Fra il 10 e l’11 agosto 2026 il Garante europeo della protezione dei dati ha adottato quattro pareri sul pacchetto legislativo che la Commissione europea ha presentato il 24 giugno 2026 per rafforzare Europol ed Eurojust e per rivedere la raccolta transfrontaliera delle prove. I comunicati sono usciti fra il 12 e il 14 agosto, in piena pausa estiva, e ripetono quattro volte lo stesso rilievo: l’ampliamento dei poteri di trattamento non è accompagnato da un rafforzamento corrispondente della vigilanza e dell’esecuzione. Il passaggio più netto riguarda Europol, che in base alla proposta potrebbe trattare dati personali di persone prive di collegamenti accertati con indagini o procedimenti penali per un periodo esteso e non specificato. Su questo punto il Garante europeo scrive che la proposta, nella sua forma attuale, non offre né le garanzie né i meccanismi di controllo necessari.
Che cosa ha proposto la Commissione il 24 giugno
Il pacchetto interviene su quattro fronti. Due regolamenti sostituiscono integralmente le basi giuridiche delle due agenzie, il regolamento (UE) 2016/794 su Europol e il regolamento (UE) 2018/1727 su Eurojust. Una revisione mirata modifica il regolamento (UE) 2018/1725, cioè le regole sul trattamento dei dati personali da parte delle istituzioni e degli organi dell’Unione, per la parte che riguarda i dati operativi trattati dagli organismi attivi nella cooperazione giudiziaria e di polizia in materia penale. Una direttiva rifonde infine la disciplina dell’ordine europeo di indagine penale e introduce un nuovo ordine europeo di partecipazione a distanza, che consentirebbe a indagati, imputati e vittime di partecipare a distanza alle udienze penali da un altro Stato membro.
Sul versante operativo la Commissione indica per Europol la condivisione automatizzata e più rapida delle informazioni, la costituzione di uffici di supporto composti da ex funzionari dell’agenzia, la creazione di un polo per la tecnologia e l’innovazione che restituisca un quadro delle esigenze di capacità delle autorità di contrasto in tutta l’Unione, e una cooperazione più stretta con Eurojust e con la Procura europea. Per Eurojust prevede la possibilità di agire di propria iniziativa per individuare collegamenti fra i casi e l’estensione del mandato ad aree di criminalità emergenti come la criminalità informatica, la violenza di genere e la violazione delle misure restrittive dell’Unione. È un’espansione di compiti che si traduce, prima di tutto, in un aumento del volume e della complessità dei trattamenti di dati personali.
Europol e i dati di chi non è collegato a un’indagine
Il parere 18/2026 è il più severo dei quattro. Il Garante europeo riconosce che l’Unione e gli Stati membri affrontano forme di criminalità transfrontaliera sempre più complesse e tecnologicamente sofisticate, e sostiene l’obiettivo di rafforzare il ruolo di Europol. Ritiene però che la proposta introduca operazioni di trattamento nuove e più complesse, riferite a categorie ulteriori di dati e di interessati, fra cui persone che non hanno alcun legame accertato con indagini o procedimenti penali. Nel comunicato che accompagna il parere Wojciech Wiewiórowski afferma che le minacce moderne alla sicurezza richiedono risposte sofisticate, ma che i diritti fondamentali non possono essere sacrificati alla ricerca della sicurezza, e che la proposta deve prevedere garanzie solide e una vigilanza effettiva.
La preoccupazione non riguarda tanto la categoria dei dati quanto la combinazione fra l’assenza di un collegamento con un’indagine e l’assenza di un limite temporale definito. Il Garante europeo chiede perciò una limitazione stringente della finalità e della conservazione, e soprattutto chiede che siano resi certi e prevedibili i criteri in base ai quali Europol deciderebbe se sia pertinente e necessario trattare i dati di una persona non collegata ad alcuna attività criminale. Attorno a questo nodo il parere formula rilievi sulle regole di accesso e di interrogazione dei sistemi dell’agenzia, sul trattamento dei dati ottenuti direttamente da soggetti privati, sulla vigilanza relativa alle attività svolte dal personale di Europol negli Stati membri e sulla sicurezza dei servizi e degli strumenti dell’agenzia. È una questione di perimetro prima ancora che di sicurezza informatica, e ricorda per struttura il dibattito sulla soglia oltre la quale un dato smette di essere personale: anche lì il punto controverso non era la sensibilità dell’informazione, ma la latitudine del criterio con cui si decide che cosa si può trattare.
Eurojust, dove l’impianto convince e i dettagli no
Il parere 19/2026 ha un tono diverso. Il Garante europeo accoglie con favore la razionalizzazione delle regole sui dati operativi dell’agenzia, che a suo giudizio elimina frammentazione e duplicazioni e produce chiarezza. Approva in particolare il mantenimento del principio secondo cui il trattamento automatizzato dei dati operativi deve avvenire all’interno dell’ambiente integrato del sistema di gestione dei casi, salvo eccezioni limitate, e l’obbligo che la comunicazione fra le autorità nazionali competenti ed Eurojust continui a passare in via principale attraverso una rete di sistemi informatici e punti di accesso interoperabili e-CODEX, il canale sicuro dell’Unione per le comunicazioni giudiziarie transfrontaliere. Valuta positivamente anche le garanzie mantenute nel capo IV della proposta, fra cui la definizione delle categorie di dati e limiti di conservazione stringenti.
Le raccomandazioni riguardano allora l’attuazione. Il Garante europeo si sofferma sul sistema di gestione dei casi, sulla possibilità per Eurojust di effettuare controlli incrociati con banche dati pertinenti, sulla determinazione dei ruoli e delle responsabilità nel trattamento, sul funzionamento del meccanismo di riscontro positivo o negativo che consente ad altri organi dell’Unione un accesso indiretto alle informazioni detenute dall’agenzia, sulla sicurezza delle informazioni e sui trasferimenti di dati operativi verso paesi terzi. Chiude con un profilo che vale anche per Europol, quello della validità degli accordi di cooperazione e delle intese operative concluse sotto la decisione 2002/187/GAI o sotto il regolamento del 2018.
Il regolamento 2018/1725 e il nodo dell’esecuzione
Il parere 17/2026 affronta la revisione del regolamento (UE) 2018/1725 per i dati operativi trattati dagli organismi dell’Unione attivi nella giustizia e negli affari interni, quindi Europol, Eurojust, la Procura europea e, in misura limitata, Frontex. Nel comunicato il Garante europeo ricorda di avere chiesto a lungo un quadro coerente ed efficace per queste agenzie e dichiara di accogliere con favore l’obiettivo della proposta, ma aggiunge che l’obiettivo si raggiunge solo con una vigilanza e un’esecuzione effettiva, e che l’occasione non dovrebbe essere persa.
Le raccomandazioni sono le più concrete dell’intero pacchetto perché toccano i poteri dell’autorità. Il Garante europeo chiede che sia chiarito il proprio potere di adottare ordini vincolanti di conformità quando si verifica una violazione e che siano rese possibili misure provvisorie di protezione nei casi urgenti. Chiede inoltre di semplificare la cooperazione con le autorità nazionali di controllo e di verificare che gli accordi di cooperazione ereditati, quelli che consentono a Europol e a Eurojust di scambiare dati operativi con paesi terzi, siano pienamente allineati al diritto vigente dell’Unione in materia di protezione dei dati. È lo stesso problema di architettura che l’EDPB aveva sollevato in luglio quando ha chiesto una base giuridica per lo scambio di informazioni fra regolatori: senza una regola espressa che dica chi può fare che cosa, la cooperazione fra autorità resta una buona intenzione.
Il quarto parere e la rifusione dell’ordine europeo di indagine
Completa il quadro il parere 16/2026 del 10 agosto, sulla direttiva relativa all’ordine europeo di indagine penale e all’ordine europeo di partecipazione a distanza. La scelta di trattare separatamente i quattro atti riflette la loro diversa natura, ma l’effetto complessivo è unitario: il pacchetto ridisegna in una sola volta chi raccoglie le prove all’estero, chi le mette in comune e sotto quali regole di protezione dei dati. Per chi assiste imprese o persone coinvolte in procedimenti transfrontalieri il punto di attenzione è proprio questo, perché una modifica dei canali di raccolta e di scambio incide sulle facoltà difensive prima ancora che sulla conformità.
Chi vigila, e con quali mezzi
In tutti e quattro i pareri il Garante europeo sottolinea la necessità di risorse umane e finanziarie aggiuntive per la propria struttura, in misura corrispondente all’espansione sostanziale dei compiti e delle capacità di trattamento delle agenzie. La richiesta non è di stile. Un’autorità che chiede il potere di emettere ordini vincolanti e misure provvisorie sta chiedendo di poter intervenire su trattamenti che riguardano indagini in corso, e questo comporta competenze tecniche, capacità di verifica in loco e continuità nel tempo. Vale la pena aggiungere un dato che l’EDPS pubblica in calce ai propri comunicati: il mandato quinquennale di Wojciech Wiewiórowski è iniziato il 6 dicembre 2019 e la procedura di selezione per il mandato successivo è ancora in corso. L’autorità che chiede poteri più incisivi li chiede mentre attende di sapere chi la guiderà.
Sul piano procedurale i pareri restano atti consultivi. Il Garante europeo li adotta perché la Commissione è tenuta a chiedere il suo parere su ogni proposta legislativa con impatto sulla protezione dei dati personali, ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725. Non vincolano quindi il legislatore, cioè il Parlamento europeo e il Consiglio, che ora esamineranno le proposte. La loro efficacia dipende da quanto verranno recepiti nei testi di compromesso, ed è su quel passaggio che si misurerà se le garanzie richieste per i dati delle persone estranee alle indagini entreranno nell’articolato o resteranno nei considerando. Un problema simile di rango si era posto per la Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale, dove l’ampiezza degli impegni assunti dipende in larga parte dalle scelte di attuazione.
Resta quindi in capo al legislatore dell’Unione una scelta esplicita, quella fra scrivere nel regolamento i criteri che delimitano il trattamento dei dati di persone non collegate a un’indagine oppure rimetterne la definizione alla prassi delle agenzie. Restano in capo alle autorità nazionali di controllo gli oneri di una cooperazione che la stessa proposta non semplifica abbastanza. Per gli operatori il calendario utile non è quello dell’entrata in vigore, che è lontana, ma quello dell’esame parlamentare: è lì che le raccomandazioni del Garante europeo diventano emendamenti oppure no, e nel frattempo conviene verificare quali flussi di dati verso Europol ed Eurojust già oggi passano dai propri sistemi e con quale base giuridica.
