sou · H9B320 · 2022-01-01 00:00:00 — (30)Medlemsstaterna bör anta nationella lagstiftningsåtgärder för att utse de myndigheter som är behöriga att utföra identitetskontroller med hjälp av och fastställa förfarandena, villkoren och kriterierna för sådana kontroller, vilka bör vara förenliga med proportionalitetsprincipen. I synnerhet bör befogenheten för en anställd vid en sådan myndighet att ta biometriska uppgifter av en person under en identitetskontroll föreskrivas i nationell rätt. (31)Genom denna förordning bör det också införas en ny möjlighet till rationaliserad åtkomst till andra uppgifter än identitetsuppgifter och resehandlingsuppgifter i in- och utresesystemet, VIS, Etias eller Eurodac för medlemsstaternas utsedda myndigheter med ansvar för att förebygga, förhindra, upptäcka eller utreda terroristbrott eller andra grova brott samt för Europol. Sådana uppgifter kan vara nödvändiga för att förebygga, förhindra, upptäcka eller utreda terroristbrott eller andra grova brott i ett specifikt fall där det finns rimliga skäl att anta att en konsultation av dem kommer att bidra till att förebygga, förhindra, upptäcka eller utreda terroristbrotten eller andra aktuella grova brott, särskilt om det finns misstankar om att en person som misstänks för, har begått eller utsatts för ett terroristbrott eller ett annat grovt brott är en person vars uppgifter lagras i in- och utresesystemet, VIS, Etias eller Eurodac. Europeiska unionens officiella tidning L 135/89 (32)Fullständig åtkomst till uppgifter som finns i EU-informationssystemen som är nödvändig för att förebygga, förhindra, upptäcka eller utreda terroristbrott eller andra grova brott, utöver åtkomst till identitetsuppgifter eller resehandlingsuppgifter som finns i , bör även i fortsättningen regleras genom de tillämpliga rättsliga instrumenten. De utsedda myndigheterna med ansvar för att förebygga, förhindra, upptäcka eller utreda terroristbrott eller andra grova brott samt Europol vet inte på förhand vilket EU-informationssystem som innehåller uppgifter om de personer de behöver göra sökningar om. Detta leder till förseningar och ineffektivitet. Den slutanvändare som har bemyndigats av den utsedda myndigheten bör därför ha rätt att se i vilket av dessa EU-informationssystem de uppgifter som motsvarar resultatet av en sökning är registrerade. Det berörda systemet skulle på så vis flaggas efter den automatiska kontrollen att det finns en träff i systemet (en så kallad flaggfunktion för träff). (33)I detta sammanhang bör ett svar från inte tolkas eller användas som en grund för en slutsats om eller en anledning att vidta åtgärder med avseende på en person, utan bör användas uteslutande i syfte att lämna in begäran om åtkomst till de underliggande EU-informationssystemen, med förbehåll för de villkor och förfaranden som fastställs i respektive rättsliga instrument som reglerar sådan åtkomst. Varje sådan begäran om åtkomst bör omfattas av kapitel VII i denna förordning och i tillämpliga fall av och rådets förordning (EU) 2016/679 (5), och rådets direktiv (EU) 2016/680 (6) eller och rådets förordning (EU) 2018/1725 (7). (34)Som en allmän regel bör de utsedda myndigheterna eller Europol begära full åtkomst till minst ett av de berörda EU-informationssystemen, om en flaggning för träff anger att uppgifterna är registrerade i Eurodac. Om sådan full åtkomst i undantagsfall inte begärs – till exempel därför att de utsedda myndigheterna eller Europol redan har erhållit uppgifterna på annat sätt eller att erhållandet av uppgifterna är tillåtet enligt nationell rätt – bör motiveringen till att inte begära åtkomst registreras. (35)Loggarna över sökningarna i bör visa syftet med sökningarna. Om en sådan sökning har gjorts med tvåstegsstrategin för sökningar bör loggarna innehålla en referens till den nationella akten för utredningen eller ärendet, och därmed ange att sökningen gjordes för att förebygga, förhindra, upptäcka eller utreda terroristbrott eller andra grova brott. (36)Den sökning i som görs av de utsedda myndigheterna och Europol för att få ett svar i form av en flaggning som anger att uppgifterna finns i in- och utresesystemet, VIS, Etias eller Eurodac kräver automatiserad behandling av personuppgifter. En flaggning för träff bör inte avslöja några personuppgifter om den berörda personen, utan endast en angivelse om att vissa uppgifter om vederbörande lagras i ett av systemen. Den bemyndigade slutanvändaren bör inte fatta några negativa beslut om den berörda personen endast utifrån det faktum att en sökning gett en flaggning för träff. Slutanvändarens åtkomst till en flaggning för träff kommer därför utgöra ett mycket begränsat ingrepp i den berörda personens rätt till skydd av personuppgifter, som det ger de utsedda myndigheterna och Europol möjlighet att på ett mer effektivt sätt begära åtkomst till personuppgifter. (37)MID bör inrättas för att stödja i dess funktion och för att stödja syftena med in- och utresesystemet, VIS, Etias, Eurodac, SIS och Ecris-TCN. För att effektivt uppfylla sina respektive syften kräver alla dessa EU- informationssystem en korrekt identifiering av de personer vars personuppgifter lagras i dem. (38)För att bättre förverkliga syftena med EU-informationssystemen bör de myndigheter som använder dessa system kunna utföra en tillräckligt tillförlitlig verifiering av identiteten på de personer vars uppgifter lagras i olika system. Den uppsättning identitetsuppgifter eller resehandlingsuppgifter som lagras i ett visst enskilt system kan vara (5) och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskydds förordning) (EUT L 119, , s. 1). (6) och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (EUT L 119, , s. 89). (7) och rådets förordning (EU) 2018/1725 av om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39). L 135/90 Europeiska unionens officiella tidning inkorrekt, ofullständig eller falsk, och finns det inget sätt att upptäcka inkorrekta, ofullständiga eller falska identitetsuppgifter eller resehandlingsuppgifter genom jämförelser med uppgifter som lagras i ett annat system. För att råda bot på denna situation är det nödvändigt att på unionsnivå ha ett tekniskt instrument som möjliggör en korrekt identifiering av personer för dessa ändamål. (39)MID bör skapa och lagra länkar mellan uppgifter i de olika EU-informationssystemen för att spåra multipla identiteter, i det dubbla syftet att underlätta identitetskontroller för resenärer med ärligt uppsåt och bekämpa identitetsbedrägeri. MID bör endast innehålla länkar mellan uppgifter om personer som har registrerats i fler än ett EU-informationssystem. De länkade uppgifterna bör vara strikt begränsade till de uppgifter som krävs för att verifiera att en person har registrerats på ett berättigat eller oberättigat sätt med olika identiteter i olika system, eller för att klargöra att två personer med liknande identitetsuppgifter kanske inte är samma person. Behandlingen av uppgifter genom ESP och den gemensamma biometriska matchningstjänsten för att länka personakter mellan olika system bör hållas till ett absolut minimum och är således begränsad till spårning av multipla identiteter, som ska ske då nya uppgifter läggs till i ett av de system som har uppgifter lagrade i eller som lagts till i SIS. MID bör omfatta skyddsåtgärder mot potentiell diskriminering och ogynnsamma beslut mot personer som lagligen har multipla identiteter. (40)I denna förordning föreskrivs ny uppgiftsbehandling som syftar till att korrekt identifiera de berörda personerna. Detta utgör ett ingrepp i deras grundläggande rättigheter som skyddas genom artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna. Eftersom EU-informationssystemen är beroende av att de berörda personerna identifieras korrekt för att fungera effektivt är detta ingrepp motiverat av samma syften som lett till att vart och ett av dessa system har inrättats, nämligen en effektiv förvaltning av unionens gränser, den inre säkerheten i unionen och ett effektivt genomförande av unionens asyl- och viseringspolitik. (41)ESP och den gemensamma biometriska matchningstjänsten bör jämföra uppgifter om personer i och när en nationell myndighet eller en unionsbyrå skapar eller laddar upp nya uppgifter. Dessa jämförelser bör göras automatiskt. och bör använda den gemensamma biometriska matchningstjänsten för att upptäcka möjliga länkar på grundval av biometriska uppgifter. och bör använda ESP för att upptäcka möjliga länkar på grundval av alfanumeriska uppgifter. och bör kunna identifiera identiska eller liknande uppgifter om en person vilka är lagrade i flera system. När så är fallet bör en länk som anger att det är samma person skapas. och bör konfigureras på ett sätt som gör att små translittereringsfel eller stavfel upptäcks, så att det inte skapar omotiverade olägenheter för den berörda personen. (42)Den nationella myndighet eller unionsbyrå som registrerade uppgifterna i respektive EU-informationssystem bör bekräfta eller ändra länkarna. Denna nationella myndighet eller unionsbyrå bör ha åtkomst till de uppgifter som lagras i eller SIS och i MID för verifiering av olika identiteter. (43)En verifiering av olika identiteter bör säkerställas av den myndighet som skapat eller uppdaterat de uppgifter som lett till en träff som ger upphov till en länk med uppgifter som lagras i ett annat EU- informationssystem. Den myndighet som ansvarar för den verifieringen av olika identiteter bör bedöma om det finns multipla identiteter som på ett berättigat eller oberättigat sätt hänvisar till en och samma person. En sådan bedömning bör om möjligt utföras i den berörda personens närvaro och när så är nödvändigt genom att begära ytterligare klargöranden eller information. Bedömningen bör göras utan dröjsmål, i enlighet med de rättsliga kraven på korrekt information enligt unionsrätten och nationell rätt. Europeiska unionens officiella tidning L 135/91 myndigheter som skapar eller uppdaterar uppgifter som länkas till dem i ett av de andra EU-informations systemen. Skapandet av en länk med SIS-uppgifter bör inte påverka de åtgärder som ska vidtas i enlighet med och rådets förordningar (EU) 2018/1860 (8), (EU) 2018/1861 (9) och (EU) 2018/1862 (10). (45)Skapandet av sådana länkar förutsätter öppenhet gentemot berörda personer. För att underlätta genomförandet av nödvändiga skyddsåtgärder i enlighet med unionens tillämpliga dataskyddsbestämmelser bör personer som är föremål för en röd länk eller en vit länk efter verifiering av olika identiteter informeras skriftligen utan att det påverkar tillämpningen av begränsningar för att trygga säkerheten och den allmänna ordningen, förebygga och förhindra brott samt garantera att nationella utredningar inte äventyras. Dessa personer bör erhålla ett enda identifikationsnummer som gör det möjligt för dem att identifiera den myndighet till vilken de bör vända sig för att utöva sina rättigheter. (46)Om en gul länk skapas bör den myndighet som ansvarar för verifiering av olika identiteter ha åtkomst till MID. Om det finns en röd länk bör medlemsstaternas myndigheter och unionens byråer som har åtkomst till minst ett EU-informationssystem som ingår i eller till SIS ha åtkomst till MID. En röd länk bör visa att en person använder olika identiteter på ett oberättigat sätt eller att en person använder någon annan persons identitet. (47)När det förekommer en vit eller grön länk mellan uppgifter från två EU-informationssystem bör medlemsstaternas myndigheter och unionens byråer ha åtkomst till MID, om den berörda myndigheten eller byrån har åtkomst till båda informationssystemen. Sådan åtkomst bör beviljas endast i syfte att göra det möjligt för den myndigheten eller byrån att upptäcka potentiella fall där uppgifter har länkats inkorrekt eller behandlats i MID, och i strid med denna förordning samt för att vidta åtgärder för att avhjälpa bristerna och uppdatera eller radera länken. (48)Europeiska unionens byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (eu-Lisa) bör inrätta automatiserade mekanismer för kvalitetskontroll av uppgifter och gemensamma indikatorer för uppgiftskvalitet. eu-Lisa bör ansvara för att utveckla en central övervakningskapacitet för uppgiftskvalitet och regelbundet utarbeta dataanalysrapporter för att förbättra kontrollen av medlemsstaternas implementering av EU-informationssystemen. De gemensamma indikatorerna för uppgiftskvalitet bör inbegripa minimikvalitetsstandarder för lagring av uppgifter i EU-informationssystemen eller interoperabilitetskomponenter. Målet med sådana standarder för uppgiftskvalitet bör vara att EU-informationssystemen och interoperabilitets komponenterna automatiskt ska kunna identifiera inmatade uppgifter som verkar vara inkorrekta eller inkonsekventa, så att ursprungsmedlemsstaten kan verifiera uppgifterna och vidta de korrigerande åtgärder som behövs. (49)Kommissionen bör utvärdera eu-Lisas kvalitetsrapporter och utfärda rekommendationer till medlemsstaterna när så är lämpligt. Medlemsstaterna bör ansvara för utarbetandet av en handlingsplan som beskriver åtgärder för att rätta till eventuella brister i uppgifternas kvalitet och bör regelbundet rapportera om framstegen. (50)Det universella meddelandeformatet (UMF) bör utgöra en standard för strukturerat, gränsöverskridande informationsutbyte mellan informationssystem, myndigheter eller organisationer på området rättsliga och inrikes frågor. UMF bör definiera en gemensam vokabulär och logiska strukturer för information som ofta utbyts, i syfte att underlätta interoperabilitet genom att möjliggöra skapande och läsning av utbytets innehåll på ett konsekvent och semantiskt likvärdigt sätt. (51)Möjligheten kan övervägas att införa UMF-standarden i VIS, SIS och alla andra befintliga eller nya gränsöver skridande modeller för informationsutbyte och informationssystem på området rättsliga och inrikes frågor vilka utvecklas av medlemsstaterna. (8) och rådets förordning (EU) 2018/1860 av om användning av Schengens informationssystem för återvändande av tredjelandsmedborgare som vistas olagligt i medlemsstaterna (EUT L 312, 7.12.2018, s. 1). (9) och rådets förordning (EU) 2018/1861 av om inrättande, drift och användning av Schengens informationssystem (SIS) på området in- och utresekontroller, om ändring av konventionen om tillämpning av och om ändring och upphävande av förordning (EG) nr 1987/2006 (EUT L 312, 7.12.2018, s. 14). (10) och rådets förordning (EU) 2018/1862 av om inrättande, drift och användning av Schengens informationssystem (SIS) på området polissamarbete och straffrättsligt samarbete, om ändring och upphävande av rådets beslut /533/RIF och om upphävande av och rådets förordning (EG) nr 1986/2006 och kommissionens beslut /261/EU (EUT L 312, 7.12.2018, s. 56). L 135/92 Europeiska unionens officiella tidning (52)En central databas för rapporter och statistik (CRRS) bör inrättas för att generera systemöverskridande statistiska uppgifter och analytisk rapportering för verksamhetsstyrande och operativa syften samt för uppgiftskvalitet i enlighet med tillämpliga rättsliga instrument. eu-Lisa bör inrätta, implementera och hysa CRRS i sina tekniska anläggningar. Den bör innehålla anonymiserade statistiska uppgifter från EU-informationssystemen, , MID och den gemensamma biometriska matchningstjänsten. Uppgifterna i CRRS bör inte möjliggöra identifiering av enskilda personer. eu-Lisa bör automatiskt anonymisera uppgifterna och registrera de anonymiserade uppgifterna i CRRS. Anonymiseringsprocessen bör vara automatisk, och eu-Lisas personal bör inte beviljas direkt åtkomst till några personuppgifter som lagras i EU-informationssystemen eller i interoperabilitetskomponenterna. (53) Förordning (EU) 2016/679 är tillämplig på de nationella myndigheternas behandling av personuppgifter i interoperabilitetssyfte inom ramen för denna förordning, förutom om behandlingen görs av medlemsstaternas utsedda myndigheter eller centrala kontaktpunkter i syfte att förebygga, förhindra, upptäcka eller utreda terroristbrott eller andra grova brott. (54)Direktiv (EU) 2016/680 är tillämpligt i de fall medlemsstaternas behandling av personuppgifter utförs av de behöriga myndigheterna i interoperabilitetssyfte i syfte att förebygga, förhindra, upptäcka eller utreda terroristbrott eller andra grova brott. (55)Förordning (EU) 2016/679 förordning (EU) 2018/1725 eller, i tillämpliga fall, direktiv (EU) 2016/680 tillämpas på överföringar av personuppgifter till tredjeländer eller internationella organisationer som utförs enligt den här förordningen. Utan att det påverkar grunderna för överföring enligt kapitel V i förordning (EU) 2016/679 eller, itillämpliga fall, direktiv (EU) 2016/680, bör en dom i en domstol eller ett beslut av en administrativ myndighet iett tredjeland som kräver att en personuppgiftsansvarig eller ett personuppgiftsbiträde ska överföra eller offentliggöra personuppgifter erkännas eller verkställas på något sätt endast om domen eller beslutet grundar sig på ett internationellt avtal som är i kraft mellan det begärande tredjelandet och unionen eller en medlemsstat. (56)De särskilda bestämmelserna om dataskydd i och rådets förordning (EU) 2018/1862 och och rådets förordning (EU) 2019/816 (11) är tillämpliga på behandlingen av personuppgifter ide system som regleras genom dessa förordningar. (57)Förordning (EU) 2018/1725 är tillämplig på behandling av personuppgifter som utförs av eu-Lisa och unionens andra institutioner och organ när de fullgör sina skyldigheter enligt den här förordningen, utan att det påverkar tillämpningen av förordning (EU) 2016/794, som är tillämplig på Europols behandling av personuppgifter. (58)De tillsynsmyndigheter som avses i förordning (EU) 2016/679 eller direktiv (EU) 2016/680 bör övervaka lagligheten i medlemsstaternas behandling av personuppgifter. Europeiska datatillsynsmannen, bör övervaka unionsinstitutionernas och unionsorganens behandling av personuppgifter. Europeiska datatillsynsmannen och tillsynsmyndigheterna bör samarbeta med varandra vid övervakningen av interoperabilitetkomponenternas behandling av personuppgifter. För att Europeiska datatillsynsmannen ska kunna utföra sina uppgifter enligt den här förordningen krävs tillräckliga både personella och ekonomiska resurser. (59)Europeiska datatillsynsmannen har hörts i enlighet med artikel 28.2 i och rådets förordning (EG) nr 45/2001 (12) och avgav ett yttrande (13). (60)Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter (artikel 29-gruppen) avgav ett yttrande . (61)Både medlemsstaterna och eu-Lisa bör ha säkerhetsplaner för att underlätta genomförandet av säkerhetsskyl digheterna och bör samarbeta med varandra för att hantera säkerhetsproblem. eu-Lisa bör också se till att man fortlöpande utnyttjar den senaste tekniska utvecklingen för att säkerställa dataintegritet i fråga om utveckling, utformning och förvaltning av interoperabilitetskomponenterna. eu-Lisas skyldigheter i detta avseende bör (11) och rådets förordning (EU) 2019/816 av om inrättande av ett centraliserat system för identifiering av medlemsstater som innehar uppgifter om fällande domar mot tredjelandsmedborgare och statslösa personer (Ecris-TCN) för att komplettera och stödja det europeiska informationssystemet för utbyte av uppgifter ur kriminalregister och om ändring av förordning (EU) 2018/1726 (se sidan 1 i detta nummer av EUT). (12) och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutio nerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, , s. 1). (13) EUT C 233, , s. 12. Europeiska unionens officiella tidning L 135/93 omfatta antagande av nödvändiga åtgärder för att förhindra åtkomst för obehöriga personer, såsom personal hos externa tjänsteleverantörer, till personuppgifter som behandlas genom interoperabilitetskomponenterna. Vid tilldelning av kontrakt för tillhandahållande av tjänster bör medlemsstaterna och eu-Lisa överväga alla de åtgärder som krävs för att säkerställa efterlevnaden av lagar eller andra författningar om skydd av personuppgifter och den enskildes integritet eller för att skydda väsentliga säkerhetsintressen i enlighet med och rådets förordning (EU, Euratom) 2018/1046 (14) och tillämpliga internationella konventioner. eu-Lisa bör tillämpa principerna om inbyggt integritetsskydd och integritetsskydd som standard under utvecklingen av interoperabili tetskomponenterna. (62)Till stöd för statistik och rapportering är det nödvändigt att bevilja bemyndigad personal vid de behöriga myndigheter, unionsinstitutioner och unionsbyråer som avses i denna förordning åtkomst till vissa uppgifter som rör vissa interoperabilitetskomponenter utan att möjliggöra identifiering av enskilda personer. (63)För att medlemsstaternas myndigheter och unionsbyråerna ska kunna anpassa sig till de nya kraven beträffande användningen av ESP är det nödvändigt att föreskriva en övergångsperiod. Likaledes bör övergångsåtgärder fastställas för driftsättningen av MID för att den ska fungera konsekvent och optimalt. (64)Eftersom målet för denna förordning, nämligen att inrätta en ram för interoperabilitet mellan EU- informationssystem, inte i tillräcklig utsträckning kan uppnås av medlemsstaterna utan snarare, på grund av åtgärdens omfattning och verkningar, kan uppnås bättre på unionsnivå, kan unionen vidta åtgärder i enlighet med subsidiaritetsprincipen i artikel 5 i fördraget om Europeiska unionen (). I enlighet med proportionalitetsprincipen i samma artikel går denna förordning inte utöver vad som är nödvändigt för att uppnå detta mål. (65)Det återstående beloppet i den budget som öronmärkts för smarta gränser i och rådets förordning (EU) nr 515/2014 (15) bör omfördelas till i förordning (EU) nr 515/2014, för att täcka kostnaderna för utveckling av interoperabilitetskomponenterna. (66) För att komplettera vissa detaljerade tekniska aspekter i enlighet med artikel 290 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) delegeras till kommissionen med avseende på —förlängning av övergångsperioden för användning av ESP, —förlängning av övergångsperioden för spårning av multipla identiteter som utförs av Etias centralenhet, —förfarandena för att fastställa de fall där identitetsuppgifterna kan betraktas som desamma eller liknande samt —reglerna för driften av CRRS, däribland särskilda skyddsåtgärder för behandling av personuppgifter och säkerhetsregler tillämpliga på databasen, —samt närmare regler om driften av webbportalen. Det är särskilt viktigt att kommissionen genomför lämpliga samråd under sitt förberedande arbete, inklusive på expertnivå, och att dessa samråd genomförs i enlighet med principerna i det interinstitutionella avtalet av om bättre lagstiftning (16). För att säkerställa lika stor delaktighet i förberedelsen av delegerade akter erhåller och rådet alla handlingar som medlemsstaternas experter, och deras experter ges systematiskt tillträde till möten i kommissionens expertgrupper som arbetar med förberedelse av delegerade akter. (67)För att säkerställa enhetliga villkor för genomförandet av denna förordning bör kommissionen tilldelas genomförandebefogenheter att fastställa de datum då ESP, den gemensamma biometriska matchningstjänsten, , MID och CRRS ska tas i drift.