Regolamento (UE) n. 603/2013 del Parlamento europeo e del Consiglio del 26 giugno 2013 che istituisce l'«Eurodac» per il confronto delle impronte digitali per l'efficace applicazione del regolamento (UE) n. 604/2013 che stabilisce i criteri e i meccanismi di determinazione dello Stato membro competente per l'esame di una domanda di protezione internazionale presentata in uno degli Stati membri da un cittadino di un paese terzo o da un apolide e per le richieste di confronto con i dati Eurodac presentate dalle autorità di contrasto degli Stati membri e da Europol a fini di contrasto, e che modifica il regolamento (UE) n. 1077/2011 che istituisce un'agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (rifusione)

1. Lo Stato membro d'origine provvede a informare la persona di cui agli articoli 9, paragrafo 1, 14, paragrafo 1, o 17, paragrafo 1, per iscritto e se necessario oralmente, in una lingua che la persona comprende o che ragionevolmente si suppone a lei comprensibile:

1. a) dell'identità del responsabile del trattamento ai sensi dell'articolo 2, lettera d), della direttiva 95/46/CE ed eventualmente del suo rappresentante;

2. b) dello scopo per cui i suoi dati saranno trattati nell'Eurodac, compresa una descrizione delle finalità del regolamento (UE) n. 604/2013, conformemente all'articolo 4 dello stesso, nonché una spiegazione, in forma intelligibile e con un linguaggio semplice e chiaro, del fatto che è ammesso l'accesso degli Stati membri e di Europol all'Eurodac a fini di contrasto;

3. c) dei destinatari dei dati;

4. d) riguardo alla persona di cui all'articolo 9, paragrafo 1, o all'articolo 14, paragrafo 1, dell'esistenza di un obbligo di rilevamento delle sue impronte digitali;

5. e) del diritto di accesso ai dati che la riguardano e del diritto di chiedere che i dati inesatti che la riguardano siano rettificati o che i dati che la riguardano trattati illecitamente siano cancellati, nonché del diritto di ottenere informazioni sulle procedure da seguire per esercitare tali diritti, compresi gli estremi del responsabile del trattamento e delle autorità nazionali di controllo di cui all'articolo 30, paragrafo 1.

2.

3.

4.

5. Ai fini di cui all'articolo 1, paragrafo 1, in ciascuno Stato membro tutti gli interessati possono chiedere che i dati di fatto inesatti siano rettificati o che i dati registrati illecitamente siano cancellati. La rettifica e la cancellazione sono effettuate senza eccessivo indugio dallo Stato membro che ha trasmesso i dati, secondo le proprie leggi, regolamenti e procedure.

6. Ai fini di cui all'articolo 1, paragrafo 1, se i diritti di rettifica e di cancellazione sono esercitati in uno Stato membro diverso da quello o da quelli che hanno trasmesso i dati, le autorità di detto Stato membro prendono contatto con le autorità dello Stato membro o degli Stati membri che hanno trasmesso i dati affinché questi verifichino l'esattezza dei dati, nonché la liceità della loro trasmissione e registrazione nel sistema centrale.

7. Ai fini di cui all'articolo 1, paragrafo 1, qualora risulti che i dati registrati nel sistema centrale sono di fatto inesatti o vi sono stati registrati illecitamente, lo Stato membro che li ha trasmessi li rettifica o li cancella a norma dell'articolo 27, paragrafo 3. Lo Stato membro conferma per iscritto agli interessati, senza eccessivo indugio, di aver adottato le opportune misure per rettificare o cancellare i dati che li riguardano.

8.

9. Ogni richiesta a norma dei paragrafi 4 e 5 contiene tutti i particolari necessari per l'identificazione dell'interessato, comprese le impronte digitali. Questi dati sono utilizzati unicamente ai fini dell'esercizio dei diritti di cui ai paragrafi 4 e 5 e sono cancellati subito dopo.

10. Le autorità competenti degli Stati membri collaborano attivamente fra di loro per rendere rapidamente effettivo l'esercizio dei diritti di cui ai paragrafi 5, 6 e 7.

11. Se una persona chiede la comunicazione dei dati che la riguardano in conformità del paragrafo 4, l'autorità competente conserva una registrazione della richiesta e delle modalità della sua presentazione sotto forma di documento scritto, che mette senza indugio a disposizione delle autorità nazionali di controllo.

12. Ai fini di cui all'articolo 1, paragrafo 1, del presente regolamento, in ciascuno Stato membro l'autorità nazionale di controllo assiste l'interessato, su sua richiesta, nell'esercizio dei suoi diritti, ai sensi dell'articolo 28, paragrafo 4, della direttiva 95/46/CE.

13. Ai fini di cui all'articolo 1, paragrafo 1, del presente regolamento, l'autorità nazionale di controllo dello Stato membro che ha trasmesso i dati e l'autorità nazionale di controllo dello Stato membro in cui l'interessato si trova gli prestano assistenza e, a richiesta, consulenza nell'esercizio dei suoi diritti di rettifica o di cancellazione. Le autorità nazionali di controllo dei due Stati cooperano a tal fine. Le richieste di assistenza possono essere rivolte all'autorità nazionale di controllo dello Stato membro in cui l'interessato si trova, che le trasmette all'autorità dello Stato membro che ha trasmesso i dati.

14. In ciascuno Stato membro qualsiasi persona alla quale sia stato rifiutato il diritto di accesso di cui al paragrafo 4 può proporre ricorso o, se del caso, può presentare denuncia dinanzi alle autorità competenti o agli organi giurisdizionali di detto Stato secondo le leggi, i regolamenti e le procedure di detto Stato.

15. Chiunque può, secondo le leggi, i regolamenti e le procedure dello Stato membro che ha trasmesso i dati, proporre ricorso o, se del caso, presentare denuncia dinanzi alle autorità competenti o agli organi giurisdizionali di detto Stato in merito ai dati che lo riguardano e che sono registrati nel sistema centrale, al fine di esercitare i suoi diritti ai sensi del paragrafo 5. Alle autorità nazionali di controllo è fatto obbligo di prestare assistenza e, a richiesta, consulenza all'interessato, ai sensi del paragrafo 13, per tutto l'iter processuale.

1. Ai fini di cui all'articolo 1, paragrafo 1, del presente regolamento ciascuno Stato membro dispone che l'autorità o le autorità nazionali di controllo designate a norma dell'articolo 28, paragrafo 1, della direttiva 95/46/CE controllino in modo indipendente, secondo il proprio diritto interno, che il trattamento dei dati a carattere personale da parte dello Stato membro in questione, nonché la loro trasmissione al sistema centrale avvengano lecitamente e ai sensi del presente regolamento.

2. Ogni Stato membro garantisce che la rispettiva autorità nazionale di controllo possa avvalersi della consulenza di persone in possesso di adeguate conoscenze in materia di dati relativi alle impronte digitali.

1. Il garante europeo della protezione dei dati controlla che tutte le attività di trattamento dei dati personali relative all'Eurodac, in particolare da parte dell'agenzia, siano effettuate ai sensi del regolamento (CE) n. 45/2001 e del presente regolamento.

2. Il garante europeo della protezione dei dati provvede affinché almeno ogni tre anni sia svolto un controllo delle attività di trattamento dei dati personali effettuate dall'agenzia, conformemente alle norme di revisione contabile internazionali. Una relazione su tale controllo è trasmessa al Parlamento europeo, al Consiglio, alla Commissione, all'agenzia e alle autorità nazionali di controllo. All'agenzia è data la possibilità di presentare osservazioni prima dell'adozione della relazione.

1. Le autorità nazionali di controllo e il garante europeo della protezione dei dati, ciascuno nei limiti delle proprie competenze, cooperano attivamente nell'ambito delle rispettive responsabilità e assicurano la vigilanza coordinata dell'Eurodac.

2.

3. Le autorità nazionali di controllo e il garante europeo della protezione dei dati, se necessario, ciascuno nei limiti delle proprie competenze, si scambiano informazioni pertinenti, si assistono vicendevolmente nello svolgimento di revisioni e ispezioni, esaminano difficoltà di interpretazione o applicazione del presente regolamento, studiano problemi inerenti all'esercizio di una vigilanza indipendente o all'esercizio dei diritti delle persone cui i dati si riferiscono, elaborano proposte armonizzate per soluzioni congiunte di eventuali problemi e promuovono la sensibilizzazione del pubblico in materia di diritti di protezione dei dati, se necessario.

4. Al fine di cui al paragrafo 3, le autorità nazionali di controllo e il garante europeo della protezione dei dati si riuniscono almeno due volte l'anno. I costi di tali riunioni e la gestione delle stesse sono a carico del garante europeo della protezione dei dati. Nella prima riunione è adottato un regolamento interno. Ulteriori metodi di lavoro sono elaborati congiuntamente, se necessario. Ogni due anni è trasmessa al Parlamento europeo, al Consiglio, alla Commissione e all'agenzia una relazione congiunta sulle attività svolte.

1. Ciascuno Stato membro provvede affinché le disposizioni adottate a norma del diritto nazionale in applicazione della decisione quadro 2008/977/GAI siano altresì applicabili al trattamento dei dati personali effettuato dalle proprie autorità nazionali a fini di cui all'articolo 1, paragrafo 2, del presente regolamento.

2. Le autorità nazionali di controllo designate a norma della decisione quadro 2008/977/GAI controllano la liceità del trattamento dei dati personali effettuato ai sensi del presente regolamento dagli Stati membri ai fini di cui all'articolo 1, paragrafo 2, del presente regolamento, nonché la trasmissione di tali dati all'Eurodac e dall'Eurodac.

3. Il trattamento dei dati personali da parte di Europol ai sensi del presente regolamento è effettuato conformemente alla decisione 2009/371/GAI ed è sottoposto al controllo di un garante della protezione dei dati esterno e indipendente. Al trattamento dei dati personali da parte di Europol a norma del presente regolamento si applicano pertanto gli articoli 30, 31e 32 di detta decisione. Il garante della protezione dei dati esterno e indipendente assicura che i diritti della persona non siano violati.

4. I dati personali ottenuti ai sensi del presente regolamento dall'Eurodac ai fini di cui all'articolo 1, paragrafo 2, sono trattati soltanto a fini di prevenzione, accertamento o indagine nel quadro del caso specifico in relazione al quale i dati sono stati richiesti da uno Stato membro o da Europol.

5. Il sistema centrale, le autorità designate e di verifica ed Europol conservano la registrazione relativa alle ricerche onde permettere alle autorità nazionali di protezione dei dati e al garante europeo della protezione dei dati di verificare la conformità del trattamento dei dati alle norme dell'Unione in materia di protezione dei dati, in particolare al fine di conservare registrazioni che permettano di preparare le relazioni annuali di cui all'articolo 40, paragrafo 7. Qualora l'obiettivo sia diverso da tali fini, i dati personali e la registrazione relativa alla ricerca sono cancellati da tutti gli archivi nazionali e da quelli di Europol dopo un mese, salvo se necessari ai fini di specifiche indagini penali per le quali i dati sono stati richiesti da quello Stato membro o da Europol.

1. Lo Stato membro d'origine garantisce la sicurezza dei dati prima e nel corso della trasmissione al sistema centrale.

2. Ciascuno Stato membro, in relazione a tutti i dati trattati dalle proprie autorità competenti a norma del presente regolamento, adotta le misure necessarie, compreso un piano di sicurezza, al fine di:

1. a) proteggere fisicamente i dati, tra l'altro mediante l'elaborazione di piani di emergenza per la protezione delle infrastrutture critiche;

2. b) negare alle persone non autorizzate l'accesso alle strutture nazionali nelle quali lo Stato membro effettua operazioni ai fini dell'Eurodac (controlli all'ingresso delle strutture);

3. c) impedire che supporti di dati possano essere letti, copiati, modificati o cancellati senza autorizzazione (controllo dei supporti di dati);

4. d) impedire che siano inseriti dati senza autorizzazione e che sia presa visione, senza autorizzazione, di dati personali memorizzati o che essi siano modificati o cancellati senza autorizzazione (controllo della conservazione);

5. e) impedire che i dati siano trattati nell'Eurodac senza autorizzazione e che i dati trattati nell'Eurodac siano modificati o cancellati senza autorizzazione (controllo dell'inserimento dei dati);

6. f) garantire che le persone autorizzate ad accedere all'Eurodac abbiano accesso soltanto ai dati previsti dalla loro autorizzazione di accesso, ricorrendo all'identificativo utente individuale e unico e utilizzando esclusivamente modalità di accesso riservato (controllo dell'accesso ai dati);

7. g) garantire che tutte le autorità con diritto di accesso all'Eurodac creino profili che descrivano le funzioni e le responsabilità delle persone autorizzate ad accedere ai dati e ad inserire, aggiornare, cancellare e consultare i dati, e mettano senza indugio tali profili, come pure ogni altra informazione pertinente che dette autorità possano richiedere a fini di controllo, a disposizione delle autorità nazionali di controllo di cui all'articolo 28 della direttiva 95/46/CE e all'articolo 25 della decisione quadro 2008/977/GAI, su richiesta di queste ultime (profili personali);

8. h) garantire la possibilità di verificare e stabilire a quali organismi possano essere trasmessi dati personali mediante apparecchiature di comunicazione dei dati (controllo della comunicazione);

9. i) garantire che sia possibile verificare e stabilire quali dati siano stati trattati nell'Eurodac, quando, da chi e per quale scopo (controllo della registrazione dei dati);

10. j) impedire, in particolare mediante tecniche appropriate di cifratura, che all'atto della trasmissione di dati personali dall'Eurodac o verso l'Eurodac, oppure durante il trasporto dei supporti di dati, tali dati personali possano essere letti, copiati, modificati o cancellati senza autorizzazione (controllo del trasporto);

11. k) controllare l'efficacia delle misure di sicurezza di cui al presente paragrafo e adottare le necessarie misure di carattere organizzativo relative al controllo interno per garantire l'osservanza del presente regolamento (autocontrollo) e per individuare automaticamente entro 24 ore qualsiasi evento pertinente si verifichi nell'applicazione delle misure di cui alle lettere da b) a j) che possa indicare il verificarsi di un incidente di sicurezza.

3. Gli Stati membri informano l'agenzia degli incidenti di sicurezza rilevati nei propri sistemi. L'agenzia informa gli Stati membri, Europol e il garante europeo della protezione dei dati su incidenti di sicurezza. Gli Stati membri interessati, l'agenzia ed Europol collaborano in caso di tali incidenti.

4. L'agenzia adotta le misure necessarie per conseguire gli obiettivi enunciati al paragrafo 2 per quanto riguarda il funzionamento dell'Eurodac, compresa l'adozione di un piano di sicurezza.

1. I dati personali provenienti dal sistema centrale, trasmessi a uno Stato membro o ad Europol ai sensi del presente regolamento, non sono trasferiti a paesi terzi, organizzazioni internazionali o soggetti di diritto privato stabiliti all'interno o all'esterno dell'Unione, né sono messi a loro disposizione. Questo divieto si applica altresì al trattamento ulteriore di tali dati effettuato a livello nazionale o tra Stati membri ai sensi dell'articolo 2, lettera b), della decisione quadro 2008/977/GAI.

2. I dati personali provenienti da uno Stato membro e scambiati tra Stati membri in seguito a una risposta pertinente ottenuta a fini di cui all'articolo 1, paragrafo 2, non sono trasferiti a paesi terzi se sussiste un grave rischio che, a causa di tale trasferimento, l'interessato sia sottoposto a torture, pene o trattamenti disumani o degradanti o qualsiasi altra violazione dei diritti fondamentali.

3. I divieti di cui ai paragrafi 1 e 2 non pregiudicano il diritto degli Stati membri di trasferire tali dati a paesi terzi cui si applica il regolamento (UE) n. 604/2013.

1. Gli Stati membri ed Europol provvedono affinché tutte le operazioni di trattamento dei dati derivanti dalle richieste di confronto con i dati Eurodac a fini di cui all'articolo 1, paragrafo 2, siano registrate o documentate per verificare l'ammissibilità della richiesta, per controllare la liceità del trattamento dei dati, l'integrità e la sicurezza dei dati, e ai fini dell'autocontrollo.

2. Il registro o la documentazione indicano in ogni caso:

1. a) lo scopo esatto della richiesta di confronto, compresa la forma di reato di terrorismo o altro reato grave in questione e, per Europol, lo scopo esatto della richiesta di confronto;

2. b) i fondati motivi addotti per giustificare, conformemente all'articolo 20, paragrafo 1, del presente regolamento, il mancato confronto con altri Stati membri di cui alla decisione 2008/615/GAI;

3. c) il riferimento del fascicolo nazionale;

4. d) la data e l'ora esatta della richiesta di confronto inviata al sistema centrale dal punto di accesso nazionale;

5. e) l'autorità che ha chiesto l'accesso per il confronto e il responsabile che ha presentato la richiesta ed elaborato i dati;

6. f) se è stata esperita la procedura d'urgenza di cui all'articolo 19, paragrafo 3, e la decisione presa in merito alla verifica a posteriori;

7. g) i dati usati per il confronto;

8. h) conformemente alle disposizioni nazionali o alla decisione 2009/371/GAI, l'identificazione del funzionario che ha effettuato la consultazione e del funzionario che ha ordinato di consultare i dati o di fornirli.

3. Le registrazioni e i documenti sono usati solo ai fini del controllo della liceità del trattamento dei dati e per garantire l'integrità e la sicurezza dei dati. Soltanto le registrazioni che non contengono dati personali possono essere usate ai fini del controllo e della valutazione di cui all'articolo 40. Le autorità nazionali di controllo competenti a verificare l'ammissibilità della richiesta e controllare la liceità del trattamento dei dati, l'integrità e la sicurezza dei dati, hanno accesso a tali registrazioni, su loro richiesta, per l'adempimento delle loro funzioni.

1. Le persone e gli Stati membri che hanno subito un danno in conseguenza di un trattamento illecito di dati o di qualsiasi altro atto incompatibile con il presente regolamento hanno diritto di ottenere un risarcimento dallo Stato membro responsabile del pregiudizio. Lo Stato membro è esonerato in tutto o in parte da tale responsabilità se prova che l'evento dannoso non gli è imputabile.

2. Ogni Stato membro è responsabile per i danni causati al sistema centrale in caso di inosservanza da parte sua degli obblighi derivanti dal presente regolamento, tranne nel caso e nei limiti in cui l'agenzia o un altro Stato membro abbia omesso di adottare misure ragionevolmente idonee ad evitare i danni o a minimizzarne gli effetti.

3. Le azioni proposte contro uno Stato membro per il risarcimento dei danni di cui ai paragrafi 1 e 2 sono disciplinate dalle leggi dello Stato membro convenuto.