Regolamento (UE) 2018/1726 del Parlamento europeo e del Consiglio del 14 novembre 2018 relativo all’Agenzia dell’Unione europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (eu-LISA), che modifica il regolamento (CE) n. 1987/2006 e la decisione 2007/533/GAI del Consiglio e che abroga il regolamento (UE) n. 1077/2011

visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 74, l’articolo 77, paragrafo 2, lettere a) e b), l’articolo 78, paragrafo 2, lettera e), l’articolo 79, paragrafo 2, lettera c), l’articolo 82, paragrafo 1, lettera d), l’articolo 85, paragrafo 1, l’articolo 87, paragrafo 2, lettera a), e l’articolo 88, paragrafo 2,

vista la proposta della Commissione europea,

previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,

deliberando secondo la procedura legislativa ordinaria¹,

Il sistema d’informazione Schengen (SIS II) è stato istituito dal regolamento (CE) n. 1987/2006 del Parlamento europeo e del Consiglio² e dalla decisione 2007/533/GAI del Consiglio³. Il regolamento (CE) n. 1987/2006 e la decisione 2007/533/GAI stabiliscono che la Commissione sia responsabile della gestione operativa del sistema centrale del SIS II (SIS II centrale) durante un periodo transitorio. Al termine di tale periodo transitorio un organo di gestione deve essere incaricato della gestione operativa del SIS II centrale e di determinati aspetti dell’infrastruttura di comunicazione.

Il sistema d’informazione visti (VIS) è stato istituito dalla decisione 2004/512/CE del Consiglio⁴. Il regolamento (CE) n. 767/2008 del Parlamento europeo e del Consiglio⁵ prevede che la Commissione sia responsabile della gestione operativa del VIS durante un periodo transitorio. Al termine di tale periodo transitorio un organo di gestione deve essere incaricato della gestione operativa del VIS centrale e delle interfacce nazionali e deve essere incaricato di determinati aspetti dell’infrastruttura di comunicazione.

L’Eurodac è stato istituito dal regolamento (CE) n. 2725/2000 del Consiglio⁶. Il regolamento (CE) n. 407/2002 del Consiglio⁷ ha fissato le necessarie modalità di applicazione. Tali atti giuridici sono stati abrogati e sostituiti dal regolamento (UE) n. 603/2013 del Parlamento europeo e del Consiglio⁸ a decorrere dal 20 luglio 2015.

L’Agenzia europea per la gestione operativa dei sistemi IT (tecnologia dell’informazione) su larga scala nello spazio di libertà, sicurezza e giustizia, comunemente nota come eu-LISA, è stata istituita dal regolamento (UE) n. 1077/2011 del Parlamento europeo e del Consiglio⁹ al fine di provvedere alla gestione operativa del SIS, del VIS e dell’Eurodac, compresi determinati aspetti delle relative infrastrutture di comunicazione, ed eventualmente a quella di altri sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia, ferma restando l’adozione di separati atti giuridici dell’Unione. Il regolamento (UE) n. 1077/2011 è stato modificato dal regolamento (UE) n. 603/2013 affinché tenesse in considerazione le modifiche introdotte all’Eurodac.

L’organo di gestione necessitava di autonomia giuridica, amministrativa e finanziaria; è stato pertanto costituito sotto forma di agenzia di regolamentazione («Agenzia») dotata di personalità giuridica. Come convenuto, la sede dell’Agenzia è stata fissata a Tallinn, Estonia. Tuttavia, poiché i compiti relativi allo sviluppo tecnico e alla preparazione per la gestione operativa del SIS II e del VIS erano già svolti a Strasburgo, Francia, e un sito di riserva (backup site) per tali sistemi era stato installato a Sankt Johann im Pongau, Austria, anche in linea con l’ubicazione del SIS II e del VIS stabilita in conformità dei pertinenti atti giuridici dell’Unione, si dovrebbe continuare a operare in questo modo. Tali due siti dovrebbero continuare ad essere, rispettivamente, anche i luoghi in cui sono svolti i compiti relativi alla gestione operativa dell’Eurodac e in cui è stabilito un sito di riserva per l’Eurodac. Tali due siti dovrebbero essere anche i luoghi, rispettivamente, per lo sviluppo tecnico e la gestione operativa di altri sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia e per un sito di riserva in grado di assicurare il funzionamento di un sistema IT su larga scala in caso di guasto di tale sistema. Al fine di massimizzare il possibile utilizzo del sito di riserva, questo potrebbe inoltre essere utilizzato per far funzionare simultaneamente i sistemi purché in caso di guasto di uno o più sistemi resti in grado di garantirne il funzionamento. In ragione del livello elevato di sicurezza e disponibilità, nonché del ruolo cruciale dei sistemi, qualora la capacità di accoglienza dei siti tecnici esistenti diventasse insufficiente, il consiglio di amministrazione dell’Agenzia («consiglio di amministrazione») dovrebbe avere la facoltà di proporre, ove tale necessità sia motivata sulla base di una valutazione d’impatto e di un’analisi costi-benefici indipendenti, l’istituzione di un secondo sito tecnico distinto o a Strasburgo o a Sankt Johann im Pongau, o in entrambi i luoghi, in base alle necessità, al fine di ospitare tali sistemi. Il consiglio di amministrazione dovrebbe consultare la Commissione e tenere conto del suo punto di vista prima di notificare al Parlamento europeo e al Consiglio («autorità di bilancio») l’intenzione di realizzare un progetto di natura immobiliare.

Dal 1o dicembre 2012, momento in cui si è fatta carico delle sue responsabilità, l’Agenzia è subentrata nei compiti affidati all’organo di gestione dal regolamento (CE) n. 767/2008 e dalla decisione 2008/633/GAI del Consiglio¹⁰ per quanto riguarda il VIS. Nell’aprile 2013 l’Agenzia è inoltre subentrata nei compiti affidati all’organo di gestione dal regolamento (CE) n. 1987/2006 e dalla decisione 2007/533/GAI per quanto riguarda il SIS II, in seguito all’entrata in funzione del SIS II, e nel giugno 2013 ha rilevato i compiti affidati alla Commissione in relazione all’Eurodac in conformità dei regolamenti (CE) n. 2725/2000 e (CE) n. 407/2002.

La prima valutazione dell’operato dell’Agenzia, realizzata nel periodo 2015-2016 in base a una valutazione esterna indipendente, ha concluso che l’Agenzia assicura in modo efficace la gestione operativa dei sistemi IT su larga scala e degli altri compiti assegnatile, ma ha evidenziato anche la necessità di apportare una serie di modifiche al regolamento (UE) n. 1077/2011, quali il trasferimento all’Agenzia dei compiti relativi all’infrastruttura di comunicazione mantenuti a livello di Commissione. Basandosi su tale valutazione esterna, la Commissione ha tenuto conto degli sviluppi giuridici, delle politiche e delle circostanze di fatto e ha proposto, in particolare nella relazione del 29 giugno 2017 sul funzionamento dell’agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (eu-LISA) («relazione di valutazione»), di ampliare il mandato dell’Agenzia affinché assolva ai compiti derivanti dall’adozione, da parte dei colegislatori, di proposte legislative che le affidano nuovi sistemi e ai compiti indicati nella comunicazione della Commissione del 6 aprile 2016 intitolata «Sistemi d’informazione più solidi e intelligenti per le frontiere e la sicurezza», a quelli indicati nella relazione finale del gruppo di esperti ad alto livello sui sistemi d’informazione e l’interoperabilità dell’11 maggio 2017, come pure ai compiti che figurano nella comunicazione della Commissione del 16 maggio 2017 intitolata «Settima relazione sui progressi compiuti verso un’autentica ed efficace Unione della sicurezza», ferma restando l’adozione dei pertinenti atti giuridici dell’Unione, ove necessario. In particolare, all’Agenzia dovrebbe essere affidato il compito di sviluppare soluzioni relative all’interoperabilità, definita nella comunicazione del 6 aprile 2016 come la capacità dei sistemi di informazione di scambiare dati e di consentire la condivisione delle informazioni. Se del caso, qualsiasi azione svolta in merito all’interoperabilità dovrebbe essere ispirata alla comunicazione della Commissione del 23 marzo 2017 intitolata «Quadro europeo di interoperabilità — Strategia di attuazione». L’allegato 2 di tale comunicazione fornisce gli orientamenti generali, le raccomandazioni e le migliori pratiche per realizzare l’interoperabilità o almeno per creare l’ambiente che permetta di realizzare una migliore interoperabilità in fase di progettazione, attuazione e gestione dei servizi pubblici europei.

Dalla relazione di valutazione è emerso inoltre che il mandato dell’Agenzia dovrebbe essere ampliato per consentirle di prestare consulenza agli Stati membri in merito al collegamento fra i sistemi nazionali e i sistemi centrali dei sistemi IT a larga scala che gestisce («sistemi») e assistenza e sostegno ad hoc, ove richiesto, e di prestare assistenza e sostegno ai servizi della Commissione sulle questioni di carattere tecnico relative ai nuovi sistemi.

All’Agenzia dovrebbero essere affidati la preparazione, lo sviluppo e la gestione operativa del sistema di ingressi/uscite (Entry/Exit System — EES) istituito dal regolamento (UE) 2017/2226 del Parlamento europeo e del Consiglio¹¹.

All’Agenzia dovrebbe essere affidata anche la gestione operativa di DubliNet, un canale sicuro di trasmissione elettronica separato tra le autorità degli Stati membri e istituito in applicazione dell’articolo 18 del regolamento (CE) n. 1560/2003 della Commissione¹², che le autorità competenti in materia di asilo degli Stati membri dovrebbero utilizzare per lo scambio di informazioni sui richiedenti protezione internazionale.

Dovrebbero inoltre essere affidati all’Agenzia la preparazione, lo sviluppo e la gestione operativa del sistema europeo di informazione e autorizzazione ai viaggi (ETIAS) istituito dal regolamento (UE) 2018/1240 del Parlamento europeo e del Consiglio¹³.

La funzione centrale dell’Agenzia dovrebbe continuare a consistere nell’assolvimento dei compiti di gestione operativa per il SIS II, il VIS, l’Eurodac, l’EES, DubliNet, l’ETIAS come pure, in caso di decisione in tal senso, per altri sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia. L’Agenzia dovrebbe essere altresì responsabile delle misure tecniche risultanti dai compiti non normativi che le sono conferiti. Tali responsabilità dovrebbero lasciare impregiudicati i compiti normativi che i rispettivi atti giuridici dell’Unione che disciplinano i sistemi riservano alla Commissione in via esclusiva o alla Commissione assistita da un comitato.

L’Agenzia dovrebbe essere in grado di attuare soluzioni tecniche al fine di soddisfare i requisiti di disponibilità definiti negli atti giuridici dell’Unione che disciplinano i sistemi, nel pieno rispetto delle disposizioni specifiche di tali atti per quanto concerne l’architettura tecnica dei rispettivi sistemi. Qualora tali soluzioni tecniche richiedano una duplicazione di un sistema o dei componenti di un sistema, dovrebbero essere svolte una valutazione d’impatto e un’analisi costi-benefici indipendenti e dovrebbe essere adottata una decisione da parte del consiglio di amministrazione, previa consultazione della Commissione. Tale valutazione d’impatto dovrebbe altresì includere un esame delle esigenze di capacità di accoglienza dei siti tecnici esistenti in relazione allo sviluppo di tali soluzioni tecniche, nonché degli eventuali rischi relativi all’attuale configurazione operativa.

Sono venuti meno i motivi per i quali la Commissione si doveva occupare di determinati compiti relativi all’infrastruttura di comunicazione dei sistemi, che, di conseguenza, andrebbero trasferiti all’Agenzia al fine di migliorare la coerenza della gestione dell’infrastruttura di comunicazione. Tuttavia, per i sistemi che utilizzano EuroDomain — infrastruttura di comunicazione protetta fornita da TESTA-ng (servizi transeuropei sicuri di nuova generazione per la comunicazione telematica tra amministrazioni), costituita come parte del programma ISA istituito dalla decisione n. 922/2009/CE del Parlamento europeo e del Consiglio¹⁴ e proseguita come parte del programma ISA2 istituito dalla decisione (UE) 2015/2240 del Parlamento europeo e del Consiglio¹⁵ — la Commissione dovrebbe continuare a occuparsi dei compiti relativi all’esecuzione del bilancio, di acquisizione e di rinnovo, così come degli aspetti contrattuali.

L’Agenzia dovrebbe poter affidare compiti relativi alla realizzazione, all’installazione, alla manutenzione e al monitoraggio dell’infrastruttura di comunicazione a soggetti o ad organismi esterni di diritto privato conformemente al regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio¹⁶. L’Agenzia dovrebbe disporre di risorse sufficienti, in termini di bilancio e di personale, in modo da limitare nella misura del possibile l’esternalizzazione delle sue funzioni e dei suoi compiti a imprese o organismi privati esterni del settore.

L’Agenzia dovrebbe continuare ad assolvere i compiti relativi alla formazione sull’uso tecnico del SIS II, del VIS e dell’Eurodac, così come degli altri sistemi che le saranno affidati in futuro.

Per contribuire alla definizione delle politiche dell’Unione in materia di migrazione e sicurezza basate su dati concreti e al monitoraggio del corretto funzionamento dei sistemi, l’Agenzia dovrebbe compilare e pubblicare statistiche nonché elaborare rapporti statistici e metterli a disposizione degli attori interessati, in conformità degli atti giuridici dell’Unione che disciplinano i sistemi, ad esempio al fine di monitorare l’attuazione del regolamento (UE) n. 1053/2013 del Consiglio¹⁷ e di condurre un’analisi del rischio e una valutazione delle vulnerabilità conformemente al regolamento (UE) 2016/1624 del Parlamento europeo e del Consiglio¹⁸.

Inoltre, l’Agenzia dovrebbe poter essere incaricata anche della preparazione, dello sviluppo e della gestione operativa di altri sistemi IT su larga scala ai sensi degli articoli da 67 a 89 del trattato sul funzionamento dell’Unione europea (TFUE). Esempi di tali sistemi potrebbero essere il sistema centralizzato per individuare gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico dei cittadini di paesi terzi e apolidi e integrare e sostenere il sistema europeo di informazione sui casellari giudiziali (ECRIS-TCN) o il sistema informatico per la comunicazione transfrontaliera nei procedimenti civili e penali (e-CODEX). Tali sistemi dovrebbero essere tuttavia affidati all’Agenzia soltanto mediante atti giuridici dell’Unione successivi e separati, preceduti da una valutazione d’impatto.

Per quanto riguarda la ricerca il mandato dell’Agenzia dovrebbe essere ampliato al fine di renderla più attiva nel suggerire le modifiche tecniche opportune e necessarie da apportare ai sistemi. L’Agenzia non dovrebbe solo poter monitorare le attività di ricerca in relazione alla gestione operativa dei sistemi, ma dovrebbe anche poter contribuire all’attuazione delle parti pertinenti del programma quadro di ricerca e innovazione dell’Unione europea, qualora la Commissione le deleghi i poteri pertinenti. L’Agenzia dovrebbe trasmettere, almeno una volta l’anno, informazioni su tale monitoraggio al Parlamento europeo, al Consiglio e, per le questioni relative al trattamento dei dati personali, al Garante europeo della protezione dei dati.

La Commissione dovrebbe poter affidare all’Agenzia la responsabilità dello svolgimento di progetti pilota di natura sperimentale destinati ad accertare la fattibilità e l’utilità di un’azione, che possono essere eseguiti senza atto di base a norma del regolamento (UE, Euratom) 2018/1046. La Commissione dovrebbe inoltre poter affidare all’Agenzia i compiti di esecuzione del bilancio per i prototipi finanziati nell’ambito dello strumento di sostegno finanziario per le frontiere esterne e i visti istituito dal regolamento (UE) n. 515/2014 del Parlamento europeo e del Consiglio¹⁹ a norma del regolamento (UE, Euratom) 2018/1046, dopo averne informato il Parlamento europeo. L’Agenzia dovrebbe altresì poter programmare e attuare le attività di collaudo rigorosamente su aspetti contemplati dal presente regolamento e dagli atti giuridici dell’Unione che disciplinano lo sviluppo, l’istituzione, l’esercizio e l’uso dei sistemi, come la verifica dei concetti di virtualizzazione. Quando è incaricata della realizzazione di un progetto pilota, l’Agenzia dovrebbe prestare particolare attenzione alla strategia di gestione delle informazioni dell’Unione europea.

Per quanto riguarda il collegamento dei sistemi nazionali con i sistemi centrali previsto dagli atti giuridici dell’Unione che disciplinano tali sistemi, l’Agenzia dovrebbe prestare consulenza agli Stati membri su loro richiesta.

L’Agenzia dovrebbe inoltre prestare sostegno ad hoc agli Stati membri su loro richiesta, fatta salva la procedura di cui al presente regolamento, ove necessario a causa di sfide o necessità eccezionali nel settore della sicurezza o della migrazione. In particolare, uno Stato membro dovrebbe poter chiedere rinforzi operativi e tecnici e poter contare su di essi qualora in determinate zone delle frontiere esterne tale Stato membro debba affrontare sfide migratorie specifiche e sproporzionate caratterizzate dall’arrivo di ampli flussi migratori. Tali rinforzi dovrebbero essere forniti nei punti di crisi (hotspot) dalle squadre di sostegno per la gestione della migrazione, composte da esperti provenienti dalle agenzie dell’Unione pertinenti. Se in tale contesto è necessario il sostegno dell’Agenzia per questioni relative ai sistemi, lo Stato membro interessato dovrebbe trasmettere una richiesta di sostegno alla Commissione, che, dopo aver stabilito che tale sostegno è effettivamente giustificato, dovrebbe a sua volta trasmettere la richiesta di sostegno senza ritardo all’Agenzia, affinché provveda a informarne il consiglio di amministrazione. La Commissione dovrebbe altresì verificare se l’Agenzia risponde tempestivamente alla richiesta di sostegno ad hoc. La relazione annuale di attività dell’Agenzia dovrebbe riportare informazioni dettagliate sulle azioni che l’Agenzia ha intrapreso per fornire sostegno ad hoc agli Stati membri e sui costi associati.

Ove richiesto, l’Agenzia dovrebbe inoltre prestare sostegno ai servizi della Commissione per le questioni di carattere tecnico riguardanti i sistemi esistenti o nuovi, in particolare per la preparazione delle nuove proposte relative ai sistemi IT su larga scala da affidare all’Agenzia.

Dovrebbe essere possibile per un gruppo di Stati membri assegnare all’Agenzia il compito di sviluppare, gestire o ospitare una componente IT comune affinché li assista nell’attuazione degli aspetti tecnici degli obblighi derivanti dagli atti giuridici dell’Unione sui sistemi IT decentrati nello spazio di libertà, sicurezza e giustizia, lasciando impregiudicati gli obblighi che gli atti giuridici dell’Unione impongono a tali Stati membri, in particolare per quanto riguarda l’architettura di tali sistemi. L’assegnazione di tali compiti dovrebbe essere subordinata all’approvazione della Commissione e a una decisione favorevole del consiglio di amministrazione, dovrebbe comportare un accordo di delega tra gli Stati membri interessati e l’Agenzia e dovrebbe essere finanziata integralmente dagli Stati membri interessati. L’Agenzia dovrebbe informare il Parlamento europeo e il Consiglio dell’accordo di delega approvato e delle eventuali modifiche apportate allo stesso. Altri Stati membri dovrebbero poter chiedere di partecipare alle soluzioni IT comuni, a condizione che tale possibilità sia prevista dall’accordo di delega e vi siano apportate le necessarie modifiche. Tale compito non dovrebbe pregiudicare la gestione operativa dei sistemi da parte dell’Agenzia.

Affidare all’Agenzia la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia non dovrebbe pregiudicare le norme specifiche applicabili a tali sistemi. In particolare, sono pienamente applicabili le norme specifiche riguardanti le finalità, i diritti di accesso, le misure di sicurezza e gli altri obblighi di protezione dei dati per ciascuno di tali sistemi.

Per monitorare in maniera efficace il funzionamento dell’Agenzia è opportuno che la Commissione e gli Stati membri siano rappresentati nel consiglio di amministrazione. Questo dovrebbe essere incaricato delle funzioni necessarie, in particolare di adottare il programma di lavoro annuale, svolgere le sue funzioni in relazione al bilancio dell’Agenzia, adottare la regolamentazione finanziaria applicabile all’Agenzia ed elaborare le procedure relative alle modalità di decisione del direttore esecutivo in ordine ai compiti operativi dell’Agenzia. Il consiglio di amministrazione dovrebbe svolgere tali compiti in maniera efficiente e trasparente. In seguito all’organizzazione di un’adeguata procedura di selezione da parte della Commissione e in seguito all’audizione dei candidati proposti in seno alla commissione o alle commissioni competenti del Parlamento europeo, il consiglio di amministrazione dovrebbe altresì nominare un direttore esecutivo.

Considerando che il numero dei sistemi IT su larga scala affidati all’Agenzia sarà aumentato in modo significativo entro il 2020 e che i compiti dell’Agenzia stanno conoscendo un notevole incremento, si registrerà di conseguenza un forte aumento del personale dell’Agenzia fino al 2020. È pertanto opportuno creare un posto di vicedirettore esecutivo dell’Agenzia, tenendo anche conto del fatto che i compiti relativi allo sviluppo e alla gestione operativa dei sistemi richiederanno una sorveglianza intensificata e specifica e che la sede e i siti tecnici dell’Agenzia sono ripartiti in tre Stati membri. Il consiglio di amministrazione dovrebbe nominare il vicedirettore esecutivo.

È opportuno che l’Agenzia sia gestita e disciplinata tenendo conto dei principi dell’orientamento comune sulle agenzie decentrate dell’Unione, adottato il 19 luglio 2012 dal Parlamento europeo, dal Consiglio e dalla Commissione.

Per quanto riguarda il SIS II, all’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol) e all’Unità europea di cooperazione giudiziaria (Eurojust), che godono entrambe del diritto di accedere e consultare direttamente i dati inseriti nel SIS II a norma della decisione 2007/533/GAI, dovrebbe essere conferito lo status di osservatori alle riunioni del consiglio di amministrazione quando sono all’ordine del giorno questioni relative all’applicazione di tale decisione. All’Agenzia europea della guardia di frontiera e costiera, che gode del diritto di accedere al SIS II e di consultarlo in applicazione del regolamento (UE) 2016/1624, dovrebbe essere conferito lo status di osservatore alle riunioni del consiglio di amministrazione quando sono all’ordine del giorno questioni relative all’applicazione di tale regolamento. Europol, Eurojust e l’Agenzia europea della guardia di frontiera e costiera dovrebbero essere in grado di nominare ciascuna un rappresentante in seno al gruppo consultivo SIS II istituito ai sensi del presente regolamento.

Per quanto riguarda il VIS, a Europol dovrebbe essere conferito lo status di osservatore alle riunioni del consiglio di amministrazione quando sono all’ordine del giorno questioni riguardanti l’applicazione della decisione 2008/633/GAI. Europol dovrebbe poter nominare un rappresentante in seno al gruppo consultivo VIS istituito ai sensi del presente regolamento.

Per quanto riguarda l’Eurodac, a Europol dovrebbe essere conferito lo status di osservatore alle riunioni del consiglio di amministrazione quando sono all’ordine del giorno questioni relative all’applicazione del regolamento (UE) n. 603/2013. Europol dovrebbe poter nominare un rappresentante in seno al gruppo consultivo Eurodac istituito ai sensi del presente regolamento.

Per quanto riguarda l’EES, a Europol dovrebbe essere conferito lo status di osservatore alle riunioni del consiglio di amministrazione quando sono all’ordine del giorno questioni riguardanti il regolamento (UE) 2017/2226.

Per quanto riguarda l’ETIAS, a Europol dovrebbe essere conferito lo status di osservatore alle riunioni del consiglio di amministrazione quando sono all’ordine del giorno questioni riguardanti il regolamento (UE) 2018/1240. All’Agenzia europea della guardia di frontiera e costiera dovrebbe essere conferito lo status di osservatore alle riunioni del consiglio di amministrazione anche quando sono all’ordine del giorno questioni relative all’ETIAS in collegamento con l’applicazione di tale regolamento. Europol e l’Agenzia europea della guardia di frontiera e costiera dovrebbero poter nominare un rappresentante in seno al gruppo consultivo EES-ETIAS istituito ai sensi del presente regolamento.

Gli Stati membri dovrebbero avere diritto di voto nel consiglio di amministrazione in relazione a un sistema IT su larga scala, qualora siano vincolati, in base al diritto dell’Unione, dagli atti giuridici dell’Unione che disciplinano lo sviluppo, l’istituzione, l’esercizio e l’uso di quello specifico sistema. Anche la Danimarca dovrebbe avere diritto di voto per quanto concerne un sistema IT su larga scala qualora decida, ai sensi dell’articolo 4 del protocollo n. 22 sulla posizione della Danimarca, allegato al trattato sull’Unione europea (TUE) e al TFUE, di recepire l’atto giuridico dell’Unione che disciplina lo sviluppo, l’istituzione, l’esercizio e l’uso di quello specifico sistema nel proprio diritto interno.

Gli Stati membri dovrebbero nominare un membro in seno al gruppo consultivo di un sistema IT su larga scala ove siano vincolati, in base al diritto dell’Unione, dagli atti giuridici dell’Unione che disciplinano lo sviluppo, l’istituzione, l’esercizio e l’uso di quello specifico sistema. La Danimarca dovrebbe inoltre nominare un membro in seno al gruppo consultivo di un sistema IT su larga scala qualora decida, ai sensi dell’articolo 4 del protocollo n. 22, di recepire l’atto giuridico dell’Unione che disciplina lo sviluppo, l’istituzione, l’esercizio e l’uso di quello specifico sistema IT su larga scala nel proprio diritto interno. I gruppi consultivi dovrebbero cooperare tra di loro ove necessario.

Per garantire la piena autonomia e indipendenza dell’Agenzia e consentirle di realizzare correttamente gli obiettivi e svolgere i compiti ad essa assegnati dal presente regolamento, è opportuno dotarla di un bilancio adeguato e autonomo alimentato dal bilancio generale dell’Unione. Il finanziamento dell’Agenzia dovrebbe essere subordinato a un accordo tra il Parlamento europeo e il Consiglio, secondo quanto indicato al punto 31 dell’accordo interistituzionale del 2 dicembre 2013 fra il Parlamento europeo, il Consiglio e la Commissione sulla disciplina di bilancio, sulla cooperazione in materia di bilancio e sulla sana gestione finanziaria²⁰. Dovrebbero applicarsi le procedure di bilancio e di discarico dell’Unione. La revisione contabile e l’esame della legalità e regolarità delle operazioni sottostanti dovrebbero essere effettuate dalla Corte dei conti.

Per assolvere la propria funzione e nella misura necessaria per l’espletamento dei suoi compiti, l’Agenzia dovrebbe poter cooperare, in base ad accordi di collaborazione conclusi, conformemente alla normativa e alle politiche dell’Unione e nel quadro delle rispettive competenze, con le istituzioni, gli organi e gli organismi dell’Unione, in particolare quelli istituiti nello spazio di libertà, sicurezza e giustizia, sulle questioni contemplate dal presente regolamento e dagli atti giuridici dell’Unione che disciplinano lo sviluppo, l’istituzione, l’esercizio e l’uso dei sistemi nel quadro degli accordi di collaborazione conclusi in conformità del diritto e delle politiche dell’Unione e nell’ambito delle loro rispettive competenze. Ove previsto da un atto giuridico dell’Unione, l’Agenzia dovrebbe anche poter cooperare con organizzazioni internazionali e altri organismi competenti e dovrebbe essere in grado di concludere accordi di collaborazione a tal fine. Tali accordi di collaborazione dovrebbero ricevere l’approvazione preliminare della Commissione ed essere autorizzati dal consiglio di amministrazione. Ove opportuno, l’Agenzia dovrebbe altresì consultare e dare seguito alle raccomandazioni dell’Agenzia dell’Unione europea per la sicurezza delle reti e dell’informazione (European Union Agency for Network and Information Security — ENISA), istituita dal regolamento (UE) n. 526/2013 del Parlamento europeo e del Consiglio²¹, per quanto concerne la sicurezza delle reti e delle informazioni.

Quando assicura lo sviluppo e la gestione operativa dei sistemi, l’Agenzia dovrebbe osservare le norme europee e internazionali tenendo conto dei più elevati requisiti professionali, in particolare la strategia di gestione delle informazioni dell’Unione europea.

Al trattamento dei dati personali da parte dell’Agenzia dovrebbe applicarsi il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio²² fatte salve le disposizioni sulla protezione dei dati stabilite dagli atti giuridici dell’Unione che disciplinano lo sviluppo, l’istituzione, l’esercizio e l’uso dei sistemi, che dovrebbero essere coerenti con il regolamento (UE) 2018/1725. Per mantenere la sicurezza e prevenire trattamenti in violazione del regolamento (UE) 2018/1725 e degli atti giuridici dell’Unione che disciplinano i sistemi, l’Agenzia dovrebbe valutare i rischi inerenti al trattamento e attuare misure per limitare tali rischi, quali la cifratura. Tali misure dovrebbero assicurare un livello adeguato di sicurezza, ivi inclusa la riservatezza, tenendo conto dello stato dell’arte e dei costi di attuazione in rapporto ai rischi e alla natura dei dati personali da proteggere. Nella valutazione del rischio per la sicurezza dei dati è opportuno tenere in considerazione i rischi presentati dal trattamento dei dati personali, come la distruzione accidentale o illegale, la perdita, la modifica, la divulgazione o l’accesso non autorizzati a dati personali trasmessi, conservati o comunque trattati, che potrebbero cagionare in particolare un danno fisico, materiale o immateriale. Il Garante europeo della protezione dei dati dovrebbe poter ottenere dall’Agenzia l’accesso a tutte le informazioni necessarie per le sue indagini. Conformemente al regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio²³, la Commissione ha consultato il Garante europeo della protezione dei dati, che ha espresso un parere il 10 ottobre 2017.

Per assicurare trasparenza all’attività dell’Agenzia, a questa dovrebbe applicarsi il regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio²⁴. L’Agenzia dovrebbe garantire la massima trasparenza possibile in merito alle proprie attività, senza pregiudicare il conseguimento dell’obiettivo delle proprie operazioni. Dovrebbe rendere pubbliche le informazioni relative a tutte le proprie attività. Dovrebbe ugualmente garantire che i cittadini e qualsiasi portatore di interessi possano disporre rapidamente di informazioni riguardo al suo lavoro.

Le attività dell’Agenzia dovrebbero essere soggette al controllo del Mediatore europeo in conformità dell’articolo 228 TFUE.

È opportuno che il regolamento (UE, Euratom) n. 883/2013 del Parlamento europeo e del Consiglio²⁵ si applichi all’Agenzia e che questa aderisca all’accordo interistituzionale del 25 maggio 1999 tra il Parlamento europeo, il Consiglio dell’Unione europea e la Commissione delle Comunità europee relativo alle indagini interne svolte dall’Ufficio europeo per la lotta antifrode (OLAF)²⁶.

All’Agenzia dovrebbe applicarsi il regolamento (UE) 2017/1939 del Consiglio²⁷ sull’istituzione della Procura europea.

Per assicurare condizioni di lavoro chiare e trasparenti e parità di trattamento, è opportuno che al personale (ivi compresi il direttore esecutivo e il vicedirettore esecutivo dell’Agenzia) si applichino lo statuto dei funzionari dell’Unione europea («statuto dei funzionari») e il regime applicabile agli altri agenti dell’Unione europea («regime applicabile agli altri agenti»), definiti nel regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio²⁸ (congiuntamente lo «statuto»), comprese le norme in materia di segreto professionale o altri obblighi di riservatezza equivalenti.

Poiché l’Agenzia è un organismo istituito dall’Unione in conformità del regolamento (UE, Euratom) 2018/1046, essa dovrebbe adottare di conseguenza la propria regolamentazione finanziaria.

All’Agenzia dovrebbe applicarsi il regolamento delegato (UE) n. 1271/2013 della Commissione²⁹.

L’Agenzia istituita con il presente regolamento sostituisce e succede all’Agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia, istituita con il regolamento (UE) n. 1077/2011. Sul piano giuridico dovrebbe pertanto subentrare in tutti i contratti conclusi, nelle passività a carico e nelle proprietà acquisite dall’Agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia, istituita con il regolamento (UE) n. 1077/2011. Il presente regolamento non dovrebbe pregiudicare l’efficacia giuridica degli accordi, degli accordi di collaborazione e dei memorandum d’intesa conclusi dall’Agenzia istituita dal regolamento (UE) 1077/2011, fatte salve eventuali modifiche resesi necessarie in virtù del presente regolamento.

Per consentire all’Agenzia di continuare a svolgere al meglio i compiti dell’Agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia istituita con il regolamento (UE) n. 1077/2011, è opportuno predisporre misure transitorie, in particolare per quanto riguarda il consiglio di amministrazione, i gruppi consultivi, il direttore esecutivo e le norme interne adottate dal consiglio di amministrazione.

Il presente regolamento mira a modificare e ampliare le disposizioni del regolamento (UE) n. 1077/2011. Poiché le modifiche da apportare mediante il presente regolamento sono sostanziali per numero e natura, è opportuno che, per ragioni di chiarezza, il regolamento (UE) n. 1077/2011 sia sostituito nella sua interezza, in relazione agli Stati membri vincolati dal presente regolamento. È opportuno che l’Agenzia istituita con il presente regolamento sostituisca e assuma le funzioni dell’Agenzia istituita con il regolamento (UE) n. 1077/2011; di conseguenza tale regolamento dovrebbe essere abrogato.

Poiché gli obiettivi del presente regolamento, ossia l’istituzione di un’agenzia a livello di Unione responsabile della gestione operativa e, se del caso, dello sviluppo di sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia, non possono essere conseguiti in misura sufficiente dagli Stati membri, ma, a motivo della portata o degli effetti dell’azione in questione, possono essere conseguiti meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 TUE. Il presente regolamento si limita a quanto è necessario per conseguire tali obiettivi in ottemperanza al principio di proporzionalità enunciato nello stesso articolo.

A norma degli articoli 1 e 2 del protocollo n. 22, la Danimarca non partecipa all’adozione del presente regolamento, non è da esso vincolata né è soggetta alla sua applicazione. Dato che il presente regolamento, per quanto riguarda il SIS II e il VIS, l’EES e l’ETIAS, si basa sull’acquis di Schengen, la Danimarca decide, ai sensi dell’articolo 4 di tale protocollo, entro sei mesi dalla decisione del Consiglio sul presente regolamento, se intende recepirlo nel proprio diritto interno. In conformità dell’articolo 3 dell’accordo tra la Comunità europea e il Regno di Danimarca in merito ai criteri e ai meccanismi di determinazione dello Stato competente per l’esame di una domanda d’asilo presentata in Danimarca oppure in uno degli altri Stati membri dell’Unione europea e in merito all’Eurodac per il confronto delle impronte digitali per l’efficace applicazione della convenzione di Dublino³⁰, la Danimarca deve notificare alla Commissione se intende o meno attuare il contenuto del presente regolamento per quanto concerne l’Eurodac e DubliNet.

Nella misura in cui le disposizioni riguardano il SIS II quale disciplinato dalla decisione 2007/533/GAI, il Regno Unito partecipa al presente regolamento ai sensi dell’articolo 5, paragrafo 1, del protocollo n. 19 sull’acquis di Schengen integrato nell’ambito dell’Unione europea, allegato al TUE e al TFUE, e dell’articolo 8, paragrafo 2, della decisione 2000/365/CE del Consiglio³¹. Nella misura in cui le sue disposizioni riguardano il SIS II quale disciplinato dal regolamento (CE) n. 1987/2006 e il VIS, l’EES e l’ETIAS, il presente regolamento costituisce uno sviluppo delle disposizioni dell’acquis di Schengen al quale il Regno Unito non partecipa ai sensi della decisione 2000/365/CE. Il Regno Unito ha chiesto, con lettera del 19 luglio 2018 al presidente del Consiglio, di essere autorizzato a partecipare al presente regolamento in conformità dell’articolo 4 del protocollo n. 19. In virtù dell’articolo 1 della decisione (UE) 2018/160032 del Consiglio, il Regno Unito è stato autorizzato a partecipare al presente regolamento. Inoltre, nella misura in cui le disposizioni riguardano l’Eurodac e DubliNet, il Regno Unito ha notificato che desidera partecipare all’adozione e all’applicazione del presente regolamento con lettera del 23 ottobre 2017 al presidente del Consiglio, a norma dell’articolo 3 del protocollo n. 21 sulla posizione del Regno Unito e dell’Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al TUE e al TFUE. Il Regno Unito partecipa pertanto all’adozione del presente regolamento, è da esso vincolato ed è soggetto alla sua applicazione.

Nella misura in cui le disposizioni riguardano il SIS II quale disciplinato dalla decisione 2007/533/GAI, in via di principio l’Irlanda potrebbe partecipare al presente regolamento ai sensi dell’articolo 5, paragrafo 1, del protocollo n. 19 e dell’articolo 6, paragrafo 2, della decisione 2002/192/CE del Consiglio³³. Nella misura in cui le disposizioni riguardano il SIS II quale disciplinato dal regolamento (CE) n. 1987/2006 e il VIS, l’EES e l’ETIAS, il presente regolamento costituisce uno sviluppo delle disposizioni dell’acquis di Schengen a cui l’Irlanda non partecipa, a norma della decisione 2002/192/CE. L’Irlanda non ha chiesto di partecipare all’adozione del presente regolamento in conformità dell’articolo 4 del protocollo n. 19. L’Irlanda non partecipa pertanto alla sua adozione, non è da esso vincolata né è soggetta alla sua applicazione nella misura in cui le sue misure sviluppano le disposizioni dell’acquis di Schengen ove riguardino il SIS II quale disciplinato dal regolamento (CE) n. 1987/2006, il VIS, l’EES e l’ETIAS. Inoltre, nella misura in cui le disposizioni riguardano l’Eurodac e DubliNet, a norma degli articoli 1 e 2 e dell’articolo 4 bis, paragrafo 1, del protocollo n. 21 l’Irlanda non partecipa all’adozione del presente regolamento, non è da esso vincolata né è soggetta alla sua applicazione. Poiché, in tali circostanze, non è possibile garantire che il presente regolamento si applichi interamente all’Irlanda, come richiesto dall’articolo 288 TFUE, l’Irlanda non partecipa all’adozione del presente regolamento, non è da esso vincolata né è soggetta alla sua applicazione, fatti salvi i suoi diritti ai sensi dei protocolli n. 19 e n. 21.

Per quanto riguarda l’Islanda e la Norvegia, il presente regolamento costituisce, relativamente al SIS II e al VIS, all’EES e all’ETIAS, uno sviluppo delle disposizioni dell’acquis di Schengen ai sensi dell’accordo concluso dal Consiglio dell’Unione europea con la Repubblica d’Islanda e il Regno di Norvegia sulla loro associazione all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen³⁴ che rientrano nel settore di cui all’articolo 1, lettere A, B e G, della decisione 1999/437/CE del Consiglio³⁵. Per quanto concerne l’Eurodac e DubliNet, il presente regolamento costituisce una nuova misura ai sensi dell’accordo tra la Comunità europea e la Repubblica d’Islanda e il Regno di Norvegia relativo ai criteri e ai meccanismi per determinare lo Stato competente per l’esame di una domanda d’asilo presentata in uno Stato membro oppure in Islanda o in Norvegia³⁶. Di conseguenza, fatta salva la loro decisione di attuarlo nel proprio diritto interno, le delegazioni della Repubblica d’Islanda e del Regno di Norvegia dovrebbero partecipare al consiglio di amministrazione dell’Agenzia. Per stabilire le modalità supplementari che consentono la partecipazione della Repubblica d’Islanda e del Regno di Norvegia alle attività dell’Agenzia, è opportuno concludere un nuovo accordo tra l’Unione e detti Stati.

Per quanto riguarda la Svizzera, il presente regolamento costituisce, relativamente al SIS II e al VIS, all’EES e all’ETIAS, uno sviluppo delle disposizioni dell’acquis di Schengen ai sensi dell’accordo tra l’Unione europea, la Comunità europea e la Confederazione svizzera riguardante l’associazione di quest’ultima all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen³⁷ che rientrano nel settore di cui all’articolo 1, lettere A, B e G, della decisione 1999/437/CE, in combinato disposto con l’articolo 3 della decisione 2008/146/CE del Consiglio³⁸. Per quanto concerne l’Eurodac e DubliNet, il presente regolamento costituisce una nuova misura riguardante l’Eurodac ai sensi dell’accordo tra la Comunità europea e la Confederazione svizzera relativo ai criteri e ai meccanismi che permettono di determinare lo Stato competente per l’esame di una domanda di asilo introdotta in uno degli Stati membri o in Svizzera³⁹. Di conseguenza, fatta salva la sua decisione di attuarlo nel proprio diritto interno, la delegazione della Confederazione svizzera dovrebbe partecipare al consiglio di amministrazione dell’Agenzia. Per stabilire le modalità supplementari che consentono la partecipazione della Confederazione svizzera alle attività dell’Agenzia, è opportuno concludere un nuovo accordo tra l’Unione e la Confederazione svizzera.

Per quanto riguarda il Liechtenstein, il presente regolamento costituisce, relativamente al SIS II e al VIS, all’EES e all’ETIAS, uno sviluppo delle disposizioni dell’acquis di Schengen ai sensi del protocollo sottoscritto tra l’Unione europea, la Comunità europea, la Confederazione svizzera e il Principato del Liechtenstein sull’adesione del Principato del Liechtenstein all’accordo tra l’Unione europea, la Comunità europea e la Confederazione svizzera riguardante l’associazione della Confederazione svizzera all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen⁴⁰ che rientrano nel settore di cui all’articolo 1, lettere A, B e G, della decisione 1999/437/CE, in combinato disposto con l’articolo 3 della decisione 2011/350/UE del Consiglio⁴¹. Per quanto concerne l’Eurodac e DubliNet, il presente regolamento costituisce una nuova misura ai sensi del protocollo tra la Comunità europea, la Confederazione svizzera e il Principato del Liechtenstein sull’adesione del Principato del Liechtenstein all’accordo tra la Comunità europea e la Confederazione svizzera relativo ai criteri e ai meccanismi che permettono di determinare lo Stato competente per l’esame di una domanda d’asilo introdotta in uno degli Stati membri o in Svizzera⁴². Di conseguenza, fatta salva la sua decisione di attuarlo nel proprio diritto interno, la delegazione del Principato del Liechtenstein dovrebbe partecipare al consiglio di amministrazione dell’Agenzia. Per stabilire le modalità supplementari che consentono la partecipazione del Principato del Liechtenstein alle attività dell’Agenzia, è opportuno concludere un nuovo accordo tra l’Unione e il Principato del Liechtenstein,