sou · H9B320 · 2022-01-01 00:00:00 — Kommissionen ska överlämna utvärderingsrapporten till , rådet, Europeiska datatillsynsmannen, dataskyddsstyrelsen och Europeiska unionens byrå för grundläggande rättigheter, som inrättades genom rådets förordning (EG) nr 168/2007 (37). 1.Härmed inrättas en standard för ett universellt meddelandeformat (UMF). Genom UMF definieras standarder för vissa innehållselement i det gränsöverskridande informationsutbytet mellan informationssystem, myndigheter eller organisationer på området rättsliga och inrikes frågor. (37) Rådets förordning (EG) nr 168/2007 av om inrättande av Europeiska unionens byrå för grundläggande rättigheter (EUT L 53, 22.2.2007, s. 1). L 135/114 Europeiska unionens officiella tidning 2.UMF-standarden ska användas vid utvecklingen av Eurodac, Ecris-TCN, ESP, , MID och, när så är lämpligt, eu- eller andra unionsbyråers utveckling av nya modeller för informationsutbyte och informationssystem på området rättsliga och inrikes frågor. 3.Kommissionen ska anta en genomförandeakt för att fastställa och utveckla den UMF-standard som avses i punkt 1 i denna artikel. Den genomförandeakten ska antas i enlighet med det granskningsförfarande som avses i artikel 70.2. Den centrala databasen för rapporter och statistik 1.Det ska inrättas en central databas för rapporter och statistik (CRRS) för att stödja målen för SIS, Eurodac och Ecris-TCN, i enlighet med de respektive rättsliga instrument som reglerar de systemen, och för att tillhandahålla systemöverskridande statistiska uppgifter och analysrapporter för politiska och operativa syften samt för uppgiftskvaliteten. 2.eu-Lisa ska inrätta, implementera och hysa i sina tekniska anläggningar CRRS som innehåller de uppgifter och den statistik som avses i artikel 74 i förordning (EU) 2018/1862 och artikel 32 i förordning (EU) 2019/816, logiskt åtskilda per EU-informationssystem. Åtkomst till CRRS ska beviljas via kontrollerad, säkrad åtkomst och specifika användar profiler enbart för rapportering och statistik, till de myndigheter som avses i artikel 74 i förordning (EU) 2018/1862 och artikel 32 i förordning (EU) 2019/816 3.eu-Lisa ska anonymisera uppgifterna och registrera de anonymiserade uppgifterna i CRRS. Förfarandet för att anonymisera uppgifterna ska vara automatiskt. Uppgifterna i CRRS ska inte möjliggöra identifiering av enskilda personer. 4.CRRS ska bestå av följande: a)De verktyg som är nödvändiga för anonymisering av uppgifter. b)En central infrastruktur som består av en databas med anonymiserade uppgifter. c)En säker kommunikationsinfrastruktur för att ansluta CRRS till SIS, Eurodac och Ecris-TCN samt de centrala infrastrukturerna för den gemensamma biometriska matchningstjänsten, och . 5.Kommissionen ska anta en delegerad akt i enlighet med artikel 69 för att fastställa detaljerade bestämmelser om driften av CRRS, inbegripet särskilda skyddsåtgärder för behandlingen av personuppgifter enligt punkterna 2 och 3 i den här artikeln och de säkerhetsregler som är tillämpliga på databasen. 1.När det gäller behandling av uppgifter i den gemensamma biometriska matchningstjänsten ska de av medlemsstaternas myndigheter som är personuppgiftsansvariga för Eurodac, SIS respektive Ecris-TCN vara personupp giftsansvariga i enlighet med artikel 4.7 i förordning (EU) 2016/679 eller artikel 3.8 i direktiv (EU) 2016/680 avseende de biometriska mallar som erhållits från de uppgifter som avses i artikel 13 i den här förordningen och som de för in i de underliggande systemen och ska ansvara för behandlingen av de biometriska mallarna i den gemensamma biometriska matchningstjänsten. 2.När det gäller behandling av uppgifter i ska de av medlemsstaternas myndigheter som är personuppgiftsansva riga för Eurodac respektive Ecris-TCN vara personuppgiftsansvariga i enlighet med artikel 4.7 i förordning (EU) 2016/679 eller artikel 3.8 i direktiv (EU) 2016/680 avseende de uppgifter som avses i artikel 18 i den här förordningen och som de för in i de underliggande systemen och ska ansvara för behandlingen av de personuppgifterna i . 3.När det gäller behandling av uppgifter i MID gäller följande: a)Europeiska gräns- och kustbevakningsbyrån ska vara personuppgiftsansvarig i den mening som avses i artikel 3.8 i förordning (EU) 2018/1725 när det gäller den behandling av personuppgifter som utförs av Etias centralenhet. b)De av medlemsstaternas myndigheter som lägger till eller ändrar uppgifter i akten med identitetsbekräftelse ska vara personuppgiftsansvariga i enlighet med artikel 4.7 i förordning (EU) 2016/679 eller artikel 3.8 i direktiv (EU) 2016/680 och ska ansvara för behandlingen av personuppgifter i MID. Europeiska unionens officiella tidning L 135/115 4.För övervakningen av dataskyddet, inbegripet kontroll av om en sökning är tillåten och om uppgifter har behandlats på ett lagligt sätt, ska de personuppgiftsansvariga ha åtkomst till de loggar som avses i artiklarna 10, 16, 24 och 36 för egenkontroll enligt vad som avses i artikel 44. När det gäller behandling av personuppgifter i den gemensamma biometriska matchningstjänsten, och ska eu- vara personuppgiftsbiträde i den mening som avses i artikel 3.12 a i förordning (EU) 2018/1725. 1.eu-Lisa, Etias centralenhet, Europol och medlemsstaternas myndigheter ska säkerställa säkerheten vid den behandling av personuppgifter som äger rum enligt denna förordning. eu-Lisa, Etias centralenhet, Europol och medlemsstaternas myndigheter ska samarbeta kring säkerhetsrelaterade uppgifter. 2.Utan att det påverkar tillämpningen av artikel 33 i förordning (EU) 2018/1725 ska eu-Lisa vidta nödvändiga åtgärder för att säkerställa interoperabilitetskomponenternas och den relaterade kommunikationsinfrastrukturens säkerhet. 3.eu-Lisa ska i synnerhet vidta nödvändiga åtgärder, inbegripet en säkerhetsplan, en kontinuitetsplan och en katastrofplan, i syfte att a)fysiskt skydda uppgifter, bland annat genom att utarbeta beredskapsplaner för skydd av kritisk infrastruktur, b)hindra obehöriga från åtkomst till utrustning eller anläggningar för uppgiftsbehandling, c)förhindra obehörig läsning, kopiering, ändring eller obehörigt avlägsnande av datamedier, d)hindra obehörigt inmatning av uppgifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter, e)förhindra obehörig behandling av uppgifter och obehörig kopiering, ändring eller radering av uppgifter, f)hindra obehöriga från att med hjälp av datakommunikationsutrustning använda automatiserade system för uppgifts behandling, g)säkerställa att personer som har åtkomstbehörighet till interoperabilitetskomponenterna har åtkomst endast till de uppgifter för vilka de är behöriga och endast genom individuella användaridentiteter och skyddade åtkomstmetoder, h)säkerställa att det finns möjlighet att kontrollera och fastställa till vilka organ personuppgifter får överföras med hjälp av datakommunikationsutrustning, i)säkerställa att det finns möjlighet att kontrollera och fastställa vilka uppgifter som har behandlats i interoperabilitets komponenterna, när detta har gjorts, av vem och i vilket syfte, j)hindra obehörig läsning, kopiering, ändring eller radering av personuppgifter i samband med överföring av personuppgifter till eller från interoperabilitetskomponenterna eller under transport av datamedier, särskilt med hjälp av lämplig krypteringsteknik, k)säkerställa att installerade system i händelse av driftavbrott kan återställas till normal drift, l)säkerställa driftsäkerhet genom att se till att eventuella driftfel hos interoperabilitetskomponenterna rapporteras på korrekt sätt, m)övervaka att de säkerhetsåtgärder som avses i denna punkt är verksamma och vidta nödvändiga organisatoriska åtgärder i fråga om intern övervakning för att säkerställa att denna förordning efterlevs och för att bedöma dessa säkerhetsåtgärder mot bakgrund av utvecklingen av ny teknik. 4.Medlemsstaterna, Europol och Etias centralenhet ska vidta åtgärder som är likvärdiga med de som avses i punkt 3 vad gäller säkerheten vid behandling av personuppgifter som utförs av de myndigheter som har rätt till åtkomst till någon av interoperabilitetskomponenterna. L 135/116 Europeiska unionens officiella tidning 1.Alla händelser som har eller kan ha inverkan på interoperabilitetskomponenternas säkerhet och som kan orsaka skada på eller förlust av uppgifter lagrade i dem ska betraktas som säkerhetstillbud, särskilt om obehörig åtkomst till uppgifter kan ha inträffat eller om uppgifters tillgänglighet, integritet och konfidentialitet har äventyrats eller kan ha äventyrats. 2.Säkerhetstillbud ska hanteras på ett sätt som säkerställer snabba, effektiva och välavvägda motåtgärder. Utan att det påverkar anmälan av och information om personuppgiftsincidenter i enlighet med artikel 33 i förordning (EU) 2016/679, artikel 30 i direktiv (EU) 2016/680, eller båda, ska medlemsstaterna utan dröjsmål underrätta kommissionen, eu-Lisa, de behöriga tillsynsmyndigheterna och Europeiska datatillsynsmannen om alla säkerhetstillbud. Utan att det påverkar tillämpningen av artiklarna 34 och 35 i förordning (EU) 2018/1725 och artikel 34 i förordning (EU) 2016/794 ska Etias centralenhet och Europol utan dröjsmål underrätta kommissionen, eu-Lisa och Europeiska datatillsynsmannen om alla säkerhetstillbud. Om ett säkerhetstillbud inträffar avseende interoperabilitetskomponenternas centrala infrastruktur ska eu-Lisa utan dröjsmål underrättakommissionen och Europeiska datatillsynsmannen. 4.Information om säkerhetstillbud som har eller kan ha inverkan på interoperabilitetskomponenternas drift eller på uppgifternas tillgänglighet, integritet och konfidentialitet ska utan dröjsmål tillhandahållas medlemsstaterna, Etias centralenhet samt Europol och rapporteras i enlighet med den incidenthanteringsplan som eu-Lisa ska tillhandahålla. 5.De berörda medlemsstaterna, Etias centralenhet, Europol och eu-Lisa ska samarbeta om ett säkerhetstillbud inträffar. Kommissionen ska fastställa specifikationer för detta samarbete genom genomförandeakter. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 70.2. Medlemsstaterna och de relevanta unionsbyråerna ska se till att varje myndighet som har åtkomsträtt till interoperabili tetskomponenterna vidtar nödvändiga åtgärder för att övervaka efterlevnaden av denna förordning och vid behov samarbetar med tillsynsmyndigheterna. De personuppgiftsansvariga som avses i artikel 40 ska vidta nödvändiga åtgärder för att övervaka att uppgiftsbe handlingen sker i enlighet med denna förordning, inklusive genom frekventa kontroller av de loggar som avses i artiklarna 10, 16, 24 och 36, och vid behov samarbeta med tillsynsmyndigheterna och med Europeiska datatill synsmannen. Medlemsstaterna ska se till att missbruk av uppgifter eller behandling eller utbyte av uppgifter i strid med denna förordning är belagt med sanktioner i enlighet med nationell rätt. Sanktionerna ska vara effektiva, proportionella och avskräckande. 1.Utan att det påverkar rätten till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet, eller dessas skadeståndsansvar i enlighet med förordning (EU) 2016/679, direktiv (EU) 2016/680 och förordning (EU) 2018/1725, ska följande gälla: a)Varje person eller medlemsstat som har lidit materiell eller immateriell skada till följd av en otillåten behandling av personuppgifter eller av någon annan åtgärd från en medlemsstats sida som är oförenlig med denna förordning ska ha rätt till ersättning från den berörda medlemsstaten. Europeiska unionens officiella tidning L 135/117 b)Varje person eller medlemsstat som har lidit materiell eller immateriell skada till följd av en åtgärd från Europols, Europeiska gräns- och kustbevakningsbyråns eller eu-Lisas sida som är oförenlig med denna förordning ska ha rätt till ersättning från byrån i fråga. Den berörda medlemsstaten, Europol, Europeiska gräns- och kustbevakningsbyrån eller eu-Lisa ska helt eller delvis undantas från sitt skadeståndsansvar enligt första stycket om de bevisar att de inte är ansvariga för den händelse som orsakade skadan. 2.Om en medlemsstats underlåtenhet att fullgöra sina skyldigheter i enlighet med denna förordning skadar interope rabilitetskomponenterna, ska den medlemsstaten vara ansvarig för denna skada, såvida inte och i den mån eu-Lisa eller en annan medlemsstat som är bunden av denna förordning har underlåtit att vidta rimliga åtgärder för att hindra skadan från att uppstå eller för att begränsa dess verkningar. 3.Skadeståndsanspråk mot en medlemsstat för sådan skada som avses i punkterna 1 och 2 ska regleras av den svarande medlemsstatens nationella rätt. Skadeståndsanspråk mot den personuppgiftsansvarige eller eu-Lisa för sådan skada som avses i punkterna 1 och 2 ska omfattas av de villkor som fastställs i fördragen. 1.Den myndighet som samlar in de personuppgifter som ska lagras i den gemensamma biometriska matchnings tjänsten, eller MID ska tillhandahålla de personer vars uppgifter insamlas den information som krävs enligt artiklarna 13 och 14 i förordning (EU) 2016/679, artiklarna 12 och 13 i förordning (EU) 2016/680 samt artiklarna 15 och 16 i förordning (EU) 2018/1725. Myndigheten ska tillhandahålla informationen då uppgifterna samlas in. 2.All information ska göras tillgänglig med hjälp av ett klart och tydligt språkbruk i en språkversion som den berörda personen förstår eller rimligen kan förväntas förstå. Detta ska innefatta att information tillhandahålls på ett sätt som är lämpligt med hänsyn till åldern för registrerade personer som är minderåriga. 3.Bestämmelserna om rätten till information i unionens tillämpliga dataskyddsregler ska tillämpas på personuppgifter som har registrerats i Ecris-TCN och behandlas i enlighet med denna förordning. Rätt till åtkomst till, rättelse och radering av samt begränsning av behandlingen av personuppgifter som lagras i MID 1.För att utöva sina rättigheter enligt artiklarna 15–18 i förordning (EU) 2016/679, artiklarna 17–20 i förordning (EU) 2018/1725 samt artiklarna 14, 15 och 16 i direktiv (EU) 2016/680 ska varje person ha rätt att vända sig till den behöriga myndigheten i vilken medlemsstat som helst, som ska pröva och besvara begäran. 2.Den medlemsstat som prövar en sådan begäran ska svara utan otillbörligt dröjsmål, dock senast efter mottagandet. får vid behov förlängas med , med beaktande av hur komplicerade och hur många begärandena är. Den medlemsstat som prövar begäran ska underrätta den registrerade om en sådan förlängning efter mottagandet av begäran och ange orsakerna till förseningen. Medlemsstaterna får besluta att dessa svar ska lämnas av centralenheter. 3.Om en begäran om rättelse eller radering av personuppgifter ställs till en annan medlemsstat än den medlemsstat som ansvarar för den verifieringen av olika identiteter ska den medlemsstat till vilken begäran ställts kontakta myndigheterna i den medlemsstat som ansvarar för den verifieringen av olika identiteter. Den medlemsstat som ansvarar för den verifieringen av olika identiteter ska utan otillbörligt dröjsmål, dock senast från en sådan kontakt, kontrollera om uppgifterna är korrekta och om de har behandlats på ett lagligt sätt. får vid behov förlängas med , med beaktande av hur komplicerade och hur många begärandena är. Den medlemsstat som ansvarar för den verifieringen av olika identiteter ska underrätta den medlemsstat som kontaktade denna om en sådan förlängning samt orsakerna till förseningen. Den berörda personen ska informeras av den medlemsstat som kontaktade myndigheten i den medlemsstat som ansvarar för den verifieringen av olika identiteter om det fortsatta förfarandet. L 135/118 Europeiska unionens officiella tidning 4.Om en begäran om rättelse eller radering av personuppgifter ställs till en medlemsstat där Etias centralenhet ansvarade för den verifieringen av olika identiteter, ska den medlemsstat till vilken begäran ställdes kontakta Etias centralenhet och begära att den avger ett yttrande. Etias centralenhet ska avge sitt yttrande utan otillbörligt dröjsmål, dock senast efter det att den kontaktades. får vid behov förlängas med , med beaktande av hur komplicerade och hur många begärandena är. Den berörda personen ska informeras om det fortsatta förfarandet av den medlemsstat som kontaktade Etias centralenhet. 5.Om det, efter en prövning, visar sig att de uppgifter som lagrades i MID är oriktiga eller har registrerats på ett olagligt sätt, ska den medlemsstat som ansvarade för den verifieringen av olika identiteter eller – om det inte fanns någon medlemsstat som ansvarade för den verifieringen av olika identiteter eller om Etias centralenhet ansvarade för den verifieringen av olika identiteter – den medlemsstat till vilken begäran har ställts utan otillbörligt dröjsmål rätta eller radera dessa uppgifter. Den berörda personen ska informeras skriftligen om att hans eller hennes uppgifter har rättats eller raderats. 6.Om uppgifter som lagras i MID ändras av en medlemsstat , ska den medlemsstaten utföra den behandling som avses i artikel 27 och, i förekommande fall, artikel 29 för att avgöra huruvida de ändrade uppgifterna ska länkas. Om behandlingen inte ger någon träff ska den medlemsstaten radera uppgifterna från akten med identitetsbekräftelse. Om den automatiska behandlingen ger en eller flera träffar ska den medlemsstaten skapa eller uppdatera den relevanta länken i enlighet med de relevanta bestämmelserna i denna förordning. 7.Om den medlemsstat som ansvarar för den verifieringen av olika identiteter eller, i tillämpliga fall, den medlemsstat till vilken begäran har ställts inte instämmer i att uppgifter som lagras i MID är oriktiga eller har registrerats på ett olagligt sätt, ska den medlemsstaten utan dröjsmål anta ett administrativt beslut med en skriftlig förklaring till den berörda personen om varför den inte är beredd att rätta eller radera uppgifter som rör honom eller henne. 8.Det beslut som avses i punkt 7 ska även ge den berörda personen information om möjligheten att invända mot det beslut som fattats med avseende på begäran om åtkomst till, rättelse, radering eller begränsning av behandling av personuppgifter och, i tillämpliga fall, information om hur talan kan väckas vid eller klagomål inges till behöriga myndigheter eller domstolar samt möjligheterna till bistånd, även från tillsynsmyndigheterna. 9.En begäran om åtkomst till, rättelse, radering eller begränsning av behandling av personuppgifter ska innehålla den information som behövs för att den berörda personen ska kunna identifieras. Denna information ska användas uteslutande för att de rättigheter som avses i denna artikel ska kunna utövas och ska raderas. 10.Den medlemsstat som ansvarar för den verifieringen av olika identiteter eller, i tillämpliga fall, den medlemsstat till vilken begäran har ställts ska spara skriftlig dokumentation av att en begäran om åtkomst till, rättelse, radering eller begränsning av behandling av personuppgifter har gjorts och hur den behandlats, och ska utan dröjsmål tillhandahålla tillsynsmyndigheterna denna dokumentation. Denna artikel påverkar inte begränsningar och inskränkningar av de rättigheter som anges i denna artikel i enlighet med förordning (EU) 2016/679 och direktiv (EU) 2016/680. 1.En webbportal inrättas för att underlätta utövandet av rätten till åtkomst till, rättelse, radering eller begränsning av behandling av personuppgifter. 2.Webbportalen ska innehålla information om de rättigheter och förfaranden som avses i artiklarna 47 och 48 och ett användargränssnitt som gör det möjligt för personer vars uppgifter behandlas i MID och som underrättats om förekomsten av en röd länk i enlighet med artikel 32.4 att få kontaktuppgifterna till den behöriga myndigheten i den medlemsstat som ansvarar för den verifieringen av olika identiteter. 3.För att få kontaktuppgifterna till den behöriga myndigheten i den medlemsstat som ansvarar för den verifieringen av olika identiteter bör den person vars uppgifter behandlas i MID uppge referensen för den myndighet som ansvarar för den verifieringen av olika identiteter enligt vad som avses i artikel 34 d. Webbportalen ska använda denna referens för att hämta kontaktuppgifterna till den behöriga myndigheten i den medlemsstat som ansvarar för den verifieringen av olika identiteter. Webbportalen ska också inkludera en mall för ett e-postmeddelande för att underlätta kommunikationen mellan portalanvändaren och den behöriga myndigheten i den medlemsstat som ansvarar för den verifieringen av olika identiteter. Detta e-postmeddelande ska innehålla ett fält för det enda identifikationsnummer som avses i artikel 34 c, så att den behöriga myndigheten i den medlemsstat som ansvarar för den verifieringen av olika identiteter kan identifiera de berörda uppgifterna. Europeiska unionens officiella tidning L 135/119 4.Medlemsstaterna ska ge eu-Lisa kontaktuppgifter till alla myndigheter som är behöriga att pröva och besvara varje sådan begäran som avses i artiklarna 47 och 48 och ska regelbundet se över huruvida dessa kontaktuppgifter är aktuella. 5.eu-Lisa ska utveckla webbportalen och säkerställa dess tekniska förvaltning. 6.Kommissionen ska anta en delegerad akt i enlighet med artikel 69 för att fastställa närmare bestämmelser om driften av webbportalen, inklusive användargränssnittet, de språk på vilka webbportalen ska finnas tillgänglig och e- postmallen. Överföring av personuppgifter till tredjeländer, internationella organisationer och privata parter Utan att det påverkar tillämpningen av artikel 31 i förordning (EG) nr 767/2008, artiklarna 25 och 26 i förordning (EU) 2016/794, artikel 41 i förordning (EU) 2017/2226, artikel 65 i förordning (EU) 2018/1240 eller sökning via ESP i enlighet med artikel 9.5 i den här förordningen i de av databaser vilka uppfyller bestämmelserna i kapitel V i förordning (EU) 2018/1725 och kapitel V i förordning (EU) 2016/679 får personuppgifter som lagras eller behandlas i interoperabilitetskomponenterna eller till vilka interoperabilitetskomponenterna fått åtkomst inte överföras till eller göras tillgängliga för tredjeländer, internationella organisationer eller privata parter. 1.Varje medlemsstat ska se till att tillsynsmyndigheterna på ett oberoende sätt övervakar lagligheten i den berörda medlemsstatens behandling av personuppgifter enligt den här förordningen, inklusive överföringen av dem till och från interoperabilitetskomponenterna. Varje medlemsstat ska se till att de nationella lagar, föreskrifter och administrativa bestämmelser som antas i enlighet med direktiv (EU) 2016/680 vid behov är tillämpliga också på polismyndigheters och utsedda myndigheters åtkomst till interoperabilitetskomponenterna, även med avseende på rättigheterna för de personer vars uppgifter åtkomsten gäller. 3.Tillsynsmyndigheterna ska säkerställa att en revision av den behandling av personuppgifter som utförs av de ansvariga nationella myndigheterna vid tillämpningen av denna förordning genomförs i enlighet med relevanta internationella revisionsstandarder minst . Tillsynsmyndigheterna ska offentliggöra antalet begäranden om rättelse, radering eller begränsning av behandling av personuppgifter, åtgärder som vidtagits till följd av detta och antalet rättelser, raderingar eller begränsningar av behandling som gjorts till följd av begärandena från de berörda personerna. 4.Medlemsstaterna ska se till att deras tillsynsmyndigheter har de resurser och den expertis som krävs för att fullgöra de uppgifter som de åläggs enligt denna förordning. 5.Medlemsstaterna ska tillhandahålla all information som begärs av en sådan tillsynsmyndighet som avses i artikel 51.1 i förordning (EU) 2016/679 och ska i synnerhet förse den med information om verksamhet som bedrivs i enlighet med deras ansvarsområden enligt den här förordningen. Medlemsstaterna ska bevilja de tillsynsmyndigheter som avses