(19)Il presente regolamento non fornisce una base giuridica per la costituzione o il mantenimento di banche dati a livello nazionale per la conservazione di dati biometrici negli Stati membri. Il presente regolamento, inoltre, non fornisce una base giuridica per la costituzione o il mantenimento di una banca dati centralizzata a livello dell'Unione. Come ricordato dal Garante europeo della protezione dei dati nel parere 21/2024, la costituzione o il mantenimento di banche dati a livello nazionale per la conservazione di dati biometrici negli Stati membri o, analogamente, la costituzione o il mantenimento di una banca dati centralizzata a livello dell'Unione, unitamente al potenziale utilizzo di tali dati per altri scopi, dovrebbe soddisfare una rigorosa verifica della necessità e della proporzionalità ai sensi della Carta, secondo l'interpretazione della pertinente giurisprudenza della Corte di giustizia.

(20)Le immagini dei volti conservate nel supporto di memorizzazione delle carte d'identità e dei titoli di soggiorno dovrebbero essere accessibili solo al personale debitamente autorizzato delle autorità nazionali competenti, delle agenzie dell'Unione e degli enti privati ai fini della verifica dell'autenticità del documento e dell'identità del titolare. Tale accesso dovrebbe essere conforme al diritto dell'Unione in materia di protezione dei dati. Le immagini dei volti non dovrebbero essere conservate più a lungo di quanto necessario per tali finalità, dovrebbero essere cancellate non appena tali finalità sono conseguite e non dovrebbero essere trasferite a paesi terzi o organizzazioni internazionali, a meno che ciò non sia consentito dal diritto dell'Unione in materia di protezione dei dati. Tali garanzie mirano ad assicurare un'adeguata protezione dell'immagine del volto senza vietarne l'utilizzo.

(23)Fatta salva la giurisprudenza della Corte di giustizia1 bis, gli Stati membri dovrebbero poter decidere se includere il genere di una persona in un documento contemplato dal presente regolamento. Se uno Stato membro include il genere di una persona in tale documento, dovrebbero essere utilizzate le specifiche "F", "M" o "X" di cui al documento ICAO 9303 o le corrispondenti singole iniziali utilizzate nella lingua o nelle lingue di tale Stato membro, a seconda dei casi.

(26)In caso di difficoltà nell'acquisizione degli identificatori biometrici, gli Stati membri dovrebbero assicurare che siano predisposte procedure appropriate per rispettare la dignità della persona interessata. Pertanto, è opportuno tenere conto di considerazioni specifiche relative al genere e alle esigenze specifiche dei minori e delle persone vulnerabili. Il personale qualificato dovrebbe ricevere una formazione sulle migliori pratiche per l'acquisizione degli identificatori biometrici dei minori e delle persone vulnerabili, mostrando sensibilità alle esigenze specifiche legate al genere e all'età nel rispetto della dignità di tutti gli individui.

(32)Gli Stati membri dovrebbero scambiarsi le informazioni necessarie per accedere alle informazioni contenute sul supporto di memorizzazione protetto nonché per autenticarle e verificarle. I formati utilizzati per il supporto di memorizzazione protetto dovrebbero essere interoperabili, anche per quanto riguarda i valichi di frontiera automatizzati. La Commissione dovrebbe promuovere la cooperazione tra gli Stati membri a sostegno di tali obiettivi.

(43)La Commissione dovrebbe riferire sull'applicazione del presente regolamento due anni dopo e 11 anni dopo la data di entrata in vigore, pronunciandosi anche sull'adeguatezza del livello di sicurezza, tenendo conto dell'impatto sui diritti fondamentali e sui principi in materia di protezione dei dati. In conformità dell'accordo interistituzionale "Legiferare meglio" del 13 aprile 20169, sei anni dopo la data di entrata in vigore del presente regolamento, e in seguito ogni sei anni, la Commissione dovrebbe effettuare una valutazione del presente regolamento, anche sulla base di informazioni raccolte tramite specifici dispositivi di monitoraggio, per valutare l'effettiva incidenza del presente regolamento e l'esigenza di ulteriori interventi. Ai fini del monitoraggio, gli Stati membri dovrebbero raccogliere statistiche sul numero di carte d'identità e titoli di soggiorno che hanno emesso.

_________________

9 GU L 123 del 12.5.2016, pag. 1, ELI: http://data.europa.eu/eli/agree_interinstit/2016/512/oj.

In deroga al primo comma, il numero del documento può essere inserito nella zona I e la designazione del genere di una persona è facoltativa. Se uno Stato membro include il genere di una persona in un documento contemplato dal presente regolamento, sono utilizzate le specifiche "F", "M" o "X" di cui al documento ICAO 9303 o le corrispondenti singole iniziali utilizzate nella lingua o nelle lingue ufficiali di tale Stato membro, a seconda dei casi.

5.Le carte d'identità hanno un supporto di memorizzazione altamente protetto che contiene un'immagine del volto del titolare e due impronte digitali in formato interoperativo digitale. Per il rilevamento di questi due tipi di identificatori biometrici, gli Stati membri applicano le prescrizioni tecniche stabilite dalla decisione di esecuzione C(2018) 7767 della Commissione12, quale modificata dalla decisione di esecuzione C(2021) 3726 della Commissione13.

_________________

12 Decisione di esecuzione C(2018) 7767 della Commissione, del 30 novembre 2018, che stabilisce le prescrizioni tecniche del modello uniforme di permesso di soggiorno rilasciato a cittadini di paesi terzi che modifica la decisione C(2002) 3069.

13 Decisione di esecuzione C(2021) 3726 della Commissione, del 4 giugno 2021, che modifica l'allegato III della decisione di esecuzione C(2018) 7767 per quanto riguarda l'elenco dei riferimenti normativi.

3.Gli identificatori biometrici memorizzati ai fini della personalizzazione delle carte d'identità o dei titoli di soggiorno sono conservati in modo altamente sicuro e solo fino alla data di ritiro del documento e, in ogni caso, non oltre 90 giorni dalla data di rilascio. Trascorso tale periodo, tali identificatori biometrici sono immediatamente cancellati o distrutti. Il trattamento di tali dati per altre finalità è soggetto alle limitazioni e alle condizioni previste dal diritto nazionale o dal diritto dell'Unione in materia di protezione dei dati.

4.La cooperazione con i fornitori esterni di servizi non esclude la responsabilità dello Stato membro che possa derivare dal diritto dell'Unione o nazionale in caso di violazione degli obblighi in materia di dati personali. Gli Stati membri provvedono affinché tutti i fornitori esterni rispettino il diritto dell'Unione e nazionale in materia di protezione dei dati, e sono adottate misure adeguate per prevenire qualsiasi accesso non autorizzato ai dati personali o qualsiasi uso improprio degli stessi durante i processi esternalizzati.

L'immagine del volto del titolare conservata nel supporto di memorizzazione delle carte d'identità e dei titoli di soggiorno può essere accessibile esclusivamente al personale debitamente autorizzato delle autorità nazionali competenti, delle agenzie dell'Unione e degli enti privati in conformità del diritto dell'Unione in materia di protezione dei dati allo scopo di verificare:

Le due impronte digitali del titolare conservate nel supporto di memorizzazione sono accessibili solo al personale debitamente autorizzato delle autorità nazionali competenti e delle agenzie dell'Unione per le finalità di cui al primo comma in conformità del diritto dell'Unione e nazionale in materia di protezione dei dati.

Relazione e valutazione

1.Non oltre [sei anni dopo l'entrata in vigore del presente regolamento], e successivamente ogni sei anni, la Commissione effettua una valutazione del presente regolamento e presenta al Parlamento europeo, al Consiglio e al Comitato economico e sociale europeo una relazione sulle sue principali conclusioni. La relazione verte in particolare: