Nell’ambito degli specifici obblighi di vigilanza previsti dall’art. 41 del regolamento (CE) n. 767/2008 – in base al quale le autorità di controllo nazionali esercitano autonomamente i poteri di verifica sulla legittimità del trattamento dei dati personali registrati nel Sistema informativo visti, Visa Information System (VIS; art. 41, par. 1) e svolgono, almeno ogni quattro anni, un’attività di controllo sulle operazioni di trattamento dei dati del sistema nazionale –, il Garante, in qualità di autorità competente per la supervisione nazionale del Sistema informativo Schengen II e di Sistema informativo visti, ha concluso nel 2018 il ciclo di controlli avviati nel 2016.

Tale attività, come riferito nella precedente Relazione (p. 80), era stata oggetto di una specifica raccomandazione all’esito della valutazione Schengen (Sche-Eval), conclusa nel 2016, relativa all’applicazione dell’Acquis di Schengen nel settore della protezione dei dati personali da parte dell’Italia, effettuata dal gruppo di valutazione formato da esperti designati delle autorità di protezione dati dei Paesi Schengen e coordinato da rappresentanti della Commissione europea che ha redatto il previsto rapporto secondo la procedura prevista dal regolamento (UE) 1053/2013.

L’attività di verifica ha riguardato la legittimità del trattamento dei dati personali effettuati dal Ministero degli affari esteri e della cooperazione internazionale nelle procedure di rilascio dei visti e nel trasferimento dei dati nel Sistema di informazione visti (Visa Information System, VIS, istituito con la decisione del Consiglio dell’Unione Europea 2004/512/CE del 8 giugno 2004 e disciplinato dal regolamento (CE) n. 767/2008 e dalla decisione del Consiglio 2008/633/HA del 23 giugno 2008) finalizzato allo scambio dei dati relativi ai visti d’ingresso Schengen. La complessa attività di controllo ha compreso, tra l’altro, attività ispettive presso la sede del Ministero nonché presso una sede consolare all’estero, in occasione della quale è stata anche visitata una delle sedi operative di una società esterna che fornisce in outsourcing servizi per i visti (Esternal Services Provider, ESP), e un audit di tipo documentale − volto a verificare il rispetto dei requisiti di sicurezza indicati nelle normative tecniche ISO 27001:2013 e ISO 27002:2013 e delle impostazioni “privacy by design/by default” −, le cui risultanze hanno fornito lo spunto per ulteriori approfondimenti di natura tecnologica, organizzativa e procedurale come pure per l’individuazione di alcune aree di miglioramento.

Le attività ispettive hanno avuto ad oggetto il funzionamento del sistema nazionale N-Vis, del sistema L-Vis (in uso presso i consolati) e del cd. Visa-Out (l’interfaccia utilizzata dai fornitori esterni di servizi per l’inserimento dei dati dei richiedenti il visto), in relazione ai soggetti abilitati all’accesso a tali sistemi, alle modalità di accesso, consultazione e inserimento dei dati e ai termini di conservazione. Sono state esaminate le procedure di rilascio dei visti – la gestione telematica e cartacea delle pratiche – in relazione alle modalità di adempimento delle garanzie in materia di protezione dei dati personali (informativa, esercizio dei diritti), anche con riguardo alle fasi della procedura espletate presso gli sportelli dell’outsourcer. Le criticità rilevate hanno riguardato i tempi di conservazione dei dati in N-VIS, le modalità e i tempi di conservazione dei dati in Visa-Out, la disponibilità dei dati dei richiedenti i visti nei sistemi informativi dell’outsourcer, le modalità di consegna delle credenziali agli operatori dell’outsourcer, la gestione e analisi dei file di log degli accessi al N-VIS, L-VIS e Visa-Out, sia presso il Ministero che presso gli uffici visti.

All’esito del complesso di attività sopra descritte, in relazione ai profili di criticità rilevati, il Garante ha adottato un provvedimento con il quale sono state indicate una serie di misure da adottare per elevare le garanzie relative al trattamento dei dati relativi ai richiedenti il visto (provv. 19 luglio 2018, n. 425, doc. web n. 9040249).

Fonte: Autorità Garante - Relazione 2018