DNA, impronte, volti e targhe: come funziona il nuovo sistema europeo Prüm II

Dati biometrici, casellario e targhe: come funzionerà il nuovo scambio automatizzato europeo

DNA, impronte digitali, immagini del volto, informazioni provenienti dai casellari e dati di immatricolazione dei veicoli. L'Unione europea sta costruendo un sistema nel quale le autorità competenti possono consultare e confrontare più rapidamente determinate informazioni disponibili negli altri Stati, quando ricorrono le condizioni previste per la cooperazione di polizia.

La Gazzetta Ufficiale della Repubblica Italiana – 2ª Serie speciale “Unione Europea”, n. 61 del 6 agosto 2026 pubblica tre decisioni tecniche particolarmente importanti: le decisioni di esecuzione (UE) 2026/1064, 2026/1065 e 2026/1066. Nel fascicolo iniziano rispettivamente alle pagine 357, 378 e 385.

Le tre decisioni danno attuazione al Regolamento (UE) 2024/982, conosciuto come Prüm II, che disciplina la consultazione e lo scambio automatizzati di determinate categorie di dati nell'ambito della cooperazione transfrontaliera di polizia.

La parola chiave è automatizzato.

Non significa che un computer potrà autonomamente indagare sui cittadini o decidere chi è colpevole. Significa che determinate interrogazioni e confronti tra sistemi nazionali possono essere effettuati attraverso infrastrutture informatiche comuni e procedure tecniche standardizzate.

Le tre decisioni: tre tipi diversi di informazioni

La riforma può essere immaginata come tre grandi canali.

Decisione UE 2026/1064: riguarda i dati biometrici attraverso il router Prüm.

Decisione UE 2026/1065: riguarda la consultazione e lo scambio automatizzati attraverso EPRIS.

Decisione UE 2026/1066: riguarda i dati di immatricolazione dei veicoli attraverso EUCARIS.

Sono sistemi differenti, con procedure tecniche differenti, ma inseriti nello stesso progetto: rendere più efficace la cooperazione di polizia quando un'indagine supera i confini di un singolo Stato.

Primo sistema: DNA, impronte digitali e immagini del volto

La Decisione UE 2026/1064 stabilisce le norme tecniche per la consultazione e lo scambio automatizzati di dati biometrici attraverso il nuovo router Prüm.

Le categorie indicate dalla decisione comprendono:

profili DNA;

dati dattiloscopici, cioè principalmente impronte digitali;

immagini del volto.

Il termine dato biometrico indica, in questo contesto, informazioni legate a caratteristiche fisiche utilizzabili secondo le regole previste per effettuare confronti e identificazioni.

Una fotografia del volto e un'impronta digitale, naturalmente, non sono la stessa cosa. Proprio per questo la decisione stabilisce formati, identificativi e protocolli tecnici specifici.

Cos'è il router Prüm

Il router Prüm può essere immaginato come un grande snodo digitale europeo.

Non bisogna pensarlo semplicemente come un gigantesco archivio europeo nel quale vengono riversate indistintamente tutte le impronte digitali e tutti i DNA conservati dagli Stati.

La sua funzione fondamentale è permettere alle infrastrutture competenti di instradare le interrogazioni e i risultati secondo le regole del sistema Prüm II.

La Decisione 2026/1064 stabilisce proprio le specifiche necessarie affinché questo meccanismo possa funzionare con standard comuni. La progettazione e gestione tecnica del router coinvolge eu-LISA, l'agenzia europea competente per i grandi sistemi informatici nello spazio di libertà, sicurezza e giustizia.

Un esempio concreto: un'impronta trovata durante un'indagine

Immaginiamo che durante l'indagine su un grave reato in Italia venga recuperata un'impronta digitale.

L'investigatore non sa a chi appartenga.

L'informazione potrebbe però trovare una corrispondenza in dati disponibili presso un altro Stato partecipante.

Il sistema Prüm consente di rendere molto più rapido il confronto transfrontaliero rispetto a un modello nel quale gli investigatori debbano procedere soltanto attraverso richieste bilaterali tradizionali, magari senza sapere preventivamente quale Stato possieda un dato corrispondente.

Il computer aiuta quindi a trovare una possibile corrispondenza.

Questo è molto diverso dall'affermare:

“Il computer ha stabilito che quella persona ha commesso il reato”.

Una corrispondenza informatica costituisce un elemento investigativo da gestire secondo le procedure previste, non una sentenza di colpevolezza.

Il DNA: non significa necessariamente scambiarsi l'intero patrimonio genetico

Quando si parla di DNA è facile immaginare che venga trasmesso l'intero patrimonio genetico di una persona.

La disciplina Prüm riguarda invece profili DNA utilizzati per il confronto secondo specifiche tecniche.

Il sistema deve stabilire come vengono costruite le richieste, come vengono effettuati i confronti e come vengono restituiti i risultati.

Questa distinzione è importante anche per comprendere il principio di minimizzazione: per svolgere una determinata funzione investigativa non è necessario trasformare ogni interrogazione in una circolazione indiscriminata di tutte le informazioni disponibili su una persona.

Anche il volto entra nel sistema

Prüm II amplia il sistema anche alle immagini del volto.

La Decisione 2026/1064 stabilisce quindi specifiche tecniche armonizzate anche per questa categoria.

È probabilmente uno degli aspetti che più interesseranno il dibattito pubblico.

Un'immagine del volto può infatti essere utilizzata per cercare una possibile corrispondenza con dati disponibili attraverso i sistemi collegati, nelle condizioni previste dalla normativa.

Questo non significa che l'Unione europea abbia introdotto con queste tre decisioni un sistema generale di riconoscimento facciale permanente di tutti i cittadini nelle strade.

Le decisioni riguardano la cooperazione di polizia e le modalità tecniche di consultazione e scambio dei dati previsti da Prüm II.

Secondo sistema: EPRIS e gli estratti dei casellari

La Decisione UE 2026/1065 riguarda invece EPRIS.

La decisione pubblicata nella Gazzetta italiana lo descrive come il sistema attraverso il quale vengono disciplinate la consultazione e lo scambio automatizzati degli estratti del casellario giudiziale.

L'infrastruttura centrale di instradamento di EPRIS è gestita da Europol e funziona come intermediario tra gli indici nazionali collegati.

Qui compare un'altra distinzione fondamentale.

Non significa necessariamente costruire un unico “casellario europeo” nel quale tutte le informazioni nazionali vengano copiate integralmente.

Il modello utilizza indici nazionali e un'infrastruttura centrale che instrada interrogazioni e risultati.

Gli indici devono essere aggiornati almeno ogni 24 ore

La Decisione 2026/1065 contiene un dettaglio tecnico molto significativo: gli Stati membri devono aggiornare il proprio indice nazionale interessato almeno ogni 24 ore, attraverso una procedura completamente automatizzata.

Questo permette al sistema di lavorare con informazioni aggiornate.

Ogni estratto presente nell'indice è inoltre associato a un numero di riferimento dei dati, indicato con la sigla DRN, che serve a identificarlo in modo univoco.

È un po' come attribuire a ogni fascicolo un codice digitale permanente, in modo che i sistemi sappiano con precisione a quale elemento si riferisce un risultato.

EPRIS: sicurezza, cifratura e pseudonimizzazione

La protezione tecnica è uno dei punti più importanti della decisione.

La Commissione prevede che l'infrastruttura centrale di EPRIS garantisca, tra l'altro:

cifratura end-to-end;

pseudonimizzazione dei dati;

separazione rigorosa tra la funzione di instradamento e il contenuto delle informazioni.

Cifratura end-to-end significa che le informazioni vengono protette durante la comunicazione in modo che il contenuto non sia liberamente leggibile dagli intermediari non autorizzati.

La pseudonimizzazione consiste invece nel trattare i dati in modo che non possano essere attribuiti direttamente a una persona senza utilizzare informazioni aggiuntive mantenute separatamente secondo le regole previste.

Non equivale all'anonimizzazione: il collegamento con l'interessato può essere ricostruito quando esistono le condizioni e le informazioni necessarie.

Terzo sistema: targhe e dati dei veicoli

La Decisione UE 2026/1066 riguarda la consultazione e lo scambio automatizzati dei dati di immatricolazione dei veicoli.

In questo caso il sistema utilizzato è EUCARIS, il sistema europeo d'informazione sui veicoli e le patenti di guida.

Lo scopo indicato dalla normativa è la prevenzione, l'indagine e l'accertamento dei reati.

Il principio è intuitivo.

Un'automobile può attraversare una frontiera in poche ore.

Le informazioni necessarie per identificarne l'immatricolazione non possono quindi dipendere esclusivamente da procedure amministrative lente.

Un esempio: una targa straniera durante un'indagine italiana

Immaginiamo che una telecamera riprenda un veicolo con targa straniera utilizzato durante un reato commesso in Italia.

L'autorità italiana deve capire rapidamente a quale immatricolazione corrisponde quella targa e ottenere i dati consentiti dalla normativa.

Attraverso il sistema europeo previsto, l'interrogazione può essere effettuata elettronicamente nei confronti delle informazioni disponibili nello Stato competente.

La Decisione 2026/1066 stabilisce gli standard tecnici necessari affinché questo scambio sia interoperabile, affidabile e sottoposto a un livello uniforme di sicurezza.

Perché l'Europa automatizza questi controlli

Il problema è molto semplice: la criminalità può attraversare una frontiera molto più velocemente di una richiesta amministrativa tradizionale.

Un'automobile può passare dall'Italia all'Austria in poche ore.

Una persona può prendere un volo e trovarsi dall'altra parte d'Europa nello stesso giorno.

Un'indagine può contenere DNA o impronte appartenenti a una persona registrata dalle autorità di un altro Stato.

Se ogni controllo richiedesse una lunga sequenza di richieste manuali tra amministrazioni, la cooperazione transfrontaliera perderebbe efficacia.

Prüm II cerca quindi di trasformare alcune verifiche da procedimenti prevalentemente bilaterali e manuali in interrogazioni elettroniche standardizzate.

Automatizzato non significa accesso libero

È probabilmente il punto più importante per i cittadini.

La parola “automatizzato” potrebbe far pensare che qualunque agente europeo possa aprire un computer e consultare liberamente tutti i dati disponibili negli altri Paesi.

Non è questo il modello.

L'accesso deve avvenire nell'ambito delle finalità, delle autorità competenti e delle condizioni stabilite dal Regolamento Prüm II e dalla normativa applicabile.

Le tre decisioni del giugno 2026 sono soprattutto atti di esecuzione tecnica: definiscono come i sistemi devono comunicare, quali formati utilizzare, come identificare richieste e risultati e quali standard di sicurezza adottare.

Il computer può sbagliare?

Questo è un problema cruciale, soprattutto quando si parla di biometria.

Un sistema automatico può restituire una possibile corrispondenza.

Ma corrispondenza informatica e identificazione giudiziaria non sono sinonimi.

Pensiamo al riconoscimento del volto.

Due immagini possono essere molto diverse per illuminazione, angolazione, età della persona o qualità della fotografia. Per questo le specifiche tecniche, le soglie e le procedure di verifica sono fondamentali.

Lo stesso principio vale, con caratteristiche tecniche differenti, per impronte e DNA.

L'automazione serve a restringere rapidamente il campo di ricerca; non sostituisce da sola l'attività investigativa e le garanzie del procedimento penale.

Cosa cambia concretamente per il cittadino italiano

Nella vita quotidiana, probabilmente nulla di immediatamente visibile.

Non compare una nuova applicazione sul telefono.

Non cambia il modo in cui si rinnova la carta d'identità.

Non bisogna registrarsi su Prüm.

Il cambiamento avviene dietro le quinte, nei sistemi utilizzati dalle autorità.

La conseguenza potenziale è però significativa: quando un'indagine italiana presenta collegamenti con altri Paesi partecipanti, alcune verifiche potranno essere effettuate attraverso un'infrastruttura europea più standardizzata.

Cosa cambia per le forze di polizia

Per gli investigatori il beneficio atteso è soprattutto la velocità.

Pensiamo a tre casi.

Una traccia biologica trovata in Italia potrebbe corrispondere a un profilo disponibile in un altro Stato.

Una targa straniera potrebbe essere collegata rapidamente alle informazioni di immatricolazione disponibili nel Paese competente.

Un'indagine potrebbe richiedere una consultazione attraverso gli indici collegati a EPRIS.

Tre situazioni diverse, ma con lo stesso principio: ridurre la frammentazione informativa tra gli Stati europei.

Europol ed eu-LISA non hanno lo stesso ruolo

Le infrastrutture non sono tutte gestite dallo stesso soggetto.

Per il router Prüm, la Decisione 2026/1064 assegna un ruolo tecnico centrale a eu-LISA.

Per EPRIS, invece, l'infrastruttura centrale di instradamento è gestita da Europol.

Per i dati di immatricolazione viene utilizzato EUCARIS.

Questo è importante perché parlare genericamente di “un unico database europeo” sarebbe tecnicamente sbagliato.

Siamo davanti a un ecosistema di sistemi interoperabili, con architetture e responsabilità differenti.

E la privacy?

È inevitabilmente uno dei temi centrali.

DNA, impronte, immagini del volto e informazioni giudiziarie appartengono alle categorie di informazioni più delicate che una pubblica autorità possa trattare.

Per questo sicurezza informatica, tracciabilità degli accessi, limitazione delle finalità, qualità dei dati e protezione contro accessi non autorizzati sono elementi essenziali del sistema.

Nel caso EPRIS, per esempio, la Decisione 2026/1065 richiede esplicitamente cifratura end-to-end e pseudonimizzazione.

La sfida europea è quindi duplice: consentire alle autorità di trovare rapidamente informazioni necessarie a un'indagine e, contemporaneamente, evitare che l'efficienza tecnologica si trasformi in una circolazione indiscriminata dei dati personali.

Le decisioni sono già in vigore?

Le tre decisioni sono state pubblicate nella Gazzetta ufficiale dell'Unione europea il 10 giugno 2026.

Per le decisioni 2026/1064 e 2026/1065, EUR-Lex indica l'entrata in vigore il 30 giugno 2026, cioè il ventesimo giorno successivo alla pubblicazione.

Questo non significa necessariamente che da quella data ogni funzione di ogni sistema sia diventata simultaneamente operativa in tutti gli Stati: l'attuazione tecnica di Prüm II segue il quadro, le condizioni e le tempistiche previste dalla normativa europea.

FAQ – Domande frequenti

L'UE sta creando un unico database con DNA, volti, precedenti e targhe di tutti i cittadini?

No. Le decisioni riguardano infrastrutture differenti per consultazioni e scambi automatizzati. Il router Prüm, EPRIS ed EUCARIS hanno funzioni e architetture diverse. Descrivere il sistema semplicemente come un gigantesco database unico sarebbe fuorviante.

Quali dati biometrici possono essere confrontati attraverso Prüm?

La Decisione 2026/1064 disciplina tecnicamente profili DNA, dati dattiloscopici e immagini del volto.

Che cosa significa “dati dattiloscopici”?

Sono dati biometrici relativi principalmente alle impronte digitali, utilizzati per effettuare confronti secondo gli standard previsti.

Una corrispondenza automatica dimostra che una persona è colpevole?

No. Una corrispondenza può costituire un elemento investigativo. Non equivale a una sentenza e non sostituisce le verifiche previste dal procedimento.

Che cos'è EPRIS?

È l'infrastruttura utilizzata nel quadro Prüm II per la consultazione e lo scambio automatizzati degli estratti interessati. La sua infrastruttura centrale di instradamento è gestita da Europol.

Ogni quanto vengono aggiornati gli indici nazionali collegati a EPRIS?

La Decisione 2026/1065 stabilisce un aggiornamento almeno ogni 24 ore attraverso una procedura completamente automatizzata.

Come vengono controllate le targhe straniere?

La Decisione 2026/1066 disciplina le consultazioni automatizzate dei dati di immatricolazione attraverso EUCARIS.

Queste norme autorizzano il riconoscimento facciale indiscriminato per strada?

No. La Decisione 2026/1064 stabilisce le modalità tecniche dello scambio di immagini del volto previsto dal quadro Prüm II per la cooperazione di polizia. Non costituisce, da sola, un'autorizzazione generale alla sorveglianza indiscriminata.

Paragone semplice per capire il sistema

Immaginiamo 27 biblioteche.

Ognuna conserva i propri libri nei propri scaffali.

Nel vecchio sistema, per trovare un determinato volume bisognava spesso telefonare o scrivere alle altre biblioteche una alla volta.

Il nuovo sistema crea invece cataloghi e collegamenti digitali interoperabili.

La biblioteca italiana può formulare una ricerca secondo regole comuni e verificare molto più rapidamente se un'informazione corrispondente esiste presso un altro sistema collegato.

Ma questo non significa che tutte le biblioteche abbiano svuotato i propri scaffali per trasferire ogni libro in un unico enorme magazzino europeo.

È questa la differenza fondamentale tra centralizzare indiscriminatamente tutti i dati e rendere interoperabili sistemi che possono interrogarsi secondo regole comuni.

In sintesi: cosa cambia davvero

Le tre decisioni del giugno 2026 rappresentano soprattutto la costruzione tecnica della nuova cooperazione di polizia prevista da Prüm II.

Il router Prüm organizza il confronto automatizzato dei dati biometrici; EPRIS permette interrogazioni e scambi attraverso gli indici interessati; EUCARIS viene utilizzato per i dati di immatricolazione dei veicoli.

Per le autorità il vantaggio cercato dall'UE è la rapidità.

Per i cittadini il punto decisivo riguarda invece le garanzie: quando strumenti così potenti trattano DNA, impronte, immagini del volto e informazioni giudiziarie, sicurezza informatica, correttezza delle corrispondenze e protezione dei dati diventano importanti quanto la velocità delle indagini.