sou · H9B320 · 2022-01-01 00:00:00 — 3.Medlemsstaterna ska säkerställa datasäkerheten före och under överföringen till och mottagandet från den nationella centrala åtkomstpunkten. Varje medlemsstat ska särskilt a)fysiskt skydda uppgifter, bland annat genom att utarbeta beredskapsplaner för att skydda infrastruktur, b)hindra obehöriga från att få åtkomst till nationella anläggningar där medlemsstaten bedriver verksamhet med anknytning till Ecris-TCN, c)hindra obehöriga från att läsa, kopiera, ändra eller avlägsna datamedier, L 135/16 Europeiska unionens officiella tidning d)förhindra obehörig registrering av uppgifter och obehörig inspektion, ändring eller radering av lagrade personuppgifter, e)hindra obehörig behandling av uppgifter i Ecris-TCN och obehörig ändring eller radering av uppgifter som behandlats i Ecris-TCN, f)säkerställa att personer som är behöriga att få åtkomst till Ecris-TCN endast har åtkomst till de uppgifter för vilka de har åtkomstbehörighet, och att detta sker endast med hjälp av individuella användaridentiteter och konfidentiella åtkomstmetoder, g)säkerställa att alla myndigheter med rätt till åtkomst till Ecris-TCN skapar profiler som beskriver arbetsuppgifter och ansvarsområden för personer som är behöriga att föra in, rätta, radera, konsultera och söka uppgifter och på begäran utan onödigt dröjsmål gör dessa profiler tillgängliga för de nationella tillsynsmyndigheterna, h)säkerställa att det finns möjlighet att kontrollera och fastställa till vilka av unionens organ och byråer personuppgifter får överföras via datakommunikationsutrustning, i)säkerställa att det finns möjlighet att kontrollera och fastställa vilka uppgifter som har behandlats i Ecris-TCN, när detta har gjorts, av vem, och med vilket ändamål, j)hindra obehörig läsning, kopiering, ändring eller radering av personuppgifter i samband med överföring av personuppgifter till eller från Ecris-TCN eller under transport av datamedier, särskilt med hjälp av lämplig krypteringsteknik, k)övervaka att de säkerhetsåtgärder som avses i denna punkt är ändamålsenliga och vidta nödvändiga organisatoriska åtgärder i fråga om egenkontroll och tillsyn för att säkerställa att denna förordning efterlevs. 4.EU-Lisa och medlemsstaterna ska samarbeta för att säkerställa ett konsekvent arbetssätt när det gäller datasäkerhet som grundar sig på en process för säkerhetsriskhantering som omfattar hela Ecris-TCN. 1.Varje person eller medlemsstat som har lidit ekonomisk eller ideell skada till följd av en olaglig behandling eller någon annan handling som är oförenlig med denna förordning ska ha rätt till ersättning från a)den medlemsstat som är ansvarig för den uppkomna skadan, eller b), om inte har uppfyllt sina skyldigheter enligt denna förordning eller förordning (EU) 2018/1725. Den medlemsstat som är ansvarig för den uppkomna skadan respektive ska helt eller delvis befrias från detta ansvar om den bevisar att den inte är ansvarig för den händelse som orsakade skadan. 2.Om en medlemsstats, Eurojusts, Europols eller Europeiska åklagarmyndighetens underlåtenhet att uppfylla sina skyldigheter enligt denna förordning skadar Ecris-TCN, ska den medlemsstaten, Eurojust, Europol respektive Europeiska åklagarmyndigheten hållas ansvarig för sådan skada, såvida inte och i den mån eller en annan medlemsstat som deltar i Ecris-TCN underlät att vidta rimliga åtgärder för att förhindra skadan eller för att minimera dess verkningar. 3.Ersättningsanspråk mot en medlemsstat för de skador som avses i punkterna 1 och 2 ska regleras av svarandemed lemsstatens rätt. Ersättningsanspråk mot , Eurojust, Europol och Europeiska åklagarmyndigheten för de skador som avses i punkterna 1 och 2 ska regleras av deras respektive grundakt. Medlemsstaterna ska säkerställa att varje centralmyndighet vidtar de åtgärder som är nödvändiga för att följa denna förordning och vid behov samarbetar med tillsynsmyndigheterna. Varje missbruk av uppgifter som förts in i Ecris-TCN ska bli föremål för effektiva, proportionella och avskräckande sanktioner eller disciplinära åtgärder, i enlighet med nationell rätt eller unionsrätt. Europeiska unionens officiella tidning L 135/17 1.Varje centralmyndighet ska fungera som personuppgiftsansvarig i enlighet med unionens tillämpliga dataskyddsregler med avseende på behandling av personuppgifter som centralmyndighetens medlemsstat utför enligt denna förordning. 2.EU-Lisa ska fungera som personuppgiftsbiträde i enlighet med förordning (EU) 2018/1725 i fråga om personuppgifter som förts in i det centrala systemet av medlemsstaterna. Ändamål med behandlingen av personuppgifter 1.De uppgifter som förs in i det centrala systemet ska endast behandlas med ändamålet att identifiera de medlemsstater som innehar uppgifterna i kriminalregister om tredjelandsmedborgare. 2.Med undantag för vederbörligen bemyndigad personal vid Eurojust, Europol och Europeiska åklagarmyndigheten som har åtkomst till Ecris-TCN inom ramen för denna förordning, ska åtkomst till Ecris-TCN uteslutande vara förbehållen vederbörligen bemyndigad personal vid centralmyndigheterna. Åtkomst ska begränsas till den utsträckning som är nödvändig för att utföra arbetsuppgifterna för det ändamål som anges i punkt 1, och till vad som är nödvändigt och proportionellt i förhållande till de mål som eftersträvas. Rätt till tillgång, rättelse, radering och begränsning av behandling 1.Begäranden från tredjelandsmedborgare som avser rätten till tillgång till personuppgifter, till rättelse och radering liksom begränsning av behandlingen av personuppgifter, vilken fastställs i unionens tillämpliga dataskyddsregler, kan riktas till centralmyndigheten i varje medlemsstat. 2.Om en begäran görs hos en annan medlemsstat än den dömande medlemsstaten ska den medlemsstat hos vilken begäran har ingetts vidarebefordra denna till den dömande medlemsstaten, utan onödigt dröjsmål och under alla omständigheter efter det att begäran har mottagits. Vid mottagande av begäran ska den dömande medlemsstaten a)inleda förfarandet för att kontrollera att de berörda uppgifterna är riktiga och att behandlingen av dessa i Ecris-TCN var laglig, och b)utan onödigt dröjsmål svara den medlemsstat som vidarebefordrat begäran. 3.Om det framkommer att uppgifter som registrerats i Ecris-TCN är felaktiga eller har behandlats på ett olagligt sätt ska den dömande medlemsstaten rätta eller radera uppgifterna i enlighet med artikel 9. Den dömande medlemsstaten eller, i tillämpliga fall, den medlemsstat hos vilken begäran har gjorts, ska utan onödigt dröjsmål lämna skriftlig bekräftelse till den berörda personen på att åtgärder har vidtagits för att rätta eller radera uppgifter om den personen. Den dömande medlemsstaten ska också utan onödigt dröjsmål informera eventuella andra medlemsstater som har mottagit uppgifter om fällande domar som erhållits genom en sökning i Ecris-TCN om vilka åtgärder som har vidtagits. 4.Om den dömande medlemsstaten inte instämmer i att uppgifter som registrerats i Ecris-TCN är felaktiga eller har behandlats på ett olagligt sätt, ska medlemsstaten anta ett administrativt eller rättsligt beslut med en skriftlig förklaring till den berörda personen om varför den inte är beredd att rätta eller radera uppgifter som rör den personen. Sådana fall får, när så är lämpligt, meddelas till den nationella tillsynsmyndigheten. 5.Den medlemsstat som har antagit beslutet enligt punkt 4 ska också tillhandahålla den berörda personen information som förklarar vilka åtgärder personen kan vidta om denne inte godtar den förklaring som getts enligt punkt 4.Detta ska omfatta information om hur det går till att väcka talan vid domstol eller inge klagomål till behöriga myndigheter i den medlemsstaten och vilket bistånd, inbegripet från de nationella tillsynsmyndigheterna, som finns tillgängligt i enlighet med nationell rätt i den medlemsstaten. L 135/18 Europeiska unionens officiella tidning 6.En begäran enligt punkt 1 ska innehålla den information som behövs för att den berörda personen ska kunna identifieras. Denna information ska endast användas för att de rättigheter som avses i punkt 1 ska kunna utövas och ska raderas. 7.I fall då punkt 2 är tillämplig ska den centralmyndighet till vilken begäran riktades bevara en skriftlig handling där det anges att en sådan begäran har gjorts och hur den hanterades samt till vilken myndighet den vidarebefordrades. På begäran av den nationella tillsynsmyndigheten ska centralmyndigheten utan dröjsmål göra denna handling tillgänglig för den nationella tillsynsmyndigheten. och tillsynsmyndigheterna ska radera sådana registreringar efter det att de gjordes. Samarbete för att säkerställa respekten för dataskyddsrättigheter 1.Centralmyndigheterna ska samarbeta med varandra för att säkerställa att de rättigheter som föreskrivs i artikel 25 respekteras. 2.I varje medlemsstat ska den nationella tillsynsmyndigheten på begäran ge berörda personer information om hur de kan utöva sin rätt att rätta eller radera uppgifter som rör dem, i enlighet med unionens tillämpliga dataskyddsregler. 3.Vid tillämpning av denna artikel ska den nationella tillsynsmyndigheten i den medlemsstat som överförde uppgifterna och den nationella tillsynsmyndigheten i medlemsstaten hos vilken begäran gjorts samarbeta med varandra. Var och en ska i enlighet med nationell rätt eller unionsrätt ha rätt att inge klagomål och rätt att anlita ett rättsmedel i den dömande medlemsstat som har vägrat vederbörande rätt att få åtkomst till eller rätt att rätta eller radera uppgifter om honom eller henne som avses i artikel 25. 1.Varje medlemsstat ska säkerställa att de nationella tillsynsmyndigheter som utsetts enligt unionens tillämpliga dataskyddsregler kontrollerar lagligheten i den berörda medlemsstatens behandling av personuppgifter enligt artiklarna 5 och 6, inbegripet överföring av dem till och från Ecris-TCN. 2.Den nationella tillsynsmyndigheten ska säkerställa att en granskning av behandlingar av uppgifter i de nationella datoriserade kriminalregistren och fingeravtrycksdatabaserna i samband med utbyte av uppgifter mellan de systemen och Ecris-TCN utförs i enlighet med relevanta internationella revisionsstandarder minst efter den dag då Ecris- TCN tas i drift. 3.Medlemsstaterna ska säkerställa att deras nationella tillsynsmyndigheter har tillräckliga resurser för att fullgöra de uppgifter som den åläggs inom ramen för denna förordning. 4.Varje medlemsstat ska tillhandahålla all information som begärs av de nationella tillsynsmyndigheterna och ska särskilt förse dem med information om verksamhet i enlighet med artiklarna 12, 13 och 19. Varje medlemsstat ska ge tillsynsmyndigheterna åtkomst till sina register enligt artikel 25.7 och till sina loggar enligt artikel 31.6 och bevilja dem tillträde till alla sina lokaler som är relaterade till Ecris-TCN. Europeiska datatillsynsmannen ska tillse att behandling av personuppgifter som rör Ecris-TCN utförs i enlighet med denna förordning. Europeiska unionens officiella tidning L 135/19 2.Europeiska datatillsynsmannen ska säkerställa att en revision av behandling av personuppgifter genomförs minst i enlighet med internationella revisionsstandarder. En rapport om revisionen ska sändas till , rådet, kommissionen, och tillsynsmyndigheterna. ska ges tillfälle att yttra sig innan rapporten antas. 3.EU-Lisa ska tillhandahålla den information som begärs av Europeiska datatillsynsmannen, ge honom eller henne åtkomst till alla dokument och till de loggar som avses i artikel 31 samt bevilja honom eller henne tillträde till alla sina lokaler. Samarbete mellan nationella tillsynsmyndigheter och Europeiska datatillsynsmannen En samordnad tillsyn av Ecris-TCN ska säkerställas i enlighet med artikel 62 i förordning (EU) 2018/1725. 1.EU-Lisa och de behöriga myndigheterna ska i enlighet med sitt respektive ansvarsområde säkerställa att alla uppgiftsbehandlingar i Ecris-TCN registreras i en logg i enlighet med punkt 2 i syfte att kontrollera om begäranden varit tillåtna, att övervaka dataintegritet och datasäkerhet och att behandlingen av uppgifterna varit laglig samt i syfte att utföra egenkontroll. 2.Av loggen ska framgå a)ändamålet med begäran om åtkomst till uppgifter i Ecris-TCN, b)vilka uppgifter som har överförts i enlighet med vad som avses i artikel 5, c)nationell ärendereferens, d)datum och exakt tidpunkt för uppgiftsbehandlingen, e)vilka uppgifter som använts för en sökning, f)den identifierande beteckningen för den tjänsteman som utförde sökningen. 3.Loggen om sökningar och utlämnande av uppgifter ska göra det möjligt att fastställa syftet med sådana uppgiftsbe handlingar. 4.Loggar får användas endast för att övervaka att uppgiftsbehandling är laglig och för att säkerställa dataintegriteten och datasäkerheten. Endast loggar som innehåller andra uppgifter än personuppgifter får användas för den övervakning och utvärdering som avses i artikel 36. Dessa loggar ska på lämpligt sätt skyddas mot obehörig åtkomst och raderas , om de inte längre behövs för övervakningsförfaranden som redan har inletts. 5.EU-Lisa ska på begäran göra loggarna till sin uppgiftsbehandling tillgängliga för centralmyndigheterna utan onödigt dröjsmål. 6.De behöriga nationella tillsynsmyndigheter som ansvarar för att kontrollera om begärandena varit tillåtna och för att övervaka att behandlingen av uppgifterna är laglig och för att säkerställa dataintegriteten och datasäkerheten ska ha åtkomst till loggar på begäran, så att de kan fullgöra sina uppgifter. På begäran ska centralmyndigheterna göra loggarna till sin uppgiftsbehandling tillgängliga för de behöriga nationella tillsynsmyndigheterna utan onödigt dröjsmål. Användning av uppgifter för rapportering och statistik 1.Den vederbörligen bemyndigade personalen vid , de behöriga myndigheterna och kommissionen ska ha åtkomst till de uppgifter som behandlats inom Ecris-TCN endast för rapporterings- och statistikändamål och utan att det är möjligt att identifiera enskilda personer. L 135/20 Europeiska unionens officiella tidning 2.Vid tillämpning av punkt 1 ska upprätta, genomföra och hysa ett centralregister i sina tekniska driftställen som innehåller uppgifter enligt punkt 1 som, utan att det är möjligt att identifiera enskilda personer, gör det möjligt att erhålla anpassade rapporter och statistik. Åtkomst till centralregistret ska beviljas genom säkrad åtkomst med åtkomstkontroll och specifika användarprofiler, endast för rapporterings- och statistikändamål. 3.De förfaranden som införs av i syfte att övervaka Ecris-TCN:s funktion enligt artikel 36 samt Ecris referensprogramvara ska inbegripa möjligheten att ta fram regelbunden statistik för övervakningsändamål. ska till kommissionen översända statistik över registrering, lagring och utbyte av uppgifter ur kriminalregister via Ecris-TCN och Ecris referensprogramvara. ska säkerställa att det inte är möjligt att identifiera enskilda personer med hjälp av statistiken. På kommissionens begäran ska tillhandahålla kommissionen statistik om särskilda aspekter som rör genomförandet av denna förordning. 4.Medlemsstaterna ska tillhandahålla den statistik den behöver för att kunna uppfylla sina skyldigheter som avses i denna artikel. De ska tillhandahålla kommissionen statistik över antalet dömda tredjelandsmedborgare och antalet fällande domar mot tredjelandsmedborgare inom deras territorium. 1.Kostnaderna i samband med inrättande och drift av det centrala systemet, kommunikationsinfrastrukturen som avses i artikel 4.1 d, gränssnittsprogrammet och Ecris referensprogramvara ska belasta unionens allmänna budget. 2.Kostnaderna för anslutning av Eurojust, Europol och Europeiska åklagarmyndigheten till Ecris-TCN ska belasta deras respektive budget. 3.Andra kostnader ska bäras av medlemsstaterna, särskilt de kostnader som har förorsakats av anslutningen av befintliga , fingeravtrycksdatabaser och centralmyndigheterna till Ecris-TCN, samt kostnaderna för att hysa Ecris referensprogramvara. 1.Varje medlemsstat ska underrätta om den eller de centralmyndigheter som har åtkomst för att föra in, rätta, radera, konsultera eller söka uppgifter, samt om alla förändringar i detta avseende. 2.EU-Lisa ska säkerställa att den förteckning över centralmyndigheter som anges i medlemsstaternas underrättelser offentliggörs både i Europeiska unionens officiella tidning och på dess webbplats. När mottar en underrättelse om en ändring av en medlemsstats centralmyndighet ska den uppdatera förteckningen utan onödigt dröjsmål. Införande av uppgifter och driftstart 1.När kommissionen konstaterat att följande villkor är uppfyllda ska den fastställa den dag från och med vilken medlemsstaterna ska börja föra in de uppgifter som avses i artikel 5 i Ecris-TCN: a)De relevanta genomförandeakter som avses i artikel 10 har antagits. b)Medlemsstaterna har godkänt de tekniska och rättsliga arrangemang som ska gälla för insamling och överföring till Ecris-TCN av de uppgifter som avses i artikel 5 och anmält dessa till kommissionen. c)har utfört ett heltäckande test av Ecris-TCN i samarbete med medlemsstaterna och med användning av anonyma testdata. 2.När kommissionen har fastställt vilken dag uppgifter ska börja föras in i enlighet med punkt 1 ska den underrätta medlemsstaterna om denna dag. från denna dag ska medlemsstaterna föra in de uppgifter som avses iartikel 5 i Ecris-TCN, med beaktande av artikel 41.2. Europeiska unionens officiella tidning L 135/21 3.Efter utgången av den period som avses i punkt 2 ska utföra ett slutligt test av Ecris-TCN, i samarbete med medlemsstaterna. 4.När det test som avses i punkt 3 har slutförts med tillfredsställande resultat och anser att Ecris-TCN kan tas idrift ska underrätta kommissionen om detta. Kommissionen ska informera och rådet om resultaten av testet och besluta vilken dag Ecris-TCN ska tas i drift. 5.Det kommissionsbeslut om den dag då Ecris-TCN ska tas i drift som avses i punkt 4 ska offentliggöras i Europeiska unionens officiella tidning. 6.Medlemsstaterna ska börja använda Ecris-TCN från och med den dag som fastställts av kommissionen i enlighet med punkt 4. 7.När kommissionen fattar de beslut som avses i denna artikel får den ange olika datum för införande i Ecris-TCN av de alfanumeriska uppgifter och uppgifter om fingeravtryck som avses i artikel 5 samt för driftstart för dessa olika kategorier av uppgifter. 1.EU-Lisa ska säkerställa att det finns förfaranden för att övervaka utvecklingen av Ecris-TCN mot bakgrund av målen vad gäller planering och kostnader samt att övervaka Ecris-TCN:s och Ecris referensprogramvaras funktion med beaktande av målen vad gäller tekniska resultat, kostnadseffektivitet, säkerhet och tjänsternas kvalitet. 2.I syfte att övervaka Ecris-TCN:s funktion och det tekniska underhållet av detta ska ha åtkomst till nödvändig information om de behandlingar av uppgifter som utförs inom Ecris-TCN och inom Ecris referenspro gramvara. 3.Senast den 12 december 2019 och därefter var sjätte månad under utformnings- och utvecklingsfasen ska lämna en lägesrapport till och rådet om utvecklingen av Ecris-TCN och Ecris referensprogramvara. 4.Den rapport som avses i punkt 3 ska innehålla en översikt över de aktuella kostnaderna och projektets framsteg, en bedömning av de ekonomiska konsekvenserna och information om eventuella tekniska problem och risker som kan påverka de övergripande kostnaderna för Ecris-TCN, vilka ska belasta unionens allmänna budget i enlighet med artikel 5.Om det uppstår kraftiga förseningar i utvecklingsprocessen ska möjligt informera Europapar lamentet och rådet om orsakerna till dessa förseningar och vilka tidsmässiga och ekonomiska konsekvenser de får. 6.Så snart som utvecklingen av Ecris-TCN och Ecris referensprogramvara har slutförts ska lämna en rapport till och rådet med en redogörelse för hur målen avseende framför allt planering och kostnader har uppfyllts samt ge en motivering till eventuella avvikelser. 7.Om en teknisk uppgradering behöver göras av Ecris-TCN som skulle kunna medföra avsevärda kostnader, ska EU- informera och rådet om detta. efter det att driften av Ecris-TCN har inletts och därefter ska lämna en rapport till kommissionen om Ecris-TCN:s och Ecris referensprogramvaras tekniska funktion, inklusive säkerhetsaspekter, särskilt baserat på statistiken om Ecris-TCN:s funktion och användning och om utbytet, via Ecris referensprogramvara, av uppgifter ur kriminalregister. efter driftstarten av Ecris-TCN och därefter ska kommissionen genomföra en övergripande utvärdering av Ecris-TCN och Ecris referensprogramvara. Den övergripande utvärderingsrapport som upprättas på denna grund ska innehålla en bedömning av denna förordnings tillämpning och en granskning av de resultat som uppnåtts iförhållande till de mål som sattes upp och inverkan på de grundläggande rättigheterna. Rapporten ska också innehålla en bedömning av huruvida de förutsättningar som ligger till grund för att driva Ecris-TCN fortfarande gäller, av huruvida det är lämpligt att använda biometriska uppgifter för Ecris-TCN liksom av säkerheten i Ecris-TCN och eventuella säkerhetskonsekvenser för framtida drift. Utvärderingen ska innefatta eventuella nödvändiga rekommendationer. Kommissionen ska överlämna rapporten till , rådet, Europeiska datatillsynsmannen och Europeiska unionens byrå för grundläggande rättigheter. L 135/22 Europeiska unionens officiella tidning 10.Dessutom ska den första övergripande utvärderingen enligt punkt 9 innefatta en bedömning av följande: a)I vilken utsträckning, på grundval av relevanta statistiska uppgifter och ytterligare information från medlemsstaterna, inkluderingen av identitetsuppgifter i Ecris-TCN för unionsmedborgare som också är medborgare i ett tredjeland har bidragit till uppnåendet av målen i denna förordning. b)Möjligheten, för vissa medlemsstater, att fortsätta att använda den nationella programvaran för genomförande av Ecris enligt artikel 4. c)Införandet av uppgifter om fingeravtryck i Ecris-TCN, särskilt tillämpningen av de minimikriterier som avses i artikel 5.1 b ii. d)Ecris och Ecris-TCN:s inverkan på skyddet av personuppgifter. Bedömningen kan vid behov åtföljas av lagstiftningsförslag. Efterföljande övergripande utvärderingar får inbegripa en bedömning av någon eller alla dessa aspekter. 11.Medlemsstaterna, Eurojust, Europol och Europeiska åklagarmyndigheten ska ge och kommissionen den information som är nödvändig för att utarbeta de rapporter som avses i punkterna 3, 8 och 9 i enlighet med de kvantitativa indikatorer som fastställts på förhand av kommissionen eller eller båda två. Denna information får inte äventyra arbetsmetoder eller innehålla uppgifter som röjer källor, personal eller utredningar. 12.I förekommande fall ska tillsynsmyndigheterna ge och kommissionen den information som de behöver för att kunna utarbeta de rapporter som avses i punkt 9 i enlighet med de kvantitativa indikatorer som fastställts på förhand av kommissionen eller eller båda två. Denna information får inte äventyra arbetsmetoder eller innehålla uppgifter som röjer källor, personal eller utredningar. 13.EU-Lisa ska ge kommissionen den information som är nödvändig för att ta fram de övergripande utvärderingar som avses i punkt 9. 1.Befogenheten att anta delegerade akter ges till kommissionen med förbehåll för de villkor som anges i denna artikel. 2.Den befogenhet att anta delegerade akter som avses i artikel 6.2 ska ges till kommissionen tills vidare . 3.Den delegering av befogenhet som avses i artikel 6.2 får när som helst återkallas av eller rådet. Ett beslut om återkallelse innebär att delegeringen av den befogenhet som anges i beslutet upphör att gälla. Beslutet får verkan dagen efter det att det offentliggörs i Europeiska unionens officiella tidning, eller vid ett senare i beslutet angivet datum. Det påverkar inte giltigheten av delegerade akter som redan har trätt i kraft.