Regolamento (UE) 2024/982 del Parlamento europeo e del Consiglio del 13 marzo 2024 sulla consultazione e lo scambio automatizzati di dati per la cooperazione di polizia e che modifica le decisioni 2008/615/GAI e 2008/616/GAI del Consiglio e i regolamenti (UE) 2018/1726, (UE) 2019/817 e (UE) 2019/818 del Parlamento europeo e del Consiglio (regolamento «Prüm II»)
Testo vigente
Art. 40 Conservazione delle registrazioni
1. eu-LISA conserva le registrazioni di tutti i trattamenti di dati effettuati nel router. Tali registrazioni comprendono gli elementi seguenti:
a) se sia stato uno Stato membro o Europol ad avviare la domanda di interrogazione; qualora sia stato uno Stato membro ad avviare la domanda di interrogazione, lo Stato membro in questione;
b) la data e l’ora della domanda;
c) la data e l’ora della risposta;
d) le banche dati nazionali o i dati Europol a cui è stata inviata la domanda di interrogazione;
e) le banche dati nazionali o i dati Europol che hanno fornito una risposta;
f) ove applicabile, il fatto che è stata effettuata un’interrogazione simultanea dell’archivio comune di dati di identità.
2.
Ciascuno Stato membro conserva le registrazioni delle interrogazioni effettuate dal personale delle proprie autorità competenti debitamente autorizzato a usare il router, e le registrazioni delle interrogazioni richieste da altri Stati membri.
Europol conserva le registrazioni delle interrogazioni effettuate dal proprio personale debitamente autorizzato.
3. Le registrazioni di cui ai paragrafi 1 e 2 sono utilizzate unicamente per la raccolta di statistiche e per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell’ammissibilità di un’interrogazione e della liceità del trattamento dei dati, e per garantire l’integrità e la sicurezza degli stessi. Le registrazioni sono protette dall’accesso non autorizzato con misure adeguate e sono cancellate tre anni dopo la loro creazione. Qualora, tuttavia, siano necessarie per procedure di monitoraggio già avviate, sono cancellate quando le procedure di monitoraggio non necessitano più delle registrazioni.
4. Per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell’ammissibilità di un’interrogazione e della liceità del trattamento dei dati, i titolari del trattamento hanno accesso alle registrazioni per la verifica interna di cui all’articolo 55.
Art. 41 Procedure di notifica in caso di impossibilità tecnica dell’uso del router
1. Qualora sia tecnicamente impossibile utilizzare il router per interrogare una o più banche dati nazionali o dati Europol a causa di un guasto del router, eu-LISA ne informa gli utilizzatori del router di cui all’articolo 36 in modo automatizzato. eu-LISA adotta misure adeguate per far fronte senza ritardo all’impossibilità tecnica di utilizzare il router.
2. Qualora sia tecnicamente impossibile usare il router per interrogare una o più banche dati nazionali a causa di un guasto dell’infrastruttura nazionale di uno Stato membro, quest’ultimo ne informa gli altri Stati membri, la Commissione, eu-LISA ed Europol in modo automatizzato. Lo Stato membro interessato adotta misure adeguate per affrontare senza ritardo l’impossibilità tecnica di utilizzare il router.
3. Qualora sia tecnicamente impossibile usare il router per interrogare i dati Europol a causa di un guasto dell’infrastruttura di Europol, Europol ne informa gli Stati membri, la Commissione ed eu-LISA e in modo automatizzato. Europol adotta misure adeguate per affrontare senza ritardo l’impossibilità tecnica di utilizzare il router.
Sezione 2. Epris
Art. 42 Epris
1. È istituito l'indice europeo degli archivi di polizia (European Police Record Index System – EPRIS). Per la consultazione automatizzata degli indici degli archivi di polizia nazionali di cui all'articolo 26, gli Stati membri ed Europol utilizzano EPRIS.
2. EPRIS è costituito da:
a) un'infrastruttura decentrata negli Stati membri, comprendente uno strumento di consultazione che consenta l'interrogazione simultanea degli indici degli archivi di polizia nazionali, sulla base delle banche dati nazionali;
b) un'infrastruttura centrale a sostegno dello strumento di consultazione che consenta l'interrogazione simultanea degli indici degli archivi di polizia nazionali;
c) un canale di comunicazione sicuro tra l’infrastruttura centrale, gli Stati membri ed Europol.
Art. 43 Uso di EPRIS
1. Ai fini della consultazione degli indici degli archivi di polizia nazionali tramite EPRIS, è necessario utilizzare almeno due delle serie di dati seguenti:
a) nome o nomi;
b) cognome o cognomi;
c) data di nascita.
2. Laddove disponibile si può utilizzare anche la serie di dati seguente:
a) alias e nome o nomi usati in precedenza;
b) cittadinanza o cittadinanze;
c) paese di nascita;
d) genere.
3. I dati di cui al paragrafo 1, lettere a) e b), e al paragrafo 2, lettera a), utilizzati per le interrogazioni sono pseudonimizzati.
Art. 44 Procedimenti
1.
Qualora uno Stato membro o Europol presenta una domanda di interrogazione, fornisce i dati di cui all’articolo 43.
EPRIS invia la domanda di interrogazione agli indici degli archivi di polizia nazionali degli Stati membri con i dati presentati dallo Stato membro richiedente o da Europol e conformemente al presente regolamento.
2. Previa ricezione di una domanda di interrogazione da EPRIS, ciascuno Stato membro interroga l'indice degli archivi di polizia nazionale in modo automatizzato e senza ritardo.
3. Eventuali corrispondenze risultanti dalle interrogazioni di cui al paragrafo 1 degli indici degli archivi di polizia di ciascuno Stato membro richiesto sono rinviate ad EPRIS in modo automatizzato.
4. L'elenco delle corrispondenze è rinviato da EPRIS allo Stato membro richiedente o a Europol in modo automatizzato. L'elenco delle corrispondenze indica la qualità della corrispondenza e lo Stato membro o gli Stati membri i cui indici degli archivi di polizia contengono i dati che hanno determinato la corrispondenza o le corrispondenze.
5. Previa ricezione dell’elenco delle corrispondenze, lo Stato membro richiedente decide quali sono le corrispondenze alle quali è necessario dare seguito e invia una domanda motivata di follow-up contenente i dati di cui agli articoli 25 e 27, e qualsiasi ulteriore informazione pertinente allo Stato membro o agli Stati membri richiesti tramite SIENA. Lo Stato membro o gli Stati membri richiesti trattano tali domande senza ritardo per decidere se condividere i dati conservati nella loro banca dati.
6. La Commissione adotta atti di esecuzione per specificare la procedura tecnica di interrogazione da parte di EPRIS degli indici degli archivi di polizia degli Stati membri e il formato e il numero massimo delle risposte. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all'articolo 77, paragrafo 2.
Art. 45 Conservazione delle registrazioni
1. Ogni Stato membro partecipante ed Europol conserva le registrazioni di tutti i trattamenti di dati in EPRIS. Tali registrazioni comprendono gli elementi seguenti:
a) se sia stato uno Stato membro o Europol ad avviare la domanda di interrogazione; qualora sia stato uno Stato membro ad avviare la domanda, lo Stato membro in questione;
b) la data e l’ora della domanda;
c) la data e l’ora della risposta;
d) le banche dati nazionali a cui è stata inviata la domanda di interrogazione;
e) le banche dati nazionali che hanno fornito una risposta.
2. Ciascuno Stato membro partecipante conserva le registrazioni delle domande di interrogazione effettuate dal personale delle proprie autorità competenti debitamente autorizzato a usare EPRIS. Europol conserva le registrazioni delle domande di interrogazione effettuate dal proprio personale debitamente autorizzato.
3. Le registrazioni di cui ai paragrafi 1 e 2 sono utilizzate unicamente per la raccolta di statistiche, per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell’ammissibilità di un’interrogazione e della liceità del trattamento dei dati, e per garantire la sicurezza e l’integrità degli stessi. Le registrazioni sono protette dall’accesso non autorizzato con misure adeguate e sono cancellate tre anni dopo la loro creazione. Qualora, tuttavia, siano necessarie per procedure di monitoraggio già avviate, sono cancellate quando le procedure di monitoraggio non necessitano più delle registrazioni.
4. Per il monitoraggio ai fini della protezione dei dati, compresa la verifica dell’ammissibilità di un’interrogazione e della liceità del trattamento dei dati, i titolari del trattamento hanno accesso alle registrazioni per la verifica interna di cui all’articolo 55.
Art. 46 Procedure di notifica in caso di impossibilità tecnica dell’uso di EPRIS
1. Qualora sia tecnicamente impossibile usare EPRIS per interrogare uno o più indici degli archivi di polizia nazionali a causa di un guasto dell'infrastruttura di Europol, quest'ultima ne informa gli Stati membri in modo automatizzato. Europol adotta misure per affrontare senza ritardo l'impossibilità tecnica di utilizzare EPRIS.
2. Qualora sia tecnicamente impossibile usare EPRIS per interrogare uno o più indici degli archivi di polizia a causa di un guasto dell'infrastruttura nazionale di uno Stato membro, quest'ultimo ne informa gli altri Stati membri, la Commissione ed Europol in modo automatizzato. Gli Stati membri adottano misure per affrontare senza ritardo l'impossibilità tecnica di utilizzare EPRIS.
Capo 4. Scambio di dati a seguito di una corrispondenza
Art. 47 Scambio di dati di base
1. Una serie di dati di base è rinviata tramite il router entro 48 ore da quando sono soddisfatte tutte le condizioni seguenti:
a) le procedure di cui agli articoli 6, 11 o 20 mostrano una corrispondenza tra i dati utilizzati per la consultazione e i dati conservati nella banca dati dello Stato membro o degli Stati membri richiesti;
b) la corrispondenza di cui alla lettera a) del presente paragrafo è stata confermata manualmente da parte di un membro qualificato del personale dello Stato membro richiedente di cui all’articolo 6, paragrafo 6, all’articolo 11, paragrafo 2, e all’articolo 20, paragrafo 2, o, in caso di profili DNA di cui all’articolo 6, paragrafo 7, dello Stato membro o degli Stati membri richiesti;
c) una descrizione dei fatti e un’indicazione del reato sottostante sono state trasmesse, utilizzando la tabella comune delle categorie di reati stabilita in un atto di esecuzione da adottare a norma dell’articolo 11 ter, paragrafo 1, lettera a), della decisione quadro 2009/315/GAI, da parte dello Stato membro richiedente o, in caso di profili DNA di cui all’articolo 6, paragrafo 7, dello Stato membro o dagli Stati membri richiesti, al fine di valutare la proporzionalità della richiesta, compresa la gravità del reato per il quale è stata effettuata una consultazione, conformemente al diritto nazionale dello Stato membro che fornisce la serie di dati di base.
2. Se, in base alla legislazione nazionale, uno Stato membro può fornire una serie particolare di dati di base solo previa autorizzazione giudiziaria, tale Stato membro può derogare ai termini stabiliti nel paragrafo 1 nella misura necessaria all’ottenimento di tale autorizzazione.
3. La serie di dati di base di cui al paragrafo 1 del presente articolo è rinviata dallo Stato membro richiesto o, in caso di profili DNA di cui all’articolo 6, paragrafo 7, dallo Stato membro richiedente.
4. Se la corrispondenza confermata riguarda dati identificati di una persona, l’insieme di dati di base di cui al paragrafo 1 contiene i seguenti dati, nella misura in cui sono disponibili:
a) nome o nomi;
b) cognome o cognomi;
c) alias e nome o nomi usati in precedenza;
d) data di nascita;
e) cittadinanza o cittadinanze;
f) luogo e paese di nascita;
g) sesso;
h) la data e il luogo in cui i dati biometrici sono stati acquisiti;
i) il reato per il quale i dati biometrici sono stati acquisiti;
j) il numero del fascicolo d’indagine;
k) l'autorità competente per il fascicolo d’indagine.
5. Se la corrispondenza confermata riguarda dati o tracce non identificati, l’insieme di dati di base di cui al paragrafo 1 contiene i seguenti dati, nella misura in cui sono disponibili:
a) la data e il luogo in cui i dati biometrici sono stati acquisiti;
b) il reato per il quale i dati biometrici sono stati acquisiti;
c) il numero del fascicolo d’indagine;
d) l'autorità competente per il fascicolo d’indagine.
6. Il rinvio della serie di dati di base da parte dello Stato membro richiesto o, in caso di profili DNA di cui all’articolo 6, paragrafo 7, dallo Stato membro richiedente è soggetta alla decisione di un essere umano.
Capo 5. Europol
Art. 48 Accesso da parte degli Stati membri ai dati biometrici forniti da paesi terzi e conservati da Europol
1. A norma del regolamento (UE) 2016/794, gli Stati membri hanno accesso tramite il router ai dati biometrici forniti a Europol da paesi terzi per le finalità di cui all’articolo 18, paragrafo 2, lettere a), b) e c), del medesimo regolamento, e possono consultare tali dati tramite il router.
2. Qualora dalla consultazione di cui al paragrafo 1 emerga una corrispondenza tra i dati utilizzati per la consultazione e i dati forniti da un paese terzo e conservati da Europol, è dato seguito alla procedura conformemente al regolamento (UE) 2016/794.
Art. 49 Accesso da parte di Europol ai dati conservati nelle banche dati degli Stati membri tramite l’uso di dati forniti da paesi terzi
1. Ove necessario ai fini del conseguimento degli obiettivi di cui all’articolo 3 del regolamento (UE) 2016/794, Europol, conformemente a detto regolamento e al presente regolamento, ha accesso ai dati conservati dagli Stati membri nelle banche dati nazionali.
2. Le interrogazioni di Europol effettuate usando i dati biometrici come criterio di ricerca sono svolte tramite il router.
3. Le interrogazioni di Europol effettuate usando i dati di immatricolazione dei veicoli come criterio di ricerca sono svolte tramite EUCARIS.
4. Le interrogazioni di Europol effettuate usando i dati anagrafici di sospetti e condannati di cui all'articolo 25 come criterio di ricerca sono svolte utilizzando EPRIS.
5. Europol effettua le consultazioni con i dati forniti da paesi terzi a norma dei paragrafi da 1 a 4 del presente articolo soltanto quando necessario per l’espletamento dei suoi compiti ai fini dell’articolo 18, paragrafo 2, lettere a) e c), del regolamento (UE) 2016/794.
6.
Se le procedure di cui agli articoli 6, 11 o 20 mostrano una corrispondenza tra i dati utilizzati per la consultazione e i dati conservati nella banca dati nazionale dello Stato membro o degli Stati membri richiesti, Europol informa soltanto lo Stato membro o gli Stati membri interessati.
Lo Stato membro richiesto decide entro 48 ore se rinviare una serie di dati di base tramite il router a decorrere da quando sono soddisfatte tutte le condizioni seguenti:
a) una corrispondenza di cui al primo comma è stata manualmente confermata da parte di un membro qualificato del personale di Europol;
b) una descrizione dei fatti e un’indicazione del reato sottostante sono state trasmesse, utilizzando la tabella comune delle categorie di reati stabiliti in un atto di esecuzione da adottare a norma dell’articolo 11 ter, paragrafo 1, lettera a), della decisione quadro 2009/315/GAI, da parte di Europol, al fine di valutare la proporzionalità della richiesta, compresa la gravità del reato per il quale è stata effettuata una consultazione, conformemente al diritto nazionale dello Stato membro che fornisce l’insieme di dati di base;
c) il nome del paese terzo che ha fornito i dati è stato trasmesso.
Se, in base alla legislazione nazionale, uno Stato membro può fornire una serie particolare di dati di base solo previa autorizzazione giudiziaria, tale Stato membro può derogare ai termini stabiliti nel secondo comma nella misura necessaria all’ottenimento di tale autorizzazione.
Se la corrispondenza confermata riguarda dati identificati di una persona, l’insieme di dati di base di cui al secondo comma contiene, nella misura del possibile, i dati seguenti:
a) nome o nomi;
b) cognome o cognomi;
c) alias e nome o nomi usati in precedenza;
d) data di nascita;
e) cittadinanza o cittadinanze;
f) luogo e paese di nascita;
g) genere;
h) la data e il luogo in cui i dati biometrici sono stati acquisiti;
i) il reato per il quale i dati biometrici sono stati acquisiti;
j) il numero del fascicolo d’indagine;
k) l'autorità competente per il fascicolo d’indagine.
Se la corrispondenza confermata riguarda dati o tracce non identificati di una persona, l’insieme di dati di base di cui al secondo comma contiene i dati seguenti, nella misura in cui sono disponibili:
a) la data e il luogo in cui i dati biometrici sono stati acquisiti;
b) il reato per il quale i dati biometrici sono stati acquisiti;
c) il numero del fascicolo d’indagine;
d) l'autorità competente per il fascicolo d’indagine.
Il rinvio dei dati di base da parte dello Stato membro richiesto è soggetta alla decisione di un essere umano.
7. L’utilizzo da parte di Europol delle informazioni ottenute da un’interrogazione effettuata a norma del presente articolo e dallo scambio di una serie di dati fondamentali a norma del paragrafo 6 è soggetto al consenso dello Stato membro nella cui banca dati è stata riscontrata la corrispondenza. Qualora lo Stato membro acconsenta all’uso di tali informazioni, il loro trattamento da parte di Europol è disciplinato dal regolamento (UE) 2016/794.
Capo 6. Protezione dei dati
Art. 50 Finalità del trattamento dei dati
1. Uno Stato membro o Europol può trattare i dati personali che ha ricevuto solamente ai fini per i quali i dati sono stati trasmessi dallo Stato membro che ha fornito i dati a norma del presente regolamento. Il trattamento per altri fini è consentito esclusivamente previa autorizzazione dello Stato membro che ha fornito i dati.
2. Il trattamento dei dati trasmessi da uno Stato membro o da Europol a norma degli articoli 6, 11, 16, 20 o 26 è autorizzato esclusivamente ove necessario allo scopo di:
a) stabilire se esista una corrispondenza tra i profili DNA, i dati dattiloscopici, i dati di immatricolazione dei veicoli, le immagini del volto o i dati degli archivi di polizia oggetto del confronto;
b) scambiare una serie di dati di base conformemente all’articolo 47;
c) predisporre e introdurre una domanda di assistenza legale da parte delle autorità di polizia o giudiziarie in caso di corrispondenza tra i dati;
d) conservare registrazioni a norma degli articoli 18, 40 e 45.
3. Al termine della risposta automatizzata alle consultazioni, i dati ricevuti da uno Stato membro o da Europol sono immediatamente cancellati a meno che non sia necessario un ulteriore trattamento ai fini di cui al paragrafo 2 o a meno che tale trattamento non sia autorizzato a norma del paragrafo 1.
4. Prima di collegare le rispettive banche dati nazionali al router o a EPRIS, gli Stati membri effettuano una valutazione d’impatto sulla protezione dei dati di cui all’articolo 27 della direttiva (UE) 2016/680 e, se del caso, consultano l’autorità di controllo di cui all’articolo 28 di tale direttiva. L’autorità di controllo può avvalersi dei poteri di cui dispone a norma dell’articolo 47 di tale direttiva, conformemente all’articolo 28, paragrafo 5, di tale direttiva.
Art. 51 Esattezza, pertinenza e conservazione dei dati
1. Gli Stati membri ed Europol assicurano l’esattezza e l’attualità dei dati personali trattati a norma del presente regolamento. Qualora uno Stato membro o Europol venga a conoscenza del fatto che sono stati forniti dati inesatti o non più aggiornati o dati che non avrebbero dovuto essere stati trasmessi, ne notifica lo Stato membro che ha ricevuto i dati o a Europol senza indebito ritardo. Tutti gli Stati membri interessati o Europol sono tenuti a rettificare o cancellare i dati di conseguenza senza indebito ritardo. Qualora lo Stato membro che ha ricevuto i dati o Europol abbia motivo di ritenere che i dati trasmessi siano inesatti o che debbano essere cancellati, ne informa lo Stato membro che ha fornito i dati senza indebito ritardo.
2. Gli Stati membri ed Europol predispongono misure adeguate per aggiornare i dati pertinenti ai fini del presente regolamento.
3. Qualora l’interessato contesti l’esattezza dei dati in possesso di uno Stato membro o di Europol, qualora lo Stato membro o Europol non sia in grado di accertarne l’esattezza in modo attendibile e qualora ciò sia richiesto dall’interessato, i dati in questione sono contrassegnati da un indicatore di validità («flag»). Nei casi in cui è apposto l’indicatore di validità, gli Stati membri o Europol possono toglierlo solo con il consenso dell’interessato o su decisione dell’organo giurisdizionale competente, dell’autorità di controllo o del Garante europeo della protezione dei dati, a seconda dei casi.
4.
I dati che non avrebbero dovuto essere trasmessi o ricevuti sono cancellati. I dati lecitamente trasmessi e ricevuti sono cancellati:
a) se non sono o non sono più necessari per le finalità per le quali sono stati trasmessi;
b) al termine del periodo massimo di conservazione dei dati a norma del diritto nazionale dello Stato membro che ha fornito i dati, qualora quest’ultimo abbia indicato tale periodo massimo allo Stato membro che ha ricevuto i dati o a Europol all’atto della trasmissione; o
c) dopo la scadenza del periodo massimo di conservazione dei dati di cui al regolamento (UE) 2016/794.
Il trattamento di dati è soggetto a limitazione, e i dati non sono cancellati, quando vi sono motivi di ritenere che la loro cancellazione pregiudicherebbe gli interessi dell’interessato. Qualora il trattamento di dati è stato limitato, essi sono trattati solo per le finalità che ne hanno impedito la cancellazione.
Art. 52 Responsabile del trattamento
1. eu-LISA è il responsabile del trattamento ai sensi dell’articolo 3, punto 12), del regolamento (UE) 2018/1725, per il trattamento dei dati personali tramite il router.
2. Europol è il responsabile ai sensi dell’articolo 3, punto 12), del regolamento (UE) 2018/1725 del trattamento dei dati personali tramite EPRIS.
Art. 53 Sicurezza del trattamento
1. Le autorità competenti degli Stati membri, eu-LISA ed Europol garantiscono la sicurezza del trattamento dei dati personali ai sensi del presente regolamento. Le autorità competenti degli Stati membri, eu-LISA ed Europol cooperano nei compiti relativi alla sicurezza.
2. Fatto salvo l’articolo 33 del regolamento (UE) 2018/1725 e l’articolo 32 del regolamento (UE) 2016/794, eu-LISA ed Europol adottano le misure necessarie per garantire la sicurezza rispettivamente del router e di EPRIS e delle relative infrastrutture di comunicazione.
3.
In particolare eu-LISA adotta le misure necessarie in merito al router ed Europol adotta le misure necessarie in merito ad EPRIS, al fine di:
a) proteggere fisicamente i dati, tra l’altro mediante l’elaborazione di piani di emergenza per la protezione delle infrastrutture critiche;
b) negare alle persone non autorizzate l’accesso alle attrezzature e alle strutture utilizzate per il trattamento di dati;
c) impedire che supporti di dati possano essere letti, copiati, modificati o asportati da persone non autorizzate;
d) impedire che i dati siano inseriti senza autorizzazione e che sia presa visione senza autorizzazione dei dati personali registrati, o che gli stessi siano modificati o cancellati senza autorizzazione;
e) impedire che i dati siano trattati, copiati, modificati o cancellati senza autorizzazione;
f) impedire che persone non autorizzate usino sistemi di trattamento automatizzato di dati servendosi di attrezzature per la comunicazione di dati;
g) garantire, tramite identità di utente individuali ed esclusivamente con modalità di accesso riservato che le persone autorizzate ad accedere al router o ad EPRIS, a seconda dei casi, abbiano accesso solo ai dati previsti dalla loro autorizzazione di accesso;
h) garantire che sia possibile verificare e stabilire a quali organismi possono essere trasmessi dati personali mediante attrezzature di comunicazione di dati;
i) garantire che sia possibile verificare e stabilire quali dati sono stati trattati nel router o in EPRIS, a seconda dei casi, e quando, da chi e per quale finalità sono stati trattati;
j) impedire, in particolare mediante tecniche appropriate di cifratura, che, all’atto della trasmissione di dati personali dal router o da EPRIS, a seconda dei casi, o verso gli stessi ovvero durante il trasporto dei supporti di dati, tali dati personali possano essere letti, copiati, modificati o cancellati senza autorizzazione;
k) garantire che, in caso di interruzione, i sistemi installati possano essere ripristinati;
l) garantire l’affidabilità, accertandosi che eventuali anomalie nel funzionamento del router o dell’EPRIS, a seconda dei casi, siano adeguatamente segnalate;
m) monitorare l’efficacia delle misure di sicurezza di cui al presente paragrafo e adottare le necessarie misure organizzative relative al monitoraggio interno per garantire l’osservanza del presente regolamento e valutare le misure di sicurezza alla luce dei nuovi sviluppi tecnologici.
Le misure necessarie di cui al primo comma comprendono un piano di sicurezza, un piano di continuità operativa e un piano di ripristino in caso di disastro.
Art. 54 Incidenti di sicurezza
1. È considerato incidente di sicurezza l’evento che ha o può avere ripercussioni sulla sicurezza del router o di EPRIS e può causare danni o perdite ai dati ivi conservati, in particolare quando possono essere stati consultati dati senza autorizzazione o quando sono state o possono essere state compromesse la disponibilità, l’integrità e la riservatezza dei dati.
2. In caso di incidente di sicurezza riguardante il router, eu-LISA e gli Stati membri interessati o, se del caso, Europol cooperano fra loro al fine di garantire una risposta rapida, efficace e adeguata.
3. In caso di incidente di sicurezza riguardante EPRIS, gli Stati membri interessati ed Europol cooperano fra loro al fine di garantire una risposta rapida, efficace e adeguata.
4.
Gli Stati membri notificano senza indebito ritardo alle rispettive autorità competenti qualsiasi incidente di sicurezza.
Fatto salvo l’articolo 92 del regolamento (UE) 2018/1725, qualora si verifichi un incidente di sicurezza in relazione all’infrastruttura centrale del router, eu-LISA notifica al servizio per la cibersicurezza delle istituzioni, degli organi e degli organismi dell’Unione (CERT-UE) senza indebito ritardo, e in ogni caso entro 24 ore da quando ne viene a conoscenza, minacce informatiche significative, vulnerabilità significative e incidenti significativi. Dettagli tecnici adeguati e di pronta utilizzazione, concernenti minacce, vulnerabilità e incidenti a livello informatico, che consentono misure proattive di indagine, risposta a incidenti o mitigazione sono comunicati a CERT-UE senza indebito ritardo.
Fatti salvi l’articolo 34 del regolamento (UE) 2016/794 e l’articolo 92 del regolamento (UE) 2018/1725, qualora si verifichi un incidente di sicurezza in relazione all’infrastruttura centrale di EPRIS, Europol notifica a CERT-UE senza indebito ritardo, e in ogni caso entro 24 ore da quando ne viene a conoscenza, minacce informatiche significative, vulnerabilità significative e incidenti significativi. Dettagli tecnici adeguati e di pronta utilizzazione, concernenti minacce, vulnerabilità e incidenti a livello informatico, che consentono misure proattive di indagine, risposta a incidenti o mitigazione sono comunicati a CERT-UE senza indebito ritardo.
5. Le informazioni su un incidente di sicurezza che abbia o possa avere ripercussioni sul funzionamento del router o sulla disponibilità, integrità e riservatezza dei dati sono fornite senza ritardo dagli Stati membri e dalle agenzie dell’Unione interessate agli Stati membri e ad Europol e registrate secondo il piano di gestione degli incidenti stabilito da eu-LISA.
6. Le informazioni su un incidente di sicurezza che abbia o possa avere ripercussioni sul funzionamento di EPRIS o sulla disponibilità, integrità e riservatezza dei dati sono fornite senza ritardo dagli Stati membri e dalle agenzie dell’Unione interessate agli Stati membri e registrate secondo il piano di gestione degli incidenti stabilito da Europol.
Art. 55 Verifica interna
1. Gli Stati membri provvedono affinché ciascuna autorità abilitata a usare il quadro Prüm II adotti le misure necessarie per verificare la propria conformità al presente regolamento e cooperi, se necessario, con l’autorità di controllo. Europol adotta le misure necessarie per verificare la propria conformità al presente regolamento e coopera, se necessario, con il Garante europeo della protezione dei dati.
2. I titolari del trattamento attuano le misure necessarie per verificare efficacemente la conformità del trattamento di dati a norma del presente regolamento, anche verificando frequentemente le registrazioni di cui agli articoli 18, 40 e 45. Essi cooperano, laddove necessario e come opportuno, con le autorità di controllo o con il Garante europeo della protezione dei dati.
Art. 56 Sanzioni
Gli Stati membri provvedono affinché qualsiasi uso improprio, trattamento o scambio di dati in contrasto con il presente regolamento sia punibile ai sensi del diritto nazionale. Le sanzioni previste sono effettive, proporzionate e dissuasive.
Art. 57 Responsabilità
Se l’inosservanza degli obblighi del presente regolamento da parte di uno Stato membro o, nell’effettuare interrogazioni a norma dell’articolo 49, di Europol, arreca danni al router o ad EPRIS, tale Stato membro o Europol è responsabile di tale danno, a meno che e nella misura in cui eu-LISA, Europol o un altro Stato membro vincolato dal presente regolamento abbia omesso di adottare provvedimenti ragionevolmente idonei a prevenire il danno o ridurne al minimo l’impatto.
Art. 58 Audit del Garante europeo della protezione dei dati
1. Il Garante europeo della protezione dei dati provvede affinché almeno ogni quattro anni sia svolto un audit delle operazioni di trattamento dei dati personali effettuate da eu-LISA e da Europol ai fini del presente regolamento conformemente ai pertinenti principi internazionali di audit. Una relazione su tale audit è trasmessa al Parlamento europeo, al Consiglio, alla Commissione, agli Stati membri e all’agenzia dell’Unione interessata, eu-LISA ed Europol hanno la possibilità di formulare osservazioni prima dell’adozione della relazione.
2. eu-LISA ed Europol forniscono al Garante europeo della protezione dei dati le informazioni da questo richieste, consentono al Garante europeo della protezione dei dati di accedere a tutti i documenti e alle loro registrazioni di cui agli articoli 40 e 45 e gli consentono di accedere in qualsiasi momento a tutti i loro locali. Il presente paragrafo non pregiudica i poteri del Garante europeo della protezione dei dati ai sensi dell’articolo 58 del regolamento (UE) 2018/1725 e, per quanto riguarda Europol, ai sensi dell’articolo 43, paragrafo 3, del regolamento (UE) 2016/794.
Art. 59 Cooperazione tra le autorità di vigilanza e il Garante europeo della protezione dei dati
1. Le autorità di controllo e il Garante europeo della protezione dei dati, ciascuno nell’ambito delle proprie competenze, cooperano attivamente nell’ambito delle rispettive responsabilità per assicurare un controllo coordinato dell’applicazione del presente regolamento, in particolare se il Garante europeo della protezione dei dati o un’autorità di controllo constata notevoli differenze tra le pratiche degli Stati membri o trasferimenti potenzialmente illeciti nell’uso dei canali di comunicazione previsti dal quadro Prüm II.
2. Nei casi di cui al paragrafo 1 del presente articolo, è assicurato il controllo coordinato a norma dell’articolo 62 del regolamento (UE) 2018/1725.
3. Due anni dopo l’entrata in funzione del router e di EPRIS, e successivamente ogni due anni, il comitato europeo per la protezione dei dati trasmette al Parlamento europeo, al Consiglio, alla Commissione, a eu-LISA e a Europol una relazione sulle sue attività ai sensi del presente articolo. Tale relazione comprende un capitolo su ciascuno Stato membro redatto dall’autorità di controllo dello Stato membro interessato.
Art. 60 Trasferimento di dati personali a paesi terzi e ad organizzazioni internazionali
Uno Stato membro trasferisce dati personali ottenuti a norma del presente regolamento a un paese terzo o a un’organizzazione internazionale in conformità del capo V della direttiva (UE) 2016/680 e se lo Stato membro richiesto ha concesso la propria autorizzazione prima del trasferimento.
Europol trasferisce soli i dati personali ottenuti a norma del presente regolamento a un paese terzo o un’organizzazione internazionale se sono soddisfatte le condizioni di cui all’articolo 25 del regolamento (UE) 2016/794 e se lo Stato membro richiesto ha concesso la propria autorizzazione prima del trasferimento.