prop · H903172 · 2022-03-22 00:00:00 — a)om länken avser en av de SIS-registreringar som avses i artikel 29.2, informera det berörda Sirenekontoret i den medlemsstat som skapade SIS-registreringen, b)i alla övriga fall, korrigera eller radera länken från MID. Om ett Sirenekontor kontaktas i enlighet med led a i första stycket ska det verifiera de bevis som lämnats av myndigheten i medlemsstaten eller unionsbyrån och, i tillämpliga fall, korrigera eller radera länken från MID. Den myndighet i medlemsstaten som erhåller bevisen ska utan dröjsmål underrätta den medlemsstats myndighet som ansvarar för den verifieringen av olika identiteter och ange eventuella relevanta rättelser eller raderingar av en röd länk. 1.En länk mellan uppgifter från två eller flera EU-informationssystem ska klassificeras som vit i samtliga följande fall: a)De länkade uppgifterna innehåller samma biometriska uppgifter och samma eller liknande identitetsuppgifter. b)De länkade uppgifterna innehåller samma eller liknande identitetsuppgifter och samma resehandlingsuppgifter, och minst ett av EU-informationssystemen saknar biometriska uppgifter om den berörda personen. c)De länkade uppgifterna innehåller samma biometriska uppgifter, samma resehandlingsuppgifter och liknande identitetsuppgifter. d)De länkade uppgifterna innehåller samma biometriska uppgifter men har liknande eller olika identitetsuppgifter, och den myndighet som ansvarar för den verifieringen av olika identiteter har konstaterat att de länkade uppgifterna hänvisar till en och samma person på ett berättigat sätt. 2.Om eller SIS är föremål för sökning och om det finns en vit länk mellan uppgifter i två eller fler av EU- informationssystemen, ska MID ange att identitetsuppgifterna i de länkade uppgifterna gäller samma person. De EU- informationssystem som är föremål för sökning ska svara genom att i förekommande fall ange alla länkade uppgifter om personen, vilket därigenom ger upphov till en träff mot de uppgifter som är länkade genom den vita länken, om den myndighet som inlett sökningen har åtkomst till de länkade uppgifterna enligt unionsrätten eller nationell rätt. 3.Om det skapas en vit länk mellan uppgifter i in- och utresesystemet, VIS, Etias, Eurodac eller Ecris-TCN ska den personakt som lagras i uppdateras i enlighet med artikel 19.2. L 135/112 Europeiska unionens officiella tidning 4.Utan att det påverkar tillämpningen av bestämmelserna om hantering av registreringar i SIS i förordningarna (EU) 2018/1860, (EU) 2018/1861 och (EU) 2018/1862, och utan att det påverkar begränsningar som är nödvändiga för att trygga säkerheten och den allmänna ordningen, förebygga och förhindra brott samt garantera att nationella utredningar inte kommer att äventyras, ska den myndighet som ansvarar för den verifieringen av olika identiteter, vid skapandet av en vit länk efter en verifiering av multipla identiteter, underrätta den berörda personen om förekomsten av liknande eller olika identitetsuppgifter, och ska tillhandahålla personen i fråga det enda identifika tionsnummer som avses i artikel 34 c i den här förordningen, en referens till den myndighet som ansvarar för den verifieringen av olika identiteter i enlighet med artikel 34 d i den här förordningen samt webbadressen till den webbportal som upprättats i enlighet med artikel 49 i den här förordningen. 5.Om en myndighet i en medlemsstat har bevis som tyder på att en vit länk har registrerats felaktigt i MID, att en vit länk är inaktuell eller att uppgifter behandlats i MID eller EU-informationssystemen i strid med denna förordning, ska den kontrollera de berörda uppgifterna i och och vid behov utan dröjsmål korrigera eller radera länken från MID. Myndigheten i medlemsstaten ska utan dröjsmål informera den medlemsstat som ansvarar för den verifieringen av olika identiteter. 6.Den myndighet som ansvarar för den verifieringen av olika identiteter ska skriftligen tillhandahålla den information som avses i punkt 4 i form av ett standardformulär. Kommissionen ska genom genomförandeakter fastställa innehållet i och utformningen av det formuläret. Dessa genomförandeakter ska antas i enlighet med det gransknings förfarande som avses i artikel 70.2. Akten med identitetsbekräftelse ska innehålla följande uppgifter: a)De länkar som avses i artiklarna 30–33. b)En hänvisning till de EU-informationssystem i vilka de länkade uppgifterna finns. c)Ett enda identifikationsnummer som gör det möjligt att hämta de länkade uppgifterna från de motsvarande EU- informationssystemen. d)Den myndighet som ansvarar för den av olika identiteter. e)Datum för skapande av länken eller uppdatering därav. Lagring av uppgifter i detektorn för multipla identiteter Akterna med identitetsbekräftelse och uppgifterna i dem, inbegripet länkarna, ska lagras i MID endast som de länkade uppgifterna lagras i två eller fler EU-informationssystem. De ska raderas automatiskt från MID. 1.eu-Lisa ska föra logg över all uppgiftsbehandling som sker i MID. Dessa loggar ska omfatta följande: a)Den medlemsstat som inlett sökningen. b)Syftet med användarens åtkomst. c)Datum och tidpunkt för sökningen. d)Den typ av uppgifter som används för att inleda sökningen. e)Hänvisning till de länkade uppgifterna. f)Historik tillhörande akten med identitetsbekräftelse. Europeiska unionens officiella tidning L 135/113 2.Varje medlemsstat ska föra logg över sökningar som dess myndigheter och den personal vid dessa myndigheter som är vederbörligen bemyndigad att använda MID utför. Varje unionsbyrå ska föra logg över sökningar som utförs av dess vederbörligen bemyndigade personal. 3.De loggar som avses i punkterna 1 och 2 får endast användas för övervakning av dataskyddet, inbegripet kontroll av om en sökning är tillåten och om uppgifter har behandlats på ett lagligt sätt, och för att säkerställa datasäkerhet och dataintegritet. Dessa loggar ska på lämpligt sätt skyddas mot obehörig åtkomst och ska raderas efter det att de skapats. För det fall de behövs för övervakningsförfaranden som redan har inletts, ska de raderas så snart de inte längre behövs för övervakningsförfarandena. Åtgärder till stöd för interoperabilitet 1.Utan att det påverkar medlemsstaternas ansvar för kvaliteten på de uppgifter som förs in i systemen ska eu-Lisa inrätta automatiska mekanismer och förfaranden för kontroll av uppgifternas kvalitet avseende de uppgifter som lagras iSIS, Eurodac, Ecris-TCN, den gemensamma biometriska matchningstjänsten och . 2.eu-Lisa ska införa mekanismer för utvärdering av den gemensamma biometriska matchningstjänstens exakthet, gemensamma indikatorer för uppgifternas kvalitet samt minimikvalitetsstandarder för lagring av uppgifter i SIS, Eurodac, Ecris-TCN, den gemensamma biometriska matchningstjänsten och . Endast uppgifter som uppfyller minimikvalitetsstandarderna får föras in i SIS, Eurodac, Ecris-TCN, den gemensamma biometriska matchningstjänsten, och . 3.eu-Lisa ska regelbundet tillhandahålla medlemsstaterna rapporter om de automatiska mekanismerna och förfarandena för kontroll av uppgifternas kvalitet och de gemensamma indikatorerna för uppgifternas kvalitet. eu-Lisa ska också regelbundet tillhandahålla kommissionen en rapport om de problem som uppstått och vilka medlemsstater som berörts. eu-Lisa ska även på begäran överlämna denna rapport till och rådet. Inga rapporter som tillhandahålls i enlighet med denna punkt ska innehålla några personuppgifter. 4.Detaljerna om de automatiska mekanismerna och förfarandena för kontroll av uppgifternas kvalitet, de gemensamma indikatorerna för uppgifternas kvalitet samt minimikvalitetsstandarderna för lagring av uppgifter i SIS, Eurodac, Ecris-TCN, den gemensamma biometriska matchningstjänsten och , särskilt vad gäller biometriska uppgifter, ska fastställas i genomförandeakter. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 70.2. 5.Ett år efter inrättandet av de automatiska mekanismerna och förfarandena för kontroll av uppgifternas kvalitet, de gemensamma indikatorerna för uppgifternas kvalitet samt minimikvalitetsstandarderna för uppgifter, och därefter, ska kommissionen utvärdera medlemsstaternas genomförande av uppgifters kvalitet och lämna nödvändiga rekommendationer. Medlemsstaterna ska förse kommissionen med en handlingsplan för att avhjälpa de brister som konstaterats i utvärderingsrapporten och, i synnerhet, problem med uppgiftskvalitet vilka härrör från felaktiga uppgifter i EU-informationssystem. Medlemsstaterna ska regelbundet rapportera till kommissionen om vilka framsteg som har gjorts med denna handlingsplan till dess att den genomförts fullt ut. Kommissionen ska överlämna utvärderingsrapporten till , rådet, Europeiska datatillsynsmannen, dataskyddsstyrelsen och Europeiska unionens byrå för grundläggande rättigheter, som inrättades genom rådets förordning (EG) nr 168/2007 (37). 1.Härmed inrättas en standard för ett universellt meddelandeformat (UMF). Genom UMF definieras standarder för vissa innehållselement i det gränsöverskridande informationsutbytet mellan informationssystem, myndigheter eller organisationer på området rättsliga och inrikes frågor. (37) Rådets förordning (EG) nr 168/2007 av om inrättande av Europeiska unionens byrå för grundläggande rättigheter (EUT L 53, 22.2.2007, s. 1). L 135/114 Europeiska unionens officiella tidning 2.UMF-standarden ska användas vid utvecklingen av Eurodac, Ecris-TCN, ESP, , MID och, när så är lämpligt, eu- eller andra unionsbyråers utveckling av nya modeller för informationsutbyte och informationssystem på området rättsliga och inrikes frågor. 3.Kommissionen ska anta en genomförandeakt för att fastställa och utveckla den UMF-standard som avses i punkt 1 i denna artikel. Den genomförandeakten ska antas i enlighet med det granskningsförfarande som avses i artikel 70.2. Den centrala databasen för rapporter och statistik 1.Det ska inrättas en central databas för rapporter och statistik (CRRS) för att stödja målen för SIS, Eurodac och Ecris-TCN, i enlighet med de respektive rättsliga instrument som reglerar de systemen, och för att tillhandahålla systemöverskridande statistiska uppgifter och analysrapporter för politiska och operativa syften samt för uppgiftskvaliteten. 2.eu-Lisa ska inrätta, implementera och hysa i sina tekniska anläggningar CRRS som innehåller de uppgifter och den statistik som avses i artikel 74 i förordning (EU) 2018/1862 och artikel 32 i förordning (EU) 2019/816, logiskt åtskilda per EU-informationssystem. Åtkomst till CRRS ska beviljas via kontrollerad, säkrad åtkomst och specifika användar profiler enbart för rapportering och statistik, till de myndigheter som avses i artikel 74 i förordning (EU) 2018/1862 och artikel 32 i förordning (EU) 2019/816 3.eu-Lisa ska anonymisera uppgifterna och registrera de anonymiserade uppgifterna i CRRS. Förfarandet för att anonymisera uppgifterna ska vara automatiskt. Uppgifterna i CRRS ska inte möjliggöra identifiering av enskilda personer. 4.CRRS ska bestå av följande: a)De verktyg som är nödvändiga för anonymisering av uppgifter. b)En central infrastruktur som består av en databas med anonymiserade uppgifter. c)En säker kommunikationsinfrastruktur för att ansluta CRRS till SIS, Eurodac och Ecris-TCN samt de centrala infrastrukturerna för den gemensamma biometriska matchningstjänsten, och . 5.Kommissionen ska anta en delegerad akt i enlighet med artikel 69 för att fastställa detaljerade bestämmelser om driften av CRRS, inbegripet särskilda skyddsåtgärder för behandlingen av personuppgifter enligt punkterna 2 och 3 i den här artikeln och de säkerhetsregler som är tillämpliga på databasen. 1.När det gäller behandling av uppgifter i den gemensamma biometriska matchningstjänsten ska de av medlemsstaternas myndigheter som är personuppgiftsansvariga för Eurodac, SIS respektive Ecris-TCN vara personupp giftsansvariga i enlighet med artikel 4.7 i förordning (EU) 2016/679 eller artikel 3.8 i direktiv (EU) 2016/680 avseende de biometriska mallar som erhållits från de uppgifter som avses i artikel 13 i den här förordningen och som de för in i de underliggande systemen och ska ansvara för behandlingen av de biometriska mallarna i den gemensamma biometriska matchningstjänsten. 2.När det gäller behandling av uppgifter i ska de av medlemsstaternas myndigheter som är personuppgiftsansva riga för Eurodac respektive Ecris-TCN vara personuppgiftsansvariga i enlighet med artikel 4.7 i förordning (EU) 2016/679 eller artikel 3.8 i direktiv (EU) 2016/680 avseende de uppgifter som avses i artikel 18 i den här förordningen och som de för in i de underliggande systemen och ska ansvara för behandlingen av de personuppgifterna i . 3.När det gäller behandling av uppgifter i MID gäller följande: a)Europeiska gräns- och kustbevakningsbyrån ska vara personuppgiftsansvarig i den mening som avses i artikel 3.8 i förordning (EU) 2018/1725 när det gäller den behandling av personuppgifter som utförs av Etias centralenhet. b)De av medlemsstaternas myndigheter som lägger till eller ändrar uppgifter i akten med identitetsbekräftelse ska vara personuppgiftsansvariga i enlighet med artikel 4.7 i förordning (EU) 2016/679 eller artikel 3.8 i direktiv (EU) 2016/680 och ska ansvara för behandlingen av personuppgifter i MID. Europeiska unionens officiella tidning L 135/115 4.För övervakningen av dataskyddet, inbegripet kontroll av om en sökning är tillåten och om uppgifter har behandlats på ett lagligt sätt, ska de personuppgiftsansvariga ha åtkomst till de loggar som avses i artiklarna 10, 16, 24 och 36 för egenkontroll enligt vad som avses i artikel 44. När det gäller behandling av personuppgifter i den gemensamma biometriska matchningstjänsten, och ska eu- vara personuppgiftsbiträde i den mening som avses i artikel 3.12 a i förordning (EU) 2018/1725. 1.eu-Lisa, Etias centralenhet, Europol och medlemsstaternas myndigheter ska säkerställa säkerheten vid den behandling av personuppgifter som äger rum enligt denna förordning. eu-Lisa, Etias centralenhet, Europol och medlemsstaternas myndigheter ska samarbeta kring säkerhetsrelaterade uppgifter. 2.Utan att det påverkar tillämpningen av artikel 33 i förordning (EU) 2018/1725 ska eu-Lisa vidta nödvändiga åtgärder för att säkerställa interoperabilitetskomponenternas och den relaterade kommunikationsinfrastrukturens säkerhet. 3.eu-Lisa ska i synnerhet vidta nödvändiga åtgärder, inbegripet en säkerhetsplan, en kontinuitetsplan och en katastrofplan, i syfte att a)fysiskt skydda uppgifter, bland annat genom att utarbeta beredskapsplaner för skydd av kritisk infrastruktur, b)hindra obehöriga från åtkomst till utrustning eller anläggningar för uppgiftsbehandling, c)förhindra obehörig läsning, kopiering, ändring eller obehörigt avlägsnande av datamedier, d)hindra obehörigt inmatning av uppgifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter, e)förhindra obehörig behandling av uppgifter och obehörig kopiering, ändring eller radering av uppgifter, f)hindra obehöriga från att med hjälp av datakommunikationsutrustning använda automatiserade system för uppgifts behandling, g)säkerställa att personer som har åtkomstbehörighet till interoperabilitetskomponenterna har åtkomst endast till de uppgifter för vilka de är behöriga och endast genom individuella användaridentiteter och skyddade åtkomstmetoder, h)säkerställa att det finns möjlighet att kontrollera och fastställa till vilka organ personuppgifter får överföras med hjälp av datakommunikationsutrustning, i)säkerställa att det finns möjlighet att kontrollera och fastställa vilka uppgifter som har behandlats i interoperabilitets komponenterna, när detta har gjorts, av vem och i vilket syfte, j)hindra obehörig läsning, kopiering, ändring eller radering av personuppgifter i samband med överföring av personuppgifter till eller från interoperabilitetskomponenterna eller under transport av datamedier, särskilt med hjälp av lämplig krypteringsteknik, k)säkerställa att installerade system i händelse av driftavbrott kan återställas till normal drift, l)säkerställa driftsäkerhet genom att se till att eventuella driftfel hos interoperabilitetskomponenterna rapporteras på korrekt sätt, m)övervaka att de säkerhetsåtgärder som avses i denna punkt är verksamma och vidta nödvändiga organisatoriska åtgärder i fråga om intern övervakning för att säkerställa att denna förordning efterlevs och för att bedöma dessa säkerhetsåtgärder mot bakgrund av utvecklingen av ny teknik. 4.Medlemsstaterna, Europol och Etias centralenhet ska vidta åtgärder som är likvärdiga med de som avses i punkt 3 vad gäller säkerheten vid behandling av personuppgifter som utförs av de myndigheter som har rätt till åtkomst till någon av interoperabilitetskomponenterna. L 135/116 Europeiska unionens officiella tidning 1.Alla händelser som har eller kan ha inverkan på interoperabilitetskomponenternas säkerhet och som kan orsaka skada på eller förlust av uppgifter lagrade i dem ska betraktas som säkerhetstillbud, särskilt om obehörig åtkomst till uppgifter kan ha inträffat eller om uppgifters tillgänglighet, integritet och konfidentialitet har äventyrats eller kan ha äventyrats. 2.Säkerhetstillbud ska hanteras på ett sätt som säkerställer snabba, effektiva och välavvägda motåtgärder. Utan att det påverkar anmälan av och information om personuppgiftsincidenter i enlighet med artikel 33 i förordning (EU) 2016/679, artikel 30 i direktiv (EU) 2016/680, eller båda, ska medlemsstaterna utan dröjsmål underrätta kommissionen, eu-Lisa, de behöriga tillsynsmyndigheterna och Europeiska datatillsynsmannen om alla säkerhetstillbud. Utan att det påverkar tillämpningen av artiklarna 34 och 35 i förordning (EU) 2018/1725 och artikel 34 i förordning (EU) 2016/794 ska Etias centralenhet och Europol utan dröjsmål underrätta kommissionen, eu-Lisa och Europeiska datatillsynsmannen om alla säkerhetstillbud. Om ett säkerhetstillbud inträffar avseende interoperabilitetskomponenternas centrala infrastruktur ska eu-Lisa utan dröjsmål underrättakommissionen och Europeiska datatillsynsmannen. 4.Information om säkerhetstillbud som har eller kan ha inverkan på interoperabilitetskomponenternas drift eller på uppgifternas tillgänglighet, integritet och konfidentialitet ska utan dröjsmål tillhandahållas medlemsstaterna, Etias centralenhet samt Europol och rapporteras i enlighet med den incidenthanteringsplan som eu-Lisa ska tillhandahålla. 5.De berörda medlemsstaterna, Etias centralenhet, Europol och eu-Lisa ska samarbeta om ett säkerhetstillbud inträffar. Kommissionen ska fastställa specifikationer för detta samarbete genom genomförandeakter. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 70.2. Medlemsstaterna och de relevanta unionsbyråerna ska se till att varje myndighet som har åtkomsträtt till interoperabili tetskomponenterna vidtar nödvändiga åtgärder för att övervaka efterlevnaden av denna förordning och vid behov samarbetar med tillsynsmyndigheterna. De personuppgiftsansvariga som avses i artikel 40 ska vidta nödvändiga åtgärder för att övervaka att uppgiftsbe handlingen sker i enlighet med denna förordning, inklusive genom frekventa kontroller av de loggar som avses i artiklarna 10, 16, 24 och 36, och vid behov samarbeta med tillsynsmyndigheterna och med Europeiska datatill synsmannen. Medlemsstaterna ska se till att missbruk av uppgifter eller behandling eller utbyte av uppgifter i strid med denna förordning är belagt med sanktioner i enlighet med nationell rätt. Sanktionerna ska vara effektiva, proportionella och avskräckande. 1.Utan att det påverkar rätten till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet, eller dessas skadeståndsansvar i enlighet med förordning (EU) 2016/679, direktiv (EU) 2016/680 och förordning (EU) 2018/1725, ska följande gälla: a)Varje person eller medlemsstat som har lidit materiell eller immateriell skada till följd av en otillåten behandling av personuppgifter eller av någon annan åtgärd från en medlemsstats sida som är oförenlig med denna förordning ska ha rätt till ersättning från den berörda medlemsstaten. Europeiska unionens officiella tidning L 135/117 b)Varje person eller medlemsstat som har lidit materiell eller immateriell skada till följd av en åtgärd från Europols, Europeiska gräns- och kustbevakningsbyråns eller eu-Lisas sida som är oförenlig med denna förordning ska ha rätt till ersättning från byrån i fråga. Den berörda medlemsstaten, Europol, Europeiska gräns- och kustbevakningsbyrån eller eu-Lisa ska helt eller delvis undantas från sitt skadeståndsansvar enligt första stycket om de bevisar att de inte är ansvariga för den händelse som orsakade skadan. 2.Om en medlemsstats underlåtenhet att fullgöra sina skyldigheter i enlighet med denna förordning skadar interope rabilitetskomponenterna, ska den medlemsstaten vara ansvarig för denna skada, såvida inte och i den mån eu-Lisa eller en annan medlemsstat som är bunden av denna förordning har underlåtit att vidta rimliga åtgärder för att hindra skadan från att uppstå eller för att begränsa dess verkningar. 3.Skadeståndsanspråk mot en medlemsstat för sådan skada som avses i punkterna 1 och 2 ska regleras av den svarande medlemsstatens nationella rätt. Skadeståndsanspråk mot den personuppgiftsansvarige eller eu-Lisa för sådan skada som avses i punkterna 1 och 2 ska omfattas av de villkor som fastställs i fördragen. 1.Den myndighet som samlar in de personuppgifter som ska lagras i den gemensamma biometriska matchnings tjänsten, eller MID ska tillhandahålla de personer vars uppgifter insamlas den information som krävs enligt artiklarna 13 och 14 i förordning (EU) 2016/679, artiklarna 12 och 13 i förordning (EU) 2016/680 samt artiklarna 15 och 16 i förordning (EU) 2018/1725. Myndigheten ska tillhandahålla informationen då uppgifterna samlas in. 2.All information ska göras tillgänglig med hjälp av ett klart och tydligt språkbruk i en språkversion som den berörda personen förstår eller rimligen kan förväntas förstå. Detta ska innefatta att information tillhandahålls på ett sätt som är lämpligt med hänsyn till åldern för registrerade personer som är minderåriga. 3.Bestämmelserna om rätten till information i unionens tillämpliga dataskyddsregler ska tillämpas på personuppgifter som har registrerats i Ecris-TCN och behandlas i enlighet med denna förordning. Rätt till åtkomst till, rättelse och radering av samt begränsning av behandlingen av personuppgifter som lagras i MID 1.För att utöva sina rättigheter enligt artiklarna 15–18 i förordning (EU) 2016/679, artiklarna 17–20 i förordning (EU) 2018/1725 samt artiklarna 14, 15 och 16 i direktiv (EU) 2016/680 ska varje person ha rätt att vända sig till den behöriga myndigheten i vilken medlemsstat som helst, som ska pröva och besvara begäran. 2.Den medlemsstat som prövar en sådan begäran ska svara utan otillbörligt dröjsmål, dock senast efter mottagandet. får vid behov förlängas med , med beaktande av hur komplicerade och hur många begärandena är. Den medlemsstat som prövar begäran ska underrätta den registrerade om en sådan förlängning efter mottagandet av begäran och ange orsakerna till förseningen. Medlemsstaterna får besluta att dessa svar ska lämnas av centralenheter. 3.Om en begäran om rättelse eller radering av personuppgifter ställs till en annan medlemsstat än den medlemsstat som ansvarar för den verifieringen av olika identiteter ska den medlemsstat till vilken begäran ställts kontakta myndigheterna i den medlemsstat som ansvarar för den verifieringen av olika identiteter. Den medlemsstat som ansvarar för den verifieringen av olika identiteter ska utan otillbörligt dröjsmål, dock senast från en sådan kontakt, kontrollera om uppgifterna är korrekta och om de har behandlats på ett lagligt sätt. får vid behov förlängas med , med beaktande av hur komplicerade och hur många begärandena är.