GRUPPO DI LAVORO PER LA TUTELA DEI DATI EX ART. 29

Parere 3/2007 - WP134

sulla proposta di regolamento del Parlamento europeo e del Consiglio recante modifica dell’Istruzione consolare comune diretta alle rappresentanze diplomatiche e consolari di prima categoria in relazione all’introduzione di elementi biometrici e comprendente norme sull’organizzazione del ricevimento e del trattamento delle domande di visto (COM(2006) 269 definitivo)

adottato il 1° marzo 2007

IL GRUPPO DI LAVORO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI
istituito a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995¹,

visti gli articoli 29 e 30, paragrafo 1, lettera a), e paragrafo 3 della richiamata direttiva,

visto il proprio regolamento interno, in particolare gli articoli 12 e 14,

HA ADOTTATO IL SEGUENTE PARERE:

Obiettivo dell’attuale proposta di modifica dell’ICC è introdurre la base giuridica per il rilevamento obbligatorio degli identificatori biometrici dei richiedenti il visto e disciplinare l’organizzazione delle rappresentanze consolari degli Stati membri, alla luce della politica comune dei visti e di una maggiore integrazione fra gli uffici consolari.

L’adozione di un regolamento che modifica l’Istruzione consolare comune in relazione all’introduzione della biometria costituisce la condizione preliminare per l'attuazione del sistema di informazione visti (VIS)² in quanto fornisce "un quadro normativo per il rilevamento degli identificatori biometrici necessari".

Il sistema di informazione visti sarà istituito e regolamentato con l’entrata in vigore del regolamento del Parlamento europeo e del Consiglio concernente il VIS e lo scambio di dati tra Stati membri sui visti per soggiorni di breve durata, attualmente in discussione.

L’istituzione di una banca dati centralizzata contenente dati sui richiedenti il visto, come impronte digitali e immagine del volto, nonché i dati di persone che viaggiano in gruppo o che offrono ospitalità ai richiedenti nei paesi di destinazione, viene presentata come un elemento chiave per l’attuazione di una politica comune dei visti e per il conseguimento degli obiettivi di cui all’articolo 61 del trattato che istituisce la Comunità europea (TCE), in particolare la libera circolazione delle persone in uno spazio di liberta, sicurezza e giustizia.

Il Gruppo ha già formulato due pareri, nel 2004 e nel 2005³, in cui evidenziava una serie di problemi e proponeva diversi suggerimenti; di ciò si è tenuto conto nell'analisi che segue.

Anche il Garante europeo della protezione dei dati (GEPD) ha formulato un parere sulla proposta di regolamento⁴.

Al Gruppo è stato chiesto un parere sull’attuale proposta di regolamento a norma del suo considerando 9.

L’Istruzione consolare comune (ICC) stabilisce le prassi minime cui devono attenersi le rappresentanze consolari degli Stati membri quando rilasciano i visti uniformi. L’ICC costituisce lo strumento basilare di regolamentazione delle procedure e condizioni per il rilascio di visti per soggiorni di breve durata, di transito e di transito aeroportuale.

L'ICC è nata nel contesto della cooperazione intergovernativa Schengen.

Alle disposizioni Schengen sulla politica dei visti è stata attribuita una base giuridica, cosicché oggi sono parte integrante della legislazione comunitaria. La decisione 1999/436/CE del Consiglio designa l’articolo 62, paragrafo 2, lettera b) del trattato CE come base giuridica delle principali disposizioni dell’ICC. Ciònondimeno la decisione non ha integrato direttamente l’ICC nel trattato CE né ha stabilito una base giuridica per tutta l’ICC.

È in corso una riforma generale dell’attuale testo dell'ICC, che integrerà le disposizioni della nuova proposta e provvederà a una sistematizzazione delle norme sui visti. La nuova proposta assumerà la forma di regolamento e avrà lo scopo di chiarire e rendere trasparenti una serie di disposizioni messe a punto su un lungo lasso di tempo e che contengono, per lo più, istruzioni operative applicabili alle rappresentanze consolari.

Il nuovo testo intende introdurre una chiara distinzione fra principi giuridici e disposizioni amministrative, e quindi istituire un codice comunitario dei visti improntato al codice comunitario di attraversamento delle frontiere adottato di recente. L’obiettivo ultimo è adeguare le disposizioni della convenzione Schengen relative alla creazione di uno spazio senza frontiere al quadro giuridico comunitario.

È nelle intenzioni della Commissione che la riforma comporti anche la riconfigurazione dei moduli per la presentazione delle domande di visto, che andrebbero semplificati con la conseguente riduzione delle categorie e dei dati da fornire all’atto della domanda.

Il quadro normativo di riferimento applicabile all’istituzione del VIS non è stato ancora del tutto istituito.

Ciò lascia al Gruppo l'opportunità di esprimersi una volta di più e di contribuire, con la propria esperienza di tutela dei diritti fondamentali (in particolare il diritto alla protezione dei dati di carattere personale sancito dall’articolo 8 della Carta dei diritti fondamentali dell’Unione), al processo legislativo in corso dinanzi le competenti istituzioni comunitarie.

La politica comune dei visti rientra integralmente nell’ambito di applicazione del diritto comunitario. Il quadro di riferimento armonizzato, per quanto riguarda le questioni attinenti alla tutela dei diritti umani e alla protezione dei dati personali, è quindi costituito dalla direttiva 95/46/CE, la quale contiene i principi che sovraintendono alla liceità del trattamento dei dati.

Il Gruppo ricorda che l’articolo 6 della direttiva 95/46/EC sancisce il principio in base al quale i dati personali possono essere trattati in tutta legittimità solo se adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati.

Nel suo precedente parere sul VIS⁵ il Gruppo ha posto il problema della necessità e della proporzionalità di una banca dati UE così vasta, mettendo in guardia contro i rischi connessi, specie per quanto riguarda la raccolta e l’inserimento nel sistema di svariati milioni di elementi di identificazione biometrici.

Valutare il principio di proporzionalità nelle questioni dei visti e della libera circolazione delle persone pone quindi inevitabilmente il problema della legittimità fondamentale della raccolta di identificatori biometrici; la valutazione, in altri termini, non riguarda soltanto le procedure di trattamento e i tecnicismi della raccolta dati.

L’inserimento e la conservazione dei dati nella banca dati centrale del VIS comporta problemi etici e di affidabilità, in termini tanto di accesso quanto di risultati falsi-positivi e/o falsi-negativi.

Il Gruppo ritiene che occorra considerare con attenzione le categorie di dati da includere nella banca dati centralizzata (C-VIS), nonché la possibilità di aggiungere una formulazione direttamente al regolamento VIS che garantisca la flessibilità necessaria.

Bisognerebbe altresì tener conto delle implicazioni per la dignità umana e i diritti fondamentali derivanti dall’inclusione di dati biometrici e dall’eventuale uso di impronte digitali — indipendentemente dalla pratica creata con la domanda di visto — quando si interroga il sistema nel suo complesso. I dati biometrici potrebbero benissimo essere usati in futuro come chiave di ricerca per il SIS e Eurodac, come proposto ai fini dell’interoperabilità del sistema.

Inoltre, occorrerebbe tener conto dell’impatto delle varie proposte in fase di discussione e/o progettazione. Tali proposte dovrebbero permettere alle autorità incaricate della sicurezza nazionale di accedere al VIS — oltre che a Eurodac. Ne conseguirebbe un probabile aumento del rischio di abusi e dell’uso del C-VIS per finalità diverse da quelle per cui i dati sono stati raccolti e messi a disposizione all’interno del sistema⁶.

Sarebbe pertanto opportuno che le decisioni sulle categorie di dati da raccogliere con i moduli standard di presentazione della domanda di visto siano prese insieme con le decisioni relative ai dati da includere nel C-VIS. Onde prevenire eventuali abusi del sistema occorrerà inoltre tenere conto dei principi di proporzionalità e minimizzazione dei dati.

È essenziale che il processo decisionale in questo settore, il cui impatto sui diritti dell’individuo è notevole, non sia troppo riservato. Occorre garantire il controllo democratico per ciascuna delle pertinenti procedure, e le autorità di protezione dei dati devono essere in grado di svolgere effettivamente i compiti assegnati loro in questo settore.

Stando all’attuale proposta "gli Stati membri rilevano gli identificatori biometrici del richiedente comprendenti l’immagine del volto e le impronte delle dieci dita...". Come spiega la Commissione europea, ciò costituisce la base giuridica necessaria affinché gli Stati membri possano trattare gli identificatori biometrici obbligatori del richiedente.

Viste le conseguenze potenzialmente pericolose per gli interessati, è opportuno che l’uso di dati biometrici ai fini dell’identificazione sia limitato e che questi dati siano inclusi nel VIS, in conformità degli obiettivi del sistema, solo se assolutamente necessario e nel rispetto dei principi e delle garanzie applicabili. Ciò è quanto mai importante nel caso dei gruppi particolarmente a rischio, come i minori e gli anziani.

Per esigenze di chiarezza e trasparenza, nel regolamento VIS dovrebbero figurare i principi e le condizioni generali applicabili all’obbligo di rilevare impronte digitali, e la proposta di regolamento dovrebbe piuttosto provvedere a definire le modalità per l’applicazione di questi principi e a specificare gli aspetti pratici del trattamento dei dati biometrici.

Come si è già detto, la proposta di regolamento contiene una serie di modifiche della versione consolidata dell’ICC dirette a legittimare la procedura di acquisizione dei dati biometrici (impronte digitali e immagine del volto) dei richiedenti il visto. Tale procedura deve svolgersi presso gli uffici consolari e diplomatici fuori dei paesi che partecipano al sistema. Una volta approvata, la proposta dovrà inserirsi nel contesto delle disposizioni vigenti rispetto all’ICC, destinate principalmente agli "operatori" e considerate il riferimento normativo cui attenersi per le azioni da attuare.

Lo strumento giuridico è indiscutibilmente, come per il VIS, il regolamento che, in quanto tale, è soggetto alla procedura di codecisione con il Parlamento europeo. Il Gruppo nutre tuttavia riserve quanto alla possibilità di considerarlo alla stregua di un corpo di istruzioni meramente amministrative.

Per ragioni di chiarezza e trasparenza e vista la convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali e la giurisprudenza della Corte europea dei diritti dell’uomo sull’articolo 8 della convenzione, il Gruppo ritiene che qualunque ingerenza nella vita privata debba essere adeguatamente motivata e prevista in modo chiaro e generalmente comprensibile — posto che la proposta di regolamento introduce norme vincolanti che pongono restrizioni all’esercizio di certi diritti.

Pertanto, il regolamento VIS dovrebbe contemplare direttamente tutte le disposizioni relative alla qualità dei dati, alla proporzionalità delle misure e alle garanzie individuali. Ciò vale in particolare per le disposizioni sulle categorie di dati personali da includere nel C-VIS e le categorie di persone soggette all’obbligo di fornire le impronte digitali o esenti da tale obbligo, l’età massima e minima dei richiedenti il visto, le specifiche procedure di ripiego, l’identità usurpata e l’identificazione inesatta a causa di errore tecnologico, la conservazione dei dati, e le garanzie per i soggetti che non sono in grado di ottemperare all’obbligo di fornire le impronte digitali.

Le impronte digitali devono essere inoltre rilevate in modo trasparente e l’interessato deve ricevere tutte le informazioni necessarie per l'esercizio del diritto di accesso.

Il Gruppo desidera richiamare l’attenzione sulla necessità di creare strutture solide e sicure per il ricevimento delle domande e il rilevamento degli identificatori biometrici.

Ciò è quanto mai importante nelle ipotesi, contemplate dalla proposta, della coubicazione o altrimenti della cooperazione con fornitori esterni di servizi (esternalizzazione). In ogni caso, occorre garantire la qualità dell’identificazione di chiunque si presenti in un ufficio consolare prima ancora di procedere alla raccolta delle impronte digitali e di confrontarle ai suoi dati identificativi.

A questo riguardo andrebbe evidenziato che l’articolo 1, paragrafo 1, fa soltanto un generico riferimento al "rispetto delle norme applicabili in materia di protezione dei dati e di sicurezza", laddove è invece essenziale che le circostanze del rilevamento garantiscano un’affidabilità assoluta.

È opportuno prendere in considerazione le possibili conseguenze di un’associazione erronea dei dati di identificazione e delle impronte nel rilevare le impronte digitali — la qual cosa potrebbe essere fatta di proposito se un soggetto cui siano state rilevate le impronte non comunica altrimenti la propria vera identità. In questi casi, infatti, l’identità usurpata sarebbe associata in modo permanente alle impronte digitali in questione.

Pertanto, è fondamentale che le operazioni di cui sopra siano affidate esclusivamente a personale adeguatamente formato e del tutto affidabile, in ogni caso sotto il controllo e la responsabilità del personale diplomatico dello Stato membro che riceve la domanda di visto.

L’età al di sotto della quale non sussiste l’obbligo di fornire le impronte digitali è fissata a 6 anni, mentre non è contemplato un limite di età per gli anziani. Queste importanti disposizioni figurano nella proposta ICC che le tratta da un punto di vista meramente tecnico mentre dovrebbero costituire la base di un dibattito politico più ampio. Il riferimento alla convenzione sui diritti del fanciullo deve costituire la condizione preliminare per valutare il rispetto della dignità dei minori nell’assolvere l'obbligo citato — in altri termini, non andrebbe considerato una norma di riferimento meramente amministrativa della procedura di rilevamento.

Il Gruppo è dell’idea che — per rispetto della dignità umana e perché la procedura sia affidabile — sarebbe opportuno limitare, per i minori e gli anziani, il rilevamento e il trattamento delle impronte digitali e stabilire limiti d’età che siano coerenti con i limiti introdotti per altre grandi banche dati dell’Unione (Eurodac, per esempio).

La letteratura scientifica non fornisce nessun elemento decisivo che dimostri un'affidabilità sufficiente della tecnologia di rilevamento delle impronte digitali nel caso dei bambini o degli anziani, e di ciò occorre tenere conto.

Bisognerebbe inoltre stabilire il margine d’errore garantito dal fabbricante per quanto riguarda le impronte digitali conservate nel sistema (per 5 anni) e i controlli (hit/no hit) da svolgere in quei 5 anni (o in 48 mesi). Ciò vale, in particolare, per i bambini al di sotto di una certa età e per altri soggetti con malattie specifiche e/o degenerative, poiché in questi casi la probabilità di riscontri errati aumenta con il tempo. In questi casi andrebbero specificate anche le procedure a garanzia del rispetto della dignità umana e delle libertà fondamentali.

In mancanza di studi probanti sull’argomento e della certificazione esplicita di stabilità e di qualità rilasciata dai fabbricanti, che garantisca una corrispondenza affidabile con i dati C-VIS delle impronte digitali dei bambini al di sotto e/o degli anziani al di sopra di una certa età, il Gruppo ritiene che non si giustifichi l’introduzione di nuovi e diversi limiti d’età per l’esenzione dall’obbligo di rilasciare impronte digitali, che tale introduzione violi la dignità dell’interessato e non sia necessario in considerazione del rischio limitato associato alle categorie di cui sopra e delle finalità per cui è stato istituito il VIS.

Poiché la proposta dispone il rilevamento delle impronte delle 10 dita del richiedente, condizione che garantisce indiscutibilmente un’alta qualità in termini di identificazione, merita ricordare che, stando al criterio vigente per quanto riguarda l’introduzione delle impronte digitali in Eurodac, Eurodac conserva soltanto le impronte digitali di persone che abbiano non meno di 14 e non più di 80 anni.

La fragilità delle impronte digitali fa sì che il loro rilevamento andrebbe di preferenza finalizzato esclusivamente alla verifica dell’identità della persona, fatta salva la possibilità di raccogliere tali dati (nel rispetto dei meccanismi e delle garanzie previste dal diritto nazionale) se necessario, per esempio per evitare eventuali usurpazioni di identità. In particolare, non possono essere usate a fini di identificazione le impronte di bambini di età inferiore ai 14 anni, e di conseguenza non deve essere autorizzato l’accesso ai dati forniti ai fini dell’identificazione a norma dell’articolo 17 della proposta di regolamento VIS, e di ciò deve essere fatta esplicita menzione.

Un altro punto fondamentale è determinare le categorie di persone esenti dall'obbligo di fornire impronte digitali e le rispettive disposizioni giuridiche.

Come si legge sia nella relazione del Parlamento europeo del 2005 che nel parere del GEPD in relazione ai casi in cui rilevare le impronte del richiedente sia fisicamente impossibile, da diversi studi emerge che, secondo stime, fino al 5% della popolazione non è in grado di rilasciare le proprie impronte (queste possono non essere leggibili oppure la persona può avere subito un handicap che rende il rilevamento impraticabile). Ciò significa che, su una previsione annua di circa 20 milioni di richiedenti il visto, ben 1 milione di questi non saranno in grado di prestarsi al normale processo di rilevamento.

Il Gruppo ritiene che una percentuale così ampia della popolazione meriti la dovuta attenzione. Ritiene inoltre che tali soggetti non debbano essere vittime di un sistema tecnicamente carente né essere stigmatizzati a causa dell’illeggibilità delle loro impronte, e correre così il rischio di vedersi rifiutare il visto.

Come procedura di ripiego appropriata, dovrebbe poter bastare la raccolta dei cognomi, dei cognomi alla nascita (cognomi usati in precedenza) e dei nomi di queste persone, insieme a informazioni quali il sesso, la data, il luogo e il paese di nascita. Di conseguenza, bisognerebbe aggiungere disposizioni ad hoc, preferibilmente al regolamento VIS, come già evidenziato.

Il Gruppo propone che siano fornite statistiche specifiche sui rifiuti opposti dal VIS causa l’impossibile rilevamento, e che sia fatto un raffronto tra il loro numero e quello dei visti rifiutati per altri motivi. A tale scopo la Commissione potrebbe presentare un rapporto ogni due anni.

La proposta ICC deve rispettare i requisiti della direttiva UE sulla protezione dei dati (95/46/CE), fra cui la trasparenza, il controllo e la valutazione.

La proposta ICC e il regolamento VIS contengono disposizioni specifiche.

Il considerando 14 della proposta recita: "È opportuno che la Commissione presenti una relazione sull’attuazione del presente regolamento due anni dopo la sua entrata in vigore, che riferisca circa il rilevamento degli identificatori biometrici, il principio della "prima domanda" e l’organizzazione del ricevimento e del trattamento delle domande di visto."

La citata disposizione sembrerebbe chiedere una valutazione meramente tecnica quando invece l’attuale proposta di regolamento VIS prevede (all’articolo 34) che le autorità di controllo nazionali "si assistono reciprocamente nello svolgimento di revisioni e ispezioni, esaminano difficoltà di interpretazione o applicazione del presente regolamento, (....) elaborano proposte armonizzate per soluzioni congiunte di eventuali problemi e promuovono la sensibilizzazione in materia di diritti alla protezione dei dati" nell’esercizio delle loro funzioni di controllo, insieme con il garante europeo della protezione dei dati (articolo 35 bis).

Di conseguenza, il Gruppo richiama l’attenzione sulla necessità di coerenza e propone, in ogni caso, che sia aggiunta alla proposta ICC la seguente formulazione:

- Considerando 14bis: il controllo, la sorveglianza e la valutazione della raccolta di identificatori biometrici devono svolgersi in conformità degli articoli 34 e 35bis del regolamento VIS sulle attività di controllo delle autorità nazionali e europee per la protezione dei dati.

- Articolo 1, paragrafo 2, punto 1.2, lettera a): alla fine del paragrafo andrebbe inserito un riferimento al ruolo svolto dalle autorità di controllo nazionali conformemente all'articolo 28 della direttiva CE e all'articolo 34 del regolamento VIS, che assicurano congiuntamente con il GEPD il controllo coordinato della liceità del trattamento dei dati personali in relazione alla raccolta e all’uso degli identificatori biometrici mediante revisioni e ispezioni e valutando eventuali problemi connessi all’esercizio dei diritti dell’interessato e dei diritti alla protezione dei dati.

Il Gruppo ribadisce la necessità di definire chiaramente il quadro normativo applicabile al ricevimento e al trattamento delle domande di visto, specie quando sono in gioco i dati biometrici. È inoltre opportuno che siano pienamente osservati i principi della direttiva 95/46/CE in rapporto alla responsabilità del trattamento, soprattutto quando l’obiettivo è la cooperazione fra Stati oppure quando tali attività sensibili sono affidate a soggetti privati stabiliti nei paesi terzi.

L’articolo 23 del regolamento VIS stabilisce al paragrafo 2 che "i dati sono trattati dal VIS a nome degli Stati membri", e al paragrafo 3 che "ciascuno Stato membro designa l’autorità che dev’essere considerata quale la propria autorità di controllo conformemente all’articolo 2, lettera d), della direttiva 95/46/CE." Secondo l’attuale proposta ICC "ciascuno Stato membro è responsabile dell’organizzazione del ricevimento e del trattamento delle domande di visto." In questo modo, l’attuale proposta mira a costituire un quadro giuridico — per attività che nella pratica sono già parzialmente eseguite — per l'organizzazione degli uffici consolari degli Stati membri al fine di attuare il sistema di informazione visti.

Sono contemplate tre possibilità: la coubicazione, i centri comuni per la presentazione delle domande e la cooperazione con fornitori esterni di servizi. Il Gruppo intende fornire indicazioni, specie in relazione alle ultime due opzioni.

Il Gruppo condivide in tutto la posizione del GEPD che ha espresso parere contrario alla possibilità di esternalizzare il trattamento a fornitori esterni di servizi e ha stabilito un numero limitato di opzioni accettabili.

La cooperazione con i fornitori esterni dovrebbe costituire l'estrema ratio, giustificata dall’organizzazione delle rappresentanze diplomatiche, ma sarebbe troppo rischiosa se mancasse la protezione derivante dallo status di sede diplomatica e non fosse integralmente posta sotto la responsabilità dello Stato membro richiedente.

Urge chiarire chi funga da responsabile del trattamento e quali siano gli obblighi giuridici a carico del fornitore esterno — nella misura in cui questi è incaricato del trattamento ed è stabilito in un paese terzo. Devono essere introdotte garanzie specifiche in relazione all’identificazione dei richiedenti e al rilevamento delle impronte digitali, operazioni che possono essere effettuate soltanto da personale debitamente qualificato delle autorità competenti per il rilascio del visto.

A questo scopo dovrebbe sussistere il divieto assoluto per il fornitore di servizi di copiare, scaricare, memorizzare o altrimenti conservare i dati raccolti. Inoltre, dovrebbero essere stabilite le modalità per la restituzione dei dati raccolti, in formato cartaceo, alle rispettive autorità.

La proposta di modifica dell’ICC dovrebbe quindi contemplare i diritti opponibili ai fornitori esterni dal richiedente il visto, e comprendere disposizioni sulle informazioni che quei fornitori e le autorità consolari devono fornire al richiedente.

Dovrebbe infine essere stabilito un registro delle domande presentate da ciascun fornitore esterno, in modo da valutare su basi oggettive l’affidabilità dei servizi prestati.

Una volta di più, servono procedure chiare che identifichino il responsabile del trattamento, garantiscano che i dati, una volta raccolti, non permangano nel centro ma siano immediatamente restituiti alle autorità nazionali competenti, rafforzino il processo di rilevamento e identificazione dei richiedenti il visto — in modo da garantire che alle impronte siano associati i giusti dati identificativi, prevedano garanzie effettive nei casi in cui debbano essere decisi dei provvedimenti, e permettano al richiedente la cui identità sia stata usurpata di ottenere la pronta rettifica e modifica tanto dei suoi dati che della corrispondenza fra i suoi dati alfanumerici e biometrici.

Dovrebbero inoltre essere disposte appropriate misure di sicurezza per prevenire l’accesso non autorizzato, la copia e altro trattamento illecito dei dati.

Il Gruppo richiama l’attenzione sulle seguenti raccomandazioni:

Il Gruppo è certo che le considerazioni esposte nel presente parere saranno tenute in debito conto e che saranno integrate nel processo legislativo affinché siano poste in essere le garanzie citate prima che siano adottati gli atti in questione.

Sarebbe opportuna un’adeguata campagna d’informazione per sensibilizzare l’opinione pubblica su queste tematiche. Il Gruppo è pronto a dare il proprio contributo nei modi giudicati più idonei.

Fatto a Bruxelles, il 1° marzo 2007

Il presidente

Peter SCHAAR