Il progetto europeo per rafforzare Europol incontra il richiamo del Garante europeo della protezione dei dati. Nell’Opinion 18/2026, pubblicata il 13 agosto 2026, l’autorità ha esaminato la proposta della Commissione europea per un nuovo regolamento dedicato all’agenzia. L’intervento allargherebbe sensibilmente la quantità e le categorie di informazioni personali trattate, includendo anche dati relativi a persone per le quali non è stato stabilito alcun collegamento con un’indagine penale.
Il nodo riguarda quindi l’equilibrio tra il potenziamento delle capacità investigative europee e la tutela di chi può entrare nei sistemi informativi pur senza avere legami criminali accertati. Il Garante europeo della protezione dei dati, noto anche come EDPS, ritiene insufficienti le garanzie previste per accompagnare questa espansione. L’avvertimento non contesta soltanto la quantità dei dati, ma richiama l’attenzione anche sulla loro varietà e sulla posizione delle persone coinvolte.
La proposta della Commissione europea punta a sostituire l’attuale base giuridica di Europol, costituita dal Regolamento (UE) 2016/794. Il nuovo impianto attribuirebbe all’agenzia un ruolo più ampio come polo europeo dell’informazione, delle operazioni e della tecnologia. L’obiettivo dichiarato è rispondere a forme di criminalità transfrontaliera divenute più complesse, mettendo Europol nelle condizioni di gestire una funzione più centrale a sostegno delle attività europee.
Il rafforzamento istituzionale avrebbe però un effetto diretto sul trattamento dei dati personali. Più funzioni informative, operative e tecnologiche comporterebbero infatti un aumento sostanziale del volume e della tipologia dei dati accessibili all’agenzia. Nel perimetro potrebbero rientrare informazioni riferite non soltanto a soggetti collegati a procedimenti, ma anche a individui senza un rapporto accertato con alcuna indagine criminale.
È su questa seconda categoria che si concentra il passaggio più delicato del parere. L’assenza di un legame stabilito con un’attività criminale non impedirebbe ai dati di una persona di essere trattati nell’infrastruttura informativa ampliata. La nozione di “innocenti”, usata nel dibattito pubblico, va dunque letta in senso preciso: persone per le quali non risulta accertato alcun collegamento investigativo, ma le cui informazioni potrebbero comunque entrare nel raggio operativo di Europol.
Per utenti e imprese, la questione si colloca nel punto di contatto tra protezione dei dati e cooperazione di sicurezza. Quando un organismo assume contemporaneamente funzioni informative, operative e tecnologiche, la definizione delle categorie di dati e dei soggetti interessati determina la portata concreta del sistema. L’allargamento descritto dall’EDPS richiede pertanto salvaguardie coerenti con una capacità di trattamento più estesa, soprattutto quando le informazioni riguardano persone estranee alle indagini.
Il parere del Garante accompagna così la riforma con una linea di cautela: l’aumento delle capacità di Europol non può essere separato dalla protezione riconosciuta alle persone prive di legami criminali accertati. Il confronto sul nuovo Regolamento Europol dovrà misurarsi con questa tensione tra risposta alla criminalità transfrontaliera e limiti al trattamento. La trasformazione dell’agenzia in un hub tecnologico europeo dipenderà anche dalla solidità delle garanzie inserite nel nuovo quadro giuridico.