diritto.io

Regolamento (UE) 2018/1861 del Parlamento europeo e del Consiglio del 28 novembre 2018 sull'istituzione, l'esercizio e l'uso del sistema d'informazione Schengen (SIS) nel settore delle verifiche di frontiera, che modifica la convenzione di applicazione dell'accordo di Schengen e abroga il regolamento (CE) n. 1987/2006

Testo vigente

Art. 39 Periodo di riesame delle segnalazioni

1. Le segnalazioni sono conservate esclusivamente per il periodo necessario a realizzare le finalità per le quali sono state inserite.

2. Lo Stato membro segnalante riesamina la necessità di conservare una segnalazione entro tre anni dal suo inserimento nel SIS. Tuttavia se la decisione nazionale su cui si basa la segnalazione prevede un periodo di validità superiore a tre anni, la segnalazione è riesaminata entro cinque anni.

3. Ciascuno Stato membro fissa, se del caso, tempi di riesame più brevi conformemente alla legislazione nazionale.

4. Nel periodo di riesame lo Stato membro segnalante può decidere, a seguito di una valutazione individuale globale che è registrata, di mantenere la segnalazione per un periodo più lungo del periodo di riesame, ove ciò sia necessario e proporzionato alle finalità per le quali la segnalazione stessa era stata inserita. In tal caso il paragrafo 2 si applica anche a tale proroga. Ogni proroga è comunicata al CS-SIS.

5. Le segnalazioni sono cancellate automaticamente allo scadere del periodo di riesame di cui al paragrafo 2, salvo qualora lo Stato membro segnalante abbia informato il CS-SIS della proroga a norma del paragrafo 4. Il CS-SIS segnala automaticamente agli Stati membri, con quattro mesi d'anticipo, la prevista cancellazione di dati dal sistema.

6. Gli Stati membri redigono statistiche sul numero di segnalazioni il cui periodo di conservazione è stato prorogato a norma del paragrafo 4 del presente articolo e le trasmettono, su richiesta, alle autorità di controllo di cui all'articolo 55.

7. Non appena risulti chiaro all' ufficio SIRENE che una segnalazione ha conseguito il suo obiettivo e deve pertanto essere cancellata, l'ufficio SIRENE ne informa immediatamente l'autorità autrice della segnalazione. L'autorità dispone di 15 giorni di calendario dal ricevimento di tale comunicazione per rispondere che la segnalazione è stata o sarà cancellata, oppure indica i motivi della conservazione della segnalazione. In caso di mancata ricezione di una risposta alla scadenza del periodo di 15 giorni, l'ufficio SIRENE provvede affinché la segnalazione sia cancellata. Laddove consentito dalla legislazione nazionale, la segnalazione è cancellata dall'ufficio SIRENE. Gli uffici SIRENE segnalano alla rispettiva autorità di controllo i problemi ricorrenti incontrati nell'attività svolta ai sensi del presente paragrafo.

Art. 40 Cancellazione delle segnalazioni

1. La segnalazione riguardante il respingimento e rifiuto di soggiorno ai sensi dell'articolo 24 è cancellata:

  1. a) allorché la decisione su cui si basava è stata revocata o annullata dall'autorità competente, oppure

  2. b) ove applicabile, in esito alla procedura di consultazione prevista dall'articolo 27 e dall'articolo 29.

2. La segnalazione di un cittadino di paese terzo oggetto di un provvedimento restrittivo diretto a impedirne l'ingresso o il transito nel territorio degli Stati membri è cancellata quando prende fine, è sospeso o è annullato il provvedimento restrittivo.

3. La segnalazione relativa alla persona che acquista la cittadinanza di uno Stato membro o di uno Stato i cui cittadini beneficiano del diritto di libera circolazione in virtù del diritto dell'Unione è cancellata non appena lo Stato membro segnalante viene a conoscenza o viene informato a norma dell'articolo 44 di tale acquisto.

4. Le segnalazioni sono cancellate alla loro scadenza ai sensi dell'articolo 39.

Capo VIII. Regole generali sul trattamento dei dati

Art. 41 Trattamento dei dati del SIS

1. Gli Stati membri possono solo trattare i dati di cui all'articolo 20 ai fini del respingimento e del rifiuto di soggiorno nel loro territorio.

2. I dati sono duplicati soltanto per fini tecnici, sempreché tale duplicazione sia necessaria per la consultazione diretta da parte delle autorità competenti di cui all'articolo 34. Il presente regolamento si applicano a tali copie. Gli Stati membri non copiano i dati della segnalazione o i dati complementari inseriti da un altro Stato membro nel proprio N.SIS o nel CS-SIS.

3.

Le copie tecniche di cui al paragrafo 2 che portano alla creazione di banche dati off-line possono essere conservate per un periodo non superiore a 48 ore.

Nonostante il disposto del primo comma, non sono permesse copie tecniche che portino alla creazione di banche dati off-line ad uso delle autorità preposte al rilascio dei visti, fatta eccezione per le copie destinate ad essere usate esclusivamente in caso di emergenza in seguito all'indisponibilità della rete per oltre 24 ore.

Gli Stati membri tengono un inventario aggiornato di tali copie, lo rendono accessibile alle rispettive autorità di controllo e assicurano che il presente regolamento, in particolare l'articolo 10, sia applicato a tali copie.

4. L'accesso ai dati del SIS da parte delle autorità competenti nazionali di cui all'articolo 34 è autorizzato esclusivamente nei limiti delle loro competenze e riservato solamente al personale debitamente autorizzato.

5. Ogni trattamento delle informazioni del SIS dagli Stati membri per finalità diverse da quelle per le quali vi sono state inserite deve essere connesso a un caso specifico e giustificato dalla necessità di prevenire una minaccia grave e imminente per l'ordine pubblico e la sicurezza pubblica, da fondati motivi di sicurezza nazionale o ai fini della prevenzione di un reato grave. A tale scopo è necessario ottenere l'autorizzazione preventiva dello Stato membro segnalante.

6. I dati riguardanti documenti su persone inseriti nel SIS a norma dell'articolo 38, paragrafo 2, lettere k) e l), del regolamento (UE) 2018/1862 possono essere usati dalle autorità competenti di cui all'articolo 34, paragrafo 1, lettera f), conformemente alla legislazione di ciascuno Stato membro.

7. Qualsiasi uso dei dati del SIS non conforme ai paragrafi da 1 a 6 del presente articolo è considerato un abuso ai sensi della legislazione di ciascuno Stato membro ed è soggetto a sanzioni in conformità dell'articolo 59.

8. Ciascuno Stato membro invia all'eu-LISA l'elenco delle proprie autorità competenti autorizzate a consultare direttamente i dati nel SIS a norma del presente regolamento e le eventuali modifiche apportate all'elenco. L'elenco indica, per ciascuna autorità, i dati che essa può consultare e per quali finalità. L'eu-LISA provvede affinché l'elenco sia pubblicato nella Gazzetta ufficiale dell'Unione europea annualmente. L'eu-LISA mantiene sul proprio sito web un elenco sempre aggiornato contenente le modifiche trasmesse dagli Stati membri tra una pubblicazione annuale e l'altra.

9. Nella misura in cui il diritto dell'Unione non preveda specifiche disposizioni, la legislazione di ciascuno Stato membro si applica ai dati nel rispettivo N.SIS.

Art. 42 Dati SIS e archivi nazionali

1. L'articolo 41, paragrafo 2, non pregiudica il diritto di uno Stato membro di conservare nel proprio archivio nazionale i dati SIS in collegamento con i quali è stata svolta un'azione nel suo territorio. Tali dati sono conservati negli archivi nazionali per un periodo massimo di tre anni, a meno che disposizioni specifiche di diritto nazionale prevedano un periodo di conservazione più lungo.

2. L'articolo 41, paragrafo 2, non pregiudica il diritto di uno Stato membro di conservare nel proprio archivio nazionale i dati contenuti in una segnalazione particolare inserita nel SIS da quello stesso Stato membro.

Art. 43 Informazione in caso di mancata esecuzione di una segnalazione

Se l'azione richiesta non può essere eseguita, lo Stato membro che ha richiesto l'intervento ne informa senza indugio lo Stato membro segnalante tramite lo scambio di informazioni supplementari.

Art. 44 Qualità dei dati trattati nel SIS

1. Lo Stato membro segnalante è responsabile dell'esattezza e dell'attualità dei dati e della liceità del loro inserimento e della loro conservazione nel SIS.

2. Qualora uno Stato membro segnalante riceva pertinenti dati complementari o modificati di cui all'articolo 20, paragrafo 2, esso completa o modifica senza indugio la segnalazione.

3. Solo lo Stato membro segnalante è autorizzato a modificare, completare, rettificare, aggiornare o cancellare i dati che ha inserito nel SIS.

4. Qualora uno Stato membro diverso dallo Stato membro segnalante disponga di pertinenti dati complementari o modificati di cui all'articolo 20, paragrafo 2, esso li trasmette senza indugio, tramite lo scambio di informazioni supplementari, allo Stato membro segnalante per consentirgli di completare o modificare la segnalazione. I dati sono trasmessi solo se l'identità del cittadino di paese terzo è accertata.

5. Se uno Stato membro diverso dallo Stato membro segnalante è in possesso di elementi che dimostrano che detti dati contengono errori di fatto o sono stati archiviati illecitamente, ne informa al più presto, tramite lo scambio di informazioni supplementari ed entro due giorni lavorativi dacché è in possesso di detti elementi, lo Stato membro segnalante. Lo Stato membro segnalante verifica l'informazione e, se necessario, rettifica o cancella senza indugio i dati in questione.

6. Se, entro due mesi dal momento in cui sono emersi gli elementi ai sensi del paragrafo 5 del presente articolo gli Stati membri non giungono a un accordo, lo Stato membro che non ha inserito la segnalazione sottopone la questione alle autorità di controllo interessate e al Garante europeo della protezione dei dati affinché prendano una decisione mediante la cooperazione in conformità dell'articolo 57.

7. Gli Stati membri si scambiano informazioni supplementari nei casi in cui una persona presenti un ricorso nel quale faccia valere di non essere la persona oggetto della segnalazione. Se dalla verifica risulta che la persona oggetto della segnalazione è una persona distinta dal ricorrente, il ricorrente è informato delle disposizioni dell'articolo 47 e del suo diritto di ricorso di cui all'articolo 54, paragrafo 1.

Art. 45 Incidenti di sicurezza

1. È considerato incidente di sicurezza qualunque evento che ha o possa avere ripercussioni sulla sicurezza del SIS o possa causare danni o perdite ai dati SIS o alle informazioni supplementari, in particolare quando possano essere stati consultati dati illecitamente o quando sono state o possano essere state compromesse la disponibilità, l'integrità e la riservatezza dei dati.

2. Gli incidenti di sicurezza sono gestiti in modo tale da garantire una risposta rapida, efficace e adeguata.

3. Fatte salve la notifica e la comunicazione di una violazione dei dati personali a norma dell'articolo 33 del regolamento (UE) 2016/679 o dell'articolo 30 della direttiva (UE) 2016/680, gli Stati membri, Europol e l'Agenzia europea della guardia di frontiera e costiera comunicano senza indugio gli incidenti di sicurezza alla Commissione, all'eu-LISA, all'autorità di controllo competente e al Garante europeo della protezione dei dati. L'eu-LISA comunica senza indugio qualsiasi incidente di sicurezza relativo al SIS centrale alla Commissione e al Garante europeo della protezione dei dati.

4. Le informazioni su un incidente di sicurezza che ha o possa avere ripercussioni sul funzionamento del SIS in uno Stato membro o nell'eu-LISA, o sulla disponibilità, integrità e riservatezza dei dati inseriti o inviati da altri Stati membri o sulle informazioni supplementari scambiate, sono trasmesse senza indugio a tutti gli Stati membri e registrate secondo il piano di gestione degli incidenti stabilito dall'eu-LISA.

5. Gli Stati membri e l'eu-LISA collaborano qualora si verifichino incidenti di sicurezza.

6. La Commissione segnala immediatamente al Parlamento europeo e al Consiglio gli incidenti gravi. Tali segnalazioni sono classificate EU RESTRICTED/RESTREINT UE conformemente alle norme vigenti in materia di sicurezza.

7. Qualora un incidente di sicurezza sia causato da un uso improprio dei dati, gli Stati membri, Europol e l'Agenzia europea della guardia di frontiera e costiera garantiscono l'imposizione di sanzioni in conformità dell'articolo 59.

Art. 46 Distinzione tra persone con caratteristiche simili

1. Quando, inserendo una nuova segnalazione, risulta evidente che nel SIS è già presente una segnalazione nel SIS su una persona che possiede gli stessi elementi di descrizione dell'identità, l'ufficio SIRENE si mette in contatto entro 12 ore con lo Stato membro segnalante, tramite lo scambio di informazioni supplementari, allo scopo di verificare se la segnalazione riguardi o meno la stessa persona.

2. Se da tale controllo incrociato risulta che la persona oggetto di una nuova segnalazione e quella già inserita nel SIS sono effettivamente la stessa persona, l'ufficio SIRENE applica la procedura per l'inserimento di segnalazioni multiple di cui all'articolo 23.

3. Qualora la verifica stabilisca che si tratta di due persone diverse, l'ufficio SIRENE convalida la richiesta di inserimento della seconda segnalazione aggiungendo i dati necessari per evitare errori di identificazione.

Art. 47 Dati complementari per trattare i casi di usurpazione di identità

1. Quando sono possibili confusioni fra la persona oggetto di una segnalazione e una persona la cui identità è stata usurpata, lo Stato membro segnalante aggiunge alla segnalazione, con il consenso esplicito della persona la cui identità è stata usurpata, dati che la riguardano per evitare le conseguenze negative di un errore di identificazione. La persona la cui identità sia stata usurpata ha il diritto di revocare il proprio consenso al trattamento dei dati personali aggiunti.

2. I dati relativi alla vittima dell'usurpazione di identità sono usati soltanto ai seguenti fini:

  1. a) consentire all'autorità competente di distinguere la persona la cui identità è stata usurpata dalla persona oggetto della segnalazione; e

  2. b) permettere alla persona la cui identità è stata usurpata di dimostrare la propria identità e di stabilire di essere stata vittima di un'usurpazione di identità.

3. Ai fini del presente articolo, e previo consenso esplicito della persona la cui identità è stata usurpata per ogni categoria di dati, possono essere inseriti e successivamente trattati nel SIS soltanto i seguenti dati personali della persona la cui identità è stata usurpata:

  1. a) cognomi;

  2. b) nomi;

  3. c) nomi e cognomi alla nascita;

  4. d) nomi e cognomi precedenti e alias, eventualmente registrati a parte;

  5. e) segni fisici particolari, oggettivi e inalterabili;

  6. f) luogo di nascita;

  7. g) data di nascita;

  8. h) genere;

  9. i) fotografie e immagini del volto;

  10. j) impronte digitali, impronte palmari o entrambe;

  11. k) ogni cittadinanza posseduta;

  12. l) categoria dei documenti di identificazione;

  13. m) paese di rilascio dei documenti di identificazione;

  14. n) numero dei documenti di identificazione;

  15. o) data di rilascio dei documenti di identificazione;

  16. p) indirizzo della persona;

  17. q) nome del padre della persona;

  18. r) nome della madre della persona.

4. La Commissione adotta atti di esecuzione al fine di stabilire e sviluppare le norme tecniche necessarie per l'inserimento e il successivo trattamento dei dati di cui al paragrafo 3 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 62, paragrafo 2.

5. I dati di cui al paragrafo 3 sono cancellati insieme con la segnalazione corrispondente o prima su richiesta dell'interessato.

6. Possono accedere ai dati di cui al paragrafo 3 soltanto le autorità che hanno diritto di accesso alla segnalazione corrispondente. Esse possono accedervi all'unico scopo di evitare errori di identificazione.

Art. 48 Connessioni fra segnalazioni

1. Uno Stato membro può creare una connessione tra le segnalazioni che introduce nel SIS. L'effetto della connessione è instaurare un nesso fra due o più segnalazioni.

2. La creazione di una connessione non incide sulla specifica azione da intraprendere sulla base di ciascuna segnalazione interconnessa né sul rispettivo periodo di riesame.

3. La creazione di una connessione non incide sui diritti di accesso previsti dal presente regolamento. Le autorità che non hanno diritto di accesso a talune categorie di segnalazioni non sono in grado di visualizzare la connessione a una segnalazione cui non hanno accesso.

4. Uno Stato membro crea una connessione tra segnalazioni solo se sussiste un'esigenza operativa.

5. Qualora uno Stato membro ritenga che la creazione di una connessione tra segnalazioni da parte di un altro Stato membro sia incompatibile con la sua legislazione nazionale o i suoi obblighi internazionali, può adottare le necessarie disposizioni affinché non sia possibile accedere alla connessione dal suo territorio nazionale o per le sue autorità dislocate al di fuori del suo territorio.

6. La Commissione adotta atti di esecuzione per stabilire e sviluppare norme tecniche necessarie per la connessione tra segnalazioni. Tali atti di esecuzione sono adottati secondo la procedura di esame di cui all'articolo 62, paragrafo 2.

Art. 49 Finalità e termini di conservazione delle informazioni supplementari

1. Gli Stati membri conservano un riferimento alle decisioni che danno origine a una segnalazione presso l'ufficio SIRENE, a sostegno dello scambio di informazioni supplementari.

2. I dati personali archiviati dall'ufficio SIRENE in seguito allo scambio di informazioni sono conservati soltanto per il tempo necessario a conseguire le finalità per le quali sono stati forniti. Essi sono in ogni caso cancellati entro un anno dalla cancellazione dal SIS della relativa segnalazione.

3. Il paragrafo 2 non pregiudica il diritto dello Stato membro di conservare negli archivi nazionali i dati relativi a una determinata segnalazione da esso effettuata o a una segnalazione in collegamento con la quale è stata intrapresa un'azione nel suo territorio. Il periodo per cui tali dati possono essere conservati in tali archivi è disciplinato dalla legislazione nazionale.

Art. 50 Trasferimento di dati personali a terzi

I dati trattati nel SIS e le relative informazioni supplementari scambiate a norma del presente regolamento non sono trasferiti a paesi terzi o ad organizzazioni internazionali, né sono messi a loro disposizione.

Capo IX. Protezione dei dati

Art. 51 Legislazione applicabile

1. Il regolamento (UE) 2018/1725 si applica al trattamento dei dati personali da parte dall'eu-LISA e dell'Agenzia europea della guardia di frontiera e costiera in conformità del presente regolamento. Il regolamento (UE) 2016/794 si applica al trattamento dei dati personali da parte di Europol in conformità del presente regolamento.

2. Il regolamento (UE) 2016/679 si applica al trattamento dei dati personali ai sensi del presente regolamento da parte delle autorità competenti di cui all'articolo 34 del presente regolamento, a eccezione del trattamento a fini di prevenzione, accertamento, indagine, o perseguimento di reati o esecuzione di sanzioni penali, comprese la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse, cui si applica la direttiva (UE) 2016/680.

Art. 52 Diritto d'informazione

1. I cittadini di paesi terzi oggetto di una segnalazione nel SIS sono di ciò informati a norma degli articoli 13 e 14 del regolamento (UE) 2016/679 o degli articoli 12 e 13 della direttiva (UE) 2016/680. L'informazione è fornita per iscritto insieme a una copia della decisione nazionale che ha dato origine alla segnalazione di cui all'articolo 24, paragrafo 1, del presente regolamento, o a un riferimento a detta decisione.

2. L'informazione non è fornita laddove la legislazione nazionale consenta che il diritto di informazione sia limitato, in particolare per salvaguardare la sicurezza nazionale, la difesa, la pubblica sicurezza e la prevenzione, l'accertamento, l'indagine e il perseguimento di reati.

Art. 53 Diritto di accesso, rettifica di dati inesatti e cancellazione di dati archiviati illecitamente

1. Gli interessati possono esercitare i diritti di cui agli articoli 15, 16 e 17 del regolamento (UE) 2016/679 e agli articoli 14, nonché 16, paragrafi 1 e 2, della direttiva (UE) 2016/680.

2. Uno Stato membro diverso dallo Stato membro segnalante può fornire a un interessato le informazioni su qualsiasi dato personale dell'interessato che viene trattatosoltanto se dà prima la possibilità allo Stato membro segnalante di prendere posizione. Alla comunicazione tra gli Stati membri si provvede tramite lo scambio di informazioni supplementari.

3.

Gli Stati membri possono decidere di non fornire informazioni all'interessato, in tutto o in parte, in conformità della legislazione nazionale, nella misura e per il tempo in cui tale limitazione totale o parziale costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi dell'interessato al fine di:

  1. a) non ostacolare indagini, inchieste o procedimenti ufficiali o giudiziari;

  2. b) non compromettere la prevenzione, l'accertamento, l'indagine e il perseguimento di reati o l'esecuzione di sanzioni penali;

  3. c) proteggere la sicurezza pubblica;

  4. d) proteggere la sicurezza nazionale; oppure

  5. e) proteggere i diritti e le libertà altrui.

Nei casi di cui al primo comma, lo Stato membro informa l'interessato, senza ingiustificato ritardo e per iscritto, di ogni rifiuto o limitazione dell'accesso e dei motivi del rifiuto o della limitazione. Dette informazioni possono essere omesse qualora la loro comunicazione rischi di compromettere una delle finalità di cui al primo comma, lettere da a) a e). Lo Stato membro informa l'interessato della possibilità di proporre un reclamo dinanzi a un'autorità di controllo o di proporre ricorso giurisdizionale.

Lo Stato membro fornisce i motivi di fatto o di diritto su cui si basa la decisione di non fornire le informazioni all'interessato. Tali informazioni sono rese disponibili alle autorità di controllo.

In tali casi, l'interessato deve poter esercitare i propri diritti anche tramite le autorità di controllo competenti.

4. In seguito a una richiesta di accesso, rettifica o cancellazione, lo Stato membro informa l'interessato non appena possibile e comunque entro i termini di cui all'articolo 12, paragrafo 3, del regolamento (UE) 2016/679 del seguito dato all'esercizio dei diritti di cui al presente articolo, indipendentemente dal fatto che l'interessato sia presente o meno in un paese terzo.

Art. 54 Mezzi di impugnazione

1. Fatte salve le disposizioni sui mezzi di impugnazione del regolamento (UE) 2016/679 e della direttiva (UE) 2016/680, chiunque può adire qualsiasi autorità competente, tra cui un organo giurisdizionale, in base alla legislazione di qualsiasi Stato membro, per accedere, rettificare, cancellare, ottenere informazioni o per ottenere un indennizzo relativamente a una segnalazione che lo riguarda.

2. Gli Stati membri si impegnano reciprocamente ad eseguire le decisioni definitive emesse dai giudici o dalle autorità di cui al paragrafo 1 del presente articolo, fatto salvo l'articolo 58.

3.

Gli Stati membri presentano relazioni annuali al comitato europeo per la protezione dei dati su:

  1. a) il numero di richieste di accesso presentate al titolare del trattamento e il numero di casi in cui è stato accordato l'accesso ai dati;

  2. b) il numero di richieste di accesso presentate all'autorità di controllo e il numero di casi in cui è stato accordato l'accesso ai dati;

  3. c) il numero di richieste di rettifica di dati inesatti e di cancellazione dei dati archiviati illecitamente che sono state presentate al titolare del trattamento e il numero di casi in cui i dati sono stati rettificati o cancellati;

  4. d) il numero di richieste di rettifica di dati inesatti e di cancellazioni di dati archiviati illecitamente che sono state presentate all'autorità di controllo;

  5. e) il numero di procedimenti giudiziari avviati;

  6. f) il numero di cause in cui il giudice ha statuito a favore del ricorrente;

  7. g) eventuali osservazioni sui casi di riconoscimento reciproco delle decisioni definitive emesse da giudici o autorità di altri Stati membri in merito a segnalazioni inserite dallo Stato membro segnalante.

Un modello per le relazioni di cui al presente paragrafo è elaborato dalla Commissione.

4. Le relazioni degli Stati membri sono incluse nella relazione congiunta di cui all'articolo 57, paragrafo 4.

Art. 55 Controllo dell'N.SIS

1. Ogni Stato membro garantisce che le autorità di controllo indipendenti in esso designate e investite dei poteri di cui al capo VI del regolamento (UE) 2016/679 o al capo VI della direttiva (UE) 2016/680 controllino la liceità del trattamento dei dati personali nel SIS nel territorio di appartenenza e della loro trasmissione da detto territorio, nonché lo scambio e il successivo trattamento di informazioni supplementari nel territorio di appartenenza.

2. Le autorità di controllo provvedono affinché sia svolto un controllo delle operazioni di trattamento dei dati nel rispettivo N.SIS, conformemente alle norme di revisione internazionali, almeno ogni quattro anni. Il controllo è svolto dalle autorità di controllo oppure da queste commissionato direttamente a un revisore per la protezione di dati indipendente. Le autorità di controllo mantengono in qualsiasi momento il controllo sul revisore indipendente e la responsabilità del suo operato.

3. Gli Stati membri provvedono affinché le rispettive autorità di controllo dispongano delle risorse sufficienti per assolvere i compiti ad esse assegnati a norma del presente regolamento e possano avvalersi della consulenza di persone in possesso di adeguate conoscenze in materia di dati biometrici.

Art. 56 Controllo dell'eu-LISA

1. Il Garante europeo della protezione dei dati ha il compito di sorvegliare le attività di trattamento dei dati personali da parte dell'eu-LISA e di assicurare che tali attività siano effettuate in conformità del presente regolamento. Si applicano di conseguenza i compiti e le competenze di cui agli articoli 57 e 58 del regolamento (UE) 2018/1725.

2. Il Garante europeo della protezione dei dati svolge un controllo delle attività di trattamento dei dati personali effettuate dall'eu-LISA, conformemente alle norme di revisione internazionali, almeno ogni quattro anni. Una relazione su tale controllo è trasmessa al Parlamento europeo, al Consiglio, all'eu-LISA, alla Commissione e alle autorità di controllo. L'eu-LISA ha l'opportunità di presentare le sue osservazioni prima dell'adozione della relazione.

Art. 57 Cooperazione tra le autorità di controllo e il Garante europeo della protezione dei dati

1. Le autorità di controllo e il Garante europeo della protezione dei dati, ciascuno nell'ambito delle proprie competenze, cooperano attivamente nel quadro delle rispettive responsabilità e assicurano il controllo coordinato del SIS.

2. Le autorità di controllo e il comitato europeo per la protezione dei dati, ciascuno nell'ambito delle proprie competenze, essi si scambiano informazioni pertinenti, si assistono vicendevolmente nello svolgimento di revisioni e ispezioni, esaminano difficoltà di interpretazione o applicazione del presente regolamento e di altri atti giuridici dell'Unione applicabili, studiano i problemi emersi nell'esercizio di un controllo indipendente o nell'esercizio dei diritti degli interessati, elaborano proposte armonizzate per soluzioni congiunte di eventuali problemi e promuovono la sensibilizzazione del pubblico in materia di diritti di protezione dei dati.

3. Ai fini di cui al paragrafo 2, le autorità di controllo e il Garante europeo della protezione dei dati si incontrano almeno due volte l'anno nell'ambito del comitato europeo per la protezione dei dati. I costi di tali riunioni e la gestione delle stesse sono a carico del comitato europeo per la protezione dei dati. Nella prima riunione è adottato un regolamento interno. Ulteriori metodi di lavoro sono elaborati congiuntamente, se necessario.

4. Ogni anno il comitato europeo per la protezione dei dati trasmette al Parlamento europeo, al Consiglio e alla Commissione una relazione congiunta sulle attività inerenti al controllo coordinato.

Capo X. Responsabilità e sanzioni

Art. 58 Responsabilità

1.

Fatti salvi il diritto al risarcimento e ogni responsabilità ai sensi del regolamento (UE) 2016/679, della direttiva (UE) 2016/680 e del regolamento (UE) 2018/1725:

  1. a) ogni persona o Stato membro che abbia subito danni materiali o immateriali in conseguenza di un trattamento illecito di dati personali in seguito all'uso dell'N.SIS o di qualsiasi altro atto incompatibile con il presente regolamento compiuti da uno Stato membro ha diritto al risarcimento da parte di tale Stato membro; e

  2. b) ogni persona o Stato membro che abbia subito danni materiali o immateriali in conseguenza di qualsiasi atto incompatibile con il presente regolamento compiuto dall'eu-LISA ha diritto al risarcimento da parte della stessa.

Uno Stato membro o l'eu-LISA sono esonerati in tutto o in parte da tale responsabilità di cui al primo comma se provano che l'evento che ha dato luogo al danno non è loro imputabile.

2. Uno Stato membro è ritenuto responsabile di ogni eventuale danno arrecato al SIS conseguente all'inosservanza degli obblighi del presente regolamento, fatto salvo il caso e nella misura in cui l'eu-LISA o un altro Stato membro che partecipa al SIS abbiano omesso di adottare provvedimenti ragionevolmente idonei a prevenire il danno o ridurne al minimo l'impatto.

3. Le azioni proposte contro uno Stato membro per il risarcimento dei danni di cui ai paragrafi 1 e 2 sono disciplinate dalla legislazione nazionale dello Stato membro. Le azioni proposte contro l'eu-LISA per il risarcimento dei danni di cui ai paragrafi 1 e 2 sono soggette alle condizioni previste dai trattati.

Art. 59 Sanzioni

Gli Stati membri provvedono affinché l'eventuale uso improprio dei dati SIS, od ogni trattamento di tali, o qualsiasi scambio di informazioni supplementari in contrasto con il presente regolamento sia punibile ai sensi della legislazione nazionale.

Le sanzioni previste sono effettive, proporzionate e dissuasive.

Fonti e licenze