eu-LISA garantisce che i membri del suo personale che operano con i dati dell’EES o con i dati conservati nell’EES applichino adeguate norme in materia di segreto professionale o altri doveri equivalenti di riservatezza. Tale obbligo vincola il personale anche dopo che abbia lasciato l’incarico o cessato di lavorare, ovvero portato a termine le attività.
Art. 38 Responsabilità degli Stati membri e di Europol
1. Ciascuno Stato membro è responsabile di quanto segue:
a) l’integrazione delle infrastrutture di frontiera nazionali esistenti e la loro connessione alla NUI;
b) l’organizzazione, la gestione, il funzionamento e la manutenzione della propria infrastruttura nazionale di frontiera esistente e la sua connessione all’EES ai fini dell’articolo 6, ad eccezione dell’articolo 6, paragrafo 2;
c) l’organizzazione dei punti di accesso centrale e la loro connessione alla NUI a fini di contrasto;
d) la gestione e le modalità di accesso all’EES del personale debitamente autorizzato e del personale debitamente autorizzato delle autorità nazionali competenti a norma del presente regolamento, nonché la creazione e l’aggiornamento periodico di un elenco di tale personale con le relative qualifiche.
2. Ciascuno Stato membro designa un’autorità nazionale che fornisce alle autorità competenti di cui all’articolo 9, paragrafo 2, l’accesso all’EES. Ciascuno Stato membro provvede alla connessione di tale autorità nazionale alla NUI. Ciascuno Stato membro provvede alla connessione dei rispettivi punti di accesso centrale di cui all’articolo 29 alla NUI.
3. Ciascuno Stato membro utilizza procedure automatizzate per il trattamento dei dati dell’EES.
4. Gli Stati membri provvedono affinché le prestazioni tecniche dell’infrastruttura di controllo di frontiera, la sua disponibilità, la durata delle verifiche di frontiera e la qualità dei dati siano monitorate con attenzione per assicurare che soddisfino i requisiti generali per il buon funzionamento dell’EES e una procedura efficiente di verifiche di frontiera.
5. Prima di essere autorizzato a trattare dati conservati nell’EES, il personale delle autorità con diritto di accesso all’EES riceve una formazione adeguata, in particolare, sulle norme di sicurezza e di protezione dei dati, nonché per quanto riguarda i diritti fondamentali pertinenti.
6. Gli Stati membri non trattano i dati nell’EES o dall’EES per finalità diverse da quelle stabilite nel presente regolamento.
7. Europol si fa carico delle responsabilità previste al paragrafo 1, lettera d), e ai paragrafi 3, 5 e 6. Provvede alla connessione, ed è responsabile della connessione, del punto di accesso centrale di Europol all’EES.
Art. 39 Responsabilità per il trattamento dei dati
1.
Per quanto concerne il trattamento dei dati personali nell’EES, ciascuno Stato membro designa un’autorità quale titolare del trattamento ai sensi dell’articolo 4, punto 7, del regolamento (UE) 2016/679, dotata di responsabilità centrale per il trattamento dei dati da parte di tale Stato membro. Ciascuno Stato membro comunica gli estremi di detta autorità alla Commissione.
Ciascuno Stato membro garantisce che i dati raccolti e registrati nell’EES siano trattati lecitamente e, segnatamente, che soltanto il personale debitamente autorizzato abbia accesso ai dati per assolvere i propri compiti. Lo Stato membro competente garantisce in particolare che i dati siano:
a) raccolti lecitamente e nel pieno rispetto della dignità umana del cittadino di paese terzo interessato;
b) registrati lecitamente nell’EES;
c) esatti e aggiornati quando trasmessi all’EES.
2. eu-LISA garantisce che l’EES sia gestito conformemente al presente regolamento e agli atti di esecuzione di cui all’articolo 36. In particolare, eu-LISA:
a) adotta le misure necessarie per garantire la sicurezza del sistema centrale dell’EES e dell’infrastruttura di comunicazione tra il sistema centrale dell’EES e la NUI, fatte salve le responsabilità degli Stati membri;
b) garantisce che soltanto il personale debitamente autorizzato abbia accesso ai dati trattati nell’EES.
3. eu-LISA informa il Parlamento europeo, il Consiglio, la Commissione e il Garante europeo della protezione dei dati delle misure adottate in conformità del paragrafo 2 in considerazione dell’entrata in funzione dell’EES.
Art. 40 Conservazione di dati negli archivi nazionali e nei sistemi nazionali di ingressi/uscite
1. Ciascuno Stato membro può conservare i dati alfanumerici che ha inserito nell’EES, conformemente alle finalità dell’EES, nel sistema nazionale di ingressi e uscite o in archivi nazionali equivalenti nel pieno rispetto del diritto dell’Unione.
2. I dati non sono conservati nel sistema nazionale di ingressi/uscite o in archivi nazionali equivalenti per un periodo superiore a quello per cui sono conservati nell’EES.
3. Qualsiasi uso di dati non conforme al paragrafo 1 è considerato abuso ai sensi del diritto nazionale di ciascuno Stato membro e del diritto dell’Unione.
4. Il presente articolo non può essere inteso nel senso di richiedere adattamenti tecnici dell’EES. Gli Stati membri possono conservare i dati conformemente al presente articolo a loro spese, a loro rischio e usando i loro mezzi tecnici.
Art. 41 Comunicazione di dati a paesi terzi, organizzazioni internazionali e enti privati
1. I dati conservati nell’EES non sono trasferiti a nessun paese terzo, nessuna organizzazione internazionale o nessun ente privato, né messi a loro disposizione.
2. In deroga al paragrafo 1 del presente articolo, i dati di cui all’articolo 16, paragrafo 1, lettere a), b), c) dell’articolo 17, paragrafo 1 del presente regolamento possono essere trasferiti a un paese terzo o a un’organizzazione internazionale figurante nell’allegato I del presente regolamento dalle autorità di frontiera o dalle autorità competenti per l’immigrazione in casi specifici, se necessario per provare l’identità di cittadini di paesi terzi ai fini esclusivi del rimpatrio, purché sia rispettata una delle seguenti condizioni:
a) la Commissione ha adottato una decisione sull’adeguata protezione dei dati personali in tale paese terzo in conformità dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679;
b) sono state previste garanzie adeguate ai sensi dell’articolo 46 del regolamento (UE) 2016/679, attraverso, ad esempio, un accordo di riammissione in vigore tra l’Unione o uno Stato membro e il paese terzo in questione; o
c) si applica l’articolo 49, paragrafo 1, lettera d), del regolamento (UE) 2016/679.
3. I dati di cui all’articolo 16, paragrafo 1, e all’articolo 17, paragrafo 1, lettere a), b) e c) del presente regolamento possono essere trasferite in conformità del paragrafo 2 del presente articolo solo se tutte le seguenti condizioni sono soddisfatte:
a) il trasferimento dei dati è effettuato in conformità delle disposizioni pertinenti del diritto dell’Unione, in particolare delle disposizioni in materia di protezione dei dati, compreso il capo V del regolamento (UE) 2016/679 e gli accordi di riammissione, e il diritto nazionale dello Stato membro che trasferisce i dati;
b) il paese terzo o l’organizzazione internazionale ha concordato di trattare i dati limitatamente ai fini per i quali sono stati trasmessi; e
c) una decisione di rimpatrio adottata a norma della direttiva 2008/115/CE è stata emessa nei confronti del cittadino di paese terzo interessato, purché la esecuzione di tale decisione di rimpatrio non sia sospesa e purché non sia stato presentato alcun ricorso che possa portare alla sospensione della sua esecuzione.
4. I trasferimenti di dati personali a paesi terzi o a organizzazioni internazionali ai sensi del paragrafo 2 non pregiudicano i diritti dei richiedenti o dei beneficiari di protezione internazionale, in particolare in materia di non respingimento.
5. I dati personali ottenuti dal sistema centrale dell’EES da uno Stato membro o da Europol a fini di contrasto non sono trasferiti a nessun paese terzo, a nessuna organizzazione internazionale o a nessun ente di diritto privato stabiliti all’interno o all’esterno dell’Unione, né messi a loro disposizione. Il divieto si applica altresì qualora il trattamento ulteriore di tali dati sia effettuato a livello nazionale o tra Stati membri a norma della direttiva (UE) 2016/680.
6.
In deroga al paragrafo 5 del presente articolo, i dati di cui all’articolo 16, paragrafo 1, lettere a), b) e c), all’articolo 16, paragrafo 2, lettere a) e b), all’articolo 16, paragrafo 3, lettere a) e b), e all’articolo 17, paragrafo 1, lettera a), possono essere trasferiti a un paese terzo dall’autorità designata, in casi specifici, solo se sono soddisfatte tutte le seguenti condizioni:
a) ricorre un caso eccezionale di urgenza in cui sussiste:
i) un pericolo imminente associato a un reato di terrorismo; o
ii) un pericolo imminente alla vita di una persona associato a un reato grave;
b) il trasferimento dei dati è necessario a fini di prevenzione, accertamento o indagine nel territorio degli Stati membri o nel paese terzo interessato di tale reato di terrorismo o di un reato grave;
c) l’autorità designata ha accesso a tali dati secondo la procedura e le condizioni di cui agli articoli 31 e 32;
d) il trasferimento è effettuato in conformità delle condizioni applicabili previste dalla direttiva (UE) 2016/680, in particolare il capo V;
e) una richiesta debitamente motivata è presentata dal paese terzo, per iscritto o in formato elettronico, e
f) è garantita, su base di reciprocità, la fornitura delle informazioni sulle cartelle di ingresso/uscita detenute dal paese terzo richiedente agli Stati membri in cui l’EES è operativo.
Qualora sia effettuato a norma del primo comma del presente paragrafo, un tale trasferimento è documentato e, su richiesta, la documentazione è messa a disposizione dell’autorità di controllo istituita in virtù dell’articolo 41, paragrafo 1, della direttiva (UE) 2016/680, con l’indicazione della data e dell’ora del trasferimento, delle informazioni sull’autorità competente ricevente, della motivazione del trasferimento e dei dati personali trasferiti.
Art. 42 Condizioni per la comunicazione di dati a uno Stato membro in cui l’EES non è ancora operativo e a uno Stato membro nei confronti del quale non si applica il presente regolamento
1.
I dati di cui all’articolo 16, paragrafo 1, lettere a), b) e c), all’articolo 16, paragrafo 2, lettere a) e b), all’articolo 16, paragrafo 3, lettere a) e b), e all’articolo 17, paragrafo 1, lettera a), possono essere trasferiti dall’autorità designata a uno Stato membro in cui l’EES non è ancora operativo e a uno Stato membro a cui non si applica il presente regolamento, in casi specifici, solo se sono soddisfatte tutte le seguenti condizioni:
a) ricorre un caso eccezionale di urgenza in cui sussiste:
i) un pericolo imminente associato a un reato di terrorismo; o
ii) un reato grave;
b) il trasferimento dei dati è necessario a fini di prevenzione, accertamento o indagine di tale reato di terrorismo o di un reato grave;
c) l’autorità designata ha accesso a tali dati secondo la procedura e alle condizioni di cui agli articoli 31 e 32;
d) si applica la direttiva (UE) 2016/680;
e) è stata presentata, per iscritto o in formato elettronico, una richiesta debitamente motivata; e
f) è garantita, su base di reciprocità, la fornitura delle informazioni sulle cartelle di ingresso/uscita detenute dallo Stato membro richiedente agli Stati membri in cui l’EES è operativo.
Qualora sia effettuato a norma del primo comma del presente paragrafo, tale trasferimento è documentato e, su richiesta, la documentazione è messa a disposizione dell’autorità di controllo istituita in virtù dell’articolo 41, paragrafo 1, della direttiva (UE) 2016/680, con l’indicazione della data e dell’ora del trasferimento, delle informazioni sull’autorità competente ricevente, della motivazione del trasferimento e dei dati personali trasferiti.
2. Laddove i dati siano forniti ai sensi del presente articolo, si applicano, mutatis mutandis, le stesse condizioni previste all’articolo 43, paragrafo 1, all’articolo 45, paragrafi 1 e 3, all’articolo 48 e all’articolo 58, paragrafo 4.
Art. 43 Sicurezza dei dati
1. Lo Stato membro competente garantisce la sicurezza dei dati prima e durante la trasmissione alla NUI. Ciascuno Stato membro garantisce la sicurezza dei dati che riceve dall’EES.
2. Ciascuno Stato membro, in relazione alla propria infrastruttura di frontiera nazionale, adotta le misure necessarie, compresi un piano di sicurezza e un piano di continuità operativa e di ripristino in caso di disastro, al fine di:
a) proteggere fisicamente i dati, tra l’altro mediante l’elaborazione di piani d’emergenza per la protezione delle infrastrutture critiche;
b) negare alle persone non autorizzate l’accesso alle attrezzature usate per il trattamento di dati e alle strutture nazionali nelle quali lo Stato membro effettua operazioni conformemente alle finalità dell’EES;
c) impedire che supporti di dati possano essere letti, copiati, modificati o asportati da persone non autorizzate;
d) impedire che i dati siano inseriti senza autorizzazione e che sia presa visione senza autorizzazione dei dati personali conservati, o che gli stessi siano modificati o cancellati senza autorizzazione;
e) impedire che persone non autorizzate usino sistemi di trattamento automatizzato di dati servendosi di attrezzature per la comunicazione di dati;
f) impedire che i dati siano trattati nell’EES senza autorizzazione e che i dati trattati nell’EES siano modificati o cancellati senza autorizzazione;
g) garantire che le persone autorizzate ad accedere all’EES abbiano accesso solo ai dati previsti dalla loro autorizzazione di accesso, tramite identità di utente individuali e uniche ed esclusivamente con modalità di accesso riservato;
h) garantire che tutte le autorità con diritto di accesso all’EES creino profili che descrivano le funzioni e le responsabilità delle persone autorizzate a inserire, modificare, cancellare, consultare e cercare i dati e mettano tali profili a disposizione delle autorità di controllo;
i) garantire che sia possibile verificare e stabilire a quali organismi possono essere trasmessi dati personali mediante apparecchiature di comunicazione dei dati;
j) garantire che sia possibile verificare e stabilire quali dati sono stati trattati nell’EES, e quando, da chi e per quale scopo essi sono stati trattati;
k) impedire, in particolare mediante tecniche appropriate di cifratura, che, all’atto della trasmissione di dati personali dall’EES o verso il medesimo ovvero durante il trasporto dei supporti di dati, tali dati personali vengano letti, copiati, modificati o cancellati senza autorizzazione;
l) garantire che, in caso di interruzione, i sistemi installati possano essere ripristinati;
m) garantire l’affidabilità, accertandosi che eventuali anomalie nel funzionamento dell’EES siano adeguatamente segnalate;
n) monitorare l’efficacia delle misure di sicurezza di cui al presente paragrafo e adottare le necessarie misure organizzative relative al monitoraggio interno per garantire l’osservanza del presente regolamento.
3. Per quanto riguarda il funzionamento dell’EES, eu-LISA adotta le misure necessarie per conseguire gli obiettivi enunciati al paragrafo 2, compresa l’adozione di un piano di sicurezza e di un piano di continuità operativa e di ripristino in caso di disastro. eu-LISA garantisce altresì l’affidabilità, accertandosi che siano adottate le misure tecniche necessarie per garantire che i dati personali possano essere recuperati in caso di danneggiamento a causa di un malfunzionamento dell’EES.
4. eu-LISA e gli Stati membri cooperano al fine di garantire un approccio armonizzato alla sicurezza dei dati sulla base di una procedura di gestione del rischio di sicurezza che includa l’intero EES.
Art. 44 Incidenti di sicurezza
1. È considerato incidente di sicurezza l’evento che ha o può avere ripercussioni sulla sicurezza dell’EES e può causare danni o perdite ai dati conservati nell’EES, in particolare quando possono essere stati consultati dati senza autorizzazione o quando sono state o possono essere state compromesse la disponibilità, l’integrità e la riservatezza dei dati.
2. Ogni incidente di sicurezza è gestito in modo da garantire una risposta rapida, efficace e adeguata.
3. Fatte salve la notifica e la comunicazione di una violazione dei dati personali a norma dell’articolo 33 del regolamento (UE) 2016/679, dell’articolo 30 della direttiva (UE) 2016/680, o di entrambi, gli Stati membri notificano gli incidenti di sicurezza alla Commissione, a eu-LISA e al Garante europeo della protezione dei dati. Qualora si verifichi un incidente di sicurezza in relazione al sistema centrale dell’EES, eu-LISA ne dà notifica alla Commissione e al Garante europeo della protezione dei dati.
4. Le informazioni su un incidente di sicurezza che ha o può avere ripercussioni sul funzionamento dell’EES o sulla disponibilità, integrità e riservatezza dei dati sono fornite agli Stati membri e registrate secondo il piano di gestione degli incidenti stabilito da eu-LISA.
5. Gli Stati membri interessati ed eu-LISA cooperano in caso di un incidente di sicurezza.
Art. 45 Responsabilità
1. Qualsiasi persona o Stato membro che abbia subito un danno materiale o immateriale in esito a un trattamento illecito o a un atto non conforme al presente regolamento ha diritto al risarcimento del danno dallo Stato membro responsabile del danno subito. Tale Stato può essere esonerato, in tutto o in parte, da responsabilità se prova che l’evento dannoso non gli è in alcun modo imputabile.
2. Uno Stato membro è ritenuto responsabile di ogni eventuale danno arrecato all’EES conseguente all’inosservanza degli obblighi del presente regolamento, fatto salvo il caso e nella misura in cui eu-LISA o un altro Stato membro che partecipa all’EES abbiano omesso di adottare provvedimenti ragionevolmente idonei a prevenire il danno o ridurne al minimo l’impatto.
3. Le azioni proposte contro uno Stato membro per il risarcimento del danno di cui ai paragrafi 1 e 2 sono disciplinate dalle disposizioni del diritto nazionale dello Stato membro convenuto.
Art. 46 Conservazione di registrazioni da parte di eu-LISA e degli Stati membri
1. eu-LISA conserva le registrazioni di tutti i trattamenti di dati nell’ambito dell’EES. Tali registrazioni comprendono i seguenti elementi:
a) la finalità dell’accesso di cui all’articolo 9, paragrafi 2, 2 bis e 2 ter;
b) la data e l’ora;
c) i dati trasmessi di cui agli articoli da 16 a 19;
d) i dati utilizzati ai fini dell’interrogazione di cui agli articoli da 23 a 27;
e) il nome dell’autorità che inserisce o estrae i dati, nonché
f) un riferimento all'uso dell'ESP per interrogare l'EES di cui all'articolo 7, paragrafo 2, del regolamento (UE) 2019/817.
2.
Per le consultazioni di cui all’articolo 8, una registrazione di tutti i trattamenti dei dati effettuati nell’EES e nel VIS è conservata in conformità del presente articolo e dell’articolo 34 del regolamento (CE) n. 767/2008. eu-LISA assicura in particolare la conservazione della registrazione pertinente dei trattamenti di dati quando sono avviati dalle autorità competenti direttamente da un sistema all’altro.
Per le consultazioni di cui agli articoli 8 bis, 8 ter e 25 bis del presente regolamento è Le registrazioni di tutti i trattamenti di dati effettuati nell’EES e nell’ETIAS ai sensi degli articoli 8 bis, 8 ter e 25 bis del presente regolamento sono conservate in conformità del presente articolo e dell’articolo 69 del regolamento (UE) 2018/1240.
3. In aggiunta ai paragrafi 1 e 2, ciascuno Stato membro conserva le registrazioni del personale debitamente autorizzato a trattare i dati dell’EES.
4. Tali registrazioni possono essere utilizzate unicamente per il monitoraggio, ai fini della protezione dei dati, compresa la verifica dell’ammissibilità di una richiesta e della liceità del trattamento dei dati, e per garantire la sicurezza degli stessi ai sensi dell’articolo 43. Tali registrazioni sono protette dall’accesso non autorizzato con misure adeguate e sono cancellate dopo un anno dalla scadenza del periodo di conservazione di cui all’articolo 34, a meno che non siano necessarie per procedure di monitoraggio già avviate.
Art. 47 Verifica interna
Gli Stati membri provvedono affinché ciascuna autorità con diritto di accesso ai dati dell’EES adotti le misure necessarie per conformarsi al presente regolamento e cooperi, se necessario, con le autorità di controllo.
Art. 48 Sanzioni
Gli Stati membri adottano le misure necessarie per garantire che ogni uso contrario al presente regolamento dei dati inseriti nell’EES sia passibile di sanzioni effettive, proporzionate e dissuasive, in conformità del diritto nazionale, dell’articolo 84 del regolamento (UE) 2016/679 e dell’articolo 57 della direttiva (UE) 2016/680.
Art. 49 Protezione dei dati
1. Al trattamento dei dati personali effettuato da eu-LISA sulla base del presente regolamento si applica il regolamento (CE) n. 45/2001.
2. Al trattamento dei dati personali effettuato dalle autorità nazionali sulla base del presente regolamento si applica il regolamento (UE) 2016/679, ad eccezione del trattamento ai fini di cui all’articolo 1, paragrafo 2, del presente regolamento.
3. Al trattamento dei dati personali effettuato dalle autorità designate degli Stati membri sulla base del presente regolamento si applica la direttiva (UE) 2016/680 ai fini di cui all’articolo 1, paragrafo 2, del presente regolamento.
4. Al trattamento dei dati personali effettuato da Europol sulla base del presente regolamento si applica il regolamento (UE) 2016/794.
Capo VII. Diritti e vigilanza in materia di protezione dei dati
Art. 50 Diritto d’informazione
1. Fatto salvo il diritto di informazione di cui all’articolo 13 del regolamento (UE) 2016/679, i cittadini di paesi terzi i cui dati sono da registrare nell’EES sono informati dallo Stato membro competente di quanto segue:
a) il fatto che l’EES può essere consultato dagli Stati membri e da Europol a fini di contrasto;
b) l’obbligo per i cittadini di paesi terzi esenti dal visto e per i titolari di un FTD di sottoporsi al rilevamento delle impronte digitali;
c) l’obbligo imposto a tutti i cittadini di paesi terzi soggetti a registrazione nell’EES di sottoporsi al rilevamento dell’immagine del volto;
d) l’obbligo di acquisire i dati ai fini dell’esame delle condizioni d’ingresso;
e) il fatto che l’ingresso sarà negato se un cittadino di paese terzo rifiuta di fornire i dati biometrici necessari per la registrazione, la verifica o l’identificazione nell’EES;
f) il diritto di ottenere informazioni circa la durata massima rimanente del loro soggiorno autorizzato ai sensi dell’articolo 11, paragrafo 3;
g) il fatto che i dati personali conservati nell’EES possono essere trasferiti a un paese terzo o a un’organizzazione internazionale elencata nell’allegato I ai fini del rimpatrio, a un paese terzo conformemente all’articolo 41, paragrafo 6, e agli Stati membri conformemente all’articolo 42;
h) l’esistenza del diritto di chiedere al titolare del trattamento l’accesso ai dati che li riguardano e del diritto di chiedere che i dati inesatti che li riguardano siano rettificati, che i dati personali incompleti che li riguardano siano completati, che i dati personali che li riguardano trattati illecitamente siano cancellati o che il loro trattamento sia limitato, nonché del diritto di ottenere informazioni sulle procedure da seguire per esercitare tali diritti, compresi gli estremi del titolare del trattamento e delle autorità di controllo, o del Garante europeo della protezione dei dati se del caso, cui rivolgersi in caso di reclami in materia di tutela dei dati personali;
i) il fatto che i dati dell’EES saranno accessibili per la gestione delle frontiere e l’agevolazione e che i soggiorni fuoritermine comporteranno automaticamente l’aggiunta dei loro dati nell’elenco delle persone identificate di cui all’articolo 12, paragrafo 3, nonché le possibili conseguenze dei soggiorni fuoritermine;
j) il periodo di conservazione dei dati stabilito per le cartelle di ingresso e uscita, per quelle relative al respingimento e per singoli fascicoli a norma dell’articolo 34;
k) il diritto dei soggiornanti fuoritermine di chiedere che i propri dati personali siano cancellati dall’elenco delle persone identificate di cui all’articolo 12, paragrafo 3, e siano rettificati nell’EES qualora dimostrino di aver superato la durata del soggiorno autorizzato a causa di circostanze eccezionali e imprevedibili;
l) il diritto di proporre reclamo alle autorità di controllo.
2. Le informazioni di cui al paragrafo 1 del presente articolo sono fornite per iscritto, con qualsiasi mezzo adeguato, in forma concisa, trasparente, intelligibile e facilmente accessibile, ed è resa disponibile, usando un linguaggio semplice e chiaro, in una versione linguistica che la persona interessata capisca o che dovrebbe ragionevolmente capire, al fine di garantire che i cittadini di paesi terzi siano informati dei loro diritti nel momento in cui il fascicolo individuale dell’interessato è creato conformemente all’ articolo 16, 17 o 18.
3. Inoltre, la Commissione crea un sito web contenente le informazioni di cui al paragrafo 1.
4. La Commissione adotta atti di esecuzione che elaborano le informazioni di cui al paragrafo 1 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 68, paragrafo 2.
5. La Commissione fornisce le informazioni di cui al paragrafo 1 del presente articolo in un modello. Il modello è redatto in modo da consentire agli Stati membri di integrarlo con informazioni aggiuntive specifiche per ciascuno Stato membro. Tali informazioni specifiche per Stato membro includono quanto meno i diritti dell’interessato, la possibilità di ricevere assistenza da parte delle autorità di controllo nonché gli estremi dell’ufficio del titolare del trattamento, del responsabile della protezione dei dati e delle autorità di controllo. La Commissione adotta gli atti di esecuzione che riguardano le specifiche e le condizioni per il sito web di cui al paragrafo 3 del presente articolo. Tali atti di esecuzione sono adottati prima dell’inizio delle operazioni dell’EES in conformità della procedura di esame di cui all’articolo 68, paragrafo 2.
Art. 51 Campagna d’informazione
La Commissione, in collaborazione con le autorità di controllo e il Garante europeo della protezione dei dati, avvia, in concomitanza con l’entrata in funzione dell’EES, una campagna informativa rivolta al pubblico e, in particolare, ai cittadini di paesi terzi sugli obiettivi dell’EES, il tipo di dati conservati nell’EES, le autorità che vi hanno accesso e i diritti delle persone interessate. Tali campagne informative sono effettuate periodicamente.
Art. 52 Diritto di accesso ai dati personali, di rettifica, integrazione e cancellazione degli stessi e di limitazione del trattamento degli stessi
1.
Le richieste di cittadini di paesi terzi relative ai diritti di cui agli articoli da 15 a 18 del regolamento (UE) 2016/679 possono essere presentate all’autorità competente di qualsiasi Stato membro.
Lo Stato membro competente o lo Stato membro al quale è stata presentata la richiesta risponde entro 45 giorni dalla ricezione della richiesta.
2. Qualora la richiesta di rettifica, integrazione o cancellazione dei dati personali ovvero di limitazione del trattamento degli stessi sia presentata ad uno Stato membro diverso da quello competente, le autorità dello Stato membro al quale è stata presentata la richiesta verificano entro 30 giorni dalla ricezione della richiesta l’esattezza dei dati e la liceità del loro trattamento nell’EES, qualora tale verifica possa essere effettuata senza consultare lo Stato membro competente. Altrimenti lo Stato membro ai cui la richiesta è stata effettuata contatta le autorità dello Stato membro competente entro sette giorni e quest’ultimo verifica, entro 30 giorni da tale contatto, l’esattezza dei dati e la liceità del loro trattamento.
3.
Qualora emerga che i dati registrati nell’EES siano di fatto inesatti, incompleti o siano stati registrati illecitamente, lo Stato membro competente o, ove applicabile, lo Stato membro al quale è stata presentata la richiesta provvede a rettificare, integrare o cancellare i dati personali ovvero a limitarne il trattamento conformemente all’articolo 35. Lo Stato membro competente o, ove applicabile, lo Stato membro al quale è stata presentata la richiesta conferma per iscritto e senza indugio all’interessato di aver provveduto a rettificare, integrare o cancellare i dati personali di tale persona ovvero a limitarne il trattamento.
Qualora emerga che i dati relativi ai visti registrati nell’EES siano di fatto inesatti, incompleti o siano stati registrati illecitamente, lo Stato membro competente o, ove applicabile, lo Stato membro al quale è stata presentata la richiesta provvede innanzitutto a verificare l’esattezza di tali dati nel VIS e, se necessario, a rettificarli nell’EES. Se i dati registrati nel VIS sono identici a quelli nell’EES, entro sette giorni, lo Stato membro competente o, ove applicabile, lo Stato membro al quale è stata presentata la richiesta contatta le autorità dello Stato membro competente per l’inserimento dei dati nel VIS. Quest’ultimo verifica l’esattezza dei dati relativi ai visti e la liceità del loro trattamento nell’EES entro un termine di 30 giorni da tale contatto e informa lo Stato membro competente o lo Stato membro al quale è stata presentata la richiesta, il quale provvede senza indugio, se necessario, a rettificare, o integrare i dati personali della persona interessata o limitare il trattamento di tali dati o cancellarli dall’EES, senza indugio, e, se del caso, dall’elenco delle persone identificate di cui all’articolo 12, paragrafo 3.
4. Qualora non ritenga che i dati registrati nell’EES siano di fatto inesatti, incompleti o siano stati registrati illecitamente, lo Stato membro competente o, ove applicabile, lo Stato membro al quale è stata presentata la richiesta adotta una decisione amministrativa con la quale illustra per iscritto senza indugio al cittadino di paese terzo interessato la ragione per cui non intende rettificare, integrare o cancellare i dati personali che lo riguardano ovvero limitarne il trattamento.
5. Lo Stato membro che ha adottato la decisione amministrativa ai sensi del paragrafo 4 del presente articolo fornisce, inoltre, al cittadino di paese terzo interessato informazioni in merito alla procedura da seguire qualora non accetti la spiegazione. Ciò comprende le informazioni sulle modalità per avviare un’azione o un reclamo presso le autorità competenti o gli organi giurisdizionali competenti di tale Stato membro e su qualunque tipo di assistenza disponibile in conformità delle disposizioni normative, regolamentari e procedurali di tale Stato membro, compresa quella dell’autorità di controllo istituita in virtù dell’articolo 51, paragrafo 1, del regolamento (UE) 2016/679.
6. Qualsiasi richiesta presentata a norma dei paragrafi 1 e 2 contiene le informazioni minime necessarie per identificare il cittadino di paese terzo interessato. Le impronte digitali possono essere richieste a tal fine solo in casi debitamente giustificati e qualora vi siano seri dubbi quanto all’identità del richiedente. Tali informazioni sono utilizzate unicamente per consentire che il cittadino di paese terzo eserciti i diritti di cui al paragrafo 1 e sono cancellate subito dopo.
7. Se una persona presenta una richiesta in conformità del paragrafo 1 del presente articolo, l’autorità competente dello Stato membro competente o dello Stato membro al quale è stata presentata la richiesta conserva una registrazione, sotto forma di documento scritto, della presentazione di tale richiesta. Tale richiesta comprende informazioni su come tale richiesta è stata trattata e da quale autorità. L’autorità competente mette tale documento a disposizione dell’autorità di controllo istituita in virtù dell’articolo 51, paragrafo 1, del regolamento (UE) 2016/679 entro sette giorni.
Art. 53 Cooperazione per far valere i diritti relativi alla protezione dei dati
1. Le autorità competenti degli Stati membri cooperano attivamente per far rispettare i diritti sanciti dall’articolo 52.
2.
In ciascuno Stato membro l’autorità di controllo istituita in virtù dell’articolo 51, paragrafo 1, del regolamento (UE) 2016/679 fornisce, su richiesta, assistenza e consulenza agli interessati nell’esercizio del loro diritto di rettifica, integrazione o cancellazione dei dati personali che li riguardano ovvero di limitazione del trattamento di tali dati ai sensi del regolamento (UE) 2016/679.
L’autorità di controllo dello Stato membro competente che ha trasmesso i dati e l’autorità di controllo dello Stato membro al quale è stata presentata la richiesta cooperano per raggiungere gli obiettivi di cui al primo comma.