prop · H90381 · 2021-12-16 00:00:00 — Om en överföring görs i enlighet med första stycket i denna punkt ska den dokumenteras och dokumentationen, inbegripet datum och tidpunkt för överföringen, information om mottagande behörig myndighet, skälen för överföringen samt överförda personuppgifter ska på begäran göras tillgänglig för den tillsynsmyndighet som inrättats i enlighet med artikel 41.1 i direktiv (EU) 2016/680. Villkor för överföring av uppgifter till en medlemsstat som ännu inte har tagit in- och utresesystemet i drift och till en medlemsstat som inte omfattas av denna förordning 1.De uppgifter som avses i artiklarna 16.1 a, b och c, 16.2 a och b, 16.3 a och b samt 17.1 a får endast överföras av en utsedd myndighet till en medlemsstat som ännu inte har tagit in- och utresesystemet i drift och till en medlemsstat som inte omfattas av denna förordning, i enskilda fall, om samtliga följande villkor är uppfyllda: a)Det rör sig om ett brådskande undantagsfall och det föreligger i)en överhängande fara som är kopplad till ett terroristbrott, eller ii)ett grovt brott. b)Uppgiftsöverföringen är nödvändig för att förebygga, förhindra, upptäcka eller utreda ett terroristbrott eller grovt brott. c)Den utsedda myndigheten har åtkomst till sådana uppgifter i enlighet med det förfarande och de villkor som anges i artiklarna 31 och 32. d)Direktiv (EU) 2016/680 är tillämpligt. e)En vederbörligen motiverad skriftlig eller elektronisk begäran har lämnats in. f)Det har säkerställts att den begärande medlemsstaten å sin sida kommer att tillhandahålla de medlemsstater som har tagit in- och utresesystemet i drift eventuell information som den har om in- och utreseposter. Om en överföring görs enligt första stycket i denna punkt ska den dokumenteras och dokumentationen, inbegripet datum och tidpunkt för överföringen, information om mottagande behörig myndighet, skälen för överföringen samt överförda personuppgifter ska på begäran göras tillgänglig för den tillsynsmyndighet som inrättats i enlighet med artikel 41.1 i direktiv (EU) 2016/680. 2.När uppgifter tillhandahålls i enlighet med denna artikel ska samma villkor som avses i artiklarna 43.1, 45.1, 45.3, 48och 58.4 gälla i tillämpliga delar. 1.Den ansvariga medlemsstaten ska säkerställa datasäkerheten före och under överföringen till det enhetliga nationella gränssnittet. Varje medlemsstat ska säkerställa datasäkerheten för de uppgifter som den mottar från in- och utrese systemet. 2.Varje medlemsstat ska med avseende på sin nationella gränsinfrastruktur vidta de åtgärder som är nödvändiga, däribland anta en säkerhetsplan, en driftskontinuitetsplan och en katastrofplan, för att a)fysiskt skydda uppgifter, bland annat genom att utarbeta beredskapsplaner för skydd av kritisk infrastruktur, b)förhindra att obehöriga får åtkomst till utrustning för uppgiftsbehandling eller får tillträde till nationella anläggningar vid vilka medlemsstaten bedriver verksamhet i överensstämmelse med ändamålen för in- och utresesystemet, c)hindra obehöriga från att läsa, kopiera, ändra eller avlägsna datamedier, Europeiska unionens officiella tidning L 327/59 d)hindra obehörigt införande av uppgifter och hindra obehöriga från att skaffa sig kännedom om, ändra eller radera lagrade personuppgifter, e)hindra obehöriga från att med hjälp av datakommunikationsutrustning använda automatiserade system för uppgifts behandling, f)hindra obehörig behandling av uppgifter i in- och utresesystemet och att uppgifter som behandlats i in- och utrese systemet obehörigt ändras eller raderas, g)säkerställa att personer som har åtkomstbehörighet till in- och utresesystemet endast har åtkomst till de uppgifter som omfattas av deras behörighet med hjälp av individuella, unika användaridentiteter och skyddade åtkomstmetoder, h)säkerställa att alla myndigheter med åtkomsträtt till in- och utresesystemet skapar profiler som beskriver arbets uppgifter och ansvar för personer som har behörighet att föra in, ändra, radera, inhämta och söka uppgifter samt ger tillsynsmyndigheterna åtkomst till dessa profiler, i)säkerställa att det finns möjlighet att kontrollera och fastställa till vilka organ personuppgifter får överföras via datakommunikationsutrustning, j)säkerställa att det finns möjlighet att kontrollera och fastställa vilka uppgifter som har behandlats i in- och utrese systemet, när detta har gjorts, av vem och i vilket syfte de har behandlats, k)hindra obehörig läsning, kopiering, ändring och radering av personuppgifter i samband med överföring av person uppgifter till eller från in- och utresesystemet eller under transport av datamedier, särskilt med hjälp av lämplig krypteringsteknik, l)säkerställa att installerade system i händelse av driftavbrott kan återställas till normal drift, m)säkerställa driftsäkerhet genom att se till att eventuella driftfel hos in- och utresesystemet rapporteras på korrekt sätt, n)övervaka att de säkerhetsåtgärder som avses i denna punkt är ändamålsenliga och vidta nödvändiga organisatoriska åtgärder i fråga om inre övervakning för att säkerställa att denna förordning efterlevs. 3.Med avseende på driften av in- och utresesystemet ska eu-LISA vidta de åtgärder som är nödvändiga för att uppnå de mål som anges i punkt 2 och bland annat anta en säkerhetsplan, en driftskontinuitetsplan och en katastrofplan. eu- ska också säkerställa driftsäkerhet genom att se till att nödvändiga tekniska åtgärder vidtas för att säkerställa att personuppgifter kan återställas om de skadas till följd av att in- och utresesystemet inte fungerar som det ska. 4.eu-LISA och medlemsstaterna ska samarbeta för att säkerställa att man har ett harmoniserat arbetssätt när det gäller datasäkerhet, med rutiner för säkerhetsriskhantering, som omfattar hela in- och utresesystemet. 1.Alla händelser som har eller kan ha inverkan på in- och utresesystemets säkerhet och som kan orsaka skada på eller förlust av uppgifter lagrade i in- och utresesystemet ska betraktas som säkerhetstillbud, särskilt om obehörig åtkomst till uppgifter kan ha inträffat eller uppgifters tillgänglighet, integritet och konfidentialitet har äventyrats eller kan ha även tyrats. 2.Säkerhetstillbud ska hanteras på ett sätt som säkerställer snabba, effektiva och välavvägda motåtgärder. 3.Utan att det påverkar anmälan av och information om personuppgiftsincidenter i enlighet med artikel 33 i för ordning (EU) 2016/679, artikel 30 i direktiv (EU) 2016/680 eller båda, ska medlemsstaterna underrätta kommissionen, eu-LISA och Europeiska datatillsynsmannen om säkerhetstillbud. Om ett säkerhetstillbud inträffar i in- och utresesyste mets centrala system ska eu-LISA underrätta kommissionen och Europeiska datatillsynsmannen. L 327/60 Europeiska unionens officiella tidning 4.Information om säkerhetstillbud som har eller kan ha inverkan på in- och utresesystemets drift eller på uppgifternas tillgänglighet, integritet och konfidentialitet ska tillhandahållas medlemsstaterna och rapporteras i enlighet med den incidenthanteringsplan som eu-LISA ska tillhandahålla. 5.De berörda medlemsstaterna och eu-LISA ska samarbeta om ett säkerhetstillbud inträffar. 1.Varje person eller medlemsstat som har lidit materiell eller immateriell skada till följd av en olaglig behandling eller någon annan åtgärd som är oförenlig med denna förordning har rätt till ersättning av den medlemsstat som är ansvarig för den uppkomna skadan. Den medlemsstaten ska helt eller delvis befrias från ansvar om den bevisar att den inte på något sätt är ansvarig för den händelse som orsakade skadan. 2.Om en medlemsstats underlåtenhet att fullgöra sina skyldigheter i enlighet med denna förordning skadar in- och utresesystemet, ska den medlemsstaten anses ansvarig för denna skada, såvida inte och i den mån eu-LISA eller en annan medlemsstat som deltar i in- och utresesystemet har underlåtit att vidta rimliga åtgärder för att förhindra skadan eller för att begränsa dess verkningar. 3.Skadeståndsanspråk mot en medlemsstat för sådan skada som avses i punkterna 1 och 2 ska regleras av svarande medlemsstatens nationella rätt. eu-LISA:s och medlemsstaternas loggning 1.eu-LISA ska föra logg över all uppgiftsbehandling som sker i in- och utresesystemet. Dessa loggar ska omfatta a) syftet med den åtkomst som avses i artikel 9.2, b) datum och tidpunkt, c) vilka uppgifter som har överförts i enlighet med vad som avses i artiklarna 16–19, d) vilka uppgifter som använts för sådana sökningar som avses i artiklarna 23–27, och e) namnet på den myndighet som fört in eller hämtat uppgifterna. 2.För de sökningar som anges i artikel 8 ska det i enlighet med den här artikeln och artikel 34 i förordning (EG) nr 767/2008 föras logg över all uppgiftsbehandling som sker i in- och utresesystemet och VIS. eu-LISA ska särskilt säker ställa att det förs relevanta loggar över den berörda uppgiftsbehandlingen när de behöriga myndigheterna inleder upp giftsbehandling direkt från det ena systemet till det andra. 3.Utöver punkterna 1 och 2 ska varje medlemsstat föra logg över den personal som är vederbörligen bemyndigad att behandla uppgifterna i in- och utresesystemet. 4.Loggarna får bara användas för övervakning av dataskydd, inbegripet kontroll av om en begäran är tillåten och om uppgifter har behandlats på ett lagligt sätt samt för att säkerställa datasäkerhet i enlighet med artikel 43. Loggarna ska på lämpligt sätt skyddas mot obehörig åtkomst och ska raderas från det att den lagringsperiod som avses i artikel 34 har löpt ut, såvida de inte behövs för ett övervakningsförfarande som redan inletts. Medlemsstaterna ska se till att varje myndighet som har åtkomsträtt till uppgifter i in- och utresesystemet vidtar de åtgärder som är nödvändiga för att följa denna förordning och vid behov samarbetar med tillsynsmyndigheterna. Europeiska unionens officiella tidning L 327/61 Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att säkerställa att effektiva, proportionella och avskräckande sanktioner enligt nationell rätt, artikel 84 i förordning (EU) 2016/679 och artikel 57 i direktiv (EU) 2016/680 kan utdömas om uppgifter som har förts in i in- och utresesystemet används i strid med den här förordningen. 1.Förordning (EG) nr 45/2001 ska vara tillämplig på eu-LISA:s behandling av personuppgifter på grundval av den här förordningen. 2.Förordning (EU) 2016/679 ska vara tillämplig på de nationella myndigheternas behandling av personuppgifter på grundval av den här förordningen, med undantag av behandling för de ändamål som avses i artikel 1.2 i den här förordningen. 3.Direktiv (EU) 2016/680 ska vara tillämpligt på medlemsstaternas utsedda myndigheters behandling av personupp gifter på grundval av den här förordningen för de ändamål som avses i artikel 1.2 i den här förordningen. 4.Förordning (EU) 2016/794 ska vara tillämplig på Europols behandling av personuppgifter på grundval av den här förordningen. RÄTTIGHETER OCH TILLSYN MED AVSEENDE PÅ DATASKYDD 1.Utan att det påverkar rätten till information enligt artikel 13 i förordning (EU) 2016/679 ska tredjelandsmedborgare vars uppgifter ska registreras i in- och utresesystemet underrättas om följande av den ansvariga medlemsstaten: a)Att medlemsstaterna och Europol kan få åtkomst till in- och utresesystemet för brottsbekämpande ändamål. b)Skyldigheten att lämna fingeravtryck för tredjelandsmedborgare som är undantagna från viseringskrav och för inne havare av ett FTD. c)Skyldigheten att låta registrera en ansiktsbild för alla tredjelandsmedborgare som ska registreras i in- och utrese systemet. d)Att insamling av uppgifterna är en förutsättning för prövning av huruvida villkoren för inresa är uppfyllda. e)Att tredjelandsmedborgare som vägrar att lämna de biometriska uppgifter som begärs för registrering, verifiering eller identifiering i in- och utresesystemet kommer att nekas inresa. f) Rätten att få information om den maximala återstående längden på den tillåtna vistelsen i enlighet med artikel 11.3. g)Att personuppgifter som lagras i in- och utresesystemet kan komma att överföras till ett tredjeland eller en interna tionell organisation som förtecknas i bilaga I för återvändandesyften, till ett tredjeland i enlighet med artikel 41.6 och till medlemsstater i enlighet med artikel 42. h)Rätten att av den registeransvarige begära tillgång till uppgifter som rör dem och begära att oriktiga uppgifter som rör dem rättas, att ofullständiga personuppgifter som rör dem kompletteras eller att olagligt behandlade personuppgifter som rör dem raderas eller att behandlingen av dem begränsas, samt rätten att få information om förfarandena för utövande av dessa rättigheter, inklusive kontaktuppgifter till den registeransvarige och tillsynsmyndigheterna eller, i tillämpliga fall, Europeiska datatillsynsmannen, som ska pröva klagomål som rör skydd av personuppgifter. i)Att åtkomst till uppgifter i in- och utresesystemet kommer att ges för gränsförvaltning och underlättande av gräns passage, och att överskridande av tillåten vistelsetid automatiskt leder till att tredjelandsmedborgarens uppgifter införs i den förteckning över identifierade personer som avses i artikel 12.3, samt om vilka konsekvenser överskridande av tillåten vistelsetid kan få. L 327/62 Europeiska unionens officiella tidning j)Den lagringsperiod som fastställts för in- och utreseposter, poster om nekad inresa och personakter i enlighet med artikel 34. k)Rätten för personer som överskridit den tillåtna vistelsetiden att få sina personuppgifter raderade från den förteckning över identifierade personer som avses i artikel 12.3 och få dem rättade i in- och utresesystemet, om de kan styrka att de överskridit den tillåtna vistelsetiden på grund av oförutsebara och allvarliga händelser. l)Rätten att inge klagomål till tillsynsmyndigheterna. 2.Den information som avses i punkt 1 i denna artikel ska tillhandahållas skriftligen på ett lämpligt sätt i koncis, klar och tydlig, begriplig och lättillgänglig form och ska göras tillgänglig, med användning av ett klart och tydligt språk, i en språklig version som den berörda personen förstår eller rimligen förväntas förstå för att säkerställa att tredjelandsmed borgare informeras om sina rättigheter när personakten upprättas i enlighet med artikel 16, 17 eller 18. 3.Kommissionen ska också skapa en webbplats med den information som avses i punkt 1. 4.Kommissionen ska anta genomförandeakter som utarbetar den information som avses i punkt 1 i den här artikeln. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 68.2. 5.Kommissionen ska tillhandahålla den information som avses i punkt 1 i den här artikeln i en mall. ska utformas på ett sådant sätt att medlemsstaterna kan komplettera den med ytterligare medlemsstatsspecifik information. Denna medlemsstatsspecifika information ska minst omfatta uppgifter om den registrerades rättigheter och möjligheten att få hjälp från tillsynsmyndigheter samt kontaktuppgifter till den registeransvarige och datastillsynsmannen och till synsmyndigheterna. Kommissionen ska anta genomförandeakter med avseende på de specifikationer och villkor för den webbplats som avses i punkt 3 i den här artikeln. Dessa genomförandeakter ska antas innan in- och utresesystemet tas i drift, i enlighet med det granskningsförfarande som avses i artikel 68.2. Kommissionen ska i samarbete med tillsynsmyndigheterna och Europeiska datatillsynsmannen i samband med att in- och utresesystemet tas i drift lansera en informationskampanj för att informera allmänheten, och särskilt tredjelandsmedbor gare, om målen för in- och utresesystemet, vilka uppgifter som lagras i in- och utresesystemet, vilka myndigheter som har åtkomst och den enskildes rättigheter. Sådana informationskampanjer ska genomföras med jämna mellanrum. Rätt till tillgång, rättelse, komplettering och radering samt begränsning av behandlingen av personuppgifter 1.Begäranden från tredjelandsmedborgare avseende de rättigheter som anges i artiklarna 15–18 i förordning (EU) 2016/679 får ställas till den behöriga myndigheten i valfri medlemsstat. Den ansvariga medlemsstaten eller den medlemsstat som begäran ställts till ska svara på denna från mottagandet. 2.Om en begäran om rättelse, komplettering, radering eller begränsning av behandlingen av personuppgifter ställs till en annan medlemsstat än den ansvariga medlemsstaten ska myndigheterna i den medlemsstat till vilken begäran ställts från mottagandet av begäran kontrollera om uppgifterna är korrekta och om de har behandlats på ett lagligt sätt i in- och utresesystemet, om en sådan kontroll kan göras utan samråd med den ansvariga medlemsstaten. I annat fall ska den andra medlemsstaten än den ansvariga medlemsstaten kontakta myndigheterna i den ansvariga medlemsstaten, och den ansvariga medlemsstaten ska från denna kontakt kontrollera om uppgifterna är korrekta och om de har behandlats på ett lagligt sätt. Europeiska unionens officiella tidning L 327/63 3.Om uppgifter som registrerats i in- och utresesystemet är oriktiga i sak, ofullständiga eller har registrerats på ett olagligt sätt ska den ansvariga medlemsstaten eller, i tillämpliga fall, den medlemsstat till vilken begäran ställts, rätta, kompletta eller radera personuppgifterna eller begränsa behandlingen av personuppgifter i enlighet med artikel 35. Den ansvariga medlemsstaten eller, i tillämpliga fall, den medlemsstat till vilken begäran ställts ska utan dröjsmål lämna skriftlig bekräftelse till den berörda personen på att den har vidtagit åtgärder för att rätta, komplettera eller radera den personens personuppgifter eller begränsa behandlingen av sådana personuppgifter. Om det framkommer att viseringsrelaterade uppgifter som registrerats i in- och utresesystemet är oriktiga i sak, ofull ständiga eller har registrerats på ett olagligt sätt ska den ansvariga medlemsstaten eller, i tillämpliga fall, den medlemsstat till vilken begäran ställts, först kontrollera med hjälp av VIS om uppgifterna är korrekta och om så krävs ändra dem i in- och utresesystemet. Skulle de uppgifter som registrerats i VIS vara desamma som i in- och utresesystemet ska den ansvariga medlemsstaten eller, i tillämpliga fall, den medlemsstat till vilken begäran ställts kontakta myndigheterna i den medlemsstat som är ansvarig för att föra in dessa uppgifter i VIS. Den medlemsstat som är ansvarig för att föra in uppgifterna i VIS ska från en sådan kontakt kontrollera om de viseringsrelaterade upp gifterna är korrekta och om de har behandlats på ett lagligt sätt i in- och utresesystemet samt informera den ansvariga medlemsstaten eller den medlemsstat till vilken begäran ställts, som om så krävs utan dröjsmål i in- och utresesystemet ska rätta eller komplettera den berörda personens personuppgifter eller begränsa behandlingen av dessa uppgifter i, eller utan dröjsmål radera dessa uppgifter från in- och utresesystemet och, i tillämpliga fall, från den förteckning över identifierade personer som avses i artikel 12.3. 4.Om den ansvariga medlemsstaten eller, i tillämpliga fall, den medlemsstat till vilken begäran ställts inte instämmer i att uppgifter som registrerats i in- och utresesystemet är oriktiga i sak, ofullständiga eller har registrerats på ett olagligt sätt ska medlemsstaten utan dröjsmål anta ett administrativt beslut med en skriftlig förklaring till den berörda tredje landsmedborgaren om varför den inte är beredd att rätta, komplettera eller radera de personuppgifter som rör honom eller henne eller begränsa behandlingen av dessa uppgifter. 5.Den medlemsstat som har antagit ett administrativt beslut i enlighet med punkt 4 i den här artikeln ska även tillhandahålla berörda tredjelandsmedborgare information som förklarar vilka åtgärder de kan vidta om de inte godtar förklaringen. Detta ska omfatta information om hur det går till att väcka talan vid domstol eller inge klagomål till behöriga myndigheter i den medlemsstaten och om vilket bistånd som finns tillgängligt i enlighet med den medlems statens förfaranden, lagar och andra författningar, bland annat från den tillsynsmyndighet som inrättats i enlighet med artikel 51.1 i förordning (EU) 2016/679. 6.En begäran som ställs i enlighet med punkterna 1 och 2 ska innehålla minsta mängd information som behövs för att den berörda tredjelandsmedborgaren ska kunna identifieras. Fingeravtryck får i detta syfte endast begäras i vederbör ligen motiverade fall då det finns betydande tvivel vad gäller den sökandes identitet. Denna information ska endast användas för att de rättigheter som avses i punkt 1 ska kunna utövas av tredjelandsmedborgare och ska raderas. 7.Om en person har ställt en begäran i enlighet med punkt 1 i den här artikeln ska den behöriga myndigheten i den ansvariga medlemsstaten eller i den medlemsstat till vilken begäran ställts spara dokumentation i form av en skriftlig handling där det anges att en sådan begäran ställts. Den handlingen ska innehålla information om hur begäran hanterades och av vilken myndighet. Den behöriga myndigheten ska göra denna handling tillgänglig för den tillsynsmyndighet som inrättats i enlighet med artikel 51.1 i förordning (EU) 2016/679. Samarbete för utövande av rättigheter avseende dataskydd 1.De behöriga myndigheterna i medlemsstaterna ska aktivt samarbeta för att se till att de rättigheter som anges i artikel 52 kan utövas. 2.I varje medlemsstat ska den tillsynsmyndighet som inrättats i enlighet med artikel 51.1 i förordning (EU) 2016/679 på begäran bistå och ge råd till registrerade personer om hur de kan utöva sin rätt att rätta, komplettera eller radera personuppgifter som rör dem eller begränsa behandlingen av dessa uppgifter i enlighet med förordning (EU) 2016/679. För att uppnå de mål som avses i första stycket ska tillsynsmyndigheten i den ansvariga medlemsstat som överförde uppgifterna och tillsynsmyndigheten i den medlemsstat till vilken begäran ställts samarbeta med varandra. L 327/64 Europeiska unionens officiella tidning 1.Utan att det påverkar tillämpningen av artiklarna 77 och 79 i förordning (EU) 2016/679 ska i varje medlemsstat var och en ha rätt att väcka talan eller inge klagomål till behöriga myndigheter eller domstolar i den medlemsstat som har vägrat vederbörande den rätt till tillgång eller den rätt att få uppgifter som rör honom eller henne rättade, kompletterade eller raderade som föreskrivs i artiklarna 52 och 53.2 i den här förordningen. Rätten att väcka en sådan talan eller inge klagomål ska också gälla i de fall där en begäran om tillgång, rättelse, komplettering eller radering inte besvarades inom de tidsfrister som anges i artikel 52 eller aldrig behandlades av den registeransvarige. 2.Biståndet från den tillsynsmyndighet som inrättats i enlighet med artikel 51.1 i förordning (EU) 2016/679 ska finnas tillgängligt under hela förfarandet. 1.Varje medlemsstat ska säkerställa att den tillsynsmyndighet som inrättats i enlighet med artikel 51.1 i förordning (EU) 2016/679 på ett oberoende sätt kontrollerar att den berörda medlemsstatens har behandlat de personuppgifter som avses i kapitlen II, III, V och VI i den här förordningen, inbegripet överföringen av dem till och från in- och utrese systemet, på ett lagligt sätt. 2.Den tillsynsmyndighet som inrättats i enlighet med artikel 51.1 i förordning (EU) 2016/679 ska säkerställa att en granskning av behandlingen av uppgifter i den nationella gränsinfrastrukturen genomförs i enlighet med relevanta internationella revisionsstandarder minst från och med driftsstarten för in- och utresesystemet. Resultaten av granskningen kan beaktas vid de utvärderingar som utförs inom ramen för den mekanism som inrättats genom rådets förordning (EU) nr 1053/2013 (1).