# Journal officiel L 135/2019

| | ISSN 1977-0693 |
| --- | --- |
| Journal officiel
  de l'Union européenne | L 135 |
| | |
| Édition de langue française | Législation | 62e année22 mai 2019 |

ISSN 1977-0693

Journal officiel

de l'Union européenne

L 135

Édition de langue française

Législation

62e année22 mai 2019

---

| Sommaire | | I   Actes législatifs | page |
| --- | --- | --- | --- |
| | | RÈGLEMENTS |
| | * | Règlement (UE) 2019/816 du Parlement européen et du Conseil du 17 avril 2019 portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726 | 1 |
| | * | Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil | 27 |
| | * | Règlement (UE) 2019/818 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816 | 85 |

Sommaire

I   Actes législatifs

page

RÈGLEMENTS

*

Règlement (UE) 2019/816 du Parlement européen et du Conseil du 17 avril 2019 portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726

1

*

Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil

o

27

*

Règlement (UE) 2019/818 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816

85

| FR | Les actes dont les titres sont imprimés en caractères maigres sont des actes de gestion courante pris dans le cadre de la politique agricole et ayant généralement une durée de validité limitée.
  Les actes dont les titres sont imprimés en caractères gras et précédés d'un astérisque sont tous les autres actes. |
| --- | --- |

FR

Les actes dont les titres sont imprimés en caractères maigres sont des actes de gestion courante pris dans le cadre de la politique agricole et ayant généralement une durée de validité limitée.

Les actes dont les titres sont imprimés en caractères gras et précédés d'un astérisque sont tous les autres actes.

---

I Actes législatifs

RÈGLEMENTS

| 22.5.2019 | FR | Journal officiel de l'Union européenne | L 135/1 |
| --- | --- | --- | --- |

22.5.2019

FR

Journal officiel de l'Union européenne

L 135/1

---

RÈGLEMENT (UE) 2019/816 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 17 avril 2019

portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 82, paragraphe 1, deuxième alinéa, point d),

vu la proposition de la Commission européenne,

après transmission du projet d'acte législatif aux parlements nationaux,

statuant conformément à la procédure législative ordinaire (1),

considérant ce qui suit:

| (1) | L'Union s'est donné pour objectif d'offrir à ses citoyens un espace de liberté, de sécurité et de justice sans frontières intérieures, au sein duquel est assurée la libre circulation des personnes. Cet objectif devrait être réalisé au moyen, entre autres, de mesures appropriées visant à prévenir et à lutter contre la criminalité, y compris la criminalité organisée et le terrorisme. |
| --- | --- |

(1)

L'Union s'est donné pour objectif d'offrir à ses citoyens un espace de liberté, de sécurité et de justice sans frontières intérieures, au sein duquel est assurée la libre circulation des personnes. Cet objectif devrait être réalisé au moyen, entre autres, de mesures appropriées visant à prévenir et à lutter contre la criminalité, y compris la criminalité organisée et le terrorisme.

| (2) | Cet objectif requiert que les informations relatives aux condamnations prononcées dans les États membres soient prises en compte en dehors de l'État membre de condamnation à l'occasion d'une nouvelle procédure pénale, conformément à la décision-cadre 2008/675/JAI du Conseil (2), ainsi que pour prévenir de nouvelles infractions. |
| --- | --- |

(2)

Cet objectif requiert que les informations relatives aux condamnations prononcées dans les États membres soient prises en compte en dehors de l'État membre de condamnation à l'occasion d'une nouvelle procédure pénale, conformément à la décision-cadre 2008/675/JAI du Conseil (2), ainsi que pour prévenir de nouvelles infractions.

| (3) | Cet objectif suppose des échanges d'informations extraites des casiers judiciaires entre les autorités compétentes des États membres. Ces échanges d'informations sont organisés et facilités par les règles énoncées dans la décision-cadre 2009/315/JAI du Conseil (3) et par le système européen d'information sur les casiers judiciaires (ECRIS), créé conformément à la décision 2009/316/JAI du Conseil (4). |
| --- | --- |

(3)

Cet objectif suppose des échanges d'informations extraites des casiers judiciaires entre les autorités compétentes des États membres. Ces échanges d'informations sont organisés et facilités par les règles énoncées dans la décision-cadre 2009/315/JAI du Conseil (3) et par le système européen d'information sur les casiers judiciaires (ECRIS), créé conformément à la décision 2009/316/JAI du Conseil (4).

| (4) | Toutefois, le cadre juridique actuel de l'ECRIS ne répond pas suffisamment aux particularités des demandes concernant des ressortissants de pays tiers. Bien qu'il soit déjà possible d'échanger des informations sur les ressortissants de pays tiers au moyen de l'ECRIS, il n'existe pas de procédure ni de mécanisme commun de l'Union permettant de le faire avec efficacité, rapidité et exactitude. |
| --- | --- |

(4)

Toutefois, le cadre juridique actuel de l'ECRIS ne répond pas suffisamment aux particularités des demandes concernant des ressortissants de pays tiers. Bien qu'il soit déjà possible d'échanger des informations sur les ressortissants de pays tiers au moyen de l'ECRIS, il n'existe pas de procédure ni de mécanisme commun de l'Union permettant de le faire avec efficacité, rapidité et exactitude.

| (5) | Au sein de l'Union, les informations relatives aux ressortissants de pays tiers ne sont pas rassemblées, comme c'est le cas pour les ressortissants des États membres, dans l'État membre de nationalité, mais seulement conservées dans les États membres où les condamnations ont été prononcées. Il n'est donc possible d'avoir un aperçu complet des antécédents judiciaires d'un ressortissant d'un pays tiers qu'en demandant ces informations à tous les États membres. |
| --- | --- |

(5)

Au sein de l'Union, les informations relatives aux ressortissants de pays tiers ne sont pas rassemblées, comme c'est le cas pour les ressortissants des États membres, dans l'État membre de nationalité, mais seulement conservées dans les États membres où les condamnations ont été prononcées. Il n'est donc possible d'avoir un aperçu complet des antécédents judiciaires d'un ressortissant d'un pays tiers qu'en demandant ces informations à tous les États membres.

| (6) | De telles demandes générales imposent une charge administrative disproportionnée à tous les États membres, y compris à ceux qui ne détiennent pas d'informations sur le ressortissant d'un pays tiers concerné. Dans la pratique, cette charge dissuade les États membres de demander des informations sur les ressortissants de pays tiers à d'autres États membres, ce qui entrave considérablement l'échange d'informations entre eux, et a pour résultat que l'accès aux informations sur les casiers judiciaires est limité aux informations conservées dans leur registre national. Il existe dès lors un risque accru que les échanges d'informations entre États membres soient inefficaces et incomplets, au détriment du niveau de sécurité et de sûreté dont bénéficient les citoyens et les personnes résidant dans l'Union. |
| --- | --- |

(6)

De telles demandes générales imposent une charge administrative disproportionnée à tous les États membres, y compris à ceux qui ne détiennent pas d'informations sur le ressortissant d'un pays tiers concerné. Dans la pratique, cette charge dissuade les États membres de demander des informations sur les ressortissants de pays tiers à d'autres États membres, ce qui entrave considérablement l'échange d'informations entre eux, et a pour résultat que l'accès aux informations sur les casiers judiciaires est limité aux informations conservées dans leur registre national. Il existe dès lors un risque accru que les échanges d'informations entre États membres soient inefficaces et incomplets, au détriment du niveau de sécurité et de sûreté dont bénéficient les citoyens et les personnes résidant dans l'Union.

| (7) | Pour remédier à ce problème, il convient de créer un système au moyen duquel l'autorité centrale d'un État membre peut déterminer rapidement et avec efficacité quels autres États membres détiennent des informations sur le casier judiciaire d'un ressortissant d'un pays tiers (ci-après dénommé «ECRIS-TCN»). Le cadre actuel de l'ECRIS pourrait ensuite être utilisé pour demander à ces États membres des informations sur le casier judiciaire en question conformément à la décision-cadre 2009/315/JAI. |
| --- | --- |

(7)

Pour remédier à ce problème, il convient de créer un système au moyen duquel l'autorité centrale d'un État membre peut déterminer rapidement et avec efficacité quels autres États membres détiennent des informations sur le casier judiciaire d'un ressortissant d'un pays tiers (ci-après dénommé «ECRIS-TCN»). Le cadre actuel de l'ECRIS pourrait ensuite être utilisé pour demander à ces États membres des informations sur le casier judiciaire en question conformément à la décision-cadre 2009/315/JAI.

| (8) | Il convient dès lors que le présent règlement définisse les règles relatives à la création, à l'échelle de l'Union, d'un système centralisé contenant des données à caractère personnel et les règles relatives à la répartition des responsabilités entre l'État membre et l'organisme responsable du développement et de la maintenance du système centralisé, et qu'il fixe toutes les dispositions spécifiques en matière de protection des données qui sont nécessaires pour compléter les mesures existantes en matière de protection des données et garantir un niveau global approprié de protection et de sécurité des données ainsi que la protection des droits fondamentaux des personnes concernées. |
| --- | --- |

(8)

Il convient dès lors que le présent règlement définisse les règles relatives à la création, à l'échelle de l'Union, d'un système centralisé contenant des données à caractère personnel et les règles relatives à la répartition des responsabilités entre l'État membre et l'organisme responsable du développement et de la maintenance du système centralisé, et qu'il fixe toutes les dispositions spécifiques en matière de protection des données qui sont nécessaires pour compléter les mesures existantes en matière de protection des données et garantir un niveau global approprié de protection et de sécurité des données ainsi que la protection des droits fondamentaux des personnes concernées.

| (9) | L'objectif consistant à offrir aux citoyens de l'Union un espace de liberté, de sécurité et de justice sans frontières intérieures, au sein duquel est assurée la libre circulation des personnes, requiert également que les informations à détenir sur les décisions de condamnation soient complètes, y compris en ce qui concerne les citoyens de l'Union qui ont la nationalité d'un pays tiers. Étant donné qu'il est possible que ces personnes se présentent sous une ou plusieurs nationalités, et que différentes décisions de condamnation soient conservées dans l'État membre de condamnation ou dans l'État membre dont la personne concernée a la nationalité, il est nécessaire, d'inclure dans le champ d'application du présent règlement les citoyens de l'Union qui ont la nationalité d'un pays tiers. L'exclusion de ces personnes rendrait les informations conservées dans l'ECRIS-TCN incomplètes. Cela compromettrait la fiabilité du système. Cependant, comme ces personnes possèdent la citoyenneté de l'Union, les conditions dans lesquelles les données dactyloscopiques peuvent être introduites dans l'ECRIS-TCN en ce qui concerne ces personnes devraient être comparables aux conditions dans lesquelles les données dactyloscopiques des citoyens de l'Union sont échangées entre les États membres dans le cadre de l'ECRIS, qui a été créé par la décision-cadre 2009/315/JAI et la décision 2009/316/JAI. Par conséquent, en ce qui concerne les citoyens de l'Union ayant également la nationalité d'un pays tiers, les données dactyloscopiques ne devraient être introduites dans l'ECRIS-TCN que lorsqu'elles ont été recueillies conformément au droit national à l'occasion de procédures pénales, étant entendu que, aux fins de cette introduction, les États membres devraient pouvoir utiliser les données dactyloscopiques recueillies à des fins autres qu'une procédure pénale, lorsque cette utilisation est autorisée par le droit national. |
| --- | --- |

(9)

L'objectif consistant à offrir aux citoyens de l'Union un espace de liberté, de sécurité et de justice sans frontières intérieures, au sein duquel est assurée la libre circulation des personnes, requiert également que les informations à détenir sur les décisions de condamnation soient complètes, y compris en ce qui concerne les citoyens de l'Union qui ont la nationalité d'un pays tiers. Étant donné qu'il est possible que ces personnes se présentent sous une ou plusieurs nationalités, et que différentes décisions de condamnation soient conservées dans l'État membre de condamnation ou dans l'État membre dont la personne concernée a la nationalité, il est nécessaire, d'inclure dans le champ d'application du présent règlement les citoyens de l'Union qui ont la nationalité d'un pays tiers. L'exclusion de ces personnes rendrait les informations conservées dans l'ECRIS-TCN incomplètes. Cela compromettrait la fiabilité du système. Cependant, comme ces personnes possèdent la citoyenneté de l'Union, les conditions dans lesquelles les données dactyloscopiques peuvent être introduites dans l'ECRIS-TCN en ce qui concerne ces personnes devraient être comparables aux conditions dans lesquelles les données dactyloscopiques des citoyens de l'Union sont échangées entre les États membres dans le cadre de l'ECRIS, qui a été créé par la décision-cadre 2009/315/JAI et la décision 2009/316/JAI. Par conséquent, en ce qui concerne les citoyens de l'Union ayant également la nationalité d'un pays tiers, les données dactyloscopiques ne devraient être introduites dans l'ECRIS-TCN que lorsqu'elles ont été recueillies conformément au droit national à l'occasion de procédures pénales, étant entendu que, aux fins de cette introduction, les États membres devraient pouvoir utiliser les données dactyloscopiques recueillies à des fins autres qu'une procédure pénale, lorsque cette utilisation est autorisée par le droit national.

| (10) | L'ECRIS-TCN devrait permettre le traitement de données dactyloscopiques aux fins d'identifier les États membres détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers. Il devrait aussi permettre le traitement d'images faciales en vue de confirmer son identité. Il est essentiel que l'inscription et l'utilisation de données dactyloscopiques et d'images faciales n'excèdent pas ce qui est strictement nécessaire pour atteindre l'objectif poursuivi, respectent les droits fondamentaux, de même que l'intérêt supérieur de l'enfant, et soient en conformité avec les règles applicables de l'Union en matière de protection des données. |
| --- | --- |

(10)

L'ECRIS-TCN devrait permettre le traitement de données dactyloscopiques aux fins d'identifier les États membres détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers. Il devrait aussi permettre le traitement d'images faciales en vue de confirmer son identité. Il est essentiel que l'inscription et l'utilisation de données dactyloscopiques et d'images faciales n'excèdent pas ce qui est strictement nécessaire pour atteindre l'objectif poursuivi, respectent les droits fondamentaux, de même que l'intérêt supérieur de l'enfant, et soient en conformité avec les règles applicables de l'Union en matière de protection des données.

| (11) | L'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (ci-après dénommée «eu-LISA»), instituée par le règlement (UE) 2018/1726 du Parlement européen et du Conseil (5), devrait être chargée de développer et d'exploiter l'ECRIS-TCN, compte tenu de son expérience dans la gestion d'autres systèmes à grande échelle dans le domaine de la justice et des affaires intérieures. Il convient de modifier son mandat pour tenir compte de ces nouvelles tâches. |
| --- | --- |

(11)

L'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (ci-après dénommée «eu-LISA»), instituée par le règlement (UE) 2018/1726 du Parlement européen et du Conseil (5), devrait être chargée de développer et d'exploiter l'ECRIS-TCN, compte tenu de son expérience dans la gestion d'autres systèmes à grande échelle dans le domaine de la justice et des affaires intérieures. Il convient de modifier son mandat pour tenir compte de ces nouvelles tâches.

| (12) | L'eu-LISA devrait être dotée des ressources financières et humaines nécessaires pour assumer ses responsabilités en vertu du présent règlement. |
| --- | --- |

(12)

L'eu-LISA devrait être dotée des ressources financières et humaines nécessaires pour assumer ses responsabilités en vertu du présent règlement.

| (13) | Compte tenu de la nécessité de créer des liens techniques étroits entre l'ECRIS-TCN et l'ECRIS, l'eu-LISA devrait également être chargée de poursuivre le développement de l'application de référence de l'ECRIS et d'en assurer la maintenance et son mandat devrait être modifié en conséquence. |
| --- | --- |

(13)

Compte tenu de la nécessité de créer des liens techniques étroits entre l'ECRIS-TCN et l'ECRIS, l'eu-LISA devrait également être chargée de poursuivre le développement de l'application de référence de l'ECRIS et d'en assurer la maintenance et son mandat devrait être modifié en conséquence.

| (14) | Quatre États membres ont développé leur propre logiciel d'application national de l'ECRIS conformément à la décision 2009/316/JAI et l'utilisent à la place de l'application de référence de l'ECRIS pour échanger des informations sur les casiers judiciaires. Compte tenu des caractéristiques particulières que ces États membres ont introduites dans leurs systèmes aux fins d'un usage national et des investissements qu'ils ont réalisés, il convient de les autoriser à utiliser leur logiciel d'application national de l'ECRIS également aux fins de l'ECRIS-TCN, pour autant que les conditions prévues dans le présent règlement soient respectées. |
| --- | --- |

(14)

Quatre États membres ont développé leur propre logiciel d'application national de l'ECRIS conformément à la décision 2009/316/JAI et l'utilisent à la place de l'application de référence de l'ECRIS pour échanger des informations sur les casiers judiciaires. Compte tenu des caractéristiques particulières que ces États membres ont introduites dans leurs systèmes aux fins d'un usage national et des investissements qu'ils ont réalisés, il convient de les autoriser à utiliser leur logiciel d'application national de l'ECRIS également aux fins de l'ECRIS-TCN, pour autant que les conditions prévues dans le présent règlement soient respectées.

| (15) | L'ECRIS-TCN devrait contenir uniquement les éléments d'identification des ressortissants de pays tiers ayant été condamnés par une juridiction pénale au sein de l'Union. Ces éléments devraient inclure des données alphanumériques et des données dactyloscopiques. Il devrait également être possible d'inclure des images faciales, dans la mesure où le droit de l'État membre dans lequel une condamnation est prononcée autorise la collecte et la conservation des images faciales d'une personne condamnée. |
| --- | --- |

(15)

L'ECRIS-TCN devrait contenir uniquement les éléments d'identification des ressortissants de pays tiers ayant été condamnés par une juridiction pénale au sein de l'Union. Ces éléments devraient inclure des données alphanumériques et des données dactyloscopiques. Il devrait également être possible d'inclure des images faciales, dans la mesure où le droit de l'État membre dans lequel une condamnation est prononcée autorise la collecte et la conservation des images faciales d'une personne condamnée.

| (16) | Les données alphanumériques que les États membres doivent inscrire dans le système central devraient comprendre le nom (nom de famille) et les prénoms de la personne condamnée, ainsi que, lorsque l'autorité centrale dispose de ces informations, tout pseudonyme ou nom d'emprunt de cette personne. Lorsque l'État membre concerné est en possession de données personnelles divergentes, par exemple une orthographe différente d'un nom dans un autre alphabet, il devrait être possible de les inscrire dans le système central à titre complémentaire. |
| --- | --- |

(16)

Les données alphanumériques que les États membres doivent inscrire dans le système central devraient comprendre le nom (nom de famille) et les prénoms de la personne condamnée, ainsi que, lorsque l'autorité centrale dispose de ces informations, tout pseudonyme ou nom d'emprunt de cette personne. Lorsque l'État membre concerné est en possession de données personnelles divergentes, par exemple une orthographe différente d'un nom dans un autre alphabet, il devrait être possible de les inscrire dans le système central à titre complémentaire.

| (17) | Les données alphanumériques devraient également comprendre, à titre complémentaire, le numéro d'identité, ou le type et le numéro des documents d'identité de la personne concernée, ainsi que le nom de l'autorité ayant délivré ces documents, lorsque l'autorité centrale dispose de ces informations. L'État membre devrait s'efforcer de vérifier l'authenticité des documents d'identité avant d'inscrire les informations en question dans le système central. En tout état de cause, ces informations pouvant se révéler non fiables, il y a lieu de les exploiter avec prudence. |
| --- | --- |

(17)

Les données alphanumériques devraient également comprendre, à titre complémentaire, le numéro d'identité, ou le type et le numéro des documents d'identité de la personne concernée, ainsi que le nom de l'autorité ayant délivré ces documents, lorsque l'autorité centrale dispose de ces informations. L'État membre devrait s'efforcer de vérifier l'authenticité des documents d'identité avant d'inscrire les informations en question dans le système central. En tout état de cause, ces informations pouvant se révéler non fiables, il y a lieu de les exploiter avec prudence.

| (18) | Les autorités centrales devraient utiliser l'ECRIS-TCN pour identifier les États membres qui détiennent des informations sur le casier judiciaire d'un ressortissant d'un pays tiers lorsque ces informations sont demandées dans l'État membre concerné aux fins d'une procédure pénale à l'encontre de cette personne ou à toute fin visée dans le présent règlement. Si l'ECRIS-TCN devrait en principe être utilisé dans tous ces cas de figure, l'autorité chargée de la conduite de la procédure pénale devrait pouvoir décider qu'il convient de ne pas utiliser l'ECRIS-TCN lorsque cela ne serait pas approprié dans les circonstances de l'espèce, par exemple dans certains types de procédures pénales urgentes, en cas de transit, lorsque les informations sur le casier judiciaire ont été obtenues récemment par l'intermédiaire de l'ECRIS, ou en cas d'infractions mineures, en particulier s'il s'agit d'infractions routières mineures, d'infractions mineures aux règlements municipaux généraux ainsi que d'infractions mineures à l'ordre public. |
| --- | --- |

(18)

Les autorités centrales devraient utiliser l'ECRIS-TCN pour identifier les États membres qui détiennent des informations sur le casier judiciaire d'un ressortissant d'un pays tiers lorsque ces informations sont demandées dans l'État membre concerné aux fins d'une procédure pénale à l'encontre de cette personne ou à toute fin visée dans le présent règlement. Si l'ECRIS-TCN devrait en principe être utilisé dans tous ces cas de figure, l'autorité chargée de la conduite de la procédure pénale devrait pouvoir décider qu'il convient de ne pas utiliser l'ECRIS-TCN lorsque cela ne serait pas approprié dans les circonstances de l'espèce, par exemple dans certains types de procédures pénales urgentes, en cas de transit, lorsque les informations sur le casier judiciaire ont été obtenues récemment par l'intermédiaire de l'ECRIS, ou en cas d'infractions mineures, en particulier s'il s'agit d'infractions routières mineures, d'infractions mineures aux règlements municipaux généraux ainsi que d'infractions mineures à l'ordre public.

| (19) | Les États membres devraient aussi pouvoir utiliser l'ECRIS-TCN à des fins autres que celles prévues dans le présent règlement, si le droit national le prévoit et conformément à celui-ci. Toutefois, pour rendre plus transparente l'utilisation de l'ECRIS-TCN, les États membres devraient notifier ces autres fins à la Commission, qui devrait veiller à ce que toutes les notifications soient publiées au Journal officiel de l'Union européenne. |
| --- | --- |

(19)

Les États membres devraient aussi pouvoir utiliser l'ECRIS-TCN à des fins autres que celles prévues dans le présent règlement, si le droit national le prévoit et conformément à celui-ci. Toutefois, pour rendre plus transparente l'utilisation de l'ECRIS-TCN, les États membres devraient notifier ces autres fins à la Commission, qui devrait veiller à ce que toutes les notifications soient publiées au Journal officiel de l'Union européenne.

| (20) | Les autres autorités demandant des informations sur un casier judiciaire devraient également pouvoir décider que l'ECRIS-TCN ne devrait pas être utilisé lorsque cela ne serait pas approprié dans les circonstances de l'espèce, par exemple dans le cas où il est nécessaire de procéder à des vérifications administratives standard concernant les qualifications professionnelles d'une personne, en particulier si l'on sait que des informations sur le casier judiciaire ne seront pas demandées auprès d'autres États membres, indépendamment du résultat de la recherche dans l'ECRIS-TCN. Cependant, l'ECRIS-TCN devrait toujours être utilisé lorsque la demande d'informations sur le casier judiciaire a été introduite par une personne qui demande des informations sur son propre casier judiciaire conformément à la décision-cadre 2009/315/JAI, ou lorsqu'elle est présentée pour obtenir des informations sur un casier judiciaire conformément à la directive 2011/93/UE du Parlement européen et du Conseil (6). |
| --- | --- |

(20)

Les autres autorités demandant des informations sur un casier judiciaire devraient également pouvoir décider que l'ECRIS-TCN ne devrait pas être utilisé lorsque cela ne serait pas approprié dans les circonstances de l'espèce, par exemple dans le cas où il est nécessaire de procéder à des vérifications administratives standard concernant les qualifications professionnelles d'une personne, en particulier si l'on sait que des informations sur le casier judiciaire ne seront pas demandées auprès d'autres États membres, indépendamment du résultat de la recherche dans l'ECRIS-TCN. Cependant, l'ECRIS-TCN devrait toujours être utilisé lorsque la demande d'informations sur le casier judiciaire a été introduite par une personne qui demande des informations sur son propre casier judiciaire conformément à la décision-cadre 2009/315/JAI, ou lorsqu'elle est présentée pour obtenir des informations sur un casier judiciaire conformément à la directive 2011/93/UE du Parlement européen et du Conseil (6).

| (21) | Les ressortissants de pays tiers devraient avoir le droit d'obtenir des informations par écrit sur leur propre casier judiciaire conformément au droit de l'État membre dans lequel ils demandent la communication de ces informations et conformément à la décision-cadre 2009/315/JAI. Avant de communiquer ces informations à un ressortissant d'un pays tiers, l'État membre concerné devrait interroger l'ECRIS-TCN. |
| --- | --- |

(21)

Les ressortissants de pays tiers devraient avoir le droit d'obtenir des informations par écrit sur leur propre casier judiciaire conformément au droit de l'État membre dans lequel ils demandent la communication de ces informations et conformément à la décision-cadre 2009/315/JAI. Avant de communiquer ces informations à un ressortissant d'un pays tiers, l'État membre concerné devrait interroger l'ECRIS-TCN.

| (22) | Les citoyens de l'Union qui ont également la nationalité d'un pays tiers ne seront inclus dans l'ECRIS-TCN que si les autorités compétentes ont connaissance du fait que ces personnes ont la nationalité d'un pays tiers. Lorsque les autorités compétentes n'ont pas connaissance du fait que des citoyens de l'Union ont également la nationalité d'un pays tiers, il est néanmoins possible que ces personnes aient fait l'objet de condamnations antérieures en tant que ressortissants de pays tiers. Pour faire en sorte que les autorités compétentes aient un aperçu complet des casiers judiciaires, il devrait être possible d'interroger l'ECRIS-TCN pour vérifier si, en ce qui concerne un citoyen de l'Union, un État membre quelconque détient des informations sur le casier judiciaire de cette personne en tant que ressortissant d'un pays tiers. |
| --- | --- |

(22)

Les citoyens de l'Union qui ont également la nationalité d'un pays tiers ne seront inclus dans l'ECRIS-TCN que si les autorités compétentes ont connaissance du fait que ces personnes ont la nationalité d'un pays tiers. Lorsque les autorités compétentes n'ont pas connaissance du fait que des citoyens de l'Union ont également la nationalité d'un pays tiers, il est néanmoins possible que ces personnes aient fait l'objet de condamnations antérieures en tant que ressortissants de pays tiers. Pour faire en sorte que les autorités compétentes aient un aperçu complet des casiers judiciaires, il devrait être possible d'interroger l'ECRIS-TCN pour vérifier si, en ce qui concerne un citoyen de l'Union, un État membre quelconque détient des informations sur le casier judiciaire de cette personne en tant que ressortissant d'un pays tiers.

| (23) | Dans le cas où il existe une concordance entre les données enregistrées dans le système central et celles utilisées par un État membre pour effectuer une recherche (réponse positive), les éléments d'identification pour lesquels une réponse positive a été trouvée devraient être fournis en même temps que ce résultat. Le résultat d'une recherche ne devrait être utilisé par les autorités centrales qu'aux fins de présenter une demande par l'intermédiaire de l'ECRIS ou par l'Agence de l'Union européenne pour la coopération judiciaire en matière pénale (Eurojust) instituée par le règlement (UE) 2018/1727 du Parlement européen et du Conseil (7), l'Agence de l'Union européenne pour la coopération des services répressifs (Europol), instituée par le règlement (UE) 2016/794 du Parlement européen et du Conseil (8), et le Parquet européen, institué par le règlement (UE) 2017/1939 du Conseil (9), qu'aux fins de présenter une demande d'informations relatives aux condamnations au titre du présent règlement. |
| --- | --- |

(23)

Dans le cas où il existe une concordance entre les données enregistrées dans le système central et celles utilisées par un État membre pour effectuer une recherche (réponse positive), les éléments d'identification pour lesquels une réponse positive a été trouvée devraient être fournis en même temps que ce résultat. Le résultat d'une recherche ne devrait être utilisé par les autorités centrales qu'aux fins de présenter une demande par l'intermédiaire de l'ECRIS ou par l'Agence de l'Union européenne pour la coopération judiciaire en matière pénale (Eurojust) instituée par le règlement (UE) 2018/1727 du Parlement européen et du Conseil (7), l'Agence de l'Union européenne pour la coopération des services répressifs (Europol), instituée par le règlement (UE) 2016/794 du Parlement européen et du Conseil (8), et le Parquet européen, institué par le règlement (UE) 2017/1939 du Conseil (9), qu'aux fins de présenter une demande d'informations relatives aux condamnations au titre du présent règlement.

| (24) | Dans un premier temps, les images faciales introduites dans l'ECRIS-TCN ne devraient être utilisées qu'aux fins de la confirmation de l'identité d'un ressortissant d'un pays tiers en vue d'identifier les États membres détenant des informations sur les condamnations antérieures de ce ressortissant d'un pays tiers. À terme, les images faciales devraient pouvoir être utilisées pour l'établissement automatisé de correspondances biométriques, pour autant que les exigences techniques et politiques à cet égard aient été respectées. La Commission devrait, en se fondant sur des critères de nécessité et de proportionnalité ainsi que sur les évolutions techniques dans le domaine des logiciels de reconnaissance faciale, évaluer si la technique requise est disponible et prête à être employée avant d'adopter un acte délégué concernant l'utilisation des images faciales aux fins de l'identification de ressortissants de pays tiers en vue d'identifier les États membres détenant des informations sur les condamnations antérieures de ces personnes. |
| --- | --- |

(24)

Dans un premier temps, les images faciales introduites dans l'ECRIS-TCN ne devraient être utilisées qu'aux fins de la confirmation de l'identité d'un ressortissant d'un pays tiers en vue d'identifier les États membres détenant des informations sur les condamnations antérieures de ce ressortissant d'un pays tiers. À terme, les images faciales devraient pouvoir être utilisées pour l'établissement automatisé de correspondances biométriques, pour autant que les exigences techniques et politiques à cet égard aient été respectées. La Commission devrait, en se fondant sur des critères de nécessité et de proportionnalité ainsi que sur les évolutions techniques dans le domaine des logiciels de reconnaissance faciale, évaluer si la technique requise est disponible et prête à être employée avant d'adopter un acte délégué concernant l'utilisation des images faciales aux fins de l'identification de ressortissants de pays tiers en vue d'identifier les États membres détenant des informations sur les condamnations antérieures de ces personnes.

| (25) | L'utilisation de la biométrie est nécessaire, car il s'agit de la méthode la plus fiable pour identifier les ressortissants de pays tiers sur le territoire des États membres, qui n'ont souvent pas de documents ni d'autre moyen d'identification à leur disposition, et pour recouper de manière plus fiable les données de ressortissants de pays tiers. |
| --- | --- |

(25)

L'utilisation de la biométrie est nécessaire, car il s'agit de la méthode la plus fiable pour identifier les ressortissants de pays tiers sur le territoire des États membres, qui n'ont souvent pas de documents ni d'autre moyen d'identification à leur disposition, et pour recouper de manière plus fiable les données de ressortissants de pays tiers.

| (26) | Les États membres devraient inscrire dans le système central les données dactyloscopiques de ressortissants de pays tiers condamnés qui ont été recueillies conformément au droit national au cours d'une procédure pénale. Afin que les données d'identification les plus complètes possibles figurent dans le système central, les États membres devraient également pouvoir inscrire dans le système central les données dactyloscopiques qui ont été recueillies à d'autres fins qu'une procédure pénale, lorsque ces données dactyloscopiques peuvent être utilisées dans une procédure pénale conformément au droit national. |
| --- | --- |

(26)

Les États membres devraient inscrire dans le système central les données dactyloscopiques de ressortissants de pays tiers condamnés qui ont été recueillies conformément au droit national au cours d'une procédure pénale. Afin que les données d'identification les plus complètes possibles figurent dans le système central, les États membres devraient également pouvoir inscrire dans le système central les données dactyloscopiques qui ont été recueillies à d'autres fins qu'une procédure pénale, lorsque ces données dactyloscopiques peuvent être utilisées dans une procédure pénale conformément au droit national.

| (27) | Le présent règlement devrait établir des critères minimaux concernant les données dactyloscopiques que les États membres devraient inclure dans le système central. Les États membres devraient avoir le choix soit inscrire les données dactyloscopiques des ressortissants de pays tiers qui ont été condamnés à une peine privative de liberté d'au moins six mois, soit inscrire les données dactyloscopiques de ressortissants de pays tiers qui ont été condamnés pour avoir commis une infraction pénale punissable, en vertu du droit de l'État membre concerné, d'une peine privative de liberté d'une durée maximale d'au moins douze mois. |
| --- | --- |

(27)

Le présent règlement devrait établir des critères minimaux concernant les données dactyloscopiques que les États membres devraient inclure dans le système central. Les États membres devraient avoir le choix soit inscrire les données dactyloscopiques des ressortissants de pays tiers qui ont été condamnés à une peine privative de liberté d'au moins six mois, soit inscrire les données dactyloscopiques de ressortissants de pays tiers qui ont été condamnés pour avoir commis une infraction pénale punissable, en vertu du droit de l'État membre concerné, d'une peine privative de liberté d'une durée maximale d'au moins douze mois.

| (28) | Les États membres devraient créer, dans l'ECRIS-TCN, des enregistrements concernant les ressortissants de pays tiers condamnés. Cela devrait se faire, si possible, automatiquement et sans retard injustifié après l'inscription de la condamnation dans le casier judiciaire national. Les États membres devraient, conformément au présent règlement, inscrire dans le système central les données alphanumériques et dactyloscopiques liées aux condamnations prononcées après la date de début d'inscription des données dans le système ECRIS-TCN. À partir de la même date, et à tout moment par la suite, les États membres devraient pouvoir saisir des images faciales dans le système central. |
| --- | --- |

(28)

Les États membres devraient créer, dans l'ECRIS-TCN, des enregistrements concernant les ressortissants de pays tiers condamnés. Cela devrait se faire, si possible, automatiquement et sans retard injustifié après l'inscription de la condamnation dans le casier judiciaire national. Les États membres devraient, conformément au présent règlement, inscrire dans le système central les données alphanumériques et dactyloscopiques liées aux condamnations prononcées après la date de début d'inscription des données dans le système ECRIS-TCN. À partir de la même date, et à tout moment par la suite, les États membres devraient pouvoir saisir des images faciales dans le système central.

| (29) | Les États membres devraient également, conformément au présent règlement, créer, dans l'ECRIS-TCN, des enregistrements concernant les ressortissants de pays tiers condamnés avant la date de début de l'inscription des données, afin de garantir l'efficacité maximale du système. Toutefois, les États membres ne devraient pas être tenus, à cette fin, de recueillir des informations qui ne figuraient pas dans leurs casiers judiciaires avant la date de début de l'inscription des données. Les données dactyloscopiques de ressortissants de pays tiers recueillies en rapport avec ces condamnations antérieures devraient être incluses uniquement si elles ont été recueillies à l'occasion d'une procédure pénale, et si l'État membre concerné considère qu'elles peuvent être clairement mises en concordance avec d'autres données d'identification dans les casiers judiciaires. |
| --- | --- |

(29)

Les États membres devraient également, conformément au présent règlement, créer, dans l'ECRIS-TCN, des enregistrements concernant les ressortissants de pays tiers condamnés avant la date de début de l'inscription des données, afin de garantir l'efficacité maximale du système. Toutefois, les États membres ne devraient pas être tenus, à cette fin, de recueillir des informations qui ne figuraient pas dans leurs casiers judiciaires avant la date de début de l'inscription des données. Les données dactyloscopiques de ressortissants de pays tiers recueillies en rapport avec ces condamnations antérieures devraient être incluses uniquement si elles ont été recueillies à l'occasion d'une procédure pénale, et si l'État membre concerné considère qu'elles peuvent être clairement mises en concordance avec d'autres données d'identification dans les casiers judiciaires.

| (30) | L'amélioration de l'échange d'informations sur les condamnations devrait aider les États membres à mettre en œuvre la décision-cadre 2008/675/JAI, qui impose aux États membres de prendre en compte les condamnations antérieures prononcées dans d'autres États membres à l'occasion d'une nouvelle procédure pénale, dans la mesure où les condamnations nationales antérieures sont prises en compte conformément au droit national. |
| --- | --- |

(30)

L'amélioration de l'échange d'informations sur les condamnations devrait aider les États membres à mettre en œuvre la décision-cadre 2008/675/JAI, qui impose aux États membres de prendre en compte les condamnations antérieures prononcées dans d'autres États membres à l'occasion d'une nouvelle procédure pénale, dans la mesure où les condamnations nationales antérieures sont prises en compte conformément au droit national.

| (31) | Une réponse positive signalée par l'ECRIS-TCN ne devrait pas automatiquement signifier que le ressortissant d'un pays tiers concerné a fait l'objet d'une condamnation dans les États membres indiqués. L'existence de condamnations antérieures devrait être confirmée uniquement sur la base des informations provenant des casiers judiciaires des États membres concernés. |
| --- | --- |

(31)

Une réponse positive signalée par l'ECRIS-TCN ne devrait pas automatiquement signifier que le ressortissant d'un pays tiers concerné a fait l'objet d'une condamnation dans les États membres indiqués. L'existence de condamnations antérieures devrait être confirmée uniquement sur la base des informations provenant des casiers judiciaires des États membres concernés.

| (32) | Nonobstant la possibilité de recourir aux programmes financiers de l'Union conformément à la réglementation applicable, chaque État membre devrait supporter ses propres frais résultant de la mise en œuvre, de la gestion, de l'utilisation et de la maintenance de sa base de données relative aux casiers judiciaires et de ses bases de données dactyloscopiques nationales, ainsi que de la mise en œuvre, de la gestion, de l'utilisation et de la maintenance des adaptations techniques nécessaires pour pouvoir utiliser l'ECRIS-TCN, y compris leurs connexions au point d'accès central national. |
| --- | --- |

(32)

Nonobstant la possibilité de recourir aux programmes financiers de l'Union conformément à la réglementation applicable, chaque État membre devrait supporter ses propres frais résultant de la mise en œuvre, de la gestion, de l'utilisation et de la maintenance de sa base de données relative aux casiers judiciaires et de ses bases de données dactyloscopiques nationales, ainsi que de la mise en œuvre, de la gestion, de l'utilisation et de la maintenance des adaptations techniques nécessaires pour pouvoir utiliser l'ECRIS-TCN, y compris leurs connexions au point d'accès central national.

| (33) | Eurojust, Europol et le Parquet européen devraient avoir accès au système ECRIS-TCN pour identifier les États membres détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers aux fins de l'accomplissement de leurs missions statutaires. Eurojust devrait également disposer d'un accès direct à l'ECRIS-TCN pour pouvoir accomplir la tâche que lui confie le présent règlement de faire office de point de contact pour les pays tiers et les organisations internationales, sans préjudice de l'application des principes de la coopération judiciaire en matière pénale, y compris les dispositions relatives à l'entraide judiciaire. Bien qu'il y ait lieu de prendre en considération la position des États membres qui ne participent pas à la coopération renforcée portant création du Parquet européen, le Parquet européen ne devrait pas se voir refuser l'accès aux informations relatives aux condamnations au seul motif que l'État membre concerné ne participe pas à cette coopération renforcée. |
| --- | --- |

(33)

Eurojust, Europol et le Parquet européen devraient avoir accès au système ECRIS-TCN pour identifier les États membres détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers aux fins de l'accomplissement de leurs missions statutaires. Eurojust devrait également disposer d'un accès direct à l'ECRIS-TCN pour pouvoir accomplir la tâche que lui confie le présent règlement de faire office de point de contact pour les pays tiers et les organisations internationales, sans préjudice de l'application des principes de la coopération judiciaire en matière pénale, y compris les dispositions relatives à l'entraide judiciaire. Bien qu'il y ait lieu de prendre en considération la position des États membres qui ne participent pas à la coopération renforcée portant création du Parquet européen, le Parquet européen ne devrait pas se voir refuser l'accès aux informations relatives aux condamnations au seul motif que l'État membre concerné ne participe pas à cette coopération renforcée.

| (34) | Le présent règlement établit des règles d'accès strictes à l'ECRIS-TCN ainsi que les garanties nécessaires, y compris en ce qui concerne la responsabilité des États membres en matière de collecte et d'utilisation des données. Il indique également comment les personnes physiques peuvent exercer leur droit à réparation ainsi que leurs droits d'accès, de rectification, d'effacement et de recours, en particulier leur droit à un recours effectif, et précise que la surveillance des opérations de traitement doit être assurée par des autorités publiques indépendantes. Il respecte dès lors les libertés et les droits fondamentaux consacrés, en particulier, dans la charte des droits fondamentaux de l'Union européenne, tels que le droit à la protection des données à caractère personnel, le principe de l'égalité en droit et l'interdiction générale de toute discrimination. À cet égard, il tient également compte de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, du Pacte international relatif aux droits civils et politiques et des autres obligations en matière de droits de l'homme découlant du droit international. |
| --- | --- |

(34)

Le présent règlement établit des règles d'accès strictes à l'ECRIS-TCN ainsi que les garanties nécessaires, y compris en ce qui concerne la responsabilité des États membres en matière de collecte et d'utilisation des données. Il indique également comment les personnes physiques peuvent exercer leur droit à réparation ainsi que leurs droits d'accès, de rectification, d'effacement et de recours, en particulier leur droit à un recours effectif, et précise que la surveillance des opérations de traitement doit être assurée par des autorités publiques indépendantes. Il respecte dès lors les libertés et les droits fondamentaux consacrés, en particulier, dans la charte des droits fondamentaux de l'Union européenne, tels que le droit à la protection des données à caractère personnel, le principe de l'égalité en droit et l'interdiction générale de toute discrimination. À cet égard, il tient également compte de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, du Pacte international relatif aux droits civils et politiques et des autres obligations en matière de droits de l'homme découlant du droit international.

| (35) | La directive (UE) 2016/680 du Parlement européen et du Conseil (10) devrait s'appliquer au traitement des données à caractère personnel par les autorités nationales compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Le règlement (UE) 2016/679 du Parlement européen et du Conseil (11) devrait s'appliquer au traitement des données à caractère personnel par les autorités nationales lorsqu'un tel traitement ne relève pas du champ d'application de la directive (UE) 2016/680. Il convient d'assurer un contrôle coordonné, conformément au règlement (UE) 2018/1725 du Parlement européen et du Conseil (12), qui devrait également s'appliquer au traitement de données à caractère personnel par l'eu-LISA. |
| --- | --- |

(35)

La directive (UE) 2016/680 du Parlement européen et du Conseil (10) devrait s'appliquer au traitement des données à caractère personnel par les autorités nationales compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Le règlement (UE) 2016/679 du Parlement européen et du Conseil (11) devrait s'appliquer au traitement des données à caractère personnel par les autorités nationales lorsqu'un tel traitement ne relève pas du champ d'application de la directive (UE) 2016/680. Il convient d'assurer un contrôle coordonné, conformément au règlement (UE) 2018/1725 du Parlement européen et du Conseil (12), qui devrait également s'appliquer au traitement de données à caractère personnel par l'eu-LISA.

| (36) | En ce qui concerne les condamnations antérieures, les autorités centrales devraient inscrire les données alphanumériques au plus tard à la fin de la période d'inscription des données conformément au présent règlement, et les données dactyloscopiques deux ans après la date de mise en service de l'ECRIS-TCN. Les États membres devraient pouvoir inscrire toutes les données au même moment, à condition que ces délais soient respectés. |
| --- | --- |

(36)

En ce qui concerne les condamnations antérieures, les autorités centrales devraient inscrire les données alphanumériques au plus tard à la fin de la période d'inscription des données conformément au présent règlement, et les données dactyloscopiques deux ans après la date de mise en service de l'ECRIS-TCN. Les États membres devraient pouvoir inscrire toutes les données au même moment, à condition que ces délais soient respectés.

| (37) | Il y a lieu de définir des règles concernant la responsabilité des États membres, d'Eurojust, d'Europol, du Parquet européen et de l'eu-LISA en cas de dommage résultant du non-respect du présent règlement. |
| --- | --- |

(37)

Il y a lieu de définir des règles concernant la responsabilité des États membres, d'Eurojust, d'Europol, du Parquet européen et de l'eu-LISA en cas de dommage résultant du non-respect du présent règlement.

| (38) | Afin d'améliorer l'identification des États membres détenant des informations sur les condamnations antérieures de ressortissants de pays tiers, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l'article 290 du traité sur le fonctionnement de l'Union européenne en vue de compléter le présent règlement en prévoyant l'utilisation d'images faciales aux fins de l'identification des ressortissants de pays tiers pour identifier les États membres détenant des informations sur les condamnations antérieures. Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts, et que ces consultations soient menées conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016«Mieux légiférer» (13). En particulier, pour assurer leur égale participation à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents au même moment que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d'experts de la Commission traitant de la préparation des actes délégués. |
| --- | --- |

(38)

Afin d'améliorer l'identification des États membres détenant des informations sur les condamnations antérieures de ressortissants de pays tiers, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l'article 290 du traité sur le fonctionnement de l'Union européenne en vue de compléter le présent règlement en prévoyant l'utilisation d'images faciales aux fins de l'identification des ressortissants de pays tiers pour identifier les États membres détenant des informations sur les condamnations antérieures. Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts, et que ces consultations soient menées conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016«Mieux légiférer» (13). En particulier, pour assurer leur égale participation à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents au même moment que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d'experts de la Commission traitant de la préparation des actes délégués.

| (39) | Afin d'assurer des conditions uniformes pour la création et la gestion opérationnelle de l'ECRIS-TCN, il convient de conférer des compétences d'exécution à la Commission. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (14). |
| --- | --- |

(39)

Afin d'assurer des conditions uniformes pour la création et la gestion opérationnelle de l'ECRIS-TCN, il convient de conférer des compétences d'exécution à la Commission. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (14).

| (40) | Les États membres devraient prendre les mesures nécessaires pour se conformer au présent règlement dès que possible afin d'assurer le bon fonctionnement de l'ECRIS-TCN, compte tenu du temps dont l'eu-LISA a besoin pour développer et mettre en œuvre ce système. Les États membres devraient toutefois disposer d'un délai d'au moins 36 mois à compter de l'entrée en vigueur du présent règlement pour prendre les mesures pour se conformer au présent règlement. |
| --- | --- |

(40)

Les États membres devraient prendre les mesures nécessaires pour se conformer au présent règlement dès que possible afin d'assurer le bon fonctionnement de l'ECRIS-TCN, compte tenu du temps dont l'eu-LISA a besoin pour développer et mettre en œuvre ce système. Les États membres devraient toutefois disposer d'un délai d'au moins 36 mois à compter de l'entrée en vigueur du présent règlement pour prendre les mesures pour se conformer au présent règlement.

| (41) | Étant donné que l'objectif du présent règlement, à savoir permettre l'échange rapide et efficace d'informations exactes sur les casiers judiciaires de ressortissants de pays tiers, ne peut pas être atteint de manière suffisante par les États membres mais peut, grâce à la mise en place de règles communes, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif. |
| --- | --- |

(41)

Étant donné que l'objectif du présent règlement, à savoir permettre l'échange rapide et efficace d'informations exactes sur les casiers judiciaires de ressortissants de pays tiers, ne peut pas être atteint de manière suffisante par les États membres mais peut, grâce à la mise en place de règles communes, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif.

| (42) | Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application. |
| --- | --- |

(42)

Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application.

| (43) | Conformément aux articles 1er et 2 ainsi qu'à l'article 4 bis, paragraphe 1, du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, et sans préjudice de l'article 4 dudit protocole, l'Irlande ne participe pas à l'adoption du présent règlement et n'est pas liée par celui-ci ni soumise à son application. |
| --- | --- |

(43)

Conformément aux articles 1er et 2 ainsi qu'à l'article 4 bis, paragraphe 1, du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, et sans préjudice de l'article 4 dudit protocole, l'Irlande ne participe pas à l'adoption du présent règlement et n'est pas liée par celui-ci ni soumise à son application.

| (44) | Conformément à l'article 3 et à l'article 4 bis, paragraphe 1, du protocole no 21, le Royaume-Uni a notifié son souhait de participer à l'adoption et à l'application du présent règlement. |
| --- | --- |

(44)

Conformément à l'article 3 et à l'article 4 bis, paragraphe 1, du protocole no 21, le Royaume-Uni a notifié son souhait de participer à l'adoption et à l'application du présent règlement.

| (45) | Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001 du Parlement européen et du Conseil (15) et a rendu un avis le 12 décembre 2017 (16), |
| --- | --- |

(45)

Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001 du Parlement européen et du Conseil (15) et a rendu un avis le 12 décembre 2017 (16),

ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:

CHAPITRE I

Dispositions générales

Article premier

Objet

Le présent règlement établit:

| a) | un système permettant d'identifier les États membres détenant des informations sur les condamnations antérieures prononcées à l'encontre de ressortissants de pays tiers (ci-après dénommé «ECRIS-TCN»); |
| --- | --- |

a)

un système permettant d'identifier les États membres détenant des informations sur les condamnations antérieures prononcées à l'encontre de ressortissants de pays tiers (ci-après dénommé «ECRIS-TCN»);

| b) | les conditions dans lesquelles l'ECRIS-TCN est utilisé par les autorités centrales pour obtenir des informations sur ces condamnations antérieures au moyen du système européen d'information sur les casiers judiciaires (ECRIS) créé par la décision 2009/316/JAI, ainsi que les conditions dans lesquelles Eurojust, Europol et le Parquet européen utilisent l'ECRIS-TCN. |
| --- | --- |

b)

les conditions dans lesquelles l'ECRIS-TCN est utilisé par les autorités centrales pour obtenir des informations sur ces condamnations antérieures au moyen du système européen d'information sur les casiers judiciaires (ECRIS) créé par la décision 2009/316/JAI, ainsi que les conditions dans lesquelles Eurojust, Europol et le Parquet européen utilisent l'ECRIS-TCN.

Article 2

Champ d'application

Le présent règlement s'applique au traitement des données d'identification des ressortissants de pays tiers qui ont fait l'objet de condamnations dans les États membres aux fins d'identifier les États membres dans lesquels ces condamnations ont été prononcées. À l'exception de l'article 5, paragraphe 1, point b) ii), les dispositions du présent règlement qui s'appliquent aux ressortissants de pays tiers s'appliquent aussi aux citoyens de l'Union qui ont également la nationalité d'un pays tiers et qui ont fait l'objet de condamnations dans les États membres.

Article 3

Définitions

Aux fins du présent règlement, on entend par:

1)   «condamnation»: toute décision définitive d'une juridiction pénale rendue à l'encontre d'une personne physique en raison d'une infraction pénale, pour autant que cette décision soit inscrite dans le casier judiciaire de l'État membre de condamnation;

«condamnation»

2)   «procédure pénale»: la phase préalable au procès pénal, le procès pénal et la phase d'exécution de la condamnation;

«procédure pénale»

3)   «casier judiciaire»: le registre national ou les registres nationaux regroupant les condamnations conformément au droit national;

«casier judiciaire»

4)   «État membre de condamnation»: l'État membre dans lequel une condamnation est prononcée;

«État membre de condamnation»

5)   «autorité centrale»: une autorité désignée conformément à l'article 3, paragraphe 1, de la décision-cadre 2009/315/JAI;

«autorité centrale»

6)   «autorités compétentes»: les autorités centrales et Eurojust, Europol et le Parquet européen, qui sont compétents pour accéder à l'ECRIS-TCN ou l'interroger en vertu du présent règlement;

«autorités compétentes»

7)   «ressortissant d'un pays tiers»: une personne qui n'est pas citoyen de l'Union au sens de l'article 20, paragraphe 1, du traité sur le fonctionnement de l'Union européenne, ou qui est une personne apatride ou dont la nationalité n'est pas connue;

«ressortissant d'un pays tiers»

8)   «système central»: la ou les bases de données dont le développement et la maintenance sont assurés par l'eu-LISA et qui contiennent les données d'identification des ressortissants de pays tiers qui ont fait l'objet de condamnations dans les États membres;

«système central»

9)   «logiciel d'interface»: le logiciel hébergé par les autorités compétentes qui leur permet d'accéder au système central au moyen de l'infrastructure de communication visée à l'article 4, paragraphe 1, point d);

«logiciel d'interface»

10)   «données d'identification»: les données alphanumériques, les données dactyloscopiques et les images faciales qui sont utilisées pour établir un lien entre ces données et une personne physique;

«données d'identification»

11)   «données alphanumériques»: les données représentées par des lettres, des chiffres, des caractères spéciaux, des espaces et des signes de ponctuation;

«données alphanumériques»

12)   «données dactyloscopiques»: les données relatives aux impressions simultanées et roulées des empreintes digitales de chaque doigt d'une personne;

«données dactyloscopiques»

13)   «image faciale»: une image numérique du visage d'une personne;

«image faciale»

14)   «réponse positive»: une ou des concordances constatées en comparant les données d'identification enregistrées dans le système central et les données d'identification utilisées pour effectuer une recherche;

«réponse positive»

15)   «point d'accès central national»: le point national de connexion à l'infrastructure de communication visée à l'article 4, paragraphe 1, point d);

«point d'accès central national»

16)   «application de référence de l'ECRIS»: le logiciel développé par la Commission et mis à la disposition des États membres pour les échanges d'informations sur les casiers judiciaires au moyen de l'ECRIS;

«application de référence de l'ECRIS»

17)   «autorité de contrôle nationale»: une autorité publique indépendante instituée par un État membre en vertu des règles de l'Union en matière de protection des données;

«autorité de contrôle nationale»

18)   «autorités de contrôles»: le Contrôleur européen de la protection des données et les autorités de contrôle nationales.

«autorités de contrôles»

Article 4

Architecture technique de l'ECRIS-TCN

1.   L'ECRIS-TCN se compose des éléments suivants:

| a) | un système central au sein duquel sont conservées les données d'identification des ressortissants de pays tiers condamnés; |
| --- | --- |

a)

un système central au sein duquel sont conservées les données d'identification des ressortissants de pays tiers condamnés;

| b) | un point d'accès central national dans chaque État membre; |
| --- | --- |

b)

un point d'accès central national dans chaque État membre;

| c) | un logiciel d'interface permettant aux autorités compétentes de se connecter au système central, par l'intermédiaire des points d'accès centraux nationaux et de l'infrastructure de communication visée au point d); |
| --- | --- |

c)

un logiciel d'interface permettant aux autorités compétentes de se connecter au système central, par l'intermédiaire des points d'accès centraux nationaux et de l'infrastructure de communication visée au point d);

| d) | une infrastructure de communication entre le système central et les points d'accès centraux nationaux. |
| --- | --- |

d)

une infrastructure de communication entre le système central et les points d'accès centraux nationaux.

2.   Le système central est hébergé par l'eu-LISA sur ses sites techniques.

3.   Le logiciel d'interface est compatible avec l'application de référence de l'ECRIS. Les États membres utilisent l'application de référence de l'ECRIS ou, dans la situation et dans les conditions décrites aux paragraphes 4 à 8, le logiciel d'application national de l'ECRIS, pour interroger l'ECRIS-TCN et pour envoyer ensuite des demandes d'informations sur les casiers judiciaires.

4.   Il incombe aux États membres qui utilisent leur logiciel d'application national de l'ECRIS de s'assurer que celui-ci permet à leurs autorités gérant les casiers judiciaires d'utiliser l'ECRIS-TCN, exception faite du logiciel d'interface, conformément au présent règlement. À cette fin, ils s'assurent, avant la date de mise en service de l'ECRIS-TCN conformément à l'article 35, paragraphe 4, que leur logiciel d'application national de l'ECRIS fonctionne conformément aux protocoles et aux spécifications techniques établis dans les actes d'exécution visés à l'article 10, ainsi qu'à toute autre exigence technique fondée sur ces actes d'exécution établie par l'eu-LISA en vertu du présent règlement.

5.   Tant qu'ils n'utilisent pas l'application de référence de l'ECRIS, les États membres qui utilisent leur logiciel d'application national de l'ECRIS assurent également la mise en œuvre des adaptations techniques ultérieures de leur logiciel d'application national de l'ECRIS requises par les modifications apportées aux spécifications techniques établies par la voie des actes d'exécution visés à l'article 10, ou à toute autre exigence technique fondée sur ces actes d'exécution établie par l'eu-LISA en vertu du présent règlement, sans retard injustifié.

6.   Les États membres qui utilisent leur logiciel d'application national de l'ECRIS supportent tous les coûts afférents à la mise en œuvre, à la maintenance et au développement de ce logiciel ainsi qu'à son interconnexion avec l'ECRIS-TCN, exception faite du logiciel d'interface.

7.   Si un État membre qui utilise son logiciel d'application national de l'ECRIS n'est pas en mesure de satisfaire aux obligations énoncées au présent article, il est tenu d'utiliser l'application de référence de l'ECRIS, y compris le logiciel d'interface intégré, pour pouvoir utiliser l'ECRIS-TCN.

8.   Aux fins de l'évaluation que doit réaliser la Commission en application de l'article 36, paragraphe 10, point b), les États membres concernés communiquent à la Commission toutes les informations nécessaires.

CHAPITRE II

Inscription et utilisation des données par les autorités centrales

Article 5

Inscription des données dans l'ECRIS-TCN

1.   Pour chaque ressortissant d'un pays tiers condamné, l'autorité centrale de l'État membre de condamnation crée un fichier de données dans le système central. Ce fichier de données contient:

| a) | en ce qui concerne les données alphanumériques:






  i) | informations à inclure sauf si, dans des cas particuliers, l'autorité centrale n'en a pas connaissance (informations obligatoires):






  — | le nom (nom de famille); |
| --- | --- | --- | --- |

a)

en ce qui concerne les données alphanumériques:

i)

informations à inclure sauf si, dans des cas particuliers, l'autorité centrale n'en a pas connaissance (informations obligatoires):

—

le nom (nom de famille);

| — | les prénoms; |
| --- | --- |

—

les prénoms;

| — | la date de naissance; |
| --- | --- |

—

la date de naissance;

| — | le lieu de naissance (ville et pays); |
| --- | --- |

—

le lieu de naissance (ville et pays);

| — | la ou les nationalités; |
| --- | --- |

—

la ou les nationalités;

| — | le genre; |
| --- | --- |

—

le genre;

| — | les noms précédents, le cas échéant; |
| --- | --- |

—

les noms précédents, le cas échéant;

| — | le code de l'État membre de condamnation; |
| --- | --- |

—

le code de l'État membre de condamnation;

| ii) | informations à inclure lorsqu'elles ont été inscrites dans le casier judiciaire (informations facultatives):






  — | les noms des parents; |
| --- | --- | --- |

ii)

informations à inclure lorsqu'elles ont été inscrites dans le casier judiciaire (informations facultatives):

—

les noms des parents;

| iii) | informations à inclure si l'autorité centrale en dispose (informations complémentaires):






  — | le numéro d'identité, ou le type et le numéro des documents d'identité de la personne concernée, ainsi que le nom de l'autorité les ayant délivrés; |
| --- | --- | --- |

iii)

informations à inclure si l'autorité centrale en dispose (informations complémentaires):

—

le numéro d'identité, ou le type et le numéro des documents d'identité de la personne concernée, ainsi que le nom de l'autorité les ayant délivrés;

| — | les pseudonymes ou noms d'emprunt; |
| --- | --- |

—

les pseudonymes ou noms d'emprunt;

| b) | en ce qui concerne les données dactyloscopiques:






  i) | les données dactyloscopiques qui ont été recueillies conformément au droit national à l'occasion de procédures pénales; |
| --- | --- | --- |

b)

en ce qui concerne les données dactyloscopiques:

i)

les données dactyloscopiques qui ont été recueillies conformément au droit national à l'occasion de procédures pénales;

| ii) | au minimum, les données dactyloscopiques recueillies sur la base de l'un des critères suivants:






  — | lorsque le ressortissant d'un pays tiers a été condamné à une peine privative de liberté d'au moins six mois;
  ou |
| --- | --- | --- |

ii)

au minimum, les données dactyloscopiques recueillies sur la base de l'un des critères suivants:

—

lorsque le ressortissant d'un pays tiers a été condamné à une peine privative de liberté d'au moins six mois;

ou

| — | lorsque le ressortissant d'un pays tiers a été condamné pour avoir commis une infraction pénale punissable, en vertu du droit de l'État membre, d'une peine privative de liberté d'une durée maximale d'au moins douze mois. |
| --- | --- |

—

lorsque le ressortissant d'un pays tiers a été condamné pour avoir commis une infraction pénale punissable, en vertu du droit de l'État membre, d'une peine privative de liberté d'une durée maximale d'au moins douze mois.

2.   Les données dactyloscopiques visées au paragraphe 1, point b), du présent article, répondent aux spécifications techniques concernant la qualité, la résolution et le traitement des données dactyloscopiques prévues dans l'acte d'exécution visé à l'article 10, paragraphe 1, point b). Le numéro de référence des données dactyloscopiques de la personne condamnée comprend le code de l'État membre de condamnation.

3.   Le fichier de données peut également contenir des images faciales du ressortissant d'un pays tiers condamné, si le droit de l'État membre de condamnation autorise la collecte et la conservation des images faciales des personnes condamnées.

4.   L'État membre de condamnation crée le fichier de données automatiquement, si possible, et sans retard injustifié après l'inscription de la condamnation dans le casier judiciaire.

5.   Les États membres de condamnation créent également des fichiers de données concernant les condamnations prononcées avant la date de début de l'inscription des données conformément à l'article 35, paragraphe 1 dans la mesure où les données concernant les personnes condamnées sont conservées dans leurs bases de données nationales. Dans ces cas, les données dactyloscopiques sont incluses uniquement si elles ont été recueillies à l'occasion d'une procédure pénale conformément au droit national, et lorsqu'elles peuvent être clairement mises en concordance avec d'autres données d'identification dans les casiers judiciaires.

6.   Pour se conformer aux obligations énoncées au paragraphe 1, points b) i) et b) ii), et au paragraphe 5, les États membres peuvent utiliser les données dactyloscopiques recueillies à des fins autres qu'une procédure pénale, lorsque cette utilisation est autorisée par le droit national.

Article 6

Images faciales

1.   Jusqu'à l'entrée en vigueur de l'acte délégué prévu au paragraphe 2, les images faciales ne peuvent être utilisées que pour confirmer l'identité d'un ressortissant d'un pays tiers identifié à la suite d'une consultation alphanumérique ou d'une recherche sur la base des données dactyloscopiques.

2.   La Commission est habilitée à adopter des actes délégués conformément à l'article 37 en vue de compléter le présent règlement en ce qui concerne l'utilisation d'images faciales aux fins de l'identification de ressortissants de pays tiers pour identifier les États membres détenant des informations sur les condamnations antérieures prononcées à l'encontre de ces personnes, lorsque cela devient techniquement possible. Avant d'exercer cette habilitation, la Commission évalue, en se fondant sur des critères de nécessité et de proportionnalité ainsi que sur les évolutions techniques dans le domaine des logiciels de reconnaissance faciale, si la technique requise est disponible et prête à être employée.

Article 7

Utilisation de l'ECRIS-TCN pour identifier les États membres détenant des informations sur le casier judiciaire

1.   Les autorités centrales utilisent l'ECRIS-TCN pour identifier les États membres qui détiennent des informations sur le casier judiciaire d'un ressortissant d'un pays tiers, afin d'obtenir des informations sur les condamnations antérieures au moyen de l'ECRIS, lorsque les informations sur le casier judiciaire sont demandées dans l'État membre concerné aux fins d'une procédure pénale à l'encontre de cette personne, ou à l'une des fins ci-après, si le droit national le prévoit et conformément à celui-ci:

| — | vérification par une personne de son propre casier judiciaire, à sa demande; |
| --- | --- |

—

vérification par une personne de son propre casier judiciaire, à sa demande;

| — | habilitation de sécurité; |
| --- | --- |

—

habilitation de sécurité;

| — | obtention d'une licence ou d'un permis; |
| --- | --- |

—

obtention d'une licence ou d'un permis;

| — | enquêtes menées dans le cadre d'un recrutement professionnel; |
| --- | --- |

—

enquêtes menées dans le cadre d'un recrutement professionnel;

| — | enquêtes menées dans le cadre d'un recrutement en vue d'activités bénévoles impliquant des contacts directs et réguliers avec des enfants ou des personnes vulnérables; |
| --- | --- |

—

enquêtes menées dans le cadre d'un recrutement en vue d'activités bénévoles impliquant des contacts directs et réguliers avec des enfants ou des personnes vulnérables;

| — | procédures de visas, d'acquisition de la citoyenneté et de migration, y compris les procédures d'asile; et |
| --- | --- |

—

procédures de visas, d'acquisition de la citoyenneté et de migration, y compris les procédures d'asile; et

| — | vérifications en rapport avec des marchés publics et des concours publics. |
| --- | --- |

—

vérifications en rapport avec des marchés publics et des concours publics.

Toutefois, dans des cas particuliers, autres que ceux où un ressortissant d'un pays tiers présente à l'autorité centrale une demande d'informations sur son propre casier judiciaire, ou lorsque la demande est présentée pour obtenir des informations sur un casier judiciaire en vertu de l'article 10, paragraphe 2, de la directive 2011/93/UE, l'autorité demandant des informations sur le casier judiciaire peut décider qu'il n'est pas approprié d'utiliser l'ECRIS-TCN.

2.   Tout État membre qui décide, si le droit national le prévoit et conformément à celui-ci, d'utiliser l'ECRIS-TCN à des fins autres que celles prévues au paragraphe 1 pour obtenir des informations sur les condamnations antérieures au moyen de l'ECRIS notifie à la Commission, au plus tard à la date de mise en service visée à l'article 35, paragraphe 4, ou à tout moment par la suite, ces autres fins et toutes les modifications qui y sont apportées. La Commission publie ces notifications au Journal officiel de l'Union européenne dans les trente jours suivant leur réception.

3.   Eurojust, Europol et le Parquet européen peuvent interroger l'ECRIS-TCN pour identifier les États membres détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers conformément aux articles 14 à 18. Toutefois, ils ne sont pas habilités à inscrire, rectifier ou effacer des données dans l'ECRIS-TCN.

4.   Aux fins visées aux paragraphes 1, 2 et 3, les autorités compétentes peuvent également interroger l'ECRIS-TCN pour vérifier si, en ce qui concerne un citoyen de l'Union, un État membre quelconque détient des informations sur le casier judiciaire de cette personne en tant que ressortissant d'un pays tiers.

5.   Lorsqu'elles interrogent l'ECRIS-TCN, les autorités compétentes peuvent utiliser une partie ou la totalité des données visées à l'article 5, paragraphe 1. L'ensemble minimal de données requises pour interroger le système est précisé dans un acte d'exécution adopté conformément à l'article 10, paragraphe 1, point g).

6.   Les autorités compétentes peuvent également interroger l'ECRIS-TCN en utilisant des images faciales, pour autant que cette fonctionnalité ait été mise en œuvre conformément à l'article 6, paragraphe 2.

7.   En cas de réponse positive, le système central indique automatiquement à l'autorité compétente les États membres détenant des informations sur le casier judiciaire du ressortissant d'un pays tiers concerné, ainsi que les numéros de référence associés et toute donnée d'identification correspondante. Ces données d'identification ne sont utilisées qu'aux fins de la vérification de l'identité du ressortissant d'un pays tiers concerné. Les résultats d'une recherche dans le système central ne peuvent être utilisés que pour introduire une demande conformément à l'article 6 de la décision-cadre 2009/315/JAI ou une demande visée à l'article 17, paragraphe 3, du présent règlement.

8.   En l'absence de réponse positive, le système central en informe automatiquement l'autorité compétente.

CHAPITRE III

Conservation et modification des données

Article 8

Durée de conservation des données stockées

1.   Chaque fichier de données est conservé dans le système central tant que les données relatives aux condamnations de la personne concernée sont conservées dans le casier judiciaire.

2.   À l'expiration de la durée de conservation visée au paragraphe 1, l'autorité centrale de l'État membre de condamnation procède à l'effacement du fichier de données, y compris les données dactyloscopiques et les images faciales, du système central. L'effacement se fait automatiquement, si possible, et en tout état de cause au plus tard un mois après l'expiration de la durée de conservation.

Article 9

Modification et effacement de données.

1.   Les États membres peuvent modifier ou effacer les données qu'ils ont inscrites dans l'ECRIS-TCN.

2.   Toute modification des informations figurant dans le casier judiciaire qui ont conduit à la création d'un fichier de données conformément à l'article 5 comprend une modification identique, par l'État membre de condamnation, des informations conservées dans le fichier de données en question dans le système central, sans retard injustifié.

3.   Si un État membre de condamnation a des raisons de penser que les données qu'il a enregistrées dans le système central sont inexactes ou que des données ont été traitées dans le système central en violation du présent règlement, il:

| a) | lance immédiatement une procédure de vérification des données concernées ou de la licéité de leur traitement, selon le cas; |
| --- | --- |

a)

lance immédiatement une procédure de vérification des données concernées ou de la licéité de leur traitement, selon le cas;

| b) | si nécessaire, les rectifie ou les efface du système central sans retard injustifié. |
| --- | --- |

b)

si nécessaire, les rectifie ou les efface du système central sans retard injustifié.

4.   Si un État membre autre que l'État membre de condamnation qui a inscrit les données a des raisons de penser que les données enregistrées dans le système central sont inexactes ou que des données ont été traitées dans le système central en violation du présent règlement, il prend contact, sans retard injustifié, avec l'autorité centrale de l'État membre de condamnation.

L'État membre de condamnation:

| a) | lance immédiatement une procédure de vérification de l'exactitude des données concernées ou de la licéité de leur traitement, selon le cas; |
| --- | --- |

a)

lance immédiatement une procédure de vérification de l'exactitude des données concernées ou de la licéité de leur traitement, selon le cas;

| b) | si nécessaire, les rectifie ou les efface du système central sans retard injustifié; |
| --- | --- |

b)

si nécessaire, les rectifie ou les efface du système central sans retard injustifié;

| c) | informe l'autre État membre que les données ont été rectifiées ou effacées, ou lui expose les raisons pour lesquelles les données n'ont pas été rectifiées ou effacées, sans retard injustifié. |
| --- | --- |

c)

informe l'autre État membre que les données ont été rectifiées ou effacées, ou lui expose les raisons pour lesquelles les données n'ont pas été rectifiées ou effacées, sans retard injustifié.

CHAPITRE IV

Développement, fonctionnement et responsabilités

Article 10

Adoption d'actes d'exécution par la Commission

1.   La Commission adopte les actes d'exécution nécessaires au développement technique et à la mise en œuvre de l'ECRIS-TCN, dès que possible et en particulier les actes concernant:

| a) | les spécifications techniques pour le traitement des données alphanumériques; |
| --- | --- |

a)

les spécifications techniques pour le traitement des données alphanumériques;

| b) | les spécifications techniques pour la qualité, la résolution et le traitement des données dactyloscopiques; |
| --- | --- |

b)

les spécifications techniques pour la qualité, la résolution et le traitement des données dactyloscopiques;

| c) | les spécifications techniques du logiciel d'interface; |
| --- | --- |

c)

les spécifications techniques du logiciel d'interface;

| d) | les spécifications techniques pour la qualité, la résolution et le traitement des images faciales aux fins de l'article 6 et aux conditions qui y sont énoncées; |
| --- | --- |

d)

les spécifications techniques pour la qualité, la résolution et le traitement des images faciales aux fins de l'article 6 et aux conditions qui y sont énoncées;

| e) | la qualité des données, y compris un dispositif et des procédures de contrôle de la qualité des données; |
| --- | --- |

e)

la qualité des données, y compris un dispositif et des procédures de contrôle de la qualité des données;

| f) | l'inscription des données conformément à l'article 5; |
| --- | --- |

f)

l'inscription des données conformément à l'article 5;

| g) | la consultation et l'interrogation de l'ECRIS-TCN conformément à l'article 7; |
| --- | --- |

g)

la consultation et l'interrogation de l'ECRIS-TCN conformément à l'article 7;

| h) | la modification et l'effacement des données conformément aux articles 8 et 9; |
| --- | --- |

h)

la modification et l'effacement des données conformément aux articles 8 et 9;

| i) | la tenue des registres et l'accès à ceux-ci conformément à l'article 31; |
| --- | --- |

i)

la tenue des registres et l'accès à ceux-ci conformément à l'article 31;

| j) | le fonctionnement du fichier central et les règles en matière de sécurité et de protection des données applicables au fichier, conformément à l'article 32; |
| --- | --- |

j)

le fonctionnement du fichier central et les règles en matière de sécurité et de protection des données applicables au fichier, conformément à l'article 32;

| k) | la mise à disposition de statistiques conformément à l'article 32; |
| --- | --- |

k)

la mise à disposition de statistiques conformément à l'article 32;

| l) | les exigences en matière de performance et de disponibilité de l'ECRIS-TCN, y compris les spécifications et exigences minimales de performance en matière biométrique de l'ECRIS-TCN, en particulier pour ce qui est du taux de fausses identifications positives et du taux de fausses identifications négatives. |
| --- | --- |

l)

les exigences en matière de performance et de disponibilité de l'ECRIS-TCN, y compris les spécifications et exigences minimales de performance en matière biométrique de l'ECRIS-TCN, en particulier pour ce qui est du taux de fausses identifications positives et du taux de fausses identifications négatives.

2.   Les actes d'exécution visés au paragraphe 1 sont adoptés en conformité avec la procédure d'examen visée à l'article 38, paragraphe 2.

Article 11

Développement et gestion opérationnelle de l'ECRIS-TCN

1.   L'eu-LISA est responsable du développement de l'ECRIS-TCN conformément au principe de protection des données dès la conception et par défaut. En outre, l'eu-LISA est responsable de la gestion opérationnelle de l'ECRIS-TCN. Le développement consiste en l'élaboration et la mise en œuvre des spécifications techniques, en la réalisation d'essais et en la coordination générale du projet.

2.   L'eu-LISA est également responsable de la poursuite du développement et de la maintenance de l'application de référence de l'ECRIS.

3.   L'eu-LISA définit la conception de l'architecture matérielle de l'ECRIS-TCN, notamment ses spécifications techniques et l'évolution en ce qui concerne le système central, le point d'accès central national, et le logiciel d'interface. Cette conception est adoptée par son conseil d'administration, sous réserve de l'avis favorable de la Commission.

4.   L'eu-LISA développe et met en place l'ECRIS-TCN dès que possible après l'entrée en vigueur du présent règlement et après l'adoption par la Commission des actes d'exécution prévus à l'article 10.

5.   Avant la phase de conception et de développement de l'ECRIS-TCN, le conseil d'administration de l'eu-LISA établit un conseil de gestion du programme, composé de dix membres.

Le conseil de gestion du programme est constitué de huit membres désignés par le conseil d'administration, du président du groupe consultatif visé à l'article 39 et d'un membre désigné par la Commission. Les membres désignés par le conseil d'administration sont issus exclusivement des États membres qui sont pleinement liés, en vertu du droit de l'Union, par les instruments législatifs régissant l'ECRIS et qui participeront à l'ECRIS-TCN. Le conseil d'administration veille à ce que les membres qu'il désigne au conseil de gestion du programme disposent de l'expérience et de l'expertise nécessaires en matière de développement et de gestion des systèmes informatiques utilisés par les autorités judiciaires et celles gérant les casiers judiciaires.

L'eu-LISA participe aux travaux du conseil de gestion du programme. À cette fin, des représentants de l'eu-LISA assistent aux réunions du conseil de gestion du programme afin de faire rapport sur les travaux relatifs à la conception et au développement de l'ECRIS-TCN ainsi que sur les autres travaux et activités connexes.

Le conseil de gestion du programme se réunit au moins une fois tous les trois mois, et plus souvent si nécessaire. Il veille à la bonne gestion de la phase de conception et de développement de l'ECRIS-TCN ainsi qu'à la cohérence entre les projets ECRIS-TCN aux niveaux central et national et avec le logiciel d'application national de l'ECRIS. Le conseil de gestion du programme présente régulièrement, et si possible chaque mois, au conseil d'administration de l'eu-LISA des rapports écrits sur l'état d'avancement du projet. Le conseil de gestion du programme n'a aucun pouvoir décisionnel ni aucun mandat lui permettant de représenter les membres du conseil d'administration.

6.   Le conseil de gestion du programme établit son règlement intérieur, qui comprend notamment des règles sur:

| a) | la présidence; |
| --- | --- |

a)

la présidence;

| b) | les lieux de réunion; |
| --- | --- |

b)

les lieux de réunion;

| c) | la préparation des réunions; |
| --- | --- |

c)

la préparation des réunions;

| d) | l'admission d'experts aux réunions; |
| --- | --- |

d)

l'admission d'experts aux réunions;

| e) | des plans de communication assurant l'information exhaustive des membres du conseil d'administration non participants. |
| --- | --- |

e)

des plans de communication assurant l'information exhaustive des membres du conseil d'administration non participants.

7.   La présidence du conseil de gestion du programme est exercée par un État membre qui est pleinement lié, en vertu du droit de l'Union, par les instruments législatifs régissant l'ECRIS et les instruments législatifs régissant le développement, la mise en place, le fonctionnement et l'utilisation de tous les systèmes informatiques à grande échelle gérés par l'eu-LISA.

8.   Tous les frais de voyage et de séjour exposés par les membres du conseil de gestion du programme sont pris en charge par l'eu-LISA. L'article 10 du règlement intérieur de l'eu-LISA s'applique mutatis mutandis. Le secrétariat du conseil de gestion du programme est assuré par l'eu-LISA.

9.   Pendant la phase de conception et de développement, le groupe consultatif visé à l'article 39 se compose des gestionnaires de projets nationaux de l'ECRIS-TCN et est présidé par l'eu-LISA. Au cours de cette phase, il se réunit régulièrement, et si possible au moins une fois par mois, jusqu'à la mise en service de l'ECRIS-TCN. Après chaque réunion, il fait rapport au conseil de gestion du programme. Il fournit l'expertise technique nécessaire à l'appui des tâches du conseil de gestion du programme et suit l'état de préparation des États membres.

10.   Afin de garantir la confidentialité et l'intégrité des données conservées dans l'ECRIS-TCN à tout moment, l'eu-LISA prévoit, en coopération avec les États membres, les mesures techniques et organisationnelles appropriées, en tenant compte de l'état des connaissances, du coût de mise en œuvre et des risques posés par le traitement.

11.   L'eu-LISA est responsable des tâches ci-après, liées à l'infrastructure de communication visée à l'article 4, paragraphe 1, point d):

| a) | la supervision; |
| --- | --- |

a)

la supervision;

| b) | la sécurité; |
| --- | --- |

b)

la sécurité;

| c) | la coordination des relations entre les États membres et le fournisseur de l'infrastructure de communication. |
| --- | --- |

c)

la coordination des relations entre les États membres et le fournisseur de l'infrastructure de communication.

12.   La Commission est chargée de toutes les autres tâches liées à l'infrastructure de communication visées à l'article 4, paragraphe 1, point d), en particulier:

| a) | les tâches relatives à l'exécution du budget; |
| --- | --- |

a)

les tâches relatives à l'exécution du budget;

| b) | l'acquisition et le renouvellement; |
| --- | --- |

b)

l'acquisition et le renouvellement;

| c) | les questions contractuelles. |
| --- | --- |

c)

les questions contractuelles.

13.   L'eu-LISA élabore et gère un dispositif et des procédures de contrôle de la qualité des données conservées dans l'ECRIS-TCN et présente à intervalles réguliers des rapports aux États membres. Elle présente à la Commission, à intervalles réguliers, des rapports précisant les problèmes rencontrés et les États membres concernés.

14.   La gestion opérationnelle de l'ECRIS-TCN comprend toutes les tâches nécessaires au fonctionnement de l'ECRIS-TCN conformément au présent règlement, en particulier les travaux de maintenance et les perfectionnements techniques indispensables pour que l'ECRIS-TCN fonctionne à un niveau satisfaisant, conformément aux spécifications techniques.

15.   L'eu-LISA s'acquitte des tâches liées à la fourniture d'une formation relative à l'utilisation technique de l'ECRIS-TCN et de l'application de référence de l'ECRIS.

16.   Sans préjudice de l'article 17 du statut des fonctionnaires de l'Union européenne, tel qu'il figure dans le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (17), l'eu-LISA applique des règles appropriées en matière de secret professionnel ou impose des obligations de confidentialité équivalentes à tous les membres de son personnel appelés à travailler avec les données enregistrées dans le système central. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après la cessation de leur activité.

Article 12

Responsabilités des États membres

1.   Chaque État membre est responsable:

| a) | de l'établissement d'une connexion sécurisée entre son casier judiciaire national, ses bases de données dactyloscopiques et son point d'accès central national; |
| --- | --- |

a)

de l'établissement d'une connexion sécurisée entre son casier judiciaire national, ses bases de données dactyloscopiques et son point d'accès central national;

| b) | du développement, du fonctionnement et de la maintenance de la connexion visée au point a); |
| --- | --- |

b)

du développement, du fonctionnement et de la maintenance de la connexion visée au point a);

| c) | de l'établissement d'une connexion entre ses systèmes nationaux et l'application de référence de l'ECRIS; |
| --- | --- |

c)

de l'établissement d'une connexion entre ses systèmes nationaux et l'application de référence de l'ECRIS;

| d) | de la gestion et des modalités de l'accès à l'ECRIS-TCN dont bénéficie le personnel dûment autorisé des autorités centrales, conformément au présent règlement, ainsi que de l'établissement d'une liste de ce personnel et des profils visés à l'article 19, paragraphe 3, point g), et de la mise à jour régulière de cette liste. |
| --- | --- |

d)

de la gestion et des modalités de l'accès à l'ECRIS-TCN dont bénéficie le personnel dûment autorisé des autorités centrales, conformément au présent règlement, ainsi que de l'établissement d'une liste de ce personnel et des profils visés à l'article 19, paragraphe 3, point g), et de la mise à jour régulière de cette liste.

2.   Chaque État membre veille à ce que le personnel de son autorité centrale ayant un droit d'accès à l'ECRIS-TCN reçoive, avant d'être autorisé à traiter des données conservées dans le système central, une formation appropriée, portant en particulier sur les règles en matière de sécurité et de protection des données ainsi que les droits fondamentaux applicables.

Article 13

Responsabilité en matière d'utilisation des données

1.   Conformément aux règles applicables de l'Union en matière de protection des données, chaque État membre veille à ce que les données enregistrées dans l'ECRIS-TCN soient traitées de manière licite, et en particulier à ce que:

| a) | seul le personnel dûment autorisé ait accès aux données pour l'accomplissement de ses tâches; |
| --- | --- |

a)

seul le personnel dûment autorisé ait accès aux données pour l'accomplissement de ses tâches;

| b) | les données soient collectées de manière licite et dans le respect intégral de la dignité humaine et des droits fondamentaux du ressortissant d'un pays tiers concerné; |
| --- | --- |

b)

les données soient collectées de manière licite et dans le respect intégral de la dignité humaine et des droits fondamentaux du ressortissant d'un pays tiers concerné;

| c) | les données soient inscrites de manière licite dans l'ECRIS-TCN; |
| --- | --- |

c)

les données soient inscrites de manière licite dans l'ECRIS-TCN;

| d) | les données soient exactes et à jour lors de leur inscription dans l'ECRIS-TCN. |
| --- | --- |

d)

les données soient exactes et à jour lors de leur inscription dans l'ECRIS-TCN.

2.   L'eu-LISA veille à ce que l'ECRIS-TCN soit utilisé conformément au présent règlement, à l'acte délégué visé à l'article 6, paragraphe 2, et aux actes d'exécution visés à l'article 10, ainsi qu'au règlement (UE) 2018/1725. En particulier, l'eu-LISA prend les mesures nécessaires pour assurer la sécurité du système central et de l'infrastructure de communication visées à l'article 4, paragraphe 1, point d), sans préjudice des responsabilités incombant à chaque État membre.

3.   L'eu-LISA informe le Parlement européen, le Conseil et la Commission, ainsi que le Contrôleur européen de la protection des données, dès que possible, des mesures qu'elle prend, en vertu du paragraphe 2, en vue de la mise en service de l'ECRIS-TCN.

4.   La Commission met les informations visées au paragraphe 3 à la disposition des États membres et du public, par l'intermédiaire d'un site internet public régulièrement actualisé.

Article 14

Accès d'Eurojust, d'Europol et du Parquet européen

1.   Eurojust dispose d'un accès direct à l'ECRIS-TCN aux fins de la mise en œuvre de l'article 17, ainsi que de l'accomplissement de ses missions en vertu de l'article 2 du règlement (UE) 2018/1727, afin d'identifier les États membres détenant des informations sur les condamnations antérieures de ressortissants de pays tiers.

2.   Europol dispose d'un accès direct à l'ECRIS-TCN aux fins de l'accomplissement de ses missions en vertu de l'article 4, paragraphe 1, points a) à e) et h), du règlement (UE) 2016/794, afin d'identifier les États membres détenant des informations sur les condamnations antérieures de ressortissants de pays tiers.

3.   Le Parquet européen dispose d'un accès direct à l'ECRIS-TCN aux fins de l'accomplissement de ses missions en vertu de l'article 4 du règlement (UE) 2017/1939, afin d'identifier les États membres détenant des informations sur les condamnations antérieures de ressortissants de pays tiers.

4.   À la suite d'une réponse positive indiquant les États membres détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers, Eurojust, Europol et le Parquet européen peuvent utiliser les contacts qu'ils ont respectivement établis avec les autorités nationales de ces États membres pour demander des informations sur le casier judiciaire dans la forme prévue par leurs actes constitutifs respectifs.

Article 15

Accès du personnel autorisé d'Eurojust, d'Europol et du Parquet européen

Eurojust, Europol et le Parquet européen sont responsables de la gestion et des modalités d'accès à l'ECRIS-TCN du personnel dûment autorisé, conformément au présent règlement et de l'établissement d'une liste de ce personnel et de ses profils et de la mise à jour régulière de cette liste.

Article 16

Responsabilités d'Eurojust, d'Europol et du Parquet européen

Eurojust, Europol et le Parquet européen:

| a) | mettent en place les moyens techniques permettant la connexion à l'ECRIS-TCN et sont chargés du maintien de cette connexion; |
| --- | --- |

a)

mettent en place les moyens techniques permettant la connexion à l'ECRIS-TCN et sont chargés du maintien de cette connexion;

| b) | fournissent une formation appropriée couvrant, en particulier, les règles en matière de sécurité et de protection des données et les droits fondamentaux applicables aux membres de leur personnel ayant un droit d'accès à l'ECRIS-TCN avant de les autoriser à traiter des données conservées dans le système central; |
| --- | --- |

b)

fournissent une formation appropriée couvrant, en particulier, les règles en matière de sécurité et de protection des données et les droits fondamentaux applicables aux membres de leur personnel ayant un droit d'accès à l'ECRIS-TCN avant de les autoriser à traiter des données conservées dans le système central;

| c) | veillent à ce que les données à caractère personnel traitées par ce personnel en vertu du présent règlement soient protégées conformément aux règles applicables en matière de protection des données. |
| --- | --- |

c)

veillent à ce que les données à caractère personnel traitées par ce personnel en vertu du présent règlement soient protégées conformément aux règles applicables en matière de protection des données.

Article 17

Point de contact pour les pays tiers et les organisations internationales

1.   Les pays tiers et les organisations internationales peuvent, aux fins d'une procédure pénale, adresser des demandes d'information, le cas échéant, sur l'État membre détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers à Eurojust. À cette fin, ils utilisent le formulaire type figurant à l'annexe du présent règlement.

2.   Lorsqu'une demande en vertu du paragraphe 1 lui est adressée, Eurojust utilise l'ECRIS-TCN pour identifier, le cas échéant, les États membres détenant des informations sur le casier judiciaire du ressortissant d'un pays tiers concerné.

3.   En cas de réponse positive, Eurojust demande à l'État membre détenant des informations sur le casier judiciaire du ressortissant d'un pays tiers concerné s'il consent à ce qu'Eurojust communique son nom au pays tiers ou à l'organisation internationale. Lorsque cet État membre donne son consentement, Eurojust communique au pays tiers ou à l'organisation internationale le nom de cet État membre et informe le pays tiers ou l'organisation internationale de la manière dont il/elle peut introduire une demande d'extrait de casier judiciaire auprès de cet État membre en conformité avec les procédures applicables.

4.   En l'absence de réponse positive ou lorsqu'Eurojust ne peut pas donner de réponse, conformément au paragraphe 3, aux demandes qui lui ont été adressées au titre du présent article, elle informe le pays tiers ou l'organisation internationale concerné qu'elle a mené à bien la procédure, sans indiquer si des informations sur le casier judiciaire de la personne concernée sont détenues par un État membre.

Article 18

Communication d'informations à un pays tiers, une organisation internationale ou une entité privée

Ni Eurojust, ni Europol, ni le Parquet européen, ni aucune autorité centrale ne peut transférer à un pays tiers, à une organisation internationale ou à une entité privée, ni mettre à leur disposition, des informations concernant un ressortissant d'un pays tiers obtenues au moyen de l'ECRIS-TCN. Le présent article ne porte pas atteinte à l'article 17, paragraphe 3.

Article 19

Sécurité des données

1.   L'eu-LISA prend les mesures nécessaires pour assurer la sécurité de l'ECRIS-TCN, sans préjudice des responsabilités incombant à chaque État membre, en tenant compte des mesures de sécurité prévues au paragraphe 3.

2.   En ce qui concerne le fonctionnement de l'ECRIS-TCN, l'eu-LISA prend les mesures nécessaires à la réalisation des objectifs fixés au paragraphe 3, y compris l'adoption d'un plan de sécurité et d'un plan de continuité des activités et de rétablissement après sinistre, ainsi que pour faire en sorte que les systèmes installés puissent, en cas d'interruption, être rétablis.

3.   Les États membres assurent la sécurité des données avant et pendant leur transmission au point d'accès central national et leur réception depuis ce même point d'accès central. En particulier, chaque État membre:

| a) | assure la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures; |
| --- | --- |

a)

assure la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures;

| b) | empêche l'accès de toute personne non autorisée aux installations nationales dans lesquelles sont effectuées les opérations qui incombent à l'État membre en rapport avec l'ECRIS-TCN; |
| --- | --- |

b)

empêche l'accès de toute personne non autorisée aux installations nationales dans lesquelles sont effectuées les opérations qui incombent à l'État membre en rapport avec l'ECRIS-TCN;

| c) | empêche toute lecture, copie, modification ou suppression non autorisées de supports de données; |
| --- | --- |

c)

empêche toute lecture, copie, modification ou suppression non autorisées de supports de données;

| d) | empêche l'introduction non autorisée de données et le contrôle, la modification ou l'effacement non autorisés de données à caractère personnel conservées; |
| --- | --- |

d)

empêche l'introduction non autorisée de données et le contrôle, la modification ou l'effacement non autorisés de données à caractère personnel conservées;

| e) | empêche le traitement non autorisé de données dans l'ECRIS-TCN ainsi que toute modification ou tout effacement non autorisés de données traitées dans le système ECRIS-TCN; |
| --- | --- |

e)

empêche le traitement non autorisé de données dans l'ECRIS-TCN ainsi que toute modification ou tout effacement non autorisés de données traitées dans le système ECRIS-TCN;

| f) | fait en sorte que les personnes autorisées à avoir accès à l'ECRIS-TCN n'aient accès qu'aux données couvertes par leur autorisation d'accès, et ce uniquement au moyen d'identifiants individuels uniques et de modes d'accès confidentiels; |
| --- | --- |

f)

fait en sorte que les personnes autorisées à avoir accès à l'ECRIS-TCN n'aient accès qu'aux données couvertes par leur autorisation d'accès, et ce uniquement au moyen d'identifiants individuels uniques et de modes d'accès confidentiels;

| g) | fait en sorte que toutes les autorités ayant un droit d'accès à l'ECRIS-TCN créent des profils décrivant les fonctions et les responsabilités des personnes autorisées à inscrire les données, à les rectifier, à les effacer, à les consulter et à y faire des recherches, et qu'elles communiquent sans retard injustifié ces profils aux autorités de contrôle nationales, lorsque ces dernières en font la demande; |
| --- | --- |

g)

fait en sorte que toutes les autorités ayant un droit d'accès à l'ECRIS-TCN créent des profils décrivant les fonctions et les responsabilités des personnes autorisées à inscrire les données, à les rectifier, à les effacer, à les consulter et à y faire des recherches, et qu'elles communiquent sans retard injustifié ces profils aux autorités de contrôle nationales, lorsque ces dernières en font la demande;

| h) | faire en sorte qu'il soit possible de vérifier et de déterminer à quels organes et organismes de l'Union les données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données; |
| --- | --- |

h)

faire en sorte qu'il soit possible de vérifier et de déterminer à quels organes et organismes de l'Union les données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données;

| i) | fait en sorte qu'il soit possible de vérifier et d'établir quelles données ont été traitées dans l'ECRIS-TCN, à quel moment, par qui et dans quel but; |
| --- | --- |

i)

fait en sorte qu'il soit possible de vérifier et d'établir quelles données ont été traitées dans l'ECRIS-TCN, à quel moment, par qui et dans quel but;

| j) | empêche toute lecture, copie ou modification ou tout effacement non autorisés de données à caractère personnel pendant leur transmission à partir de l'ECRIS-TCN ou vers celui-ci, ou durant le transport de supports de données, en particulier par des techniques de cryptage adaptées; |
| --- | --- |

j)

empêche toute lecture, copie ou modification ou tout effacement non autorisés de données à caractère personnel pendant leur transmission à partir de l'ECRIS-TCN ou vers celui-ci, ou durant le transport de supports de données, en particulier par des techniques de cryptage adaptées;

| k) | contrôle l'efficacité des mesures de sécurité visées au présent paragraphe et prend les mesures organisationnelles nécessaires en matière d'autocontrôle et de surveillance pour assurer le respect du présent règlement. |
| --- | --- |

k)

contrôle l'efficacité des mesures de sécurité visées au présent paragraphe et prend les mesures organisationnelles nécessaires en matière d'autocontrôle et de surveillance pour assurer le respect du présent règlement.

4.   L'eu-LISA et les États membres coopèrent afin d'assurer une approche cohérente en matière de sécurité des données, sur la base d'un processus de gestion des risques pour la sécurité englobant l'ensemble de l'ECRIS-TCN.

Article 20

Responsabilité

1.   Toute personne ou tout État membre ayant subi un dommage matériel ou moral du fait d'un traitement illicite ou de toute autre action incompatible avec le présent règlement a le droit d'obtenir réparation:

| a) | de l'État membre responsable du dommage subi; ou |
| --- | --- |

a)

de l'État membre responsable du dommage subi; ou

| b) | de l'eu-LISA, si elle n'a pas satisfait à ses obligations énoncées dans le présent règlement ou dans le règlement (UE) 2018/1725. |
| --- | --- |

b)

de l'eu-LISA, si elle n'a pas satisfait à ses obligations énoncées dans le présent règlement ou dans le règlement (UE) 2018/1725.

L'État membre qui est responsable du dommage subi ou l'eu-LISA, respectivement, est exonéré(e) partiellement ou totalement de sa responsabilité s'il/si elle prouve que le fait générateur du dommage ne lui est pas imputable.

2.   Si le non-respect, par un État membre, Eurojust, Europol ou le Parquet européen, des obligations qui lui incombent en vertu du présent règlement cause un dommage à l'ECRIS-TCN, cet État membre, Eurojust, Europol, ou le Parquet européen, respectivement, en est tenu responsable, sauf si et dans la mesure où l'eu-LISA ou un autre État membre participant à l'ECRIS-TCN n'a pas pris de mesures raisonnables pour prévenir le dommage ou en atténuer les effets.

3.   Les actions en réparation intentées contre un État membre pour les dommages visés aux paragraphes 1 et 2 sont régies par le droit de l'État membre défendeur. Les actions en réparation intentées contre l'eu-LISA, Eurojust, Europol et le Parquet européen pour les dommages visés aux paragraphes 1 et 2 sont régis par leurs actes constitutifs respectifs.

Article 21

Autocontrôle

Les États membres veillent à ce que chaque autorité centrale prenne les mesures nécessaires pour se conformer au présent règlement et coopère, s'il y a lieu, avec les autorités de contrôles.

Article 22

Sanctions

Toute utilisation frauduleuse de données inscrites dans l'ECRIS-TCN donne lieu, conformément au droit national ou de l'Union, à des sanctions ou à des mesures disciplinaires qui sont effectives, proportionnées et dissuasives.

CHAPITRE V

Droits et surveillance en matière de protection des données

Article 23

Responsable du traitement des données et sous-traitant des données

1.   Chaque autorité centrale doit être considérée comme le responsable du traitement des données conformément aux règles applicables de l'Union en matière de protection des données pour ce qui est du traitement des données à caractère personnel effectué par ledit État membre en vertu du présent règlement.

2.   L'eu-LISA est considérée comme le sous-traitant des données conformément au règlement (UE) 2018/1725 pour ce qui est des données à caractère personnel inscrites dans le système central par les États membres.

Article 24

Finalité du traitement des données à caractère personnel

1.   Les données inscrites dans le système central ne font l'objet d'un traitement qu'aux fins de l'identification des États membres détenant des informations sur les casiers judiciaires de ressortissants de pays tiers.

2.   En dehors du personnel dûment autorisé d'Eurojust, d'Europol et du Parquet européen, qui a accès à l'ECRIS-TCN aux fins du présent règlement, l'accès à l'ECRIS-TCN est exclusivement réservé au personnel dûment autorisé des autorités centrales. L'accès est limité à ce qui est requis pour l'accomplissement des tâches, conformément aux finalités visées au paragraphe 1, et à ce qui est nécessaire et proportionné aux objectifs poursuivis.

Article 25

Droit d'accès, de rectification, d'effacement et de limitation du traitement

1.   Les demandes des ressortissants de pays tiers concernant les droits d'accès aux données à caractère personnel, de rectification et d'effacement de ces données et de la limitation de leur traitement, qui sont prévus par les règles applicables de l'Union en matière de protection des données, peuvent être adressées à l'autorité centrale de tout État membre

2.   Lorsqu'une demande est adressée à un État membre autre que l'État membre de condamnation, l'État membre auquel la demande a été adressée la transmet à l'État membre de condamnation sans retard injustifié et, en tout état de cause, dans les dix jours ouvrables suivant la réception de la demande. Dès réception de la demande, l'État membre de condamnation:

| a) | lance immédiatement une procédure de vérification de l'exactitude des données concernées ou de la licéité de leur traitement dans l'ECRIS-TCN; et |
| --- | --- |

a)

lance immédiatement une procédure de vérification de l'exactitude des données concernées ou de la licéité de leur traitement dans l'ECRIS-TCN; et

| b) | répond sans retard injustifié à l'État membre qui a transmis la demande. |
| --- | --- |

b)

répond sans retard injustifié à l'État membre qui a transmis la demande.

3.   S'il apparaît que les données enregistrées dans l'ECRIS-TCN sont inexactes ou qu'elles y ont été traitées de façon illicite, l'État membre de condamnation rectifie ou efface les données conformément à l'article 9. L'État membre de condamnation ou, le cas échéant, l'État membre auquel la demande a été adressée confirme par écrit et sans retard injustifié à la personne concernée que des mesures ont été prises pour rectifier ou effacer des données la concernant. L'État membre de condamnation notifie également sans retard injustifié les mesures qui ont été prises à tout autre État membre ayant reçu des informations relatives à cette condamnation obtenues à la suite de l'interrogation de l'ECRIS-TCN.

4.   Si l'État membre de condamnation n'estime pas que les données enregistrées dans l'ECRIS-TCN sont inexactes ou qu'elles ont été traitées de façon illicite, il adopte une décision administrative ou judiciaire indiquant par écrit à la personne concernée les raisons pour lesquelles il n'est pas disposé à rectifier ou effacer les données la concernant. Ces cas sont, s'il y a lieu, communiqués à l'autorité de contrôle nationale.

5.   L'État membre qui a adopté la décision n vertu du paragraphe 4 fournit également à la personne concernée des informations expliquant les mesures que cette personne peut prendre si elle n'accepte pas l'explication fournie en vertu du paragraphe 4. Il s'agit notamment d'informations sur les modalités de recours ou de réclamation devant les autorités ou les juridictions compétentes de cet État membre, ainsi que sur toute aide, y compris de la part des autorités de contrôle nationales, disponible conformément au droit national de cet État membre.

6.   Toute demande présentée en vertu du paragraphe 1 comporte toutes les informations nécessaires à l'identification de la personne concernée. Ces informations ne sont utilisées que pour permettre l'exercice des droits visés au paragraphe 1 et sont ensuite immédiatement effacées.

7.   Lorsque le paragraphe 2 s'applique, l'autorité centrale à qui la demande a été adressée conserve une trace écrite de l'introduction de cette demande, de la façon dont la demande a été traitée et à quelle autorité elle a été transmise. Si une autorité de contrôle nationale en fait la demande, l'autorité centrale lui transmet sans retard cette trace. L'autorité centrale et l'autorité de contrôle nationale effacent de telles traces trois ans après leur établissement.

Article 26

Coopération en vue de garantir le respect des droits en matière de protection des données

1.   Les autorités centrales coopèrent entre elles en vue de garantir le respect des droits prévus à l'article 25.

2.   Dans chaque État membre, l'autorité de contrôle nationale communique sur demande à la personne concernée des informations sur la manière d'exercer son droit de faire rectifier ou effacer les données la concernant, conformément aux règles applicables de l'Union en matière de protection des données.

3.   Aux fins du présent article, l'autorité de contrôle nationale de l'État membre qui a transmis les données et l'autorité de contrôle nationale de l'État membre auquel la demande a été adressée coopèrent entre elles.

Article 27

Voies de recours

Toute personne a le droit d'introduire une réclamation et le droit de former un recours dans l'État membre de condamnation qui lui a refusé le droit d'accès aux données la concernant ou le droit d'en obtenir la rectification ou l'effacement visés à l'article 25, conformément au droit national ou de l'Union.

Article 28

Surveillance assurée par les autorités de contrôle nationales

1.   Chaque État membre veille à ce que les autorités de contrôle nationales, désignées conformément aux règles applicables de l'Union en matière de protection des données, contrôlent la licéité du traitement, effectué par l'État membre en question, des données à caractère personnel visées aux articles 5 et 6, y compris de leur transmission à partir de l'ECRIS-TCN et vers celui-ci.

2.   L'autorité de contrôle nationale veille à ce qu'un audit des activités de traitement des données figurant dans les casiers judiciaires et les bases de données dactyloscopiques nationaux en rapport avec l'échange de données entre ces systèmes et l'ECRIS-TCN, répondant aux normes internationales d'audit applicables, soit réalisé tous les trois ans au minimum à compter de la date de mise en service de l'ECRIS-TCN.

3.   Les États membres veillent à ce que leurs autorités de contrôle nationales disposent de ressources suffisantes pour s'acquitter des tâches qui leur sont confiées en vertu du présent règlement.

4.   Chaque État membre communique toutes les informations demandées par ses autorités de contrôle nationales et leur fournit, en particulier, les informations relatives aux activités menées conformément aux articles 12, 13 et 19. Chaque État membre permet à ses autorités de contrôle nationales d'accéder à ses traces en application de l'article 25, paragraphe 7, et à ses registres nationaux en application de l'article 31, paragraphe 6, et, à tout moment, à l'ensemble de ses locaux liés à l'ECRIS-TCN.

Article 29

Surveillance assurée par le Contrôleur européen de la protection des données

1.   Le Contrôleur européen de la protection des données contrôle que les activités de traitement des données à caractère personnel menées par l'eu-LISA qui concernent l'ECRIS-TCN sont effectuées conformément au présent règlement.

2.   Le Contrôleur européen de la protection des données veille à ce qu'un audit des activités de traitement des données à caractère personnel menées par l'eu-LISA, répondant aux normes internationales d'audit applicables, soit réalisé tous les trois ans au minimum. Le rapport de cet audit est communiqué au Parlement européen, au Conseil, à la Commission, à l'eu-LISA et aux autorités de contrôle. L'eu-LISA se voit offrir la possibilité de formuler des observations avant l'adoption du rapport.

3.   L'eu-LISA communique au Contrôleur européen de la protection des données les renseignements qu'il demande et lui donne accès à tous les documents et aux registres visés à l'article 31 et, à tout moment, à l'ensemble de ses locaux.

Article 30

Coopération entre les autorités de contrôle nationales et le Contrôleur européen de la protection des données

Un contrôle coordonné de l'ECRIS-TCN est assuré conformément à l'article 62 du règlement (UE) 2018/1725.

Article 31

Tenue de registres

1.   L'eu-LISA et les autorités compétentes veillent, conformément à leurs responsabilités respectives, à ce que toutes les activités de traitement de données dans l'ECRIS-TCN soient consignées dans un registre conformément au paragraphe 2 aux fins de la vérification de la recevabilité des demandes ainsi que du contrôle de l'intégrité et de la sécurité des données et de la licéité du traitement des données, de même qu'à des fins d'autocontrôle.

2.   Le registre mentionne:

| a) | la finalité de la demande d'accès aux données de l'ECRIS-TCN; |
| --- | --- |

a)

la finalité de la demande d'accès aux données de l'ECRIS-TCN;

| b) | les données transmises, visées à l'article 5; |
| --- | --- |

b)

les données transmises, visées à l'article 5;

| c) | la référence du fichier national; |
| --- | --- |

c)

la référence du fichier national;

| d) | la date et l'heure précise de l'opération; |
| --- | --- |

d)

la date et l'heure précise de l'opération;

| e) | les données utilisées pour la demande; |
| --- | --- |

e)

les données utilisées pour la demande;

| f) | les données d'identification de l'agent qui a effectué la recherche. |
| --- | --- |

f)

les données d'identification de l'agent qui a effectué la recherche.

3.   Le registre des opérations de consultation et de transmission des données permet d'établir le motif de telles opérations.

4.   Les registres ne sont utilisés que pour contrôler la licéité du traitement des données et pour garantir l'intégrité et la sécurité de celles-ci. Seuls les registres contenant des données à caractère non personnel peuvent être utilisés aux fins du suivi et de l'évaluation visés à l'article 36. Ces registres sont protégés par des mesures appropriées contre tout accès non autorisé et sont effacés au bout de trois ans s'ils ne sont plus nécessaires à une procédure de contrôle déjà engagée.

5.   Sur demande, l'eu-LISA met, sans retard injustifié, les registres de ses opérations de traitement à la disposition des autorités centrales.

6.   Les autorités de contrôle nationales compétentes chargées de vérifier la recevabilité de la demande et de contrôler la licéité du traitement des données ainsi que l'intégrité et la sécurité des données ont accès aux registres à leur demande aux fins de l'accomplissement des tâches qui leur incombent. Sur demande, les autorités centrales mettent, sans retard injustifié, les registres de leurs opérations de traitement à la disposition des autorités de contrôle nationales compétentes.

CHAPITRE VI

Dispositions finales

Article 32

Utilisation des données à des fins d'établissement de rapports et de statistiques

1.   Le personnel dûment autorisé de l'eu-LISA, des autorités compétentes et de la Commission n'ont accès aux données traitées dans l'ECRIS-TCN qu'à des fins statistiques et d'établissement de rapports ne permettant aucune identification d'individus.

2.   Aux fins du paragraphe 1, l'eu-LISA crée, met en place et héberge sur ses sites techniques un fichier central contenant les données visées au paragraphe 1 qui, sans permettre l'identification d'individus, permet d'obtenir des rapports et des statistiques personnalisables. L'accès au fichier central est accordé de manière sécurisée, moyennant un contrôle de l'accès et des profils d'utilisateur spécifiques utilisés exclusivement aux fins de l'établissement de rapports et de statistiques.

3.   Les procédures mises en place par l'eu-LISA pour suivre le fonctionnement de l'ECRIS-TCN, visées à l'article 36, ainsi que l'application de référence de l'ECRIS, prévoient la possibilité de produire régulièrement des statistiques à des fins de suivi.

Chaque mois, l'eu-LISA soumet à la Commission des statistiques sur l'enregistrement, le stockage et l'échange d'informations extraites des casiers judiciaires au moyen de l'ECRIS-TCN et de l'application de référence de l'ECRIS. L'eu-LISA veille à ce qu'il ne soit pas possible d'identifier des individus sur la base de ces statistiques. À la demande de la Commission, l'eu-LISA lui communique des statistiques relatives à certains aspects spécifiques ayant trait à la mise en œuvre du présent règlement.

4.   Les États membres communiquent à l'eu-LISA les statistiques dont elle a besoin pour s'acquitter de ses obligations visées au présent article. Ils procurent à la Commission des statistiques sur le nombre de ressortissants de pays tiers condamnés, de même que sur le nombre de condamnations de ressortissants de pays tiers prononcées sur leur territoire.

Article 33

Coûts

1.   Les coûts afférents à la création et au fonctionnement du système central, de l'infrastructure de communication visée à l'article 4, paragraphe 1, point d), du logiciel d'interface et de l'application de référence de l'ECRIS sont à la charge du budget général de l'Union.

2.   Les coûts de connexion d'Eurojust, d'Europol et du Parquet européen à l'ECRIS-TCN sont imputés à leurs budgets respectifs.

3.   Les autres coûts sont pris en charge par les États membres, en particulier les coûts afférents à la connexion des casiers judiciaires nationaux existants, des bases de données dactyloscopiques et des autorités centrales à l'ECRIS-TCN, ainsi que les coûts liés à l'hébergement de l'application de référence de l'ECRIS.

Article 34

Notifications

1.   Chaque État membre notifie à l'eu-LISA le nom de son ou de ses autorités centrales qui bénéficient d'un accès pour inscrire, rectifier, effacer ou consulter des données ou effectuer des recherches dans celles-ci, ainsi que toute modification à cet égard.

2.   L'eu-LISA fait publier, tant au Journal officiel de l'Union européenne que sur son site internet, une liste des autorités centrales notifiées par les États membres. Lorsque l'eu-LISA reçoit la notification d'une modification de l'autorité centrale d'un État membre, elle met à jour la liste sans retard injustifié.

Article 35

Inscription des données et mise en service du système

1.   Dès que la Commission considère que les conditions ci-après sont remplies, elle détermine la date à partir de laquelle les États membres commencent à inscrire les données visées à l'article 5 dans l'ECRIS-TCN:

| a) | les actes d'exécution pertinents visés à l'article 10 ont été adoptés; |
| --- | --- |

a)

les actes d'exécution pertinents visés à l'article 10 ont été adoptés;

| b) | les États membres ont validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre à l'ECRIS-TCN les données visées à l'article 5 et ils les ont notifiés à la Commission; |
| --- | --- |

b)

les États membres ont validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre à l'ECRIS-TCN les données visées à l'article 5 et ils les ont notifiés à la Commission;

| c) | l'eu-LISA a réalisé un essai complet de l'ECRIS-TCN, qu'elle a mené en coopération avec les États membres à partir de données d'essai anonymes. |
| --- | --- |

c)

l'eu-LISA a réalisé un essai complet de l'ECRIS-TCN, qu'elle a mené en coopération avec les États membres à partir de données d'essai anonymes.

2.   Lorsque la Commission a déterminé la date de début de l'inscription des données conformément au paragraphe 1, elle la communique aux États membres. Durant une période de deux mois à compter de cette date, les États membres inscrivent les données visées à l'article 5 dans l'ECRIS-TCN, en tenant compte de l'article 41, paragraphe 2.

3.   Au terme de la période visée au paragraphe 2, l'eu-LISA réalise un essai final de l'ECRIS-TCN, en coopération avec les États membres.

4.   Lorsque l'essai visé au paragraphe 3 a été mené à bien avec succès et que l'eu-LISA considère que l'ECRIS-TCN est prêt à être mis en service, elle en informe la Commission. La Commission informe le Parlement européen et le Conseil des résultats de l'essai effectué et arrête la date de mise en service de l'ECRIS-TCN.

5.   La décision de la Commission relative à la date de mise en service de l'ECRIS-TCN visée au paragraphe 4 est publiée au Journal officiel de l'Union européenne.

6.   Les États membres commencent à utiliser l'ECRIS-TCN à partir de la date fixée par la Commission conformément au paragraphe 4.

7.   Lorsqu'elle prend les décisions visées au présent article, la Commission peut prévoir des dates différentes pour l'inscription dans l'ECRIS-TCN des données alphanumériques et des données dactyloscopiques visées à l'article 5, ainsi que pour le début des opérations relatives à ces différentes catégories de données.

Article 36

Suivi et évaluation

1.   L'eu-LISA veille à ce que des procédures soient en place pour suivre le développement de l'ECRIS-TCN par rapport aux objectifs fixés en matière de planification et de coûts et suivre le fonctionnement de l'ECRIS-TCN et de l'application de référence de l'ECRIS par rapport aux objectifs fixés en matière de résultats techniques, de coût-efficacité, de sécurité et de qualité du service.

2.   Aux fins du suivi du fonctionnement de l'ECRIS-TCN et de sa maintenance technique, l'eu-LISA a accès aux informations nécessaires concernant les opérations de traitement de données effectuées dans l'ECRIS-TCN et l'application de référence de l'ECRIS.

3.   Au plus tard le 12 décembre 2019, puis tous les six mois pendant la phase de conception et de développement, l'eu-LISA présente un rapport au Parlement européen et au Conseil sur l'état d'avancement du développement de l'ECRIS-TCN et de l'application de référence de l'ECRIS.

4.   Le rapport visé au paragraphe 3 comprend un aperçu des coûts et de l'état d'avancement du projet, une évaluation des incidences financières ainsi que des informations sur les problèmes techniques et les risques susceptibles d'avoir des retombées sur le coût total de l'ECRIS-TCN à imputer sur le budget général de l'Union conformément à l'article 33.

5.   En cas de retards importants dans le processus de développement, l'eu-LISA informe le Parlement européen et le Conseil dès que possible des raisons de ces retards ainsi que de leurs incidences temporelles et financières.

6.   Une fois achevé le développement de l'ECRIS-TCN et de l'application de référence de l'ECRIS, l'eu-LISA soumet un rapport au Parlement européen et au Conseil expliquant la manière dont les objectifs, en particulier ceux ayant trait à la planification et aux coûts, ont été atteints, et justifiant les écarts éventuels.

7.   En cas de mise à niveau technique de l'ECRIS-TCN susceptible d'entraîner des coûts importants, l'eu-LISA informe le Parlement européen et la Commission.

8.   Deux ans après la mise en service de l'ECRIS-TCN et chaque année par la suite, l'eu-LISA présente à la Commission un rapport sur le fonctionnement technique de l'ECRIS-TCN et de l'application de référence de l'ECRIS, y compris sur leur sécurité, fondé notamment sur les statistiques relatives au fonctionnement et à l'utilisation de l'ECRIS-TCN, ainsi que sur l'échange, par l'intermédiaire de l'application de référence de l'ECRIS, d'informations extraites des casiers judiciaires.

9.   Quatre ans après la mise en service de l'ECRIS-TCN et tous les quatre ans par la suite, la Commission procède à une évaluation globale de l'ECRIS-TCN et de l'application de référence de l'ECRIS. Le rapport d'évaluation globale établi sur cette base comprend une évaluation de l'application du présent règlement et un examen des résultats obtenus par rapport aux objectifs fixés ainsi que de l'incidence sur les droits fondamentaux. Le rapport détermine également si les principes de base du fonctionnement de l'ECRIS-TCN restent valables, apprécie la pertinence de l'utilisation des données biométriques aux fins de l'ECRIS-TCN et la sécurité de l'ECRIS-TCN, et en tire toutes les conséquences en matière de sécurité pour le fonctionnement futur. L'évaluation comprend les éventuelles recommandations nécessaires. La Commission transmet le rapport au Parlement européen, au Conseil, au Contrôleur européen de la protection des données et à l'Agence des droits fondamentaux de l'Union européenne.

10.   En outre, la première évaluation globale visée au paragraphe 9 porte notamment sur:

| a) | la mesure dans laquelle, sur la base de données statistiques pertinentes et d'autres informations communiquées par les États membres, l'inclusion dans l'ECRIS-TCN des données d'identification des citoyens de l'Union qui ont également la nationalité d'un pays tiers a contribué à la réalisation des objectifs du présent règlement; |
| --- | --- |

a)

la mesure dans laquelle, sur la base de données statistiques pertinentes et d'autres informations communiquées par les États membres, l'inclusion dans l'ECRIS-TCN des données d'identification des citoyens de l'Union qui ont également la nationalité d'un pays tiers a contribué à la réalisation des objectifs du présent règlement;

| b) | la possibilité, pour certains États membres, de continuer à utiliser un logiciel d'application national de l'ECRIS, visé à l'article 4; |
| --- | --- |

b)

la possibilité, pour certains États membres, de continuer à utiliser un logiciel d'application national de l'ECRIS, visé à l'article 4;

| c) | l'inscription des données dactyloscopiques dans l'ECRIS-TCN, en particulier l'application des critères minimaux visés à l'article 5, paragraphe 1, point b) ii); |
| --- | --- |

c)

l'inscription des données dactyloscopiques dans l'ECRIS-TCN, en particulier l'application des critères minimaux visés à l'article 5, paragraphe 1, point b) ii);

| d) | l'impact de l'ECRIS et de l'ECRIS-TCN sur la protection des données à caractère personnel. |
| --- | --- |

d)

l'impact de l'ECRIS et de l'ECRIS-TCN sur la protection des données à caractère personnel.

L'évaluation peut, au besoin, être accompagnée de propositions législatives. Les évaluations globales ultérieures peuvent comprendre une appréciation de l'un ou l'autre de ces aspects ou de la totalité d'entre eux.

11.   Les États membres, Eurojust, Europol et le Parquet européen communiquent à l'eu-LISA et à la Commission les informations nécessaires à l'établissement des rapports visés aux paragraphes 3, 8 et 9, dans le respect des indicateurs quantitatifs prédéfinis par la Commission, l'eu-LISA ou la Commission et l'eu-LISA. Ces informations ne portent pas préjudice aux méthodes de travail et ne comprennent pas d'indications sur les sources, les membres du personnel ou les enquêtes.

12.   S'il y a lieu, les autorités de contrôle communiquent à l'eu-LISA et à la Commission les informations nécessaires à l'établissement des rapports visés au paragraphe 9, dans le respect des indicateurs quantitatifs prédéfinis par la Commission, l'eu-LISA ou la Commission et l'eu-LISA. Ces informations ne portent pas préjudice aux méthodes de travail et ne comprennent pas d'indications sur les sources, les membres du personnel ou les enquêtes.

13.   L'eu-LISA communique à la Commission les informations nécessaires pour réaliser les évaluations globales visées au paragraphe 9.

Article 37

Exercice de la délégation

1.   Le pouvoir d'adopter des actes délégués conféré à la Commission est soumis aux conditions fixées au présent article.

2.   Le pouvoir d'adopter des actes délégués visé à l'article 6, paragraphe 2, est conféré à la Commission pour une durée indéterminée à compter du 11 juin 2019.

3.   La délégation de pouvoir visée à l'article 6, paragraphe 2, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l'Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur.

4.   Avant l'adoption d'un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016«Mieux légiférer».

5.   Aussitôt qu'elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément.

6.   Un acte délégué adopté en vertu de l'article 6, paragraphe 2, n'entre en vigueur que si le Parlement européen ou le Conseil n'a pas exprimé d'objections dans un délai de deux mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l'expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d'objections. Ce délai est prolongé de deux mois à l'initiative du Parlement européen ou du Conseil.

Article 38

Comité

1.   La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) no 182/2011.

2.   Lorsqu'il est fait référence au présent paragraphe, l'article 5 du règlement (UE) no 182/2011 s'applique.

Lorsque le comité n'émet aucun avis, la Commission n'adopte pas le projet d'acte d'exécution et l'article 5, paragraphe 4, troisième alinéa, du règlement (UE) no 182/2011 s'applique.

Article 39

Groupe consultatif

L'eu-LISA crée un groupe consultatif pour pouvoir bénéficier d'une expertise en rapport avec l'ECRIS-TCN et l'application de référence de l'ECRIS, notamment dans le contexte de l'élaboration de son programme de travail annuel et de son rapport d'activité annuel. Durant la phase de conception et de développement, l'article 11, paragraphe 9, s'applique.

Article 40

Modifications du règlement (UE) 2018/1726

Le règlement (UE) 2018/1726 est modifié comme suit:

| 1) | à l'article 1er, le paragraphe 4 est remplacé par le texte suivant:

  «4.   L'Agence est chargée de la conception, du développement ou de la gestion opérationnelle du système d'entrée/de sortie (EES), de DubliNet, du système européen d'information et d'autorisation concernant les voyages (ETIAS), de l'ECRIS-TCN et de l'application de référence de l'ECRIS.»; |
| --- | --- |

1)

à l'article 1er, le paragraphe 4 est remplacé par le texte suivant:

er

«4.   L'Agence est chargée de la conception, du développement ou de la gestion opérationnelle du système d'entrée/de sortie (EES), de DubliNet, du système européen d'information et d'autorisation concernant les voyages (ETIAS), de l'ECRIS-TCN et de l'application de référence de l'ECRIS.»;

| 2) | l'article suivant est inséré:

  «Article 8 bis

  Tâches liées à l'ECRIS TCN et à l'application de référence de l'ECRIS
  En ce qui concerne l'ECRIS-TCN et l'application de référence de l'ECRIS, l'Agence s'acquitte:






  a) | des tâches qui lui sont confiées par le règlement (UE) 2019/816 du Parlement européen et du Conseil (*1); |
| --- | --- | --- |

2)

l'article suivant est inséré:

«Article 8 bis

Tâches liées à l'ECRIS TCN et à l'application de référence de l'ECRIS

En ce qui concerne l'ECRIS-TCN et l'application de référence de l'ECRIS, l'Agence s'acquitte:

a)

des tâches qui lui sont confiées par le règlement (UE) 2019/816 du Parlement européen et du Conseil (*1);

| b) | des tâches liées à une formation relative à l'utilisation technique de l'ECRIS-TCN et de l'application de référence de l'ECRIS. |
| --- | --- |

b)

des tâches liées à une formation relative à l'utilisation technique de l'ECRIS-TCN et de l'application de référence de l'ECRIS.

(*1)  Règlement (UE) 2019/816 du Parlement européen et du Conseil du 17 avril 2019 portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726 (JO L 135 du 22.5.2019, p. 1).»;"

*1

| 3) | à l'article 14, le paragraphe 1 est remplacé par le texte suivant:

  «1.   L'Agence suit les progrès de la recherche présentant de l'intérêt pour la gestion opérationnelle du SIS II, du VIS, d'Eurodac, de l'EES, de l'ETIAS, de DubliNet, de l'ECRIS-TCN et des autres systèmes d'information à grande échelle visés à l'article 1er, paragraphe 5.»; |
| --- | --- |

3)

à l'article 14, le paragraphe 1 est remplacé par le texte suivant:

«1.   L'Agence suit les progrès de la recherche présentant de l'intérêt pour la gestion opérationnelle du SIS II, du VIS, d'Eurodac, de l'EES, de l'ETIAS, de DubliNet, de l'ECRIS-TCN et des autres systèmes d'information à grande échelle visés à l'article 1er, paragraphe 5.»;

| 4) | à l'article 19, le paragraphe 1 est modifié comme suit:






  a) | le point ee) est remplacé par le texte suivant:






  «ee) | adopte les rapports sur le développement de l'EES, au titre de l'article 72, paragraphe 2, du règlement (UE) 2017/2226, les rapports sur le développement de l'ETIAS, au titre de l'article 92, paragraphe 2, du règlement (UE) 2018/1240 et les rapports sur le développement de l'ECRIS-TCN et de l'application de référence de l'ECRIS, au titre de l'article 36, paragraphe 3, du règlement (UE) 2019/816;»; |
| --- | --- | --- | --- |

4)

à l'article 19, le paragraphe 1 est modifié comme suit:

a)

le point ee) est remplacé par le texte suivant:

«ee)

adopte les rapports sur le développement de l'EES, au titre de l'article 72, paragraphe 2, du règlement (UE) 2017/2226, les rapports sur le développement de l'ETIAS, au titre de l'article 92, paragraphe 2, du règlement (UE) 2018/1240 et les rapports sur le développement de l'ECRIS-TCN et de l'application de référence de l'ECRIS, au titre de l'article 36, paragraphe 3, du règlement (UE) 2019/816;»;

| b) | le point ff) est remplacé par le texte suivant:






  «ff) | adopte les rapports sur le fonctionnement technique du SIS II, au titre, respectivement, de l'article 50, paragraphe 4, du règlement (CE) no 1987/2006 et de l'article 66, paragraphe 4, de la décision 2007/533/JAI, du VIS, au titre de l'article 50, paragraphe 3, du règlement (CE) no 767/2008 et de l'article 17, paragraphe 3, de la décision 2008/633/JAI, de l'EES, au titre de l'article 72, paragraphe 4, du règlement (UE) 2017/2226, de l'ETIAS, au titre de l'article 92, paragraphe 4, du règlement (UE) 2018/1240, ainsi que de l'ECRIS-TCN et de l'application de référence de l'ECRIS, au titre de l'article 36, paragraphe 8, du règlement (UE) 2019/816;»; |
| --- | --- | --- |

b)

le point ff) est remplacé par le texte suivant:

«ff)

adopte les rapports sur le fonctionnement technique du SIS II, au titre, respectivement, de l'article 50, paragraphe 4, du règlement (CE) no

o

| c) | le point hh) est remplacé par le texte suivant:






  «hh) | adopte des observations formelles sur les rapports du Contrôleur européen de la protection des données concernant les audits réalisés au titre de l'article 45, paragraphe 2, du règlement (CE) no 1987/2006, de l'article 42, paragraphe 2, du règlement (CE) no 767/2008, de l'article 31, paragraphe 2, du règlement (UE) no 603/2013, de l'article 56, paragraphe 2, du règlement (UE) 2017/2226, de l'article 67 du règlement (UE) 2018/1240 et de l'article 29, paragraphe 2, du règlement (UE) 2019/816, et veille à ce qu'il soit donné dûment à la suite de ces audits;»; |
| --- | --- | --- |

c)

le point hh) est remplacé par le texte suivant:

«hh)

adopte des observations formelles sur les rapports du Contrôleur européen de la protection des données concernant les audits réalisés au titre de l'article 45, paragraphe 2, du règlement (CE) no

o

o

| d) | le point suivant est inséré:






  «ll bis) | soumet à la Commission des statistiques sur l'ECRIS-TCN et l'application de référence de l'ECRIS, au titre de l'article 32, paragraphe 4, deuxième alinéa, du règlement (UE) 2019/816;»; |
| --- | --- | --- |

d)

le point suivant est inséré:

«ll bis)

bis

soumet à la Commission des statistiques sur l'ECRIS-TCN et l'application de référence de l'ECRIS, au titre de l'article 32, paragraphe 4, deuxième alinéa, du règlement (UE) 2019/816;»;

| e) | le point mm) est remplacé par le texte suivant:






  «mm) | veille à la publication annuelle de la liste des autorités compétentes autorisées à consulter directement les données introduites dans le SIS II au titre de l'article 31, paragraphe 8, du règlement (CE) no 1987/2006 et de l'article 46, paragraphe 8, de la décision 2007/533/JAI, de la liste des offices des systèmes nationaux de SIS II (offices N.SIS II) et des bureaux SIRENE au titre, respectivement, de l'article 7, paragraphe 3, du règlement (CE) no 1987/2006 et de l'article 7, paragraphe 3, de la décision 2007/533/JAI, ainsi que de la liste des autorités compétentes au titre de l'article 65, paragraphe 2, du règlement (UE) 2017/2226, de la liste des autorités compétentes au titre de l'article 87, paragraphe 2, du règlement (UE) 2018/1240 et de la liste des autorités centrales au titre de l'article 34, paragraphe 2, du règlement (UE) 2019/816;» |
| --- | --- | --- |

e)

le point mm) est remplacé par le texte suivant:

«mm)

veille à la publication annuelle de la liste des autorités compétentes autorisées à consulter directement les données introduites dans le SIS II au titre de l'article 31, paragraphe 8, du règlement (CE) no

o

| 5) | à l'article 22, paragraphe 4, l'alinéa suivant est inséré après le troisième alinéa:
  «Eurojust, Europol et le Parquet européen peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant l'ECRIS-TCN en relation avec l'application du règlement (UE) 2019/816, figure à l'ordre du jour.»; |
| --- | --- |

5)

à l'article 22, paragraphe 4, l'alinéa suivant est inséré après le troisième alinéa:

«Eurojust, Europol et le Parquet européen peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant l'ECRIS-TCN en relation avec l'application du règlement (UE) 2019/816, figure à l'ordre du jour.»;

| 6) | à l'article 24, paragraphe 3, le point p) est remplacé par le texte suivant:






  «p) | de déterminer, sans préjudice de l'article 17 du statut des fonctionnaires, les exigences de confidentialité à respecter pour se conformer à l'article 17 du règlement (CE) no 1987/2006, à l'article 17 de la décision 2007/533/JAI, à l'article 26, paragraphe 9, du règlement (CE) no 767/2008, à l'article 4, paragraphe 4, du règlement (UE) no 603/2013, à l'article 37, paragraphe 4, du règlement (UE) 2017/2226, à l'article 74, paragraphe 2, du règlement 2018/1240 et à l'article 11, paragraphe 16, du règlement (UE) 2019/816;»; |
| --- | --- | --- |

6)

à l'article 24, paragraphe 3, le point p) est remplacé par le texte suivant:

«p)

de déterminer, sans préjudice de l'article 17 du statut des fonctionnaires, les exigences de confidentialité à respecter pour se conformer à l'article 17 du règlement (CE) no

o

o

| 7) | à l'article 27, paragraphe 1, le point suivant est inséré:






  «d bis) | le groupe consultatif sur l'ECRIS-TCN;». |
| --- | --- | --- |

7)

à l'article 27, paragraphe 1, le point suivant est inséré:

«d bis)

bis

le groupe consultatif sur l'ECRIS-TCN;».

Article 41

Mise en œuvre et dispositions transitoires

1.   Les États membres prennent les mesures nécessaires pour se conformer au présent règlement dès que possible afin d'assurer le bon fonctionnement de l'ECRIS-TCN.

2.   Pour les condamnations prononcées avant la date de début de l'inscription des données conformément à l'article 35, paragraphe 1, les autorités centrales créent les fichiers de données individuels dans le système central comme suit:

| a) | les données alphanumériques à inscrire dans le système central à la fin de la période visée à l'article 35, paragraphe 2; |
| --- | --- |

a)

les données alphanumériques à inscrire dans le système central à la fin de la période visée à l'article 35, paragraphe 2;

| b) | les données dactyloscopiques à inscrire dans le système central deux ans à compter de la mise en service du système conformément à l'article 35, paragraphe 4. |
| --- | --- |

b)

les données dactyloscopiques à inscrire dans le système central deux ans à compter de la mise en service du système conformément à l'article 35, paragraphe 4.

Article 42

Entrée en vigueur

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne.

Journal officiel de l'Union européenne

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans les États membres conformément aux traités.

Fait à Strasbourg, le 17 avril 2019.

Par le Parlement européen

Le président

A. TAJANI

Par le Conseil

Le président

G. CIAMBA

---

(1)  Position du Parlement européen du 12 mars 2019 (non encore parue au Journal officiel) et décision du Conseil du 9 avril 2019.

1

(2)  Décision-cadre 2008/675/JAI du Conseil du 24 juillet 2008 relative à la prise en compte des décisions de condamnation entre les États membres de l'Union européenne à l'occasion d'une nouvelle procédure pénale (JO L 220 du 15.8.2008, p. 32).

2

(3)  Décision-cadre 2009/315/JAI du Conseil du 26 février 2009 concernant l'organisation et le contenu des échanges d'informations extraites du casier judiciaire entre les États membres (JO L 93 du 7.4.2009, p. 23).

3

(4)  Décision 2009/316/JAI du Conseil du 6 avril 2009 relative à la création du système européen d'information sur les casiers judiciaires (ECRIS), en application de l'article 11 de la décision-cadre 2009/315/JAI (JO L 93 du 7.4.2009, p. 33).

4

(5)  Règlement (UE) 2018/1726 du Parlement européen et du Conseil du 14 novembre 2018 relatif à l'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (eu-LISA), modifiant le règlement (CE) no 1987/2006 et la décision 2007/533/JAI du Conseil et abrogeant le règlement (UE) no 1077/2011 (JO L 295 du 21.11.2018, p. 99).

5

o

o

(6)  Directive 2011/93/UE du Parlement européen et du Conseil du 13 décembre 2011 relative à la lutte contre les abus sexuels et l'exploitation sexuelle des enfants, ainsi que la pédopornographie et remplaçant la décision-cadre 2004/68/JAI du Conseil (JO L 335 du 17.12.2011, p. 1).

6

(7)  Règlement (UE) 2018/1727 du Parlement européen et du Conseil du 14 novembre 2018 relatif à l'Agence de l'Union européenne pour la coopération judiciaire en matière pénale (Eurojust) et remplaçant et abrogeant la décision 2002/187/JAI du Conseil (JO L 295 du 21.11.2018, p. 138).

7

(8)  Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO L 135 du 24.5.2016, p. 53).

8

(9)  Règlement (UE) 2017/1939 du Conseil du 12 octobre 2017 mettant en œuvre une coopération renforcée concernant la création du Parquet européen (JO L 283 du 31.10.2017, p. 1).

9

(10)  Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).

10

(11)  Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

11

(12)  Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).

12

o

o

(13)  
  JO L 123 du 12.5.2016, p. 1.

13

(14)  Règlement (UE) no 182/2011 du Parlement européen et du Conseil du 16 février 2011 établissant les règles et principes généraux relatifs aux modalités de contrôle par les États membres de l'exercice des compétences d'exécution par la Commission (JO L 55 du 28.2.2011, p. 13).

14

o

(15)  Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).

15

o

(16)  
  JO C 55 du 14.2.2018, p. 4.

16

(17)  
  JO L 56 du 4.3.1968, p. 1.

17

---

ANNEXE

FORMULAIRE TYPE DE DEMANDE D'INFORMATIONS, VISÉ À L'ARTICLE 17, PARAGRAPHE 1, DU RÈGLEMENT (UE) 2019/816, À UTILISER POUR OBTENIR DES INFORMATIONS, LE CAS ÉCHÉANT, SUR L'ÉTAT MEMBRE DÉTENANT DES INFORMATIONS SUR LE CASIER JUDICIAIRE D'UN RESSORTISSANT D'UN PAYS TIERS

Ce formulaire, disponible sur le site www.eurojust.europa.eu dans les 24 langues officielles des institutions de l’Union, est à adresser dans l’une de ces langues à ECRIS-TCN@eurojust.europa.eu

État ou organisation internationale à l’origine de la demande:

Nom de l’État ou de l’organisation internationale:

Autorité soumettant la demande:

Représentée par (nom de la personne):

Fonctions:

Adresse:

Numéro de téléphone:

Adresse électronique:

Procédure pénale pour laquelle les informations sont demandées:

Numéro de référence interne:

Autorité compétente:

Type d’infractions faisant l’objet d’une enquête (mentionner l’article ou les articles applicables du code pénal):

Autres informations pertinentes (par exemple, urgence de la demande):

Données d’identification de la personne ayant la nationalité d’un pays tiers au sujet de laquelle des informations relatives à l’État membre de condamnation sont demandées:

NB: donner le plus grand nombre possible d’informations disponibles.

Nom (nom de famille):

Prénom(s):

Date de naissance:

Lieu de naissance (ville et pays):

Nationalité(s):

Genre:

Nom(s) précédent(s), le cas échéant:

Noms des parents:

Numéro d’identité:

Type et numéro du ou des documents d’identité de la personne concernée:

Autorité ayant délivré le(s) document(s):

Pseudonymes ou noms d’emprunt:

Si les données dactyloscopiques sont disponibles, veuillez les fournir.

En cas de personnes multiples, veuillez les indiquer séparément.

Un panneau déroulant permettrait l’insertion de sujets supplémentaires

Lieu

Date

Signature et cachet (électroniques):

---

| 22.5.2019 | FR | Journal officiel de l'Union européenne | L 135/27 |
| --- | --- | --- | --- |

22.5.2019

FR

Journal officiel de l'Union européenne

L 135/27

---

RÈGLEMENT (UE) 2019/817 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 20 mai 2019

portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 16, paragraphe 2, son article 74 et son article 77, paragraphe 2, points a), b), d) et e),

vu la proposition de la Commission européenne,

après transmission du projet d'acte législatif aux parlements nationaux,

vu l'avis du Comité économique et social européen (1),

après consultation du Comité des régions,

statuant conformément à la procédure législative ordinaire (2),

considérant ce qui suit:

| (1) | Dans sa communication du 6 avril 2016 intitulée «Des systèmes d'information plus robustes et plus intelligents au service des frontières et de la sécurité», la Commission a souligné la nécessité d'améliorer l'architecture de la gestion des données de l'Union appliquée à la gestion des frontières et à la sécurité. La communication a lancé un processus visant à atteindre l'interopérabilité des systèmes d'information de l'UE pour la sécurité, les frontières et la gestion des migrations, dans le but de remédier aux lacunes structurelles de ces systèmes qui ralentissent le travail des autorités nationales et de garantir que les garde-frontières, les autorités douanières, les policiers et les autorités judiciaires disposent des informations dont ils ont besoin. |
| --- | --- |

(1)

Dans sa communication du 6 avril 2016 intitulée «Des systèmes d'information plus robustes et plus intelligents au service des frontières et de la sécurité», la Commission a souligné la nécessité d'améliorer l'architecture de la gestion des données de l'Union appliquée à la gestion des frontières et à la sécurité. La communication a lancé un processus visant à atteindre l'interopérabilité des systèmes d'information de l'UE pour la sécurité, les frontières et la gestion des migrations, dans le but de remédier aux lacunes structurelles de ces systèmes qui ralentissent le travail des autorités nationales et de garantir que les garde-frontières, les autorités douanières, les policiers et les autorités judiciaires disposent des informations dont ils ont besoin.

| (2) | Dans sa feuille de route en vue de renforcer l'échange d'informations et la gestion de l'information, y compris des solutions d'interopérabilité, dans le domaine de la justice et des affaires intérieures, du 6 juin 2016, le Conseil a recensé plusieurs défis juridiques, techniques et opérationnels en matière d'interopérabilité des systèmes d'information de l'UE et a invité à rechercher des solutions. |
| --- | --- |

(2)

Dans sa feuille de route en vue de renforcer l'échange d'informations et la gestion de l'information, y compris des solutions d'interopérabilité, dans le domaine de la justice et des affaires intérieures, du 6 juin 2016, le Conseil a recensé plusieurs défis juridiques, techniques et opérationnels en matière d'interopérabilité des systèmes d'information de l'UE et a invité à rechercher des solutions.

| (3) | Dans sa résolution du 6 juillet 2016 sur les priorités stratégiques pour le programme de travail de la Commission pour 2017 (3), le Parlement européen a invité à présenter des propositions visant à améliorer et à développer les systèmes d'information de l'UE existants, à combler les lacunes en matière d'informations et à progresser vers l'interopérabilité, ainsi que des propositions concernant l'échange obligatoire d'informations au niveau de l'Union, assorti des garanties nécessaires en matière de protection des données. |
| --- | --- |

(3)

Dans sa résolution du 6 juillet 2016 sur les priorités stratégiques pour le programme de travail de la Commission pour 2017 (3), le Parlement européen a invité à présenter des propositions visant à améliorer et à développer les systèmes d'information de l'UE existants, à combler les lacunes en matière d'informations et à progresser vers l'interopérabilité, ainsi que des propositions concernant l'échange obligatoire d'informations au niveau de l'Union, assorti des garanties nécessaires en matière de protection des données.

| (4) | Dans ses conclusions du 15 décembre 2016, le Conseil européen a appelé à poursuivre les efforts en matière d'interopérabilité des systèmes d'information et des bases de données de l'UE. |
| --- | --- |

(4)

Dans ses conclusions du 15 décembre 2016, le Conseil européen a appelé à poursuivre les efforts en matière d'interopérabilité des systèmes d'information et des bases de données de l'UE.

| (5) | Dans son rapport final du 11 mai 2017, le groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité a conclu qu'il était nécessaire et techniquement faisable d'œuvrer à des solutions pratiques d'interopérabilité et que l'interopérabilité pouvait, en principe, apporter des bénéfices opérationnels et être mise en place conformément aux exigences en matière de protection des données. |
| --- | --- |

(5)

Dans son rapport final du 11 mai 2017, le groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité a conclu qu'il était nécessaire et techniquement faisable d'œuvrer à des solutions pratiques d'interopérabilité et que l'interopérabilité pouvait, en principe, apporter des bénéfices opérationnels et être mise en place conformément aux exigences en matière de protection des données.

| (6) | Dans sa communication du 16 mai 2017 intitulée «Septième rapport sur les progrès accomplis dans la mise en place d'une union de la sécurité réelle et effective», la Commission a défini, conformément à sa communication du 6 avril 2016 et aux conclusions et recommandations du groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité, une nouvelle approche de la gestion des données pour les frontières, la sécurité et les migrations, selon laquelle tous les systèmes d'information de l'UE pour la sécurité, les frontières et la gestion des migrations devaient être interopérables, d'une manière qui respecte pleinement les droits fondamentaux. |
| --- | --- |

(6)

Dans sa communication du 16 mai 2017 intitulée «Septième rapport sur les progrès accomplis dans la mise en place d'une union de la sécurité réelle et effective», la Commission a défini, conformément à sa communication du 6 avril 2016 et aux conclusions et recommandations du groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité, une nouvelle approche de la gestion des données pour les frontières, la sécurité et les migrations, selon laquelle tous les systèmes d'information de l'UE pour la sécurité, les frontières et la gestion des migrations devaient être interopérables, d'une manière qui respecte pleinement les droits fondamentaux.

| (7) | Dans ses conclusions du 9 juin 2017 concernant la voie à suivre pour améliorer l'échange d'informations et assurer l'interopérabilité des systèmes d'information de l'UE, le Conseil a invité la Commission à poursuivre les solutions d'interopérabilité proposées par le groupe d'experts de haut niveau. |
| --- | --- |

(7)

Dans ses conclusions du 9 juin 2017 concernant la voie à suivre pour améliorer l'échange d'informations et assurer l'interopérabilité des systèmes d'information de l'UE, le Conseil a invité la Commission à poursuivre les solutions d'interopérabilité proposées par le groupe d'experts de haut niveau.

| (8) | Dans ses conclusions du 23 juin 2017, le Conseil européen a souligné la nécessité d'améliorer l'interopérabilité des bases de données et a invité la Commission à préparer, dès que possible, un projet de texte législatif sur la base des propositions formulées par le groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité. |
| --- | --- |

(8)

Dans ses conclusions du 23 juin 2017, le Conseil européen a souligné la nécessité d'améliorer l'interopérabilité des bases de données et a invité la Commission à préparer, dès que possible, un projet de texte législatif sur la base des propositions formulées par le groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité.

| (9) | Dans le but d'améliorer l'efficacité et l'efficience des vérifications aux frontières extérieures, de contribuer à prévenir et combattre l'immigration illégale et de favoriser un niveau élevé de sécurité au sein de l'espace de liberté, de sécurité et de justice de l'Union, y compris la préservation de la sécurité publique et de l'ordre public et la sauvegarde de la sécurité sur les territoires des États membres, d'améliorer la mise en œuvre de la politique commune des visas, d'aider dans l'examen des demandes de protection internationale, de contribuer à la prévention et à la détection des infractions terroristes et d'autres infractions pénales graves et aux enquêtes en la matière, de faciliter l'identification de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou des restes humains non identifiés en cas de catastrophe naturelle, d'accident ou d'attaque terroriste, afin de préserver la confiance des citoyens à l'égard du régime d'asile et de migration de l'Union, des mesures de sécurité de l'Union et de la capacité de l'Union à gérer les frontières extérieures, il convient d'établir l'interopérabilité des systèmes d'information de l'UE, à savoir le système d'entrée/de sortie (EES), le système d'information sur les visas (VIS), le système européen d'information et d'autorisation concernant les voyages (ETIAS), Eurodac, le système d'information Schengen (SIS) et le système européen d'information sur les casiers judiciaires pour les ressortissants de pays tiers (ECRIS-TCN), afin que lesdits systèmes d'information de l'UE et leurs données se complètent mutuellement, tout en respectant les droits fondamentaux des personnes, en particulier le droit à la protection des données à caractère personnel. À cet effet, il convient de créer un portail de recherche européen (ESP), un service partagé d'établissement de correspondances biométriques (BMS partagé), un répertoire commun de données d'identité (CIR) et un détecteur d'identités multiples (MID) en tant qu'éléments d'interopérabilité. |
| --- | --- |

(9)

Dans le but d'améliorer l'efficacité et l'efficience des vérifications aux frontières extérieures, de contribuer à prévenir et combattre l'immigration illégale et de favoriser un niveau élevé de sécurité au sein de l'espace de liberté, de sécurité et de justice de l'Union, y compris la préservation de la sécurité publique et de l'ordre public et la sauvegarde de la sécurité sur les territoires des États membres, d'améliorer la mise en œuvre de la politique commune des visas, d'aider dans l'examen des demandes de protection internationale, de contribuer à la prévention et à la détection des infractions terroristes et d'autres infractions pénales graves et aux enquêtes en la matière, de faciliter l'identification de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou des restes humains non identifiés en cas de catastrophe naturelle, d'accident ou d'attaque terroriste, afin de préserver la confiance des citoyens à l'égard du régime d'asile et de migration de l'Union, des mesures de sécurité de l'Union et de la capacité de l'Union à gérer les frontières extérieures, il convient d'établir l'interopérabilité des systèmes d'information de l'UE, à savoir le système d'entrée/de sortie (EES), le système d'information sur les visas (VIS), le système européen d'information et d'autorisation concernant les voyages (ETIAS), Eurodac, le système d'information Schengen (SIS) et le système européen d'information sur les casiers judiciaires pour les ressortissants de pays tiers (ECRIS-TCN), afin que lesdits systèmes d'information de l'UE et leurs données se complètent mutuellement, tout en respectant les droits fondamentaux des personnes, en particulier le droit à la protection des données à caractère personnel. À cet effet, il convient de créer un portail de recherche européen (ESP), un service partagé d'établissement de correspondances biométriques (BMS partagé), un répertoire commun de données d'identité (CIR) et un détecteur d'identités multiples (MID) en tant qu'éléments d'interopérabilité.

| (10) | L'interopérabilité des systèmes d'information de l'UE devrait permettre auxdits systèmes de se compléter mutuellement afin de faciliter l'identification correcte des personnes, y compris de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou de restes humains non identifiés, de contribuer à la lutte contre la fraude à l'identité, d'améliorer et d'harmoniser les exigences en matière de qualité des données des différents systèmes d'information de l'UE, de faciliter la mise en œuvre technique et opérationnelle par les États membres des systèmes d'information de l'UE, de renforcer les garanties en matière de sécurité des données et de protection des données régissant les différents systèmes d'information de l'UE, de rationaliser l'accès aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, à l'EES, au VIS, à ETIAS et à Eurodac et de servir les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN. |
| --- | --- |

(10)

L'interopérabilité des systèmes d'information de l'UE devrait permettre auxdits systèmes de se compléter mutuellement afin de faciliter l'identification correcte des personnes, y compris de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou de restes humains non identifiés, de contribuer à la lutte contre la fraude à l'identité, d'améliorer et d'harmoniser les exigences en matière de qualité des données des différents systèmes d'information de l'UE, de faciliter la mise en œuvre technique et opérationnelle par les États membres des systèmes d'information de l'UE, de renforcer les garanties en matière de sécurité des données et de protection des données régissant les différents systèmes d'information de l'UE, de rationaliser l'accès aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, à l'EES, au VIS, à ETIAS et à Eurodac et de servir les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN.

| (11) | Les éléments d'interopérabilité devraient concerner l'EES, le VIS, ETIAS, Eurodac, le SIS et l'ECRIS-TCN. Ils devraient également concerner les données d'Europol, mais uniquement dans la mesure nécessaire pour permettre que les données d'Europol puissent être interrogées en même temps que ces systèmes d'information de l'UE. |
| --- | --- |

(11)

Les éléments d'interopérabilité devraient concerner l'EES, le VIS, ETIAS, Eurodac, le SIS et l'ECRIS-TCN. Ils devraient également concerner les données d'Europol, mais uniquement dans la mesure nécessaire pour permettre que les données d'Europol puissent être interrogées en même temps que ces systèmes d'information de l'UE.

| (12) | Les éléments d'interopérabilité devraient traiter les données à caractère personnel des personnes dont les données à caractères personnel sont traitées dans les systèmes d'information de l'UE sous-jacents et par Europol. |
| --- | --- |

(12)

Les éléments d'interopérabilité devraient traiter les données à caractère personnel des personnes dont les données à caractères personnel sont traitées dans les systèmes d'information de l'UE sous-jacents et par Europol.

| (13) | L'ESP devrait être créé afin de faciliter d'un point de vue technique l'accès rapide, continu, efficace, systématique et contrôlé des autorités des États membres et des agences de l'Union aux systèmes d'information de l'UE, aux données d'Europol et aux bases de données de l'Organisation internationale de police criminelle (Interpol), dans la mesure où cela est nécessaire à l'accomplissement de leurs tâches conformément à leurs droits d'accès. L'ESP devrait être créé pour soutenir les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS, de l'ECRIS-TCN et d'Europol. En permettant d'interroger l'ensemble des systèmes d'information pertinents de l'UE, les données d'Europol et les bases de données d'Interpol en parallèle, l'ESP devrait constituer un guichet unique ou «courtier de messages» afin d'effectuer des recherches dans plusieurs systèmes centraux et de récupérer les informations nécessaires sans discontinuité et dans le plein respect des exigences en matière de contrôle de l'accès et de protection des données des systèmes sous-jacents. |
| --- | --- |

(13)

L'ESP devrait être créé afin de faciliter d'un point de vue technique l'accès rapide, continu, efficace, systématique et contrôlé des autorités des États membres et des agences de l'Union aux systèmes d'information de l'UE, aux données d'Europol et aux bases de données de l'Organisation internationale de police criminelle (Interpol), dans la mesure où cela est nécessaire à l'accomplissement de leurs tâches conformément à leurs droits d'accès. L'ESP devrait être créé pour soutenir les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS, de l'ECRIS-TCN et d'Europol. En permettant d'interroger l'ensemble des systèmes d'information pertinents de l'UE, les données d'Europol et les bases de données d'Interpol en parallèle, l'ESP devrait constituer un guichet unique ou «courtier de messages» afin d'effectuer des recherches dans plusieurs systèmes centraux et de récupérer les informations nécessaires sans discontinuité et dans le plein respect des exigences en matière de contrôle de l'accès et de protection des données des systèmes sous-jacents.

| (14) | La conception de l'ESP devrait garantir que, lors de l'interrogation des bases de données d'Interpol, les données employées par un utilisateur de l'ESP pour lancer une requête ne sont pas partagées avec les propriétaires des données d'Interpol. La conception de l'ESP devrait également garantir que les bases de données d'Interpol sont seulement interrogées conformément au droit de l'Union et au droit national applicables. |
| --- | --- |

(14)

La conception de l'ESP devrait garantir que, lors de l'interrogation des bases de données d'Interpol, les données employées par un utilisateur de l'ESP pour lancer une requête ne sont pas partagées avec les propriétaires des données d'Interpol. La conception de l'ESP devrait également garantir que les bases de données d'Interpol sont seulement interrogées conformément au droit de l'Union et au droit national applicables.

| (15) | La base de données d'Interpol sur les documents de voyage volés et perdus (base de données SLTD) permet aux entités autorisées chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, dans les États membres, y compris les autorités des services de l'immigration et celles chargées du contrôle aux frontières, d'établir la validité d'un document de voyage. ETIAS interroge la base de données SLTD et la base de données d'Interpol sur les documents de voyage associés aux notices (base de données TDAWN) afin de déterminer si une personne demandant une autorisation de voyage est susceptible, par exemple, de migrer de manière irrégulière ou de constituer une menace pour la sécurité. L'ESP centralisé devrait permettre l'interrogation des bases de données SLTD et TDAWN à l'aide des données d'identité ou des données du document de voyage d'une personne. Lorsque des données à caractère personnel sont transférées de l'Union vers Interpol par l'intermédiaire de l'ESP, les dispositions relatives aux transferts internationaux prévues au chapitre V du règlement (UE) 2016/679 du Parlement européen et du Conseil (4) ou les dispositions nationales transposant le chapitre V de la directive (UE) 2016/680 du Parlement européen et du Conseil (5) devraient s'appliquer. Ceci devrait s'entendre sans préjudice des règles spécifiques contenues dans la position commune 2005/69/JAI du Conseil (6) et dans la décision 2007/533/JAI du Conseil (7). |
| --- | --- |

(15)

La base de données d'Interpol sur les documents de voyage volés et perdus (base de données SLTD) permet aux entités autorisées chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, dans les États membres, y compris les autorités des services de l'immigration et celles chargées du contrôle aux frontières, d'établir la validité d'un document de voyage. ETIAS interroge la base de données SLTD et la base de données d'Interpol sur les documents de voyage associés aux notices (base de données TDAWN) afin de déterminer si une personne demandant une autorisation de voyage est susceptible, par exemple, de migrer de manière irrégulière ou de constituer une menace pour la sécurité. L'ESP centralisé devrait permettre l'interrogation des bases de données SLTD et TDAWN à l'aide des données d'identité ou des données du document de voyage d'une personne. Lorsque des données à caractère personnel sont transférées de l'Union vers Interpol par l'intermédiaire de l'ESP, les dispositions relatives aux transferts internationaux prévues au chapitre V du règlement (UE) 2016/679 du Parlement européen et du Conseil (4) ou les dispositions nationales transposant le chapitre V de la directive (UE) 2016/680 du Parlement européen et du Conseil (5) devraient s'appliquer. Ceci devrait s'entendre sans préjudice des règles spécifiques contenues dans la position commune 2005/69/JAI du Conseil (6) et dans la décision 2007/533/JAI du Conseil (7).

| (16) | L'ESP devrait être développé et configuré de telle sorte qu'il ne permette de procéder à de telles interrogations qu'en utilisant des données liées aux personnes ou aux documents de voyage figurant dans un système d'information de l'UE, dans les données d'Europol ou dans les bases de données d'Interpol. |
| --- | --- |

(16)

L'ESP devrait être développé et configuré de telle sorte qu'il ne permette de procéder à de telles interrogations qu'en utilisant des données liées aux personnes ou aux documents de voyage figurant dans un système d'information de l'UE, dans les données d'Europol ou dans les bases de données d'Interpol.

| (17) | Afin d'assurer l'utilisation systématique des systèmes d'information de l'UE pertinents, l'ESP devrait être utilisé pour interroger le CIR, l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN. Toutefois, une connexion nationale aux différents systèmes d'information de l'UE devrait être conservée en tant que solution de secours technique. Les agences de l'Union devraient également utiliser l'ESP afin d'interroger le SIS central, conformément à leurs droits d'accès et afin d'exécuter leurs missions. L'ESP devrait constituer un moyen supplémentaire d'interroger le SIS central, les données d'Europol et les bases de données d'Interpol, en complément des interfaces spécifiques existantes. |
| --- | --- |

(17)

Afin d'assurer l'utilisation systématique des systèmes d'information de l'UE pertinents, l'ESP devrait être utilisé pour interroger le CIR, l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN. Toutefois, une connexion nationale aux différents systèmes d'information de l'UE devrait être conservée en tant que solution de secours technique. Les agences de l'Union devraient également utiliser l'ESP afin d'interroger le SIS central, conformément à leurs droits d'accès et afin d'exécuter leurs missions. L'ESP devrait constituer un moyen supplémentaire d'interroger le SIS central, les données d'Europol et les bases de données d'Interpol, en complément des interfaces spécifiques existantes.

| (18) | Les données biométriques, telles que les empreintes digitales et les images faciales, sont uniques et donc bien plus fiables que les données alphanumériques aux fins de l'identification d'une personne. Le BMS partagé devrait être un outil technique permettant de renforcer et de faciliter le fonctionnement des systèmes d'information de l'UE pertinents et des autres éléments d'interopérabilité. L'objectif principal du BMS partagé devrait être de faciliter l'identification d'une personne qui est enregistrée dans plusieurs bases de données, en utilisant un élément technologique unique pour faire correspondre les données biométriques de cette personnes contenues dans différents systèmes, plutôt que plusieurs éléments. Le BMS partagé devrait contribuer à la sécurité et procurer des avantages sur les plans financier, opérationnel et de la maintenance. Tous les systèmes automatisés d'identification par empreintes digitales, y compris ceux actuellement utilisés pour Eurodac, le VIS et le SIS, utilisent des modèles biométriques constitués de données résultant d'une extraction des caractéristiques d'échantillons biométriques réels. Le BMS partagé devrait regrouper et stocker tous ces modèles biométriques – séparés logiquement en fonction du système d'information d'où les données proviennent – à un seul endroit, facilitant ainsi les comparaisons de modèles biométriques entre les systèmes et permettant des économies d'échelle dans le développement et la maintenance des systèmes centraux de l'UE. |
| --- | --- |

(18)

Les données biométriques, telles que les empreintes digitales et les images faciales, sont uniques et donc bien plus fiables que les données alphanumériques aux fins de l'identification d'une personne. Le BMS partagé devrait être un outil technique permettant de renforcer et de faciliter le fonctionnement des systèmes d'information de l'UE pertinents et des autres éléments d'interopérabilité. L'objectif principal du BMS partagé devrait être de faciliter l'identification d'une personne qui est enregistrée dans plusieurs bases de données, en utilisant un élément technologique unique pour faire correspondre les données biométriques de cette personnes contenues dans différents systèmes, plutôt que plusieurs éléments. Le BMS partagé devrait contribuer à la sécurité et procurer des avantages sur les plans financier, opérationnel et de la maintenance. Tous les systèmes automatisés d'identification par empreintes digitales, y compris ceux actuellement utilisés pour Eurodac, le VIS et le SIS, utilisent des modèles biométriques constitués de données résultant d'une extraction des caractéristiques d'échantillons biométriques réels. Le BMS partagé devrait regrouper et stocker tous ces modèles biométriques – séparés logiquement en fonction du système d'information d'où les données proviennent – à un seul endroit, facilitant ainsi les comparaisons de modèles biométriques entre les systèmes et permettant des économies d'échelle dans le développement et la maintenance des systèmes centraux de l'UE.

| (19) | Les modèles biométriques stockés dans le BMS partagé devraient être constitués de données résultant d'une extraction des caractéristiques d'échantillons biométriques réels et obtenus de telle manière qu'il ne soit pas possible d'inverser le processus d'extraction. Les modèles biométriques devraient être obtenus à partir des données biométriques, mais il ne devrait pas être possible d'obtenir les mêmes données biométriques à partir des modèles biométriques. Étant donné que les données sous la forme d'empreintes palmaires et les profils ADN ne sont stockés que dans le SIS et ne peuvent pas être utilisés pour être recoupés avec des données contenues dans d'autres systèmes d'information, en suivant les principes de nécessité et de proportionnalité, le BMS partagé ne devrait pas stocker de profils ADN ou de modèles biométriques obtenus à partir de données sous la forme d'empreintes palmaires. |
| --- | --- |

(19)

Les modèles biométriques stockés dans le BMS partagé devraient être constitués de données résultant d'une extraction des caractéristiques d'échantillons biométriques réels et obtenus de telle manière qu'il ne soit pas possible d'inverser le processus d'extraction. Les modèles biométriques devraient être obtenus à partir des données biométriques, mais il ne devrait pas être possible d'obtenir les mêmes données biométriques à partir des modèles biométriques. Étant donné que les données sous la forme d'empreintes palmaires et les profils ADN ne sont stockés que dans le SIS et ne peuvent pas être utilisés pour être recoupés avec des données contenues dans d'autres systèmes d'information, en suivant les principes de nécessité et de proportionnalité, le BMS partagé ne devrait pas stocker de profils ADN ou de modèles biométriques obtenus à partir de données sous la forme d'empreintes palmaires.

| (20) | Les données biométriques sont des données à caractère personnel sensibles. Le présent règlement devrait fixer la base et les garanties du traitement de ces données aux fins d'identifier de manière unique les personnes concernées. |
| --- | --- |

(20)

Les données biométriques sont des données à caractère personnel sensibles. Le présent règlement devrait fixer la base et les garanties du traitement de ces données aux fins d'identifier de manière unique les personnes concernées.

| (21) | L'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN nécessitent l'identification précise des personnes dont les données à caractère personnel sont stockées dans ces systèmes. Le CIR devrait donc faciliter l'identification correcte des personnes enregistrées dans ces systèmes. |
| --- | --- |

(21)

L'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN nécessitent l'identification précise des personnes dont les données à caractère personnel sont stockées dans ces systèmes. Le CIR devrait donc faciliter l'identification correcte des personnes enregistrées dans ces systèmes.

| (22) | Les données à caractère personnel stockées dans ces systèmes d'information de l'UE peuvent concerner la même personne, mais sous des identités différentes ou incomplètes. Les États membres disposent de moyens efficaces d'identifier leurs citoyens ou les résidents permanents enregistrés sur leur territoire. L'interopérabilité des systèmes d'information de l'UE devrait contribuer à l'identification correcte des personnes figurant dans ces systèmes. Le CIR devrait stocker les données à caractère personnel qui sont nécessaires pour permettre l'identification plus précise des personnes dont les données sont stockées dans ces systèmes, notamment leurs données d'identité, les données de leur document de voyage et leurs données biométriques, quel que soit le système dans lequel ces informations ont été collectées à l'origine. Seules les données à caractère personnel strictement nécessaires pour procéder à un contrôle d'identité précis devraient être stockées dans le CIR. Les données à caractère personnel enregistrées dans le CIR ne devraient pas être conservées plus longtemps qu'il n'est strictement nécessaire aux fins des systèmes sous-jacents et elles devraient être automatiquement supprimées lorsque les données sont supprimées des systèmes sous-jacents conformément à leur séparation logique. |
| --- | --- |

(22)

Les données à caractère personnel stockées dans ces systèmes d'information de l'UE peuvent concerner la même personne, mais sous des identités différentes ou incomplètes. Les États membres disposent de moyens efficaces d'identifier leurs citoyens ou les résidents permanents enregistrés sur leur territoire. L'interopérabilité des systèmes d'information de l'UE devrait contribuer à l'identification correcte des personnes figurant dans ces systèmes. Le CIR devrait stocker les données à caractère personnel qui sont nécessaires pour permettre l'identification plus précise des personnes dont les données sont stockées dans ces systèmes, notamment leurs données d'identité, les données de leur document de voyage et leurs données biométriques, quel que soit le système dans lequel ces informations ont été collectées à l'origine. Seules les données à caractère personnel strictement nécessaires pour procéder à un contrôle d'identité précis devraient être stockées dans le CIR. Les données à caractère personnel enregistrées dans le CIR ne devraient pas être conservées plus longtemps qu'il n'est strictement nécessaire aux fins des systèmes sous-jacents et elles devraient être automatiquement supprimées lorsque les données sont supprimées des systèmes sous-jacents conformément à leur séparation logique.

| (23) | Une nouvelle opération de traitement consistant à stocker ces données dans le CIR plutôt que dans chacun des systèmes distincts est nécessaire afin d'améliorer la précision de l'identification par la comparaison et la mise en correspondance automatisées des données. Le fait que les données d'identité, les données du document de voyage et les données biométriques soient stockées dans le CIR ne devrait en aucune façon faire obstacle au traitement des données pour les finalités de l'EES, du VIS, d'ETIAS, d'Eurodac ou de l'ECRIS-TCN, étant donné que le CIR devrait être un nouvel élément partagé de ces systèmes sous-jacents. |
| --- | --- |

(23)

Une nouvelle opération de traitement consistant à stocker ces données dans le CIR plutôt que dans chacun des systèmes distincts est nécessaire afin d'améliorer la précision de l'identification par la comparaison et la mise en correspondance automatisées des données. Le fait que les données d'identité, les données du document de voyage et les données biométriques soient stockées dans le CIR ne devrait en aucune façon faire obstacle au traitement des données pour les finalités de l'EES, du VIS, d'ETIAS, d'Eurodac ou de l'ECRIS-TCN, étant donné que le CIR devrait être un nouvel élément partagé de ces systèmes sous-jacents.

| (24) | Il est dès lors nécessaire de créer un dossier individuel dans le CIR pour chaque personne enregistrée dans l'EES, le VIS, ETIAS, Eurodac ou l' ECRIS-TCN, afin d'atteindre l'objectif consistant à identifier correctement les personnes au sein de l'espace Schengen et de soutenir le MID avec le double objectif de faciliter les contrôles d'identité pour les voyageurs de bonne foi et de lutter contre la fraude à l'identité. Le dossier individuel devrait stocker toutes les informations sur l'identité liées à une personne en un seul endroit et les mettre à la disposition des utilisateurs finaux dûment autorisés. |
| --- | --- |

(24)

Il est dès lors nécessaire de créer un dossier individuel dans le CIR pour chaque personne enregistrée dans l'EES, le VIS, ETIAS, Eurodac ou l' ECRIS-TCN, afin d'atteindre l'objectif consistant à identifier correctement les personnes au sein de l'espace Schengen et de soutenir le MID avec le double objectif de faciliter les contrôles d'identité pour les voyageurs de bonne foi et de lutter contre la fraude à l'identité. Le dossier individuel devrait stocker toutes les informations sur l'identité liées à une personne en un seul endroit et les mettre à la disposition des utilisateurs finaux dûment autorisés.

| (25) | Le CIR devrait donc faciliter et rationaliser l'accès des autorités chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, aux systèmes d'information de l'UE qui qui ne sont pas exclusivement créés à des fins de prévention ou de détection des infractions graves, ou d'enquêtes en la matière. |
| --- | --- |

(25)

Le CIR devrait donc faciliter et rationaliser l'accès des autorités chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, aux systèmes d'information de l'UE qui qui ne sont pas exclusivement créés à des fins de prévention ou de détection des infractions graves, ou d'enquêtes en la matière.

| (26) | Le CIR devrait prévoir un réservoir partagé pour les données d'identité, les données du document de voyage et les données biométriques des personnes enregistrées dans l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN. Il devrait faire partie de l'architecture technique de ces systèmes et constituer l'élément partagé entre ceux-ci pour stocker et interroger les données d'identité, les données du document de voyage et les données biométriques qu'ils traitent. |
| --- | --- |

(26)

Le CIR devrait prévoir un réservoir partagé pour les données d'identité, les données du document de voyage et les données biométriques des personnes enregistrées dans l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN. Il devrait faire partie de l'architecture technique de ces systèmes et constituer l'élément partagé entre ceux-ci pour stocker et interroger les données d'identité, les données du document de voyage et les données biométriques qu'ils traitent.

| (27) | Tous les enregistrements dans le CIR devraient être séparés logiquement au moyen d'un étiquetage automatique de chaque enregistrement indiquant le nom du système sous-jacent à qui il appartient. Les contrôles de l'accès au CIR devraient utiliser ces étiquettes afin de déterminer s'il y a lieu de permettre l'accès ou non à l'enregistrement. |
| --- | --- |

(27)

Tous les enregistrements dans le CIR devraient être séparés logiquement au moyen d'un étiquetage automatique de chaque enregistrement indiquant le nom du système sous-jacent à qui il appartient. Les contrôles de l'accès au CIR devraient utiliser ces étiquettes afin de déterminer s'il y a lieu de permettre l'accès ou non à l'enregistrement.

| (28) | Lorsque les services de police d'un État membre ne sont pas en mesure d'identifier une personne en raison de l'absence d'un document de voyage ou d'un autre document crédible prouvant l'identité de cette personne, ou lorsqu'un doute subsiste quant aux données d'identité fournies par cette personne ou quant à l'authenticité du document de voyage ou l'identité de son titulaire, ou lorsque la personne n'est pas en mesure ou refuse de coopérer, ces services de police devraient avoir la possibilité d'interroger le CIR afin d'identifier la personne en question. À cette fin, les services de police devraient relever les empreintes digitales en utilisant des techniques de numérisation directe d'empreintes digitales, pour autant que la procédure ait été initiée en présence de cette personne. Ces interrogations du CIR ne devraient pas être autorisées aux fins de l'identification de mineurs de moins de 12 ans, à moins que ce ne soit dans l'intérêt supérieur de l'enfant. |
| --- | --- |

(28)

Lorsque les services de police d'un État membre ne sont pas en mesure d'identifier une personne en raison de l'absence d'un document de voyage ou d'un autre document crédible prouvant l'identité de cette personne, ou lorsqu'un doute subsiste quant aux données d'identité fournies par cette personne ou quant à l'authenticité du document de voyage ou l'identité de son titulaire, ou lorsque la personne n'est pas en mesure ou refuse de coopérer, ces services de police devraient avoir la possibilité d'interroger le CIR afin d'identifier la personne en question. À cette fin, les services de police devraient relever les empreintes digitales en utilisant des techniques de numérisation directe d'empreintes digitales, pour autant que la procédure ait été initiée en présence de cette personne. Ces interrogations du CIR ne devraient pas être autorisées aux fins de l'identification de mineurs de moins de 12 ans, à moins que ce ne soit dans l'intérêt supérieur de l'enfant.

| (29) | Lorsque les données biométriques d'une personne ne peuvent pas être utilisées ou si la requête introduite avec ces données échoue, cette dernière devrait être introduite à l'aide des données d'identité de la personne, combinées aux données du document de voyage. Lorsque le résultat de l'interrogation indique que des données concernant cette personne sont stockées dans le CIR, les autorités des États membres devraient avoir accès au CIR pour consulter les données d'identité et les données du document de voyage de cette personne, sans que le CIR ne fournisse d'indications quant au système d'information de l'UE auquel les données appartiennent. |
| --- | --- |

(29)

Lorsque les données biométriques d'une personne ne peuvent pas être utilisées ou si la requête introduite avec ces données échoue, cette dernière devrait être introduite à l'aide des données d'identité de la personne, combinées aux données du document de voyage. Lorsque le résultat de l'interrogation indique que des données concernant cette personne sont stockées dans le CIR, les autorités des États membres devraient avoir accès au CIR pour consulter les données d'identité et les données du document de voyage de cette personne, sans que le CIR ne fournisse d'indications quant au système d'information de l'UE auquel les données appartiennent.

| (30) | Les États membres devraient adopter des mesures législatives nationales désignant les autorités compétentes pour réaliser des contrôles d'identité à l'aide du CIR et définissant les procédures, les conditions et les critères de ces contrôles, qui devraient suivre le principe de proportionnalité. En particulier, le droit national devrait prévoir la faculté de collecter des données biométriques lors d'un contrôle de l'identité d'une personne présente devant un membre du personnel de ces autorités. |
| --- | --- |

(30)

Les États membres devraient adopter des mesures législatives nationales désignant les autorités compétentes pour réaliser des contrôles d'identité à l'aide du CIR et définissant les procédures, les conditions et les critères de ces contrôles, qui devraient suivre le principe de proportionnalité. En particulier, le droit national devrait prévoir la faculté de collecter des données biométriques lors d'un contrôle de l'identité d'une personne présente devant un membre du personnel de ces autorités.

| (31) | Le présent règlement devrait également introduire, pour les autorités désignées par les États membres chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière et pour Europol, une nouvelle possibilité d'accès rationalisé aux données autres que les données d'identité ou les données du document de voyage contenues dans l'EES, le VIS, ETIAS ou Eurodac. Ces données peuvent être nécessaires à la prévention ou à la détection des infractions terroristes ou d'autres infractions pénales graves, ou aux enquêtes en la matière, dans des cas particuliers lorsqu'il existe des motifs raisonnables permettant de penser que leur consultation contribuera à la prévention ou à la détection des infractions terroristes ou d'autres infractions pénales graves, ou aux enquêtes en la matière, en particulier lorsqu'il y a lieu de suspecter que la personne soupçonnée d'avoir commis une infraction terroriste ou une autre infraction pénale grave, l'auteur ou la victime d'une telle infraction est une personne dont les données sont stockées dans l'EES, le VIS, ETIAS ou Eurodac. |
| --- | --- |

(31)

Le présent règlement devrait également introduire, pour les autorités désignées par les États membres chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière et pour Europol, une nouvelle possibilité d'accès rationalisé aux données autres que les données d'identité ou les données du document de voyage contenues dans l'EES, le VIS, ETIAS ou Eurodac. Ces données peuvent être nécessaires à la prévention ou à la détection des infractions terroristes ou d'autres infractions pénales graves, ou aux enquêtes en la matière, dans des cas particuliers lorsqu'il existe des motifs raisonnables permettant de penser que leur consultation contribuera à la prévention ou à la détection des infractions terroristes ou d'autres infractions pénales graves, ou aux enquêtes en la matière, en particulier lorsqu'il y a lieu de suspecter que la personne soupçonnée d'avoir commis une infraction terroriste ou une autre infraction pénale grave, l'auteur ou la victime d'une telle infraction est une personne dont les données sont stockées dans l'EES, le VIS, ETIAS ou Eurodac.

| (32) | L'accès complet aux données contenues dans l'EES, le VIS, ETIAS ou Eurodac qui est nécessaire à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, en plus de l'accès aux données d'identité ou aux données du document de voyage contenues dans le CIR, devrait continuer à être régi par les instruments juridiques applicables. Les autorités désignées chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, et Europol ne savent pas à l'avance quels systèmes d'information de l'UE contiennent des données concernant les personnes sur lesquelles ils doivent enquêter. Cela conduit à des retards et à des manques d'efficacité. L'utilisateur final autorisé par l'autorité désignée devrait par conséquent pouvoir voir dans quels systèmes d'information de l'UE les données correspondant au résultat d'une requête sont enregistrées. Le système concerné serait donc signalé après la vérification automatisée de la présence d'une correspondance dans le système (fonctionnalité dite de l'indicateur de correspondance). |
| --- | --- |

(32)

L'accès complet aux données contenues dans l'EES, le VIS, ETIAS ou Eurodac qui est nécessaire à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, en plus de l'accès aux données d'identité ou aux données du document de voyage contenues dans le CIR, devrait continuer à être régi par les instruments juridiques applicables. Les autorités désignées chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, et Europol ne savent pas à l'avance quels systèmes d'information de l'UE contiennent des données concernant les personnes sur lesquelles ils doivent enquêter. Cela conduit à des retards et à des manques d'efficacité. L'utilisateur final autorisé par l'autorité désignée devrait par conséquent pouvoir voir dans quels systèmes d'information de l'UE les données correspondant au résultat d'une requête sont enregistrées. Le système concerné serait donc signalé après la vérification automatisée de la présence d'une correspondance dans le système (fonctionnalité dite de l'indicateur de correspondance).

| (33) | Dans ce contexte, une réponse du CIR ne devrait pas être interprétée ni utilisée comme un motif ou une raison de tirer des conclusions au sujet d'une personne ou de prendre des mesures à l'égard de celle-ci, mais elle ne devrait être utilisée qu'aux fins de l'introduction d'une demande d'accès aux systèmes d'information de l'UE sous-jacents, sous réserve des conditions et des procédures établies dans les différents instruments juridiques régissant l'accès en question. Une telle demande d'accès devrait être soumise au chapitre VII du présent règlement et, le cas échéant, au règlement (UE) 2016/679, à la directive (UE) 2016/680 ou au règlement (UE) 2018/1725 du Parlement européen et du Conseil (8). |
| --- | --- |

(33)

Dans ce contexte, une réponse du CIR ne devrait pas être interprétée ni utilisée comme un motif ou une raison de tirer des conclusions au sujet d'une personne ou de prendre des mesures à l'égard de celle-ci, mais elle ne devrait être utilisée qu'aux fins de l'introduction d'une demande d'accès aux systèmes d'information de l'UE sous-jacents, sous réserve des conditions et des procédures établies dans les différents instruments juridiques régissant l'accès en question. Une telle demande d'accès devrait être soumise au chapitre VII du présent règlement et, le cas échéant, au règlement (UE) 2016/679, à la directive (UE) 2016/680 ou au règlement (UE) 2018/1725 du Parlement européen et du Conseil (8).

| (34) | En règle générale, lorsqu'un indicateur de correspondance montre que les données sont enregistrées dans l'EES, le VIS, ETIAS, ou Eurodac, les autorités désignées ou Europol devraient demander un accès complet à au moins un des systèmes d'information de l'UE concernés. Si, à titre exceptionnel, cet accès complet n'est pas demandé, par exemple parce que les autorités désignées ou Europol ont déjà obtenu les données par d'autres moyens, ou parce que l'obtention des données n'est plus autorisée par le droit national, il convient de consigner les raisons justifiant la décision de ne pas demander l'accès. |
| --- | --- |

(34)

En règle générale, lorsqu'un indicateur de correspondance montre que les données sont enregistrées dans l'EES, le VIS, ETIAS, ou Eurodac, les autorités désignées ou Europol devraient demander un accès complet à au moins un des systèmes d'information de l'UE concernés. Si, à titre exceptionnel, cet accès complet n'est pas demandé, par exemple parce que les autorités désignées ou Europol ont déjà obtenu les données par d'autres moyens, ou parce que l'obtention des données n'est plus autorisée par le droit national, il convient de consigner les raisons justifiant la décision de ne pas demander l'accès.

| (35) | Les registres des requêtes du CIR devraient indiquer l'objectif des requêtes. Lorsque la requête a été introduite selon l'approche de la consultation des données en deux étapes, les registres devraient comporter une référence au dossier national de l'enquête ou de l'affaire, en indiquant si la requête a été lancée à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière. |
| --- | --- |

(35)

Les registres des requêtes du CIR devraient indiquer l'objectif des requêtes. Lorsque la requête a été introduite selon l'approche de la consultation des données en deux étapes, les registres devraient comporter une référence au dossier national de l'enquête ou de l'affaire, en indiquant si la requête a été lancée à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière.

| (36) | L'interrogation du CIR par les autorités désignées et Europol en vue d'obtenir une réponse de type indicateur de correspondance, signalant que les données sont enregistrées dans l'EES, le VIS, ETIAS ou Eurodac, nécessite un traitement automatisé de données à caractère personnel. Un indicateur de correspondance ne devrait pas révéler les données à caractère personnel de la personne concernée mais devrait seulement indiquer que certaines de ses données sont stockées dans l'un des systèmes. L'utilisateur final autorisé ne devrait prendre aucune décision défavorable à l'égard de la personne concernée en se fondant uniquement sur la simple existence d'un indicateur de correspondance. L'accès de l'utilisateur final à un indicateur de correspondance constituera dès lors une atteinte très limitée au droit à la protection des données à caractère personnel de la personne concernée, tout en permettant aux autorités désignées et à Europol de demander l'accès aux données à caractère personnel de manière plus efficace. |
| --- | --- |

(36)

L'interrogation du CIR par les autorités désignées et Europol en vue d'obtenir une réponse de type indicateur de correspondance, signalant que les données sont enregistrées dans l'EES, le VIS, ETIAS ou Eurodac, nécessite un traitement automatisé de données à caractère personnel. Un indicateur de correspondance ne devrait pas révéler les données à caractère personnel de la personne concernée mais devrait seulement indiquer que certaines de ses données sont stockées dans l'un des systèmes. L'utilisateur final autorisé ne devrait prendre aucune décision défavorable à l'égard de la personne concernée en se fondant uniquement sur la simple existence d'un indicateur de correspondance. L'accès de l'utilisateur final à un indicateur de correspondance constituera dès lors une atteinte très limitée au droit à la protection des données à caractère personnel de la personne concernée, tout en permettant aux autorités désignées et à Europol de demander l'accès aux données à caractère personnel de manière plus efficace.

| (37) | Le MID devrait être créé afin de soutenir le fonctionnement du CIR et les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN. Afin d'être efficaces dans la poursuite de leurs objectifs respectifs, tous ces systèmes d'information de l'UE nécessitent l'identification précise des personnes dont les données à caractère personnel sont stockées dans ces systèmes. |
| --- | --- |

(37)

Le MID devrait être créé afin de soutenir le fonctionnement du CIR et les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN. Afin d'être efficaces dans la poursuite de leurs objectifs respectifs, tous ces systèmes d'information de l'UE nécessitent l'identification précise des personnes dont les données à caractère personnel sont stockées dans ces systèmes.

| (38) | En vue de mieux atteindre les objectifs des systèmes d'information de l'UE, les autorités utilisant ces systèmes devraient être en mesure de réaliser des contrôles d'identité suffisamment fiables des personnes dont les données sont stockées dans différents systèmes. L'ensemble de données d'identité ou de données du document de voyage stocké dans un système individuel donné peut être incorrect, incomplet ou frauduleux, et il n'existe à l'heure actuelle aucun moyen de détecter les données d'identité ou les données du document de voyage incorrectes, incomplètes ou frauduleuses en les comparant aux données stockées dans un autre système. Pour remédier à cette situation, il est nécessaire de disposer d'un instrument technique au niveau de l'Union qui permette l'identification précise des personnes à ces fins. |
| --- | --- |

(38)

En vue de mieux atteindre les objectifs des systèmes d'information de l'UE, les autorités utilisant ces systèmes devraient être en mesure de réaliser des contrôles d'identité suffisamment fiables des personnes dont les données sont stockées dans différents systèmes. L'ensemble de données d'identité ou de données du document de voyage stocké dans un système individuel donné peut être incorrect, incomplet ou frauduleux, et il n'existe à l'heure actuelle aucun moyen de détecter les données d'identité ou les données du document de voyage incorrectes, incomplètes ou frauduleuses en les comparant aux données stockées dans un autre système. Pour remédier à cette situation, il est nécessaire de disposer d'un instrument technique au niveau de l'Union qui permette l'identification précise des personnes à ces fins.

| (39) | Le MID devrait créer et stocker des liens entre les données contenues dans les différents systèmes d'information de l'UE afin de détecter les identités multiples, avec le double objectif de faciliter les contrôles d'identité pour les voyageurs de bonne foi et de lutter contre la fraude à l'identité. Le MID ne devrait contenir que des liens entre les données relatives à des personnes figurant dans plus d'un système d'information de l'UE. Les données liées devraient être strictement limitées aux données nécessaires pour vérifier si une personne est enregistrée de manière justifiée ou injustifiée sous différentes identités dans différents systèmes, ou pour démontrer que deux personnes ayant des données d'identité similaires peuvent ne pas être une seule et même personne. Le traitement des données au moyen de l'ESP et du BMS partagé en vue de relier des dossiers individuels entre différents systèmes devrait être limité au strict minimum et se limiter par conséquent à la détection d'identités multiples au moment où de nouvelles données sont ajoutées à l'un des systèmes qui a des données stockées dans le CIR ou ajoutées dans le SIS. Le MID devrait prévoir des garanties contre des discriminations et des décisions défavorables potentielles à l'égard de personnes ayant des identités licites multiples. |
| --- | --- |

(39)

Le MID devrait créer et stocker des liens entre les données contenues dans les différents systèmes d'information de l'UE afin de détecter les identités multiples, avec le double objectif de faciliter les contrôles d'identité pour les voyageurs de bonne foi et de lutter contre la fraude à l'identité. Le MID ne devrait contenir que des liens entre les données relatives à des personnes figurant dans plus d'un système d'information de l'UE. Les données liées devraient être strictement limitées aux données nécessaires pour vérifier si une personne est enregistrée de manière justifiée ou injustifiée sous différentes identités dans différents systèmes, ou pour démontrer que deux personnes ayant des données d'identité similaires peuvent ne pas être une seule et même personne. Le traitement des données au moyen de l'ESP et du BMS partagé en vue de relier des dossiers individuels entre différents systèmes devrait être limité au strict minimum et se limiter par conséquent à la détection d'identités multiples au moment où de nouvelles données sont ajoutées à l'un des systèmes qui a des données stockées dans le CIR ou ajoutées dans le SIS. Le MID devrait prévoir des garanties contre des discriminations et des décisions défavorables potentielles à l'égard de personnes ayant des identités licites multiples.

| (40) | Le présent règlement prévoit de nouvelles opérations de traitement des données ayant pour but d'identifier correctement les personnes concernées. Cela constitue une atteinte aux droits fondamentaux protégés par les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne. Étant donné que la mise en œuvre effective des systèmes d'information de l'UE dépend de l'identification correcte des personnes concernées, une telle atteinte est justifiée par les mêmes objectifs que ceux pour lesquels chacun de ces systèmes a été créé, à savoir la gestion efficace des frontières de l'Union, la sécurité intérieure de l'Union et la mise en œuvre efficace des politiques de l'Union en matière d'asile et de visas. |
| --- | --- |

(40)

Le présent règlement prévoit de nouvelles opérations de traitement des données ayant pour but d'identifier correctement les personnes concernées. Cela constitue une atteinte aux droits fondamentaux protégés par les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne. Étant donné que la mise en œuvre effective des systèmes d'information de l'UE dépend de l'identification correcte des personnes concernées, une telle atteinte est justifiée par les mêmes objectifs que ceux pour lesquels chacun de ces systèmes a été créé, à savoir la gestion efficace des frontières de l'Union, la sécurité intérieure de l'Union et la mise en œuvre efficace des politiques de l'Union en matière d'asile et de visas.

| (41) | L'ESP et le BMS partagé devraient comparer les données concernant les personnes figurant dans le CIR et dans le SIS lorsqu'une autorité nationale ou une agence de l'Union crée ou insère de nouveaux enregistrements. Cette comparaison devrait être automatisée. Le CIR et le SIS devraient utiliser le BMS partagé afin de détecter les liens possibles sur la base des données biométriques. Le CIR et le SIS devraient utiliser l'ESP afin de détecter les liens possibles sur la base des données alphanumériques. Le CIR et le SIS devraient être en mesure de détecter les données identiques ou similaires relatives à une personne stockées dans plusieurs systèmes. Lorsque tel est le cas, un lien indiquant qu'il s'agit de la même personne devrait être établi. Le CIR et le SIS devraient être configurés de manière à ce que les erreurs de translittération ou d'orthographe mineures soient détectées afin d'éviter des obstacles injustifiés pour la personne concernée. |
| --- | --- |

(41)

L'ESP et le BMS partagé devraient comparer les données concernant les personnes figurant dans le CIR et dans le SIS lorsqu'une autorité nationale ou une agence de l'Union crée ou insère de nouveaux enregistrements. Cette comparaison devrait être automatisée. Le CIR et le SIS devraient utiliser le BMS partagé afin de détecter les liens possibles sur la base des données biométriques. Le CIR et le SIS devraient utiliser l'ESP afin de détecter les liens possibles sur la base des données alphanumériques. Le CIR et le SIS devraient être en mesure de détecter les données identiques ou similaires relatives à une personne stockées dans plusieurs systèmes. Lorsque tel est le cas, un lien indiquant qu'il s'agit de la même personne devrait être établi. Le CIR et le SIS devraient être configurés de manière à ce que les erreurs de translittération ou d'orthographe mineures soient détectées afin d'éviter des obstacles injustifiés pour la personne concernée.

| (42) | L'autorité nationale ou l'agence de l'Union qui a enregistré les données dans le système d'information de l'UE concerné devrait confirmer ou modifier ces liens. Cette autorité nationale ou cette agence de l'Union devrait avoir accès aux données stockées dans le CIR ou dans le SIS ainsi que dans le MID afin de procéder à une vérification manuelle des différentes identités. |
| --- | --- |

(42)

L'autorité nationale ou l'agence de l'Union qui a enregistré les données dans le système d'information de l'UE concerné devrait confirmer ou modifier ces liens. Cette autorité nationale ou cette agence de l'Union devrait avoir accès aux données stockées dans le CIR ou dans le SIS ainsi que dans le MID afin de procéder à une vérification manuelle des différentes identités.

| (43) | Une vérification manuelle des différentes identités devrait être effectuée par l'autorité qui crée ou met à jour les données qui ont donné lieu à une correspondance entraînant l'établissement d'un lien avec des données stockées dans un autre système d'information de l'UE. L'autorité chargée de la vérification manuelle des différentes identités devrait évaluer s'il existe des identités multiples renvoyant à la même personne de manière justifiée ou injustifiée. Lorsque cela est possible, cette évaluation devrait avoir lieu en présence des personnes concernées et, lorsque cela est nécessaire, des explications ou des informations complémentaires devraient être demandées. Il convient de procéder à cette évaluation sans retard, conformément aux exigences légales prévues par le droit national et de l'Union en matière de précision des informations. Particulièrement aux frontières, la circulation des personnes concernées se trouvera limitée pendant la durée de la vérification, laquelle ne devrait dès lors pas durer indéfiniment. L'existence d'un lien jaune dans le MID ne devrait pas constituer en soi un motif de refus d'entrée, et toute décision d'autorisation ou de refus d'entrée devrait être prise exclusivement sur la base des dispositions applicables du règlement (UE) 2016/399 du Parlement européen et du Conseil (9). |
| --- | --- |

(43)

Une vérification manuelle des différentes identités devrait être effectuée par l'autorité qui crée ou met à jour les données qui ont donné lieu à une correspondance entraînant l'établissement d'un lien avec des données stockées dans un autre système d'information de l'UE. L'autorité chargée de la vérification manuelle des différentes identités devrait évaluer s'il existe des identités multiples renvoyant à la même personne de manière justifiée ou injustifiée. Lorsque cela est possible, cette évaluation devrait avoir lieu en présence des personnes concernées et, lorsque cela est nécessaire, des explications ou des informations complémentaires devraient être demandées. Il convient de procéder à cette évaluation sans retard, conformément aux exigences légales prévues par le droit national et de l'Union en matière de précision des informations. Particulièrement aux frontières, la circulation des personnes concernées se trouvera limitée pendant la durée de la vérification, laquelle ne devrait dès lors pas durer indéfiniment. L'existence d'un lien jaune dans le MID ne devrait pas constituer en soi un motif de refus d'entrée, et toute décision d'autorisation ou de refus d'entrée devrait être prise exclusivement sur la base des dispositions applicables du règlement (UE) 2016/399 du Parlement européen et du Conseil (9).

| (44) | En ce qui concerne les liens obtenus par le SIS portant sur des signalements concernant des personnes recherchées en vue d'une arrestation aux fins de remise ou d'extradition, des personnes disparues ou des personnes vulnérables, des personnes recherchées dans le but de rendre possible leur concours dans le cadre d'une procédure judiciaire ou des personnes aux fins de contrôles discrets, de contrôles d'investigation ou de contrôles spécifiques, l'autorité chargée de la vérification manuelle des différentes identités devrait être le bureau SIRENE de l'État membre qui a créé le signalement. Ces catégories de signalements dans le SIS sont sensibles et ne devraient pas nécessairement être partagées avec les autorités qui créent ou mettent à jour les données qui sont liées à ces signalements et qui figurent dans l'un des autres systèmes d'information de l'UE. La création d'un lien avec les données du SIS devrait se faire sans préjudice des conduites à tenir conformément aux règlements (UE) 2018/1860 (10), (UE) 2018/1861 (11) et (UE) 2018/1862 (12) du Parlement européen et du Conseil. |
| --- | --- |

(44)

En ce qui concerne les liens obtenus par le SIS portant sur des signalements concernant des personnes recherchées en vue d'une arrestation aux fins de remise ou d'extradition, des personnes disparues ou des personnes vulnérables, des personnes recherchées dans le but de rendre possible leur concours dans le cadre d'une procédure judiciaire ou des personnes aux fins de contrôles discrets, de contrôles d'investigation ou de contrôles spécifiques, l'autorité chargée de la vérification manuelle des différentes identités devrait être le bureau SIRENE de l'État membre qui a créé le signalement. Ces catégories de signalements dans le SIS sont sensibles et ne devraient pas nécessairement être partagées avec les autorités qui créent ou mettent à jour les données qui sont liées à ces signalements et qui figurent dans l'un des autres systèmes d'information de l'UE. La création d'un lien avec les données du SIS devrait se faire sans préjudice des conduites à tenir conformément aux règlements (UE) 2018/1860 (10), (UE) 2018/1861 (11) et (UE) 2018/1862 (12) du Parlement européen et du Conseil.

| (45) | La création de ces liens exige la transparence à l'égard des personnes concernées. Afin de faciliter la mise en œuvre des garanties nécessaires conformément aux règles de l'Union applicables en matière de protection des données, les personnes qui sont concernées par un lien rouge ou un lien blanc à la suite d'une vérification manuelle des différentes identités devraient être informées par écrit, sans préjudice des restrictions nécessaires pour protéger la sécurité et l'ordre public, prévenir la criminalité et garantir que les enquêtes nationales ne soient pas compromises. Ces personnes devraient recevoir un numéro d'identification unique leur permettant de savoir à quelle autorité s'adresser pour exercer leurs droits. |
| --- | --- |

(45)

La création de ces liens exige la transparence à l'égard des personnes concernées. Afin de faciliter la mise en œuvre des garanties nécessaires conformément aux règles de l'Union applicables en matière de protection des données, les personnes qui sont concernées par un lien rouge ou un lien blanc à la suite d'une vérification manuelle des différentes identités devraient être informées par écrit, sans préjudice des restrictions nécessaires pour protéger la sécurité et l'ordre public, prévenir la criminalité et garantir que les enquêtes nationales ne soient pas compromises. Ces personnes devraient recevoir un numéro d'identification unique leur permettant de savoir à quelle autorité s'adresser pour exercer leurs droits.

| (46) | Lorsqu'un lien jaune est créé, l'autorité chargée de la vérification manuelle des différentes identités devrait avoir accès au MID. Lorsqu'un lien rouge existe, les autorités des États membres et les agences de l'Union qui ont accès à au moins un système d'information de l'UE inclus dans le CIR ou au SIS devraient avoir accès au MID. Un lien rouge devrait indiquer qu'une personne utilise différentes identités de manière injustifiée ou qu'une personne utilise l'identité d'une autre personne. |
| --- | --- |

(46)

Lorsqu'un lien jaune est créé, l'autorité chargée de la vérification manuelle des différentes identités devrait avoir accès au MID. Lorsqu'un lien rouge existe, les autorités des États membres et les agences de l'Union qui ont accès à au moins un système d'information de l'UE inclus dans le CIR ou au SIS devraient avoir accès au MID. Un lien rouge devrait indiquer qu'une personne utilise différentes identités de manière injustifiée ou qu'une personne utilise l'identité d'une autre personne.

| (47) | Lorsqu'un lien blanc ou un lien vert existe entre des données provenant de deux systèmes d'information de l'UE, les autorités des États membres et les agences de l'Union devraient avoir accès au MID lorsque l'autorité ou l'agence concernée a accès à ces deux systèmes d'information. Un tel accès devrait être accordé à la seule fin de permettre à cette autorité ou cette agence de détecter d'éventuels cas dans lesquels des données ont été liées de manière incorrecte ou traitées dans le MID, le CIR et le SIS en violation du présent règlement, et de prendre les mesures qui s'imposent pour remédier à la situation et mettre à jour ou supprimer le lien. |
| --- | --- |

(47)

Lorsqu'un lien blanc ou un lien vert existe entre des données provenant de deux systèmes d'information de l'UE, les autorités des États membres et les agences de l'Union devraient avoir accès au MID lorsque l'autorité ou l'agence concernée a accès à ces deux systèmes d'information. Un tel accès devrait être accordé à la seule fin de permettre à cette autorité ou cette agence de détecter d'éventuels cas dans lesquels des données ont été liées de manière incorrecte ou traitées dans le MID, le CIR et le SIS en violation du présent règlement, et de prendre les mesures qui s'imposent pour remédier à la situation et mettre à jour ou supprimer le lien.

| (48) | L'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (eu-LISA) devrait mettre en place des mécanismes automatisés de contrôle de la qualité des données et des indicateurs communs de qualité des données. Elle devrait être chargée de développer une capacité centrale de suivi de la qualité des données et de produire des rapports réguliers d'analyse des données afin d'améliorer le contrôle de la mise en œuvre des systèmes d'information de l'UE par les États membres. Les indicateurs communs de qualité des données devraient inclure des normes de qualité minimales pour le stockage de données dans les systèmes d'information de l'UE ou des éléments d'interopérabilité. Ces normes de qualité des données devraient avoir pour objectif de permettre aux systèmes d'information de l'UE et aux éléments d'interopérabilité d'identifier automatiquement les communications de données manifestement incorrectes ou incohérentes afin que l'État membre qui en est à l'origine puisse vérifier les données et adopter les mesures correctives nécessaires. |
| --- | --- |

(48)

L'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (eu-LISA) devrait mettre en place des mécanismes automatisés de contrôle de la qualité des données et des indicateurs communs de qualité des données. Elle devrait être chargée de développer une capacité centrale de suivi de la qualité des données et de produire des rapports réguliers d'analyse des données afin d'améliorer le contrôle de la mise en œuvre des systèmes d'information de l'UE par les États membres. Les indicateurs communs de qualité des données devraient inclure des normes de qualité minimales pour le stockage de données dans les systèmes d'information de l'UE ou des éléments d'interopérabilité. Ces normes de qualité des données devraient avoir pour objectif de permettre aux systèmes d'information de l'UE et aux éléments d'interopérabilité d'identifier automatiquement les communications de données manifestement incorrectes ou incohérentes afin que l'État membre qui en est à l'origine puisse vérifier les données et adopter les mesures correctives nécessaires.

| (49) | La Commission devrait évaluer les rapports de l'eu-LISA sur la qualité et, le cas échéant, adresser des recommandations aux États membres. Les États membres devraient être chargés de préparer un plan d'action décrivant les mesures visant à remédier à toute lacune dans la qualité des données et ils devraient établir des rapports réguliers à cet égard. |
| --- | --- |

(49)

La Commission devrait évaluer les rapports de l'eu-LISA sur la qualité et, le cas échéant, adresser des recommandations aux États membres. Les États membres devraient être chargés de préparer un plan d'action décrivant les mesures visant à remédier à toute lacune dans la qualité des données et ils devraient établir des rapports réguliers à cet égard.

| (50) | Le format universel pour les messages (UMF) devrait servir en tant que norme pour l'échange structuré d'informations transfrontières entre les systèmes d'information, les autorités ou les organisations dans le domaine de la justice et des affaires intérieures. L'UMF devrait définir un vocabulaire commun et des structures logiques pour les informations habituellement échangées, dans le but de faciliter l'interopérabilité en permettant la création et la lecture des contenus des échanges d'une manière cohérente et sémantiquement équivalente. |
| --- | --- |

(50)

Le format universel pour les messages (UMF) devrait servir en tant que norme pour l'échange structuré d'informations transfrontières entre les systèmes d'information, les autorités ou les organisations dans le domaine de la justice et des affaires intérieures. L'UMF devrait définir un vocabulaire commun et des structures logiques pour les informations habituellement échangées, dans le but de faciliter l'interopérabilité en permettant la création et la lecture des contenus des échanges d'une manière cohérente et sémantiquement équivalente.

| (51) | La mise en œuvre de la norme UMF peut être envisagée dans le VIS, le SIS et dans tout autre modèle d'échange d'informations et système d'information transfrontière, existant ou nouveau, dans le domaine de la justice et des affaires intérieures, mis au point par les États membres. |
| --- | --- |

(51)

La mise en œuvre de la norme UMF peut être envisagée dans le VIS, le SIS et dans tout autre modèle d'échange d'informations et système d'information transfrontière, existant ou nouveau, dans le domaine de la justice et des affaires intérieures, mis au point par les États membres.

| (52) | Un répertoire central des rapports et statistiques (CRRS) devrait être créé afin de générer des données statistiques intersystèmes et des rapports analytiques à des fins stratégiques, opérationnelles et de qualité des données conformément aux instruments juridiques applicables. L'eu-LISA devrait établir, mettre en œuvre et héberger le CRRS sur ses sites techniques. Il devrait contenir des données statistiques anonymisées issues des systèmes d'information de l'UE, du CIR, du MID et BMS partagé. Les données contenues dans le CRRS ne devraient pas permettre d'identifier les personnes. L'eu-LISA devrait rendre les données anonymes de manière automatisée et enregistrer ces données anonymisées dans le CRRS. Le processus d'anonymisation des données devrait être automatisé et le personnel de l'eu-LISA ne devrait pas pouvoir accéder directement aux données à caractère personnel stockées dans les systèmes d'information de l'UE ou dans les éléments d'interopérabilité. |
| --- | --- |

(52)

Un répertoire central des rapports et statistiques (CRRS) devrait être créé afin de générer des données statistiques intersystèmes et des rapports analytiques à des fins stratégiques, opérationnelles et de qualité des données conformément aux instruments juridiques applicables. L'eu-LISA devrait établir, mettre en œuvre et héberger le CRRS sur ses sites techniques. Il devrait contenir des données statistiques anonymisées issues des systèmes d'information de l'UE, du CIR, du MID et BMS partagé. Les données contenues dans le CRRS ne devraient pas permettre d'identifier les personnes. L'eu-LISA devrait rendre les données anonymes de manière automatisée et enregistrer ces données anonymisées dans le CRRS. Le processus d'anonymisation des données devrait être automatisé et le personnel de l'eu-LISA ne devrait pas pouvoir accéder directement aux données à caractère personnel stockées dans les systèmes d'information de l'UE ou dans les éléments d'interopérabilité.

| (53) | Le règlement (UE) 2016/679 s'applique au traitement des données à caractère personnel effectué à des fins d'interopérabilité dans le cadre du présent règlement par les autorités nationales, à moins que ce traitement ne soit effectué par les autorités désignées ou par les points d'accès centraux des États membres à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière. |
| --- | --- |

(53)

Le règlement (UE) 2016/679 s'applique au traitement des données à caractère personnel effectué à des fins d'interopérabilité dans le cadre du présent règlement par les autorités nationales, à moins que ce traitement ne soit effectué par les autorités désignées ou par les points d'accès centraux des États membres à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière.

| (54) | Lorsque le traitement de données à caractère personnel par les États membres à des fins d'interopérabilité dans le cadre du présent règlement est effectué par les autorités compétentes à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, la directive (UE) 2016/680 s'applique. |
| --- | --- |

(54)

Lorsque le traitement de données à caractère personnel par les États membres à des fins d'interopérabilité dans le cadre du présent règlement est effectué par les autorités compétentes à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, la directive (UE) 2016/680 s'applique.

| (55) | Le règlement (UE) 2016/679, le règlement (UE) 2018/1725 ou, le cas échéant, la directive (UE) 2016/680 s'appliquent à tout transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales effectués dans le cadre du présent règlement. Sans préjudice des motifs de transfert en vertu du chapitre V du règlement (UE) 2016/679 ou, le cas échéant, de la directive (UE) 2016/680, toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant d'un responsable du traitement ou d'un sous-traitant qu'il transfère ou divulgue des données à caractère personnel ne devrait être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international en vigueur entre le pays tiers demandeur et l'Union ou un État membre. |
| --- | --- |

(55)

Le règlement (UE) 2016/679, le règlement (UE) 2018/1725 ou, le cas échéant, la directive (UE) 2016/680 s'appliquent à tout transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales effectués dans le cadre du présent règlement. Sans préjudice des motifs de transfert en vertu du chapitre V du règlement (UE) 2016/679 ou, le cas échéant, de la directive (UE) 2016/680, toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant d'un responsable du traitement ou d'un sous-traitant qu'il transfère ou divulgue des données à caractère personnel ne devrait être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international en vigueur entre le pays tiers demandeur et l'Union ou un État membre.

| (56) | Les dispositions spécifiques en matière de protection des données contenues dans les règlements (UE) 2017/2226 (13), (CE) no 767/2008 (14), (UE) 2018/1240 (15) du Parlement européen et du Conseil et le règlement (UE) 2018/1861 s'appliquent au traitement des données à caractère personnel dans les systèmes régis par ces règlements. |
| --- | --- |

(56)

Les dispositions spécifiques en matière de protection des données contenues dans les règlements (UE) 2017/2226 (13), (CE) no 767/2008 (14), (UE) 2018/1240 (15) du Parlement européen et du Conseil et le règlement (UE) 2018/1861 s'appliquent au traitement des données à caractère personnel dans les systèmes régis par ces règlements.

| (57) | Le règlement (UE) 2018/1725 s'applique au traitement des données à caractère personnel par l'eu-LISA et par d'autres institutions et organes de l'Union dans l'exercice de leurs missions dans le cadre du présent règlement, sans préjudice du règlement (UE) 2016/794 du Parlement européen et du Conseil (16), qui s'applique au traitement des données à caractère personnel par Europol. |
| --- | --- |

(57)

Le règlement (UE) 2018/1725 s'applique au traitement des données à caractère personnel par l'eu-LISA et par d'autres institutions et organes de l'Union dans l'exercice de leurs missions dans le cadre du présent règlement, sans préjudice du règlement (UE) 2016/794 du Parlement européen et du Conseil (16), qui s'applique au traitement des données à caractère personnel par Europol.

| (58) | Les autorités de contrôle visées dans le règlement (UE) 2016/679 ou la directive (UE) 2016/680 devraient contrôler la licéité du traitement des données à caractère personnel par les États membres. Le Contrôleur européen de la protection des données devrait contrôler les activités des institutions et organes de l'Union concernant le traitement des données à caractère personnel. Le Contrôleur européen de la protection des données et les autorités de contrôle devraient coopérer en ce qui concerne le contrôle du traitement des données à caractère personnel par les éléments d'interopérabilité. Des ressources suffisantes, y compris humaines et financières, sont nécessaires pour que le Contrôleur européen de la protection des données puisse s'acquitter des tâches qui lui sont confiées en vertu du présent règlement. |
| --- | --- |

(58)

Les autorités de contrôle visées dans le règlement (UE) 2016/679 ou la directive (UE) 2016/680 devraient contrôler la licéité du traitement des données à caractère personnel par les États membres. Le Contrôleur européen de la protection des données devrait contrôler les activités des institutions et organes de l'Union concernant le traitement des données à caractère personnel. Le Contrôleur européen de la protection des données et les autorités de contrôle devraient coopérer en ce qui concerne le contrôle du traitement des données à caractère personnel par les éléments d'interopérabilité. Des ressources suffisantes, y compris humaines et financières, sont nécessaires pour que le Contrôleur européen de la protection des données puisse s'acquitter des tâches qui lui sont confiées en vertu du présent règlement.

| (59) | Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001 du Parlement européen et du Conseil (17) et a rendu son avis le 16 avril 2018 (18). |
| --- | --- |

(59)

Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001 du Parlement européen et du Conseil (17) et a rendu son avis le 16 avril 2018 (18).

| (60) | Le groupe de travail «article 29» sur la protection des données a émis un avis le 11 avril 2018. |
| --- | --- |

(60)

Le groupe de travail «article 29» sur la protection des données a émis un avis le 11 avril 2018.

| (61) | Les États membres et l'eu-LISA devraient disposer de plans de sécurité afin de faciliter la mise en œuvre des obligations en matière de sécurité, et ils devraient coopérer pour remédier aux problèmes de sécurité. L'eu-LISA devrait également s'assurer de l'utilisation continue des dernières évolutions technologiques afin de garantir l'intégrité des données en ce qui concerne le développement, la conception et la gestion des éléments d'interopérabilité. Les obligations de l'eu-LISA à cet égard devraient comprendre l'adoption des mesures nécessaires afin d'empêcher l'accès de personnes non autorisées, telles que le personnel des prestataires de services extérieurs, aux données à caractère personnel traitées au moyen des éléments d'interopérabilité. Lors de l'attribution de marchés concernant la prestation de services, les États membres et l'eu-LISA devraient envisager toutes les mesures nécessaires pour assurer le respect des lois ou réglementations relatives à la protection des données à caractère personnel et de la vie privée des personnes et pour protéger les intérêts essentiels en matière de sécurité, en application du règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil (19) et des conventions internationales applicables. L'eu-LISA devrait appliquer les principes de respect de la vie privée dès la conception et de respect de la vie privée par défaut au cours du développement des éléments d'interopérabilité. |
| --- | --- |

(61)

Les États membres et l'eu-LISA devraient disposer de plans de sécurité afin de faciliter la mise en œuvre des obligations en matière de sécurité, et ils devraient coopérer pour remédier aux problèmes de sécurité. L'eu-LISA devrait également s'assurer de l'utilisation continue des dernières évolutions technologiques afin de garantir l'intégrité des données en ce qui concerne le développement, la conception et la gestion des éléments d'interopérabilité. Les obligations de l'eu-LISA à cet égard devraient comprendre l'adoption des mesures nécessaires afin d'empêcher l'accès de personnes non autorisées, telles que le personnel des prestataires de services extérieurs, aux données à caractère personnel traitées au moyen des éléments d'interopérabilité. Lors de l'attribution de marchés concernant la prestation de services, les États membres et l'eu-LISA devraient envisager toutes les mesures nécessaires pour assurer le respect des lois ou réglementations relatives à la protection des données à caractère personnel et de la vie privée des personnes et pour protéger les intérêts essentiels en matière de sécurité, en application du règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil (19) et des conventions internationales applicables. L'eu-LISA devrait appliquer les principes de respect de la vie privée dès la conception et de respect de la vie privée par défaut au cours du développement des éléments d'interopérabilité.

| (62) | La mise en œuvre des éléments d'interopérabilité prévus par le présent règlement aura des incidences sur la manière dont les vérifications sont réalisées aux points de passage frontaliers. Ces incidences résulteront de l'application combinée des règles existantes du règlement (UE) 2016/399 et des règles relatives à l'interopérabilité prévues par le présent règlement. |
| --- | --- |

(62)

La mise en œuvre des éléments d'interopérabilité prévus par le présent règlement aura des incidences sur la manière dont les vérifications sont réalisées aux points de passage frontaliers. Ces incidences résulteront de l'application combinée des règles existantes du règlement (UE) 2016/399 et des règles relatives à l'interopérabilité prévues par le présent règlement.

| (63) | En raison de cette application combinée des règles, l'ESP devrait constituer le point d'accès principal pour la consultation systématique obligatoire des bases de données en ce qui concerne les personnes aux points de passage frontaliers, prévue par le règlement (UE) 2016/399. De plus, les garde-frontières devraient tenir compte des données d'identité ou des données du document de voyage qui ont entraîné le classement d'un lien dans le MID comme étant un lien rouge pour déterminer si la personne remplit ou non les conditions d'entrée définies dans le règlement (UE) 2016/399. L'existence d'un lien rouge ne devrait toutefois pas constituer en soi un motif de refus d'entrée et il n'y a dès lors pas lieu de modifier la liste des motifs de refus d'entrée figurant dans le règlement (UE) 2016/399. |
| --- | --- |

(63)

En raison de cette application combinée des règles, l'ESP devrait constituer le point d'accès principal pour la consultation systématique obligatoire des bases de données en ce qui concerne les personnes aux points de passage frontaliers, prévue par le règlement (UE) 2016/399. De plus, les garde-frontières devraient tenir compte des données d'identité ou des données du document de voyage qui ont entraîné le classement d'un lien dans le MID comme étant un lien rouge pour déterminer si la personne remplit ou non les conditions d'entrée définies dans le règlement (UE) 2016/399. L'existence d'un lien rouge ne devrait toutefois pas constituer en soi un motif de refus d'entrée et il n'y a dès lors pas lieu de modifier la liste des motifs de refus d'entrée figurant dans le règlement (UE) 2016/399.

| (64) | Il serait opportun de mettre à jour le manuel pratique à l'intention des garde-frontières afin d'y expliciter ces précisions. |
| --- | --- |

(64)

Il serait opportun de mettre à jour le manuel pratique à l'intention des garde-frontières afin d'y expliciter ces précisions.

| (65) | Lorsqu'une interrogation du MID par l'intermédiaire de l'ESP conduit à un lien jaune ou détecte un lien rouge, le garde-frontières devrait consulter le CIR ou le SIS ou les deux afin d'évaluer les informations concernant la personne soumise au contrôle, de vérifier manuellement ses différentes identités et d'adapter la couleur du lien s'il y a lieu. |
| --- | --- |

(65)

Lorsqu'une interrogation du MID par l'intermédiaire de l'ESP conduit à un lien jaune ou détecte un lien rouge, le garde-frontières devrait consulter le CIR ou le SIS ou les deux afin d'évaluer les informations concernant la personne soumise au contrôle, de vérifier manuellement ses différentes identités et d'adapter la couleur du lien s'il y a lieu.

| (66) | Aux fins de l'établissement de statistiques et de rapports, il est nécessaire de permettre au personnel autorisé des autorités compétentes, des institutions et des agences de l'Union visées dans le présent règlement de consulter certaines données liées à certains éléments d'interopérabilité, sans permettre l'identification des personnes. |
| --- | --- |

(66)

Aux fins de l'établissement de statistiques et de rapports, il est nécessaire de permettre au personnel autorisé des autorités compétentes, des institutions et des agences de l'Union visées dans le présent règlement de consulter certaines données liées à certains éléments d'interopérabilité, sans permettre l'identification des personnes.

| (67) | Afin de permettre aux autorités des États membres et aux agences de l'Union de s'adapter aux nouvelles exigences concernant l'utilisation de l'ESP, il est nécessaire de prévoir une période transitoire. De même, afin de permettre le fonctionnement cohérent et optimal du MID, il convient de définir des mesures transitoires pour le début de ses activités. |
| --- | --- |

(67)

Afin de permettre aux autorités des États membres et aux agences de l'Union de s'adapter aux nouvelles exigences concernant l'utilisation de l'ESP, il est nécessaire de prévoir une période transitoire. De même, afin de permettre le fonctionnement cohérent et optimal du MID, il convient de définir des mesures transitoires pour le début de ses activités.

| (68) | Étant donné que l'objectif du présent règlement, à savoir l'établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE, ne peut pas être atteint de manière suffisante par les États membres mais peut, en raison des dimensions et des effets de l'action, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif. |
| --- | --- |

(68)

Étant donné que l'objectif du présent règlement, à savoir l'établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE, ne peut pas être atteint de manière suffisante par les États membres mais peut, en raison des dimensions et des effets de l'action, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif.

| (69) | Le montant restant du budget alloué aux frontières intelligentes dans le règlement (UE) no 515/2014 du Parlement européen et du Conseil (20) devrait être réattribué au présent règlement, en application de l'article 5, paragraphe 5, point b), du règlement (UE) no 515/2014, pour couvrir les coûts du développement des éléments d'interopérabilité. |
| --- | --- |

(69)

Le montant restant du budget alloué aux frontières intelligentes dans le règlement (UE) no 515/2014 du Parlement européen et du Conseil (20) devrait être réattribué au présent règlement, en application de l'article 5, paragraphe 5, point b), du règlement (UE) no 515/2014, pour couvrir les coûts du développement des éléments d'interopérabilité.

| (70) | Afin de compléter certains aspects techniques détaillés du présent règlement, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l'article 290 du traité sur le fonctionnement de l'Union européenne en ce qui concerne:






  — | la prolongation de la période transitoire pour l'utilisation de l'ESP, |
| --- | --- | --- |

(70)

Afin de compléter certains aspects techniques détaillés du présent règlement, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l'article 290 du traité sur le fonctionnement de l'Union européenne en ce qui concerne:

—

la prolongation de la période transitoire pour l'utilisation de l'ESP,

| — | la prolongation de la période transitoire pour la détection des identités multiples réalisée par l'unité centrale ETIAS, |
| --- | --- |

—

la prolongation de la période transitoire pour la détection des identités multiples réalisée par l'unité centrale ETIAS,

| — | les procédures pour déterminer les cas dans lesquels les données d'identité peuvent être considérées comme identiques ou similaire, |
| --- | --- |

—

les procédures pour déterminer les cas dans lesquels les données d'identité peuvent être considérées comme identiques ou similaire,

| — | les règles relatives au fonctionnement du CRRS, y compris les garanties spécifiques pour le traitement des données à caractère personnel et les règles en matière de sécurité applicables au répertoire, et |
| --- | --- |

—

les règles relatives au fonctionnement du CRRS, y compris les garanties spécifiques pour le traitement des données à caractère personnel et les règles en matière de sécurité applicables au répertoire, et

| — | les règles détaillées relatives au fonctionnement du portail en ligne. |
| --- | --- |

—

les règles détaillées relatives au fonctionnement du portail en ligne.

Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts, et que ces consultations soient menées conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016
  «Mieux légiférer»
   (21). En particulier, pour assurer leur égale participation à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents au même moment que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d'experts de la Commission traitant de la préparation des actes délégués.

| (71) | Afin d'assurer des conditions uniformes d'exécution du présent règlement, il convient de conférer des compétences d'exécution à la Commission pour fixer les dates de l'entrée en service de l'ESP, du BMS partagé, du CIR, du MID et du CRS. |
| --- | --- |

(71)

Afin d'assurer des conditions uniformes d'exécution du présent règlement, il convient de conférer des compétences d'exécution à la Commission pour fixer les dates de l'entrée en service de l'ESP, du BMS partagé, du CIR, du MID et du CRS.

| (72) | Il convient également de conférer des compétences d'exécution à la Commission relatives à l'adoption de règles détaillées concernant: les détails techniques des profils des utilisateurs de l'ESP; les spécifications de la solution technique permettant l'interrogation des systèmes d'information de l'UE, des données d'Europol et des bases de données d'Interpol par l'intermédiaire de l'ESP et le format des réponses de l'ESP; les règles techniques permettant de créer des liens dans le MID entre les données de différents systèmes d'information de l'UE; le contenu et la présentation du formulaire à utiliser pour informer la personne concernée lorsqu'un lien rouge est créé; les exigences relatives aux performances du BMS partagé et le suivi de ces performances; les mécanismes, procédures et indicateurs automatisés de contrôle de la qualité des données; le développement de la norme UMF; la procédure de coopération à utiliser en cas d'incident de sécurité; et les spécifications de la solution technique permettant aux États membres de gérer les demandes d'accès des utilisateurs. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (22). |
| --- | --- |

(72)

Il convient également de conférer des compétences d'exécution à la Commission relatives à l'adoption de règles détaillées concernant: les détails techniques des profils des utilisateurs de l'ESP; les spécifications de la solution technique permettant l'interrogation des systèmes d'information de l'UE, des données d'Europol et des bases de données d'Interpol par l'intermédiaire de l'ESP et le format des réponses de l'ESP; les règles techniques permettant de créer des liens dans le MID entre les données de différents systèmes d'information de l'UE; le contenu et la présentation du formulaire à utiliser pour informer la personne concernée lorsqu'un lien rouge est créé; les exigences relatives aux performances du BMS partagé et le suivi de ces performances; les mécanismes, procédures et indicateurs automatisés de contrôle de la qualité des données; le développement de la norme UMF; la procédure de coopération à utiliser en cas d'incident de sécurité; et les spécifications de la solution technique permettant aux États membres de gérer les demandes d'accès des utilisateurs. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (22).

| (73) | Étant donné que les éléments d'interopérabilité impliqueront le traitement de quantités importantes de données à caractère personnel sensibles, il importe que les personnes dont les données sont traitées au moyen de ces éléments puissent exercer effectivement leurs droits en tant que personnes concernées, comme l'exigent le règlement (UE) 2016/679, la directive (UE) 2016/680 et le règlement (UE) 2018/1725. Il convient de mettre à disposition des personnes concernées un portail en ligne qui facilite l'exercice par celles-ci de leurs droits d'accès à leurs données à caractère personnel et de leurs droits de rectification, d'effacement et de limitation du traitement de ces données. La mise en place et la gestion dudit portail devraient incomber à l'eu-LISA. |
| --- | --- |

(73)

Étant donné que les éléments d'interopérabilité impliqueront le traitement de quantités importantes de données à caractère personnel sensibles, il importe que les personnes dont les données sont traitées au moyen de ces éléments puissent exercer effectivement leurs droits en tant que personnes concernées, comme l'exigent le règlement (UE) 2016/679, la directive (UE) 2016/680 et le règlement (UE) 2018/1725. Il convient de mettre à disposition des personnes concernées un portail en ligne qui facilite l'exercice par celles-ci de leurs droits d'accès à leurs données à caractère personnel et de leurs droits de rectification, d'effacement et de limitation du traitement de ces données. La mise en place et la gestion dudit portail devraient incomber à l'eu-LISA.

| (74) | L'un des principes fondamentaux de la protection des données est la minimisation des données: en vertu de l'article 5, paragraphe 1, point c), du règlement (UE) 2016/679, le traitement des données à caractère personnel doit être adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Pour cette raison, les éléments d'interopérabilité ne devraient pas prévoir le stockage de quelque nouvelle donnée à caractère personnel que ce soit, à l'exception des liens qui seront stockés dans le MID et qui représentent le minimum nécessaire aux fins du présent règlement. |
| --- | --- |

(74)

L'un des principes fondamentaux de la protection des données est la minimisation des données: en vertu de l'article 5, paragraphe 1, point c), du règlement (UE) 2016/679, le traitement des données à caractère personnel doit être adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Pour cette raison, les éléments d'interopérabilité ne devraient pas prévoir le stockage de quelque nouvelle donnée à caractère personnel que ce soit, à l'exception des liens qui seront stockés dans le MID et qui représentent le minimum nécessaire aux fins du présent règlement.

| (75) | Le présent règlement devrait prévoir des dispositions claires concernant la responsabilité et le droit à réparation en cas de traitement illicite de données à caractère personnel ou en cas de tout autre acte incompatible avec le présent règlement. De telles dispositions devraient s'entendre sans préjudice du droit à réparation de la part du responsable du traitement ou du sous-traitant et de la responsabilité de ceux-ci au titre du règlement (UE) 2016/679, de la directive (UE) 2016/680 et du règlement (UE) 2018/1725. L'eu-LISA devrait être tenue pour responsable de tout dommage qu'elle cause en sa qualité de sous-traitant des données dans les cas où elle n'a pas respecté les obligations qui lui incombent spécifiquement en vertu du présent règlement, ou lorsqu'elle a agi en dehors des instructions licites de l'État membre responsable du traitement des données ou contrairement à ces instructions. |
| --- | --- |

(75)

Le présent règlement devrait prévoir des dispositions claires concernant la responsabilité et le droit à réparation en cas de traitement illicite de données à caractère personnel ou en cas de tout autre acte incompatible avec le présent règlement. De telles dispositions devraient s'entendre sans préjudice du droit à réparation de la part du responsable du traitement ou du sous-traitant et de la responsabilité de ceux-ci au titre du règlement (UE) 2016/679, de la directive (UE) 2016/680 et du règlement (UE) 2018/1725. L'eu-LISA devrait être tenue pour responsable de tout dommage qu'elle cause en sa qualité de sous-traitant des données dans les cas où elle n'a pas respecté les obligations qui lui incombent spécifiquement en vertu du présent règlement, ou lorsqu'elle a agi en dehors des instructions licites de l'État membre responsable du traitement des données ou contrairement à ces instructions.

| (76) | Le présent règlement est sans préjudice de l'application de la directive 2004/38/CE du Parlement européen et du Conseil (23). |
| --- | --- |

(76)

Le présent règlement est sans préjudice de l'application de la directive 2004/38/CE du Parlement européen et du Conseil (23).

| (77) | Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application. Le présent règlement développant l'acquis de Schengen, le Danemark décide, conformément à l'article 4 dudit protocole, dans un délai de six mois à partir de la décision du Conseil sur le présent règlement, s'il le transpose dans son droit interne. |
| --- | --- |

(77)

Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application. Le présent règlement développant l'acquis de Schengen, le Danemark décide, conformément à l'article 4 dudit protocole, dans un délai de six mois à partir de la décision du Conseil sur le présent règlement, s'il le transpose dans son droit interne.

| (78) | Le présent règlement constitue un développement des dispositions de l'acquis de Schengen auxquelles le Royaume-Uni ne participe pas, conformément à la décision 2000/365/CE du Conseil (24); le Royaume-Uni ne participe donc pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application. |
| --- | --- |

(78)

Le présent règlement constitue un développement des dispositions de l'acquis de Schengen auxquelles le Royaume-Uni ne participe pas, conformément à la décision 2000/365/CE du Conseil (24); le Royaume-Uni ne participe donc pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application.

| (79) | Le présent règlement constitue un développement des dispositions de l'acquis de Schengen auxquelles l'Irlande ne participe pas, conformément à la décision 2002/192/CE du Conseil (25); l'Irlande ne participe donc pas à l'adoption du présent règlement et n'est pas liée par celui-ci ni soumise à son application. |
| --- | --- |

(79)

Le présent règlement constitue un développement des dispositions de l'acquis de Schengen auxquelles l'Irlande ne participe pas, conformément à la décision 2002/192/CE du Conseil (25); l'Irlande ne participe donc pas à l'adoption du présent règlement et n'est pas liée par celui-ci ni soumise à son application.

| (80) | En ce qui concerne l'Islande et la Norvège, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord conclu par le Conseil de l'Union européenne, la République d'Islande et le Royaume de Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (26), qui relèvent du domaine visé à l'article 1er, points A, B, C et G, de la décision 1999/437/CE du Conseil (27). |
| --- | --- |

(80)

En ce qui concerne l'Islande et la Norvège, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord conclu par le Conseil de l'Union européenne, la République d'Islande et le Royaume de Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (26), qui relèvent du domaine visé à l'article 1er, points A, B, C et G, de la décision 1999/437/CE du Conseil (27).

| (81) | En ce qui concerne la Suisse, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (28) qui relèvent du domaine visé à l'article 1er, points A, B, C et G, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2008/146/CE du Conseil (29). |
| --- | --- |

(81)

En ce qui concerne la Suisse, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (28) qui relèvent du domaine visé à l'article 1er, points A, B, C et G, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2008/146/CE du Conseil (29).

| (82) | En ce qui concerne le Liechtenstein, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens du protocole entre l'Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (30) qui relèvent du domaine visé à l'article 1er, points A, B, C et G, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2011/350/UE du Conseil (31). |
| --- | --- |

(82)

En ce qui concerne le Liechtenstein, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens du protocole entre l'Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (30) qui relèvent du domaine visé à l'article 1er, points A, B, C et G, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2011/350/UE du Conseil (31).

| (83) | Le présent règlement respecte les droits fondamentaux et observe les principes consacrés notamment par la Charte des droits fondamentaux de l'Union européenne et devrait être appliqué conformément à ces droits et principes. |
| --- | --- |

(83)

Le présent règlement respecte les droits fondamentaux et observe les principes consacrés notamment par la Charte des droits fondamentaux de l'Union européenne et devrait être appliqué conformément à ces droits et principes.

| (84) | Afin que le présent règlement s'intègre dans le cadre juridique existant, il y a lieu de modifier les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861, et les décisions 2004/512/CE (32) et 2008/633/JAI (33) du Conseil en conséquence, |
| --- | --- |

(84)

Afin que le présent règlement s'intègre dans le cadre juridique existant, il y a lieu de modifier les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861, et les décisions 2004/512/CE (32) et 2008/633/JAI (33) du Conseil en conséquence,

ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:

CHAPITRE I

Dispositions générales

Article premier

Objet

1.   Le présent règlement, conjointement avec le règlement (UE) 2019/818 du Parlement européen et du Conseil (34), crée un cadre visant à garantir l'interopérabilité entre le système d'entrée/de sortie (EES), le système d'information sur les visas (VIS), le système européen d'information et d'autorisation concernant les voyages (ETIAS), Eurodac, le système d'information Schengen (SIS) et le système européen d'information sur les casiers judiciaires pour les ressortissants de pays tiers (ECRIS-TCN).

2.   Le cadre comprend les éléments d'interopérabilité suivants:

| a) | un portail de recherche européen (ESP); |
| --- | --- |

a)

un portail de recherche européen (ESP);

| b) | un service partagé d'établissement de correspondances biométriques (BMS partagé); |
| --- | --- |

b)

un service partagé d'établissement de correspondances biométriques (BMS partagé);

| c) | un répertoire commun de données d'identité (CIR); |
| --- | --- |

c)

un répertoire commun de données d'identité (CIR);

| d) | un détecteur d'identités multiples (MID). |
| --- | --- |

d)

un détecteur d'identités multiples (MID).

3.   Le présent règlement établit également des dispositions concernant les exigences en matière de qualité des données, le format universel pour les messages (UMF), le répertoire central des rapports et statistiques (CRRS), et les responsabilités des États membres et de l'Agence européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (eu-LISA) à l'égard de la conception, du développement et du fonctionnement des éléments d'interopérabilité.

4.   Le présent règlement adapte également les procédures et les conditions d'accès des autorités désignées et de l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) à l'EES, au VIS, à ETIAS et à Eurodac aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière.

5.   Le présent règlement établit également un cadre permettant de vérifier l'identité des personnes et d'identifier des personnes.

Article 2

Objectifs

1.   En garantissant l'interopérabilité, le présent règlement poursuit les objectifs suivants:

| a) | améliorer l'efficacité et l'efficience des vérifications aux frontières extérieures; |
| --- | --- |

a)

améliorer l'efficacité et l'efficience des vérifications aux frontières extérieures;

| b) | contribuer à la prévention de l'immigration illégale et à la lutte contre celle-ci; |
| --- | --- |

b)

contribuer à la prévention de l'immigration illégale et à la lutte contre celle-ci;

| c) | contribuer à l'établissement d'un niveau élevé de sécurité dans l'espace de liberté, de sécurité et de justice de l'Union, y compris au maintien de la sécurité publique et de l'ordre public et à la préservation de la sécurité sur le territoire des États membres; |
| --- | --- |

c)

contribuer à l'établissement d'un niveau élevé de sécurité dans l'espace de liberté, de sécurité et de justice de l'Union, y compris au maintien de la sécurité publique et de l'ordre public et à la préservation de la sécurité sur le territoire des États membres;

| d) | améliorer la mise en œuvre de la politique commune en matière de visas; |
| --- | --- |

d)

améliorer la mise en œuvre de la politique commune en matière de visas;

| e) | aider dans l'examen des demandes de protection internationale; |
| --- | --- |

e)

aider dans l'examen des demandes de protection internationale;

| f) | contribuer à la prévention et à la détection des infractions terroristes et d'autres infractions pénales graves, et aux enquêtes en la matière; |
| --- | --- |

f)

contribuer à la prévention et à la détection des infractions terroristes et d'autres infractions pénales graves, et aux enquêtes en la matière;

| g) | faciliter l'identification de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou de restes humains non identifiés en cas de catastrophe naturelle, d'accident ou d'attaque terroriste. |
| --- | --- |

g)

faciliter l'identification de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou de restes humains non identifiés en cas de catastrophe naturelle, d'accident ou d'attaque terroriste.

2.   Les objectifs visés au paragraphe 1 sont atteints:

| a) | en assurant l'identification correcte des personnes; |
| --- | --- |

a)

en assurant l'identification correcte des personnes;

| b) | en contribuant à la lutte contre la fraude à l'identité; |
| --- | --- |

b)

en contribuant à la lutte contre la fraude à l'identité;

| c) | en améliorant la qualité des données et en harmonisant les exigences relatives à la qualité pour les données stockées dans les systèmes d'information de l'UE tout en respectant les exigences en matière de traitement des données prévues dans les instruments juridiques des différents systèmes ainsi que les normes et les principes en matière de protection des données; |
| --- | --- |

c)

en améliorant la qualité des données et en harmonisant les exigences relatives à la qualité pour les données stockées dans les systèmes d'information de l'UE tout en respectant les exigences en matière de traitement des données prévues dans les instruments juridiques des différents systèmes ainsi que les normes et les principes en matière de protection des données;

| d) | en facilitant et en soutenant la mise en œuvre technique et opérationnelle, par les États membres, des systèmes d'information de l'UE; |
| --- | --- |

d)

en facilitant et en soutenant la mise en œuvre technique et opérationnelle, par les États membres, des systèmes d'information de l'UE;

| e) | en renforçant, en simplifiant et en rendant plus uniformes les conditions de sécurité des données et de protection des données régissant les différents systèmes d'information de l'UE, sans porter atteinte à la protection et aux garanties spéciales accordées à certaines catégories de données; |
| --- | --- |

e)

en renforçant, en simplifiant et en rendant plus uniformes les conditions de sécurité des données et de protection des données régissant les différents systèmes d'information de l'UE, sans porter atteinte à la protection et aux garanties spéciales accordées à certaines catégories de données;

| f) | en rationalisant les conditions d'accès des autorités désignées à l'EES, au VIS, à ETIAS et à Eurodac, tout en garantissant les conditions nécessaires et proportionnées de cet accès; |
| --- | --- |

f)

en rationalisant les conditions d'accès des autorités désignées à l'EES, au VIS, à ETIAS et à Eurodac, tout en garantissant les conditions nécessaires et proportionnées de cet accès;

| g) | en soutenant les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN. |
| --- | --- |

g)

en soutenant les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN.

Article 3

Champ d'application

1.   Le présent règlement s'applique à l'EES, au VIS, à ETIAS et au SIS.

2.   Le présent règlement s'applique aux personnes à l'égard desquelles des données à caractère personnel peuvent être traitées dans les systèmes d'information de l'UE visés au paragraphe 1 du présent article et dont les données sont collectées aux fins définies aux articles 1er et 2 du règlement (CE) no 767/2008, à l'article 1er du règlement (UE) 2017/2226, aux articles 1er et 4 du règlement (UE) 2018/1240, à l'article 1er du règlement (UE) 2018/1860 et à l'article 1er du règlement (UE) 2018/1861.

Article 4

Définitions

Aux fins du présent règlement, on entend par:

1)   «frontières extérieures»: les frontières extérieures telles qu'elles sont définies à l'article 2, point 2), du règlement (UE) 2016/399;

«frontières extérieures»

2)   «vérifications aux frontières»: les vérifications aux frontières telles qu'elles sont définies à l'article 2, point 11), du règlement (UE) 2016/399;

«vérifications aux frontières»

3)   «autorité frontalière»: le garde-frontière chargé, conformément au droit national, d'effectuer des vérifications aux frontières;

«autorité frontalière»

4)   «autorités de contrôle»: l'autorité de contrôle visée à l'article 51, paragraphe 1, du règlement (UE) 2016/679 et l'autorité de contrôle visée à l'article 41, paragraphe 1, de la directive (UE) 2016/680;

«autorités de contrôle»

5)   «vérification»: le processus consistant à comparer des séries de données en vue d'établir la validité d'une identité déclarée (contrôle par comparaison de deux échantillons);

«vérification»

6)   «identification»: le processus consistant à déterminer l'identité d'une personne par interrogation d'une base de données et comparaison avec plusieurs séries de données (contrôle par comparaison de plusieurs échantillons);

«identification»

7)   «données alphanumériques»: les données représentées par des lettres, des chiffres, des caractères spéciaux, des espaces et des signes de ponctuation;

«données alphanumériques»

8)   «données d'identité»: les données visées à l'article 27, paragraphe 3, points a) à e);

«données d'identité»

9)   «données dactyloscopiques»: les images d'empreintes digitales et les images d'empreintes digitales latentes qui, en raison de leur caractère unique et des points de référence qu'elles contiennent, permettent de réaliser des comparaisons précises et concluantes en ce qui concerne l'identité d'une personne;

«données dactyloscopiques»

10)   «image faciale»: les images numériques du visage;

«image faciale»

11)   «données biométriques»: les données dactyloscopiques ou les images faciales ou les deux;

«données biométriques»

12)   «modèle biométrique»: une représentation mathématique obtenue par l'extraction de caractéristiques des données biométriques, se limitant aux caractéristiques nécessaires pour procéder à des identifications et à des vérifications;

«modèle biométrique»

13)   «document de voyage»: un passeport ou un autre document équivalent, autorisant son titulaire à franchir les frontières extérieures et sur lequel un visa peut être apposé;

«document de voyage»

14)   «données du document de voyage»: le type, le numéro et le pays de délivrance du document de voyage, la date d'expiration de sa validité et le code à trois lettres du pays de délivrance du document de voyage;

«données du document de voyage»

15)   «systèmes d'information de l'UE»: l'EES, le VIS, ETIAS, Eurodac, le SIS et l'ECRIS-TCN;

«systèmes d'information de l'UE»

16)   «données d'Europol»: les données à caractère personnel traitées par Europol pour les finalités visées à l'article 18, paragraphe 2, points a), b) et c), du règlement (UE) 2016/794;

«données d'Europol»

17)   «bases de données d'Interpol»: la base de données d'Interpol sur les documents de voyage volés et perdus (base de données SLTD) et la base de données d'Interpol sur les documents de voyage associés aux notices (base de données TDAWN);

«bases de données d'Interpol»

18)   «correspondance»: l'existence d'une correspondance résultant d'une comparaison automatisée entre les données à caractère personnel enregistrées ou en cours d'enregistrement dans un système d'information ou dans une base de données;

«correspondance»

19)   «service de police»: l'autorité compétente telle qu'elle est définie à l'article 3, point 7, de la directive (UE) 2016/680;

«service de police»

20)   «autorités désignées»: les autorités désignées par les États membres telles qu'elles sont définies à l'article 3, paragraphe 1, point 26), du règlement (UE) 2017/2226, à l'article 2, paragraphe 1, point e), de la décision 2008/633/JAI et à l'article 3, paragraphe 1, point 21, du règlement (UE) 2018/1240;

«autorités désignées»

21)   «infraction terroriste»: une infraction prévue par le droit national qui correspond ou est équivalente à l'une des infractions visées dans la directive (UE) 2017/541 du Parlement européen et du Conseil (35);

«infraction terroriste»

35

22)   «infraction pénale grave»: une infraction qui correspond ou est équivalente à l'une des infractions visées à l'article 2, paragraphe 2, de la décision-cadre 2002/584/JAI du Conseil (36), si elle est punie en droit national d'une peine ou d'une mesure de sûreté privative de liberté d'une durée maximale d'au moins trois ans;

«infraction pénale grave»

36

23)   «système d'entrée/de sortie» ou «EES»: le système d'entrée/de sortie créé par le règlement (UE) 2017/2226;

«système d'entrée/de sortie» ou «EES»

24)   «système d'information sur les visas» ou «VIS»: le système d'information sur les visas établi par le règlement (CE) no 767/2008;

«système d'information sur les visas» ou «VIS»

o

25)   «système européen d'information et d'autorisation concernant les voyages» ou «ETIAS»: le système européen d'information et d'autorisation concernant les voyages créé par le règlement (UE) 2018/1240;

«système européen d'information et d'autorisation concernant les voyages» ou «ETIAS»

26)   «Eurodac»: Eurodac créé par le règlement (UE) no 603/2013 du Parlement européen et du Conseil (37);

«Eurodac»

o

37

27)   «système d'information Schengen» ou «SIS»: le système d'information Schengen tel qu'établi par les règlements (UE) 2018/1860, (UE) 2018/1861 et (UE) 2018/1862;

«système d'information Schengen» ou «SIS»

28)   «ECRIS-TCN»: le système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides créé par le règlement (UE) 2019/816 du Parlement européen et du Conseil (38).

«ECRIS-TCN»

38

Article 5

Non-discrimination et droits fondamentaux

Le traitement de données à caractère personnel aux fins du présent règlement ne donne lieu à aucune discrimination à l'encontre des personnes, fondée notamment sur le sexe, la race, la couleur, les origines ethniques ou sociales, les caractéristiques génétiques, la langue, la religion ou les convictions, les opinions politiques ou toute autre opinion, l'appartenance à une minorité nationale, la fortune, la naissance, un handicap, l'âge ou l'orientation sexuelle. Il respecte pleinement la dignité humaine, l'intégrité des personnes et les droits fondamentaux, notamment le droit au respect de la vie privée et le droit à la protection des données à caractère personnel. Une attention particulière est accordée aux enfants, aux personnes âgées, aux personnes handicapées et aux personnes nécessitant une protection internationale. L'intérêt supérieur de l'enfant est une considération primordiale.

CHAPITRE II

Portail de recherche européen

Article 6

Portail de recherche européen

1.   Un portail de recherche européen (ESP) est créé afin de faciliter l'accès rapide, continu, efficace, systématique et contrôlé des autorités des États membres et des agences de l'Union aux systèmes d'information de l'UE, aux données d'Europol et aux bases de données d'Interpol pour l'accomplissement de leurs tâches et conformément à leurs droits d'accès ainsi qu'aux objectifs et finalités de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN.

2.   L'ESP se compose des éléments suivants:

| a) | une infrastructure centrale, comportant un portail de recherche permettant d'interroger simultanément l'EES, le VIS, ETIAS, Eurodac, le SIS, l' ECRIS-TCN ainsi que les données d'Europol et les bases de données d'Interpol; |
| --- | --- |

a)

une infrastructure centrale, comportant un portail de recherche permettant d'interroger simultanément l'EES, le VIS, ETIAS, Eurodac, le SIS, l' ECRIS-TCN ainsi que les données d'Europol et les bases de données d'Interpol;

| b) | un canal de communication sécurisé entre l'ESP, les États membres et les agences de l'Union qui sont autorisées à utiliser l'ESP; |
| --- | --- |

b)

un canal de communication sécurisé entre l'ESP, les États membres et les agences de l'Union qui sont autorisées à utiliser l'ESP;

| c) | une infrastructure de communication sécurisée entre l'ESP et l'EES, le VIS, ETIAS, Eurodac, le SIS central, l'ECRIS-TCN, les données d'Europol et les bases de données d'Interpol ainsi qu'entre l'ESP et les infrastructures centrales du CIR et du MID. |
| --- | --- |

c)

une infrastructure de communication sécurisée entre l'ESP et l'EES, le VIS, ETIAS, Eurodac, le SIS central, l'ECRIS-TCN, les données d'Europol et les bases de données d'Interpol ainsi qu'entre l'ESP et les infrastructures centrales du CIR et du MID.

3.   L'eu-LISA développe l'ESP et en assure la gestion technique.

Article 7

Utilisation du portail de recherche européen

1.   L'utilisation de l'ESP est réservée aux autorités des États membres et aux agences de l'Union ayant accès à au moins l'un des systèmes d'information de l'UE conformément aux instruments juridiques régissant ces systèmes d'information de l'UE, au CIR et au MID conformément au présent règlement, aux données d'Europol conformément au règlement (UE) 2016/794, ou aux bases de données d'Interpol conformément au droit de l'Union ou au droit national régissant cet accès.

Ces autorités des États membres et ces agences de l'Union peuvent utiliser l'ESP et les données qu'il fournit uniquement pour les objectifs et finalités prévus dans les instruments juridiques régissant ces systèmes d'information de l'UE, dans le règlement (UE) 2016/794 et dans le présent règlement.

2.   Les autorités des États membres et les agences de l'Union visées au paragraphe 1 utilisent l'ESP pour effectuer des recherches dans les données relatives à des personnes ou à leurs documents de voyage dans les systèmes centraux de l'EES, du VIS et d'ETIAS conformément aux droits d'accès que leur confèrent les instruments juridiques régissant ces systèmes d'information de l'UE et le droit national. Elles utilisent aussi l'ESP pour interroger le CIR conformément aux droits d'accès dont elles bénéficient dans le cadre du présent règlement aux fins visées aux articles 20, 21 et 22.

3.   Les autorités des États membres visées au paragraphe 1 peuvent utiliser l'ESP pour effectuer des recherches dans les données relatives à des personnes ou à leurs documents de voyage dans le SIS central visé dans les règlements (UE) 2018/1860 et (UE) 2018/1861.

4.   Lorsque le droit de l'Union le prévoit, les agences de l'Union visées au paragraphe 1 utilisent l'ESP pour effectuer des recherches dans les données relatives à des personnes ou à leurs documents de voyage dans le SIS central.

5.   Les autorités des États membres et les agences de l'Union visées au paragraphe 1 peuvent utiliser l'ESP pour effectuer des recherches dans les données relatives à des documents de voyage dans les bases de données d'Interpol lorsque le droit de l'Union et le droit national le prévoient et conformément aux droits d'accès que leur confèrent le droit de l'Union et le droit national.

Article 8

Profils des utilisateurs du portail de recherche européen

1.   Afin de permettre l'utilisation de l'ESP, l'eu-LISA crée, en collaboration avec les États membres, un profil basé sur chaque catégorie d'utilisateurs de l'ESP et sur les finalités des requêtes, conformément aux détails techniques et aux droits d'accès visés au paragraphe 2. Chaque profil comprend, conformément au droit de l'Union et au droit national, les informations suivantes:

| a) | les champs de données à utiliser pour les interrogations; |
| --- | --- |

a)

les champs de données à utiliser pour les interrogations;

| b) | les systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol qui sont interrogés, ceux qui peuvent être interrogés et ceux qui fournissent une réponse à l'utilisateur; |
| --- | --- |

b)

les systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol qui sont interrogés, ceux qui peuvent être interrogés et ceux qui fournissent une réponse à l'utilisateur;

| c) | les données spécifiques qui peuvent être interrogées dans les systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol; |
| --- | --- |

c)

les données spécifiques qui peuvent être interrogées dans les systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol;

| d) | les catégories de données qui peuvent être fournies dans chaque réponse. |
| --- | --- |

d)

les catégories de données qui peuvent être fournies dans chaque réponse.

2.   La Commission adopte des actes d'exécution afin de préciser les détails techniques des profils visés au paragraphe 1 conformément aux droits d'accès des utilisateurs de l'ESP prévus dans les instruments juridiques régissant les systèmes d'information de l'UE et dans le droit national. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 74, paragraphe 2.

3.   Les profils visés au paragraphe 1 sont réexaminés régulièrement, au moins une fois par an, par l'eu-LISA, en collaboration avec les États membres, et, si nécessaire, mis à jour.

Article 9

Requêtes

1.   Les utilisateurs de l'ESP lancent une requête en soumettant des données alphanumériques ou biométriques à l'ESP. Lorsqu'une requête a été lancée, l'ESP interroge l'EES, ETIAS, le VIS, le SIS, Eurodac, l'ECRIS-TCN et le CIR ainsi que les données d'Europol et les bases de données d'Interpol, simultanément, à l'aide des données envoyées par l'utilisateur et conformément au profil d'utilisateur.

2.   Les catégories de données utilisés pour lancer une requête par l'intermédiaire de l'ESP correspondent aux catégories de données relatives à des personnes ou à des documents de voyage qui peuvent être utilisés pour interroger les différents systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol conformément aux instruments juridiques qui les régissent.

3.   L'eu-LISA met en œuvre pour l'ESP, en collaboration avec les États membres, un document de contrôle des interfaces basé sur l'UMF visé à l'article 38.

4.   Lorsqu'une requête est lancée par un utilisateur de l'ESP, l'EES, ETIAS, le VIS, le SIS, Eurodac, l'ECRIS-TCN, le CIR et le MID, ainsi que les données d'Europol et les bases de données d'Interpol, fournissent en réponse à la requête les données qu'ils détiennent.

Sans préjudice de l'article 20, la réponse fournie par l'ESP indique à quel système d'information de l'UE ou à quelle base de données les données appartiennent.

L'ESP ne fournit aucune information concernant des données contenues dans des systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol auxquels l'utilisateur n'a pas accès en vertu du droit de l'Union ou du droit national applicable.

5.   Toute interrogation des bases de données d'Interpol lancée via l'ESP est effectuée de telle manière qu'aucune information n'est révélée au propriétaire du signalement Interpol.

6.   L'ESP fournit des réponses à l'utilisateur dès que des données sont disponibles dans un des systèmes d'information de l'UE, dans les données d'Europol ou dans les bases de données d'Interpol. Ces réponses comportent uniquement les données auxquelles l'utilisateur a accès en vertu du droit de l'Union ou du droit national.

7.   La Commission adopte un acte d'exécution afin de préciser la procédure technique permettant à l'ESP d'interroger les systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol et déterminer le format des réponses de l'ESP. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 74, paragraphe 2.

Article 10

Tenue de registres

1.   Sans préjudice de l'article 46 du règlement (UE) 2017/2226, de l'article 34 du règlement (CE) no 767/2008, de l'article 69 du règlement (UE) 2018/1240 et des articles 12 et 18 du règlement (UE) 2018/1861, l'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans l'ESP. Ces registres contiennent les informations suivantes:

| a) | l'État membre ou l'agence de l'Union qui lance la requête et le profil ESP utilisé; |
| --- | --- |

a)

l'État membre ou l'agence de l'Union qui lance la requête et le profil ESP utilisé;

| b) | la date et l'heure de la requête; |
| --- | --- |

b)

la date et l'heure de la requête;

| c) | les systèmes d'information de l'UE et les bases de données d'Interpol qui ont été interrogés. |
| --- | --- |

c)

les systèmes d'information de l'UE et les bases de données d'Interpol qui ont été interrogés.

2.   Chaque État membre tient des registres des requêtes introduites par ses autorités et le personnel de ces autorités dûment autorisé à utiliser l'ESP. Chaque agence de l'Union tient des registres des requêtes introduites par son personnel dûment autorisé.

3.   Les registres visés aux paragraphes 1 et 2 ne peuvent être utilisés que pour contrôler la protection des données, y compris vérifier la recevabilité d'une requête et la licéité du traitement des données, et pour garantir la sécurité et l'intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s'ils sont nécessaires à des procédures de contrôle qui ont déjà été engagées, ils sont effacés dès qu'ils ne sont plus nécessaires aux procédures de contrôle.

Article 11

Procédures de secours en cas d'impossibilité technique d'utiliser le portail de recherche européen

1.   Lorsqu'il est techniquement impossible d'utiliser l'ESP pour interroger un ou plusieurs des systèmes d'information de l'UE ou le CIR, en raison d'une défaillance de l'ESP, l'eu-LISA le notifie, de manière automatisée, aux utilisateurs de l'ESP.

2.   Lorsqu'il est techniquement impossible d'utiliser l'ESP pour interroger un ou plusieurs des systèmes d'information de l'UE ou le CIR, en raison d'une défaillance de l'infrastructure nationale d'un État membre, cet État membre le notifie, de manière automatisée, à l'eu-LISA et à la Commission.

3.   Dans les cas visés au paragraphe 1 ou 2 du présent article, et jusqu'à ce qu'il soit remédié à la défaillance technique, l'obligation visée à l'article 7, paragraphes 2 et 4, ne s'applique pas et les États membres ont accès aux systèmes d'information de l'UE ou au CIR directement lorsque le droit de l'Union ou le droit national l'exige.

4.   Lorsqu'il est techniquement impossible d'utiliser l'ESP pour interroger un ou plusieurs des systèmes d'information de l'UE ou le CIR, en raison d'une défaillance de l'infrastructure d'une agence de l'Union, ladite agence le notifie, de manière automatisée, à l'eu-LISA et à la Commission.

CHAPITRE III

Service partagé d'établissement de correspondances biométriques

Article 12

Service partagé d'établissement de correspondances biométriques

1.   Un service partagé d'établissement de correspondances biométriques (BMS partagé) stockant des modèles biométriques obtenus à partir des données biométriques visées à l'article 13 qui sont stockées dans le CIR et le SIS et permettant d'effectuer des recherches à l'aide de données biométriques dans plusieurs systèmes d'information de l'UE est mis en place afin de soutenir le CIR et le MID ainsi que les objectifs de l'EES, du VIS, d'Eurodac, du SIS et de l'ECRIS-TCN.

2.   Le BMS partagé se compose des éléments suivants:

| a) | une infrastructure centrale, qui remplace les systèmes centraux de l'EES, du VIS, du SIS, d'Eurodac et de l'ECRIS-TCN, respectivement, dans la mesure où elle stocke des modèles biométriques et permet d'effectuer des recherches à l'aide de données biométriques; |
| --- | --- |

a)

une infrastructure centrale, qui remplace les systèmes centraux de l'EES, du VIS, du SIS, d'Eurodac et de l'ECRIS-TCN, respectivement, dans la mesure où elle stocke des modèles biométriques et permet d'effectuer des recherches à l'aide de données biométriques;

| b) | une infrastructure de communication sécurisée entre le BMS partagé, le SIS central et le CIR. |
| --- | --- |

b)

une infrastructure de communication sécurisée entre le BMS partagé, le SIS central et le CIR.

3.   L'eu-LISA développe le BMS partagé et en assure la gestion technique.

Article 13

Stockage de modèles biométriques dans le service partagé d'établissement de correspondances biométriques

1.   Le BMS partagé stocke les modèles biométriques qu'il obtient à partir des données biométriques suivantes:

| a) | les données visées à l'article 16, paragraphe 1, point d), à l'article 17, paragraphe 1, points b) et c), et à l'article 18, paragraphe 2, points a), b) et c), du règlement (UE) 2017/2226; |
| --- | --- |

a)

les données visées à l'article 16, paragraphe 1, point d), à l'article 17, paragraphe 1, points b) et c), et à l'article 18, paragraphe 2, points a), b) et c), du règlement (UE) 2017/2226;

| b) | les données visées à l'article 9, point 6), du règlement (CE) no 767/2008; |
| --- | --- |

b)

les données visées à l'article 9, point 6), du règlement (CE) no 767/2008;

| c) | les données visées à l'article 20, paragraphe 2, points w) et x), à l'exception des données relatives aux empreintes palmaires, du règlement (UE) 2018/1861; |
| --- | --- |

c)

les données visées à l'article 20, paragraphe 2, points w) et x), à l'exception des données relatives aux empreintes palmaires, du règlement (UE) 2018/1861;

| d) | les données visées à l'article 4, paragraphe 1, points u) et v), à l'exception des données relatives aux empreintes palmaires, du règlement (UE) 2018/1860. |
| --- | --- |

d)

les données visées à l'article 4, paragraphe 1, points u) et v), à l'exception des données relatives aux empreintes palmaires, du règlement (UE) 2018/1860.

Les modèles biométriques sont stockés dans le BMS partagé sous une forme séparée logiquement en fonction du système d'information de l'UE d'où les données proviennent.

2.   Pour chaque ensemble de données visé au paragraphe 1, le BMS partagé inclut, dans chaque modèle biométrique, une référence aux systèmes d'information de l'UE dans lesquels les données biométriques correspondantes sont stockées et une référence aux enregistrements concrets dans ces systèmes d'information de l'UE.

3.   Les modèles biométriques sont introduits dans le BMS partagé uniquement après que le BMS partagé a effectué un contrôle automatisé de la qualité des données biométriques ajoutées à l'un des systèmes d'information de l'UE, pour s'assurer du respect d'une norme minimale de qualité des données.

4.   Le stockage des données visées au paragraphe 1 respecte les normes de qualité visées à l'article 37, paragraphe 2.

5.   La Commission définit, par la voie d'un acte d'exécution, les exigences relatives aux performances du BMS partagé et les modalités pratiques pour le suivi des performances du BMS partagé afin de veiller à ce que l'efficacité des recherches biométriques soit adaptée à la rapidité requise par des procédures telles que les vérifications aux frontières et les identifications. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 74, paragraphe 2.

Article 14

Recherche dans des données biométriques à l'aide du service partagé d'établissement de correspondances biométriques

Afin que des recherches puissent être effectuées dans les données biométriques stockées dans le CIR et le SIS, le CIR et le SIS utilisent les modèles biométriques stockés dans le BMS partagé. Les recherches effectuées à l'aide de données biométriques sont effectuées conformément aux finalités prévues dans le présent règlement et dans les règlements (CE) no 767/2008, (UE) 2017/2226, (UE) 2018/1860, (UE) 2018/1861, (UE) 2018/1862 et (UE) 2019/816.

o

Article 15

Conservation des données dans le service partagé d'établissement de correspondances biométriques

Les données visées à l'article 13, paragraphes 1 et 2, ne sont stockées dans le BMS partagé qu'aussi longtemps que les données biométriques correspondantes sont stockées dans le CIR ou le SIS. Les données sont effacées du BMS partagé de manière automatisée.

Article 16

Tenue de registres

1.   Sans préjudice de l'article 46 du règlement (UE) 2017/2226, de l'article 34 du règlement (CE) no 767/2008 et des articles 12 et 18 du règlement (UE) 2018/1861, l'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le BMS partagé. Ces registres contiennent les informations suivantes:

| a) | l'État membre ou l'agence de l'Union qui lance la requête; |
| --- | --- |

a)

l'État membre ou l'agence de l'Union qui lance la requête;

| b) | l'historique de la création et du stockage des modèles biométriques; |
| --- | --- |

b)

l'historique de la création et du stockage des modèles biométriques;

| c) | les systèmes d'information de l'UE interrogés à l'aide des modèles biométriques stockés dans le BMS partagé; |
| --- | --- |

c)

les systèmes d'information de l'UE interrogés à l'aide des modèles biométriques stockés dans le BMS partagé;

| d) | la date et l'heure de la requête; |
| --- | --- |

d)

la date et l'heure de la requête;

| e) | le type de données biométriques utilisées pour lancer la requête; |
| --- | --- |

e)

le type de données biométriques utilisées pour lancer la requête;

| f) | les résultats de la requête ainsi que la date et l'heure des résultats. |
| --- | --- |

f)

les résultats de la requête ainsi que la date et l'heure des résultats.

2.   Chaque État membre tient des registres des requêtes introduites par ses autorités et le personnel de ces autorités dûment autorisé à utiliser le BMS partagé. Chaque agence de l'Union tient des registres des requêtes introduites par son personnel dûment autorisé.

3.   Les registres visés aux paragraphes 1 et 2 ne peuvent être utilisés que pour contrôler la protection des données, y compris vérifier la recevabilité d'une requête et la licéité du traitement des données, et pour garantir la sécurité et l'intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s'ils sont nécessaires à des procédures de contrôle qui ont déjà été engagées, ils sont effacés dès qu'ils ne sont plus nécessaires aux procédures de contrôle.

CHAPITRE IV

Répertoire commun de données d'identité

Article 17

Répertoire commun de données d'identité

1.   Un répertoire commun de données d'identité (CIR), créant un dossier individuel pour chaque personne enregistrée dans l'EES, le VIS, ETIAS, Eurodac ou l' ECRIS-TCN contenant les données visées à l'article 18, est établi afin de faciliter l'identification correcte des personnes enregistrées dans l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN et d'aider à cette identification conformément à l'article 20, de soutenir le fonctionnement du MID conformément à l'article 21 et de faciliter et de rationaliser l'accès des autorités désignées et d'Europol à l'EES, au VIS, à ETIAS et à Eurodac, lorsque cela est nécessaire à des fins de prévention ou de détection d'infractions terroristes ou d'autres infractions pénales graves ou d'enquêtes en la matière conformément à l'article 22.

2.   Le CIR se compose des éléments suivants:

| a) | une infrastructure centrale qui remplace les systèmes centraux de l'EES, du VIS, d'ETIAS, d'Eurodac et de l'ECRIS-TCN, dans la mesure où elle stocke les données visées à l'article 18; |
| --- | --- |

a)

une infrastructure centrale qui remplace les systèmes centraux de l'EES, du VIS, d'ETIAS, d'Eurodac et de l'ECRIS-TCN, dans la mesure où elle stocke les données visées à l'article 18;

| b) | un canal de communication sécurisé entre le CIR, les États membres et les agences de l'Union qui sont autorisés à utiliser le CIR conformément au droit de l'Union et au droit national; |
| --- | --- |

b)

un canal de communication sécurisé entre le CIR, les États membres et les agences de l'Union qui sont autorisés à utiliser le CIR conformément au droit de l'Union et au droit national;

| c) | une infrastructure de communication sécurisée entre le CIR et l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN, ainsi que les infrastructures centrales de l'ESP, du BMS partagé et du MID. |
| --- | --- |

c)

une infrastructure de communication sécurisée entre le CIR et l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN, ainsi que les infrastructures centrales de l'ESP, du BMS partagé et du MID.

3.   L'eu-LISA développe le CIR et en assure la gestion technique.

4.   Lorsqu'il est techniquement impossible, en raison d'une défaillance du CIR, d'interroger le CIR aux fins de l'identification d'une personne en vertu de l'article 20, de la détection d'identités multiples en vertu de l'article 21 ou à des fins de prévention ou de détection d'infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, en vertu de l'article 22, l'eu-LISA le notifie aux utilisateurs du CIR de manière automatisée.

5.   L'eu-LISA met en œuvre pour le CIR, en collaboration avec les États membres, un document de contrôle des interfaces basé sur l'UMF visé à l'article 38.

Article 18

Données du répertoire commun de données d'identité

1.   Le CIR stocke les données suivantes, séparées logiquement en fonction du système d'information d'où elles proviennent:

| a) | les données visées à l'article 16, paragraphe 1, points a) à d), à l'article 17, paragraphe 1, points a), b) et c), et à l'article 18, paragraphes 1 et 2, du règlement (UE) 2017/2226; |
| --- | --- |

a)

les données visées à l'article 16, paragraphe 1, points a) à d), à l'article 17, paragraphe 1, points a), b) et c), et à l'article 18, paragraphes 1 et 2, du règlement (UE) 2017/2226;

| b) | les données visées à l'article 9, point 4) a) à c), et points 5) et 6), du règlement (CE) no 767/2008; |
| --- | --- |

b)

les données visées à l'article 9, point 4) a) à c), et points 5) et 6), du règlement (CE) no 767/2008;

| c) | les données visées à l'article 17, paragraphe 2, points a) à e), du règlement (UE) 2018/1240; |
| --- | --- |

c)

les données visées à l'article 17, paragraphe 2, points a) à e), du règlement (UE) 2018/1240;

2.   Pour chaque ensemble de données visé au paragraphe 1, le CIR comporte une référence aux systèmes d'information de l'UE auxquels appartiennent les données.

3.   Les autorités qui disposent d'un accès au CIR y accèdent conformément à leurs droits d'accès prévus dans les instruments juridiques qui régissent les systèmes d'information de l'UE, au droit national et à leurs droits d'accès prévus au présent règlement pour les fins visées aux articles 20, 21 et 22.

4.   Pour chaque ensemble de données visé au paragraphe 1, le CIR comporte une référence à l'enregistrement effectivement réalisé dans les systèmes d'information de l'UE auxquels appartiennent les données.

5.   Le stockage des données visées au paragraphe 1 respecte les normes de qualité visées à l'article 37, paragraphe 2.

Article 19

Ajout, modification et suppression de données dans le répertoire commun de données d'identité

1.   Lorsque des données sont ajoutées, modifiées ou supprimées dans l'EES, le VIS et ETIAS, les données visées à l'article 18 qui sont stockées dans le dossier individuel du CIR font l'objet, de manière automatisée, d'un ajout, d'une modification ou d'une suppression en conséquence.

2.   Lorsqu'un lien blanc ou rouge est créé dans le MID conformément à l'article 32 ou 33 entre les données de deux ou plusieurs des systèmes d'information de l'UE alimentant le CIR, au lieu de créer un nouveau dossier individuel, le CIR ajoute les nouvelles données au dossier individuel des données liées.

Article 20

Accès au répertoire commun de données d'identité pour identification

1.   Les interrogations du CIR sont effectuées par un service de police conformément aux paragraphes 2 et 5 uniquement dans les circonstances suivantes:

| a) | lorsqu'un service de police n'est pas en mesure d'identifier une personne en raison de l'absence d'un document de voyage ou d'un autre document crédible prouvant l'identité de cette personne; |
| --- | --- |

a)

lorsqu'un service de police n'est pas en mesure d'identifier une personne en raison de l'absence d'un document de voyage ou d'un autre document crédible prouvant l'identité de cette personne;

| b) | lorsqu'un doute subsiste quant aux données d'identité fournies par une personne; |
| --- | --- |

b)

lorsqu'un doute subsiste quant aux données d'identité fournies par une personne;

| c) | lorsqu'un doute subsiste quant à l'authenticité du document de voyage ou d'un autre document crédible fourni par une personne; |
| --- | --- |

c)

lorsqu'un doute subsiste quant à l'authenticité du document de voyage ou d'un autre document crédible fourni par une personne;

| d) | lorsqu'un doute subsiste quant à l'identité du titulaire d'un document de voyage ou d'un autre document crédible; ou |
| --- | --- |

d)

lorsqu'un doute subsiste quant à l'identité du titulaire d'un document de voyage ou d'un autre document crédible; ou

| e) | lorsqu'une personne n'est pas en mesure ou refuse de coopérer. |
| --- | --- |

e)

lorsqu'une personne n'est pas en mesure ou refuse de coopérer.

Ces interrogations ne peuvent viser des mineurs de moins de 12 ans, à moins que ce ne soit dans l'intérêt supérieur de l'enfant.

2.   Lorsqu'une des circonstances énumérées au paragraphe 1 se produit et qu'un service de police y a été habilité par les mesures législatives nationales visées au paragraphe 5, elle peut, uniquement aux fins de l'identification d'une personne, interroger le CIR à l'aide des données biométriques de cette personne relevées en direct lors d'un contrôle d'identité, à condition que la procédure ait été initiée en présence de ladite personne.

3.   Lorsque le résultat de l'interrogation indique que des données concernant cette personne sont stockées dans le CIR, le service de police a accès en consultation aux données visées à l'article 18, paragraphe 1.

Lorsque les données biométriques de la personne ne peuvent pas être utilisées ou lorsque la requête introduite avec ces données échoue, cette dernière est introduite à l'aide des données d'identité de cette personne, combinées aux données du document de voyage, ou à l'aide des données d'identité fournies par cette personne.

4.   Lorsqu'un service de police y a été habilité par des mesures législatives nationales visées au paragraphe 6, il peut, en cas de catastrophe naturelle, d'accident ou d'attaque terroriste, et uniquement aux fins d'identification de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou de restes humains non identifiés, interroger le CIR à l'aide des données biométriques de ces personnes.

5.   Les États membres qui souhaitent faire usage de la possibilité prévue au paragraphe 2 adoptent des mesures législatives nationales. Ce faisant, les États membres tiennent compte de la nécessité d'éviter toute discrimination à l'encontre de ressortissants de pays tiers. Ces mesures législatives indiquent les finalités précises de l'identification, parmi les finalités visées à l'article 2, paragraphe 1, points b) et c). Elles désignent les services de police compétents et fixent les procédures, les conditions et les critères relatifs à ces contrôles.

6.   Les États membres qui souhaitent faire usage de la possibilité prévue au paragraphe 4 adoptent des mesures législatives nationales fixant les procédures, les conditions et les critères.

Article 21

Accès au répertoire commun de données d'identité pour la détection d'identités multiples

1.   Lorsque le résultat d'une interrogation du CIR donne lieu à un lien jaune conformément à l'article 28, paragraphe 4, l'autorité chargée de la vérification manuelle des différentes identités conformément à l'article 29 a accès, aux seules fins de cette vérification, aux données visées à l'article 18, paragraphes 1 et 2, stockées dans le CIR reliées par un lien jaune.

2.   Lorsque le résultat d'une interrogation du CIR donne lieu à un lien rouge conformément à l'article 32, les autorités visées à l'article 26, paragraphe 2, ont accès, aux seules fins de lutter contre la fraude à l'identité, aux données visées à l'article 18, paragraphes 1 et 2, stockées dans le CIR reliées par un lien rouge.

Article 22

Interrogation du répertoire commun de données d'identité à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière

1.   Dans des cas particuliers, lorsqu'il existe des motifs raisonnables de croire que la consultation des systèmes d'information de l'UE contribuera à la prévention ou à la détection des infractions terroristes ou d'autres infractions pénales graves, ou aux enquêtes en la matière, notamment lorsqu'il y a lieu de penser que la personne soupçonnée d'avoir commis une infraction terroriste ou d'autres infractions pénales graves, ou l'auteur ou la victime de telles infractions est une personne dont les données sont stockées dans l'EES, le VIS ou ETIAS, les autorités désignées et Europol peuvent consulter le CIR pour savoir si des données sur une personne en particulier figurent dans l'EES, le VIS ou ETIAS.

2.   Lorsque, en réponse à une requête, le CIR indique que des données sur cette personne figurent dans l'EES, le VIS ou ETIAS, le CIR fournit aux autorités désignées et à Europol une réponse sous la forme d'une référence, telle que visée à l'article 18, paragraphe 2, indiquant le ou les systèmes d'information de l'UE qui contiennent des données correspondantes. Le CIR fournit une réponse selon des modalités qui ne compromettent pas la sécurité des données.

La réponse indiquant que des données concernant cette personne figurent dans l'un des systèmes d'information de l'UE visés au paragraphe 1 n'est utilisée qu'aux fins de l'introduction d'une demande d'accès complet sous réserve des conditions et des procédures fixées dans les différents instruments juridiques régissant l'accès en question.

En cas d'une ou plusieurs correspondances, l'autorité désignée ou Europol demande un accès complet à au moins un des systèmes d'information avec lesquels une correspondance a été établie.

Si, à titre exceptionnel, cet accès complet n'est pas demandé, la justification de cette absence de demande est enregistrée par les autorités désignées de manière à pouvoir être reliée au dossier national. Europol enregistre la justification dans le dossier concerné.

3.   L'accès complet aux données figurant dans l'EES, le VIS ou ETIAS à des fins de prévention ou de détection des infractions terroristes ou des infractions pénales graves, ou d'enquêtes en la matière, reste soumis aux conditions et procédures fixées dans les instruments juridiques respectifs régissant cet accès.

Article 23

Conservation des données dans le répertoire commun de données d'identité

1.   Les données visées à l'article 18, paragraphes 1, 2 et 4, sont supprimées du CIR de manière automatisée conformément aux dispositions relatives à la conservation des données des règlements (UE) 2017/2226, (CE) no 767/2008 et (UE) 2018/1240 respectivement.

2.   Le dossier individuel n'est stocké dans le CIR qu'aussi longtemps que les données correspondantes sont stockées dans au moins un des systèmes d'information de l'UE dont les données figurent dans le CIR. La création d'un lien n'a aucune incidence sur la période de conservation de chaque élément des données liées.

Article 24

Tenue de registres

1.   Sans préjudice de l'article 46 du règlement (UE) 2017/2226, de l'article 34 du règlement (CE) no 767/2008 et de l'article 69 du règlement (UE) 2018/1240, l'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le CIR conformément aux paragraphes 2, 3 et 4 du présent article.

2.   L'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le CIR en vertu de l'article 20. Ces registres contiennent les informations suivantes:

| a) | l'État membre ou l'agence de l'Union qui lance la requête; |
| --- | --- |

a)

l'État membre ou l'agence de l'Union qui lance la requête;

| b) | la finalité de l'accès par l'utilisateur qui introduit la requête par l'intermédiaire du CIR; |
| --- | --- |

b)

la finalité de l'accès par l'utilisateur qui introduit la requête par l'intermédiaire du CIR;

| c) | la date et l'heure de la requête; |
| --- | --- |

c)

la date et l'heure de la requête;

| d) | le type de données utilisées pour lancer la requête; |
| --- | --- |

d)

le type de données utilisées pour lancer la requête;

| e) | les résultats de la requête. |
| --- | --- |

e)

les résultats de la requête.

3.   L'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le CIR en vertu de l'article 21. Ces registres contiennent les informations suivantes:

| a) | l'État membre ou l'agence de l'Union qui lance la requête; |
| --- | --- |

a)

l'État membre ou l'agence de l'Union qui lance la requête;

| b) | la finalité de l'accès par l'utilisateur qui introduit la requête par l'intermédiaire du CIR; |
| --- | --- |

b)

la finalité de l'accès par l'utilisateur qui introduit la requête par l'intermédiaire du CIR;

| c) | la date et l'heure de la requête; |
| --- | --- |

c)

la date et l'heure de la requête;

| d) | lorsqu'un lien est créé, les données utilisées pour lancer la requête et les résultats de la requête indiquant le système d'information de l'UE d'où proviennent les données. |
| --- | --- |

d)

lorsqu'un lien est créé, les données utilisées pour lancer la requête et les résultats de la requête indiquant le système d'information de l'UE d'où proviennent les données.

4.   L'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le CIR en vertu de l'article 22. Ces registres contiennent les informations suivantes:

| a) | la date et l'heure de la requête; |
| --- | --- |

a)

la date et l'heure de la requête;

| b) | les données utilisées pour lancer la requête; |
| --- | --- |

b)

les données utilisées pour lancer la requête;

| c) | les résultats de la requête; |
| --- | --- |

c)

les résultats de la requête;

| d) | l'État membre ou l'agence de l'Union qui interroge le CIR. |
| --- | --- |

d)

l'État membre ou l'agence de l'Union qui interroge le CIR.

L'autorité de contrôle compétente, conformément à l'article 41 de la directive (UE) 2016/680, ou le Contrôleur européen de la protection des données, conformément à l'article 43 du règlement (UE) 2016/794, vérifient régulièrement les registres de ces accès, à des intervalles ne dépassant pas six mois, afin de vérifier si les procédures et conditions prévues à l'article 22, paragraphes 1 et 2 du présent règlement sont respectées.

5.   Chaque État membre tient des registres des requêtes introduites en vertu des articles 20, 21 et 22 par ses autorités et le personnel de ces autorités dûment autorisé à utiliser le CIR. Chaque agence de l'Union tient des registres des requêtes introduites par son personnel dûment autorisé en vertu des articles 21 et 22.

En outre, pour tout accès au CIR accordé en vertu de l'article 22, chaque État membre tient les registres suivants:

| a) | la référence du dossier national; |
| --- | --- |

a)

la référence du dossier national;

| b) | la finalité de l'accès; |
| --- | --- |

b)

la finalité de l'accès;

| c) | conformément aux règles nationales, l'identifiant unique de l'agent qui a introduit la requête et celui de l'agent qui a ordonné la requête. |
| --- | --- |

c)

conformément aux règles nationales, l'identifiant unique de l'agent qui a introduit la requête et celui de l'agent qui a ordonné la requête.

6.   Conformément au règlement (UE) 2016/794, pour tout accès au CIR accordé en vertu de l'article 22 du présent règlement, Europol tient des registres de l'identifiant unique de l'agent qui a introduit la requête et de celui de l'agent qui a ordonné la requête.

7.   Les registres visés aux paragraphes 2 à 6 ne peuvent être utilisés que pour contrôler la protection des données, y compris vérifier l'admissibilité d'une requête et la licéité du traitement des données, et pour garantir la sécurité et l'intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s'ils sont nécessaires à des procédures de contrôle qui sont déjà engagées, ils sont effacés dès qu'ils ne sont plus nécessaires aux procédures de contrôle.

8.   L'eu-LISA conserve les registres relatifs à l'historique des données dans les dossiers individuels. L'eu-LISA efface ces registres, de manière automatisée, une fois les données effacées.

CHAPITRE V

Détecteur d'identités multiples

Article 25

Détecteur d'identités multiples

1.   Un détecteur d'identités multiples (MID) qui crée et stocke les dossiers de confirmation d'identité visés à l'article 34, contenant des liens entre les données des systèmes d'information de l'UE figurant dans le CIR et dans le SIS et permettant la détection des identités multiples, avec le double objectif de faciliter les contrôles d'identité et de lutter contre la fraude à l'identité, est établi afin de soutenir le fonctionnement du CIR et les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN.

2.   Le MID se compose des éléments suivants:

| a) | une infrastructure centrale qui stocke des liens et des références aux systèmes d'information de l'UE; |
| --- | --- |

a)

une infrastructure centrale qui stocke des liens et des références aux systèmes d'information de l'UE;

| b) | une infrastructure de communication sécurisée pour connecter le MID au SIS et aux infrastructures centrales de l'ESP et du CIR. |
| --- | --- |

b)

une infrastructure de communication sécurisée pour connecter le MID au SIS et aux infrastructures centrales de l'ESP et du CIR.

3.   L'eu-LISA développe le MID et en assure la gestion technique.

Article 26

Accès au détecteur d'identités multiples

1.   Aux fins de la vérification manuelle des différentes identités visée à l'article 29, l'accès aux données visées à l'article 34 stockées dans le MID est accordé:

| a) | aux autorités compétentes désignées conformément à l'article 9, paragraphe 2, du règlement (UE) 2017/2226 lors de la création ou de la mise à jour d'un dossier individuel dans l'EES conformément à l'article 14 dudit règlement; |
| --- | --- |

a)

aux autorités compétentes désignées conformément à l'article 9, paragraphe 2, du règlement (UE) 2017/2226 lors de la création ou de la mise à jour d'un dossier individuel dans l'EES conformément à l'article 14 dudit règlement;

| b) | aux autorités chargées des visas visées à l'article 6, paragraphe 1, du règlement (CE) no 767/2008 lors de la création ou de la mise à jour d'un dossier de demande dans le VIS conformément audit règlement; |
| --- | --- |

b)

aux autorités chargées des visas visées à l'article 6, paragraphe 1, du règlement (CE) no 767/2008 lors de la création ou de la mise à jour d'un dossier de demande dans le VIS conformément audit règlement;

| c) | à l'unité centrale ETIAS et aux unités nationales ETIAS lors du traitement visé aux articles 22 et 26 du règlement (UE) 2018/1240; |
| --- | --- |

c)

à l'unité centrale ETIAS et aux unités nationales ETIAS lors du traitement visé aux articles 22 et 26 du règlement (UE) 2018/1240;

| d) | au bureau SIRENE de l'État membre qui crée ou met à jour un signalement dans le SIS conformément aux règlements (UE) 2018/1860 et (UE) 2018/1861. |
| --- | --- |

d)

au bureau SIRENE de l'État membre qui crée ou met à jour un signalement dans le SIS conformément aux règlements (UE) 2018/1860 et (UE) 2018/1861.

2.   Les autorités des États membres et les agences de l'Union ayant accès à au moins un système d'information de l'UE alimentant le CIR ou au SIS ont accès aux données visées à l'article 34, points a) et b), en ce qui concerne les liens rouges visés à l'article 32.

3.   Les autorités des États membres et les agences de l'Union ont accès aux liens blancs visés à l'article 33 lorsqu'elles ont accès aux deux systèmes d'information de l'UE contenant des données entre lesquelles le lien blanc a été créé.

4.   Les autorités des États membres et les agences de l'Union ont accès aux liens verts visés à l'article 31 lorsqu'elles ont accès aux deux systèmes d'information de l'UE contenant des données entre lesquelles le lien vert a été créé et qu'une interrogation de ces systèmes d'information a révélé une correspondance avec les deux séries de données liées.

Article 27

Détection d'identités multiples

1.   Une détection d'identités multiples dans le CIR et le SIS est lancée lorsque:

| a) | un dossier individuel est créé ou mis à jour dans l'EES conformément à l'article 14 du règlement (UE) 2017/2226; |
| --- | --- |

a)

un dossier individuel est créé ou mis à jour dans l'EES conformément à l'article 14 du règlement (UE) 2017/2226;

| b) | un dossier de demande est créé ou mis à jour dans le VIS conformément au règlement (CE) no 767/2008; |
| --- | --- |

b)

un dossier de demande est créé ou mis à jour dans le VIS conformément au règlement (CE) no 767/2008;

| c) | un dossier de demande est créé ou mis à jour dans ETIAS conformément à l'article 19 du règlement (UE) 2018/1240; |
| --- | --- |

c)

un dossier de demande est créé ou mis à jour dans ETIAS conformément à l'article 19 du règlement (UE) 2018/1240;

| d) | un signalement concernant une personne est créé ou mis à jour dans le SIS conformément à l'article 3 du règlement (UE) 2018/1860 et au chapitre V du règlement (UE) 2018/1861. |
| --- | --- |

d)

un signalement concernant une personne est créé ou mis à jour dans le SIS conformément à l'article 3 du règlement (UE) 2018/1860 et au chapitre V du règlement (UE) 2018/1861.

2.   Lorsque les données figurant dans un système d'information de l'UE visé au paragraphe 1 comportent des données biométriques, le CIR et le SIS central utilisent le BMS partagé pour détecter les identités multiples. Le BMS partagé compare les modèles biométriques obtenus à partir de toute nouvelle donnée biométrique avec les modèles biométriques figurant déjà dans le BMS partagé afin de vérifier si des données appartenant à la même personne sont déjà stockées dans le CIR ou dans le SIS central.

3.   Outre le processus visé au paragraphe 2, le CIR et le SIS central utilisent l'ESP pour effectuer des recherches dans les données stockées, respectivement, dans le SIS central et le CIR, à l'aide des données suivantes:

| a) | le nom (nom de famille); le ou les prénoms; la date de naissance; la ou les nationalités; et le sexe; visés à l'article 16, paragraphe 1, point a), à l'article 17, paragraphe 1, et à l'article 18, paragraphe 1, du règlement (UE) 2017/2226; |
| --- | --- |

a)

le nom (nom de famille); le ou les prénoms; la date de naissance; la ou les nationalités; et le sexe; visés à l'article 16, paragraphe 1, point a), à l'article 17, paragraphe 1, et à l'article 18, paragraphe 1, du règlement (UE) 2017/2226;

| b) | le nom (nom de famille); le ou les prénoms (surnoms); la date de naissance; le sexe; le lieu de naissance et le pays de naissance; et les nationalités; visés à l'article 9, point 4) a) et a bis), du règlement (CE) no 767/2008; |
| --- | --- |

b)

le nom (nom de famille); le ou les prénoms (surnoms); la date de naissance; le sexe; le lieu de naissance et le pays de naissance; et les nationalités; visés à l'article 9, point 4) a) et a bis), du règlement (CE) no 767/2008;

| c) | le nom (nom de famille), le ou les prénoms, le nom de naissance, le ou les pseudonymes; la date de naissance, le lieu de naissance, le sexe et la nationalité actuelle; visés à l'article 17, paragraphe 2, du règlement (UE) 2018/1240; |
| --- | --- |

c)

le nom (nom de famille), le ou les prénoms, le nom de naissance, le ou les pseudonymes; la date de naissance, le lieu de naissance, le sexe et la nationalité actuelle; visés à l'article 17, paragraphe 2, du règlement (UE) 2018/1240;

| d) | les noms, les prénoms, les noms à la naissance, les noms utilisés antérieurement et les pseudonymes, le lieu de naissance, la date de naissance, le genre et toutes les nationalités possédées, visés à l'article 20, paragraphe 2, du règlement (UE) 2018/1861; |
| --- | --- |

d)

les noms, les prénoms, les noms à la naissance, les noms utilisés antérieurement et les pseudonymes, le lieu de naissance, la date de naissance, le genre et toutes les nationalités possédées, visés à l'article 20, paragraphe 2, du règlement (UE) 2018/1861;

| e) | les noms, les prénoms, les noms à la naissance, les noms utilisés antérieurement et les pseudonymes, le lieu de naissance, la date de naissance, le genre et toutes les nationalités possédées, visés à l'article 4 du règlement (UE) 2018/1860. |
| --- | --- |

e)

les noms, les prénoms, les noms à la naissance, les noms utilisés antérieurement et les pseudonymes, le lieu de naissance, la date de naissance, le genre et toutes les nationalités possédées, visés à l'article 4 du règlement (UE) 2018/1860.

4.   Outre le processus visé aux paragraphes 2 et 3, le CIR et le SIS central utilisent l'ESP pour effectuer des recherches dans les données stockées, respectivement, dans le SIS central et le CIR, à l'aide des données du document de voyage.

5.   La détection d'identités multiples n'est lancée que pour comparer les données disponibles dans un système d'information de l'UE à celles qui sont disponibles dans d'autres systèmes d'information de l'UE.

Article 28

Résultats de la détection d'identités multiples

1.   Lorsque la recherche visée à l'article 27, paragraphes 2, 3 et 4, ne génère aucune correspondance, les procédures visées à l'article 27, paragraphe 1, se poursuivent conformément aux instruments juridiques qui les régissent.

2.   Lorsque la recherche visée à l'article 27, paragraphes 2, 3 et 4, génère une ou plusieurs correspondances, le CIR et, s'il y a lieu, le SIS créent un lien entre les données utilisées pour lancer la recherche et les données ayant déclenché la correspondance.

Lorsque plusieurs correspondances sont générées, un lien est créé entre toutes les données ayant déclenché la correspondance. Lorsque les données étaient déjà liées, le lien existant est étendu aux données utilisées pour lancer la recherche.

3.   Lorsque la recherche visée à l'article 27, paragraphes 2, 3 et 4, génère une ou plusieurs correspondances et que les données d'identité des dossiers liés sont les mêmes ou similaires, un lien blanc est créé conformément à l'article 33.

4.   Lorsque la recherche visée à l'article 27, paragraphes 2, 3 et 4, génère une ou plusieurs correspondances et que les données d'identité des dossiers liés ne peuvent pas être considérées comme similaires, un lien jaune est créé conformément à l'article 30 et la procédure visée à l'article 29 s'applique.

5.   La Commission adopte des actes délégués conformément à l'article 73 fixant les procédures permettant de déterminer les cas dans lesquels les données d'identité peuvent être considérées comme étant les mêmes ou similaires.

6.   Les liens sont stockés dans le dossier de confirmation d'identité visé à l'article 34.

7.   La Commission fixe, par voie d'actes d'exécution, en coopération avec l'eu-LISA, les règles techniques permettant de créer des liens entre les données de différents systèmes d'information de l'UE. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 74, paragraphe 2.

Article 29

Vérification manuelle des différentes identités et autorités responsables

1.   Sans préjudice du paragraphe 2, l'autorité chargée de la vérification manuelle des différentes identités est:

| a) | l'autorité compétente désignée conformément à l'article 9, paragraphe 2, du règlement (UE) 2017/2226 pour les correspondances générées lors de la création ou de la mise à jour d'un dossier individuel dans l'EES conformément audit règlement; |
| --- | --- |

a)

l'autorité compétente désignée conformément à l'article 9, paragraphe 2, du règlement (UE) 2017/2226 pour les correspondances générées lors de la création ou de la mise à jour d'un dossier individuel dans l'EES conformément audit règlement;

| b) | les autorités chargées des visas visées à l'article 6, paragraphe 1, du règlement (CE) no 767/2008 pour les correspondances générées lors de la création ou de la mise à jour d'un dossier de demande dans le VIS conformément audit règlement; |
| --- | --- |

b)

les autorités chargées des visas visées à l'article 6, paragraphe 1, du règlement (CE) no 767/2008 pour les correspondances générées lors de la création ou de la mise à jour d'un dossier de demande dans le VIS conformément audit règlement;

| c) | l'unité centrale ETIAS et les unités nationales ETIAS pour les correspondances générées lors de la création ou de la mise à jour d'un dossier de demande conformément au règlement (UE) 2018/1240; |
| --- | --- |

c)

l'unité centrale ETIAS et les unités nationales ETIAS pour les correspondances générées lors de la création ou de la mise à jour d'un dossier de demande conformément au règlement (UE) 2018/1240;

| d) | le bureau SIRENE de l'État membre pour les correspondances générées lors de la création ou de la mise à jour d'un signalement dans le SIS conformément aux règlements (UE) 2018/1860 et (UE) 2018/1861. |
| --- | --- |

d)

le bureau SIRENE de l'État membre pour les correspondances générées lors de la création ou de la mise à jour d'un signalement dans le SIS conformément aux règlements (UE) 2018/1860 et (UE) 2018/1861.

Le MID indique l'autorité chargée de la vérification manuelle des différentes identités dans le dossier de confirmation d'identité.

2.   L'autorité chargée de la vérification manuelle des différentes identités dans le dossier de confirmation d'identité est le bureau SIRENE de l'État membre qui a créé le signalement lorsqu'un lien est créé vers les données contenues dans un signalement concernant:

| a) | des personnes recherchées en vue d'une arrestation aux fins de remise ou d'extradition, visé à l'article 26 du règlement (UE) 2018/1862; |
| --- | --- |

a)

des personnes recherchées en vue d'une arrestation aux fins de remise ou d'extradition, visé à l'article 26 du règlement (UE) 2018/1862;

| b) | des personnes disparues ou vulnérables, visé à l'article 32 du règlement (UE) 2018/1862; |
| --- | --- |

b)

des personnes disparues ou vulnérables, visé à l'article 32 du règlement (UE) 2018/1862;

| c) | des personnes recherchées dans le but de rendre possible leur concours dans le cadre d'une procédure judiciaire, visé à l'article 34 du règlement (UE) 2018/1862; |
| --- | --- |

c)

des personnes recherchées dans le but de rendre possible leur concours dans le cadre d'une procédure judiciaire, visé à l'article 34 du règlement (UE) 2018/1862;

| d) | des personnes aux fins de contrôles discrets, de contrôles d'investigation ou de contrôles spécifiques, visé à l'article 36 du règlement (UE) 2018/1862. |
| --- | --- |

d)

des personnes aux fins de contrôles discrets, de contrôles d'investigation ou de contrôles spécifiques, visé à l'article 36 du règlement (UE) 2018/1862.

3.   Sans préjudice du paragraphe 4 du présent article, l'autorité chargée de la vérification manuelle des différentes identités a accès aux données liées figurant dans le dossier de confirmation d'identité pertinent et aux données d'identité liées figurant dans le CIR et, s'il y a lieu, dans le SIS. Elle évalue sans retard les différentes identités. Une fois cette évaluation réalisée, elle met à jour le lien conformément aux articles 31, 32 et 33, et l'ajoute sans retard au dossier de confirmation d'identité.

4.   Lorsque l'autorité chargée de la vérification manuelle des différentes identités dans le dossier de confirmation d'identité est l'autorité compétente désignée conformément à l'article 9, paragraphe 2, du règlement (UE) 2017/2226 qui crée ou met à jour un dossier individuel dans l'EES conformément à l'article 14 dudit règlement, et en cas de création d'un lien jaune, cette autorité effectue des vérifications supplémentaires. Cette autorité a, à cette seule fin, accès aux données connexes figurant dans le dossier de confirmation d'identité pertinent. Elle évalue les différentes identités, met à jour le lien conformément aux articles 31, 32 et 33 du présent règlement, et l'ajoute sans retard au dossier de confirmation d'identité.

Cette vérification manuelle des différentes identités s'effectue en présence de la personne concernée, à qui est donnée la possibilité d'expliquer les circonstances à l'autorité responsable, laquelle tient compte de ces explications.

Lorsque la vérification manuelle des différentes identités s'effectue à la frontière, elle a lieu dans un délai de douze heures à compter de la création d'un lien jaune en vertu de l'article 28, paragraphe 4, dans la mesure du possible.

5.   En cas de création de plusieurs liens, l'autorité chargée de la vérification manuelle des différentes identités évalue chaque lien séparément.

6.   Lorsque des données générant une correspondance étaient déjà liées, l'autorité chargée de la vérification manuelle des différentes identités tient compte des liens existants lorsqu'elle envisage d'en créer de nouveaux.

Article 30

Lien jaune

1.   Lorsque la vérification manuelle des différentes identités n'a pas encore eu lieu, un lien entre des données provenant d'au moins deux systèmes d'information de l'UE est classé comme jaune dans les cas suivants:

| a) | les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes; |
| --- | --- |

a)

les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes;

| b) | les données liées ont des données d'identité différentes mais les données du document de voyage sont les mêmes, et au moins l'un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée; |
| --- | --- |

b)

les données liées ont des données d'identité différentes mais les données du document de voyage sont les mêmes, et au moins l'un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée;

| c) | les données liées comportent les mêmes données d'identité mais ont des données biométriques différentes; |
| --- | --- |

c)

les données liées comportent les mêmes données d'identité mais ont des données biométriques différentes;

| d) | les données liées comportent des données d'identité similaires ou différentes, et ont les mêmes données du document de voyage, mais comportent des données biométriques différentes. |
| --- | --- |

d)

les données liées comportent des données d'identité similaires ou différentes, et ont les mêmes données du document de voyage, mais comportent des données biométriques différentes.

2.   Lorsqu'un lien est classé comme jaune conformément au paragraphe 1, la procédure prévue à l'article 29 s'applique.

Article 31

Lien vert

1.   Un lien entre des données provenant d'au moins deux systèmes d'information de l'UE est classé comme vert lorsque:

| a) | les données liées ont des données biométriques différentes mais comportent les mêmes données d'identité et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes; |
| --- | --- |

a)

les données liées ont des données biométriques différentes mais comportent les mêmes données d'identité et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes;

| b) | les données liées ont des données biométriques différentes, elles comportent des données d'identité similaires ou différentes, les données du document de voyage sont les mêmes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes; |
| --- | --- |

b)

les données liées ont des données biométriques différentes, elles comportent des données d'identité similaires ou différentes, les données du document de voyage sont les mêmes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes;

| c) | les données liées ont des données d'identité différentes mais les données du document de voyage sont les mêmes, au moins un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes. |
| --- | --- |

c)

les données liées ont des données d'identité différentes mais les données du document de voyage sont les mêmes, au moins un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes.

2.   Lorsque le CIR ou le SIS sont interrogés et qu'il existe un lien vert entre des données figurant dans au moins deux systèmes d'information de l'UE, le MID indique que les données d'identité des données liées ne correspondent pas à la même personne.

3.   Si une autorité d'un État membre dispose d'éléments de preuve suggérant qu'un lien vert a été enregistré de manière incorrecte dans le MID ou qu'un lien vert n'est pas à jour, ou que des données ont été traitées dans le MID ou les systèmes d'information de l'UE en violation du présent règlement, elle vérifie les données pertinentes stockées dans le CIR et le SIS et, si nécessaire, rectifie ou efface sans retard le lien du MID. L'autorité de l'État membre en question informe sans retard l'État membre responsable de la vérification manuelle des différentes identités.

Article 32

Lien rouge

1.   Un lien entre des données provenant d'au moins deux systèmes d'information de l'UE est classé comme rouge dans les cas suivants:

| a) | les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière injustifiée; |
| --- | --- |

a)

les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière injustifiée;

| b) | les données liées comportent les mêmes données d'identité ou des données d'identité similaires ou différentes et les mêmes données du document de voyage, mais les données biométriques sont différentes, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes, dont une au moins utilise le même document de voyage d'une manière injustifiée; |
| --- | --- |

b)

les données liées comportent les mêmes données d'identité ou des données d'identité similaires ou différentes et les mêmes données du document de voyage, mais les données biométriques sont différentes, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes, dont une au moins utilise le même document de voyage d'une manière injustifiée;

| c) | les données liées comportent les mêmes données d'identité mais ont des données biométriques différentes et les données du document de voyage sont différentes ou manquantes, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes d'une manière injustifiée; |
| --- | --- |

c)

les données liées comportent les mêmes données d'identité mais ont des données biométriques différentes et les données du document de voyage sont différentes ou manquantes, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes d'une manière injustifiée;

| d) | les données liées ont des données d'identité différentes, mais les données du document de voyage sont les mêmes, au moins un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière injustifiée. |
| --- | --- |

d)

les données liées ont des données d'identité différentes, mais les données du document de voyage sont les mêmes, au moins un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière injustifiée.

2.   Lorsque le CIR ou le SIS sont interrogés et qu'il existe un lien rouge entre des données figurant dans au moins deux systèmes d'information de l'UE, le MID indique les données visées à l'article 34. Les mesures à prendre pour donner suite à un lien rouge sont exécutées conformément au droit de l'Union et au droit national, toute conséquence juridique pour la personne concernée ne reposant que sur les données pertinentes concernant cette personne. Aucune conséquence juridique pour la personne concernée ne peut découler de la seule existence d'un lien rouge.

3.   Lorsqu'un lien rouge est créé entre des données dans l'EES, le VIS, ETIAS, Eurodac ou l'ECRIS-TCN, le dossier individuel stocké dans le CIR est mis à jour conformément à l'article 19, paragraphe 2.

4.   Sans préjudice des dispositions relatives au traitement des signalements dans le SIS prévues dans les règlements (UE) 2018/1860, (UE) 2018/1861 et (UE) 2018/1862, et sans préjudice des restrictions nécessaires pour protéger la sécurité et l'ordre public, prévenir la criminalité et garantir qu'aucune enquête nationale ne sera compromise, lorsqu'un lien rouge est créé, l'autorité chargée de la vérification manuelle des différentes identités informe la personne concernée de la présence de données d'identités multiples illicites et lui fournit le numéro d'identification unique visé à l'article 34, point c), du présent règlement, la référence de l'autorité chargée de la vérification manuelle des différentes identités visée à l'article 34, point d), du présent règlement et l'adresse internet du portail en ligne établi conformément à l'article 49 du présent règlement.

5.   Les informations visées au paragraphe 4 sont fournies par écrit au moyen d'un formulaire type par l'autorité chargée de la vérification manuelle des différentes identités. La Commission détermine le contenu et la présentation de ce formulaire par la voie d'actes d'exécution. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 74, paragraphe 2.

6.   Lorsqu'un lien rouge est créé, le MID le notifie, de manière automatisée, aux autorités responsables des données liées.

7.   Si une autorité d'un État membre ou une agence de l'Union ayant accès au CIR ou au SIS détient une preuve suggérant qu'un lien rouge a été enregistré de manière incorrecte dans le MID ou que les données ont été traitées dans le MID, le CIR ou le SIS en violation du présent règlement, cette autorité ou cette agence vérifie les données pertinentes stockées dans le CIR et le SIS et:

| a) | lorsque le lien se rapporte à l'un des signalements dans le SIS visés à l'article 29, paragraphe 2, informe immédiatement le bureau SIRENE de l'État membre concerné qui a créé le signalement dans le SIS; |
| --- | --- |

a)

lorsque le lien se rapporte à l'un des signalements dans le SIS visés à l'article 29, paragraphe 2, informe immédiatement le bureau SIRENE de l'État membre concerné qui a créé le signalement dans le SIS;

| b) | dans tous les autres cas, rectifie ou efface immédiatement le lien du MID. |
| --- | --- |

b)

dans tous les autres cas, rectifie ou efface immédiatement le lien du MID.

Si un bureau SIRENE est contacté en vertu du premier alinéa, point a), il vérifie les preuves fournies par l'autorité de l'État membre ou l'agence de l'Union et, s'il y a lieu, rectifie ou efface immédiatement le lien du MID.

L'autorité de l'État membre qui a obtenu la preuve informe sans retard l'État membre responsable de la vérification manuelle des différentes identités de toute rectification ou suppression pertinente d'un lien rouge.

Article 33

Lien blanc

1.   Un lien entre des données provenant d'au moins deux systèmes d'information de l'UE est classé comme blanc dans les cas suivants:

| a) | les données liées comportent les mêmes données biométriques et les mêmes données d'identité ou des données d'identité similaires; |
| --- | --- |

a)

les données liées comportent les mêmes données biométriques et les mêmes données d'identité ou des données d'identité similaires;

| b) | les données liées comportent les mêmes données d'identité ou des données d'identité similaires, les mêmes données du document de voyage et au moins l'un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée; |
| --- | --- |

b)

les données liées comportent les mêmes données d'identité ou des données d'identité similaires, les mêmes données du document de voyage et au moins l'un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée;

| c) | les données liées comportent les mêmes données biométriques, les mêmes données du document de voyage et des données d'identité similaires; |
| --- | --- |

c)

les données liées comportent les mêmes données biométriques, les mêmes données du document de voyage et des données d'identité similaires;

| d) | les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière justifiée. |
| --- | --- |

d)

les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière justifiée.

2.   Lorsque le CIR ou le SIS sont interrogés et qu'il existe un lien blanc entre des données figurant dans au moins deux systèmes d'information de l'UE, le MID indique que les données d'identité des données liées correspondent à la même personne. Les systèmes d'information de l'UE interrogés fournissent une réponse indiquant, le cas échéant, toutes les données liées sur la personne, déclenchant ainsi une correspondance au regard des données liées par le lien blanc, si l'autorité qui a lancé la recherche a accès aux données liées en vertu du droit de l'Union ou du droit national.

3.   Lorsqu'un lien blanc est créé entre des données dans l'EES, le VIS, ETIAS, Eurodac ou l'ECRIS-TCN, le dossier individuel stocké dans le CIR est mis à jour conformément à l'article 19, paragraphe 2.

4.   Sans préjudice des dispositions relatives au traitement des signalements dans le SIS contenues dans les règlements (UE) 2018/1860, (UE) 2018/1861 et (UE) 2018/1862, et sans préjudice des restrictions nécessaires pour protéger la sécurité et l'ordre public, prévenir la criminalité et garantir qu'aucune enquête nationale ne sera compromise, lorsqu'un lien blanc est créé à la suite d'une vérification manuelle des différentes identités, l'autorité chargée de la vérification manuelle des différentes identités informe la personne concernée de la présence de données d'identité similaires ou différentes et lui fournit le numéro d'identification unique visé à l'article 34, point c), du présent règlement, la référence de l'autorité chargée de la vérification manuelle des différentes identités visée à l'article 34, point d), du présent règlement et l'adresse internet du portail en ligne établi conformément à l'article 49 du présent règlement.

5.   Si une autorité d'un État membre dispose d'éléments de preuve suggérant qu'un lien blanc a été enregistré de manière incorrecte dans le MID ou qu'un lien blanc n'est pas à jour, ou que des données ont été traitées dans le MID ou les systèmes d'information de l'UE en violation du présent règlement, elle vérifie les données pertinentes stockées dans le CIR et le SIS et, si nécessaire, rectifie ou efface sans retard le lien du MID. L'autorité de l'État membre en question informe sans retard l'État membre responsable de la vérification manuelle des différentes identités.

6.   Les informations visées au paragraphe 4 sont fournies par écrit au moyen d'un formulaire type par l'autorité chargée de la vérification manuelle des différentes identités. La Commission détermine le contenu et la présentation de ce formulaire par la voie d'actes d'exécution. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 74, paragraphe 2.

Article 34

Dossier de confirmation d'identité

Le dossier de confirmation d'identité contient les données suivantes:

| a) | les liens visés aux articles 30 à 33; |
| --- | --- |

a)

les liens visés aux articles 30 à 33;

| b) | une référence aux systèmes d'information de l'UE contenant les données liées; |
| --- | --- |

b)

une référence aux systèmes d'information de l'UE contenant les données liées;

| c) | un numéro d'identification unique permettant d'extraire, des systèmes d'information de l'UE correspondants, les données liées; |
| --- | --- |

c)

un numéro d'identification unique permettant d'extraire, des systèmes d'information de l'UE correspondants, les données liées;

| d) | l'autorité responsable de la vérification manuelle des différentes identités; |
| --- | --- |

d)

l'autorité responsable de la vérification manuelle des différentes identités;

| e) | la date de création du lien ou toute mise à jour de celui-ci. |
| --- | --- |

e)

la date de création du lien ou toute mise à jour de celui-ci.

Article 35

Conservation des données dans le détecteur d'identités multiples

Les dossiers de confirmation d'identité et leurs données, y compris les liens, ne sont stockés dans le MID qu'aussi longtemps que les données liées sont stockées dans au moins deux systèmes d'information de l'UE. Ils sont effacés du MID de manière automatisée.

Article 36

Tenue de registres

1.   L'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le MID. Ces registres contiennent les informations suivantes:

| a) | l'État membre qui lance la requête; |
| --- | --- |

a)

l'État membre qui lance la requête;

| b) | la finalité de l'accès par l'utilisateur; |
| --- | --- |

b)

la finalité de l'accès par l'utilisateur;

| c) | la date et l'heure de la requête; |
| --- | --- |

c)

la date et l'heure de la requête;

| d) | le type de données utilisées pour lancer la requête; |
| --- | --- |

d)

le type de données utilisées pour lancer la requête;

| e) | la référence aux données liées; |
| --- | --- |

e)

la référence aux données liées;

| f) | l'historique du dossier de confirmation d'identité. |
| --- | --- |

f)

l'historique du dossier de confirmation d'identité.

2.   Chaque État membre tient des registres des requêtes introduites par ses autorités et le personnel de ces autorités dûment autorisé à utiliser le MID. Chaque agence de l'Union tient des registres des requêtes introduites par son personnel dûment autorisé.

3.   Les registres visés aux paragraphes 1 et 2 ne peuvent être utilisés que pour contrôler la protection des données, y compris vérifier l'admissibilité d'une requête et de la licéité du traitement des données, et pour garantir la sécurité et l'intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s'ils sont nécessaires à des procédures de contrôle qui ont déjà été engagées, ils sont effacés dès qu'ils ne sont plus nécessaires aux procédures de contrôle.

CHAPITRE VI

Mesures soutenant l'interopérabilité

Article 37

Qualité des données

1.   Sans préjudice des responsabilités des États membres en ce qui concerne la qualité des données introduites dans les systèmes, l'eu-LISA met en place des mécanismes et des procédures automatisés de contrôle de la qualité des données pour les données stockées dans l'EES, le VIS, ETIAS, le SIS, le BMS partagé et le CIR.

2.   L'eu-LISA met en œuvre des mécanismes d'évaluation de l'exactitude du BMS partagé, des indicateurs communs de qualité des données et des normes de qualité minimales pour le stockage de données dans l'EES, le VIS, ETIAS, le SIS, le BMS partagé et le CIR.

Seules les données répondant aux normes de qualité minimales peuvent être introduites dans l'EES, le VIS, ETIAS, le SIS, le BMS partagé, le CIR et le MID.

3.   L'eu-LISA présente aux États membres des rapports réguliers sur les mécanismes et procédures automatisés de contrôle de la qualité des données et les indicateurs communs de qualité des données. L'eu-LISA fournit également à la Commission un rapport régulier sur les problèmes rencontrés et les États membres concernés. L'eu-LISA fournit également ce rapport au Parlement européen et au Conseil à leur demande. Aucun des rapports visés au présent paragraphe ne contient de données à caractère personnel.

4.   Les détails des mécanismes et procédures automatisés de contrôle de la qualité des données, des indicateurs communs de qualité des données et des normes de qualité minimales pour le stockage de données dans l'EES, le VIS, ETIAS, le SIS, le BMS partagé et le CIR, notamment en ce qui concerne les données biométriques, sont définis dans des actes d'exécution. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 74, paragraphe 2.

5.   Un an après la mise en place des mécanismes et procédures automatisés de contrôle de la qualité des données, des indicateurs communs de qualité des données et des normes minimales de qualité des données, puis tous les ans, la Commission évalue la mise en œuvre de la qualité des données par les États membres et formule les recommandations nécessaires en la matière. Les États membres fournissent à la Commission un plan d'action visant à remédier aux manquements constatés dans le rapport d'évaluation et, notamment, aux problèmes de qualité des données découlant de données erronées figurant dans les systèmes d'information de l'UE. Les États membres font régulièrement rapport à la Commission sur les progrès réalisés au regard de ce plan d'action jusqu'à ce que celui-ci soit entièrement mis en œuvre.

La Commission transmet le rapport d'évaluation au Parlement européen, au Conseil, au Contrôleur européen de la protection des données, au comité européen de la protection des données et à l'Agence des droits fondamentaux de l'Union européenne instituée par le règlement (CE) no 168/2007 du Conseil (39).

Article 38

Format universel pour les messages

1.   La norme de format universel pour les messages (UMF) est établie. L'UMF définit les normes applicables à certains éléments du contenu des échanges d'informations transfrontières entre les systèmes d'information, les autorités ou les organismes dans le domaine de la justice et des affaires intérieures.

2.   La norme UMF est utilisée pour le développement de l'EES, d'ETIAS, de l'ESP, du CIR, du MID et, au besoin, pour l'élaboration, par l'eu-LISA ou par toute autre agence de l'Union, de nouveaux modèles d'échange d'informations et systèmes d'information dans le domaine de la justice et des affaires intérieures.

3.   La Commission adopte un acte d'exécution pour définir et élaborer la norme UMF visée au paragraphe 1 du présent article. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 74, paragraphe 2.

Article 39

Répertoire central des rapports et statistiques

1.   Un répertoire central des rapports et statistiques (CRRS) est créé pour soutenir les objectifs de l'EES, du VIS, d'ETIAS et du SIS, conformément aux différents instruments juridiques régissant ces systèmes, et pour fournir des statistiques intersystèmes et des rapports analytiques à des fins stratégiques, opérationnelles et de qualité des données.

2.   L'eu-LISA établit, met en œuvre et héberge sur ses sites techniques le CRRS contenant les données et les statistiques visées à l'article 63 du règlement (UE) 2017/2226, à l'article 17 du règlement (CE) no 767/2008, à l'article 84 du règlement (UE) 2018/1240, à l'article 60 du règlement (UE) 2018/1861 et à l'article 16 du règlement (UE) 2018/1860, séparées logiquement par système d'information de l'UE. L'accès au CRRS est accordé, moyennant un accès contrôlé et sécurisé et des profils d'utilisateur spécifiques, aux seules fins de l'élaboration de rapports et de statistiques, aux autorités visées à l'article 63 du règlement (UE) 2017/2226, à l'article 17 du règlement (CE) no 767/2008, à l'article 84 du règlement (UE) 2018//1240 et à l'article 60 du règlement (UE) 2018/1861.

3.   L'eu-LISA anonymise les données et enregistre ces données anonymisées dans le CRRS. Le processus d'anonymisation des données est automatisé.

Les données contenues dans le CRRS ne permettent pas l'identification des personnes.

4.   Le CRRS se compose des éléments suivants:

| a) | les outils nécessaires à l'anonymisation des données; |
| --- | --- |

a)

les outils nécessaires à l'anonymisation des données;

| b) | une infrastructure centrale, comprenant un répertoire de données anonymes; |
| --- | --- |

b)

une infrastructure centrale, comprenant un répertoire de données anonymes;

| c) | une infrastructure de communication sécurisée pour connecter le CRRS à l'EES, au VIS, à ETIAS et au SIS, ainsi qu'aux infrastructures centrales du BMS partagé, du CIR et du MID. |
| --- | --- |

c)

une infrastructure de communication sécurisée pour connecter le CRRS à l'EES, au VIS, à ETIAS et au SIS, ainsi qu'aux infrastructures centrales du BMS partagé, du CIR et du MID.

5.   La Commission adopte un acte délégué conformément à l'article 73 fixant des règles détaillées concernant le fonctionnement du CRRS, notamment des garanties spécifiques pour le traitement des données à caractère personnel dans le cadre des paragraphes 2 et 3 du présent article, ainsi que des règles de sécurité applicables au répertoire.

CHAPITRE VII

Protection des données

Article 40

Responsable du traitement des données

1.   En ce qui concerne le traitement des données dans le BMS partagé, les autorités des États membres qui sont responsables du traitement pour l'EES, le VIS et le SIS, respectivement, sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 ou de l'article 3, point 8), de la directive (UE) 2016/680 en ce qui concerne les modèles biométriques obtenus à partir des données visées à l'article 13 du présent règlement qu'elles introduisent dans les systèmes sous-jacents et sont chargées du traitement des modèles biométriques dans le BMS partagé.

2.   En ce qui concerne le traitement des données dans le CIR, les autorités des États membres qui sont responsables du traitement pour l'EES, le VIS et ETIAS, respectivement, sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 en ce qui concerne les données visées à l'article 18 du présent règlement qu'elles introduisent dans les systèmes sous-jacents et sont chargées du traitement de ces données à caractère personnel dans le CIR.

3.   En ce qui concerne le traitement des données dans le MID:

| a) | l'Agence européenne de garde-frontières et de garde-côtes est le responsable du traitement au sens de l'article 3, point 8), du règlement (UE) 2018/1725 en ce qui concerne le traitement des données à caractère personnel par l'unité centrale ETIAS. |
| --- | --- |

a)

l'Agence européenne de garde-frontières et de garde-côtes est le responsable du traitement au sens de l'article 3, point 8), du règlement (UE) 2018/1725 en ce qui concerne le traitement des données à caractère personnel par l'unité centrale ETIAS.

| b) | les autorités des États membres qui ajoutent des données dans le dossier de confirmation d'identité ou en modifient les données sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 ou de l'article 3, point 8), de la directive (UE) 2016/680 et sont chargées du traitement des données à caractère personnel dans le MID. |
| --- | --- |

b)

les autorités des États membres qui ajoutent des données dans le dossier de confirmation d'identité ou en modifient les données sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 ou de l'article 3, point 8), de la directive (UE) 2016/680 et sont chargées du traitement des données à caractère personnel dans le MID.

4.   Aux fins du contrôle de la protection des données, y compris la vérification de l'admissibilité d'une requête et de la licéité du traitement des données, les responsables du traitement ont accès aux registres visés aux articles 10, 16, 24 et 36 en vue de l'autocontrôle visé à l'article 44.

Article 41

Sous-traitant

En ce qui concerne le traitement des données à caractère personnel dans le BMS partagé, le CIR et le MID, l'eu-LISA est le sous-traitant au sens de l'article 3, point 12) a), du règlement (UE) 2018/1725.

Article 42

Sécurité du traitement

1.   L'eu-LISA, l'unité centrale ETIAS, Europol et les autorités des États membres veillent à la sécurité des opérations de traitement de données à caractère personnel effectuées en vertu du présent règlement. L'eu-LISA, l'unité centrale ETIAS, Europol et les autorités des États membres coopèrent pour l'exécution des tâches liées à la sécurité.

2.   Sans préjudice de l'article 33 du règlement (UE) 2018/1725, l'eu-LISA prend les mesures nécessaires pour assurer la sécurité des éléments d'interopérabilité et de leurs infrastructures de communication qui y sont liées.

3.   En particulier, l'eu-LISA adopte les mesures nécessaires, y compris un plan de sécurité, un plan de continuité des activités et un plan de rétablissement après sinistre, afin:

| a) | d'assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques; |
| --- | --- |

a)

d'assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques;

| b) | d'interdire à toute personne non autorisée d'accéder aux équipements et aux installations utilisés pour le traitement de données; |
| --- | --- |

b)

d'interdire à toute personne non autorisée d'accéder aux équipements et aux installations utilisés pour le traitement de données;

| c) | d'empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données; |
| --- | --- |

c)

d'empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données;

| d) | d'empêcher l'introduction non autorisée de données et le contrôle, la modification ou l'effacement non autorisés de données à caractère personnel enregistrées; |
| --- | --- |

d)

d'empêcher l'introduction non autorisée de données et le contrôle, la modification ou l'effacement non autorisés de données à caractère personnel enregistrées;

| e) | d'empêcher le traitement non autorisé de données ainsi que toute copie, toute modification ou tout effacement non autorisés de données; |
| --- | --- |

e)

d'empêcher le traitement non autorisé de données ainsi que toute copie, toute modification ou tout effacement non autorisés de données;

| f) | d'empêcher l'utilisation de systèmes de traitement automatisé de données par des personnes non autorisées au moyen de matériel de transmission de données; |
| --- | --- |

f)

d'empêcher l'utilisation de systèmes de traitement automatisé de données par des personnes non autorisées au moyen de matériel de transmission de données;

| g) | de garantir que les personnes autorisées à avoir accès aux éléments d'interopérabilité n'ont accès qu'aux données couvertes par leur autorisation d'accès, uniquement grâce à l'attribution d'identifiants individuels et à des modes d'accès confidentiels; |
| --- | --- |

g)

de garantir que les personnes autorisées à avoir accès aux éléments d'interopérabilité n'ont accès qu'aux données couvertes par leur autorisation d'accès, uniquement grâce à l'attribution d'identifiants individuels et à des modes d'accès confidentiels;

| h) | de garantir la possibilité de vérifier et d'établir à quels organismes les données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données; |
| --- | --- |

h)

de garantir la possibilité de vérifier et d'établir à quels organismes les données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données;

| i) | de garantir la possibilité de vérifier et d'établir quelles données ont été traitées dans les éléments d'interopérabilité, à quel moment, par qui et dans quel but; |
| --- | --- |

i)

de garantir la possibilité de vérifier et d'établir quelles données ont été traitées dans les éléments d'interopérabilité, à quel moment, par qui et dans quel but;

| j) | d'empêcher toute lecture, copie, modification ou tout effacement non autorisés de données à caractère personnel pendant leur transmission à partir des éléments d'interopérabilité ou vers ceux-ci, ou durant le transport de supports de données, en particulier au moyen de techniques de cryptage adaptées; |
| --- | --- |

j)

d'empêcher toute lecture, copie, modification ou tout effacement non autorisés de données à caractère personnel pendant leur transmission à partir des éléments d'interopérabilité ou vers ceux-ci, ou durant le transport de supports de données, en particulier au moyen de techniques de cryptage adaptées;

| k) | de garantir le rétablissement des systèmes installés en cas d'interruption; |
| --- | --- |

k)

de garantir le rétablissement des systèmes installés en cas d'interruption;

| l) | de garantir la fiabilité en veillant à ce que toute erreur survenant dans le fonctionnement des éléments d'interopérabilité soit dûment signalée; |
| --- | --- |

l)

de garantir la fiabilité en veillant à ce que toute erreur survenant dans le fonctionnement des éléments d'interopérabilité soit dûment signalée;

| m) | de contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et de prendre les mesures organisationnelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement et d'évaluer ces mesures de sécurité à la lumière des nouvelles avancées technologiques. |
| --- | --- |

m)

de contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et de prendre les mesures organisationnelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement et d'évaluer ces mesures de sécurité à la lumière des nouvelles avancées technologiques.

4.   Les États membres, Europol et l'unité centrale ETIAS prennent des mesures équivalentes à celles visées au paragraphe 3 en ce qui concerne la sécurité du traitement des données à caractère personnel par les autorités ayant un droit d'accès à l'un des éléments d'interopérabilité.

Article 43

Incidents de sécurité

1.   Tout événement ayant ou pouvant avoir un impact sur la sécurité des éléments d'interopérabilité et susceptible de causer aux données qui y sont stockées des dommages ou des pertes est considéré comme un incident de sécurité, en particulier lorsque des données peuvent avoir été consultées sans autorisation ou que la disponibilité, l'intégrité et la confidentialité de données ont été ou peuvent avoir été compromises.

2.   Les incidents de sécurité sont gérés de telle sorte qu'une réponse rapide, efficace et idoine y soit apportée.

3.   Sans préjudice de la notification et de la communication de toute violation de données à caractère personnel en application de l'article 33 du règlement (UE) 2016/679, de l'article 30 de la directive (UE) 2016/680 ou de ces deux dispositions, les États membres notifient sans retard tout incident de sécurité à la Commission, à l'eu-LISA, aux autorités de contrôle compétentes et au Contrôleur européen de la protection des données.

Sans préjudice des articles 34 et 35 du règlement (UE) 2018/1725 et de l'article 34 du règlement (UE) 2016/794, l'unité centrale ETIAS et Europol notifient sans retard tout incident de sécurité à la Commission, à l'eu-LISA et au Contrôleur européen de la protection des données.

En cas d'incident de sécurité concernant l'infrastructure centrale des éléments d'interopérabilité, l'eu-LISA le notifie à la Commission et au Contrôleur européen de la protection des données sans retard.

4.   Les informations relatives à un incident de sécurité ayant ou pouvant avoir un impact sur le fonctionnement des éléments d'interopérabilité, ou sur la disponibilité, l'intégrité et la confidentialité des données, sont communiquées sans retard aux États membres, à l'unité centrale ETIAS et à Europol et consignées conformément au plan de gestion des incidents qui doit être élaboré par l'eu-LISA.

5.   Les États membres concernés, l'unité centrale ETIAS, Europol et l'eu-LISA coopèrent en cas d'incident de sécurité. La Commission établit les modalités de cette procédure de coopération au moyen d'actes d'exécution. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 74, paragraphe 2.

Article 44

Autocontrôle

Les États membres et les agences de l'Union concernées veillent à ce que chaque autorité habilitée à avoir accès aux éléments d'interopérabilité prenne les mesures nécessaires pour vérifier qu'elle respecte le présent règlement et coopère, au besoin, avec l'autorité de contrôle.

Les responsables du traitement visés à l'article 40 prennent les mesures nécessaires afin de contrôler la conformité des opérations de traitement des données au regard du présent règlement, notamment en vérifiant fréquemment les registres visés aux articles 10, 16, 24 et 36, et coopèrent, au besoin, avec les autorités de contrôle et avec le Contrôleur européen de la protection des données.

Article 45

Sanctions

Les États membres veillent à ce que toute utilisation abusive, tout traitement ou tout échange de données contraire au présent règlement soit sanctionné conformément à leur droit national. Les sanctions prévues sont effectives, proportionnées et dissuasives.

Article 46

Responsabilité

1.   Sans préjudice du droit à réparation de la part du responsable du traitement ou du sous-traitant et de la responsabilité de ceux-ci au titre du règlement (UE) 2016/679, de la directive (UE) 2016/680 et du règlement (UE) 2018/1725:

| a) | toute personne ou tout État membre ayant subi un dommage matériel ou moral du fait d'une opération illicite de traitement de données à caractère personnel ou de tout autre acte incompatible avec le présent règlement de la part d'un État membre a le droit d'obtenir réparation dudit État membre; |
| --- | --- |

a)

toute personne ou tout État membre ayant subi un dommage matériel ou moral du fait d'une opération illicite de traitement de données à caractère personnel ou de tout autre acte incompatible avec le présent règlement de la part d'un État membre a le droit d'obtenir réparation dudit État membre;

| b) | toute personne ou tout État membre ayant subi un dommage matériel ou moral du fait de tout acte d'Europol, de l'Agence européenne de garde-frontières et de garde-côtes ou de l'eu-LISA incompatible avec le présent règlement a le droit d'obtenir réparation de l'agence en question. |
| --- | --- |

b)

toute personne ou tout État membre ayant subi un dommage matériel ou moral du fait de tout acte d'Europol, de l'Agence européenne de garde-frontières et de garde-côtes ou de l'eu-LISA incompatible avec le présent règlement a le droit d'obtenir réparation de l'agence en question.

L'État membre concerné, Europol, l'Agence européenne de garde-frontières et de garde-côtes ou l'eu-LISA sont exonérés, totalement ou partiellement, de leur responsabilité en vertu du premier alinéa, s'ils prouvent que le fait générateur du dommage ne leur est pas imputable.

2.   Si le non-respect, par un État membre, des obligations qui lui incombent au titre du présent règlement cause un dommage aux éléments d'interopérabilité, cet État membre en est tenu pour responsable, sauf si, et dans la mesure où, l'eu-LISA ou un autre État membre lié par le présent règlement n'a pas pris de mesures raisonnables pour prévenir le dommage ou en atténuer les effets.

3.   Les actions en réparation intentées à l'encontre d'un État membre pour les dommages visés aux paragraphes 1 et 2 sont régies par le droit national de l'État membre défendeur. Les actions en réparation intentées contre le responsable du traitement ou l'eu-LISA pour les dommages visés aux paragraphes 1 et 2 s'entendent sous réserve des conditions prévues dans les traités.

Article 47

Droit à l'information

1.   L'autorité qui collecte les données à caractère personnel à stocker dans le BMS partagé, le CIR ou le MID fournit aux personnes dont les données sont collectées les informations requises en vertu des articles 13 et 14 du règlement (UE) 2016/679, des articles 12 et 13 de la directive (UE) 2016/680 et des articles 15 et 16 du règlement (UE) 2016/1725. L'autorité fournit les informations au moment de la collecte de ces données.

2.   Toutes les informations sont mises à disposition, en des termes clairs et simples, dans une version linguistique que la personne concernée comprend ou dont on peut raisonnablement supposer qu'elle la comprend. Cela comprend également la fourniture d'informations de manière appropriée en fonction de l'âge des personnes concernées mineures.

3.   Les personnes dont les données sont enregistrées dans l'EES, le VIS ou ETIAS sont informées du traitement de données à caractère personnel aux fins du présent règlement conformément au paragraphe 1 lorsque:

| a) | un dossier individuel est créé ou mis à jour dans l'EES conformément à l'article 14 du règlement (UE) 2017/2226; |
| --- | --- |

a)

un dossier individuel est créé ou mis à jour dans l'EES conformément à l'article 14 du règlement (UE) 2017/2226;

| b) | un dossier de demande est créé ou mis à jour dans le VIS conformément à l'article 8 du règlement (CE) no 767/2008; |
| --- | --- |

b)

un dossier de demande est créé ou mis à jour dans le VIS conformément à l'article 8 du règlement (CE) no 767/2008;

| c) | un dossier de demande est créé ou mis à jour dans ETIAS conformément à l'article 19 du règlement (UE) 2018/1240. |
| --- | --- |

c)

un dossier de demande est créé ou mis à jour dans ETIAS conformément à l'article 19 du règlement (UE) 2018/1240.

Article 48

Droit d'accès aux données à caractère personnel stockées dans le MID et droits de rectification, d'effacement et de limitation du traitement de ces données

1.   Pour exercer ses droits au titre des articles 15 à 18 du règlement (UE) 2016/679, des articles 17 à 20 du règlement (UE) 2018/1725 et des articles 14, 15 et 16 de la directive (UE) 2016/680, toute personne a le droit de s'adresser à l'autorité compétente de tout État membre, qui examine la demande et y répond.

2.   L'État membre qui examine cette demande répond sans retard injustifié et, en tout état de cause, dans un délai de quarante-cinq jours à compter de la réception de celle-ci. Au besoin, ce délai peut être prolongé de 15 jours, compte tenu de la complexité et du nombre de demandes. L'État membre qui examine la demande informe la personne concernée de cette prolongation et des motifs du report dans un délai de quarante-cinq jours à compter de la réception de la demande. Les États membres peuvent décider que les réponses sont données par des services centraux.

3.   Si une demande de rectification ou d'effacement de données à caractère personnel est présentée à un État membre autre que l'État membre responsable de la vérification manuelle des différentes identités, l'État membre auquel la demande a été présentée prend contact avec les autorités de l'État membre responsable de la vérification manuelle des différentes identités dans un délai de sept jours. L'État membre responsable de la vérification manuelle des différentes identités vérifie l'exactitude des données et la licéité du traitement des données sans retard injustifié et, en tout état de cause, dans un délai de trente jours à compter de cette prise de contact. Au besoin, ce délai peut être prolongé de 15 jours, compte tenu de la complexité et du nombre de demandes. L'État membre responsable de la vérification manuelle des différentes identités informe l'État membre qui l'a contacté de toute prolongation et des motifs du report. La personne concernée est informée de la suite de la procédure par l'État membre qui a contacté l'autorité de l'État membre responsable de la vérification manuelle des différentes identités.

4.   Si une demande de rectification ou d'effacement de données à caractère personnel est présentée à un État membre dans lequel l'unité centrale ETIAS était responsable de la vérification manuelle des différentes identités, l'État membre auquel la demande a été présentée prend contact avec l'unité centrale ETIAS dans un délai de sept jours et demande son avis. L'unité centrale ETIAS donne son avis sans retard injustifié et, en tout état de cause, dans un délai de trente jours à compter de cette prise de contact. Au besoin, ce délai peut être prolongé de 15 jours, compte tenu de la complexité et du nombre de demandes. La personne concernée est informée de la suite de la procédure par l'État membre qui a contacté l'unité centrale ETIAS.

5.   Lorsque, à la suite d'un examen, il apparaît que les données stockées dans le MID sont erronées ou y ont été enregistrées de façon illicite, l'État membre responsable de la vérification manuelle des différentes identités ou, lorsqu'aucun État membre n'était responsable de la vérification manuelle des différentes identités ou que l'unité centrale ETIAS était responsable de la vérification manuelle des différentes identités, l'État membre auquel la demande a été présentée rectifie ou efface ces données sans retard injustifié. La personne concernée est informée par écrit de la rectification ou de l'effacement de ses données.

6.   Lorsque des données stockées dans le MID sont modifiées par un État membre au cours de leur période de conservation, cet État membre procède au traitement prévu à l'article 27 et, selon le cas, à l'article 29 afin de déterminer si les données modifiées doivent être liées. Lorsque le traitement ne génère aucune correspondance, cet État membre efface les données du dossier de confirmation d'identité. Lorsque le traitement automatisé génère une ou plusieurs correspondances, cet État membre crée ou met à jour le lien correspondant conformément aux dispositions pertinentes du présent règlement.

7.   Lorsque l'État membre responsable de la vérification manuelle des différentes identités ou, le cas échéant, l'État membre auquel la demande a été présentée n'estime pas que les données stockées dans le MID sont erronées ou y ont été enregistrées de façon illicite, il prend une décision de nature administrative indiquant par écrit et sans retard à la personne concernée les raisons pour lesquelles il n'est pas disposé à rectifier ou à effacer les données la concernant.

8.   La décision visée au paragraphe 7 fournit également à la personne concernée des précisions sur la possibilité de contester la décision prise au sujet de la demande d'accès aux données à caractère personnel, de rectification, d'effacement ou de limitation du traitement de ces données et, s'il y a lieu, des informations sur les modalités de recours ou de plainte devant les autorités ou les juridictions compétentes, ainsi que sur toute aide disponible, y compris de la part des autorités de contrôle.

9.   Toute demande d'accès aux données à caractère personnel, de rectification, d'effacement ou de limitation du traitement de ces données comporte les informations nécessaires à l'identification de la personne concernée. Ces informations sont utilisées exclusivement pour permettre l'exercice des droits visés au présent article et sont ensuite immédiatement effacées.

10.   L'État membre responsable de la vérification manuelle des différentes identités ou, le cas échéant, l'État membre auquel la demande a été présentée consigne, dans un document écrit, le fait qu'une demande d'accès à des données à caractère personnel, de rectification, d'effacement ou de limitation du traitement de telles données a été présentée et la manière dont cette demande a été traitée, et met sans retard ce document à la disposition des autorités de contrôle.

11.   Le présent article s'applique sans préjudice des limitations et restrictions aux droits énoncés dans le présent article prévues par le règlement (UE) 2016/679 et la directive (UE) 2016/680.

Article 49

Portail en ligne

1.   Un portail en ligne est créé pour faciliter l'exercice des droits d'accès aux données à caractère personnel, de rectification, d'effacement ou de limitation du traitement de telles données.

2.   Le portail en ligne comporte des informations sur les droits et les procédures visés aux articles 47 et 48 ainsi qu'une interface utilisateur permettant aux personnes dont les données sont traitées dans le MID et qui ont été informées de la présence d'un lien rouge conformément à l'article 32, paragraphe 4, de recevoir les coordonnées de l'autorité compétente de l'État membre responsable de la vérification manuelle des différentes identités.

3.   Pour obtenir les coordonnées de l'autorité compétente de l'État membre responsable de la vérification manuelle des différentes identités, la personne dont les données sont traitées dans le MID devrait indiquer la référence de l'autorité responsable de la vérification manuelle des différentes identités visée à l'article 34, point d). Le portail en ligne utilise cette référence pour extraire les coordonnées de l'autorité compétente de l'État membre responsable de la vérification manuelle des différentes identités. Le portail en ligne comporte également un modèle de courriel destiné à faciliter la communication entre l'utilisateur du portail et l'autorité compétente de l'État membre responsable de la vérification manuelle des différentes identités. Ce courriel comporte un champ destiné au numéro d'identification unique visé à l'article 34, point c), afin de permettre à l'autorité compétente de l'État membre responsable de la vérification manuelle des différentes identités d'identifier les données concernées.

4.   Les États membres communiquent à l'eu-LISA les coordonnées de toutes les autorités compétentes pour examiner toute demande visée aux articles 47 et 48 et pour y répondre et vérifient régulièrement que ces coordonnées sont à jour.

5.   L'eu-LISA développe le portail en ligne et en assure la gestion technique.

6.   La Commission adopte un acte délégué conformément à l'article 73 afin de fixer des règles détaillées sur le fonctionnement du portail en ligne, y compris l'interface utilisateur, les langues dans lesquelles le portail est disponible ainsi que le modèle de courriel.

Article 50

Communication de données à caractère personnel vers des pays tiers, à des organisations internationales et à des entités privées

Sans préjudice de l'article 65 du règlement (UE) 2018/1240, des articles 25 et 26 du règlement (UE) 2016/794, de l'article 41 du règlement (UE) 2017/2226, de l'article 31 du règlement (CE) no 767/2008 et de l'interrogation des bases de données d'Interpol via l'ESP conformément à l'article 9, paragraphe 5, du présent règlement, qui respectent les dispositions du chapitre V du règlement (UE) 2018/1725 et du chapitre V du règlement (UE) 2016/679, les données à caractère personnel stockées dans les éléments d'opérabilité, traitées ou accessibles par ces éléments, ne peuvent être transférées vers un pays tiers, à une organisation internationale ou à une entité privée, ni être mises à leur disposition.

o

Article 51

Contrôle par les autorités de contrôle

1.   Chaque État membre veille à ce que les autorités de contrôle contrôlent en toute indépendance la licéité du traitement des données à caractère personnel dans le cadre du présent règlement par l'État membre concerné, y compris de leur transmission à partir des éléments d'interopérabilité et vers ceux-ci.

2.   Chaque État membre veille à ce que les dispositions législatives, réglementaires et administratives nationales qu'il a adoptées en application de la directive (UE) 2016/680 s'appliquent aussi, s'il y a lieu, à l'accès aux éléments d'interopérabilité par les services de police et les autorités désignées, y compris pour ce qui est des droits des personnes aux données desquelles l'accès a ainsi été donné.

3.   Les autorités de contrôle veillent à ce que les autorités nationales responsables réalisent, tous les quatre ans au minimum, aux fins du présent règlement, un audit des opérations de traitement des données à caractère personnel, conformément aux normes internationales d'audit applicables.

Les autorités de contrôle publient chaque année le nombre de demandes visant à faire rectifier ou effacer des données à caractère personnel, ou à en faire limiter le traitement, les mesures prises par la suite et le nombre de rectifications et d'effacements auxquels il a été procédé et de limitations apportées au traitement, en réponse aux demandes des personnes concernées.

4.   Les États membres veillent à ce que leurs autorités de contrôle disposent de ressources et d'expertise suffisantes pour s'acquitter des tâches qui leur sont confiées en vertu du présent règlement.

5.   Les États membres communiquent toutes les informations demandées par une autorité de contrôle visée à l'article 51, paragraphe 1, du règlement (UE) 2016/679 et lui fournissent, en particulier, des informations relatives aux activités menées dans l'exercice de leurs fonctions au titre du présent règlement. Les États membres octroient aux autorités de contrôle visées à l'article 51, paragraphe 1, du règlement (UE) 2016/679 l'accès à leurs registres visés aux articles 10, 16, 24 et 36 du présent règlement, aux justifications visées à l'article 22, paragraphe 2, du présent règlement et leur permettent d'accéder, à tout moment, à l'ensemble de leurs locaux utilisés à des fins d'interopérabilité.

Article 52

Audits par le Contrôleur européen de la protection des données

Le Contrôleur européen de la protection des données veille à ce que soit réalisé, tous les quatre ans au minimum, un audit des opérations de traitement des données à caractère personnel effectuées aux fins du présent règlement par l'eu-LISA, l'unité centrale ETIAS et Europol, conformément aux normes internationales applicables en matière d'audit. Ce rapport d'audit est communiqué au Parlement européen, au Conseil, à l'eu-LISA, à la Commission, aux États membres et aux agences de l'Union concernées. L'eu-LISA, l'unité centrale ETIAS et Europol ont la possibilité de formuler des observations avant l'adoption des rapports.

L'eu-LISA et l'unité centrale ETIAS et Europol fournissent au Contrôleur européen de la protection des données les renseignements qu'il demande et lui octroient l'accès à tous les documents qu'il demande et à leurs registres visés aux articles 10, 16, 24 et 36, et lui permettent d'accéder, à tout moment, à l'ensemble de leurs locaux.

Article 53

Coopération entre les autorités de contrôle et le Contrôleur européen de la protection des données

1.   Les autorités de contrôle et le Contrôleur européen de la protection des données, agissant chacun dans les limites de leurs compétences respectives, coopèrent activement dans le cadre de leurs responsabilités respectives et assurent un contrôle coordonné de l'utilisation des éléments d'interopérabilité et de l'application d'autres dispositions du présent règlement, notamment si le Contrôleur européen de la protection des données ou une autorité de contrôle découvre des différences importantes entre les pratiques des États membres ou l'existence de transferts potentiellement illicites transitant par les canaux de communication des éléments d'interopérabilité.

2.   Dans les cas visés au paragraphe 1 du présent article, un contrôle coordonné est assuré conformément à l'article 62 du règlement (UE) 2018/1725.

3.   Le comité européen de la protection des données envoie un rapport d'activités conjoint au Parlement européen, au Conseil, à la Commission, à Europol, à l'Agence européenne de garde-frontières et de garde-côtes et à l'eu-LISA au plus tard le 12 juin 2021 puis tous les deux ans. Ce rapport comporte un chapitre sur chaque État membre, établi par l'autorité de contrôle de l'État membre concerné.

CHAPITRE VIII

Responsabilités

Article 54

Responsabilités de l'eu-LISA durant la phase de conception et de développement

1.   L'eu-LISA veille à ce que le fonctionnement des infrastructures centrales des éléments d'interopérabilité soit conforme au présent règlement.

2.   Les éléments d'interopérabilité sont hébergés par l'eu-LISA sur ses sites techniques et fournissent les fonctionnalités prévues dans le présent règlement conformément aux conditions de sécurité, de disponibilité, de qualité et de performance visées à l'article 55, paragraphe 1.

3.   L'eu-LISA est responsable du développement des éléments d'interopérabilité, de toutes les adaptations nécessaires pour établir l'interopérabilité entre les systèmes centraux de l'EES, du VIS, d'ETIAS, du SIS, d'Eurodac, de l'ECRIS-TCN ainsi que de l'ESP, du BMS partagé, du CIR, du MID et du CRRS.

Sans préjudice de l'article 66, l'eu-LISA n'a accès à aucune des données à caractère personnel traitées via l'ESP, le BMS partagé, le CIR ou le MID.

L'eu-LISA définit la conception de l'architecture matérielle des éléments d'interopérabilité, y compris leur infrastructure de communication, ainsi que les spécifications techniques et leur évolution en ce qui concerne l'infrastructure centrale et l'infrastructure de communication sécurisée, qui est adoptée par le conseil d'administration après avis favorable de la Commission. L'eu-LISA met également en œuvre tout aménagement éventuellement nécessaire de l'EES, du VIS, d'ETIAS ou du SIS, résultant de l'établissement de l'interopérabilité et prévu par le présent règlement.

L'eu-LISA développe et met en œuvre les éléments d'interopérabilité dès que possible après l'entrée en vigueur du présent règlement et l'adoption par la Commission des mesures prévues à l'article 8, paragraphe 2, à l'article 9, paragraphe 7, à l'article 28, paragraphes 5 et 7, à l'article 37, paragraphe 4, à l'article 38, paragraphe 3, à l'article 39, paragraphe 5, à l'article 43, paragraphe 5 et à l'article 78, paragraphe 10.

Le développement consiste en l'élaboration et la mise en œuvre des spécifications techniques, en la réalisation d'essais et en la gestion et la coordination générales du projet.

4.   Pendant la phase de conception et de développement, un conseil de gestion du programme, composé d'un maximum de 10 membres, est créé. Il est constitué de sept membres nommés par le conseil d'administration de l'eu-LISA parmi ses membres ou ses suppléants, du président du groupe consultatif sur l'interopérabilité visé à l'article 75, d'un membre représentant l'eu-LISA désigné par son directeur exécutif et d'un membre désigné par la Commission. Les membres nommés par le conseil d'administration de l'eu-LISA sont choisis uniquement parmi les États membres qui sont pleinement liés, en vertu du droit de l'Union, par les instruments juridiques régissant le développement, la création, le fonctionnement et l'utilisation de tous les systèmes d'information de l'UE et qui participeront aux éléments d'interopérabilité.

5.   Le conseil de gestion du programme se réunit régulièrement et au moins trois fois par trimestre. Il veille à la bonne gestion de la phase de conception et de développement des éléments d'interopérabilité.

Le conseil de gestion du programme soumet chaque mois au conseil d'administration de l'eu-LISA des rapports écrits sur l'état d'avancement du projet. Le conseil de gestion du programme n'a aucun pouvoir décisionnel ni aucun mandat lui permettant de représenter les membres du conseil d'administration de l'eu-LISA.

6.   Le conseil d'administration de l'eu-LISA définit le règlement intérieur du conseil de gestion du programme, qui comprend notamment des règles sur:

| a) | la présidence; |
| --- | --- |

a)

la présidence;

| b) | les lieux de réunion; |
| --- | --- |

b)

les lieux de réunion;

| c) | la préparation des réunions; |
| --- | --- |

c)

la préparation des réunions;

| d) | l'admission d'experts aux réunions; |
| --- | --- |

d)

l'admission d'experts aux réunions;

| e) | les plans de communication garantissant que les membres du conseil d'administration non participants soient pleinement informés. |
| --- | --- |

e)

les plans de communication garantissant que les membres du conseil d'administration non participants soient pleinement informés.

La présidence est exercée par un État membre qui est pleinement lié, en vertu du droit de l'Union, par les instruments juridiques régissant le développement, la création, le fonctionnement et l'utilisation de tous les systèmes d'information de l'UE et qui participera aux éléments d'interopérabilité.

Tous les frais de voyage et de séjour exposés par les membres du conseil de gestion du programme sont pris en charge par l'eu-LISA et l'article 10 du règlement intérieur de l'eu-LISA s'applique mutatis mutandis. Le secrétariat du conseil de gestion du programme est assuré par l'eu-LISA.

Le groupe consultatif sur l'interopérabilité visé à l'article 75 se réunit régulièrement jusqu'à la mise en service des éléments d'interopérabilité. Après chaque réunion, il rend compte au comité de gestion du programme. Il fournit l'expertise technique nécessaire à l'appui des tâches du conseil de gestion du programme et suit l'état de préparation des États membres.

Article 55

Responsabilités de l'eu-LISA après la mise en service

1.   Après la mise en service de chaque élément d'interopérabilité, l'eu-LISA est responsable de la gestion technique de l'infrastructure centrale des éléments d'interopérabilité, y compris leur maintenance et leurs évolutions technologiques. Elle veille, en coopération avec les États membres, à ce que la meilleure technologie disponible soit utilisée, sous réserve d'une analyse coûts-avantages. L'eu-LISA est également responsable de la gestion technique de l'infrastructure de communication visée aux articles 6, 12, 17, 25 et 39.

La gestion technique des éléments d'interopérabilité comprend toutes les tâches et solutions techniques nécessaires au fonctionnement des éléments d'interopérabilité et la fourniture continue de services aux États membres et aux agences de l'Union, 24 heures sur 24, 7 jours sur 7, conformément au présent règlement. Elle comprend, en particulier, les travaux de maintenance et les perfectionnements techniques indispensables pour que les éléments d'interopérabilité fonctionnent à un niveau satisfaisant de qualité technique, notamment quant au temps de réponse pour l'interrogation des infrastructures centrales, conformément aux spécifications techniques.

Tous les éléments d'interopérabilité sont élaborés et gérés de manière à assurer un accès rapide, continu, efficace et contrôlé aux éléments et données stockés dans le MID, le BMS partagé et le CIR ainsi que leur disponibilité totale et ininterrompue, et un temps de réponse adapté aux besoins opérationnels des autorités des États membres et des agences de l'Union.

2.   Sans préjudice de l'article 17 du statut des fonctionnaires de l'Union européenne, l'eu-LISA applique des règles appropriées en matière de secret professionnel ou impose des obligations de confidentialité équivalentes à tous les membres de son personnel appelés à travailler avec les données stockées dans les éléments d'interopérabilité. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après la cessation de leur activité.

Sans préjudice de l'article 66, l'eu-LISA n'a accès à aucune des données à caractère personnel traitées via l'ESP, le BMS partagé, le CIR et le MID.

3.   L'eu-LISA élabore et gère un mécanisme et des procédures de contrôle de la qualité des données stockées dans le BMS partagé et dans le CIR, conformément à l'article 37.

4.   L'eu-LISA s'acquitte aussi des tâches liées à l'offre d'une formation relative à l'utilisation technique des éléments d'interopérabilité.

Article 56

Responsabilités des États membres

1.   Chaque État membre est responsable:

| a) | de la connexion à l'infrastructure de communication de l'ESP et du CIR; |
| --- | --- |

a)

de la connexion à l'infrastructure de communication de l'ESP et du CIR;

| b) | de l'intégration des systèmes et infrastructures nationaux existants avec l'ESP, le CIR et le MID; |
| --- | --- |

b)

de l'intégration des systèmes et infrastructures nationaux existants avec l'ESP, le CIR et le MID;

| c) | de l'organisation, de la gestion, du fonctionnement et de la maintenance de son infrastructure nationale existante et de sa connexion aux éléments d'interopérabilité; |
| --- | --- |

c)

de l'organisation, de la gestion, du fonctionnement et de la maintenance de son infrastructure nationale existante et de sa connexion aux éléments d'interopérabilité;

| d) | de la gestion et des modalités de l'accès à l'ESP, au CIR et au MID du personnel dûment autorisé des autorités nationales compétentes, conformément au présent règlement, ainsi que de l'établissement d'une liste de ce personnel et de ses qualifications et de la mise à jour régulière de cette liste; |
| --- | --- |

d)

de la gestion et des modalités de l'accès à l'ESP, au CIR et au MID du personnel dûment autorisé des autorités nationales compétentes, conformément au présent règlement, ainsi que de l'établissement d'une liste de ce personnel et de ses qualifications et de la mise à jour régulière de cette liste;

| e) | de l'adoption des mesures législatives visées à l'article 20, paragraphes 5 et 6, afin d'octroyer l'accès au CIR à des fins d'identification; |
| --- | --- |

e)

de l'adoption des mesures législatives visées à l'article 20, paragraphes 5 et 6, afin d'octroyer l'accès au CIR à des fins d'identification;

| f) | de la vérification manuelle des différentes identités, visée à l'article 29; |
| --- | --- |

f)

de la vérification manuelle des différentes identités, visée à l'article 29;

| g) | du respect des exigences en matière de qualité des données établies au titre du droit de l'Union; |
| --- | --- |

g)

du respect des exigences en matière de qualité des données établies au titre du droit de l'Union;

| h) | du respect des règles applicables à chaque système d'information de l'UE en ce qui concerne la sécurité et l'intégrité des données à caractère personnel; |
| --- | --- |

h)

du respect des règles applicables à chaque système d'information de l'UE en ce qui concerne la sécurité et l'intégrité des données à caractère personnel;

| i) | de la correction des manquements constatés dans le rapport d'évaluation de la Commission concernant la qualité des données visé à l'article 37, paragraphe 5. |
| --- | --- |

i)

de la correction des manquements constatés dans le rapport d'évaluation de la Commission concernant la qualité des données visé à l'article 37, paragraphe 5.

2.   Chaque État membre connecte au CIR ses autorités désignées.

Article 57

Responsabilités de l'unité centrale ETIAS

L'unité centrale ETIAS est responsable:

| a) | de la vérification manuelle des différentes identités conformément à l'article 29; |
| --- | --- |

a)

de la vérification manuelle des différentes identités conformément à l'article 29;

| b) | de la détection d'identités multiples entre les données stockées dans l'EES, le VIS, Eurodac et le SIS, visée à l'article 69. |
| --- | --- |

b)

de la détection d'identités multiples entre les données stockées dans l'EES, le VIS, Eurodac et le SIS, visée à l'article 69.

CHAPITRE IX

Modifications d'autres instruments de l'Union

Article 58

Modifications du règlement (CE) no 767/2008

Le règlement (CE) no 767/2008 est modifié comme suit:

o

| 1) | À l'article 1er, l'alinéa suivant est ajouté:
  «En stockant des données d'identité, des données du document de voyage et des données biométriques dans le répertoire commun de données d'identité (CIR) établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817 du Parlement européen et du Conseil (*1), le VIS contribue à faciliter l'identification correcte des personnes enregistrées dans le VIS et à aider à cette identification aux conditions et pour les finalités prévues à l'article 20 dudit règlement.

  (*1)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27).»." |
| --- | --- |

1)

À l'article 1er, l'alinéa suivant est ajouté:

er

«En stockant des données d'identité, des données du document de voyage et des données biométriques dans le répertoire commun de données d'identité (CIR) établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817 du Parlement européen et du Conseil (*1), le VIS contribue à faciliter l'identification correcte des personnes enregistrées dans le VIS et à aider à cette identification aux conditions et pour les finalités prévues à l'article 20 dudit règlement.

*1

(*1)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27).»."

*1

o

| 2) | À l'article 4, les points suivants sont ajoutés:
  «12)   “données du VIS”: l'ensemble des données stockées dans le système central du VIS et dans le CIR conformément aux articles 9 à 14;
  13)   “données d'identité”: les données visées à l'article 9, points 4) a) et a bis);
  14)   “données dactyloscopiques”: les données relatives aux cinq empreintes digitales de l'index, du majeur, de l'annulaire, de l'auriculaire et du pouce de la main droite et, si cela est physiquement possible, de la main gauche;». |
| --- | --- |

2)

À l'article 4, les points suivants sont ajoutés:

«12)   “données du VIS”: l'ensemble des données stockées dans le système central du VIS et dans le CIR conformément aux articles 9 à 14;

“données du VIS”

13)   “données d'identité”: les données visées à l'article 9, points 4) a) et a bis);

“données d'identité”

bis

14)   “données dactyloscopiques”: les données relatives aux cinq empreintes digitales de l'index, du majeur, de l'annulaire, de l'auriculaire et du pouce de la main droite et, si cela est physiquement possible, de la main gauche;».

“données dactyloscopiques”

| 3) | À l'article 5, le paragraphe suivant est inséré:

  «1 bis.   Le CIR contient les données visées à l'article 9, point 4) a) à c), et à l'article 9, points 5) et 6). Les autres données du VIS sont stockées dans le système central du VIS.». |
| --- | --- |

3)

À l'article 5, le paragraphe suivant est inséré:

«1 bis.   Le CIR contient les données visées à l'article 9, point 4) a) à c), et à l'article 9, points 5) et 6). Les autres données du VIS sont stockées dans le système central du VIS.».

| 4) | À l'article 6, le paragraphe 2 est remplacé par le texte suivant:

  «2.   L'accès au VIS aux fins de la consultation des données est exclusivement réservé au personnel dûment autorisé des autorités nationales de chaque État membre qui sont compétentes pour les finalités fixées aux articles 15 à 22, et au personnel dûment autorisé des autorités nationales de chaque État membre et des agences de l'Union qui sont compétentes pour les finalités fixées aux articles 20 et 21 du règlement (UE) 2019/817. Cet accès est limité en fonction de la mesure dans laquelle les données sont nécessaires à l'exécution de leurs tâches, à ces fins, et est proportionné aux objectifs poursuivis.». |
| --- | --- |

4)

À l'article 6, le paragraphe 2 est remplacé par le texte suivant:

«2.   L'accès au VIS aux fins de la consultation des données est exclusivement réservé au personnel dûment autorisé des autorités nationales de chaque État membre qui sont compétentes pour les finalités fixées aux articles 15 à 22, et au personnel dûment autorisé des autorités nationales de chaque État membre et des agences de l'Union qui sont compétentes pour les finalités fixées aux articles 20 et 21 du règlement (UE) 2019/817. Cet accès est limité en fonction de la mesure dans laquelle les données sont nécessaires à l'exécution de leurs tâches, à ces fins, et est proportionné aux objectifs poursuivis.».

| 5) | À l'article 9, le point 4 a) à c), est modifié comme suit:






  «a) | nom (nom de famille); prénom(s) (surnoms); date de naissance; sexe; |
| --- | --- | --- |

5)

À l'article 9, le point 4 a) à c), est modifié comme suit:

«a)

nom (nom de famille); prénom(s) (surnoms); date de naissance; sexe;

| a bis) | nom à la naissance (nom(s) de famille antérieur(s)); lieu et pays de naissance; nationalité actuelle et nationalité à la naissance; |
| --- | --- |

a bis)

bis

nom à la naissance (nom(s) de famille antérieur(s)); lieu et pays de naissance; nationalité actuelle et nationalité à la naissance;

| b) | type et numéro du ou des documents de voyage et code à trois lettres du pays de délivrance du ou des documents de voyage; |
| --- | --- |

b)

type et numéro du ou des documents de voyage et code à trois lettres du pays de délivrance du ou des documents de voyage;

| c) | date d'expiration de la validité du ou des documents de voyage; |
| --- | --- |

c)

date d'expiration de la validité du ou des documents de voyage;

| c bis) | autorité qui a délivré le document de voyage et date de délivrance;». |
| --- | --- |

c bis)

bis

autorité qui a délivré le document de voyage et date de délivrance;».

Article 59

Modification du règlement (UE) 2016/399

À l'article 8, le paragraphe suivant est inséré:

«4 bis.   Lorsque, à l'entrée ou à la sortie, la consultation des bases de données pertinentes, y compris le détecteur d'identités multiples via le portail de recherche européen établi par l'article 25, paragraphe 1, et l'article 6, paragraphe 1, du règlement (UE) 2019/817 du Parlement européen et du Conseil (*2) génère un lien jaune ou révèle un lien rouge, respectivement, le garde-frontières consulte le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, dudit règlement ou le SIS, ou les deux, afin d'évaluer les différences entre les données liées relatives à l'identité ou les données liées du document de voyage. Le garde-frontières procède à toute vérification supplémentaire nécessaire pour prendre une décision quant au statut et à la couleur du lien.

Conformément à l'article 69, paragraphe 1, du règlement (UE) 2019/817 le présent paragraphe s'applique à partir de la mise en service du détecteur d'identités multiples au titre de l'article 72, paragraphe 4, dudit règlement.

Article 60

Modifications du règlement (UE) 2017/2226

Le règlement (UE) 2017/2226 est modifié comme suit:

| 1) | À l'article 1er, le paragraphe suivant est ajouté:

  «3.   En stockant des données d'identité, des données du document de voyage et des données biométriques dans le répertoire commun de données d'identité (CIR) établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817 du Parlement européen et du Conseil (*3), l'EES contribue à faciliter l'identification correcte des personnes enregistrées dans l'EES et à aider à cette identification aux conditions et pour les finalités prévues à l'article 20 dudit règlement.


  (*3)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27).»." |
| --- | --- |

1)

À l'article 1er, le paragraphe suivant est ajouté:

er

«3.   En stockant des données d'identité, des données du document de voyage et des données biométriques dans le répertoire commun de données d'identité (CIR) établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817 du Parlement européen et du Conseil (*3), l'EES contribue à faciliter l'identification correcte des personnes enregistrées dans l'EES et à aider à cette identification aux conditions et pour les finalités prévues à l'article 20 dudit règlement.

(*3)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27).»."

*3

o

| 2) | À l'article 3, le paragraphe 1 est modifié comme suit:






  a) | le point 22) est remplacé par le texte suivant:
  «22)   “données de l'EES”: l'ensemble des données stockées dans le système central de l'EES et dans le CIR conformément aux articles 15 à 20;»; |
| --- | --- | --- |

2)

À l'article 3, le paragraphe 1 est modifié comme suit:

a)

le point 22) est remplacé par le texte suivant:

«22)   “données de l'EES”: l'ensemble des données stockées dans le système central de l'EES et dans le CIR conformément aux articles 15 à 20;»;

“données de l'EES”

| b) | le point suivant est inséré:
  «22 bis)   “données d'identité”: les données visées à l'article 16, paragraphe 1, point a), ainsi que les données pertinentes visées à l'article 17, paragraphe 1, et à l'article 18, paragraphe 1;»; |
| --- | --- |

b)

le point suivant est inséré:

«22 bis)   “données d'identité”: les données visées à l'article 16, paragraphe 1, point a), ainsi que les données pertinentes visées à l'article 17, paragraphe 1, et à l'article 18, paragraphe 1;»;

bis

“données d'identité”

| c) | les points suivants sont ajoutés:
  «32)   “ESP”: le portail européen de recherche créé par l'article 6, paragraphe 1, du règlement (UE) 2019/817;
  33)   “CIR”: le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817.». |
| --- | --- |

c)

les points suivants sont ajoutés:

«32)   “ESP”: le portail européen de recherche créé par l'article 6, paragraphe 1, du règlement (UE) 2019/817;

“ESP”

33)   “CIR”: le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817.».

“CIR”

| 3) | À l'article 6, paragraphe 1, le point suivant est ajouté:






  «j) | assurer l'identification correcte des personnes;». |
| --- | --- | --- |

3)

À l'article 6, paragraphe 1, le point suivant est ajouté:

«j)

assurer l'identification correcte des personnes;».

| 4) | L'article 7 est modifié comme suit:






  a) | le paragraphe 1 est modifié comme suit:






  i) | le point suivant est inséré:






  «a bis) | l'infrastructure centrale du CIR visée à l'article 17, paragraphe 2, point a), du règlement (UE) 2019/817;»; |
| --- | --- | --- | --- | --- |

4)

L'article 7 est modifié comme suit:

a)

le paragraphe 1 est modifié comme suit:

i)

le point suivant est inséré:

«a bis)

bis

l'infrastructure centrale du CIR visée à l'article 17, paragraphe 2, point a), du règlement (UE) 2019/817;»;

| ii) | le point f) est remplacé par le texte suivant:






  «f) | une infrastructure de communication sécurisée entre le système central de l'EES et les infrastructures centrales de l'ESP et du CIR.»; |
| --- | --- | --- |

ii)

le point f) est remplacé par le texte suivant:

«f)

une infrastructure de communication sécurisée entre le système central de l'EES et les infrastructures centrales de l'ESP et du CIR.»;

| b) | le paragraphe suivant est inséré:

  «1 bis.   Le CIR contient les données visées à l'article 16, paragraphe 1, points a) à d), à l'article 17, paragraphe 1, points a), b) et c), et à l'article 18, paragraphes 1 et 2. Les autres données de l'EES sont stockées dans le système central de l'EES.». |
| --- | --- |

b)

le paragraphe suivant est inséré:

«1 bis.   Le CIR contient les données visées à l'article 16, paragraphe 1, points a) à d), à l'article 17, paragraphe 1, points a), b) et c), et à l'article 18, paragraphes 1 et 2. Les autres données de l'EES sont stockées dans le système central de l'EES.».

| 5) | À l'article 9, le paragraphe suivant est ajouté:

  «4.   L'accès aux données de l'EES stockées dans le CIR est exclusivement réservé au personnel dûment autorisé des autorités nationales de chaque État membre et au personnel dûment autorisé des agences de l'Union qui sont compétentes pour les finalités prévues aux articles 20 et 21 du règlement (UE) 2019/817. Cet accès est limité en fonction de la mesure dans laquelle les données sont nécessaires à l'exécution de leurs tâches à ces fins, et est proportionné aux objectifs poursuivis.». |
| --- | --- |

5)

À l'article 9, le paragraphe suivant est ajouté:

«4.   L'accès aux données de l'EES stockées dans le CIR est exclusivement réservé au personnel dûment autorisé des autorités nationales de chaque État membre et au personnel dûment autorisé des agences de l'Union qui sont compétentes pour les finalités prévues aux articles 20 et 21 du règlement (UE) 2019/817. Cet accès est limité en fonction de la mesure dans laquelle les données sont nécessaires à l'exécution de leurs tâches à ces fins, et est proportionné aux objectifs poursuivis.».

| 6) | L'article 21 est modifié comme suit:






  a) | le paragraphe 1 est remplacé par le texte suivant:

  «1.   Lorsqu'il est techniquement impossible d'introduire les données dans le système central de l'EES ou dans le CIR ou en cas de dysfonctionnement dudit système ou du CIR, les données visées aux articles 16 à 20 sont temporairement stockées dans l'IUN. Lorsque cela n'est pas possible, les données sont stockées localement, à titre temporaire, sous une forme électronique. Dans les deux cas, les données sont introduites dans le système central de l'EES ou dans le CIR dès qu'il a été remédié à l'impossibilité technique ou au dysfonctionnement. Les États membres prennent les mesures appropriées et mettent en place l'infrastructure, l'équipement et les ressources nécessaires pour garantir qu'un tel stockage local temporaire peut être réalisé à tout moment et pour chacun de leurs points de passage frontaliers.»; |
| --- | --- | --- |

6)

L'article 21 est modifié comme suit:

a)

le paragraphe 1 est remplacé par le texte suivant:

«1.   Lorsqu'il est techniquement impossible d'introduire les données dans le système central de l'EES ou dans le CIR ou en cas de dysfonctionnement dudit système ou du CIR, les données visées aux articles 16 à 20 sont temporairement stockées dans l'IUN. Lorsque cela n'est pas possible, les données sont stockées localement, à titre temporaire, sous une forme électronique. Dans les deux cas, les données sont introduites dans le système central de l'EES ou dans le CIR dès qu'il a été remédié à l'impossibilité technique ou au dysfonctionnement. Les États membres prennent les mesures appropriées et mettent en place l'infrastructure, l'équipement et les ressources nécessaires pour garantir qu'un tel stockage local temporaire peut être réalisé à tout moment et pour chacun de leurs points de passage frontaliers.»;

| b) | au paragraphe 2, le premier alinéa est remplacé par le texte suivant:

  «2.   Sans préjudice de l'obligation d'effectuer les vérifications aux frontières prévues au règlement (UE) 2016/399, l'autorité frontalière, dans le cas exceptionnel où il est techniquement impossible d'introduire les données soit à la fois dans le système central de l'EES et dans le CIR, soit dans l'IUN, et où il est techniquement impossible de stocker les données localement, à titre temporaire, sous une forme électronique, stocke manuellement les données visées aux articles 16 à 20 du présent règlement, à l'exception des données biométriques, et appose un cachet d'entrée ou de sortie sur le document de voyage du ressortissant de pays tiers. Ces données sont introduites dans le système central de l'EES et dans le CIR dès que cela est techniquement possible.». |
| --- | --- |

b)

au paragraphe 2, le premier alinéa est remplacé par le texte suivant:

«2.   Sans préjudice de l'obligation d'effectuer les vérifications aux frontières prévues au règlement (UE) 2016/399, l'autorité frontalière, dans le cas exceptionnel où il est techniquement impossible d'introduire les données soit à la fois dans le système central de l'EES et dans le CIR, soit dans l'IUN, et où il est techniquement impossible de stocker les données localement, à titre temporaire, sous une forme électronique, stocke manuellement les données visées aux articles 16 à 20 du présent règlement, à l'exception des données biométriques, et appose un cachet d'entrée ou de sortie sur le document de voyage du ressortissant de pays tiers. Ces données sont introduites dans le système central de l'EES et dans le CIR dès que cela est techniquement possible.».

| 7) | L'article 23 est modifié comme suit:






  a) | le paragraphe suivant est inséré:

  «2 bis.   Aux fins des vérifications à effectuer conformément au paragraphe 1 du présent article, l'autorité frontalière lance une requête en utilisant l'ESP pour comparer les données concernant le ressortissant de pays tiers avec les données pertinentes dans l'EES et dans le VIS.»; |
| --- | --- | --- |

7)

L'article 23 est modifié comme suit:

a)

le paragraphe suivant est inséré:

«2 bis.   Aux fins des vérifications à effectuer conformément au paragraphe 1 du présent article, l'autorité frontalière lance une requête en utilisant l'ESP pour comparer les données concernant le ressortissant de pays tiers avec les données pertinentes dans l'EES et dans le VIS.»;

| b) | au paragraphe 4, le premier alinéa est remplacé par le texte suivant:

  «4.   Si la recherche effectuée à l'aide des données alphanumériques visées au paragraphe 2 du présent article montre que l'EES ne contient pas de données concernant le ressortissant de pays tiers, lorsqu'une vérification portant sur celui-ci, conformément au paragraphe 2 du présent article, ne donne pas de résultat ou en cas de doute quant à l'identité du ressortissant de pays tiers, les autorités frontalières ont accès aux données aux fins d'identification conformément à l'article 27 afin de créer ou de mettre à jour un dossier individuel conformément à l'article 14.». |
| --- | --- |

b)

au paragraphe 4, le premier alinéa est remplacé par le texte suivant:

«4.   Si la recherche effectuée à l'aide des données alphanumériques visées au paragraphe 2 du présent article montre que l'EES ne contient pas de données concernant le ressortissant de pays tiers, lorsqu'une vérification portant sur celui-ci, conformément au paragraphe 2 du présent article, ne donne pas de résultat ou en cas de doute quant à l'identité du ressortissant de pays tiers, les autorités frontalières ont accès aux données aux fins d'identification conformément à l'article 27 afin de créer ou de mettre à jour un dossier individuel conformément à l'article 14.».

| 8) | À l'article 32, le paragraphe suivant est inséré:

  «1 bis.   Dans les cas où les autorités désignées ont interrogé le CIR conformément à l'article 22 du règlement (UE) 2019/817, elles peuvent accéder en consultation à l'EES, lorsque les conditions établies au présent article sont remplies et lorsque la réponse reçue conformément à l'article 22, paragraphe 2, du règlement (UE) 2019/817 révèle que des données sont stockées dans l'EES.». |
| --- | --- |

8)

À l'article 32, le paragraphe suivant est inséré:

«1 bis.   Dans les cas où les autorités désignées ont interrogé le CIR conformément à l'article 22 du règlement (UE) 2019/817, elles peuvent accéder en consultation à l'EES, lorsque les conditions établies au présent article sont remplies et lorsque la réponse reçue conformément à l'article 22, paragraphe 2, du règlement (UE) 2019/817 révèle que des données sont stockées dans l'EES.».

| 9) | À l'article 33, le paragraphe suivant est inséré:

  «1 bis.   Dans les cas où Europol a interrogé le CIR conformément à l'article 22 du règlement (UE) 2019/817, elle peut accéder en consultation à l'EES, lorsque les conditions établies au présent article sont remplies et lorsque la réponse reçue conformément à l'article 22,paragraphe 2, du règlement (UE) 2019/817 révèle que des données sont stockées dans l'EES.». |
| --- | --- |

9)

À l'article 33, le paragraphe suivant est inséré:

«1 bis.   Dans les cas où Europol a interrogé le CIR conformément à l'article 22 du règlement (UE) 2019/817, elle peut accéder en consultation à l'EES, lorsque les conditions établies au présent article sont remplies et lorsque la réponse reçue conformément à l'article 22,paragraphe 2, du règlement (UE) 2019/817 révèle que des données sont stockées dans l'EES.».

| 10) | L'article 34 est modifié comme suit:






  a) | aux paragraphes 1 et 2, les termes «dans le système central de l'EES» sont remplacés par les termes «dans le CIR et dans le système central de l'EES»; |
| --- | --- | --- |

10)

L'article 34 est modifié comme suit:

a)

aux paragraphes 1 et 2, les termes «dans le système central de l'EES» sont remplacés par les termes «dans le CIR et dans le système central de l'EES»;

| b) | au paragraphe 5, les termes «du système central de l'EES» sont remplacés par les termes «du système central de l'EES et du CIR». |
| --- | --- |

b)

au paragraphe 5, les termes «du système central de l'EES» sont remplacés par les termes «du système central de l'EES et du CIR».

| 11) | À l'article 35, le paragraphe 7 est remplacé par le texte suivant:

  «7.   Le système central de l'EES et le CIR informent immédiatement tous les États membres de l'effacement des données de l'EES ou du CIR et, le cas échéant, les suppriment de la liste des personnes identifiées visée à l'article 12, paragraphe 3.». |
| --- | --- |

11)

À l'article 35, le paragraphe 7 est remplacé par le texte suivant:

«7.   Le système central de l'EES et le CIR informent immédiatement tous les États membres de l'effacement des données de l'EES ou du CIR et, le cas échéant, les suppriment de la liste des personnes identifiées visée à l'article 12, paragraphe 3.».

| 12) | À l'article 36, les termes «du système central de l'EES» sont remplacés par les termes «du système central de l'EES et du CIR». |
| --- | --- |

12)

À l'article 36, les termes «du système central de l'EES» sont remplacés par les termes «du système central de l'EES et du CIR».

| 13) | L'article 37 est modifié comme suit:






  a) | le premier alinéa du paragraphe 1 est remplacé par le texte suivant:

  «1.   L'eu-LISA est responsable du développement du système central de l'EES et du CIR, des IUN, de l'infrastructure de communication et du canal de communication sécurisé entre le système central de l'EES et le système central du VIS. L'eu-LISA est également responsable du développement du service internet visé à l'article 13 conformément aux règles détaillées visées à l'article 13, paragraphe 7, et aux spécifications et conditions adoptées en vertu de l'article 36, premier alinéa, point h) et du développement du répertoire des données visé à l'article 63, paragraphe 2.»; |
| --- | --- | --- |

13)

L'article 37 est modifié comme suit:

a)

le premier alinéa du paragraphe 1 est remplacé par le texte suivant:

«1.   L'eu-LISA est responsable du développement du système central de l'EES et du CIR, des IUN, de l'infrastructure de communication et du canal de communication sécurisé entre le système central de l'EES et le système central du VIS. L'eu-LISA est également responsable du développement du service internet visé à l'article 13 conformément aux règles détaillées visées à l'article 13, paragraphe 7, et aux spécifications et conditions adoptées en vertu de l'article 36, premier alinéa, point h) et du développement du répertoire des données visé à l'article 63, paragraphe 2.»;

| b) | le premier alinéa du paragraphe 3 est remplacé par le texte suivant:

  «3.   L'eu-LISA est responsable de la gestion opérationnelle du système central de l'EES et du CIR, des IUN et du canal de communication sécurisé entre le système central de l'EES et le système central du VIS. Elle veille, en coopération avec les États membres, à ce que la meilleure technologie disponible, sous réserve d'une analyse coûts/avantages, soit utilisée en permanence pour le système central de l'EES et le CIR, les IUN, l'infrastructure de communication, le canal de communication sécurisé entre le système central de l'EES et le système central du VIS, le service internet visé à l'article 13 et le répertoire des données visé à l'article 63, paragraphe 2. L'eu-LISA est également responsable de la gestion opérationnelle de l'infrastructure de communication entre le système central de l'EES et les IUN, du service internet visé à l'article 13 et du répertoire des données visé à l'article 63, paragraphe 2.». |
| --- | --- |

b)

le premier alinéa du paragraphe 3 est remplacé par le texte suivant:

«3.   L'eu-LISA est responsable de la gestion opérationnelle du système central de l'EES et du CIR, des IUN et du canal de communication sécurisé entre le système central de l'EES et le système central du VIS. Elle veille, en coopération avec les États membres, à ce que la meilleure technologie disponible, sous réserve d'une analyse coûts/avantages, soit utilisée en permanence pour le système central de l'EES et le CIR, les IUN, l'infrastructure de communication, le canal de communication sécurisé entre le système central de l'EES et le système central du VIS, le service internet visé à l'article 13 et le répertoire des données visé à l'article 63, paragraphe 2. L'eu-LISA est également responsable de la gestion opérationnelle de l'infrastructure de communication entre le système central de l'EES et les IUN, du service internet visé à l'article 13 et du répertoire des données visé à l'article 63, paragraphe 2.».

| 14) | À l'article 46, paragraphe 1, le point suivant est ajouté:






  «f) | une référence à l'utilisation de l'ESP pour interroger l'EES conformément à l'article 7, paragraphe 2, du règlement (UE) 2019/817.». |
| --- | --- | --- |

14)

À l'article 46, paragraphe 1, le point suivant est ajouté:

«f)

une référence à l'utilisation de l'ESP pour interroger l'EES conformément à l'article 7, paragraphe 2, du règlement (UE) 2019/817.».

| 15) | L'article 63 est modifié comme suit:






  a) | le paragraphe 2 est remplacé par le texte suivant:

  «2.   Aux fins du paragraphe 1 du présent article, l'eu-LISA stocke les données visées audit paragraphe dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/817.»; |
| --- | --- | --- |

15)

L'article 63 est modifié comme suit:

a)

le paragraphe 2 est remplacé par le texte suivant:

«2.   Aux fins du paragraphe 1 du présent article, l'eu-LISA stocke les données visées audit paragraphe dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/817.»;

| b) | au paragraphe 4, l'alinéa suivant est ajouté:
  «Les statistiques journalières sont stockées dans le répertoire central des rapports et statistiques.». |
| --- | --- |

b)

au paragraphe 4, l'alinéa suivant est ajouté:

«Les statistiques journalières sont stockées dans le répertoire central des rapports et statistiques.».

Article 61

Modifications du règlement (UE) 2018/1240

Le règlement (UE) 2018/1240 est modifié comme suit:

| 1) | À l'article 1er, le paragraphe suivant est ajouté:

  «3.   En stockant des données d'identité et des données du document de voyage dans le répertoire commun de données d'identité (CIR) établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817 du Parlement européen et du Conseil (*4), l'ETIAS contribue à faciliter l'identification correcte des personnes enregistrées dans ETIAS et à aider à cette identification aux conditions et pour les finalités prévues à l'article 20 dudit règlement.


  (*4)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27).»." |
| --- | --- |

1)

À l'article 1er, le paragraphe suivant est ajouté:

er

«3.   En stockant des données d'identité et des données du document de voyage dans le répertoire commun de données d'identité (CIR) établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817 du Parlement européen et du Conseil (*4), l'ETIAS contribue à faciliter l'identification correcte des personnes enregistrées dans ETIAS et à aider à cette identification aux conditions et pour les finalités prévues à l'article 20 dudit règlement.

(*4)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27).»."

*4

o

| 2) | À l'article 3, paragraphe 1, les points suivants sont ajoutés:
  «23)   “CIR”: le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817;
  24)   “ESP”: le portail de recherche européen créé par l'article 6, paragraphe 1, du règlement (UE) 2019/817;
  25)   “système central ETIAS”: le système central visé à l'article 6, paragraphe 2, point a), ainsi que le CIR dans la mesure où le CIR contient les données visées à l'article 6, paragraphe 2 bis;
  26)   “données d'identité”: les données visées à l'article 17, paragraphe 2, points a), b) et c);
  27)   “données du document de voyage”: les données visées à l'article 17, paragraphe 2, points d) et e), et le code à trois lettres du pays de délivrance du document de voyage visé à l'article 19, paragraphe 3, point c).». |
| --- | --- |

2)

À l'article 3, paragraphe 1, les points suivants sont ajoutés:

«23)   “CIR”: le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817;

“CIR”

24)   “ESP”: le portail de recherche européen créé par l'article 6, paragraphe 1, du règlement (UE) 2019/817;

“ESP”

25)   “système central ETIAS”: le système central visé à l'article 6, paragraphe 2, point a), ainsi que le CIR dans la mesure où le CIR contient les données visées à l'article 6, paragraphe 2 bis;

“système central ETIAS”

bis

26)   “données d'identité”: les données visées à l'article 17, paragraphe 2, points a), b) et c);

“données d'identité”

27)   “données du document de voyage”: les données visées à l'article 17, paragraphe 2, points d) et e), et le code à trois lettres du pays de délivrance du document de voyage visé à l'article 19, paragraphe 3, point c).».

“données du document de voyage”

| 3) | À l'article 4, le point suivant est ajouté:






  «g) | contribuer à l'identification correcte des personnes.». |
| --- | --- | --- |

3)

À l'article 4, le point suivant est ajouté:

«g)

contribuer à l'identification correcte des personnes.».

| 4) | L'article 6 est modifié comme suit:






  a) | le paragraphe 2 est modifié comme suit:






  i) | le point a) est remplacé par le texte suivant:






  «a) | un système central, y compris la liste de surveillance ETIAS visée à l'article 34;»; |
| --- | --- | --- | --- | --- |

4)

L'article 6 est modifié comme suit:

a)

le paragraphe 2 est modifié comme suit:

i)

le point a) est remplacé par le texte suivant:

«a)

un système central, y compris la liste de surveillance ETIAS visée à l'article 34;»;

| ii) | le point suivant est inséré:






  «a bis) | le CIR;»; |
| --- | --- | --- |

ii)

le point suivant est inséré:

«a bis)

bis

le CIR;»;

| iii) | le point d) est remplacé par le texte suivant:






  «d) | une infrastructure de communication sécurisée entre le système central et les infrastructures centrales de l'ESP et le CIR;»; |
| --- | --- | --- |

iii)

le point d) est remplacé par le texte suivant:

«d)

une infrastructure de communication sécurisée entre le système central et les infrastructures centrales de l'ESP et le CIR;»;

| b) | le paragraphe suivant est inséré:

  «2 bis.   Le CIR contient les données d'identité et les données du document de voyage. Les autres données sont stockées dans le système central.». |
| --- | --- |

b)

le paragraphe suivant est inséré:

«2 bis.   Le CIR contient les données d'identité et les données du document de voyage. Les autres données sont stockées dans le système central.».

| 5) | L'article 13 est modifié comme suit:






  a) | Le paragraphe suivant est inséré:

  «4 bis.   L'accès aux données d'identité et aux données du document de voyage d'ETIAS stockées dans le CIR est également exclusivement réservé au personnel dûment autorisé des autorités nationales de chaque État membre et au personnel dûment autorisé des agences de l'Union qui sont compétentes pour les finalités prévues aux articles 20 et 21 du règlement (UE) 2019/817. Cet accès est limité en fonction de la mesure dans laquelle les données sont nécessaires à l'exécution de leurs tâches pour ces finalités, et est proportionné aux objectifs poursuivis.»; |
| --- | --- | --- |

5)

L'article 13 est modifié comme suit:

a)

Le paragraphe suivant est inséré:

«4 bis.   L'accès aux données d'identité et aux données du document de voyage d'ETIAS stockées dans le CIR est également exclusivement réservé au personnel dûment autorisé des autorités nationales de chaque État membre et au personnel dûment autorisé des agences de l'Union qui sont compétentes pour les finalités prévues aux articles 20 et 21 du règlement (UE) 2019/817. Cet accès est limité en fonction de la mesure dans laquelle les données sont nécessaires à l'exécution de leurs tâches pour ces finalités, et est proportionné aux objectifs poursuivis.»;

| b) | le paragraphe 5 est remplacé par le texte suivant:

  «5.   Chaque État membre désigne les autorités nationales compétentes visées aux paragraphes 1, 2, 4 et 4 bis du présent article et communique sans retard la liste de ces autorités à l'eu-LISA, conformément à l'article 87, paragraphe 2. Cette liste précise à quelles fins le personnel dûment autorisé de chaque autorité a accès aux données figurant dans le système d'information ETIAS conformément aux paragraphes 1, 2, 4 et 4 bis du présent article.». |
| --- | --- |

b)

le paragraphe 5 est remplacé par le texte suivant:

«5.   Chaque État membre désigne les autorités nationales compétentes visées aux paragraphes 1, 2, 4 et 4 bis du présent article et communique sans retard la liste de ces autorités à l'eu-LISA, conformément à l'article 87, paragraphe 2. Cette liste précise à quelles fins le personnel dûment autorisé de chaque autorité a accès aux données figurant dans le système d'information ETIAS conformément aux paragraphes 1, 2, 4 et 4 bis du présent article.».

| 6) | À l'article 17, le paragraphe 2 est modifié comme suit:






  a) | le point a) est remplacé par le texte suivant:






  «a) | le nom (nom de famille), le ou les prénoms (le ou les surnoms), le nom à la naissance; la date de naissance, le lieu de naissance, le sexe, la nationalité actuelle;»; |
| --- | --- | --- | --- |

6)

À l'article 17, le paragraphe 2 est modifié comme suit:

a)

le point a) est remplacé par le texte suivant:

«a)

le nom (nom de famille), le ou les prénoms (le ou les surnoms), le nom à la naissance; la date de naissance, le lieu de naissance, le sexe, la nationalité actuelle;»;

| b) | le point suivant est inséré:






  «a bis) | le pays de naissance, le ou les prénom(s) des parents du demandeur;». |
| --- | --- | --- |

b)

le point suivant est inséré:

«a bis)

bis

le pays de naissance, le ou les prénom(s) des parents du demandeur;».

| 7) | À l'article 19, paragraphe 4, les termes «l'article 17, paragraphe 2, point a)» sont remplacés par les termes «l'article 17, paragraphe 2, points a) et a bis)». |
| --- | --- |

7)

À l'article 19, paragraphe 4, les termes «l'article 17, paragraphe 2, point a)» sont remplacés par les termes «l'article 17, paragraphe 2, points a) et a bis)».

bis

| 8) | L'article 20 est modifié comme suit:






  a) | au paragraphe 2, le premier alinéa est remplacé par le texte suivant:

  «2.   Le système central ETIAS lance une recherche en utilisant l'ESP pour comparer les données pertinentes visées à l'article 17, paragraphe 2, points a), a bis), b), c), d), f), g), j), k), et m), et à l'article 17, paragraphe 8, aux données figurant dans un relevé, un dossier ou un signalement enregistré dans un dossier de demande stocké dans le système central ETIAS, le SIS, l'EES, le VIS, Eurodac, les données d'Europol et dans les bases de données SLTD et TDAWN d'Interpol.»; |
| --- | --- | --- |

8)

L'article 20 est modifié comme suit:

a)

au paragraphe 2, le premier alinéa est remplacé par le texte suivant:

«2.   Le système central ETIAS lance une recherche en utilisant l'ESP pour comparer les données pertinentes visées à l'article 17, paragraphe 2, points a), a bis), b), c), d), f), g), j), k), et m), et à l'article 17, paragraphe 8, aux données figurant dans un relevé, un dossier ou un signalement enregistré dans un dossier de demande stocké dans le système central ETIAS, le SIS, l'EES, le VIS, Eurodac, les données d'Europol et dans les bases de données SLTD et TDAWN d'Interpol.»;

| b) | au paragraphe 4, les termes «l'article 17, paragraphe 2, points a), b), c), d), f), g), j), k), et m)» sont remplacés par les termes «l'article 17, paragraphe 2, points a), a bis), b), c), d), f), g), j), k),et m)»; |
| --- | --- |

b)

au paragraphe 4, les termes «l'article 17, paragraphe 2, points a), b), c), d), f), g), j), k), et m)» sont remplacés par les termes «l'article 17, paragraphe 2, points a), a bis), b), c), d), f), g), j), k),et m)»;

bis

| c) | au paragraphe 5, les termes «l'article 17, paragraphe 2, points a), c), f), h) et i)» sont remplacés par les termes «l'article 17, paragraphe 2, points a), a bis), c), f), h) et i)». |
| --- | --- |

c)

au paragraphe 5, les termes «l'article 17, paragraphe 2, points a), c), f), h) et i)» sont remplacés par les termes «l'article 17, paragraphe 2, points a), a bis), c), f), h) et i)».

bis

| 9) | À l'article 23, le paragraphe 1 est remplacé par le texte suivant:

  «1.   Le système central ETIAS lance une recherche en utilisant l'ESP pour comparer les données pertinentes visées à l'article 17, paragraphe 2, points a), a bis), b) et d) aux données figurant dans le SIS en vue de déterminer si le demandeur fait l'objet de l'un des signalements suivants:






  a) | un signalement concernant des personnes disparues; |
| --- | --- | --- |

9)

À l'article 23, le paragraphe 1 est remplacé par le texte suivant:

«1.   Le système central ETIAS lance une recherche en utilisant l'ESP pour comparer les données pertinentes visées à l'article 17, paragraphe 2, points a), a bis), b) et d) aux données figurant dans le SIS en vue de déterminer si le demandeur fait l'objet de l'un des signalements suivants:

a)

un signalement concernant des personnes disparues;

| b) | un signalement concernant des personnes recherchées dans le but de rendre possible leur concours dans le cadre d'une procédure judiciaire; |
| --- | --- |

b)

un signalement concernant des personnes recherchées dans le but de rendre possible leur concours dans le cadre d'une procédure judiciaire;

| c) | un signalement concernant des personnes aux fins de contrôles discrets ou de contrôles spécifiques.». |
| --- | --- |

c)

un signalement concernant des personnes aux fins de contrôles discrets ou de contrôles spécifiques.».

| 10) | À l'article 52, le paragraphe suivant est inséré:

  «1 bis.   Dans les cas où les autorités désignées ont interrogé le CIR conformément à l'article 22 du règlement (EU) 2019/817, elles peuvent avoir accès en consultation aux dossiers de demande stockés dans le système central ETIAS conformément au présent article lorsque la réponse reçue conformément à l'article 22, paragraphe 2, du règlement (UE) 2019/817 révèle que des données sont stockées dans les dossiers de demande conservés dans le système central ETIAS.». |
| --- | --- |

10)

À l'article 52, le paragraphe suivant est inséré:

«1 bis.   Dans les cas où les autorités désignées ont interrogé le CIR conformément à l'article 22 du règlement (EU) 2019/817, elles peuvent avoir accès en consultation aux dossiers de demande stockés dans le système central ETIAS conformément au présent article lorsque la réponse reçue conformément à l'article 22, paragraphe 2, du règlement (UE) 2019/817 révèle que des données sont stockées dans les dossiers de demande conservés dans le système central ETIAS.».

| 11) | À l'article 53, le paragraphe suivant est inséré:

  «1 bis.   Dans les cas où Europol a interrogé le CIR conformément à l'article 22 du règlement (UE) 2019/817, elle peut avoir accès en consultation aux dossiers de demande stockés dans le système central ETIAS conformément au présent article lorsque la réponse reçue visée au paragraphe 3 de l'article 22 du règlement (UE) 2019/817 révèle que des données sont stockées dans les dossiers de demande conservés dans le système central ETIAS.». |
| --- | --- |

11)

À l'article 53, le paragraphe suivant est inséré:

«1 bis.   Dans les cas où Europol a interrogé le CIR conformément à l'article 22 du règlement (UE) 2019/817, elle peut avoir accès en consultation aux dossiers de demande stockés dans le système central ETIAS conformément au présent article lorsque la réponse reçue visée au paragraphe 3 de l'article 22 du règlement (UE) 2019/817 révèle que des données sont stockées dans les dossiers de demande conservés dans le système central ETIAS.».

| 12) | À l'article 65, paragraphe 3, cinquième alinéa, les termes «l'article 17, paragraphe 2, points a), b), d) e) et f)» sont remplacés par les termes «l'article 17, paragraphe 2, points a), a bis), b), d), e) et f)». |
| --- | --- |

12)

À l'article 65, paragraphe 3, cinquième alinéa, les termes «l'article 17, paragraphe 2, points a), b), d) e) et f)» sont remplacés par les termes «l'article 17, paragraphe 2, points a), a bis), b), d), e) et f)».

bis

| 13) | À l'article 69, paragraphe 1, le point suivant est inséré:






  «c bis) | s'il y a lieu, une référence à l'utilisation de l'ESP pour interroger le système central ETIAS conformément à l'article 7, paragraphe 2, du règlement (UE) 2019/817.». |
| --- | --- | --- |

13)

À l'article 69, paragraphe 1, le point suivant est inséré:

«c bis)

bis

s'il y a lieu, une référence à l'utilisation de l'ESP pour interroger le système central ETIAS conformément à l'article 7, paragraphe 2, du règlement (UE) 2019/817.».

| 14) | À l'article 73, paragraphe 2, les termes «le répertoire central des données» sont remplacés par les termes «le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/817 dans la mesure où il contient des données obtenues du système central ETIAS au titre de l'article 84 du présent règlement». |
| --- | --- |

14)

À l'article 73, paragraphe 2, les termes «le répertoire central des données» sont remplacés par les termes «le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/817 dans la mesure où il contient des données obtenues du système central ETIAS au titre de l'article 84 du présent règlement».

| 15) | À l'article 74, paragraphe 1, le premier alinéa est remplacé par le texte suivant:

  «1.   À la suite de la mise en service d'ETIAS, l'eu-LISA est responsable de la gestion technique du système central ETIAS et des IUN. Elle est également responsable de tout essai technique nécessaire pour la définition et la mise à jour des règles d'examen ETIAS. Elle veille, en coopération avec les États membres, à ce que la meilleure technologie disponible soit utilisée en permanence, sous réserve d'une analyse coûts-avantages. L'eu-LISA est également responsable de la gestion technique de l'infrastructure de communication entre le système central ETIAS et les IUN ainsi que du site internet public, de l'application pour appareils mobiles, de la messagerie électronique, du service de comptes sécurisés, de l'outil de vérification destiné aux demandeurs, de l'outil de consentement destiné aux demandeurs, de l'outil d'évaluation pour la liste de surveillance ETIAS, du portail pour les transporteurs, du service internet et du logiciel permettant de traiter les demandes». |
| --- | --- |

15)

À l'article 74, paragraphe 1, le premier alinéa est remplacé par le texte suivant:

«1.   À la suite de la mise en service d'ETIAS, l'eu-LISA est responsable de la gestion technique du système central ETIAS et des IUN. Elle est également responsable de tout essai technique nécessaire pour la définition et la mise à jour des règles d'examen ETIAS. Elle veille, en coopération avec les États membres, à ce que la meilleure technologie disponible soit utilisée en permanence, sous réserve d'une analyse coûts-avantages. L'eu-LISA est également responsable de la gestion technique de l'infrastructure de communication entre le système central ETIAS et les IUN ainsi que du site internet public, de l'application pour appareils mobiles, de la messagerie électronique, du service de comptes sécurisés, de l'outil de vérification destiné aux demandeurs, de l'outil de consentement destiné aux demandeurs, de l'outil d'évaluation pour la liste de surveillance ETIAS, du portail pour les transporteurs, du service internet et du logiciel permettant de traiter les demandes».

| 16) | À l'article 84, paragraphe 2, le premier alinéa est remplacé par le texte suivant:

  «2.   Aux fins du paragraphe 1du présent article, l'eu-LISA stocke les données visées audit paragraphe dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/817. Conformément à l'article 39, paragraphe 1, dudit règlement, les statistiques intersystèmes et les rapports analytiques permettent aux autorités mentionnées au paragraphe 1 du présent article d'obtenir des rapports et des statistiques personnalisables, afin de soutenir la mise en œuvre des règles d'examen d'ETIAS visées à l'article 33, d'améliorer l'évaluation du risque en matière de sécurité ou d'immigration illégale et du risque épidémique élevé, d'accroître l'efficacité des vérifications aux frontières et d'aider l'unité centrale ETIAS et les unités nationales ETIAS à traiter les demandes d'autorisation de voyage.». |
| --- | --- |

16)

À l'article 84, paragraphe 2, le premier alinéa est remplacé par le texte suivant:

«2.   Aux fins du paragraphe 1du présent article, l'eu-LISA stocke les données visées audit paragraphe dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/817. Conformément à l'article 39, paragraphe 1, dudit règlement, les statistiques intersystèmes et les rapports analytiques permettent aux autorités mentionnées au paragraphe 1 du présent article d'obtenir des rapports et des statistiques personnalisables, afin de soutenir la mise en œuvre des règles d'examen d'ETIAS visées à l'article 33, d'améliorer l'évaluation du risque en matière de sécurité ou d'immigration illégale et du risque épidémique élevé, d'accroître l'efficacité des vérifications aux frontières et d'aider l'unité centrale ETIAS et les unités nationales ETIAS à traiter les demandes d'autorisation de voyage.».

| 17) | À l'article 84, paragraphe 4, l'alinéa suivant est ajouté:
  «Les statistiques journalières sont stockées dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/817.». |
| --- | --- |

17)

À l'article 84, paragraphe 4, l'alinéa suivant est ajouté:

«Les statistiques journalières sont stockées dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/817.».

Article 62

Modifications du règlement (UE) 2018/1726

Le règlement (UE) 2018/1726 est modifié comme suit:

| 1) | L'article 12 est remplacé par le texte suivant:

  «Article 12
  Qualité des données

  1.   Sans préjudice des responsabilités des États membres en ce qui concerne les données enregistrées dans les systèmes relevant de la responsabilité opérationnelle de l'Agence, l'Agence met en place, en étroite collaboration avec les groupes consultatifs, pour tous les systèmes relevant de sa responsabilité opérationnelle, des mécanismes et procédures automatisés de contrôle de la qualité des données, des indicateurs communs de qualité des données et des normes de qualité minimales pour le stockage de données, conformément aux dispositions pertinentes des instruments juridiques régissant ces systèmes d'information et de l'article 37 des règlements (UE) 2019/817 (*5) et (UE) 2019/818 (*6) du Parlement européen et du Conseil.


  2.   L'Agence crée un répertoire central ne contenant que des données anonymisées à des fins de rapports et de statistiques conformément à l'article 39 des règlements (UE) 2019/817 et (UE) 2019/818 du Parlement européen et du Conseil, sous réserve des dispositions spécifiques des instruments juridiques régissant le développement, la création, le fonctionnement et l'utilisation des systèmes d'information à grande échelle gérés par l'Agence.



  (*5)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27)."


  (*6)  Règlement (UE) 2019/818 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816 (JO L 135 du 22.5.2019, p. 85).»." |
| --- | --- |

1)

L'article 12 est remplacé par le texte suivant:

«Article 12

Qualité des données

1.   Sans préjudice des responsabilités des États membres en ce qui concerne les données enregistrées dans les systèmes relevant de la responsabilité opérationnelle de l'Agence, l'Agence met en place, en étroite collaboration avec les groupes consultatifs, pour tous les systèmes relevant de sa responsabilité opérationnelle, des mécanismes et procédures automatisés de contrôle de la qualité des données, des indicateurs communs de qualité des données et des normes de qualité minimales pour le stockage de données, conformément aux dispositions pertinentes des instruments juridiques régissant ces systèmes d'information et de l'article 37 des règlements (UE) 2019/817 (*5) et (UE) 2019/818 (*6) du Parlement européen et du Conseil.

2.   L'Agence crée un répertoire central ne contenant que des données anonymisées à des fins de rapports et de statistiques conformément à l'article 39 des règlements (UE) 2019/817 et (UE) 2019/818 du Parlement européen et du Conseil, sous réserve des dispositions spécifiques des instruments juridiques régissant le développement, la création, le fonctionnement et l'utilisation des systèmes d'information à grande échelle gérés par l'Agence.

(*5)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27)."

*5

o

(*6)  Règlement (UE) 2019/818 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816 (JO L 135 du 22.5.2019, p. 85).»."

*6

| 2) | À l'article 19, le paragraphe 1 est modifié comme suit:






  a) | le point suivant est inséré:






  «ee bis) | adopte les rapports sur l'état d'avancement du développement des éléments d'interopérabilité en vertu de l'article 78, paragraphe 2, du règlement (UE) 2019/817 et de l'article 74, paragraphe 2, du règlement (UE) 2019/818;»; |
| --- | --- | --- | --- |

2)

À l'article 19, le paragraphe 1 est modifié comme suit:

a)

le point suivant est inséré:

«ee bis)

bis

adopte les rapports sur l'état d'avancement du développement des éléments d'interopérabilité en vertu de l'article 78, paragraphe 2, du règlement (UE) 2019/817 et de l'article 74, paragraphe 2, du règlement (UE) 2019/818;»;

| b) | le point ff) est remplacé par le texte suivant:






  «ff) | adopte les rapports sur le fonctionnement technique du SIS conformément à l'article 60, paragraphe 7, du règlement (UE) 2018/1861 du Parlement européen et du Conseil (*7) et à l'article 74, paragraphe 8, du règlement (UE) 2018/1862 du Parlement européen et du Conseil (*8), du VIS conformément à l'article 50, paragraphe 3, du règlement (CE) no 767/2008 et à l'article 17, paragraphe 3, de la décision 2008/633/JAI, de l'EES conformément à l'article 72, paragraphe 4, du règlement (UE) 2017/2226, d'ETIAS conformément à l'article 92, paragraphe 4, du règlement (UE) 2018/1240, de l'ECRIS-TCN et de l'application de référence de l'ECRIS conformément à l'article 36, paragraphe 8, du règlement (UE) 2019/816 du Parlement et du Conseil (*9) et des éléments d'interopérabilité conformément à l'article 78, paragraphe 3, du règlement (UE) 2019/817 et à l'article 74, paragraphe 3, du règlement (UE) 2019/818; |
| --- | --- | --- |

b)

le point ff) est remplacé par le texte suivant:

«ff)

adopte les rapports sur le fonctionnement technique du SIS conformément à l'article 60, paragraphe 7, du règlement (UE) 2018/1861 du Parlement européen et du Conseil (*7

*8

o

*9

(*7)  Règlement (UE) 2018/1861 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine des vérifications aux frontières, modifiant la convention d'application de l'accord de Schengen et modifiant et abrogeant le règlement (CE) no 1987/2006 (JO L 312 du 7.12.2018, p. 14)."

*7

o

(*8)  Règlement (UE) 2018/1862 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, modifiant et abrogeant la décision 2007/533/JAI du Conseil, et abrogeant le règlement (CE) no 1986/2006 du Parlement européen et du Conseil et la décision 2010/261/UE de la Commission (JO L 312 du 7.12.2018, p. 56)."

*8

o

(*9)  Règlement (UE) 2019/816 du Parlement européen et du Conseil du 17 avril 2019 portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726 (JO L 135 du 22.5.2019, p. 1).»;"

*9

| c) | le point hh) est remplacé par le texte suivant:






  «hh) | adopte des observations formelles sur les rapports du Contrôleur européen de la protection des données relatifs à ses audits effectués conformément à l'article 56, paragraphe 2, du règlement (UE) 2018/1861, à l'article 42, paragraphe 2, du règlement (CE) no 767/2008, à l'article 31, paragraphe 2, du règlement (UE) no 603/2013, à l'article 56, paragraphe 2, du règlement (UE) 2017/2226, à l'article 67 du règlement (UE) 2018/1240, à l'article 29, paragraphe 2, du règlement (UE) 2019/816 et à l'article 52 des règlements (UE) 2019/817 et (UE) 2019/818 et veille à ce qu'il soit donné dûment suite à ces audits;»; |
| --- | --- | --- |

c)

le point hh) est remplacé par le texte suivant:

«hh)

adopte des observations formelles sur les rapports du Contrôleur européen de la protection des données relatifs à ses audits effectués conformément à l'article 56, paragraphe 2, du règlement (UE) 2018/1861, à l'article 42, paragraphe 2, du règlement (CE) no

o

| d) | le point mm) est remplacé par le texte suivant:






  «mm) | veille à la publication annuelle de la liste des autorités compétentes autorisées à consulter directement les données introduites dans le SIS en vertu de l'article 41, paragraphe 8, du règlement (UE) 2018/1861 et de l'article 56, paragraphe 7, du règlement (UE) 2018/1862, de la liste des offices des systèmes nationaux du SIS (N.SIS) et des bureaux SIRENE visés, respectivement, à l'article 7, paragraphe 3, du règlement (UE) 2018/1861 et à l'article 7, paragraphe 3, du règlement (UE) 2018/1862, de la liste des autorités compétentes visées à l'article 65, paragraphe 2, du règlement (UE) 2017/2226, de la liste des autorités compétentes visées à l'article 87, paragraphe 2, du règlement (UE) 2018/1240, de la liste des autorités centrales visées à l'article 34, paragraphe 2, du règlement (UE) 2019/816 ainsi que de la liste des autorités visées à l'article 71, paragraphe 1, du règlement (UE) 2019/817 et à l'article 67, paragraphe 1, du règlement (UE) 2019/818;»; |
| --- | --- | --- |

d)

le point mm) est remplacé par le texte suivant:

«mm)

veille à la publication annuelle de la liste des autorités compétentes autorisées à consulter directement les données introduites dans le SIS en vertu de l'article 41, paragraphe 8, du règlement (UE) 2018/1861 et de l'article 56, paragraphe 7, du règlement (UE) 2018/1862, de la liste des offices des systèmes nationaux du SIS (N.SIS) et des bureaux SIRENE visés, respectivement, à l'article 7, paragraphe 3, du règlement (UE) 2018/1861 et à l'article 7, paragraphe 3, du règlement (UE) 2018/1862, de la liste des autorités compétentes visées à l'article 65, paragraphe 2, du règlement (UE) 2017/2226, de la liste des autorités compétentes visées à l'article 87, paragraphe 2, du règlement (UE) 2018/1240, de la liste des autorités centrales visées à l'article 34, paragraphe 2, du règlement (UE) 2019/816 ainsi que de la liste des autorités visées à l'article 71, paragraphe 1, du règlement (UE) 2019/817 et à l'article 67, paragraphe 1, du règlement (UE) 2019/818;»;

| 3) | À l'article 22, le paragraphe 4 est remplacé par le texte suivant:

  «4.   Europol et Eurojust peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant le SIS II, liée à l'application de la décision 2007/533/JAI, figure à l'ordre du jour.
  L'Agence européenne de garde-frontières et de garde-côtes peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant le SIS, liée à l'application du règlement (UE) 2016/1624, figure à l'ordre du jour.
  Europol peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant le VIS, liée à l'application de la décision 2008/633/JAI, ou lorsqu'une question concernant Eurodac, liée à l'application du règlement (UE) no 603/2013, est à l'ordre du jour.
  Europol peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant l'EES, liée à l'application du règlement (UE) 2017/2226, figure à l'ordre du jour ou lorsqu'une question concernant ETIAS, liée à l'application du règlement (UE) 2018/1240, figure à l'ordre du jour.
  L'Agence européenne de garde-frontières et de garde-côtes peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant ETIAS liée à l'application du règlement (UE) 2018/1240 figure à l'ordre du jour.
  Eurojust, Europol et le Parquet européen peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant le règlement (UE) 2019/816 figure à l'ordre du jour.
  Eurojust, Europol et l'Agence européenne de garde-frontières et de garde-côtes peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant les règlements (UE) 2019/817 et (UE) 2019/818 figure à l'ordre du jour.
  Le conseil d'administration peut inviter toute autre personne dont l'avis peut présenter un intérêt à assister à ses réunions en qualité d'observateur.». |
| --- | --- |

3)

À l'article 22, le paragraphe 4 est remplacé par le texte suivant:

«4.   Europol et Eurojust peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant le SIS II, liée à l'application de la décision 2007/533/JAI, figure à l'ordre du jour.

L'Agence européenne de garde-frontières et de garde-côtes peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant le SIS, liée à l'application du règlement (UE) 2016/1624, figure à l'ordre du jour.

Europol peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant le VIS, liée à l'application de la décision 2008/633/JAI, ou lorsqu'une question concernant Eurodac, liée à l'application du règlement (UE) no 603/2013, est à l'ordre du jour.

Europol peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant l'EES, liée à l'application du règlement (UE) 2017/2226, figure à l'ordre du jour ou lorsqu'une question concernant ETIAS, liée à l'application du règlement (UE) 2018/1240, figure à l'ordre du jour.

L'Agence européenne de garde-frontières et de garde-côtes peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant ETIAS liée à l'application du règlement (UE) 2018/1240 figure à l'ordre du jour.

Eurojust, Europol et le Parquet européen peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant le règlement (UE) 2019/816 figure à l'ordre du jour.

Eurojust, Europol et l'Agence européenne de garde-frontières et de garde-côtes peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant les règlements (UE) 2019/817 et (UE) 2019/818 figure à l'ordre du jour.

Le conseil d'administration peut inviter toute autre personne dont l'avis peut présenter un intérêt à assister à ses réunions en qualité d'observateur.».

| 4) | À l'article 24, paragraphe 3, le point p) est remplacé par le texte suivant:






  «p) | sans préjudice de l'article 17 du statut des fonctionnaires, de déterminer les exigences de confidentialité à respecter pour se conformer à l'article 17 du règlement (CE) no 1987/2006, à l'article 17 de la décision 2007/533/JAI, à l'article 26, paragraphe 9, du règlement (CE) no 767/2008, à l'article 4, paragraphe 4, du règlement (UE) no 603/2013, à l'article 37, paragraphe 4, du règlement (UE) 2017/2226, à l'article 74, paragraphe 2, du règlement (UE) 2018/1240, à l'article 11, paragraphe 16, du règlement (UE) 2019/816 et à l'article 55, paragraphe 2, des règlements (UE) 2019/817 et (UE) 2019/818;»; |
| --- | --- | --- |

4)

À l'article 24, paragraphe 3, le point p) est remplacé par le texte suivant:

«p)

sans préjudice de l'article 17 du statut des fonctionnaires, de déterminer les exigences de confidentialité à respecter pour se conformer à l'article 17 du règlement (CE) no

o

o

| 5) | L'article 27 est modifié comme suit:






  a) | au paragraphe 1, le point suivant est inséré:






  «d bis) | le groupe consultatif sur l'interopérabilité;»; |
| --- | --- | --- | --- |

5)

L'article 27 est modifié comme suit:

a)

au paragraphe 1, le point suivant est inséré:

«d bis)

bis

le groupe consultatif sur l'interopérabilité;»;

| b) | le paragraphe 3 est remplacé par le texte suivant:

  «3.   Europol, Eurojust et l'Agence européenne de garde-frontières et de garde-côtes peuvent chacun désigner un représentant au sein du groupe consultatif sur le SIS II.
  Europol peut également désigner un représentant au sein des groupes consultatifs sur le VIS, sur Eurodac et sur l'EES-ETIAS.
  L'Agence européenne de garde-frontières et de garde-côtes peut également désigner un représentant au sein du groupe consultatif sur l'EES-ETIAS.
  Eurojust, Europol et le Parquet européen peuvent chacun désigner un représentant au sein du groupe consultatif sur l'ECRIS-TCN.
  Europol, Eurojust et l'Agence européenne de garde-frontières et de garde-côtes peuvent chacun désigner un représentant au sein du groupe consultatif sur l'interopérabilité.». |
| --- | --- |

b)

le paragraphe 3 est remplacé par le texte suivant:

«3.   Europol, Eurojust et l'Agence européenne de garde-frontières et de garde-côtes peuvent chacun désigner un représentant au sein du groupe consultatif sur le SIS II.

Europol peut également désigner un représentant au sein des groupes consultatifs sur le VIS, sur Eurodac et sur l'EES-ETIAS.

L'Agence européenne de garde-frontières et de garde-côtes peut également désigner un représentant au sein du groupe consultatif sur l'EES-ETIAS.

Eurojust, Europol et le Parquet européen peuvent chacun désigner un représentant au sein du groupe consultatif sur l'ECRIS-TCN.

Europol, Eurojust et l'Agence européenne de garde-frontières et de garde-côtes peuvent chacun désigner un représentant au sein du groupe consultatif sur l'interopérabilité.».

Article 63

Modifications du règlement (UE) 2018/1861

Le règlement (UE) 2018/1861 est modifié comme suit:

| 1) | À l'article 3, les points suivants sont ajoutés:
  «22)   “ESP”: le portail de recherche européen créé par l'article 6, paragraphe 1, du règlement (UE) 2019/817 du Parlement européen et du Conseil (*10);
  23)   «BMS partagé»: le service partagé d'établissement de correspondances biométriques établi par l'article 12, paragraphe 1, du règlement (UE) 2019/817;
  24)   «CIR»: le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817;
  25)   «MID»: le détecteur d'identités multiples établi par l'article 25, paragraphe 1, du règlement (UE) 2019/817;

  (*10)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27).»." |
| --- | --- |

1)

À l'article 3, les points suivants sont ajoutés:

«22)   “ESP”: le portail de recherche européen créé par l'article 6, paragraphe 1, du règlement (UE) 2019/817 du Parlement européen et du Conseil (*10);

“ESP”

*10

23)   «BMS partagé»: le service partagé d'établissement de correspondances biométriques établi par l'article 12, paragraphe 1, du règlement (UE) 2019/817;

«BMS partagé»

24)   «CIR»: le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817;

«CIR»

25)   «MID»: le détecteur d'identités multiples établi par l'article 25, paragraphe 1, du règlement (UE) 2019/817;

«MID»

(*10)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27).»."

*10

o

| 2) | L'article 4 est modifié comme suit:






  a) | au paragraphe 1, les points b) et c) sont remplacés par le texte suivant:






  «b) | d'un système national (ci-après dénommé “N.SIS”) dans chaque État membre, constitué des systèmes de données nationaux reliés au SIS central, y compris au moins un N.SIS de secours national ou partagé; |
| --- | --- | --- | --- |

2)

L'article 4 est modifié comme suit:

a)

au paragraphe 1, les points b) et c) sont remplacés par le texte suivant:

«b)

d'un système national (ci-après dénommé “N.SIS”) dans chaque État membre, constitué des systèmes de données nationaux reliés au SIS central, y compris au moins un N.SIS de secours national ou partagé;

| c) | d'une infrastructure de communication entre le CS-SIS, le CS-SIS de secours et le NI-SIS de secours (ci-après dénommée “infrastructure de communication”), fournissant un réseau virtuel crypté consacré aux données du SIS et à l'échange de données entre les bureaux SIRENE visés à l'article 7, paragraphe 2; et |
| --- | --- |

c)

d'une infrastructure de communication entre le CS-SIS, le CS-SIS de secours et le NI-SIS de secours (ci-après dénommée “infrastructure de communication”), fournissant un réseau virtuel crypté consacré aux données du SIS et à l'échange de données entre les bureaux SIRENE visés à l'article 7, paragraphe 2; et

| d) | d'une infrastructure de communication sécurisée entre le CS-SIS et les infrastructures centrales de l'ESP, du BMS partagé et du MID.». |
| --- | --- |

d)

d'une infrastructure de communication sécurisée entre le CS-SIS et les infrastructures centrales de l'ESP, du BMS partagé et du MID.».

| b) | Les paragraphes suivants sont ajoutés:

  «8.   Sans préjudice des paragraphes 1 à 5, les données du SIS peuvent faire l'objet de recherches par l'intermédiaire de l'ESP.


  9.   Sans préjudice des paragraphes 1 à 5, les données du SIS peuvent également être transmises par l'intermédiaire de l'infrastructure de communication sécurisée visée au paragraphe 1, point d). Ces transmissions sont limitées dans la mesure dans laquelle les données sont nécessaires pour les finalités du règlement (UE) 2019/817.». |
| --- | --- |

b)

Les paragraphes suivants sont ajoutés:

«8.   Sans préjudice des paragraphes 1 à 5, les données du SIS peuvent faire l'objet de recherches par l'intermédiaire de l'ESP.

9.   Sans préjudice des paragraphes 1 à 5, les données du SIS peuvent également être transmises par l'intermédiaire de l'infrastructure de communication sécurisée visée au paragraphe 1, point d). Ces transmissions sont limitées dans la mesure dans laquelle les données sont nécessaires pour les finalités du règlement (UE) 2019/817.».

| 3) | À l'article 7, le paragraphe suivant est inséré:

  «2 bis.   Les bureaux SIRENE assurent également la vérification manuelle des identités différentes conformément à l'article 29 du règlement (UE) 2019/817. Dans la mesure nécessaire à l'accomplissement de cette tâche, les bureaux SIRENE ont accès aux données stockées dans le CIR et le MID aux fins prévues aux articles 21 et 26 du règlement (UE) 2019/817.». |
| --- | --- |

3)

À l'article 7, le paragraphe suivant est inséré:

«2 bis.   Les bureaux SIRENE assurent également la vérification manuelle des identités différentes conformément à l'article 29 du règlement (UE) 2019/817. Dans la mesure nécessaire à l'accomplissement de cette tâche, les bureaux SIRENE ont accès aux données stockées dans le CIR et le MID aux fins prévues aux articles 21 et 26 du règlement (UE) 2019/817.».

| 4) | À l'article 12, le paragraphe 1 est remplacé par le texte suivant:

  «1.   Les États membres veillent à ce que chaque accès à des données à caractère personnel et tout échange de ces données avec le CS-SIS soient consignés dans leur N.SIS afin de pouvoir contrôler la licéité de la consultation et la licéité du traitement des données, d'assurer un autocontrôle et le bon fonctionnement du N.SIS, ainsi que l'intégrité et la sécurité des données. Cette exigence n'est pas applicable aux traitements automatiques visés à l'article 4, paragraphe 6, points a), b) et c).
  Les États membres veillent à ce que chaque accès à des données à caractère personnel par l'intermédiaire de l'ESP soit également consigné afin de pouvoir contrôler la licéité de la consultation et la licéité du traitement des données, d'assurer un autocontrôle, ainsi que l'intégrité et la sécurité des données.». |
| --- | --- |

4)

À l'article 12, le paragraphe 1 est remplacé par le texte suivant:

«1.   Les États membres veillent à ce que chaque accès à des données à caractère personnel et tout échange de ces données avec le CS-SIS soient consignés dans leur N.SIS afin de pouvoir contrôler la licéité de la consultation et la licéité du traitement des données, d'assurer un autocontrôle et le bon fonctionnement du N.SIS, ainsi que l'intégrité et la sécurité des données. Cette exigence n'est pas applicable aux traitements automatiques visés à l'article 4, paragraphe 6, points a), b) et c).

Les États membres veillent à ce que chaque accès à des données à caractère personnel par l'intermédiaire de l'ESP soit également consigné afin de pouvoir contrôler la licéité de la consultation et la licéité du traitement des données, d'assurer un autocontrôle, ainsi que l'intégrité et la sécurité des données.».

| 5) | À l'article 34, paragraphe 1, le point suivant est ajouté:






  «g) | de la vérification des identités différentes et de la lutte contre la fraude à l'identité conformément au chapitre V du règlement (UE) 2019/817.». |
| --- | --- | --- |

5)

À l'article 34, paragraphe 1, le point suivant est ajouté:

«g)

de la vérification des identités différentes et de la lutte contre la fraude à l'identité conformément au chapitre V du règlement (UE) 2019/817.».

| 6) | À l'article 60, le paragraphe 6 est remplacé par le texte suivant:

  «6.   Aux fins de l'article 15, paragraphe 4, et des paragraphes 3, 4 et 5 du présent article l'eu-LISA stocke les données visées à l'article 15, paragraphe 4, et au paragraphe 3 du présent article qui ne permettent pas l'identification des personnes dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/817.
  L'eu-LISA permet à la Commission et aux organismes visés au paragraphe 5 du présent article d'obtenir des rapports et des statistiques sur mesure. Sur demande, l'eu-LISA accorde l'accès au répertoire central des rapports et statistiques conformément à l'article 39 du règlement (UE) 2019/817 aux États membres, à la Commission, à Europol et à l'Agence européenne de garde-frontières et de garde-côtes.». |
| --- | --- |

6)

À l'article 60, le paragraphe 6 est remplacé par le texte suivant:

«6.   Aux fins de l'article 15, paragraphe 4, et des paragraphes 3, 4 et 5 du présent article l'eu-LISA stocke les données visées à l'article 15, paragraphe 4, et au paragraphe 3 du présent article qui ne permettent pas l'identification des personnes dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/817.

L'eu-LISA permet à la Commission et aux organismes visés au paragraphe 5 du présent article d'obtenir des rapports et des statistiques sur mesure. Sur demande, l'eu-LISA accorde l'accès au répertoire central des rapports et statistiques conformément à l'article 39 du règlement (UE) 2019/817 aux États membres, à la Commission, à Europol et à l'Agence européenne de garde-frontières et de garde-côtes.».

Article 64

Modification de la décision 2004/512/CE

À l'article 1er de la décision 2004/512/CE, le paragraphe 2 est remplacé par le texte suivant:

er

«2.   Le système d'information sur les visas repose sur une architecture centralisée et comprend:

| a) | l'infrastructure centrale du répertoire commun de données d'identité visée à l'article 17, paragraphe 2, point a), du règlement (UE) 2019/817 du Parlement européen et du Conseil (*11); |
| --- | --- |

a)

l'infrastructure centrale du répertoire commun de données d'identité visée à l'article 17, paragraphe 2, point a), du règlement (UE) 2019/817 du Parlement européen et du Conseil (*11);

| b) | un système d'information central, ci-après dénommé «le système central d'information sur les visas» (CS-VIS); |
| --- | --- |

b)

un système d'information central, ci-après dénommé «le système central d'information sur les visas» (CS-VIS);

| c) | une interface dans chaque État membre, ci-après dénommée «l'interface nationale» (NI-VIS) pour assurer la connexion avec l'autorité centrale nationale compétente de l'État membre concerné; |
| --- | --- |

c)

une interface dans chaque État membre, ci-après dénommée «l'interface nationale» (NI-VIS) pour assurer la connexion avec l'autorité centrale nationale compétente de l'État membre concerné;

| d) | une infrastructure de communication entre le système central d'information sur les visas et les interfaces nationales; |
| --- | --- |

d)

une infrastructure de communication entre le système central d'information sur les visas et les interfaces nationales;

| e) | un canal de communication sécurisé entre le système central de l'EES et le CS-VIS; |
| --- | --- |

e)

un canal de communication sécurisé entre le système central de l'EES et le CS-VIS;

| f) | une infrastructure de communication sécurisée entre le système central du VIS et l'infrastructure centrale du portail de recherche européen créé par l'article 6, paragraphe 1, du règlement (UE) 2019/817 et du répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817. |
| --- | --- |

f)

une infrastructure de communication sécurisée entre le système central du VIS et l'infrastructure centrale du portail de recherche européen créé par l'article 6, paragraphe 1, du règlement (UE) 2019/817 et du répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817.

Article 65

Modifications de la décision 2008/633/JAI

La décision 2008/633/JAI est modifiée comme suit:

| 1) | À l'article 5, le paragraphe suivant est inséré:

  «1 bis.   Dans les cas où les autorités désignées ont interrogé le répertoire commun de données d'identité (CIR) conformément à l'article 22 du règlement (UE) 2019/817 du Parlement européen et du Conseil (*12), et lorsque les conditions d'accès fixées au présent article sont remplies, elles peuvent avoir accès en consultation au VIS lorsque la réponse reçue conformément à l'article 22, paragraphe 2, dudit règlement révèle que des données sont stockées dans le VIS.


  (*12)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27).»." |
| --- | --- |

1)

À l'article 5, le paragraphe suivant est inséré:

«1 bis.   Dans les cas où les autorités désignées ont interrogé le répertoire commun de données d'identité (CIR) conformément à l'article 22 du règlement (UE) 2019/817 du Parlement européen et du Conseil (*12), et lorsque les conditions d'accès fixées au présent article sont remplies, elles peuvent avoir accès en consultation au VIS lorsque la réponse reçue conformément à l'article 22, paragraphe 2, dudit règlement révèle que des données sont stockées dans le VIS.

(*12)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27).»."

*12

o

| 2) | À l'article 7, le paragraphe suivant est inséré:

  «1 bis.   Dans les cas où Europol a interrogé le CIR conformément à l'article 22 du règlement (UE) 2019/817, et lorsque les conditions d'accès fixées au présent article sont remplies, Europol peut avoir accès en consultation au VIS lorsque la réponse reçue conformément à l'article 22, paragraphe 2, dudit règlement révèle que des données sont stockées dans le VIS.». |
| --- | --- |

2)

À l'article 7, le paragraphe suivant est inséré:

«1 bis.   Dans les cas où Europol a interrogé le CIR conformément à l'article 22 du règlement (UE) 2019/817, et lorsque les conditions d'accès fixées au présent article sont remplies, Europol peut avoir accès en consultation au VIS lorsque la réponse reçue conformément à l'article 22, paragraphe 2, dudit règlement révèle que des données sont stockées dans le VIS.».

CHAPITRE X

Dispositions finales

Article 66

Établissement de rapports et de statistiques

1.   Le personnel dûment autorisé des autorités compétentes des États membres, de la Commission et de l'eu-LISA a accès en consultation aux données énumérées ci-après concernant l'ESP, uniquement aux fins de l'établissement de rapports et de statistiques:

| a) | le nombre de requêtes par profil d'utilisateur de l'ESP; |
| --- | --- |

a)

le nombre de requêtes par profil d'utilisateur de l'ESP;

| b) | le nombre de requêtes adressées à chacune des bases de données d'Interpol. |
| --- | --- |

b)

le nombre de requêtes adressées à chacune des bases de données d'Interpol.

Il n'est pas possible d'identifier des personnes à partir de ces données.

2.   Le personnel dûment autorisé des autorités compétentes des États membres, de la Commission et de l'eu-LISA a accès en consultation aux données énumérées ci-après concernant le CIR, uniquement aux fins de l'établissement de rapports et de statistiques:

| a) | le nombre de requêtes aux fins des articles 20, 21 et 22; |
| --- | --- |

a)

le nombre de requêtes aux fins des articles 20, 21 et 22;

| b) | la nationalité, le genre et l'année de naissance de la personne; |
| --- | --- |

b)

la nationalité, le genre et l'année de naissance de la personne;

| c) | le type de document de voyage et le code à trois lettres du pays de délivrance; |
| --- | --- |

c)

le type de document de voyage et le code à trois lettres du pays de délivrance;

| d) | le nombre de recherches effectuées avec et sans données biométriques. |
| --- | --- |

d)

le nombre de recherches effectuées avec et sans données biométriques.

Il n'est pas possible d'identifier des personnes à partir de ces données.

3.   Le personnel dûment autorisé des autorités compétentes des États membres, de la Commission et de l'eu-LISA a accès en consultation aux données énumérées ci-après concernant le MID, uniquement aux fins de l'établissement de rapports et de statistiques:

| a) | le nombre de recherches effectuées avec et sans données biométriques; |
| --- | --- |

a)

le nombre de recherches effectuées avec et sans données biométriques;

| b) | le nombre de chaque type de lien et les systèmes d'information de l'UE contenant les données liées; |
| --- | --- |

b)

le nombre de chaque type de lien et les systèmes d'information de l'UE contenant les données liées;

| c) | la durée pendant laquelle un lien jaune et rouge est demeuré dans le système. |
| --- | --- |

c)

la durée pendant laquelle un lien jaune et rouge est demeuré dans le système.

Il n'est pas possible d'identifier des personnes à partir de ces données.

4.   Le personnel dûment autorisé de l'Agence européenne de garde-frontières et de garde-côtes a accès en consultation aux données visées aux paragraphes 1, 2 et 3 du présent article pour effectuer les analyses des risques et les évaluations de la vulnérabilité visées aux articles 11 et 13 du règlement (UE) 2016/1624 du Parlement européen et du Conseil (40).

5.   Le personnel dûment autorisé d'Europol a accès en consultation aux données visées aux paragraphes 2 et 3 du présent article pour effectuer les analyses de nature stratégique ou thématique et les analyses opérationnelles prévues à l'article 18, paragraphe 2, points b) et c), du règlement (UE) 2016/794.

6.   Aux fins des paragraphes 1, 2 et 3, l'eu-LISA stocke les données visées auxdits paragraphes dans le CRRS. Il n'est pas possible d'identifier des personnes à partir des données figurant dans le CRRS mais les données doivent permettre aux autorités énumérées aux paragraphes 1, 2 et 3 d'obtenir des rapports et des statistiques personnalisables afin d'améliorer l'efficacité des vérifications aux frontières, d'aider les autorités à traiter les demandes de visa et de favoriser l'élaboration, au niveau de l'Union, de politiques en matière de migration et de sécurité fondées sur des données concrètes.

7.   Sur demande, la Commission met les informations pertinentes à la disposition de l'Agence des droits fondamentaux de l'Union européenne afin que celle-ci évalue l'incidence du présent règlement sur les droits fondamentaux.

Article 67

Période transitoire pour l'utilisation du portail de recherche européen

1.   Pendant une période de deux ans à compter de la date de la mise en service de l'ESP, les obligations visées à l'article 7, paragraphes 2 et 4, ne s'appliquent pas et l'utilisation de l'ESP est facultative.

2.   La Commission est habilitée à adopter un acte délégué conformément à l'article 73 afin de modifier le présent règlement en prolongeant une seule fois, d'une année au maximum, la période visée au paragraphe 1 du présent article, lorsqu'une évaluation de la mise en œuvre de l'ESP a mis en évidence la nécessité de prolonger ce délai, particulièrement en raison de l'incidence de la mise en service de l'ESP sur l'organisation et la durée des contrôles aux frontières.

Article 68

Période transitoire applicable aux dispositions relatives à l'accès au répertoire commun de données d'identité à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière

L'article 22, l'article 60, points 8) et 9), l'article 61, points 10) et 11), et l'article 65 s'appliquent à partir de la date de mise en service du CIR visée à l'article 72, paragraphe 3.

Article 69

Période transitoire pour la détection d'identités multiples

1.   Pendant une période d'un an suivant la notification par l'eu-LISA de l'achèvement de l'essai du MID visé à l'article 72, paragraphe 4, point b), et avant la mise en service du MID, l'unité centrale ETIAS est responsable de la détection d'identités multiples à l'aide des données stockées dans l'EES, le VIS, Eurodac et le SIS. Les détections d'identités multiples ne sont effectuées qu'à l'aide de données biométriques.

2.   Lorsque la recherche génère une ou plusieurs correspondances et que les données d'identité dans les dossiers liés sont les mêmes ou similaires, un lien blanc est créé conformément à l'article 33.

Lorsque la recherche génère une ou plusieurs correspondances et que les données d'identité dans les dossiers liés ne peuvent pas être considérées comme similaires, un lien jaune est créé conformément à l'article 30 et la procédure visée à l'article 29 s'applique.

Lorsque plusieurs correspondances sont générées, un lien est créé entre chaque élément de donnée ayant donné lieu à la correspondance.

3.   Lorsqu'un lien jaune est créé, le MID accorde à l'unité centrale ETIAS l'accès aux données d'identité figurant dans les différents systèmes d'information de l'UE.

4.   Lorsqu'un lien est créé avec un signalement figurant dans le SIS, autre qu'un signalement créé dans le cadre de l'article 3 du règlement (UE) 2018/1860, des articles 24 et 25 du règlement (UE) 2018/1861 ou de l'article 38 du règlement (UE) 2018/1862, le MID accorde au bureau SIRENE de l'État membre qui a créé le signalement l'accès aux données d'identité figurant dans les différents systèmes d'information de l'UE.

5.   L'unité centrale ETIAS ou, dans les cas visés au paragraphe 4 du présent article, le bureau SIRENE de l'État membre qui a créé le signalement a accès aux données figurant dans le dossier de confirmation d'identité, évalue les différentes identités et met à jour le lien conformément aux articles 31, 32 et 33, et l'ajoute au dossier de confirmation d'identité.

6.   L'unité centrale ETIAS n'informe la Commission conformément à l'article 71, paragraphe 3, qu'une fois que tous les liens jaunes ont été vérifiés manuellement et que leur statut a été mis à jour en tant que liens verts, blancs ou rouges.

7.   Les États membres aident, au besoin, l'unité centrale ETIAS à effectuer la détection d'identités multiples visée au présent article.

8.   La Commission est habilitée à adopter un acte délégué conformément à l'article 73 afin de modifier le présent règlement en prolongeant la période visée au paragraphe 1 du présent article de six mois, renouvelables deux fois, chaque fois pour six mois. Une telle prolongation n'est accordée qu'après qu'une évaluation du délai estimé nécessaire pour achever la détection d'identités multiples visée au présent article a démontré que la détection d'identités multiples ne peut être achevée avant l'expiration soit de la période restante prévue au paragraphe 1 du présent article soit de toute prolongation en cours, pour des raisons indépendantes de l'unité centrale ETIAS, et qu'il n'est pas possible de recourir à des mesures correctives. L'évaluation est effectuée au plus tard trois mois avant l'expiration du délai visé au paragraphe 1 ou de la prolongation en cours.

Article 70

Coûts

1.   Les coûts afférents à la création et au fonctionnement de l'ESP, du BMS partagé, du CIR et du MID sont à la charge du budget général de l'Union.

2.   Les coûts afférents à l'intégration des infrastructures nationales existantes et à leur connexion aux interfaces uniformes nationales, ainsi qu'à l'hébergement des interfaces uniformes nationales, sont à la charge du budget général de l'Union.

Les coûts suivants ne sont pas admissibles:

| a) | coûts afférents au bureau de gestion de projet des États membres (réunions, missions, locaux); |
| --- | --- |

a)

coûts afférents au bureau de gestion de projet des États membres (réunions, missions, locaux);

| b) | hébergement des systèmes d'information nationaux (espace, mise en œuvre, électricité, refroidissement); |
| --- | --- |

b)

hébergement des systèmes d'information nationaux (espace, mise en œuvre, électricité, refroidissement);

| c) | fonctionnement des systèmes d'information nationaux (contrats conclus avec les opérateurs et contrats d'appui); |
| --- | --- |

c)

fonctionnement des systèmes d'information nationaux (contrats conclus avec les opérateurs et contrats d'appui);

| d) | conception, développement, mise en œuvre, fonctionnement et maintenance des réseaux de communication nationaux. |
| --- | --- |

d)

conception, développement, mise en œuvre, fonctionnement et maintenance des réseaux de communication nationaux.

3.   Sans préjudice d'un financement supplémentaire à cette fin à partir d'autres sources du budget général de l'Union européenne, un montant de 32 077 000 EUR est mobilisé dans l'enveloppe de 791 000 000 EUR prévue à l'article 5, paragraphe 5, point b), du règlement (UE) no 515/2014 pour couvrir les coûts de mise en œuvre du présent règlement, comme le prévoient les paragraphes 1 et 2 du présent article.

4.   À partir de l'enveloppe visée au paragraphe 3, 22 861 000 EUR sont alloués à l'eu-LISA, 9 072 000 EUR sont alloués à Europol et 144 000 EUR sont alloués à l'Agence de l'Union européenne pour la formation des services répressifs (CEPOL), afin de soutenir ces agences dans l'exécution de leurs tâches respectives dans le cadre du présent règlement. Ce financement est mis en œuvre en gestion partagée.

5.   Les coûts encourus par les autorités désignées sont à la charge de l'État membre qui a procédé à la désignation et d'Europol, respectivement. Les coûts afférents à la connexion de chaque autorité désignée au CIR sont à la charge de chaque État membre.

Les coûts encourus par Europol, y compris ceux afférents à la connexion au CIR, sont à la charge d'Europol.

Article 71

Notifications

1.   Les États membres notifient à l'eu-LISA le nom des autorités visées aux articles 7, 20, 21 et 26 qui peuvent, respectivement, utiliser l'ESP, le CIR et le MID ou y avoir accès.

Une liste consolidée de ces autorités est publiée au Journal officiel de l'Union européenne dans un délai de trois mois à compter de la date à laquelle chaque élément d'interopérabilité a été mis en service conformément à l'article 72. En cas de modifications apportées à cette liste, l'eu-LISA publie une fois par an une version consolidée actualisée.

2.   L'eu-LISA notifie à la Commission les résultats concluants des essais visés à l'article 72, paragraphe 1, point b), paragraphe 2, point b), paragraphe 3, point b), paragraphe 4, point b), paragraphe 5, point b), paragraphe 6, point b).

3.   L'unité centrale ETIAS informe la Commission de l'exécution concluante de la période transitoire prévue à l'article 69.

4.   La Commission met les informations notifiées en application du paragraphe 1 à la disposition des États membres et du public, par l'intermédiaire d'un site web public actualisé en permanence.

Article 72

Mise en service

1.   La Commission détermine, par la voie d'un acte d'exécution, la date de mise en service de l'ESP, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 8, paragraphe 2, à l'article 9, paragraphe 7, et à l'article 43, paragraphe 5, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 8, paragraphe 2, à l'article 9, paragraphe 7, et à l'article 43, paragraphe 5, ont été adoptées;

| b) | L'eu-LISA a déclaré que les essais complets de l'ESP, qu'elle a menés en coopération avec les autorités des États membres et les agences de l'Union autorisées à utiliser l'ESP, étaient concluants; |
| --- | --- |

b)

L'eu-LISA a déclaré que les essais complets de l'ESP, qu'elle a menés en coopération avec les autorités des États membres et les agences de l'Union autorisées à utiliser l'ESP, étaient concluants;

| c) | l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 8, paragraphe 1, et les a notifiés à la Commission. |
| --- | --- |

c)

l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 8, paragraphe 1, et les a notifiés à la Commission.

L'ESP interroge les bases de données d'Interpol uniquement lorsque les aménagements techniques permettent de se conformer à l'article 9, paragraphe 5. S'il est impossible de respecter l'article 9, paragraphe 5, l'ESP n'interroge pas les bases de données d'Interpol, sans que la mise en service de l'ESP ne soit pour autant retardée.

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date d'adoption de l'acte d'exécution.

2.   La Commission détermine, par la voie d'un acte d'exécution, la date de mise en service du BMS partagé, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 13, paragraphe 5, et à l'article 43, paragraphe 5, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 13, paragraphe 5, et à l'article 43, paragraphe 5, ont été adoptées;

| b) | l'eu-LISA a déclaré que les essais complets du BMS partagé qu'elle a menés en coopération avec les autorités des États membres étaient concluants; |
| --- | --- |

b)

l'eu-LISA a déclaré que les essais complets du BMS partagé qu'elle a menés en coopération avec les autorités des États membres étaient concluants;

| c) | l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 13 et les a notifiés à la Commission; |
| --- | --- |

c)

l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 13 et les a notifiés à la Commission;

| d) | l'eu-LISA a déclaré que les essais visés au paragraphe 5, point b), étaient concluants. |
| --- | --- |

d)

l'eu-LISA a déclaré que les essais visés au paragraphe 5, point b), étaient concluants.

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date de l'adoption de l'acte d'exécution.

3.   La Commission détermine, par la voie d'un acte d'exécution, la date de mise en service du CIR, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 43, paragraphe 5, et à l'article 78, paragraphe 10, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 43, paragraphe 5, et à l'article 78, paragraphe 10, ont été adoptées;

| b) | L'eu-LISA a déclaré que les essais complets du CIR qu'elle a menés en coopération avec les autorités des États membres étaient concluants; |
| --- | --- |

b)

L'eu-LISA a déclaré que les essais complets du CIR qu'elle a menés en coopération avec les autorités des États membres étaient concluants;

| c) | l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 18 et les a notifiés à la Commission; |
| --- | --- |

c)

l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 18 et les a notifiés à la Commission;

| d) | l'eu-LISA a déclaré que les essais visés au paragraphe 5, point b), étaient concluants. |
| --- | --- |

d)

l'eu-LISA a déclaré que les essais visés au paragraphe 5, point b), étaient concluants.

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date de l'adoption de l'acte d'exécution.

4.   La Commission détermine, par la voie d'un acte d'exécution, la date de mise en service du MID, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 28, paragraphes 5 et 7, à l'article 32, paragraphe 5, à l'article 33, paragraphe 6, à l'article 43, paragraphe 5, et à l'article 49, paragraphe 6, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 28, paragraphes 5 et 7, à l'article 32, paragraphe 5, à l'article 33, paragraphe 6, à l'article 43, paragraphe 5, et à l'article 49, paragraphe 6, ont été adoptées;

| b) | l'eu-LISA a déclaré que les essais complets du MID, qu'elle a menés en coopération avec les autorités des États membres et l'unité centrale ETIAS, étaient concluants; |
| --- | --- |

b)

l'eu-LISA a déclaré que les essais complets du MID, qu'elle a menés en coopération avec les autorités des États membres et l'unité centrale ETIAS, étaient concluants;

| c) | l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 34 et les a notifiés à la Commission; |
| --- | --- |

c)

l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 34 et les a notifiés à la Commission;

| d) | L'unité centrale ETIAS a adressé à la Commission la notification visée à l'article 71, paragraphe 3; |
| --- | --- |

d)

L'unité centrale ETIAS a adressé à la Commission la notification visée à l'article 71, paragraphe 3;

| e) | l'eu-LISA a déclaré que les essais visés aux paragraphes 1, point b), 2, point b), 3, point b), et 5, point b), étaient concluants. |
| --- | --- |

e)

l'eu-LISA a déclaré que les essais visés aux paragraphes 1, point b), 2, point b), 3, point b), et 5, point b), étaient concluants.

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date de l'adoption de l'acte d'exécution.

5.   La Commission détermine, par la voie d'actes d'exécution, la date à partir de laquelle les mécanismes et procédures automatisés de contrôle de la qualité des données, les indicateurs communs de qualité des données et les normes de qualité minimales doivent être utilisés, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 37, paragraphe 4, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 37, paragraphe 4, ont été adoptées;

| b) | l'eu-LISA a déclaré que les essais complets relatifs aux mécanismes et procédures automatisés de contrôle de la qualité des données, aux indicateurs communs de qualité des données et aux normes de qualité minimales, qu'elle a menés en coopération avec les autorités des États membres, étaient concluants; |
| --- | --- |

b)

l'eu-LISA a déclaré que les essais complets relatifs aux mécanismes et procédures automatisés de contrôle de la qualité des données, aux indicateurs communs de qualité des données et aux normes de qualité minimales, qu'elle a menés en coopération avec les autorités des États membres, étaient concluants;

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date de l'adoption de l'acte d'exécution.

6.   La Commission détermine, par la voie d'un acte d'exécution, la date de mise en service du CRRS, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 39, paragraphe 5, et à l'article 43, paragraphe 5, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 39, paragraphe 5, et à l'article 43, paragraphe 5, ont été adoptées;

| b) | l'eu-LISA a déclaré que les essais complets du CRRS qu'elle a menés en coopération avec les autorités des États membres étaient concluants; |
| --- | --- |

b)

l'eu-LISA a déclaré que les essais complets du CRRS qu'elle a menés en coopération avec les autorités des États membres étaient concluants;

| c) | l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 39 et les a notifiés à la Commission. |
| --- | --- |

c)

l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 39 et les a notifiés à la Commission.

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date de l'adoption de l'acte d'exécution.

7.   La Commission informe le Parlement européen et le Conseil des résultats des essais effectués en vertu des paragraphes 1, point b), 2, point b), 3, point b), 4, point b), 5, point b), et 6, point b).

8.   Les États membres, l'unité centrale ETIAS et Europol commencent à utiliser chacun des éléments d'interopérabilité à partir de la date fixée par la Commission conformément aux paragraphes 1, 2, 3 et 4, respectivement.

Article 73

Exercice de la délégation

1.   Le pouvoir d'adopter des actes délégués conféré à la Commission est soumis aux conditions fixées au présent article.

2.   Le pouvoir d'adopter des actes délégués visé à l'article 28, paragraphe 5, à l'article 39, paragraphe 5, à l'article 49, paragraphe 6, à l'article 67, paragraphe 2, et à l'article 69, paragraphe 8, est conféré à la Commission pour une période de cinq ans à compter du 11 juin 2019. La Commission élabore un rapport relatif à la délégation de pouvoir au plus tard neuf mois avant la fin de la période de cinq ans. La délégation de pouvoir est tacitement prorogée pour des périodes d'une durée identique, sauf si le Parlement européen ou le Conseil s'oppose à cette prorogation trois mois au plus tard avant la fin de chaque période.

3.   La délégation de pouvoir visée à l'article 28, paragraphe 5, à l'article 39, paragraphe 5, à l'article 49, paragraphe 6, à l'article 67, paragraphe 2, et à l'article 69, paragraphe 8, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l'Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur.

4.   Avant l'adoption d'un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016«Mieux légiférer».

5.   Aussitôt qu'elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément.

6.   Un acte délégué adopté en vertu de l'article 28, paragraphe 5, de l'article 39, paragraphe 5, de l'article 49, paragraphe 6, de l'article 67, paragraphe 2, et de l'article 69, paragraphe 8, n'entre en vigueur que si le Parlement européen ou le Conseil n'a pas exprimé d'objections dans un délai de deux mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l'expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d'objections. Ce délai est prolongé de deux mois à l'initiative du Parlement européen ou du Conseil.

Article 74

Comité

1.   La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) no 182/2011.

2.   Lorsqu'il est fait référence au présent paragraphe, l'article 5 du règlement (UE) no 182/2011 s'applique.

Lorsque le comité n'émet aucun avis, la Commission n'adopte pas le projet d'acte d'exécution, et l'article 5, paragraphe 4, troisième alinéa, du règlement (UE) no 182/2011 s'applique.

Article 75

Groupe consultatif

L'eu-LISA crée un groupe consultatif sur l'interopérabilité. Durant la phase de conception et de développement des éléments d'interopérabilité, l'article 54, paragraphes 4, 5 et 6, s'applique.

Article 76

Formation

L'eu-LISA s'acquitte des tâches liées à l'offre d'une formation relative à l'utilisation technique des éléments d'interopérabilité conformément au règlement (UE) 2018/1726.

Les autorités des États membres et les agences de l'Union proposent, à l'intention des membres de leur personnel autorisés à traiter des données par le biais des éléments d'interopérabilité, un programme de formation approprié sur la sécurité des données, la qualité des données et les règles en matière de protection des données ainsi que sur les procédures applicables au traitement des données et les obligations d'informer prévues à l'article 32, paragraphe 4, à l'article 33, paragraphe 4, et à l'article 47.

Le cas échéant, des formations communes sur ces sujets sont organisées au niveau de l'Union afin de renforcer la coopération et l'échange de meilleures pratiques entre les membres du personnel des autorités des États membres et des agences de l'Union qui sont autorisés à traiter les données par le biais des éléments d'interopérabilité. Une attention particulière est accordée au processus de détection d'identités multiples, y compris la vérification manuelle des différentes identités et le besoin qui s'ensuit de maintenir des garanties en ce qui concerne les droits fondamentaux.

Article 77

Manuel pratique

La Commission, en étroite coopération avec les États membres, l'eu-LISA et les autres agences de l'Union concernées, met à disposition un manuel pratique sur la mise en œuvre et la gestion des éléments d'interopérabilité. Le manuel pratique contient des orientations techniques et opérationnelles, des recommandations et des bonnes pratiques. La Commission adopte le manuel pratique sous la forme d'une recommandation.

Article 78

Suivi et évaluation

1.   L'eu-LISA veille à ce que des procédures soient mises en place pour suivre le développement des éléments d'interopérabilité et leur connexion à l'interface nationale uniforme par rapport aux objectifs fixés en matière de planification et de coûts et pour suivre le fonctionnement des éléments d'interopérabilité par rapport aux objectifs fixés en matière de résultats techniques, de coût-efficacité, de sécurité et de qualité du service.

2.   Au plus tard le 12 décembre 2019, puis tous les six mois pendant la phase de développement des éléments d'interopérabilité, l'eu-LISA présente un rapport au Parlement européen et au Conseil sur l'état d'avancement du développement des éléments d'interopérabilité et leur connexion à l'interface uniforme nationale. Une fois le développement achevé, un rapport est présenté au Parlement européen et au Conseil, qui explique en détail la manière dont les objectifs, en particulier ceux ayant trait à la planification et aux coûts, ont été atteints, et justifie les éventuels écarts.

3.   Quatre ans après la mise en service de chaque élément d'interopérabilité conformément à l'article 72, puis tous les quatre ans, l'eu-LISA présente au Parlement européen, au Conseil et à la Commission un rapport sur le fonctionnement technique des éléments d'interopérabilité, y compris sur leur sécurité.

4.   En outre, un an après chaque rapport de l'eu-LISA, la Commission réalise une évaluation globale des éléments d'interopérabilité, y compris:

| a) | une évaluation de l'application du présent règlement; |
| --- | --- |

a)

une évaluation de l'application du présent règlement;

| b) | un examen des résultats obtenus par rapport aux objectifs du présent règlement et de son impact sur les droits fondamentaux, notamment une évaluation de l'incidence des éléments d'interopérabilité sur le droit à la non-discrimination; |
| --- | --- |

b)

un examen des résultats obtenus par rapport aux objectifs du présent règlement et de son impact sur les droits fondamentaux, notamment une évaluation de l'incidence des éléments d'interopérabilité sur le droit à la non-discrimination;

| c) | une évaluation du fonctionnement du portail en ligne, y compris des chiffres concernant son utilisation ainsi que le nombre de demandes traitées avec succès; |
| --- | --- |

c)

une évaluation du fonctionnement du portail en ligne, y compris des chiffres concernant son utilisation ainsi que le nombre de demandes traitées avec succès;

| d) | une évaluation permettant de déterminer si les principes de base des éléments d'interopérabilité restent valables; |
| --- | --- |

d)

une évaluation permettant de déterminer si les principes de base des éléments d'interopérabilité restent valables;

| e) | une évaluation de la sécurité des éléments d'interopérabilité; |
| --- | --- |

e)

une évaluation de la sécurité des éléments d'interopérabilité;

| f) | une évaluation de l'utilisation du CIR à des fins d'identification; |
| --- | --- |

f)

une évaluation de l'utilisation du CIR à des fins d'identification;

| g) | une évaluation de l'utilisation du CIR à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière; |
| --- | --- |

g)

une évaluation de l'utilisation du CIR à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière;

| h) | une évaluation de toute conséquence y compris toute incidence disproportionnée sur la fluidité du trafic aux points de passage frontaliers et les conséquences ayant un impact sur le budget général de l'Union; |
| --- | --- |

h)

une évaluation de toute conséquence y compris toute incidence disproportionnée sur la fluidité du trafic aux points de passage frontaliers et les conséquences ayant un impact sur le budget général de l'Union;

| i) | une évaluation des recherches effectuées dans les bases de données d'Interpol via l'ESP, y compris des informations sur le nombre de correspondances dans les bases de données d'Interpol et des informations sur tout problème rencontré. |
| --- | --- |

i)

une évaluation des recherches effectuées dans les bases de données d'Interpol via l'ESP, y compris des informations sur le nombre de correspondances dans les bases de données d'Interpol et des informations sur tout problème rencontré.

Les évaluations globales prévues au premier alinéa du présent paragraphe comprennent les éventuelles recommandations nécessaires. La Commission transmet le rapport d'évaluation au Parlement européen, au Conseil, au Contrôleur européen de la protection des données et à l'Agence des droits fondamentaux de l'Union européenne.

5.   Au plus tard le 12 juin 2020 puis chaque année jusqu'à l'adoption par la Commission des actes d'exécution visés à l'article 72, la Commission présente au Parlement européen et au Conseil un rapport sur l'état d'avancement des préparations pour la mise en œuvre complète du présent règlement. Ce rapport contient également des informations détaillées sur les coûts encourus ainsi que des informations relatives à tout risque susceptible d'avoir des retombées sur les coûts totaux.

6.   Deux ans après la mise en service du MID conformément à l'article 72, paragraphe 4, la Commission examine l'incidence du MID sur le droit à la non-discrimination. À la suite de ce premier rapport, l'examen de l'incidence du MID sur le droit à la non-discrimination fait partie intégrante de l'examen visé au paragraphe 4, point b), du présent article.

7.   Les États membres et Europol communiquent à l'eu-LISA et à la Commission les informations nécessaires à l'établissement des rapports visés aux paragraphes 3 à 6. Ces informations ne peuvent porter préjudice aux méthodes de travail ni comprendre des indications sur les sources, les membres du personnel ou les enquêtes des autorités désignées.

8.   L'eu-LISA fournit à la Commission les informations nécessaires pour élaborer l'évaluation globale visée au paragraphe 4.

9.   Tout en respectant les dispositions du droit national relatives à la publication d'informations sensibles, et sans préjudice des restrictions nécessaires pour protéger la sécurité et l'ordre public, prévenir la criminalité et garantir qu'aucune enquête nationale ne sera compromise, chaque État membre et Europol établissent des rapports annuels sur l'efficacité de l'accès aux données stockées dans le CIR à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, comportant des informations et des statistiques sur:

| a) | les finalités précises de la consultation, notamment les types d'infractions terroristes ou autres infractions pénales graves; |
| --- | --- |

a)

les finalités précises de la consultation, notamment les types d'infractions terroristes ou autres infractions pénales graves;

| b) | les motifs raisonnables invoqués qui permettent de soupçonner de manière justifiée que le suspect, l'auteur ou la victime relève du règlement (UE) 2017/2226, du règlement (CE) no 767/2008 ou du règlement (UE) 2018/1240; |
| --- | --- |

b)

les motifs raisonnables invoqués qui permettent de soupçonner de manière justifiée que le suspect, l'auteur ou la victime relève du règlement (UE) 2017/2226, du règlement (CE) no 767/2008 ou du règlement (UE) 2018/1240;

| c) | le nombre de demandes d'accès au CIR aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière; |
| --- | --- |

c)

le nombre de demandes d'accès au CIR aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière;

| d) | le nombre et les types de cas qui ont permis une identification; |
| --- | --- |

d)

le nombre et les types de cas qui ont permis une identification;

| e) | la nécessité de disposer de procédures exceptionnelles dans les cas d'urgence et l'usage qui en a été fait, y compris lorsque le caractère urgent n'a pas été validé par le point d'accès central lors de la vérification a posteriori. |
| --- | --- |

e)

la nécessité de disposer de procédures exceptionnelles dans les cas d'urgence et l'usage qui en a été fait, y compris lorsque le caractère urgent n'a pas été validé par le point d'accès central lors de la vérification a posteriori.

Les rapports annuels préparés par les États membres et par Europol sont transmis à la Commission au plus tard le 30 juin de l'année suivante.

10.   Une solution technique est mise à la disposition des États membres afin de gérer les demandes d'accès des utilisateurs visées à l'article 22 et de faciliter la collecte d'informations au titre des paragraphes 7 et 9 du présent article, en vue de générer les rapports et statistiques visés dans ces paragraphes. La Commission adopte des actes d'exécution pour fixer les spécifications de la solution technique. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 74, paragraphe 2.

Article 79

Entrée en vigueur et applicabilité

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne.

Journal officiel de l'Union européenne

Les dispositions du présent règlement relatives à l'ESP s'appliquent à compter de la date déterminée par la Commission conformément à l'article 72, paragraphe 1.

Les dispositions du présent règlement relatives au BMS partagé s'appliquent à compter de la date déterminée par la Commission conformément à l'article 72, paragraphe 2.

Les dispositions du présent règlement relatives au CIR s'appliquent à compter de la date déterminée par la Commission conformément à l'article 72, paragraphe 3.

Les dispositions du présent règlement relatives au MID s'appliquent à compter de la date déterminée par la Commission conformément à l'article 72, paragraphe 4.

Les dispositions du présent règlement relatives aux mécanismes et procédures automatisés de contrôle de la qualité des données, aux indicateurs communs de qualité des données et aux normes de qualité minimales s'appliquent, respectivement, à compter des dates déterminées par la Commission conformément à l'article 72, paragraphe 5.

Les dispositions du présent règlement relatives au CRRS s'appliquent à compter de la date déterminée par la Commission conformément à l'article 72, paragraphe 6.

Les articles 6, 12, 17, 25, 38, 42, 54, 56, 57, 70, 71, 73, 74, 75, 77 et l'article 78, paragraphe 1, s'appliquent à compter du 11 juin 2019.

En ce qui concerne Eurodac, le présent règlement s'applique à partir de la date d'application de la refonte du règlement (UE) no 603/2013.

o

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans les États membres conformément aux traités.

Fait à Bruxelles, le 20 mai 2019.

Par le Parlement européen

Le président

A. TAJANI

Par le Conseil

Le président

G. CIAMBA

---

(1)  
  JO C 283 du 10.8.2018, p. 48.

1

(2)  Position du Parlement européen du 16 avril 2019 (non encore parue au Journal officiel) et décision du Conseil du 14 mai 2019.

2

(3)  
  JO C 101 du 16.3.2018, p. 116.

3

(4)  Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

4

(5)  Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).

5

(6)  Position commune 2005/69/JAI du Conseil du 24 janvier 2005 relative à l'échange de certaines données avec Interpol (JO L 27 du 29.1.2005, p. 61).

6

(7)  Décision 2007/533/JAI du Conseil du 12 juin 2007 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen de deuxième génération (SIS II) (JO L 205 du 7.8.2007, p. 63).

7

(8)  Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).

8

o

o

(9)  Règlement (UE) 2016/399 du Parlement européen et du Conseil du 9 mars 2016 concernant un code de l'Union relatif au régime de franchissement des frontières par les personnes (code frontières Schengen) (JO L 77 du 23.3.2016, p. 1).

9

(10)  Règlement (UE) 2018/1860 du Parlement européen et du Conseil du 28 novembre 2018 relatif à l'utilisation du système d'information Schengen aux fins du retour des ressortissants de pays tiers en séjour irrégulier (JO L 312 du 7.12.2018, p. 1).

10

(11)  Règlement (UE) 2018/1861 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine des vérifications aux frontières, modifiant la convention d'application de l'accord de Schengen et modifiant et abrogeant le règlement (CE) no 1987/2006 (JO L 312 du 7.12.2018, p. 14).

11

o

(12)  Règlement (UE) 2018/1862 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, modifiant et abrogeant la décision 2007/533/JAI du Conseil, et abrogeant le règlement (CE) no 1986/2006 du Parlement européen et du Conseil et la décision 2010/261/UE de la Commission (JO L 312 du 7.12.2018, p. 56).

12

o

(13)  Règlement (UE) 2017/2226 du Parlement européen et du Conseil du 30 novembre 2017 portant création d'un système d'entrée/de sortie (EES) pour enregistrer les données relatives aux entrées, aux sorties et aux refus d'entrée concernant les ressortissants de pays tiers qui franchissent les frontières extérieures des États membres et portant détermination des conditions d'accès à l'EES, à des fins répressives, et modifiant la convention d'application de l'accord de Schengen et les règlements (CE) no 767/2008 et (UE) no 1077/2011 (règlement EES) (JO L 327 du 9.12.2017, p. 20).

13

o

o

(14)  Règlement (CE) no 767/2008 du Parlement européen et du Conseil du 9 juillet 2008 concernant le système d'information sur les visas (VIS) et l'échange de données entre les États membres sur les visas de court séjour (règlement VIS) (JO L 218 du 13.8.2008, p. 60).

14

o

(15)  Règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d'un système européen d'information et d'autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 (JO L 236 du 19.9.2018, p. 1).

15

o

o

(16)  Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO L 135 du 24.5.2016, p. 53.).

16

(17)  Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).

17

o

(18)  
  JO C 233 du 4.7.2018, p. 12.

18

(19)  Règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil du 18 juillet 2018 relatif aux règles financières applicables au budget général de l'Union, modifiant les règlements (UE) no 1296/2013, (UE) no 1301/2013, (UE) no 1303/2013, (UE) no 1304/2013, (UE) no 1309/2013, (UE) no 1316/2013, (UE) no 223/2014, (UE) no 283/2014 et la décision no 541/2014/UE, et abrogeant le règlement (UE, Euratom) no 966/2012 (JO L 193 du 30.7.2018, p. 1).

19

o

o

o

o

o

o

o

o

o

o

(20)  Règlement (UE) no 515/2014 du Parlement européen et du Conseil du 16 avril 2014 portant création, dans le cadre du Fonds pour la sécurité intérieure, de l'instrument de soutien financier dans le domaine des frontières extérieures et des visas et abrogeant la décision no 574/2007/CE (JO L 150 du 20.5.2014, p. 143).

20

o

o

(21)  
  JO L 123 du 12.5.2016, p. 1.

21

(22)  Règlement (UE) no 182/2011 du Parlement européen et du Conseil du 16 février 2011 établissant les règles et principes généraux relatifs aux modalités de contrôle par les États membres de l'exercice des compétences d'exécution par la Commission (JO L 55 du 28.2.2011, p. 13).

22

o

(23)  Directive 2004/38/CE du Parlement européen et du Conseil du 29 avril 2004 relative au droit des citoyens de l'Union et des membres de leurs familles de circuler et de séjourner librement sur le territoire des États membres, modifiant le règlement (CEE) no 1612/68 et abrogeant les directives 64/221/CEE, 68/360/CEE, 72/194/CEE, 73/148/CEE, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/365/CEE et 93/96/CEE (JO L 158 du 30.4.2004, p. 77).

23

o

(24)  Décision 2000/365/CE du Conseil du 29 mai 2000 relative à la demande du Royaume-Uni de Grande-Bretagne et d'Irlande du Nord de participer à certaines dispositions de l'acquis de Schengen (JO L 131 du 1.6.2000, p. 43).

24

(25)  Décision 2002/192/CE du Conseil du 28 février 2002 relative à la demande de l'Irlande de participer à certaines dispositions de l'acquis de Schengen (JO L 64 du 7.3.2002, p. 20).

25

(26)  
  JO L 176 du 10.7.1999, p. 36.

26

(27)  Décision 1999/437/CE du Conseil du 17 mai 1999 relative à certaines modalités d'application de l'accord conclu par le Conseil de l'Union européenne et la République d'Islande et le Royaume de Norvège sur l'association de ces États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (JO L 176 du 10.7.1999, p. 31).

27

(28)  
  JO L 53 du 27.2.2008, p. 52.

28

(29)  Décision 2008/146/CE du Conseil du 28 janvier 2008 relative à la conclusion, au nom de la Communauté européenne, de l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (JO L 53 du 27.2.2008, p. 1).

29

(30)  
  JO L 160 du 18.6.2011, p. 21.

30

(31)  Décision 2011/350/UE du Conseil du 7 mars 2011 relative à la conclusion, au nom de l'Union européenne, du protocole entre l'Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen en ce qui concerne la suppression des contrôles aux frontières intérieures et la circulation des personnes (JO L 160 du 18.6.2011, p. 19).

31

(32)  Décision 2004/512/CE du Conseil du 8 juin 2004 portant création du système d'information sur les visas (VIS) (JO L 213 du 15.6.2004, p. 5).

32

(33)  Décision 2008/633/JAI du Conseil du 23 juin 2008 concernant l'accès en consultation au système d'information sur les visas (VIS) par les autorités désignées des États membres et par l'Office européen de police (Europol) aux fins de la prévention et de la détection des infractions terroristes et des autres infractions pénales graves, ainsi qu'aux fins des enquêtes en la matière (JO L 218 du 13.8.2008, p. 129).

33

(34)  Règlement (UE) 2019/818 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816 (voir page 85 du présent Journal officiel).

34

(35)  Directive (UE) 2017/541 du Parlement européen et du Conseil du 15 mars 2017 relative à la lutte contre le terrorisme et remplaçant la décision-cadre 2002/475/JAI du Conseil et modifiant la décision 2005/671/JAI du Conseil (JO L 88 du 31.3.2017, p. 6).

35

(36)  Décision-cadre 2002/584/JAI du Conseil du 13 juin 2002 relative au mandat d'arrêt européen et aux procédures de remise entre États membres (JO L 190 du 18.7.2002, p. 1).

36

(37)  Règlement (UE) no 603/2013 du Parlement européen et du Conseil du 26 juin 2013 relatif à la création d'Eurodac pour la comparaison des empreintes digitales aux fins de l'application efficace du règlement (UE) no 604/2013 établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale introduite dans l'un des États membres par un ressortissant de pays tiers ou un apatride et relatif aux demandes de comparaison avec les données d'Eurodac présentées par les autorités répressives des États membres et Europol à des fins répressives, et modifiant le règlement (UE) no 1077/2011 portant création d'une agence européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (JO L 180 du 29.6.2013, p. 1).

37

o

o

o

(38)  Règlement (UE) 2019/816 du Parlement européen et du Conseil du 17 avril 2019 portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726 (voir page 1 du présent Journal officiel).

38

(39)  Règlement (CE) no 168/2007 du Conseil du 15 février 2007 portant création d'une Agence des droits fondamentaux de l'Union européenne (JO L 53 du 22.2.2007, p. 1).

39

o

(40)  Règlement (UE) 2016/1624 du Parlement européen et du Conseil du 14 septembre 2016 relatif au corps européen de garde-frontières et de garde-côtes, modifiant le règlement (UE) 2016/399 du Parlement européen et du Conseil et abrogeant le règlement (CE) no 863/2007 du Parlement européen et du Conseil, le règlement (CE) no 2007/2004 du Conseil et la décision 2005/267/CE du Conseil (JO L 251 du 16.9.2016, p. 1).

40

o

o

---

| 22.5.2019 | FR | Journal officiel de l'Union européenne | L 135/85 |
| --- | --- | --- | --- |

22.5.2019

FR

Journal officiel de l'Union européenne

L 135/85

---

RÈGLEMENT (UE) 2019/818 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 20 mai 2019

portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 16, paragraphe 2, son article 74, son article 78, paragraphe 2, point e), son article 79, paragraphe 2, point c), son article 82, paragraphe 1, point d), son article 85, paragraphe 1, son article 87, paragraphe 2, point a), et son article 88, paragraphe 2,

vu la proposition de la Commission européenne,

après transmission du projet d'acte législatif aux parlements nationaux,

vu l'avis du Comité économique et social européen (1),

après consultation du Comité des régions,

statuant conformément à la procédure législative ordinaire (2),

considérant ce qui suit:

| (1) | Dans sa communication du 6 avril 2016 intitulée «Des systèmes d'information plus robustes et plus intelligents au service des frontières et de la sécurité», la Commission a souligné la nécessité d'améliorer l'architecture de la gestion des données de l'Union appliquée à la gestion des frontières et à la sécurité. La communication a lancé un processus visant à atteindre l'interopérabilité des systèmes d'information de l'UE pour la sécurité, les frontières et la gestion des migrations, dans le but de remédier aux lacunes structurelles de ces systèmes qui ralentissent le travail des autorités nationales et de garantir que les garde-frontières, les autorités douanières, les policiers et les autorités judiciaires disposent des informations dont ils ont besoin. |
| --- | --- |

(1)

Dans sa communication du 6 avril 2016 intitulée «Des systèmes d'information plus robustes et plus intelligents au service des frontières et de la sécurité», la Commission a souligné la nécessité d'améliorer l'architecture de la gestion des données de l'Union appliquée à la gestion des frontières et à la sécurité. La communication a lancé un processus visant à atteindre l'interopérabilité des systèmes d'information de l'UE pour la sécurité, les frontières et la gestion des migrations, dans le but de remédier aux lacunes structurelles de ces systèmes qui ralentissent le travail des autorités nationales et de garantir que les garde-frontières, les autorités douanières, les policiers et les autorités judiciaires disposent des informations dont ils ont besoin.

| (2) | Dans sa feuille de route en vue de renforcer l'échange d'informations et la gestion de l'information, y compris des solutions d'interopérabilité, dans le domaine de la justice et des affaires intérieures, du 6 juin 2016, le Conseil a recensé plusieurs défis juridiques, techniques et opérationnels en matière d'interopérabilité des systèmes d'information de l'UE et a invité à rechercher des solutions. |
| --- | --- |

(2)

Dans sa feuille de route en vue de renforcer l'échange d'informations et la gestion de l'information, y compris des solutions d'interopérabilité, dans le domaine de la justice et des affaires intérieures, du 6 juin 2016, le Conseil a recensé plusieurs défis juridiques, techniques et opérationnels en matière d'interopérabilité des systèmes d'information de l'UE et a invité à rechercher des solutions.

| (3) | Dans sa résolution du 6 juillet 2016 sur les priorités stratégiques pour le programme de travail de la Commission pour 2017 (3), le Parlement européen a invité à présenter des propositions visant à améliorer et à développer les systèmes d'information de l'UE existants, à combler les lacunes en matière d'informations et à progresser vers l'interopérabilité, ainsi que des propositions concernant l'échange obligatoire d'informations au niveau de l'Union, assorti des garanties nécessaires en matière de protection des données. |
| --- | --- |

(3)

Dans sa résolution du 6 juillet 2016 sur les priorités stratégiques pour le programme de travail de la Commission pour 2017 (3), le Parlement européen a invité à présenter des propositions visant à améliorer et à développer les systèmes d'information de l'UE existants, à combler les lacunes en matière d'informations et à progresser vers l'interopérabilité, ainsi que des propositions concernant l'échange obligatoire d'informations au niveau de l'Union, assorti des garanties nécessaires en matière de protection des données.

| (4) | Dans ses conclusions du 15 décembre 2016, le Conseil européen a appelé à poursuivre les efforts en matière d'interopérabilité des systèmes d'information et des bases de données de l'UE. |
| --- | --- |

(4)

Dans ses conclusions du 15 décembre 2016, le Conseil européen a appelé à poursuivre les efforts en matière d'interopérabilité des systèmes d'information et des bases de données de l'UE.

| (5) | Dans son rapport final du 11 mai 2017, le groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité a conclu qu'il était nécessaire et techniquement faisable d'œuvrer à des solutions pratiques d'interopérabilité et que l'interopérabilité pouvait, en principe, apporter des bénéfices opérationnels et être mise en place conformément aux exigences en matière de protection des données. |
| --- | --- |

(5)

Dans son rapport final du 11 mai 2017, le groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité a conclu qu'il était nécessaire et techniquement faisable d'œuvrer à des solutions pratiques d'interopérabilité et que l'interopérabilité pouvait, en principe, apporter des bénéfices opérationnels et être mise en place conformément aux exigences en matière de protection des données.

| (6) | Dans sa communication du 16 mai 2017 intitulée «Septième rapport sur les progrès accomplis dans la mise en place d'une union de la sécurité réelle et effective», la Commission a défini, conformément à sa communication du 6 avril 2016 et aux conclusions et recommandations du groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité, une nouvelle approche de la gestion des données pour les frontières, la sécurité et les migrations, selon laquelle tous les systèmes d'information de l'UE pour la sécurité, les frontières et la gestion des migrations devaient être interopérables, d'une manière qui respecte pleinement des droits fondamentaux. |
| --- | --- |

(6)

Dans sa communication du 16 mai 2017 intitulée «Septième rapport sur les progrès accomplis dans la mise en place d'une union de la sécurité réelle et effective», la Commission a défini, conformément à sa communication du 6 avril 2016 et aux conclusions et recommandations du groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité, une nouvelle approche de la gestion des données pour les frontières, la sécurité et les migrations, selon laquelle tous les systèmes d'information de l'UE pour la sécurité, les frontières et la gestion des migrations devaient être interopérables, d'une manière qui respecte pleinement des droits fondamentaux.

| (7) | Dans ses conclusions du 9 juin 2017 concernant la voie à suivre pour améliorer l'échange d'informations et assurer l'interopérabilité des systèmes d'information de l'UE, le Conseil a invité la Commission à poursuivre les solutions d'interopérabilité proposées par le groupe d'experts de haut niveau. |
| --- | --- |

(7)

Dans ses conclusions du 9 juin 2017 concernant la voie à suivre pour améliorer l'échange d'informations et assurer l'interopérabilité des systèmes d'information de l'UE, le Conseil a invité la Commission à poursuivre les solutions d'interopérabilité proposées par le groupe d'experts de haut niveau.

| (8) | Dans ses conclusions du 23 juin 2017, le Conseil européen a souligné la nécessité d'améliorer l'interopérabilité des bases de données et a invité la Commission à préparer, dès que possible, un projet de texte législatif sur la base des propositions formulées par le groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité. |
| --- | --- |

(8)

Dans ses conclusions du 23 juin 2017, le Conseil européen a souligné la nécessité d'améliorer l'interopérabilité des bases de données et a invité la Commission à préparer, dès que possible, un projet de texte législatif sur la base des propositions formulées par le groupe d'experts de haut niveau sur les systèmes d'information et l'interopérabilité.

| (9) | Dans le but d'améliorer l'efficacité et l'efficience des vérifications aux frontières extérieures, de contribuer à prévenir et combattre l'immigration illégale et de favoriser un niveau élevé de sécurité au sein de l'espace de liberté, de sécurité et de justice de l'Union, y compris la préservation de la sécurité publique et de l'ordre public et la sauvegarde de la sécurité sur les territoires des États membres, d'améliorer la mise en œuvre de la politique commune des visas, d'aider dans l'examen des demandes de protection internationale, de contribuer à la prévention et à la détection des infractions terroristes et d'autres infractions pénales graves et aux enquêtes en la matière, de faciliter l'identification de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou des restes humains non identifiés en cas de catastrophe naturelle, d'accident ou d'attaque terroriste, afin de préserver la confiance des citoyens à l'égard du régime d'asile et de migration de l'Union, des mesures de sécurité de l'Union et de la capacité de l'Union à gérer les frontières extérieures, il convient d'établir l'interopérabilité des systèmes d'information de l'UE, à savoir le système d'entrée/de sortie (EES), le système d'information sur les visas (VIS), le système européen d'information et d'autorisation concernant les voyages (ETIAS), Eurodac, le système d'information Schengen (SIS) et le système européen d'information sur les casiers judiciaires pour les ressortissants de pays tiers (ECRIS-TCN), afin que lesdits systèmes d'information de l'UE et leurs données se complètent mutuellement, tout en respectant les droits fondamentaux des personnes, en particulier le droit à la protection des données à caractère personnel. À cet effet, il convient de créer un portail de recherche européen (ESP), un service partagé d'établissement de correspondances biométriques (BMS partagé), un répertoire commun de données d'identité (CIR) et un détecteur d'identités multiples (MID) en tant qu'éléments d'interopérabilité. |
| --- | --- |

(9)

Dans le but d'améliorer l'efficacité et l'efficience des vérifications aux frontières extérieures, de contribuer à prévenir et combattre l'immigration illégale et de favoriser un niveau élevé de sécurité au sein de l'espace de liberté, de sécurité et de justice de l'Union, y compris la préservation de la sécurité publique et de l'ordre public et la sauvegarde de la sécurité sur les territoires des États membres, d'améliorer la mise en œuvre de la politique commune des visas, d'aider dans l'examen des demandes de protection internationale, de contribuer à la prévention et à la détection des infractions terroristes et d'autres infractions pénales graves et aux enquêtes en la matière, de faciliter l'identification de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou des restes humains non identifiés en cas de catastrophe naturelle, d'accident ou d'attaque terroriste, afin de préserver la confiance des citoyens à l'égard du régime d'asile et de migration de l'Union, des mesures de sécurité de l'Union et de la capacité de l'Union à gérer les frontières extérieures, il convient d'établir l'interopérabilité des systèmes d'information de l'UE, à savoir le système d'entrée/de sortie (EES), le système d'information sur les visas (VIS), le système européen d'information et d'autorisation concernant les voyages (ETIAS), Eurodac, le système d'information Schengen (SIS) et le système européen d'information sur les casiers judiciaires pour les ressortissants de pays tiers (ECRIS-TCN), afin que lesdits systèmes d'information de l'UE et leurs données se complètent mutuellement, tout en respectant les droits fondamentaux des personnes, en particulier le droit à la protection des données à caractère personnel. À cet effet, il convient de créer un portail de recherche européen (ESP), un service partagé d'établissement de correspondances biométriques (BMS partagé), un répertoire commun de données d'identité (CIR) et un détecteur d'identités multiples (MID) en tant qu'éléments d'interopérabilité.

| (10) | L'interopérabilité des systèmes d'information de l'UE devrait permettre auxdits systèmes de se compléter mutuellement afin de faciliter l'identification correcte des personnes, y compris de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou de restes humains non identifiés, de contribuer à la lutte contre la fraude à l'identité, d'améliorer et d'harmoniser les exigences en matière de qualité des données des différents systèmes d'information de l'UE, de faciliter la mise en œuvre technique et opérationnelle par les États membres des systèmes d'information de l'UE, de renforcer les garanties en matière de sécurité des données et de protection des données régissant les différents systèmes d'information de l'UE, de rationaliser l'accès aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, à l'EES, au VIS, à ETIAS et à Eurodac et de servir les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN. |
| --- | --- |

(10)

L'interopérabilité des systèmes d'information de l'UE devrait permettre auxdits systèmes de se compléter mutuellement afin de faciliter l'identification correcte des personnes, y compris de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou de restes humains non identifiés, de contribuer à la lutte contre la fraude à l'identité, d'améliorer et d'harmoniser les exigences en matière de qualité des données des différents systèmes d'information de l'UE, de faciliter la mise en œuvre technique et opérationnelle par les États membres des systèmes d'information de l'UE, de renforcer les garanties en matière de sécurité des données et de protection des données régissant les différents systèmes d'information de l'UE, de rationaliser l'accès aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, à l'EES, au VIS, à ETIAS et à Eurodac et de servir les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN.

| (11) | Les éléments d'interopérabilité devraient concerner l'EES, le VIS, ETIAS, Eurodac, le SIS et l'ECRIS-TCN. Ils devraient également concerner les données d'Europol, mais uniquement dans la mesure nécessaire pour permettre que les données d'Europol puissent être interrogées en même temps que ces systèmes d'information de l'UE. |
| --- | --- |

(11)

Les éléments d'interopérabilité devraient concerner l'EES, le VIS, ETIAS, Eurodac, le SIS et l'ECRIS-TCN. Ils devraient également concerner les données d'Europol, mais uniquement dans la mesure nécessaire pour permettre que les données d'Europol puissent être interrogées en même temps que ces systèmes d'information de l'UE.

| (12) | Les éléments d'interopérabilité devraient traiter les données à caractère personnel des personnes dont les données à caractère personnel sont traitées dans les systèmes d'information de l'UE sous-jacents et par Europol, |
| --- | --- |

(12)

Les éléments d'interopérabilité devraient traiter les données à caractère personnel des personnes dont les données à caractère personnel sont traitées dans les systèmes d'information de l'UE sous-jacents et par Europol,

| (13) | L'ESP devrait être créé afin de faciliter d'un point de vue technique l'accès rapide, continu, efficace, systématique et contrôlé des autorités des États membres et des agences de l'Union aux systèmes d'information de l'UE, aux données d'Europol et aux bases de données de l'Organisation internationale de police criminelle (Interpol), dans la mesure où cela est nécessaire à l'accomplissement de leurs tâches conformément à leurs droits d'accès. L'ESP devrait être créé pour soutenir les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS, de l'ECRIS-TCN et d'Europol. En permettant d'interroger l'ensemble des systèmes d'information pertinents de l'UE, les données d'Europol et les bases de données d'Interpol en parallèle, l'ESP devrait constituer un guichet unique ou «courtier de messages» afin d'effectuer des recherches dans plusieurs systèmes centraux et de récupérer les informations nécessaires sans discontinuité et dans le plein respect des exigences en matière de contrôle de l'accès et de protection des données des systèmes sous-jacents. |
| --- | --- |

(13)

L'ESP devrait être créé afin de faciliter d'un point de vue technique l'accès rapide, continu, efficace, systématique et contrôlé des autorités des États membres et des agences de l'Union aux systèmes d'information de l'UE, aux données d'Europol et aux bases de données de l'Organisation internationale de police criminelle (Interpol), dans la mesure où cela est nécessaire à l'accomplissement de leurs tâches conformément à leurs droits d'accès. L'ESP devrait être créé pour soutenir les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS, de l'ECRIS-TCN et d'Europol. En permettant d'interroger l'ensemble des systèmes d'information pertinents de l'UE, les données d'Europol et les bases de données d'Interpol en parallèle, l'ESP devrait constituer un guichet unique ou «courtier de messages» afin d'effectuer des recherches dans plusieurs systèmes centraux et de récupérer les informations nécessaires sans discontinuité et dans le plein respect des exigences en matière de contrôle de l'accès et de protection des données des systèmes sous-jacents.

| (14) | La conception de l'ESP devrait garantir que, lors de l'interrogation des bases de données d'Interpol, les données employées par un utilisateur de l'ESP pour lancer une requête ne sont pas partagées avec les propriétaires des données d'Interpol. La conception de l'ESP devrait également garantir que les bases de données d'Interpol sont seulement interrogées conformément au droit de l'Union et au droit national applicables. |
| --- | --- |

(14)

La conception de l'ESP devrait garantir que, lors de l'interrogation des bases de données d'Interpol, les données employées par un utilisateur de l'ESP pour lancer une requête ne sont pas partagées avec les propriétaires des données d'Interpol. La conception de l'ESP devrait également garantir que les bases de données d'Interpol sont seulement interrogées conformément au droit de l'Union et au droit national applicables.

| (15) | Les utilisateurs de l'ESP qui ont le droit d'accéder aux données d'Europol en vertu du règlement (UE) 2016/794 du Parlement européen et du Conseil (4) devraient pouvoir interroger les données d'Europol en même temps que les systèmes d'information de l'UE auxquels ils ont accès. Tout traitement ultérieur de données faisant suite à une telle interrogation devrait avoir lieu conformément au règlement (UE) 2016/794, y compris les limitations d'accès ou d'utilisation imposées par le fournisseur de données. |
| --- | --- |

(15)

Les utilisateurs de l'ESP qui ont le droit d'accéder aux données d'Europol en vertu du règlement (UE) 2016/794 du Parlement européen et du Conseil (4) devraient pouvoir interroger les données d'Europol en même temps que les systèmes d'information de l'UE auxquels ils ont accès. Tout traitement ultérieur de données faisant suite à une telle interrogation devrait avoir lieu conformément au règlement (UE) 2016/794, y compris les limitations d'accès ou d'utilisation imposées par le fournisseur de données.

| (16) | L'ESP devrait être développé et configuré de telle sorte qu'il ne permette pas de procéder à de telles interrogations qu'en utilisant des données liées aux personnes ou aux documents de voyage figurant dans un système d'information de l'UE, dans les données d'Europol ou dans les bases de données d'Interpol. |
| --- | --- |

(16)

L'ESP devrait être développé et configuré de telle sorte qu'il ne permette pas de procéder à de telles interrogations qu'en utilisant des données liées aux personnes ou aux documents de voyage figurant dans un système d'information de l'UE, dans les données d'Europol ou dans les bases de données d'Interpol.

| (17) | Afin d'assurer l'utilisation systématique des systèmes d'information de l'UE pertinents, l'ESP devrait être utilisé pour interroger le CIR, l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN. Toutefois, une connexion nationale aux différents systèmes d'information de l'UE devrait être conservée en tant que solution de secours technique. Les agences de l'Union devraient également utiliser l'ESP afin d'interroger le SIS central, conformément à leurs droits d'accès et afin d'exécuter leurs missions. L'ESP devrait constituer un moyen supplémentaire d'interroger le SIS central, les données d'Europol et les bases de données d'Interpol, en complément des interfaces spécifiques existantes. |
| --- | --- |

(17)

Afin d'assurer l'utilisation systématique des systèmes d'information de l'UE pertinents, l'ESP devrait être utilisé pour interroger le CIR, l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN. Toutefois, une connexion nationale aux différents systèmes d'information de l'UE devrait être conservée en tant que solution de secours technique. Les agences de l'Union devraient également utiliser l'ESP afin d'interroger le SIS central, conformément à leurs droits d'accès et afin d'exécuter leurs missions. L'ESP devrait constituer un moyen supplémentaire d'interroger le SIS central, les données d'Europol et les bases de données d'Interpol, en complément des interfaces spécifiques existantes.

| (18) | Les données biométriques, telles que les empreintes digitales et les images faciales, sont uniques et donc bien plus fiables que les données alphanumériques aux fins de l'identification d'une personne. Le BMS partagé devrait être un outil technique permettant de renforcer et de faciliter le fonctionnement des systèmes d'information de l'UE pertinents et des autres éléments d'interopérabilité. L'objectif principal du BMS partagé devrait être de faciliter l'identification d'une personne qui est enregistrée dans plusieurs bases de données, en utilisant un élément technologique unique pour faire correspondre les données biométriques de cette personne contenues dans différents systèmes plutôt que plusieurs éléments. Le BMS partagé devrait contribuer à la sécurité et procurer des avantages sur les plans financier, opérationnel et de la maintenance. Tous les systèmes automatisés d'identification par empreintes digitales, y compris ceux actuellement utilisés pour Eurodac, le VIS et le SIS, utilisent des modèles biométriques constitués de données résultant d'une extraction des caractéristiques d'échantillons biométriques réels. Le BMS partagé devrait regrouper et stocker tous ces modèles biométriques – séparés logiquement en fonction du système d'information d'où les données proviennent – à un seul endroit, facilitant ainsi les comparaisons de modèles biométriques entre les systèmes et permettant des économies d'échelle dans le développement et la maintenance des systèmes centraux de l'UE. |
| --- | --- |

(18)

Les données biométriques, telles que les empreintes digitales et les images faciales, sont uniques et donc bien plus fiables que les données alphanumériques aux fins de l'identification d'une personne. Le BMS partagé devrait être un outil technique permettant de renforcer et de faciliter le fonctionnement des systèmes d'information de l'UE pertinents et des autres éléments d'interopérabilité. L'objectif principal du BMS partagé devrait être de faciliter l'identification d'une personne qui est enregistrée dans plusieurs bases de données, en utilisant un élément technologique unique pour faire correspondre les données biométriques de cette personne contenues dans différents systèmes plutôt que plusieurs éléments. Le BMS partagé devrait contribuer à la sécurité et procurer des avantages sur les plans financier, opérationnel et de la maintenance. Tous les systèmes automatisés d'identification par empreintes digitales, y compris ceux actuellement utilisés pour Eurodac, le VIS et le SIS, utilisent des modèles biométriques constitués de données résultant d'une extraction des caractéristiques d'échantillons biométriques réels. Le BMS partagé devrait regrouper et stocker tous ces modèles biométriques – séparés logiquement en fonction du système d'information d'où les données proviennent – à un seul endroit, facilitant ainsi les comparaisons de modèles biométriques entre les systèmes et permettant des économies d'échelle dans le développement et la maintenance des systèmes centraux de l'UE.

| (19) | Les modèles biométriques stockés dans le BMS partagé devraient être constitués de données résultant d'une extraction des caractéristiques d'échantillons biométriques réels et obtenus de telle manière qu'il ne soit pas possible d'inverser le processus d'extraction. Les modèles biométriques devraient être obtenus à partir des données biométriques, mais il ne devrait pas être possible d'obtenir les mêmes données biométriques à partir des modèles biométriques. Étant donné que les données sous la forme d'empreintes palmaires et les profils ADN ne sont stockés que dans le SIS et ne peuvent pas être utilisés pour être recoupés avec des données contenues dans d'autres systèmes d'information, en suivant les principes de nécessité et de proportionnalité, le BMS partagé ne devrait pas stocker de profils ADN ou de modèles biométriques obtenus à partir de données sous la forme d'empreintes palmaires. |
| --- | --- |

(19)

Les modèles biométriques stockés dans le BMS partagé devraient être constitués de données résultant d'une extraction des caractéristiques d'échantillons biométriques réels et obtenus de telle manière qu'il ne soit pas possible d'inverser le processus d'extraction. Les modèles biométriques devraient être obtenus à partir des données biométriques, mais il ne devrait pas être possible d'obtenir les mêmes données biométriques à partir des modèles biométriques. Étant donné que les données sous la forme d'empreintes palmaires et les profils ADN ne sont stockés que dans le SIS et ne peuvent pas être utilisés pour être recoupés avec des données contenues dans d'autres systèmes d'information, en suivant les principes de nécessité et de proportionnalité, le BMS partagé ne devrait pas stocker de profils ADN ou de modèles biométriques obtenus à partir de données sous la forme d'empreintes palmaires.

| (20) | Les données biométriques sont des données à caractère personnel sensibles. Le présent règlement devrait fixer la base et les garanties du traitement de ces données aux fins d'identifier de manière unique les personnes concernées. |
| --- | --- |

(20)

Les données biométriques sont des données à caractère personnel sensibles. Le présent règlement devrait fixer la base et les garanties du traitement de ces données aux fins d'identifier de manière unique les personnes concernées.

| (21) | L'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN nécessitent l'identification précise des personnes dont les données à caractère personnel sont stockées dans ces systèmes. Le CIR devrait donc faciliter l'identification correcte des personnes enregistrées dans ces systèmes. |
| --- | --- |

(21)

L'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN nécessitent l'identification précise des personnes dont les données à caractère personnel sont stockées dans ces systèmes. Le CIR devrait donc faciliter l'identification correcte des personnes enregistrées dans ces systèmes.

| (22) | Les données à caractère personnel stockées dans ces systèmes d'information de l'UE peuvent concerner la même personne, mais sous des identités différentes ou incomplètes. Les États membres disposent de moyens efficaces d'identifier leurs citoyens ou les résidents permanents enregistrés sur leur territoire. L'interopérabilité des systèmes d'information de l'UE devrait contribuer à l'identification correcte des personnes figurant dans ces systèmes. Le CIR devrait stocker les données à caractère personnel qui sont nécessaires pour permettre l'identification plus précise des personnes dont les données sont stockées dans ces systèmes, notamment leurs données d'identité, les données de leur document de voyage et leurs données biométriques, quel que soit le système dans lequel ces informations ont été collectées à l'origine. Seules les données à caractère personnel strictement nécessaires pour procéder à un contrôle d'identité précis devraient être stockées dans le CIR. Les données à caractère personnel enregistrées dans le CIR ne devraient pas être conservées plus longtemps qu'il n'est strictement nécessaire aux fins des systèmes sous-jacents et elles devraient être automatiquement supprimées lorsque les données sont supprimées des systèmes sous-jacents conformément à leur séparation logique. |
| --- | --- |

(22)

Les données à caractère personnel stockées dans ces systèmes d'information de l'UE peuvent concerner la même personne, mais sous des identités différentes ou incomplètes. Les États membres disposent de moyens efficaces d'identifier leurs citoyens ou les résidents permanents enregistrés sur leur territoire. L'interopérabilité des systèmes d'information de l'UE devrait contribuer à l'identification correcte des personnes figurant dans ces systèmes. Le CIR devrait stocker les données à caractère personnel qui sont nécessaires pour permettre l'identification plus précise des personnes dont les données sont stockées dans ces systèmes, notamment leurs données d'identité, les données de leur document de voyage et leurs données biométriques, quel que soit le système dans lequel ces informations ont été collectées à l'origine. Seules les données à caractère personnel strictement nécessaires pour procéder à un contrôle d'identité précis devraient être stockées dans le CIR. Les données à caractère personnel enregistrées dans le CIR ne devraient pas être conservées plus longtemps qu'il n'est strictement nécessaire aux fins des systèmes sous-jacents et elles devraient être automatiquement supprimées lorsque les données sont supprimées des systèmes sous-jacents conformément à leur séparation logique.

| (23) | Une nouvelle opération de traitement consistant à stocker ces données dans le CIR plutôt que dans chacun des systèmes distincts est nécessaire afin d'améliorer la précision de l'identification par la comparaison et la mise en correspondance automatisées des données. Le fait que les données d'identité, les données du document de voyage et les données biométriques soient stockées dans le CIR ne devrait en aucune façon faire obstacle au traitement des données pour les finalités de l'EES, du VIS, d'ETIAS, d'Eurodac ou de l'ECRIS-TCN, étant donné que le CIR devrait être un nouvel élément partagé de ces systèmes sous-jacents. |
| --- | --- |

(23)

Une nouvelle opération de traitement consistant à stocker ces données dans le CIR plutôt que dans chacun des systèmes distincts est nécessaire afin d'améliorer la précision de l'identification par la comparaison et la mise en correspondance automatisées des données. Le fait que les données d'identité, les données du document de voyage et les données biométriques soient stockées dans le CIR ne devrait en aucune façon faire obstacle au traitement des données pour les finalités de l'EES, du VIS, d'ETIAS, d'Eurodac ou de l'ECRIS-TCN, étant donné que le CIR devrait être un nouvel élément partagé de ces systèmes sous-jacents.

| (24) | Il est dès lors nécessaire de créer un dossier individuel dans le CIR pour chaque personne enregistrée dans l'EES, le VIS, ETIAS, Eurodac ou l'ECRIS-TCN, afin d'atteindre l'objectif consistant à identifier correctement les personnes au sein de l'espace Schengen et de soutenir le MID avec le double objectif de faciliter les contrôles d'identité pour les voyageurs de bonne foi et de lutter contre la fraude à l'identité. Le dossier individuel devrait stocker toutes les informations sur l'identité liées à une personne en un seul endroit et les mettre à la disposition des utilisateurs finaux dûment autorisés. |
| --- | --- |

(24)

Il est dès lors nécessaire de créer un dossier individuel dans le CIR pour chaque personne enregistrée dans l'EES, le VIS, ETIAS, Eurodac ou l'ECRIS-TCN, afin d'atteindre l'objectif consistant à identifier correctement les personnes au sein de l'espace Schengen et de soutenir le MID avec le double objectif de faciliter les contrôles d'identité pour les voyageurs de bonne foi et de lutter contre la fraude à l'identité. Le dossier individuel devrait stocker toutes les informations sur l'identité liées à une personne en un seul endroit et les mettre à la disposition des utilisateurs finaux dûment autorisés.

| (25) | Le CIR devrait donc faciliter et rationnaliser l'accès des autorités chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, aux systèmes d'information de l'UE qui ne sont pas exclusivement créés à des fins de prévention ou de détection des infractions graves, ou d'enquêtes en la matière. |
| --- | --- |

(25)

Le CIR devrait donc faciliter et rationnaliser l'accès des autorités chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, aux systèmes d'information de l'UE qui ne sont pas exclusivement créés à des fins de prévention ou de détection des infractions graves, ou d'enquêtes en la matière.

| (26) | Le CIR devrait prévoir un réservoir partagé pour les données d'identité, les données du document de voyage et les données biométriques des personnes enregistrées dans l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN. Il devrait faire partie de l'architecture technique de ces systèmes et constituer l'élément partagé entre ceux-ci pour stocker et interroger les données d'identité, les données du document de voyage et les données biométriques qu'ils traitent. |
| --- | --- |

(26)

Le CIR devrait prévoir un réservoir partagé pour les données d'identité, les données du document de voyage et les données biométriques des personnes enregistrées dans l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN. Il devrait faire partie de l'architecture technique de ces systèmes et constituer l'élément partagé entre ceux-ci pour stocker et interroger les données d'identité, les données du document de voyage et les données biométriques qu'ils traitent.

| (27) | Tous les enregistrements dans le CIR devraient être séparés logiquement au moyen d'un étiquetage automatique de chaque enregistrement indiquant le nom système sous-jacent à qui elle appartient. Les contrôles de l'accès au CIR devraient utiliser ces étiquettes afin de déterminer s'il y a lieu de permettre l'accès ou non à l'enregistrement. |
| --- | --- |

(27)

Tous les enregistrements dans le CIR devraient être séparés logiquement au moyen d'un étiquetage automatique de chaque enregistrement indiquant le nom système sous-jacent à qui elle appartient. Les contrôles de l'accès au CIR devraient utiliser ces étiquettes afin de déterminer s'il y a lieu de permettre l'accès ou non à l'enregistrement.

| (28) | Lorsque les services de police d'un État membre ne sont pas en mesure d'identifier une personne en raison de l'absence d'un document de voyage ou d'un autre document crédible prouvant l'identité de cette personne, ou lorsqu'un doute subsiste quant aux données d'identité fournies par cette personne ou quant à l'authenticité du document de voyage ou l'identité de son titulaire, ou lorsque la personne n'est pas en mesure ou refuse de coopérer, ces services de police devraient avoir la possibilité d'interroger le CIR afin d'identifier la personne en question. À cette fin, les services de police devraient relever les empreintes digitales en utilisant des techniques de numérisation directe d'empreintes digitales, à condition que la procédure ait été initiée en présence de cette personne. Ces interrogations du CIR ne devraient pas être autorisées aux fins de l'identification de mineurs de moins de 12 ans, à moins que ce ne soit dans l'intérêt supérieur de l'enfant. |
| --- | --- |

(28)

Lorsque les services de police d'un État membre ne sont pas en mesure d'identifier une personne en raison de l'absence d'un document de voyage ou d'un autre document crédible prouvant l'identité de cette personne, ou lorsqu'un doute subsiste quant aux données d'identité fournies par cette personne ou quant à l'authenticité du document de voyage ou l'identité de son titulaire, ou lorsque la personne n'est pas en mesure ou refuse de coopérer, ces services de police devraient avoir la possibilité d'interroger le CIR afin d'identifier la personne en question. À cette fin, les services de police devraient relever les empreintes digitales en utilisant des techniques de numérisation directe d'empreintes digitales, à condition que la procédure ait été initiée en présence de cette personne. Ces interrogations du CIR ne devraient pas être autorisées aux fins de l'identification de mineurs de moins de 12 ans, à moins que ce ne soit dans l'intérêt supérieur de l'enfant.

| (29) | Lorsque les données biométriques d'une personne ne peuvent pas être utilisées ou si la requête introduite avec ces données échoue, cette dernière devrait être introduite à l'aide des données d'identité de la personne, combinées aux données du document de voyage. Lorsque le résultat de l'interrogation indique que des données concernant cette personne sont stockées dans le CIR, les autorités des États membres devraient avoir accès au CIR pour consulter les données d'identité et les données du document de voyage de cette personne, sans que le CIR ne fournisse d'indications quant au système d'information de l'UE auquel les données appartiennent. |
| --- | --- |

(29)

Lorsque les données biométriques d'une personne ne peuvent pas être utilisées ou si la requête introduite avec ces données échoue, cette dernière devrait être introduite à l'aide des données d'identité de la personne, combinées aux données du document de voyage. Lorsque le résultat de l'interrogation indique que des données concernant cette personne sont stockées dans le CIR, les autorités des États membres devraient avoir accès au CIR pour consulter les données d'identité et les données du document de voyage de cette personne, sans que le CIR ne fournisse d'indications quant au système d'information de l'UE auquel les données appartiennent.

| (30) | Les États membres devraient adopter des mesures législatives nationales désignant les autorités compétentes pour réaliser des contrôles d'identité à l'aide du CIR et définissant les procédures, les conditions et les critères de ces contrôles, qui devraient suivre le principe de proportionnalité. En particulier, le droit national devrait prévoir le pouvoir de collecter des données biométriques lors d'un contrôle de l'identité d'une personne présente devant un membre du personnel de ces autorités. |
| --- | --- |

(30)

Les États membres devraient adopter des mesures législatives nationales désignant les autorités compétentes pour réaliser des contrôles d'identité à l'aide du CIR et définissant les procédures, les conditions et les critères de ces contrôles, qui devraient suivre le principe de proportionnalité. En particulier, le droit national devrait prévoir le pouvoir de collecter des données biométriques lors d'un contrôle de l'identité d'une personne présente devant un membre du personnel de ces autorités.

| (31) | Le présent règlement devrait également introduire, pour les autorités désignées par les États membres chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière et pour Europol, une nouvelle possibilité d'accès rationalisé aux données autres que les données d'identité ou les données du document de voyage contenues dans l'EES, le VIS, ETIAS ou Eurodac. Ces données peuvent être nécessaires à la prévention ou à la détection des infractions terroristes ou d'autres infractions pénales graves, ou aux enquêtes en la matière, lorsqu'il existe des motifs raisonnables permettant de penser que leur consultation contribuera à la prévention ou à la détection des infractions terroristes ou d'autres infractions pénales graves, ou aux enquêtes en la matière, en particulier lorsqu'il y a lieu de suspecter que la personne soupçonnée d'avoir commis une infraction terroriste ou une autre infraction pénale grave, l'auteur ou la victime d'une telle infraction est une personne dont les données sont stockées dans l'EES, le VIS, ETIAS ou Eurodac. |
| --- | --- |

(31)

Le présent règlement devrait également introduire, pour les autorités désignées par les États membres chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière et pour Europol, une nouvelle possibilité d'accès rationalisé aux données autres que les données d'identité ou les données du document de voyage contenues dans l'EES, le VIS, ETIAS ou Eurodac. Ces données peuvent être nécessaires à la prévention ou à la détection des infractions terroristes ou d'autres infractions pénales graves, ou aux enquêtes en la matière, lorsqu'il existe des motifs raisonnables permettant de penser que leur consultation contribuera à la prévention ou à la détection des infractions terroristes ou d'autres infractions pénales graves, ou aux enquêtes en la matière, en particulier lorsqu'il y a lieu de suspecter que la personne soupçonnée d'avoir commis une infraction terroriste ou une autre infraction pénale grave, l'auteur ou la victime d'une telle infraction est une personne dont les données sont stockées dans l'EES, le VIS, ETIAS ou Eurodac.

| (32) | L'accès complet aux données contenues dans les systèmes d'information de l'UE qui est nécessaire à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, en plus de l'accès aux données d'identité ou aux données du document de voyage contenues dans le CIR, devrait continuer à être régi par les instruments juridiques applicables. Les autorités désignées chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, et Europol ne savent pas à l'avance quels systèmes d'information de l'UE contiennent des données concernant les personnes sur lesquelles ils doivent enquêter. Cela conduit à des retards et à des manques d'efficacité. L'utilisateur final autorisé par l'autorité désignée devrait par conséquent pouvoir voir dans quels systèmes d'information de l'UE les données correspondant au résultat d'une requête sont enregistrées. Le système concerné serait donc signalé après la vérification automatisée de la présence d'une correspondance dans le système (fonctionnalité dite de l'indicateur de correspondance). |
| --- | --- |

(32)

L'accès complet aux données contenues dans les systèmes d'information de l'UE qui est nécessaire à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, en plus de l'accès aux données d'identité ou aux données du document de voyage contenues dans le CIR, devrait continuer à être régi par les instruments juridiques applicables. Les autorités désignées chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, et Europol ne savent pas à l'avance quels systèmes d'information de l'UE contiennent des données concernant les personnes sur lesquelles ils doivent enquêter. Cela conduit à des retards et à des manques d'efficacité. L'utilisateur final autorisé par l'autorité désignée devrait par conséquent pouvoir voir dans quels systèmes d'information de l'UE les données correspondant au résultat d'une requête sont enregistrées. Le système concerné serait donc signalé après la vérification automatisée de la présence d'une correspondance dans le système (fonctionnalité dite de l'indicateur de correspondance).

| (33) | Dans ce contexte, une réponse du CIR ne devrait pas être interprétée ni utilisée comme un motif ou une raison de tirer des conclusions au sujet d'une personne ou de prendre des mesures à l'égard de celle-ci mais elle ne devrait être utilisée qu'aux fins de l'introduction d'une demande d'accès aux systèmes d'information de l'UE sous-jacents, sous réserve des conditions et des procédures établies dans les différents instruments juridiques régissant l'accès en question. Une telle demande d'accès devrait être soumise au chapitre VII du présent règlement et, le cas échéant, au règlement (UE) 2016/679 du Parlement européen et du Conseil (5), à la directive (UE) 2016/680 du Parlement européen et du Conseil (6) ou au règlement (UE) 2018/1725 du Parlement européen et du Conseil (7). |
| --- | --- |

(33)

Dans ce contexte, une réponse du CIR ne devrait pas être interprétée ni utilisée comme un motif ou une raison de tirer des conclusions au sujet d'une personne ou de prendre des mesures à l'égard de celle-ci mais elle ne devrait être utilisée qu'aux fins de l'introduction d'une demande d'accès aux systèmes d'information de l'UE sous-jacents, sous réserve des conditions et des procédures établies dans les différents instruments juridiques régissant l'accès en question. Une telle demande d'accès devrait être soumise au chapitre VII du présent règlement et, le cas échéant, au règlement (UE) 2016/679 du Parlement européen et du Conseil (5), à la directive (UE) 2016/680 du Parlement européen et du Conseil (6) ou au règlement (UE) 2018/1725 du Parlement européen et du Conseil (7).

| (34) | En règle générale, lorsqu'un indicateur de correspondance montre que les données sont enregistrées dans Eurodac, les autorités désignées ou Europol devraient demander un accès complet à au moins un des systèmes d'information de l'UE concernés. Si, à titre exceptionnel, cet accès complet n'est pas demandé, par exemple parce que les autorités désignées ou Europol ont déjà obtenu les données par d'autres moyens, ou parce que l'obtention des données n'est plus autorisée par le droit national, il convient de consigner les raisons justifiant la décision de ne pas demander l'accès. |
| --- | --- |

(34)

En règle générale, lorsqu'un indicateur de correspondance montre que les données sont enregistrées dans Eurodac, les autorités désignées ou Europol devraient demander un accès complet à au moins un des systèmes d'information de l'UE concernés. Si, à titre exceptionnel, cet accès complet n'est pas demandé, par exemple parce que les autorités désignées ou Europol ont déjà obtenu les données par d'autres moyens, ou parce que l'obtention des données n'est plus autorisée par le droit national, il convient de consigner les raisons justifiant la décision de ne pas demander l'accès.

| (35) | Les registres des requêtes dans le CIR devraient indiquer l'objectif des requêtes. Lorsque la requête a été introduite selon l'approche de la consultation des données en deux étapes, les registres devraient comporter une référence au dossier national de l'enquête ou de l'affaire, en indiquant si la requête a été lancée à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière. |
| --- | --- |

(35)

Les registres des requêtes dans le CIR devraient indiquer l'objectif des requêtes. Lorsque la requête a été introduite selon l'approche de la consultation des données en deux étapes, les registres devraient comporter une référence au dossier national de l'enquête ou de l'affaire, en indiquant si la requête a été lancée à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière.

| (36) | L'interrogation du CIR par les autorités désignées et Europol en vue d'obtenir une réponse de type indicateur de correspondance, signalant que les données sont enregistrées dans l'EES, le VIS, ETIAS ou Eurodac, nécessite un traitement automatisé de données à caractère personnel. Un indicateur de correspondance ne devrait pas révéler les données à caractère personnel de la personne concernée mais devrait seulement indiquer que certaines de ses données sont stockées dans l'un des systèmes. L'utilisateur final autorisé ne devrait prendre aucune décision défavorable à l'égard de la personne concernée en se fondant uniquement sur la simple existence d'un indicateur de correspondance. L'accès de l'utilisateur final à un indicateur de correspondance constituera dès lors une atteinte très limitée au droit à la protection des données à caractère personnel de la personne concernée, tout en permettant aux autorités désignées et à Europol de demander l'accès aux données à caractère personnel de manière plus efficace. |
| --- | --- |

(36)

L'interrogation du CIR par les autorités désignées et Europol en vue d'obtenir une réponse de type indicateur de correspondance, signalant que les données sont enregistrées dans l'EES, le VIS, ETIAS ou Eurodac, nécessite un traitement automatisé de données à caractère personnel. Un indicateur de correspondance ne devrait pas révéler les données à caractère personnel de la personne concernée mais devrait seulement indiquer que certaines de ses données sont stockées dans l'un des systèmes. L'utilisateur final autorisé ne devrait prendre aucune décision défavorable à l'égard de la personne concernée en se fondant uniquement sur la simple existence d'un indicateur de correspondance. L'accès de l'utilisateur final à un indicateur de correspondance constituera dès lors une atteinte très limitée au droit à la protection des données à caractère personnel de la personne concernée, tout en permettant aux autorités désignées et à Europol de demander l'accès aux données à caractère personnel de manière plus efficace.

| (37) | Le MID devrait être créé afin de soutenir le fonctionnement du CIR et les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN. Afin d'être efficaces dans la poursuite de leurs objectifs respectifs, tous ces systèmes d'information de l'UE nécessitent l'identification précise des personnes dont les données à caractère personnel sont stockées dans ces systèmes. |
| --- | --- |

(37)

Le MID devrait être créé afin de soutenir le fonctionnement du CIR et les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN. Afin d'être efficaces dans la poursuite de leurs objectifs respectifs, tous ces systèmes d'information de l'UE nécessitent l'identification précise des personnes dont les données à caractère personnel sont stockées dans ces systèmes.

| (38) | En vue de mieux atteindre les objectifs des systèmes d'information de l'UE, les autorités utilisant ces systèmes devraient être en mesure de réaliser des contrôles d'identité suffisamment fiables des personnes dont les données sont stockées dans différents systèmes. L'ensemble de données d'identité ou de données du document de voyage stocké dans un système individuel donné peut être incorrect, incomplet ou frauduleux, et il n'existe à l'heure actuelle aucun moyen de détecter les données d'identité ou les données du document de voyage incorrectes, incomplètes ou frauduleuses en les comparant aux données stockées dans un autre système. Pour remédier à cette situation, il est nécessaire de disposer d'un instrument technique au niveau de l'Union qui permette l'identification précise des personnes à ces fins. |
| --- | --- |

(38)

En vue de mieux atteindre les objectifs des systèmes d'information de l'UE, les autorités utilisant ces systèmes devraient être en mesure de réaliser des contrôles d'identité suffisamment fiables des personnes dont les données sont stockées dans différents systèmes. L'ensemble de données d'identité ou de données du document de voyage stocké dans un système individuel donné peut être incorrect, incomplet ou frauduleux, et il n'existe à l'heure actuelle aucun moyen de détecter les données d'identité ou les données du document de voyage incorrectes, incomplètes ou frauduleuses en les comparant aux données stockées dans un autre système. Pour remédier à cette situation, il est nécessaire de disposer d'un instrument technique au niveau de l'Union qui permette l'identification précise des personnes à ces fins.

| (39) | Le MID devrait créer et stocker des liens entre les données contenues dans les différents systèmes d'information de l'UE afin de détecter les identités multiples, dans le double objectif de faciliter les contrôles d'identité pour les voyageurs de bonne foi et de lutter contre la fraude à l'identité. Le MID ne devrait contenir que des liens entre les données relatives à des personnes figurant dans plus d'un système d'information de l'UE. Les données liées devraient être strictement limitées aux données nécessaires pour vérifier si une personne est enregistrée de manière justifiée ou injustifiée sous différentes identités dans différents systèmes, ou pour démontrer que deux personnes ayant des données d'identité similaires peuvent ne pas être une seule et même personne. Le traitement des données au moyen de l'ESP et du BMS partagé en vue de relier des dossiers individuels entre différents systèmes devrait être limité au strict minimum et se limiter par conséquent à la détection d'identités multiples au moment où de nouvelles données sont ajoutées à l'un des systèmes qui a des données stockées dans le CIR ou ajoutées dans le SIS. Le MID devrait prévoir des garanties contre des discriminations et des décisions défavorables potentielles à l'égard de personnes ayant des identités licites multiples. |
| --- | --- |

(39)

Le MID devrait créer et stocker des liens entre les données contenues dans les différents systèmes d'information de l'UE afin de détecter les identités multiples, dans le double objectif de faciliter les contrôles d'identité pour les voyageurs de bonne foi et de lutter contre la fraude à l'identité. Le MID ne devrait contenir que des liens entre les données relatives à des personnes figurant dans plus d'un système d'information de l'UE. Les données liées devraient être strictement limitées aux données nécessaires pour vérifier si une personne est enregistrée de manière justifiée ou injustifiée sous différentes identités dans différents systèmes, ou pour démontrer que deux personnes ayant des données d'identité similaires peuvent ne pas être une seule et même personne. Le traitement des données au moyen de l'ESP et du BMS partagé en vue de relier des dossiers individuels entre différents systèmes devrait être limité au strict minimum et se limiter par conséquent à la détection d'identités multiples au moment où de nouvelles données sont ajoutées à l'un des systèmes qui a des données stockées dans le CIR ou ajoutées dans le SIS. Le MID devrait prévoir des garanties contre des discriminations et des décisions défavorables potentielles à l'égard de personnes ayant des identités licites multiples.

| (40) | Le présent règlement prévoit de nouvelles opérations de traitement des données ayant pour but d'identifier correctement les personnes concernées. Cela constitue une atteinte aux droits fondamentaux protégés par les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne. Étant donné que la mise en œuvre effective des systèmes d'information de l'UE dépend de l'identification correcte des personnes concernées, une telle atteinte est justifiée par les mêmes objectifs que ceux pour lesquels chacun de ces systèmes a été créé, à savoir la gestion efficace des frontières de l'Union, la sécurité intérieure de l'Union et la mise en œuvre efficace des politiques de l'Union en matière d'asile et de visas. |
| --- | --- |

(40)

Le présent règlement prévoit de nouvelles opérations de traitement des données ayant pour but d'identifier correctement les personnes concernées. Cela constitue une atteinte aux droits fondamentaux protégés par les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne. Étant donné que la mise en œuvre effective des systèmes d'information de l'UE dépend de l'identification correcte des personnes concernées, une telle atteinte est justifiée par les mêmes objectifs que ceux pour lesquels chacun de ces systèmes a été créé, à savoir la gestion efficace des frontières de l'Union, la sécurité intérieure de l'Union et la mise en œuvre efficace des politiques de l'Union en matière d'asile et de visas.

| (41) | L'ESP et le BMS partagé devraient comparer les données concernant les personnes figurant dans le CIR et dans le SIS lorsqu'une autorité nationale ou une agence de l'Union crée ou insère de nouveaux enregistrements. Cette comparaison devrait être automatisée. Le CIR et le SIS devraient utiliser le BMS partagé afin de détecter les liens possibles sur la base des données biométriques. Le CIR et le SIS devraient utiliser l'ESP afin de détecter les liens possibles sur la base des données alphanumériques. Le CIR et le SIS devraient être en mesure de détecter les données identiques ou similaires relatives à une personne stockées dans plusieurs systèmes. Lorsque tel est le cas, un lien indiquant qu'il s'agit de la même personne devrait être établi. Le CIR et le SIS devraient être configurés de manière à ce que les erreurs de translittération ou d'orthographe mineures soient détectées afin d'éviter des obstacles injustifiés pour la personne concernée. |
| --- | --- |

(41)

L'ESP et le BMS partagé devraient comparer les données concernant les personnes figurant dans le CIR et dans le SIS lorsqu'une autorité nationale ou une agence de l'Union crée ou insère de nouveaux enregistrements. Cette comparaison devrait être automatisée. Le CIR et le SIS devraient utiliser le BMS partagé afin de détecter les liens possibles sur la base des données biométriques. Le CIR et le SIS devraient utiliser l'ESP afin de détecter les liens possibles sur la base des données alphanumériques. Le CIR et le SIS devraient être en mesure de détecter les données identiques ou similaires relatives à une personne stockées dans plusieurs systèmes. Lorsque tel est le cas, un lien indiquant qu'il s'agit de la même personne devrait être établi. Le CIR et le SIS devraient être configurés de manière à ce que les erreurs de translittération ou d'orthographe mineures soient détectées afin d'éviter des obstacles injustifiés pour la personne concernée.

| (42) | L'autorité nationale ou l'agence de l'Union qui a enregistré les données dans le système d'information de l'UE concerné devrait confirmer ou modifier ces liens. Cette autorité nationale ou cette agence de l'Union devrait avoir accès aux données stockées dans le CIR ou dans le SIS ainsi que dans le MID afin de procéder à une vérification manuelle des différentes identités. |
| --- | --- |

(42)

L'autorité nationale ou l'agence de l'Union qui a enregistré les données dans le système d'information de l'UE concerné devrait confirmer ou modifier ces liens. Cette autorité nationale ou cette agence de l'Union devrait avoir accès aux données stockées dans le CIR ou dans le SIS ainsi que dans le MID afin de procéder à une vérification manuelle des différentes identités.

| (43) | Une vérification manuelle des différentes identités devrait être effectuée par l'autorité qui crée ou met à jour les données qui ont donné lieu à une correspondance entraînant l'établissement d'un lien avec des données stockées dans un autre système d'information de l'UE. L'autorité chargée de la vérification manuelle des différentes identités devrait évaluer s'il existe des identités multiples renvoyant à la même personne de manière justifiée ou injustifiée. Lorsque cela est possible, cette évaluation devrait avoir lieu en présence des personnes concernées et, lorsque cela est nécessaire, des explications ou des informations complémentaires devraient être demandées. Il convient de procéder à cette évaluation sans retard, conformément aux exigences légales prévues par le droit national et de l'Union en matière de précision des informations. |
| --- | --- |

(43)

Une vérification manuelle des différentes identités devrait être effectuée par l'autorité qui crée ou met à jour les données qui ont donné lieu à une correspondance entraînant l'établissement d'un lien avec des données stockées dans un autre système d'information de l'UE. L'autorité chargée de la vérification manuelle des différentes identités devrait évaluer s'il existe des identités multiples renvoyant à la même personne de manière justifiée ou injustifiée. Lorsque cela est possible, cette évaluation devrait avoir lieu en présence des personnes concernées et, lorsque cela est nécessaire, des explications ou des informations complémentaires devraient être demandées. Il convient de procéder à cette évaluation sans retard, conformément aux exigences légales prévues par le droit national et de l'Union en matière de précision des informations.

| (44) | En ce qui concerne les liens obtenus par le SIS portant sur des signalements concernant des personnes recherchées en vue d'une arrestation aux fins de remise ou d'extradition, des personnes disparues ou des personnes vulnérables, des personnes recherchées dans le but de rendre possible leur concours dans le cadre d'une procédure judiciaire ou des personnes aux fins de contrôles discrets, de contrôles d'investigation ou de contrôles spécifiques, l'autorité chargée de la vérification manuelle des différentes identités devrait être le bureau SIRENE de l'État membre qui a créé le signalement. Ces catégories de signalements dans le SIS sont sensibles et ne devraient pas nécessairement être partagées avec les autorités qui créent ou mettent à jour les données qui sont liées à ces signalements et qui figurent dans l'un des autres systèmes d'information de l'UE. La création d'un lien avec les données du SIS devrait se faire sans préjudice des conduites à tenir conformément aux règlements (UE) 2018/1860 (8), (UE) 2018/1861 (9) et (UE) 2018/1862 (10) du Parlement européen et du Conseil. |
| --- | --- |

(44)

En ce qui concerne les liens obtenus par le SIS portant sur des signalements concernant des personnes recherchées en vue d'une arrestation aux fins de remise ou d'extradition, des personnes disparues ou des personnes vulnérables, des personnes recherchées dans le but de rendre possible leur concours dans le cadre d'une procédure judiciaire ou des personnes aux fins de contrôles discrets, de contrôles d'investigation ou de contrôles spécifiques, l'autorité chargée de la vérification manuelle des différentes identités devrait être le bureau SIRENE de l'État membre qui a créé le signalement. Ces catégories de signalements dans le SIS sont sensibles et ne devraient pas nécessairement être partagées avec les autorités qui créent ou mettent à jour les données qui sont liées à ces signalements et qui figurent dans l'un des autres systèmes d'information de l'UE. La création d'un lien avec les données du SIS devrait se faire sans préjudice des conduites à tenir conformément aux règlements (UE) 2018/1860 (8), (UE) 2018/1861 (9) et (UE) 2018/1862 (10) du Parlement européen et du Conseil.

| (45) | La création de ces liens exige la transparence à l'égard des personnes concernées. Afin de faciliter la mise en œuvre des garanties nécessaires conformément aux règles de l'Union applicables en matière de protection des données, les personnes qui sont concernées par un lien rouge ou un lien blanc à la suite d'une vérification manuelle des différentes identités devraient être informées par écrit, sans préjudice des restrictions nécessaires pour protéger la sécurité et l'ordre public, prévenir la criminalité et garantir que les enquêtes nationales ne soient compromises. Ces personnes devraient recevoir un numéro d'identification unique leur permettant de savoir à quelle autorité s'adresser pour exercer leurs droits. |
| --- | --- |

(45)

La création de ces liens exige la transparence à l'égard des personnes concernées. Afin de faciliter la mise en œuvre des garanties nécessaires conformément aux règles de l'Union applicables en matière de protection des données, les personnes qui sont concernées par un lien rouge ou un lien blanc à la suite d'une vérification manuelle des différentes identités devraient être informées par écrit, sans préjudice des restrictions nécessaires pour protéger la sécurité et l'ordre public, prévenir la criminalité et garantir que les enquêtes nationales ne soient compromises. Ces personnes devraient recevoir un numéro d'identification unique leur permettant de savoir à quelle autorité s'adresser pour exercer leurs droits.

| (46) | Lorsqu'un lien jaune est créé, l'autorité chargée de la vérification manuelle des différentes identités devrait avoir accès au MID. Lorsqu'un lien rouge existe, les autorités des États membres et les agences de l'Union qui ont accès à au moins un système d'information de l'UE inclus dans le CIR ou au SIS devraient avoir accès au MID. Un lien rouge devrait indiquer qu'une personne utilise différentes identités de manière injustifiée ou qu'une personne utilise l'identité d'une autre personne. |
| --- | --- |

(46)

Lorsqu'un lien jaune est créé, l'autorité chargée de la vérification manuelle des différentes identités devrait avoir accès au MID. Lorsqu'un lien rouge existe, les autorités des États membres et les agences de l'Union qui ont accès à au moins un système d'information de l'UE inclus dans le CIR ou au SIS devraient avoir accès au MID. Un lien rouge devrait indiquer qu'une personne utilise différentes identités de manière injustifiée ou qu'une personne utilise l'identité d'une autre personne.

| (47) | Lorsqu'un lien blanc ou un lien vert existe entre des données provenant de deux systèmes d'information de l'UE, les autorités des États membres et les agences de l'Union devraient avoir accès au MID lorsque l'autorité ou l'agence concernée a accès à ces deux systèmes d'information. Un tel accès devrait être accordé à la seule fin de permettre à cette autorité ou cette agence de détecter d'éventuels cas dans lesquels des données ont été liées de manière incorrecte ou traitées dans le MID, le CIR et le SIS en violation du présent règlement, et de prendre les mesures qui s'imposent pour remédier à la situation et mettre à jour ou supprimer le lien. |
| --- | --- |

(47)

Lorsqu'un lien blanc ou un lien vert existe entre des données provenant de deux systèmes d'information de l'UE, les autorités des États membres et les agences de l'Union devraient avoir accès au MID lorsque l'autorité ou l'agence concernée a accès à ces deux systèmes d'information. Un tel accès devrait être accordé à la seule fin de permettre à cette autorité ou cette agence de détecter d'éventuels cas dans lesquels des données ont été liées de manière incorrecte ou traitées dans le MID, le CIR et le SIS en violation du présent règlement, et de prendre les mesures qui s'imposent pour remédier à la situation et mettre à jour ou supprimer le lien.

| (48) | L'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (eu-LISA) devrait mettre en place des mécanismes automatisés de contrôle de la qualité des données et des indicateurs communs de qualité des données. Elle devrait être chargée de développer une capacité centrale de suivi de la qualité des données et de produire des rapports réguliers d'analyse des données afin d'améliorer le contrôle de la mise en œuvre des systèmes d'information de l'UE par les États membres. Les indicateurs communs de qualité des données devraient inclure des normes de qualité minimales pour le stockage de données dans les systèmes d'information de l'UE ou des éléments d'interopérabilité. Ces normes de qualité des données devraient avoir pour objectif de permettre aux systèmes d'information de l'UE et aux éléments d'interopérabilité d'identifier automatiquement les communications de données manifestement incorrectes ou incohérentes afin que l'État membre qui en est à l'origine puisse vérifier les données et adopter les mesures correctives nécessaires. |
| --- | --- |

(48)

L'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (eu-LISA) devrait mettre en place des mécanismes automatisés de contrôle de la qualité des données et des indicateurs communs de qualité des données. Elle devrait être chargée de développer une capacité centrale de suivi de la qualité des données et de produire des rapports réguliers d'analyse des données afin d'améliorer le contrôle de la mise en œuvre des systèmes d'information de l'UE par les États membres. Les indicateurs communs de qualité des données devraient inclure des normes de qualité minimales pour le stockage de données dans les systèmes d'information de l'UE ou des éléments d'interopérabilité. Ces normes de qualité des données devraient avoir pour objectif de permettre aux systèmes d'information de l'UE et aux éléments d'interopérabilité d'identifier automatiquement les communications de données manifestement incorrectes ou incohérentes afin que l'État membre qui en est à l'origine puisse vérifier les données et adopter les mesures correctives nécessaires.

| (49) | La Commission devrait évaluer les rapports de l'eu-LISA sur la qualité et, le cas échéant, adresser des recommandations aux États membres. Les États membres devraient être chargés de préparer un plan d'action décrivant les mesures visant à remédier à toute lacune dans la qualité des données et ils devraient établir des rapports réguliers à cet égard. |
| --- | --- |

(49)

La Commission devrait évaluer les rapports de l'eu-LISA sur la qualité et, le cas échéant, adresser des recommandations aux États membres. Les États membres devraient être chargés de préparer un plan d'action décrivant les mesures visant à remédier à toute lacune dans la qualité des données et ils devraient établir des rapports réguliers à cet égard.

| (50) | Le format universel pour les messages (UMF) devrait servir en tant que norme pour l'échange structuré d'informations transfrontières entre les systèmes d'information, les autorités ou les organisations dans le domaine de la justice et des affaires intérieures. L'UMF devrait définir un vocabulaire commun et des structures logiques pour les informations habituellement échangées, dans le but de faciliter l'interopérabilité en permettant la création et la lecture des contenus des échanges d'une manière cohérente et sémantiquement équivalente. |
| --- | --- |

(50)

Le format universel pour les messages (UMF) devrait servir en tant que norme pour l'échange structuré d'informations transfrontières entre les systèmes d'information, les autorités ou les organisations dans le domaine de la justice et des affaires intérieures. L'UMF devrait définir un vocabulaire commun et des structures logiques pour les informations habituellement échangées, dans le but de faciliter l'interopérabilité en permettant la création et la lecture des contenus des échanges d'une manière cohérente et sémantiquement équivalente.

| (51) | La mise en œuvre de la norme UMF peut être envisagée dans le VIS, le SIS et dans tout autre modèle d'échange d'informations et système d'information transfrontière, existant ou nouveau, dans le domaine de la justice et des affaires intérieures, mis au point par les États membres. |
| --- | --- |

(51)

La mise en œuvre de la norme UMF peut être envisagée dans le VIS, le SIS et dans tout autre modèle d'échange d'informations et système d'information transfrontière, existant ou nouveau, dans le domaine de la justice et des affaires intérieures, mis au point par les États membres.

| (52) | Un répertoire central des rapports et statistiques (CRRS) devrait être créé afin de générer des données statistiques intersystèmes et des rapports analytiques à des fins stratégiques, opérationnelles et de qualité des données conformément aux instruments juridiques applicables. L'eu-LISA devrait établir, mettre en œuvre et héberger le CRRS sur ses sites techniques. Il devrait contenir des données statistiques anonymisées issues des systèmes d'information de l'UE, du CIR, du MID et du BMS partagé. Les données contenues dans le CRRS ne devraient pas permettre d'identifier les personnes. L'eu-LISA devrait rendre les données anonymes de manière automatisée et enregistrer ces données anonymisées dans le CRRS. Le processus d'anonymisation des données devrait être automatisé et le personnel de l'eu-LISA ne devrait pas pouvoir accéder directement aux données à caractère personnel stockées dans les systèmes d'information de l'UE ou dans les éléments d'interopérabilité. |
| --- | --- |

(52)

Un répertoire central des rapports et statistiques (CRRS) devrait être créé afin de générer des données statistiques intersystèmes et des rapports analytiques à des fins stratégiques, opérationnelles et de qualité des données conformément aux instruments juridiques applicables. L'eu-LISA devrait établir, mettre en œuvre et héberger le CRRS sur ses sites techniques. Il devrait contenir des données statistiques anonymisées issues des systèmes d'information de l'UE, du CIR, du MID et du BMS partagé. Les données contenues dans le CRRS ne devraient pas permettre d'identifier les personnes. L'eu-LISA devrait rendre les données anonymes de manière automatisée et enregistrer ces données anonymisées dans le CRRS. Le processus d'anonymisation des données devrait être automatisé et le personnel de l'eu-LISA ne devrait pas pouvoir accéder directement aux données à caractère personnel stockées dans les systèmes d'information de l'UE ou dans les éléments d'interopérabilité.

| (53) | Le règlement (UE) 2016/679 s'applique au traitement des données à caractère personnel effectué à des fins d'interopérabilité dans le cadre du présent règlement par les autorités nationales, à moins que ce traitement ne soit effectué par les autorités désignées ou par les points d'accès centraux des États membres à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière. |
| --- | --- |

(53)

Le règlement (UE) 2016/679 s'applique au traitement des données à caractère personnel effectué à des fins d'interopérabilité dans le cadre du présent règlement par les autorités nationales, à moins que ce traitement ne soit effectué par les autorités désignées ou par les points d'accès centraux des États membres à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière.

| (54) | Lorsque le traitement de données à caractère personnel par les États membres à des fins d'interopérabilité dans le cadre du présent règlement est effectué par les autorités compétentes à des fins de prévention out de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, la directive (UE) 2016/680 s'applique. |
| --- | --- |

(54)

Lorsque le traitement de données à caractère personnel par les États membres à des fins d'interopérabilité dans le cadre du présent règlement est effectué par les autorités compétentes à des fins de prévention out de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, la directive (UE) 2016/680 s'applique.

| (55) | Le règlement (UE) 2016/679, le règlement (UE) 2018/1725 ou, le cas échéant, la directive (UE) 2016/680 s'appliquent aux transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales effectués dans le cadre du présent règlement. Sans préjudice des motifs de transfert en vertu du chapitre V du règlement (UE) 2016/679 ou, le cas échéant, de la directive (UE) 2016/680, toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant d'un responsable du traitement ou d'un sous-traitant qu'il transfère ou divulgue des données à caractère personnel ne devrait être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international en vigueur entre le pays tiers demandeur et l'Union ou un État membre. |
| --- | --- |

(55)

Le règlement (UE) 2016/679, le règlement (UE) 2018/1725 ou, le cas échéant, la directive (UE) 2016/680 s'appliquent aux transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales effectués dans le cadre du présent règlement. Sans préjudice des motifs de transfert en vertu du chapitre V du règlement (UE) 2016/679 ou, le cas échéant, de la directive (UE) 2016/680, toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant d'un responsable du traitement ou d'un sous-traitant qu'il transfère ou divulgue des données à caractère personnel ne devrait être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international en vigueur entre le pays tiers demandeur et l'Union ou un État membre.

| (56) | Les dispositions spécifiques en matière de protection des données du règlement (UE) 2018/1862 et du règlement (UE) 2019/816 (11) du Parlement européen et du Conseil s'appliquent au traitement des données à caractère personnel dans les systèmes régis par ces règlements. |
| --- | --- |

(56)

Les dispositions spécifiques en matière de protection des données du règlement (UE) 2018/1862 et du règlement (UE) 2019/816 (11) du Parlement européen et du Conseil s'appliquent au traitement des données à caractère personnel dans les systèmes régis par ces règlements.

| (57) | Le règlement (UE) 2018/1725 s'applique au traitement des données à caractère personnel par l'eu-LISA et par d'autres institutions et organes de l'Union dans l'exercice de leurs missions dans le cadre du présent règlement, sans préjudice du règlement (UE) 2016/794, qui s'applique au traitement des données à caractère personnel par Europol. |
| --- | --- |

(57)

Le règlement (UE) 2018/1725 s'applique au traitement des données à caractère personnel par l'eu-LISA et par d'autres institutions et organes de l'Union dans l'exercice de leurs missions dans le cadre du présent règlement, sans préjudice du règlement (UE) 2016/794, qui s'applique au traitement des données à caractère personnel par Europol.

| (58) | Les autorités de contrôle visées dans le règlement (UE) 2016/679 ou la directive (UE) 2016/680 devraient contrôler la licéité du traitement des données à caractère personnel par les États membres. Le Contrôleur européen de la protection des données devrait contrôler les activités des institutions et organes de l'Union concernant le traitement des données à caractère personnel. Le Contrôleur européen de la protection des données et les autorités de contrôle devraient coopérer en ce qui concerne le contrôle du traitement des données à caractère personnel par les éléments d'interopérabilité. Des ressources suffisantes, y compris humaines et financières, sont nécessaires pour que le Contrôleur européen de la protection des données puisse s'acquitter des tâches qui lui sont confiées en vertu du présent règlement. |
| --- | --- |

(58)

Les autorités de contrôle visées dans le règlement (UE) 2016/679 ou la directive (UE) 2016/680 devraient contrôler la licéité du traitement des données à caractère personnel par les États membres. Le Contrôleur européen de la protection des données devrait contrôler les activités des institutions et organes de l'Union concernant le traitement des données à caractère personnel. Le Contrôleur européen de la protection des données et les autorités de contrôle devraient coopérer en ce qui concerne le contrôle du traitement des données à caractère personnel par les éléments d'interopérabilité. Des ressources suffisantes, y compris humaines et financières, sont nécessaires pour que le Contrôleur européen de la protection des données puisse s'acquitter des tâches qui lui sont confiées en vertu du présent règlement.

| (59) | Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001 du Parlement européen et du Conseil (12) et a rendu son avis le 16 avril 2018 (13). |
| --- | --- |

(59)

Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001 du Parlement européen et du Conseil (12) et a rendu son avis le 16 avril 2018 (13).

| (60) | Le groupe de travail «article 29» sur la protection des données a émis un avis le 11 avril 2018. |
| --- | --- |

(60)

Le groupe de travail «article 29» sur la protection des données a émis un avis le 11 avril 2018.

| (61) | Les États membres et l'eu-LISA devraient disposer de plans de sécurité afin de faciliter la mise en œuvre des obligations en matière de sécurité, et ils devraient coopérer pour remédier aux problèmes de sécurité. L'eu-LISA devrait également s'assurer de l'utilisation continue des dernières évolutions technologiques afin de garantir l'intégrité des données en ce qui concerne le développement, la conception et la gestion des éléments d'interopérabilité. Les obligations de l'eu-LISA à cet égard devraient comprendre l'adoption des mesures nécessaires afin d'empêcher l'accès de personnes non autorisées, telles que le personnel des prestataires de services extérieurs, aux données à caractère personnel traitées au moyen des éléments d'interopérabilité. Lors de l'attribution de marchés concernant la prestation de services, les États membres et l'eu-LISA devraient envisager toutes les mesures nécessaires pour assurer le respect des lois ou réglementations relatives à la protection des données à caractère personnel et de la vie privée des personnes et pour protéger les intérêts essentiels en matière de sécurité, en application du règlement (UE) 2018/1046 du Parlement européen et du Conseil (14) et des conventions internationales applicables. L'eu-LISA devrait appliquer les principes de respect de la vie privée dès la conception et de respect de la vie privée par défaut au cours du développement des éléments d'interopérabilité. |
| --- | --- |

(61)

Les États membres et l'eu-LISA devraient disposer de plans de sécurité afin de faciliter la mise en œuvre des obligations en matière de sécurité, et ils devraient coopérer pour remédier aux problèmes de sécurité. L'eu-LISA devrait également s'assurer de l'utilisation continue des dernières évolutions technologiques afin de garantir l'intégrité des données en ce qui concerne le développement, la conception et la gestion des éléments d'interopérabilité. Les obligations de l'eu-LISA à cet égard devraient comprendre l'adoption des mesures nécessaires afin d'empêcher l'accès de personnes non autorisées, telles que le personnel des prestataires de services extérieurs, aux données à caractère personnel traitées au moyen des éléments d'interopérabilité. Lors de l'attribution de marchés concernant la prestation de services, les États membres et l'eu-LISA devraient envisager toutes les mesures nécessaires pour assurer le respect des lois ou réglementations relatives à la protection des données à caractère personnel et de la vie privée des personnes et pour protéger les intérêts essentiels en matière de sécurité, en application du règlement (UE) 2018/1046 du Parlement européen et du Conseil (14) et des conventions internationales applicables. L'eu-LISA devrait appliquer les principes de respect de la vie privée dès la conception et de respect de la vie privée par défaut au cours du développement des éléments d'interopérabilité.

| 62) | Aux fins de l'établissement de statistiques et de rapports, il est nécessaire de permettre au personnel autorisé des autorités compétentes, des institutions et des agences de l'Union visées dans le présent règlement de consulter certaines données liées à certains éléments d'interopérabilité, sans permettre l'identification des personnes. |
| --- | --- |

62)

Aux fins de l'établissement de statistiques et de rapports, il est nécessaire de permettre au personnel autorisé des autorités compétentes, des institutions et des agences de l'Union visées dans le présent règlement de consulter certaines données liées à certains éléments d'interopérabilité, sans permettre l'identification des personnes.

| (63) | Afin de permettre aux autorités des États membres et aux agences de l'Union de s'adapter aux nouvelles exigences concernant l'utilisation de l'ESP, il est nécessaire de prévoir une période transitoire. De même, afin de permettre le fonctionnement cohérent et optimal du MID, il convient de définir des mesures transitoires pour le début de ses activités. |
| --- | --- |

(63)

Afin de permettre aux autorités des États membres et aux agences de l'Union de s'adapter aux nouvelles exigences concernant l'utilisation de l'ESP, il est nécessaire de prévoir une période transitoire. De même, afin de permettre le fonctionnement cohérent et optimal du MID, il convient de définir des mesures transitoires pour le début de ses activités.

| (64) | Étant donné que l'objectif du présent règlement, à savoir l'établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE, ne peut pas être atteint de manière suffisante par les États membres mais peut, en raison des dimensions et des effets de l'action, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif. |
| --- | --- |

(64)

Étant donné que l'objectif du présent règlement, à savoir l'établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE, ne peut pas être atteint de manière suffisante par les États membres mais peut, en raison des dimensions et des effets de l'action, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif.

| (65) | Le montant restant du budget alloué aux frontières intelligentes dans le règlement (UE) no 515/2014 du Parlement européen et du Conseil (15) devrait être réattribué au présent règlement, en application de l'article 5, paragraphe 5, point b), du règlement (UE) no 515/2014, pour couvrir les coûts du développement des éléments d'interopérabilité. |
| --- | --- |

(65)

Le montant restant du budget alloué aux frontières intelligentes dans le règlement (UE) no 515/2014 du Parlement européen et du Conseil (15) devrait être réattribué au présent règlement, en application de l'article 5, paragraphe 5, point b), du règlement (UE) no 515/2014, pour couvrir les coûts du développement des éléments d'interopérabilité.

| (66) | Afin de compléter certains aspects techniques détaillés du présent règlement, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l'article 290 du traité sur le fonctionnement de l'Union européenne en ce qui concerne:






  — | la prolongation de la période transitoire pour l'utilisation de l'ESP, |
| --- | --- | --- |

(66)

Afin de compléter certains aspects techniques détaillés du présent règlement, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l'article 290 du traité sur le fonctionnement de l'Union européenne en ce qui concerne:

—

la prolongation de la période transitoire pour l'utilisation de l'ESP,

| — | la prolongation de la période transitoire pour la détection des identités multiples réalisée par l'unité centrale ETIAS l'unité centrale ETIAS, |
| --- | --- |

—

la prolongation de la période transitoire pour la détection des identités multiples réalisée par l'unité centrale ETIAS l'unité centrale ETIAS,

| — | les procédures pour déterminer les cas dans lesquels les données d'identité peuvent être considérées comme étant les mêmes ou similaires, |
| --- | --- |

—

les procédures pour déterminer les cas dans lesquels les données d'identité peuvent être considérées comme étant les mêmes ou similaires,

| — | les règles relatives au fonctionnement du CRRS, y compris les garanties spécifiques pour le traitement des données à caractère personnel et les règles en matière de sécurité applicables au répertoire, et |
| --- | --- |

—

les règles relatives au fonctionnement du CRRS, y compris les garanties spécifiques pour le traitement des données à caractère personnel et les règles en matière de sécurité applicables au répertoire, et

| — | les règles détaillées relatives au fonctionnement du portail en ligne. |
| --- | --- |

—

les règles détaillées relatives au fonctionnement du portail en ligne.

Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts, et que ces consultations soient menées conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016
  «Mieux légiférer»
   (16). En particulier, pour assurer leur égale participation à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents au même moment que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d'experts de la Commission traitant de la préparation des actes délégués.

| (67) | Afin d'assurer des conditions uniformes d'exécution du présent règlement, il convient de conférer des compétences d'exécution à la Commission lui permettant de fixer les dates de la mise en service de l'ESP, du BMS partagé, du CIR, du MID et du CRS. |
| --- | --- |

(67)

Afin d'assurer des conditions uniformes d'exécution du présent règlement, il convient de conférer des compétences d'exécution à la Commission lui permettant de fixer les dates de la mise en service de l'ESP, du BMS partagé, du CIR, du MID et du CRS.

| (68) | Il convient également de conférer des compétences d'exécution à la Commission relatives à l'adoption de règles détaillées concernant: les détails techniques des profils des utilisateurs de l'ESP; les spécifications de la solution technique permettant l'interrogation des systèmes d'information de l'UE, des données d'Europol et des bases de données d'Interpol par l'intermédiaire de l'ESP et le format des réponses de l'ESP; les règles techniques permettant de créer des liens dans le MID entre les données de différents systèmes d'information de l'UE; le contenu et la présentation du formulaire à utiliser pour informer la personne concernée lorsqu'un lien rouge est créé; les exigences relatives aux performances du BMS partagé et le suivi de ces performances; les mécanismes, procédures et indicateurs automatisés de contrôle de la qualité des données; le développement de la norme UMF; la procédure de coopération à utiliser en cas d'incident de sécurité; les spécifications de la solution technique permettant aux États membres de gérer les demandes d'accès des utilisateurs. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (17). |
| --- | --- |

(68)

Il convient également de conférer des compétences d'exécution à la Commission relatives à l'adoption de règles détaillées concernant: les détails techniques des profils des utilisateurs de l'ESP; les spécifications de la solution technique permettant l'interrogation des systèmes d'information de l'UE, des données d'Europol et des bases de données d'Interpol par l'intermédiaire de l'ESP et le format des réponses de l'ESP; les règles techniques permettant de créer des liens dans le MID entre les données de différents systèmes d'information de l'UE; le contenu et la présentation du formulaire à utiliser pour informer la personne concernée lorsqu'un lien rouge est créé; les exigences relatives aux performances du BMS partagé et le suivi de ces performances; les mécanismes, procédures et indicateurs automatisés de contrôle de la qualité des données; le développement de la norme UMF; la procédure de coopération à utiliser en cas d'incident de sécurité; les spécifications de la solution technique permettant aux États membres de gérer les demandes d'accès des utilisateurs. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (17).

| (69) | Étant donné que les éléments d'interopérabilité impliqueront le traitement de quantités importantes de données à caractère personnel sensibles, il importe que les personnes dont les données sont traitées au moyen de ces éléments puissent exercer effectivement leurs droits en tant que personnes concernées, comme l'exigent le règlement (UE) 2016/679, la directive (UE) 2016/680 et le règlement (UE) 2018/1725. Il convient de mettre à disposition des personnes concernées un portail en ligne qui facilite l'exercice par celles-ci de leurs droits d'accès à leurs données à caractère personnel et de leurs droits de rectification, d'effacement et de limitation du traitement de ces données. La mise en place et la gestion dudit portail devraient incomber à l'eu-LISA. |
| --- | --- |

(69)

Étant donné que les éléments d'interopérabilité impliqueront le traitement de quantités importantes de données à caractère personnel sensibles, il importe que les personnes dont les données sont traitées au moyen de ces éléments puissent exercer effectivement leurs droits en tant que personnes concernées, comme l'exigent le règlement (UE) 2016/679, la directive (UE) 2016/680 et le règlement (UE) 2018/1725. Il convient de mettre à disposition des personnes concernées un portail en ligne qui facilite l'exercice par celles-ci de leurs droits d'accès à leurs données à caractère personnel et de leurs droits de rectification, d'effacement et de limitation du traitement de ces données. La mise en place et la gestion dudit portail devraient incomber à l'eu-LISA.

| (70) | L'un des principes fondamentaux de la protection des données est la minimisation des données: en vertu de l'article 5, paragraphe 1, point c), du règlement (UE) 2016/679, le traitement des données à caractère personnel doit être adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Pour cette raison, les éléments d'interopérabilité ne devraient pas prévoir le stockage de quelque nouvelle donnée à caractère personnel que ce soit, à l'exception des liens qui seront stockés dans le MID et qui représentent le minimum nécessaire aux fins du présent règlement. |
| --- | --- |

(70)

L'un des principes fondamentaux de la protection des données est la minimisation des données: en vertu de l'article 5, paragraphe 1, point c), du règlement (UE) 2016/679, le traitement des données à caractère personnel doit être adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Pour cette raison, les éléments d'interopérabilité ne devraient pas prévoir le stockage de quelque nouvelle donnée à caractère personnel que ce soit, à l'exception des liens qui seront stockés dans le MID et qui représentent le minimum nécessaire aux fins du présent règlement.

| (71) | Le présent règlement devrait prévoir des dispositions claires concernant la responsabilité et le droit à réparation en cas de traitement illicite de données à caractère personnel ou en cas de tout autre acte incompatible avec le présent règlement. De telles dispositions devraient s'entendre sans préjudice du droit à réparation de la part du responsable du traitement ou du sous-traitant et de la responsabilité de ceux-ci au titre du règlement (UE) 2016/679, de la directive (UE) 2016/680 et du règlement (UE) 2018/1725. L'eu-LISA devrait être tenue pour responsable de tout dommage qu'elle cause en sa qualité de sous-traitant des données dans les cas où elle n'a pas respecté les obligations qui lui incombent spécifiquement en vertu du présent règlement, ou lorsqu'elle a agi en dehors des instructions licites de l'État membre responsable du traitement des données ou contrairement à ces instructions. |
| --- | --- |

(71)

Le présent règlement devrait prévoir des dispositions claires concernant la responsabilité et le droit à réparation en cas de traitement illicite de données à caractère personnel ou en cas de tout autre acte incompatible avec le présent règlement. De telles dispositions devraient s'entendre sans préjudice du droit à réparation de la part du responsable du traitement ou du sous-traitant et de la responsabilité de ceux-ci au titre du règlement (UE) 2016/679, de la directive (UE) 2016/680 et du règlement (UE) 2018/1725. L'eu-LISA devrait être tenue pour responsable de tout dommage qu'elle cause en sa qualité de sous-traitant des données dans les cas où elle n'a pas respecté les obligations qui lui incombent spécifiquement en vertu du présent règlement, ou lorsqu'elle a agi en dehors des instructions licites de l'État membre responsable du traitement des données ou contrairement à ces instructions.

| (72) | Le présent règlement est sans préjudice de l'application de la directive 2004/38/CE du Parlement européen et du Conseil (18). |
| --- | --- |

(72)

Le présent règlement est sans préjudice de l'application de la directive 2004/38/CE du Parlement européen et du Conseil (18).

| (73) | Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application. Étant donné que le présent règlement, dans la mesure où ses dispositions portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, développe l'acquis de Schengen, le Danemark décide, conformément à l'article 4 dudit protocole, dans un délai de six mois à partir de la décision du Conseil sur le présent règlement, s'il le transpose dans son droit interne. |
| --- | --- |

(73)

Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application. Étant donné que le présent règlement, dans la mesure où ses dispositions portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, développe l'acquis de Schengen, le Danemark décide, conformément à l'article 4 dudit protocole, dans un délai de six mois à partir de la décision du Conseil sur le présent règlement, s'il le transpose dans son droit interne.

| (74) | Dans la mesure où les dispositions du présent règlement portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, le Royaume-Uni participe au présent règlement, conformément à l'article 5, paragraphe 1, du protocole no 19 sur l'acquis de Schengen intégré dans le cadre de l'Union européenne, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne (ci-après dénommé «protocole sur l'acquis de Schengen»), et à l'article 8, paragraphe 2, de la décision 2000/365/CE du Conseil (19). En outre, dans la mesure où les dispositions du présent règlement portent sur Eurodac et l'ECRIS-TCN, conformément à l'article 3 du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Royaume-Uni a notifié, par lettre du 18 mai 2018, son souhait de participer à l'adoption et à l'application du présent règlement. |
| --- | --- |

(74)

Dans la mesure où les dispositions du présent règlement portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, le Royaume-Uni participe au présent règlement, conformément à l'article 5, paragraphe 1, du protocole no 19 sur l'acquis de Schengen intégré dans le cadre de l'Union européenne, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne (ci-après dénommé «protocole sur l'acquis de Schengen»), et à l'article 8, paragraphe 2, de la décision 2000/365/CE du Conseil (19). En outre, dans la mesure où les dispositions du présent règlement portent sur Eurodac et l'ECRIS-TCN, conformément à l'article 3 du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Royaume-Uni a notifié, par lettre du 18 mai 2018, son souhait de participer à l'adoption et à l'application du présent règlement.

| (75) | Dans la mesure où les dispositions du présent règlement portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, l'Irlande pourrait, en principe, participer au présent règlement, conformément à l'article 5, paragraphe 1, du protocole no 19 sur l'acquis de Schengen intégré dans le cadre de l'Union européenne, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, et à l'article 6, paragraphe 2, de la décision 2002/192/CE du Conseil (20). En outre, dans la mesure où les dispositions du présent règlement portent sur Eurodac et l'ECRIS-TCN, conformément aux articles 1er et 2 du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, et sans préjudice de l'article 4 dudit protocole, l'Irlande ne participe pas à l'adoption du présent règlement et n'est pas liée par celui-ci ni soumise à son application. Dans la mesure où il n'est pas possible, dans ces conditions, de garantir que le présent règlement s'applique intégralement à l'Irlande, comme le requiert l'article 288 du traité sur le fonctionnement de l'Union européenne, l'Irlande ne participe pas à l'adoption du présent règlement et n'est pas liée par celui-ci, ni soumise à son application, sans préjudice de ses droits en vertu des protocoles no 19 et no 21. |
| --- | --- |

(75)

Dans la mesure où les dispositions du présent règlement portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, l'Irlande pourrait, en principe, participer au présent règlement, conformément à l'article 5, paragraphe 1, du protocole no 19 sur l'acquis de Schengen intégré dans le cadre de l'Union européenne, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, et à l'article 6, paragraphe 2, de la décision 2002/192/CE du Conseil (20). En outre, dans la mesure où les dispositions du présent règlement portent sur Eurodac et l'ECRIS-TCN, conformément aux articles 1er et 2 du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, et sans préjudice de l'article 4 dudit protocole, l'Irlande ne participe pas à l'adoption du présent règlement et n'est pas liée par celui-ci ni soumise à son application. Dans la mesure où il n'est pas possible, dans ces conditions, de garantir que le présent règlement s'applique intégralement à l'Irlande, comme le requiert l'article 288 du traité sur le fonctionnement de l'Union européenne, l'Irlande ne participe pas à l'adoption du présent règlement et n'est pas liée par celui-ci, ni soumise à son application, sans préjudice de ses droits en vertu des protocoles no 19 et no 21.

| (76) | En ce qui concerne l'Islande et la Norvège, le présent règlement constitue, dans la mesure où ses dispositions portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, un développement des dispositions de l'acquis de Schengen au sens de l'accord conclu par le Conseil de l'Union européenne, la République d'Islande et le Royaume de Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (21), qui relèvent du domaine visé à l'article 1er, point G, de la décision 1999/437/CE du Conseil (22). |
| --- | --- |

(76)

En ce qui concerne l'Islande et la Norvège, le présent règlement constitue, dans la mesure où ses dispositions portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, un développement des dispositions de l'acquis de Schengen au sens de l'accord conclu par le Conseil de l'Union européenne, la République d'Islande et le Royaume de Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (21), qui relèvent du domaine visé à l'article 1er, point G, de la décision 1999/437/CE du Conseil (22).

| (77) | En ce qui concerne la Suisse, le présent règlement constitue, dans la mesure où ses dispositions portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, un développement des dispositions de l'acquis de Schengen au sens de l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (23) qui relèvent du domaine visé à l'article 1er, point G, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2008/149/JAI du Conseil (24). |
| --- | --- |

(77)

En ce qui concerne la Suisse, le présent règlement constitue, dans la mesure où ses dispositions portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, un développement des dispositions de l'acquis de Schengen au sens de l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (23) qui relèvent du domaine visé à l'article 1er, point G, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2008/149/JAI du Conseil (24).

| (78) | En ce qui concerne le Liechtenstein, le présent règlement constitue, dans la mesure où ses dispositions portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, un développement des dispositions de l'acquis de Schengen au sens du protocole entre l'Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (25) qui relèvent du domaine visé à l'article 1er, point G, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2011/350/UE du Conseil (26). |
| --- | --- |

(78)

En ce qui concerne le Liechtenstein, le présent règlement constitue, dans la mesure où ses dispositions portent sur le SIS tel qu'il est régi par le règlement (UE) 2018/1862, un développement des dispositions de l'acquis de Schengen au sens du protocole entre l'Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (25) qui relèvent du domaine visé à l'article 1er, point G, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2011/350/UE du Conseil (26).

| (79) | Le présent règlement respecte les droits fondamentaux et observe les principes consacrés notamment par la Charte des droits fondamentaux de l'Union européenne et devrait être appliqué conformément à ces droits et principes. |
| --- | --- |

(79)

Le présent règlement respecte les droits fondamentaux et observe les principes consacrés notamment par la Charte des droits fondamentaux de l'Union européenne et devrait être appliqué conformément à ces droits et principes.

| (80) | Afin que le présent règlement s'intègre dans le cadre juridique existant, il y a lieu de modifier en conséquence le règlement (UE) 2018/1726 du Parlement européen et du Conseil (27) et les règlements (UE) 2018/1862 et (UE) 2019/816, |
| --- | --- |

(80)

Afin que le présent règlement s'intègre dans le cadre juridique existant, il y a lieu de modifier en conséquence le règlement (UE) 2018/1726 du Parlement européen et du Conseil (27) et les règlements (UE) 2018/1862 et (UE) 2019/816,

ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:

CHAPITRE I

Dispositions générales

Article premier

Objet

1.   Le présent règlement, conjointement avec le règlement (UE) 2019/817 du Parlement européen et du Conseil (28), crée un cadre visant à garantir l'interopérabilité entre le système d'entrée/de sortie (EES), le système d'information sur les visas (VIS), le système européen d'information et d'autorisation concernant les voyages (ETIAS), Eurodac, le système d'information Schengen (SIS) et le système européen d'information sur les casiers judiciaires pour les ressortissants de pays tiers (ECRIS-TCN).

2.   Le cadre comprend les éléments d'interopérabilité suivants:

| a) | un portail de recherche européen (ESP); |
| --- | --- |

a)

un portail de recherche européen (ESP);

| b) | un service partagé d'établissement de correspondances biométriques (BMS partagé); |
| --- | --- |

b)

un service partagé d'établissement de correspondances biométriques (BMS partagé);

| c) | un répertoire commun de données d'identité (CIR); |
| --- | --- |

c)

un répertoire commun de données d'identité (CIR);

| d) | un détecteur d'identités multiples (MID). |
| --- | --- |

d)

un détecteur d'identités multiples (MID).

3.   Le présent règlement établit également des dispositions concernant les exigences en matière de qualité des données, le format universel pour les messages (UMF), le répertoire central des rapports et statistiques (CRRS), et les responsabilités des États membres et de l'Agence européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (eu-LISA) à l'égard de la conception, du développement et du fonctionnement des éléments d'interopérabilité.

4.   Le présent règlement adapte également les procédures et les conditions d'accès des autorités désignées et de l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) à l'EES, au VIS, à ETIAS et à Eurodac aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière.

5.   Le présent règlement établit également un cadre permettant de vérifier l'identité des personnes et d'identifier des personnes.

Article 2

Objectifs

1.   En garantissant l'interopérabilité, le présent règlement poursuit les objectifs suivants:

| a) | améliorer l'efficacité et l'efficience des vérifications aux frontières extérieures; |
| --- | --- |

a)

améliorer l'efficacité et l'efficience des vérifications aux frontières extérieures;

| b) | contribuer à la prévention de l'immigration illégale et à la lutte contre celle-ci; |
| --- | --- |

b)

contribuer à la prévention de l'immigration illégale et à la lutte contre celle-ci;

| c) | contribuer à l'établissement d'un niveau élevé de sécurité dans l'espace de liberté, de sécurité et de justice de l'Union, y compris au maintien de la sécurité publique et de l'ordre public et à la préservation de la sécurité sur le territoire des États membres; |
| --- | --- |

c)

contribuer à l'établissement d'un niveau élevé de sécurité dans l'espace de liberté, de sécurité et de justice de l'Union, y compris au maintien de la sécurité publique et de l'ordre public et à la préservation de la sécurité sur le territoire des États membres;

| d) | améliorer la mise en œuvre de la politique commune en matière de visas; |
| --- | --- |

d)

améliorer la mise en œuvre de la politique commune en matière de visas;

| e) | aider dans l'examen des demandes de protection internationale; |
| --- | --- |

e)

aider dans l'examen des demandes de protection internationale;

| f) | contribuer à la prévention et à la détection des infractions terroristes et d'autres infractions pénales graves, et aux enquêtes en la matière; |
| --- | --- |

f)

contribuer à la prévention et à la détection des infractions terroristes et d'autres infractions pénales graves, et aux enquêtes en la matière;

| g) | faciliter l'identification de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou de restes humains non identifiés en cas de catastrophe naturelle, d'accident ou d'attaque terroriste. |
| --- | --- |

g)

faciliter l'identification de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou de restes humains non identifiés en cas de catastrophe naturelle, d'accident ou d'attaque terroriste.

2.   Les objectifs visés au paragraphe 1 sont atteints:

| a) | en assurant l'identification correcte des personnes; |
| --- | --- |

a)

en assurant l'identification correcte des personnes;

| b) | en contribuant à la lutte contre la fraude à l'identité; |
| --- | --- |

b)

en contribuant à la lutte contre la fraude à l'identité;

| c) | en améliorant la qualité des données et en harmonisant les exigences relatives à la qualité pour les données stockées dans les systèmes d'information de l'UE tout en respectant les exigences en matière de traitement des données prévues dans les instruments juridiques des différents systèmes ainsi que les normes et les principes en matière de protection des données; |
| --- | --- |

c)

en améliorant la qualité des données et en harmonisant les exigences relatives à la qualité pour les données stockées dans les systèmes d'information de l'UE tout en respectant les exigences en matière de traitement des données prévues dans les instruments juridiques des différents systèmes ainsi que les normes et les principes en matière de protection des données;

| d) | en facilitant et en soutenant la mise en œuvre technique et opérationnelle, par les États membres, des systèmes d'information de l'UE; |
| --- | --- |

d)

en facilitant et en soutenant la mise en œuvre technique et opérationnelle, par les États membres, des systèmes d'information de l'UE;

| e) | en renforçant, en simplifiant et en rendant plus uniformes les conditions de sécurité des données et de protection des données régissant les différents systèmes d'information de l'UE, sans porter atteinte à la protection et aux garanties spéciales accordées à certaines catégories de données; |
| --- | --- |

e)

en renforçant, en simplifiant et en rendant plus uniformes les conditions de sécurité des données et de protection des données régissant les différents systèmes d'information de l'UE, sans porter atteinte à la protection et aux garanties spéciales accordées à certaines catégories de données;

| f) | en rationalisant les conditions d'accès des autorités désignées à l'EES, au VIS, à ETIAS et à Eurodac, tout en garantissant les conditions nécessaires et proportionnées de cet accès; |
| --- | --- |

f)

en rationalisant les conditions d'accès des autorités désignées à l'EES, au VIS, à ETIAS et à Eurodac, tout en garantissant les conditions nécessaires et proportionnées de cet accès;

| g) | en soutenant les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN. |
| --- | --- |

g)

en soutenant les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN.

Article 3

Champ d'application

1.   Le présent règlement s'applique à Eurodac, au SIS et à l'ECRIS-TCN.

2.   Le présent règlement s'applique également aux données d'Europol dans la mesure nécessaire pour permettre à celles-ci d'être interrogées simultanément avec les systèmes d'information de l'UE visés au paragraphe 1.

3.   Le présent règlement s'applique aux personnes à l'égard desquelles des données à caractère personnel peuvent être traitées dans les systèmes d'information de l'UE visés au paragraphe 1 et dans les données d'Europol visées au paragraphe 2.

Article 4

Définitions

Aux fins du présent règlement, on entend par:

1)   «frontières extérieures»: les frontières extérieures telles qu'elles sont définies à l'article 2, point 2), du règlement (UE) 2016/399 du Parlement européen et du Conseil (29);

«frontières extérieures»

29

2)   «vérifications aux frontières»: les vérifications aux frontières telles qu'elles sont définies à l'article 2, point 11), du règlement (UE) 2016/399;

«vérifications aux frontières»

3)   «autorité frontalière»: le garde-frontière chargé, conformément au droit national, d'effectuer des vérifications aux frontières;

«autorité frontalière»

4)   «autorités de contrôle»: l'autorité de contrôle visée à l'article 51, paragraphe 1, du règlement (UE) 2016/679 et l'autorité de contrôle visée à l'article 41, paragraphe 1, de la directive (UE) 2016/680;

«autorités de contrôle»

5)   «vérification»: le processus consistant à comparer des séries de données en vue d'établir la validité d'une identité déclarée (contrôle par comparaison de deux échantillons);

«vérification»

6)   «identification»: le processus consistant à déterminer l'identité d'une personne par interrogation d'une base de données et comparaison avec plusieurs séries de données (contrôle par comparaison de plusieurs échantillons);

«identification»

7)   «données alphanumériques»: les données représentées par des lettres, des chiffres, des caractères spéciaux, des espaces et des signes de ponctuation;

«données alphanumériques»

8)   «données d'identité»: les données visées à l'article 27, paragraphe 3, points a) à e);

«données d'identité»

9)   «données dactyloscopiques»: les images d'empreintes digitales et les images d'empreintes digitales latentes qui, en raison de leur caractère unique et des points de référence qu'elles contiennent, permettent de réaliser des comparaisons précises et concluantes en ce qui concerne l'identité d'une personne;

«données dactyloscopiques»

10)   «image faciale»: les images numériques du visage;

«image faciale»

11)   «données biométriques»: les données dactyloscopiques ou les images faciales ou les deux;

«données biométriques»

12)   «modèle biométrique»: une représentation mathématique obtenue par l'extraction de caractéristiques des données biométriques, se limitant aux caractéristiques nécessaires pour procéder à des identifications et à des vérifications;

«modèle biométrique»

13)   «document de voyage»: un passeport ou autre document équivalent, autorisant son titulaire à franchir les frontières extérieures et sur lequel un visa peut être apposé;

«document de voyage»

14)   «données du document de voyage»: le type, le numéro et le pays de délivrance du document de voyage, la date d'expiration de sa validité et le code à trois lettres du pays de délivrance du document de voyage;

«données du document de voyage»

15)   «systèmes d'information de l'UE»: l'EES, le VIS, ETIAS, Eurodac, le SIS et l'ECRIS-TCN;

«systèmes d'information de l'UE»

16)   «données d'Europol»: les données à caractère personnel traitées par Europol pour les finalités visées à l'article 18, paragraphe 2, points a), b) et c), du règlement (UE) 2016/794;

«données d'Europol»

17)   «bases de données d'Interpol»: la base de données d'Interpol sur les documents de voyage volés et perdus (base de données SLTD) et la base de données d'Interpol sur les documents de voyage associés aux notices (base de données TDAWN);

«bases de données d'Interpol»

18)   «correspondance»: l'existence d'une correspondance résultant d'une comparaison automatisée entre les données à caractère personnel enregistrées ou en cours d'enregistrement dans un système d'information ou dans une base de données;

«correspondance»

19)   «service de police»: l'autorité compétente telle qu'elle est définie à l'article 3, point 7), de la directive (UE) 2016/680;

«service de police»

20)   «autorités désignées»: les autorités désignées par les États membres telles qu'elles sont définies à l'article 3, paragraphe 1, point 26), du règlement (UE) 2017/2226 du Parlement européen et du Conseil (30), à l'article 2, paragraphe 1, point e), de la décision 2008/633/JAI du Conseil (31) et à l'article 3, paragraphe 1, point 21, du règlement (UE) 2018/1240 du Parlement européen et du Conseil (32);

«autorités désignées»

30

31

32

21)   «infraction terroriste»: une infraction prévue par le droit national qui correspond ou est équivalente à l'une des infractions visées dans la directive (UE) 2017/541 du Parlement européen et du Conseil (33);

«infraction terroriste»

33

22)   «infraction pénale grave»: une infraction qui correspond ou est équivalente à l'une des infractions visées à l'article 2, paragraphe 2, de la décision-cadre 2002/584/JAI du Conseil (34), si elle est punie en droit national d'une peine ou d'une mesure de sûreté privative de liberté d'une durée maximale d'au moins trois ans;

«infraction pénale grave»

34

23)   «système d'entrée/de sortie» ou «EES»: le système d'entrée/de sortie créé par le règlement (UE) 2017/2226;

«système d'entrée/de sortie» ou «EES»

24)   «système d'information sur les visas» ou «VIS»: le système d'information sur les visas établi par le règlement (CE) no 767/2008 du Parlement européen et du Conseil (35);

«système d'information sur les visas» ou «VIS»

o

35

25)   «système européen d'information et d'autorisation concernant les voyages» ou «ETIAS»: le système européen d'information et d'autorisation concernant les voyages créé par le règlement (UE) 2018/1240;

«système européen d'information et d'autorisation concernant les voyages» ou «ETIAS»

26)   «Eurodac»: Eurodac créé par le règlement (UE) no 603/2013 du Parlement européen et du Conseil (36);

«Eurodac»

o

36

27)   «système d'information Schengen» ou «SIS»: le système d'information Schengen établi par les règlements (UE) 2018/1860, (UE) 2018/1861 et (UE) 2018/1862;

«système d'information Schengen» ou «SIS»

28)   «ECRIS-TCN»: le système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides créé par le règlement (UE) 2019/816 du Parlement européen et du Conseil.

«ECRIS-TCN»

Article 5

Non-discrimination et droits fondamentaux

Le traitement de données à caractère personnel aux fins du présent règlement ne donne lieu à aucune discrimination à l'encontre des personnes, fondée notamment sur le sexe, la race, la couleur, les origines ethniques ou sociales, les caractéristiques génétiques, la langue, la religion ou les convictions, les opinions politiques ou toute autre opinion, l'appartenance à une minorité nationale, la fortune, la naissance, un handicap, l'âge ou l'orientation sexuelle. Il respecte pleinement la dignité humaine, l'intégrité des personnes et les droits fondamentaux, notamment le droit au respect de la vie privée et le droit à la protection des données à caractère personnel. Une attention particulière est accordée aux enfants, aux personnes âgées, aux personnes handicapées et aux personnes nécessitant une protection internationale. L'intérêt supérieur de l'enfant est une considération primordiale.

CHAPITRE II

Portail de recherche européen

Article 6

Portail de recherche européen

1.   Un portail de recherche européen (ESP) est créé afin de faciliter l'accès rapide, continu, efficace, systématique et contrôlé des autorités des États membres et des agences de l'Union aux systèmes d'information de l'UE, aux données d'Europol et aux bases de données d'Interpol pour l'accomplissement de leurs tâches et conformément à leurs droits d'accès ainsi qu'aux objectifs et finalités de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN.

2.   L'ESP se compose des éléments suivants:

| a) | une infrastructure centrale comportant un portail de recherche permettant d'interroger simultanément l'EES, le VIS, ETIAS, Eurodac, le SIS, l'ECRIS-TCN ainsi que les données d'Europol et les bases de données d'Interpol; |
| --- | --- |

a)

une infrastructure centrale comportant un portail de recherche permettant d'interroger simultanément l'EES, le VIS, ETIAS, Eurodac, le SIS, l'ECRIS-TCN ainsi que les données d'Europol et les bases de données d'Interpol;

| b) | un canal de communication sécurisé entre l'ESP, les États membres et les agences de l'Union qui sont autorisées à utiliser l'ESP; |
| --- | --- |

b)

un canal de communication sécurisé entre l'ESP, les États membres et les agences de l'Union qui sont autorisées à utiliser l'ESP;

| c) | une infrastructure de communication sécurisée entre l'ESP et l'EES, le VIS, ETIAS, Eurodac, le SIS central, l'ECRIS-TCN, les données d'Europol et les bases de données d'Interpol ainsi qu'entre l'ESP et les infrastructures centrales du CIR et du MID. |
| --- | --- |

c)

une infrastructure de communication sécurisée entre l'ESP et l'EES, le VIS, ETIAS, Eurodac, le SIS central, l'ECRIS-TCN, les données d'Europol et les bases de données d'Interpol ainsi qu'entre l'ESP et les infrastructures centrales du CIR et du MID.

3.   L'eu-LISA développe l'ESP et en assure la gestion technique.

Article 7

Utilisation du portail de recherche européen

1.   L'utilisation de l'ESP est réservée aux autorités des États membres et aux agences de l'Union ayant accès à au moins l'un des systèmes d'information de l'UE conformément aux instruments juridiques régissant ces systèmes d'information de l'UE, au CIR et au MID conformément au présent règlement, aux données d'Europol conformément au règlement (UE) 2016/794, ou aux bases de données d'Interpol conformément au droit de l'Union ou au droit national régissant cet accès.

Ces autorités des États membres et ces agences de l'Union peuvent utiliser l'ESP et les données qu'il fournit uniquement pour les objectifs et finalités prévus dans les instruments juridiques régissant ces systèmes d'information de l'UE, dans le règlement (UE) 2016/794 et dans le présent règlement.

2.   Les autorités des États membres et les agences de l'Union visées au paragraphe 1 utilisent l'ESP pour effectuer des recherches dans les données relatives à des personnes ou à leurs documents de voyage dans les systèmes centraux d'Eurodac et de l'ECRIS-TCN conformément aux droits d'accès que leur confèrent les instruments juridiques régissant ces systèmes d'information de l'UE et le droit national. Elles utilisent aussi l'ESP pour interroger le CIR conformément aux droits d'accès dont elles bénéficient dans le cadre du présent règlement aux fins visées aux articles 20, 21 et 22.

3.   Les autorités des États membres visées au paragraphe 1 peuvent utiliser l'ESP pour effectuer des recherches dans les données relatives à des personnes ou à leurs documents de voyage dans le SIS central visé dans les règlements (UE) 2018/1860 et (UE) 2018/1861.

4.   Lorsque le droit de l'Union le prévoit, les agences de l'Union visées au paragraphe 1 utilisent l'ESP pour effectuer des recherches dans les données relatives à des personnes ou à leurs documents de voyage dans le SIS central.

5.   Les autorités des États membres et les agences de l'Union visées au paragraphe 1 peuvent utiliser l'ESP pour effectuer des recherches dans les données relatives à des personnes ou à leurs documents de voyage dans les données d'Europol conformément aux droits d'accès que leur confèrent le droit de l'Union et le droit national.

Article 8

Profils des utilisateurs du portail de recherche européen

1.   Afin de permettre l'utilisation de l'ESP, l'eu-LISA crée, en collaboration avec les États membres, un profil basé sur chaque catégorie d'utilisateurs de l'ESP et sur les finalités des requêtes, conformément aux détails techniques et aux droits d'accès visés au paragraphe 2. Chaque profil comprend, indiquant, conformément au droit de l'Union et au droit national, les informations suivantes:

| a) | les champs de données à utiliser pour les interrogations; |
| --- | --- |

a)

les champs de données à utiliser pour les interrogations;

| b) | les systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol qui sont interrogées, ceux qui peuvent être interrogés et ceux qui fournissent une réponse à l'utilisateur; |
| --- | --- |

b)

les systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol qui sont interrogées, ceux qui peuvent être interrogés et ceux qui fournissent une réponse à l'utilisateur;

| c) | les données spécifiques qui peuvent être interrogées dans les systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol; |
| --- | --- |

c)

les données spécifiques qui peuvent être interrogées dans les systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol;

| d) | les catégories de données qui peuvent être fournies dans chaque réponse. |
| --- | --- |

d)

les catégories de données qui peuvent être fournies dans chaque réponse.

2.   La Commission adopte des actes d'exécution afin de préciser les détails techniques des profils visés au paragraphe 1 conformément aux droits d'accès des utilisateurs de l'ESP prévus dans les instruments juridiques régissant les systèmes d'information de l'UE et dans le droit national. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 70, paragraphe 2.

3.   Les profils visés au paragraphe 1 sont réexaminés régulièrement, au moins une fois par an, par l'eu-LISA, en collaboration avec les États membres, et, si nécessaire, mis à jour.

Article 9

Requêtes

1.   Les utilisateurs de l'ESP lancent une requête en soumettant des données alphanumériques ou biométriques à l'ESP. Lorsqu'une requête a été lancée, l'ESP interroge l'EES, ETIAS, le VIS, le SIS, Eurodac, l'ECRIS-TCN et le CIR ainsi que les données d'Europol et les bases de données d'Interpol simultanément, à l'aide des données envoyées par l'utilisateur et conformément au profil d'utilisateur.

2.   Les catégories de données utilisés pour lancer une requête par l'intermédiaire de l'ESP correspondent aux catégories de données relatives à des personnes ou à des documents de voyage qui peuvent être utilisés pour interroger les différents systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol conformément aux instruments juridiques qui les régissent.

3.   L'eu-LISA met en œuvre pour l'ESP, en collaboration avec les États membres, un document de contrôle des interfaces basé sur l'UMF visé à l'article 38.

4.   Lorsqu'une requête est lancée par un utilisateur de l'ESP, l'EES, ETIAS, le VIS, le SIS, Eurodac, l'ECRIS-TCN, le CIR et le MID, ainsi que les données d'Europol et les bases de données d'Interpol, fournissent en réponse à la requête les données qu'ils détiennent.

Sans préjudice de l'article 20, la réponse fournie par l'ESP indique à quel système d'information de l'UE ou à quelle base de données les données appartiennent.

L'ESP ne fournit aucune information concernant des données contenues dans des systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol auxquels l'utilisateur n'a pas accès en vertu du droit de l'Union ou du droit national applicable.

5.   Toute interrogation des bases de données d'Interpol lancée via l'ESP est effectuée de telle manière qu'aucune information n'est révélée au propriétaire du signalement Interpol.

6.   L'ESP fournit des réponses à l'utilisateur dès que des données sont disponibles dans un des systèmes d'information de l'UE, dans les données d'Europol ou dans les bases de données d'Interpol. Ces réponses comportent uniquement les données auxquelles l'utilisateur a accès en vertu du droit de l'Union ou du droit national.

7.   La Commission adopte un acte d'exécution afin de préciser la procédure technique permettant à l'ESP d'interroger les systèmes d'information de l'UE, les données d'Europol et les bases de données d'Interpol et déterminer le format des réponses de l'ESP. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 70, paragraphe 2.

Article 10

Tenue de registres

1.   Sans préjudice des articles 12 et 18 du règlement (UE) 2018/1862, de l'article 29 du règlement (UE) 2019/816 et de l'article 40 du règlement (UE) 2016/794, l'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans l'ESP. Ces registres contiennent les informations suivantes:

| a) | l'État membre ou l'agence de l'Union qui lance la requête et le profil ESP utilisé; |
| --- | --- |

a)

l'État membre ou l'agence de l'Union qui lance la requête et le profil ESP utilisé;

| b) | la date et l'heure de la requête; |
| --- | --- |

b)

la date et l'heure de la requête;

| c) | les systèmes d'information de l'UE et les données d'Europol qui ont été interrogés. |
| --- | --- |

c)

les systèmes d'information de l'UE et les données d'Europol qui ont été interrogés.

2.   Chaque État membre tient des registres des requêtes introduites par ses autorités et le personnel de ces autorités dûment autorisé à utiliser l'ESP. Chaque agence de l'Union tient des registres des requêtes introduites par son personnel dûment autorisé.

3.   Les registres visés aux paragraphes 1 et 2 ne peuvent être utilisés que pour contrôler la protection des données, y compris vérifier la recevabilité d'une requête et la licéité du traitement des données, et pour garantir la sécurité et l'intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s'ils sont nécessaires à des procédures de contrôle qui ont déjà été engagées, ils sont effacés dès qu'ils ne sont plus nécessaires aux procédures de contrôle.

Article 11

Procédures de secours en cas d'impossibilité technique d'utiliser le portail de recherche européen

1.   Lorsqu'il est techniquement impossible d'utiliser l'ESP pour interroger un ou plusieurs des systèmes d'information de l'UE ou le CIR, en raison d'une défaillance de l'ESP, l'eu-LISA le notifie, de manière automatisée, aux utilisateurs de l'ESP.

2.   Lorsqu'il est techniquement impossible d'utiliser l'ESP pour interroger un ou plusieurs des systèmes d'information de l'UE ou le CIR en raison d'une défaillance de l'infrastructure nationale d'un État membre, cet État membre le notifie, de manière automatisée, à l'eu-LISA et à la Commission.

3.   Dans les cas visés au paragraphe 1 ou 2 du présent article, et jusqu'à ce qu'il soit remédié à la défaillance technique, l'obligation visée à l'article 7, paragraphes 2 et 4, ne s'applique pas et les États membres ont accès aux systèmes d'information de l'UE ou au CIR directement lorsque le droit de l'Union ou le droit national l'exige.

4.   Lorsqu'il est techniquement impossible d'utiliser l'ESP pour interroger un ou plusieurs des systèmes d'information de l'UE ou le CIR, en raison d'une défaillance de l'infrastructure d'une agence de l'Union, ladite agence le notifie, de manière automatisée, à l'eu-LISA et à la Commission.

CHAPITRE III

Service partagé d'établissement de correspondances biométriques

Article 12

Service partagé d'établissement de correspondances biométriques

1.   Un service partagé d'établissement de correspondances biométriques (BMS partagé) stockant des modèles biométriques obtenus à partir des données biométriques visées à l'article 13, qui sont stockées dans le CIR et le SIS, et permettant d'effectuer des recherches à l'aide de données biométriques dans plusieurs systèmes d'information de l'UE est mis en place afin de soutenir le CIR et le MID ainsi que les objectifs de l'EES, du VIS, d'Eurodac, du SIS et de l'ECRIS-TCN.

2.   Le BMS partagé se compose des éléments suivants:

| a) | une infrastructure centrale qui remplace les systèmes centraux de l'EES, du VIS, du SIS, d'Eurodac et de l'ECRIS-TCN, respectivement, dans la mesure où elle stocke des modèles biométriques et permet d'effectuer des recherches à l'aide de données biométriques; |
| --- | --- |

a)

une infrastructure centrale qui remplace les systèmes centraux de l'EES, du VIS, du SIS, d'Eurodac et de l'ECRIS-TCN, respectivement, dans la mesure où elle stocke des modèles biométriques et permet d'effectuer des recherches à l'aide de données biométriques;

| b) | une infrastructure de communication sécurisée entre le BMS partagé, le SIS central et le CIR. |
| --- | --- |

b)

une infrastructure de communication sécurisée entre le BMS partagé, le SIS central et le CIR.

3.   L'eu-LISA développe le BMS partagé et en assure la gestion technique.

Article 13

Stockage de modèles biométriques dans le service partagé d'établissement de correspondances biométriques

1.   Le BMS partagé stocke les modèles biométriques qu'il obtient à partir des données biométriques suivantes:

| a) | les données visées à l'article 20, paragraphe 3, points w) et y), à l'exception des données relatives aux empreintes palmaires, du règlement (UE) 2018/1862; |
| --- | --- |

a)

les données visées à l'article 20, paragraphe 3, points w) et y), à l'exception des données relatives aux empreintes palmaires, du règlement (UE) 2018/1862;

| b) | les données visées à l'article 5, paragraphe 1, point b), et à l'article 5, paragraphe 2, du règlement (UE) 2019/816. |
| --- | --- |

b)

les données visées à l'article 5, paragraphe 1, point b), et à l'article 5, paragraphe 2, du règlement (UE) 2019/816.

Les modèles biométriques sont stockés dans le BMS partagé sous une forme séparée logiquement en fonction du système d'information de l'UE d'où les données proviennent.

2.   Pour chaque ensemble de données visé au paragraphe 1, le BMS partagé inclut, dans chaque modèle biométrique, une référence aux systèmes d'information de l'UE dans lesquels les données biométriques correspondantes sont stockées et une référence aux enregistrements concrets dans ces systèmes d'information de l'UE.

3.   Les modèles biométriques sont introduits dans le BMS partagé uniquement après que le BMS partagé a effectué un contrôle automatisé de la qualité des données biométriques ajoutées à l'un des systèmes d'information de l'UE, pour s'assurer du respect d'une norme minimale de qualité des données.

4.   Le stockage des données visées au paragraphe 1 respecte les normes de qualité visées à l'article 37, paragraphe 2.

5.   La Commission définit, par la voie d'un acte d'exécution, les exigences relatives aux performances du BMS partagé et les modalités pratiques pour le suivi des performances du BMS partagé, afin de veiller à ce que l'efficacité des recherches biométriques soit adaptée à la rapidité requise par des procédures telles que les vérifications aux frontières et les identifications. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 70, paragraphe 2.

Article 14

Recherche dans des données biométriques à l'aide du service partagé d'établissement de correspondances biométriques

Afin que des recherches puissent être effectuées dans les données biométriques stockées dans le CIR et le SIS, le CIR et le SIS utilisent les modèles biométriques stockés dans le BMS partagé. Les recherches effectuées à l'aide de données biométriques sont effectuées conformément aux finalités prévues dans le présent règlement et dans les règlements (CE) no 767/2008, (UE) 2017/2226, (UE) 2018/1860, (UE) 2018/1861, (UE) 2018/1862 et (UE) 2019/816.

o

Article 15

Conservation des données dans le service partagé d'établissement de correspondances biométriques

Les données visées à l'article 13, paragraphes 1 et 2, ne sont stockées dans le BMS partagé qu'aussi longtemps que les données biométriques correspondantes sont stockées dans le CIR ou le SIS. Les données sont effacées du BMS partagé de manière automatisée.

Article 16

Tenue de registres

1.   Sans préjudice des articles 12 et 18 du règlement (UE) 2018/1862 et de l'article 29 du règlement (UE) 2019/816, l'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le BMS partagé. Ces registres contiennent les informations suivantes:

| a) | l'État membre ou l'agence de l'Union qui lance la requête; |
| --- | --- |

a)

l'État membre ou l'agence de l'Union qui lance la requête;

| b) | l'historique de la création et du stockage des modèles biométriques; |
| --- | --- |

b)

l'historique de la création et du stockage des modèles biométriques;

| c) | les systèmes d'information de l'UE interrogés à l'aide des modèles biométriques stockés dans le BMS partagé; |
| --- | --- |

c)

les systèmes d'information de l'UE interrogés à l'aide des modèles biométriques stockés dans le BMS partagé;

| d) | la date et l'heure de la requête; |
| --- | --- |

d)

la date et l'heure de la requête;

| e) | le type de données biométriques utilisées pour lancer la requête; |
| --- | --- |

e)

le type de données biométriques utilisées pour lancer la requête;

| f) | les résultats de la requête ainsi que la date et l'heure des résultats. |
| --- | --- |

f)

les résultats de la requête ainsi que la date et l'heure des résultats.

2.   Chaque État membre tient des registres des requêtes introduites par ses autorités et le personnel de ces autorités dûment autorisé à utiliser le BMS partagé. Chaque agence de l'Union tient des registres des requêtes introduites par son personnel dûment autorisé.

3.   Les registres visés aux paragraphes 1 et 1 bis ne peuvent être utilisés que pour contrôler la protection des données, y compris vérifier l'admissibilité d'une requête et la licéité du traitement des données, et pour garantir la sécurité et l'intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s'ils sont nécessaires à des procédures de contrôle qui ont déjà été engagées, ils sont effacés dès qu'ils ne sont plus nécessaires aux procédures de contrôle.

CHAPITRE IV

Répertoire commun de données d'identité

Article 17

Répertoire commun de données d'identité

1.   Un répertoire commun de données d'identité (CIR), créant un dossier individuel pour chaque personne enregistrée dans l'EES, le VIS, ETIAS, Eurodac ou l'ECRIS-TCN contenant les données visées à l'article 18, est établi afin de faciliter l'identification correcte des personnes enregistrées dans l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN et d'aider à cette identification conformément à l'article 20, de soutenir le fonctionnement du MID conformément à l'article 21 et de faciliter et de rationaliser l'accès des autorités désignées et d'Europol à l'EES, au VIS, à ETIAS et à Eurodac, lorsque cela est nécessaire à des fins de prévention ou de détection d'infractions terroristes ou d'autres infractions pénales graves ou d'enquêtes en la matière, conformément à l'article 22.

2.   Le CIR se compose des éléments suivants:

| a) | une infrastructure centrale qui remplace les systèmes centraux de l'EES, du VIS, d'ETIAS, d'Eurodac et de l'ECRIS-TCN, dans la mesure où elle stocke les données visées à l'article 18; |
| --- | --- |

a)

une infrastructure centrale qui remplace les systèmes centraux de l'EES, du VIS, d'ETIAS, d'Eurodac et de l'ECRIS-TCN, dans la mesure où elle stocke les données visées à l'article 18;

| b) | un canal de communication sécurisé entre le CIR, les États membres et les agences de l'Union qui sont autorisés à utiliser le CIR conformément au droit de l'Union et au droit national; |
| --- | --- |

b)

un canal de communication sécurisé entre le CIR, les États membres et les agences de l'Union qui sont autorisés à utiliser le CIR conformément au droit de l'Union et au droit national;

| c) | une infrastructure de communication sécurisée entre le CIR et l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN, ainsi que les infrastructures centrales de l'ESP, du BMS partagé et du MID. |
| --- | --- |

c)

une infrastructure de communication sécurisée entre le CIR et l'EES, le VIS, ETIAS, Eurodac et l'ECRIS-TCN, ainsi que les infrastructures centrales de l'ESP, du BMS partagé et du MID.

3.   L'eu-LISA développe le CIR et en assure la gestion technique.

4.   Lorsqu'il est techniquement impossible, en raison d'une défaillance du CIR, d'interroger le CIR aux fins de l'identification d'une personne en vertu de l'article 20, de la détection d'identités multiples en vertu de l'article 21 ou à des fins de prévention ou de détection d'infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, en vertu de l'article 22, l'eu-LISA le notifie aux utilisateurs du CIR, de manière automatisée.

5.   L'eu-LISA met en œuvre pour le CIR, en collaboration avec les États membres, un document de contrôle des interfaces basé sur l'UMF visé à l'article 38.

Article 18

Données du répertoire commun de données d'identité

1.   Le CIR stocke les données suivantes séparées logiquement en fonction du système d'information d'où elles proviennent: les données visées à l'article 5, paragraphe 1, point b), et à l'article 5, paragraphe 2, ainsi que les données suivantes mentionnées à l'article 5, paragraphe 1, point a), du règlement (UE) 2019/816: le nom (nom de famille), les prénoms, la date de naissance, le lieu de naissance (ville et pays), la ou les nationalités, le genre, les noms précédents, le cas échéant, lorsqu'ils sont disponibles, les pseudonymes ou noms d'emprunt, ainsi que, lorsqu'elles sont disponibles, les informations sur les documents de voyage.

2.   Pour chaque ensemble de données visé au paragraphe 1, le CIR comporte une référence aux systèmes d'information de l'UE auxquels appartiennent les données.

3.   Les autorités qui disposent d'un accès au CIR y accèdent conformément à leurs droits d'accès prévus dans les instruments juridiques qui régissent les systèmes d'information de l'UE, au droit national et à leurs droits d'accès prévus au présent règlement pour les fins visées aux articles 20, 21 et 22.

4.   Pour chaque ensemble de données visé au paragraphe 1, le CIR comporte une référence à l'enregistrement effectivement réalisé dans les systèmes d'information de l'UE auxquels appartiennent les données.

5.   Le stockage des données visées au paragraphe 1 respecte les normes de qualité visées à l'article 37, paragraphe 2.

Article 19

Ajout, modification et suppression de données dans le répertoire commun de données d'identité

1.   Lorsque des données sont ajoutées, modifiées ou supprimées dans Eurodac ou dans l'ECRIS-TCN, les données visées à l'article 18 qui sont stockées dans le dossier individuel du CIR font l'objet, de manière automatisée, d'un ajout, d'une modification ou d'une suppression en conséquence.

2.   Lorsqu'un lien blanc ou rouge est créé dans le MID conformément à l'article 32 ou 33 entre les données de deux ou plusieurs des systèmes d'information de l'UE alimentant le CIR, au lieu de créer un nouveau dossier individuel, le CIR ajoute les nouvelles données au dossier individuel des données liées.

Article 20

Accès au répertoire commun de données d'identité pour identification

1.   Les interrogations du CIR sont effectuées par un service de police conformément aux paragraphes 2 et 5 uniquement dans les circonstances suivantes:

| a) | lorsqu'un service de police n'est pas en mesure d'identifier une personne en raison de l'absence d'un document de voyage ou d'un autre document crédible prouvant l'identité de cette personne; |
| --- | --- |

a)

lorsqu'un service de police n'est pas en mesure d'identifier une personne en raison de l'absence d'un document de voyage ou d'un autre document crédible prouvant l'identité de cette personne;

| b) | lorsqu'un doute subsiste quant aux données d'identité fournies par une personne; |
| --- | --- |

b)

lorsqu'un doute subsiste quant aux données d'identité fournies par une personne;

| c) | lorsqu'un doute subsiste quant à l'authenticité du document de voyage ou d'un autre document crédible fourni par une personne; |
| --- | --- |

c)

lorsqu'un doute subsiste quant à l'authenticité du document de voyage ou d'un autre document crédible fourni par une personne;

| d) | lorsqu'un doute subsiste quant à l'identité du titulaire d'un document de voyage ou d'un autre document crédible; ou |
| --- | --- |

d)

lorsqu'un doute subsiste quant à l'identité du titulaire d'un document de voyage ou d'un autre document crédible; ou

| e) | lorsqu'une personne n'est pas en mesure ou refuse de coopérer. |
| --- | --- |

e)

lorsqu'une personne n'est pas en mesure ou refuse de coopérer.

Ces interrogations ne peuvent viser des mineurs de moins de 12 ans, à moins que ce ne soit dans l'intérêt supérieur de l'enfant.

2.   Lorsqu'une des circonstances énumérées au paragraphe 1 se produit et qu'un service de police y a été habilité par les mesures législatives nationales visées au paragraphe 5, elle peut, uniquement aux fins de l'identification d'une personne, interroger le CIR à l'aide des données biométriques de cette personne relevées en direct lors d'un contrôle d'identité, à condition que la procédure ait été initiée en présence de ladite personne.

3.   Lorsque le résultat de l'interrogation indique que des données concernant cette personne sont stockées dans le CIR, le service de police a accès en consultation aux données visées à l'article 18, paragraphe 1.

Lorsque les données biométriques de la personne ne peuvent pas être utilisées ou lorsque la requête introduite avec ces données échoue, cette dernière est introduite à l'aide des données d'identité de cette personne, combinées aux données du document de voyage, ou à l'aide des données d'identité fournies par cette personne.

4.   Lorsqu'un service de police y a été habilité par des mesures législatives nationales visées au paragraphe 6, il peut, en cas de catastrophe naturelle, d'accident ou d'attaque terroriste, et uniquement aux fins d'identification de personnes inconnues qui ne sont pas en mesure de s'identifier elles-mêmes ou de restes humains non identifiés, interroger le CIR à l'aide des données biométriques de ces personnes.

5.   Les États membres qui souhaitent faire usage de la possibilité prévue au paragraphe 2 adoptent des mesures législatives nationales. Ce faisant, les États membres tiennent compte de la nécessité d'éviter toute discrimination à l'encontre de ressortissants de pays tiers. Ces mesures législatives indiquent les finalités précises de l'identification, parmi les finalités visées à l'article 2, paragraphe 1, points b) et c). Elles désignent les services de police compétentes et fixent les procédures, les conditions et les critères relatifs à ces contrôles.

6.   Les États membres qui souhaitent faire usage de la possibilité prévue au paragraphe 4 adoptent des mesures législatives nationales fixant les procédures, les conditions et les critères.

Article 21

Accès au répertoire commun de données d'identité pour la détection d'identités multiples

1.   Lorsque le résultat d'une interrogation du CIR donne lieu à un lien jaune conformément à l'article 28, paragraphe 4, l'autorité chargée de la vérification manuelle des différentes identités conformément à l'article 29 a accès, aux seules fins de cette vérification, aux données visées à l'article 18, paragraphes 1 et 2, stockées dans le CIR reliées par un lien jaune.

2.   Lorsque le résultat d'une interrogation du CIR donne lieu à un lien rouge conformément à l'article 32, les autorités visées à l'article 26, paragraphe 2, ont accès, aux seules fins de lutter contre la fraude à l'identité, aux données visées à l'article 18, paragraphes 1 et 2, stockées dans le CIR reliées par un lien rouge.

Article 22

Interrogation du répertoire commun de données d'identité à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière

1.   Dans des cas particuliers, lorsqu'il existe des motifs raisonnables de croire que la consultation des systèmes d'information de l'UE contribuera à la prévention ou à la détection des infractions terroristes ou d'autres infractions pénales graves, ou aux enquêtes en la matière, notamment lorsqu'il y a lieu de penser que la personne soupçonnée d'avoir commis une infraction terroriste ou d'autres infractions pénales graves, ou l'auteur ou la victime de telles infractions est une personne dont les données sont stockées dans Eurodac, les autorités désignées et Europol peuvent consulter le CIR pour savoir si des données sur une personne en particulier figurent dans Eurodac.

2.   Lorsque, en réponse à une requête, le CIR indique que des données sur cette personne figurent dans Eurodac, le CIR fournit aux autorités désignées et à Europol une réponse sous la forme d'une référence, telle que visée à l'article 18, paragraphe 2, indiquant que Eurodac contient des données correspondantes. Le CIR fournit une réponse selon des modalités qui ne compromettent pas la sécurité des données.

La réponse indiquant que des données concernant cette personne figurent dans Eurodac n'est utilisée qu'aux fins de l'introduction d'une demande d'accès complet sous réserve des conditions et des procédures fixées dans les différents instruments juridiques régissant l'accès en question.

En cas d'une ou plusieurs correspondances, l'autorité désignée ou Europol demande un accès complet à au moins un des systèmes d'information avec lesquels une correspondance a été établie.

Si, à titre exceptionnel, cet accès complet n'est pas demandé, la justification de cette absence de demande est enregistrée par les autorités désignées de manière à pouvoir être reliée au dossier national s. Europol enregistre la justification dans le dossier concerné.

3.   L'accès complet aux données figurant dans Eurodac aux fins de prévenir ou de détecter les infractions terroristes ou les infractions pénales graves, ou d'enquêter sur celles-ci, reste soumis aux conditions et procédures prévues dans l'instrument juridique régissant cet accès.

Article 23

Conservation des données dans le répertoire commun de données d'identité

1.   Les données visées à l'article 18, paragraphes 1, 2 et 4, sont supprimées du CIR, de manière automatisée, conformément aux dispositions relatives à la conservation des données du règlement (UE) 2019/816.

2.   Le dossier individuel n'est stocké dans le CIR qu'aussi longtemps que les données correspondantes sont stockées dans au moins un des systèmes d'information de l'UE dont les données figurent dans le CIR. La création d'un lien n'a aucune incidence sur la période de conservation de chaque élément des données liées.

Article 24

Tenue de registres

1.   Sans préjudice de l'article 29 du règlement (UE) 2019/816, l'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le CIR conformément aux paragraphes 2, 3 et 4 du présent article.

2.   L'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le CIR en vertu de l'article 20. Ces registres contiennent les informations suivantes:

| a) | l'État membre ou l'agence de l'Union qui lance la requête; |
| --- | --- |

a)

l'État membre ou l'agence de l'Union qui lance la requête;

| b) | la finalité de l'accès par l'utilisateur qui introduit la requête par l'intermédiaire du CIR; |
| --- | --- |

b)

la finalité de l'accès par l'utilisateur qui introduit la requête par l'intermédiaire du CIR;

| c) | la date et l'heure de la requête; |
| --- | --- |

c)

la date et l'heure de la requête;

| d) | le type de données utilisées pour lancer la requête; |
| --- | --- |

d)

le type de données utilisées pour lancer la requête;

| e) | les résultats de la requête. |
| --- | --- |

e)

les résultats de la requête.

3.   L'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le CIR en vertu de l'article 21. Ces registres contiennent les informations suivantes:

| a) | l'État membre ou l'agence de l'Union qui lance la requête; |
| --- | --- |

a)

l'État membre ou l'agence de l'Union qui lance la requête;

| b) | la finalité de l'accès par l'utilisateur qui introduit la requête par l'intermédiaire du CIR; |
| --- | --- |

b)

la finalité de l'accès par l'utilisateur qui introduit la requête par l'intermédiaire du CIR;

| c) | la date et l'heure de la requête; |
| --- | --- |

c)

la date et l'heure de la requête;

| d) | lorsqu'un lien est créé, les données utilisées pour lancer la requête et les résultats de la requête indiquant le système d'information de l'UE d'où proviennent les données. |
| --- | --- |

d)

lorsqu'un lien est créé, les données utilisées pour lancer la requête et les résultats de la requête indiquant le système d'information de l'UE d'où proviennent les données.

4.   L'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le CIR en vertu de l'article 22. Ces registres contiennent les informations suivantes:

| a) | la date et l'heure de la requête; |
| --- | --- |

a)

la date et l'heure de la requête;

| b) | les données utilisées pour lancer la requête; |
| --- | --- |

b)

les données utilisées pour lancer la requête;

| c) | les résultats de la requête; |
| --- | --- |

c)

les résultats de la requête;

| d) | l'État membre ou l'agence de l'Union qui interroge le CIR. |
| --- | --- |

d)

l'État membre ou l'agence de l'Union qui interroge le CIR.

L'autorité de contrôle compétente, conformément à l'article 41 de la directive (UE) 2016/680, ou le Contrôleur européen de la protection des données, conformément à l'article 43 du règlement (UE) 2016/794, vérifient régulièrement les registres de ces accès, à des intervalles ne dépassant pas six mois, afin de vérifier si les procédures et conditions prévues à l'article 22, paragraphes 1 et 2 du présent règlement sont respectées.

5.   Chaque État membre tient des registres des requêtes introduites en vertu des articles 20, 21 et 22 par ses autorités et le personnel de ces autorités dûment autorisé à utiliser le CIR. Chaque agence de l'Union tient des registres des requêtes introduites par son personnel dûment autorisé en vertu des articles 21 et 22.

En outre, pour tout accès au CIR autorisé en vertu de l'article 22, chaque État membre tient les registres suivants:

| a) | la référence du dossier national; |
| --- | --- |

a)

la référence du dossier national;

| b) | la finalité de l'accès; |
| --- | --- |

b)

la finalité de l'accès;

| c) | conformément aux règles nationales, l'identifiant unique de l'agent qui a introduit la recherche et celui de l'agent qui a ordonné la recherche. |
| --- | --- |

c)

conformément aux règles nationales, l'identifiant unique de l'agent qui a introduit la recherche et celui de l'agent qui a ordonné la recherche.

6.   Conformément au règlement (UE) 2016/794, pour tout accès au CIR accordé en vertu de l'article 22 du présent règlement, Europol tient des registres de l'identifiant unique de l'agent qui a introduit la requête et de celui de l'agent qui a ordonné la requête.

7.   Les registres visés aux paragraphes 2 à 6 ne peuvent être utilisés que pour contrôler la protection des données, y compris vérifier l'admissibilité d'une requête et la licéité du traitement des données, et pour garantir la sécurité et l'intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s'ils sont nécessaires à des procédures de contrôle qui sont déjà engagées, ils sont effacés dès qu'ils ne sont plus nécessaires aux procédures de contrôle.

8.   L'eu-LISA conserve les registres relatifs à l'historique des données dans les dossiers individuels. L'eu-LISA efface ces registres, de manière automatisée, une fois les données effacées.

CHAPITRE V

Détecteur d'identités multiples

Article 25

Détecteur d'identités multiples

1.   Un détecteur d'identités multiples (MID) qui crée et stocke les dossiers de confirmation d'identité visés à l'article 34, contenant des liens entre les données des systèmes d'information de l'UE figurant dans le CIR et dans le SIS et permettant la détection des identités multiples, avec le double objectif de faciliter les contrôles d'identité et de lutter contre la fraude à l'identité, est établi afin de soutenir le fonctionnement du CIR et les objectifs de l'EES, du VIS, d'ETIAS, d'Eurodac, du SIS et de l'ECRIS-TCN.

2.   Le MID se compose des éléments suivants:

| a) | une infrastructure centrale qui stocke des liens et des références aux systèmes d'information de l'UE; |
| --- | --- |

a)

une infrastructure centrale qui stocke des liens et des références aux systèmes d'information de l'UE;

| b) | une infrastructure de communication sécurisée pour connecter le MID au SIS et aux infrastructures centrales de l'ESP et du CIR. |
| --- | --- |

b)

une infrastructure de communication sécurisée pour connecter le MID au SIS et aux infrastructures centrales de l'ESP et du CIR.

3.   L'eu-LISA développe le MID et en assure la gestion technique.

Article 26

Accès au détecteur d'identités multiples

1.   Aux fins de la vérification manuelle des différentes identités visée à l'article 29, l'accès aux données visées à l'article 34 stockées dans le MID est accordé:

| a) | au bureau SIRENE de l'État membre qui crée ou actualise un signalement conformément au règlement (UE) 2018/1862; |
| --- | --- |

a)

au bureau SIRENE de l'État membre qui crée ou actualise un signalement conformément au règlement (UE) 2018/1862;

| b) | aux autorités centrales de l'État membre de condamnation lorsqu'elles enregistrent ou modifient des données dans l'ECRIS-TCN conformément à l'article 5 ou 9 du règlement (UE) 2019/816. |
| --- | --- |

b)

aux autorités centrales de l'État membre de condamnation lorsqu'elles enregistrent ou modifient des données dans l'ECRIS-TCN conformément à l'article 5 ou 9 du règlement (UE) 2019/816.

2.   Les autorités des États membres et les agences de l'Union ayant accès à au moins un système d'information de l'UE alimentant le CIR ou au SIS ont accès aux données visées à l'article 34, points a) et b), en ce qui concerne les liens rouges visés à l'article 32.

3.   Les autorités des États membres et les agences de l'Union ont accès aux liens blancs visés à l'article 33 lorsqu'elles ont accès aux deux systèmes d'information de l'UE contenant des données entre lesquelles le lien blanc a été créé.

4.   Les autorités des États membres et les agences de l'Union ont accès aux liens verts visés à l'article 31 lorsqu'elles ont accès aux deux systèmes d'information de l'UE contenant des données entre lesquelles le lien vert a été créé et qu'une interrogation de ces systèmes d'information a révélé une correspondance avec les deux séries de données liées.

Article 27

Détection d'identités multiples

1.   Une détection d'identités multiples dans le CIR et le SIS est lancée lorsque:

| a) | un signalement concernant une personne est créé ou actualisé dans le SIS conformément aux chapitres VI à IX du règlement (UE) 2018/1862; |
| --- | --- |

a)

un signalement concernant une personne est créé ou actualisé dans le SIS conformément aux chapitres VI à IX du règlement (UE) 2018/1862;

| b) | un enregistrement de données est créé ou modifié dans l'ECRIS-TCN conformément à l'article 5 ou 9 du règlement (UE) 2019/816. |
| --- | --- |

b)

un enregistrement de données est créé ou modifié dans l'ECRIS-TCN conformément à l'article 5 ou 9 du règlement (UE) 2019/816.

2.   Lorsque les données figurant dans un système d'information de l'UE visé au paragraphe 1 comportent des données biométriques, le CIR et le SIS central utilisent le BMS partagé pour détecter les identités multiples. Le BMS partagé compare les modèles biométriques obtenus à partir de toute nouvelle donnée biométrique avec les modèles biométriques figurant déjà dans le BMS partagé afin de vérifier si des données appartenant à la même personne sont déjà stockées dans le CIR ou dans le SIS central.

3.   Outre le processus visé au paragraphe 2, le CIR et le SIS central utilisent l'ESP pour effectuer des recherches dans les données stockées, respectivement, dans le SIS central et le CIR, à l'aide des données suivantes:

| a) | les noms, les prénoms, les noms à la naissance, les noms utilisés antérieurement et les pseudonymes,, le lieu de naissance, la date de naissance, le genre et toutes les nationalités possédées, tels que visés à l'article 20, paragraphe 3, du règlement (UE) 2018/1862; |
| --- | --- |

a)

les noms, les prénoms, les noms à la naissance, les noms utilisés antérieurement et les pseudonymes,, le lieu de naissance, la date de naissance, le genre et toutes les nationalités possédées, tels que visés à l'article 20, paragraphe 3, du règlement (UE) 2018/1862;

| b) | le nom (nom de famille), les prénoms, la date de naissance, le lieu de naissance (ville et pays), la ou les nationalités et le genre, tels que visés à l'article 5, paragraphe 1, point a), du règlement (UE) 2019/816. |
| --- | --- |

b)

le nom (nom de famille), les prénoms, la date de naissance, le lieu de naissance (ville et pays), la ou les nationalités et le genre, tels que visés à l'article 5, paragraphe 1, point a), du règlement (UE) 2019/816.

4.   Outre le processus visé aux paragraphes 2 et 3, le CIR et le SIS central utilisent l'ESP pour effectuer des recherches dans les données stockées, respectivement, dans le SIS central et le CIR, à l'aide des données du document de voyage.

5.   La détection d'identités multiples n'est lancée que pour comparer les données disponibles dans un système d'information de l'UE à celles qui sont disponibles dans d'autres systèmes d'information de l'UE.

Article 28

Résultats de la détection d'identités multiples

1.   Lorsque la recherche visée à l'article 27, paragraphes 2, 3 et 4, ne génère aucune correspondance, les procédures visées à l'article 27, paragraphe 1, se poursuivent conformément aux instruments juridiques qui les régissent.

2.   Lorsque la recherche visée à l'article 27, paragraphes 2, 3 et 4, génère une ou plusieurs correspondances, le CIR et, s'il y a lieu, le SIS créent un lien entre les données utilisées pour lancer la recherche et les données ayant déclenché la correspondance.

Lorsque plusieurs correspondances sont générées, un lien est créé entre toutes les données ayant déclenché la correspondance. Lorsque les données étaient déjà liées, le lien existant est étendu aux données utilisées pour lancer la recherche.

3.   Lorsque la recherche visée à l'article 27, paragraphes 2, 3 et 4, génère une ou plusieurs correspondances et que les données d'identité des dossiers liés sont les mêmes ou similaires, un lien blanc est créé conformément à l'article 33.

4.   Lorsque la recherche visée à l'article 27, paragraphes 2, 3 et 4, génère une ou plusieurs correspondances et que les données d'identité des dossiers liés ne peuvent pas être considérées comme similaires, un lien jaune est créé conformément à l'article 30 et la procédure visée à l'article 29 s'applique.

5.   La Commission adopte des actes délégués conformément à l'article 69 fixant les procédures permettant de déterminer les cas dans lesquels les données d'identité peuvent être considérées comme étant les mêmes ou similaires

6.   Les liens sont stockés dans le dossier de confirmation d'identité visé à l'article 34.

7.   La Commission fixe, par voie d'actes d'exécution, en coopération avec l'eu-LISA, les règles techniques permettant de créer des liens entre les données de différents systèmes d'information de l'UE. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 70, paragraphe 2.

Article 29

Vérification manuelle des différentes identités et autorités responsables

1.   Sans préjudice du paragraphe 2, l'autorité chargée de la vérification manuelle des différentes identités est:

| a) | le bureau SIRENE de l'État membre en ce qui concerne les correspondances générées lors de la création ou de l'actualisation d'un signalement SIS conformément au règlement (UE) 2018/1862; |
| --- | --- |

a)

le bureau SIRENE de l'État membre en ce qui concerne les correspondances générées lors de la création ou de l'actualisation d'un signalement SIS conformément au règlement (UE) 2018/1862;

| b) | les autorités centrales de l'État membre de condamnation en ce qui concerne les correspondances générées lors de l'enregistrement ou de la modification de données dans l'ECRIS-TCN conformément à l'article 5 ou 9 du règlement (UE) 2019/816. |
| --- | --- |

b)

les autorités centrales de l'État membre de condamnation en ce qui concerne les correspondances générées lors de l'enregistrement ou de la modification de données dans l'ECRIS-TCN conformément à l'article 5 ou 9 du règlement (UE) 2019/816.

Le MID indique l'autorité chargée de de la vérification manuelle des différentes identités dans le dossier de confirmation d'identité.

2.   L'autorité chargée de la vérification manuelle des différentes identités dans le dossier de confirmation d'identité est le bureau SIRENE de l'État membre qui a créé le signalement lorsqu'un lien est créé vers les données contenues dans un signalement concernant:

| a) | des personnes recherchées en vue d'une arrestation aux fins de remise ou d'extradition, visé à l'article 26 du règlement (UE) 2018/1862; |
| --- | --- |

a)

des personnes recherchées en vue d'une arrestation aux fins de remise ou d'extradition, visé à l'article 26 du règlement (UE) 2018/1862;

| b) | des personnes disparues ou vulnérables, visé à l'article 32 du règlement (UE) 2018/1862; |
| --- | --- |

b)

des personnes disparues ou vulnérables, visé à l'article 32 du règlement (UE) 2018/1862;

| c) | des personnes recherchées dans le but de rendre possible leur concours dans le cadre d'une procédure judiciaire, visé à l'article 34 du règlement (UE) 2018/1862; |
| --- | --- |

c)

des personnes recherchées dans le but de rendre possible leur concours dans le cadre d'une procédure judiciaire, visé à l'article 34 du règlement (UE) 2018/1862;

| d) | des personnes aux fins de contrôles discrets, de contrôles d'investigation ou de contrôles spécifiques, visé à l'article 36 du règlement (UE) 2018/1862. |
| --- | --- |

d)

des personnes aux fins de contrôles discrets, de contrôles d'investigation ou de contrôles spécifiques, visé à l'article 36 du règlement (UE) 2018/1862.

3.   L'autorité chargée de la vérification manuelle des différentes identités a accès aux données liées figurant dans le dossier de confirmation d'identité pertinent et aux données d'identité liées figurant dans le CIR et, s'il y a lieu, dans le SIS. Elle évalue sans retard les différentes identités. Une fois cette évaluation réalisée, elle met à jour le lien conformément aux articles 31, 32 et 33, et l'ajoute sans retard au dossier de confirmation d'identité.

4.   En cas de création de plusieurs liens, l'autorité chargée de la vérification manuelle des différentes identités évalue chaque lien séparément.

5.   Lorsque des données générant une correspondance étaient déjà liées, l'autorité chargée de la vérification manuelle des différentes identités tient compte des liens existants lorsqu'elle envisage d'en créer de nouveaux.

Article 30

Lien jaune

1.   Lorsque la vérification manuelle des différentes identités n'a pas encore eu lieu, un lien entre des données provenant d'au moins deux systèmes d'information de l'UE est classé comme jaune dans les cas suivants:

| a) | les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes; |
| --- | --- |

a)

les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes;

| b) | les données liées ont des données d'identité différentes mais les données du document de voyage sont les mêmes, et au moins l'un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée; |
| --- | --- |

b)

les données liées ont des données d'identité différentes mais les données du document de voyage sont les mêmes, et au moins l'un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée;

| c) | les données liées comportent les mêmes données d'identité mais ont des données biométriques différentes; |
| --- | --- |

c)

les données liées comportent les mêmes données d'identité mais ont des données biométriques différentes;

| d) | les données liées comportent des données d'identité similaires ou différentes, et ont les mêmes données du document de voyage, mais comportent des données biométriques différentes. |
| --- | --- |

d)

les données liées comportent des données d'identité similaires ou différentes, et ont les mêmes données du document de voyage, mais comportent des données biométriques différentes.

2.   Lorsqu'un lien est classé comme jaune conformément au paragraphe 1, la procédure prévue à l'article 29 s'applique.

Article 31

Lien vert

1.   Un lien entre des données provenant d'au moins deux systèmes d'information de l'UE est classé comme vert lorsque:

| a) | les données liées ont des données biométriques différentes mais comportent les mêmes données d'identité et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes; |
| --- | --- |

a)

les données liées ont des données biométriques différentes mais comportent les mêmes données d'identité et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes;

| b) | les données liées ont des données biométriques différentes, elles comportent des données d'identité similaires ou différentes, les données du document de voyage sont les mêmes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes; |
| --- | --- |

b)

les données liées ont des données biométriques différentes, elles comportent des données d'identité similaires ou différentes, les données du document de voyage sont les mêmes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes;

| c) | les données liées ont des données d'identité différentes mais les données du document de voyage sont les mêmes, au moins un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes. |
| --- | --- |

c)

les données liées ont des données d'identité différentes mais les données du document de voyage sont les mêmes, au moins un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes.

2.   Lorsque le CIR ou le SIS sont interrogés et qu'il existe un lien vert entre des données figurant dans au moins deux systèmes d'information de l'UE, le MID indique que les données d'identité des données liées ne correspondent pas à la même personne.

3.   Si une autorité d'un État membre dispose d'éléments de preuve suggérant qu'un lien vert a été enregistré de manière incorrecte dans le MID ou qu'un lien vert n'est pas à jour, ou que des données ont été traitées dans le MID ou les systèmes d'information de l'UE en violation du présent règlement, elle vérifie les données pertinentes stockées dans le CIR et le SIS et, si nécessaire, rectifie ou efface sans retard le lien du MID. L'autorité de l'État membre en question informe sans retard l'État membre responsable de la vérification manuelle des différentes identités.

Article 32

Lien rouge

1.   Un lien entre des données provenant d'au moins deux systèmes d'information de l'UE est classé comme rouge dans les cas suivants:

| a) | les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière injustifiée; |
| --- | --- |

a)

les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière injustifiée;

| b) | les données liées comportent les mêmes données d'identité ou des données d'identité similaires ou différentes et les mêmes données du document de voyage, mais les données biométriques sont différentes, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes, dont une au moins utilise le même document de voyage d'une manière injustifiée; |
| --- | --- |

b)

les données liées comportent les mêmes données d'identité ou des données d'identité similaires ou différentes et les mêmes données du document de voyage, mais les données biométriques sont différentes, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes, dont une au moins utilise le même document de voyage d'une manière injustifiée;

| c) | les données liées comportent les mêmes données d'identité mais ont des données biométriques différentes et les données du document de voyage sont différentes ou manquantes, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes d'une manière injustifiée; |
| --- | --- |

c)

les données liées comportent les mêmes données d'identité mais ont des données biométriques différentes et les données du document de voyage sont différentes ou manquantes, et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent deux personnes différentes d'une manière injustifiée;

| d) | les données liées ont des données d'identité différentes, mais les données du document de voyage sont les mêmes, au moins un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière injustifiée. |
| --- | --- |

d)

les données liées ont des données d'identité différentes, mais les données du document de voyage sont les mêmes, au moins un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière injustifiée.

2.   Lorsque le CIR ou le SIS sont interrogés et qu'il existe un lien rouge entre des données figurant dans au moins deux systèmes d'information de l'UE, le MID indique les données visées à l'article 34. Les mesures à prendre pour donner suite à un lien rouge sont exécutées conformément au droit de l'Union et au droit national, toute conséquence juridique pour la personne concernée ne reposant que sur les données pertinentes concernant cette personne. Aucune conséquence juridique pour la personne concernée ne peut découler de la seule existence d'un lien rouge.

3.   Lorsqu'un lien rouge est créé entre des données dans l'EES, le VIS, ETIAS, Eurodac ou l'ECRIS-TCN, le dossier individuel stocké dans le CIR est mis à jour conformément à l'article 19, paragraphe 2.

4.   Sans préjudice des dispositions relatives au traitement des signalements dans le SIS prévues dans les règlements (UE) 2018/1860, (UE) 2018/1861 et (UE) 2018/1862, et sans préjudice des restrictions nécessaires pour protéger la sécurité et l'ordre public, prévenir la criminalité et garantir qu'aucune enquête nationale ne sera compromise, lorsqu'un lien rouge est créé, l'autorité chargée de la vérification manuelle des différentes identités informe la personne concernée de la présence de données d'identités multiples illicites et lui fournit le numéro d'identification unique visé à l'article 34, point c), du présent règlement la référence de l'autorité chargée de la vérification manuelle des différentes identités visée à l'article 34, point d), du présent règlement et l'adresse internet du portail en ligne établi conformément à l'article 49 du présent règlement.

5.   Les informations visées au paragraphe 4 sont fournies par écrit au moyen d'un formulaire type par l'autorité chargée de la vérification manuelle des différentes identités. La Commission détermine le contenu et la présentation de ce formulaire par la voie d'actes d'exécution. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 70, paragraphe 2.

6.   Lorsqu'un lien rouge est créé, le MID le notifie, de manière automatisée, aux autorités responsables des données liées.

7.   Si une autorité d'un État membre ou une agence de l'Union ayant accès au CIR ou au SIS détient une preuve suggérant qu'un lien rouge a été enregistré de manière incorrecte dans le MID ou que les données ont été traitées dans le MID, le CIR ou le SIS en violation du présent règlement, cette autorité ou cette agence vérifie les données pertinentes stockées dans le CIR et le SIS et:

| a) | lorsque le lien se rapporte à l'un des signalements dans le SIS visés à l'article 29, paragraphe 2, informe immédiatement le bureau SIRENE de l'État membre concerné qui a créé le signalement dans le SIS; |
| --- | --- |

a)

lorsque le lien se rapporte à l'un des signalements dans le SIS visés à l'article 29, paragraphe 2, informe immédiatement le bureau SIRENE de l'État membre concerné qui a créé le signalement dans le SIS;

| b) | dans tous les autres cas, rectifie ou efface immédiatement le lien du MID. |
| --- | --- |

b)

dans tous les autres cas, rectifie ou efface immédiatement le lien du MID.

Si un bureau SIRENE est contacté en vertu du premier alinéa, point a), il vérifie les preuves fournies par l'autorité de l'État membre ou l'agence de l'Union et, s'il y a lieu, rectifie ou efface immédiatement le lien du MID.

L'autorité de l'État membre qui a obtenu la preuve informe sans retard l'État membre responsable de la vérification manuelle des différentes identités de toute rectification ou suppression pertinente d'un lien rouge.

Article 33

Lien blanc

1.   Un lien entre des données provenant d'au moins deux systèmes d'information de l'UE est classé comme blanc dans les cas suivants:

| a) | les données liées comportent les mêmes données biométriques et les mêmes données d'identité ou des données d'identité similaires; |
| --- | --- |

a)

les données liées comportent les mêmes données biométriques et les mêmes données d'identité ou des données d'identité similaires;

| b) | les données liées comportent les mêmes données d'identité ou des données d'identité similaires, les mêmes données du document de voyage et au moins l'un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée; |
| --- | --- |

b)

les données liées comportent les mêmes données d'identité ou des données d'identité similaires, les mêmes données du document de voyage et au moins l'un des systèmes d'information de l'UE ne contient pas de données biométriques sur la personne concernée;

| c) | les données liées comportent les mêmes données biométriques, les mêmes données du document de voyage et des données d'identité similaires; |
| --- | --- |

c)

les données liées comportent les mêmes données biométriques, les mêmes données du document de voyage et des données d'identité similaires;

| d) | les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière justifiée; |
| --- | --- |

d)

les données liées comportent les mêmes données biométriques mais ont des données d'identité similaires ou différentes et l'autorité chargée de la vérification manuelle des différentes identités a conclu que les données liées désignent la même personne d'une manière justifiée;

2.   Lorsque le CIR ou le SIS sont interrogés et qu'il existe un lien blanc entre des données figurant au moins deux systèmes d'information de l'UE, le MID indique que les données d'identité des données liées correspondent à la même personne. Les systèmes d'information de l'UE interrogés fournissent une réponse indiquant, le cas échéant, toutes les données liées sur la personne, déclenchant ainsi une correspondance au regard des données liées par le lien blanc, si l'autorité qui a lancé la recherche a accès aux données liées en vertu du droit de l'Union ou du droit national.

3.   Lorsqu'un lien blanc est créé entre des données dans l'EES, le VIS, ETIAS, Eurodac ou l'ECRIS-TCN, le dossier individuel stocké dans le CIR est mis à jour conformément à l'article 19, paragraphe 2.

4.   Sans préjudice des dispositions relatives au traitement des signalements dans le SIS contenues dans les règlements (UE) 2018/1860, (UE) 2018/1861 et (UE) 2018/1862, et sans préjudice des restrictions nécessaires pour protéger la sécurité et l'ordre public, prévenir la criminalité et garantir qu'aucune enquête nationale ne sera compromise, lorsqu'un lien blanc est créé à la suite d'une vérification manuelle des différentes identités, l'autorité chargée de la vérification manuelle des différentes identités informe la personne concernée de la présence de données d'identité similaires ou différentes et lui fournit le numéro d'identification unique visé à l'article 34, point c), du présent règlement, la référence de l'autorité chargée de la vérification manuelle des différentes identités visée à l'article 34, point d), du présent règlement et l'adresse internet du portail en ligne établi conformément à l'article 49 du présent règlement.

5.   Si une autorité d'un État membre dispose d'éléments de preuve suggérant qu'un lien blanc a été enregistré dans le MID de manière incorrecte ou qu'un lien blanc n'est pas à jour, ou que des données ont été traitées dans le MID ou les systèmes d'information de l'UE en violation du présent règlement, elle vérifie les données pertinentes stockées dans le CIR et le SIS et, si nécessaire, rectifie ou efface sans retard le lien du MID. L'autorité de l'État membre en question informe sans retard l'État membre responsable de la vérification manuelle des différentes identités.

6.   Les informations visées au paragraphe 4 sont fournies par écrit au moyen d'un formulaire type par l'autorité chargée de la vérification manuelle des différentes identités. La Commission détermine le contenu et la présentation de ce formulaire par la voie d'actes d'exécution. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 70, paragraphe 2.

Article 34

Dossier de confirmation d'identité

Le dossier de confirmation d'identité contient les données suivantes:

| a) | les liens visés aux articles 30 à 33; |
| --- | --- |

a)

les liens visés aux articles 30 à 33;

| b) | une référence aux systèmes d'information de l'UE contenant les données liées; |
| --- | --- |

b)

une référence aux systèmes d'information de l'UE contenant les données liées;

| c) | un numéro d'identification unique permettant d'extraire, des systèmes d'information de l'UE correspondants, les données liées; |
| --- | --- |

c)

un numéro d'identification unique permettant d'extraire, des systèmes d'information de l'UE correspondants, les données liées;

| d) | l'autorité responsable de la vérification manuelle des différentes identités; |
| --- | --- |

d)

l'autorité responsable de la vérification manuelle des différentes identités;

| e) | la date de création du lien ou toute mise à jour de celui-ci. |
| --- | --- |

e)

la date de création du lien ou toute mise à jour de celui-ci.

Article 35

Conservation des données dans le détecteur d'identités multiples

Les dossiers de confirmation d'identité et leurs données, y compris les liens, ne sont stockés dans le MID qu'aussi longtemps que les données liées sont stockées dans au moins deux systèmes d'information de l'UE. Ils sont effacés du MID de manière automatisée.

Article 36

Tenue de registres

1.   L'eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le MID. Ces registres contiennent les informations suivantes:

| a) | l'État membre qui lance la requête; |
| --- | --- |

a)

l'État membre qui lance la requête;

| b) | la finalité de l'accès par l'utilisateur; |
| --- | --- |

b)

la finalité de l'accès par l'utilisateur;

| c) | la date et l'heure de la requête; |
| --- | --- |

c)

la date et l'heure de la requête;

| d) | le type de données utilisées pour lancer la requête; |
| --- | --- |

d)

le type de données utilisées pour lancer la requête;

| e) | la référence aux données liées; |
| --- | --- |

e)

la référence aux données liées;

| f) | l'historique du dossier de confirmation d'identité. |
| --- | --- |

f)

l'historique du dossier de confirmation d'identité.

2.   Chaque État membre tient des registres des requêtes introduites par ses autorités et le personnel de ces autorités dûment autorisé à utiliser le MID. Chaque agence de l'Union tient des registres des requêtes introduites par son personnel dûment autorisé.

3.   Les registres visés aux paragraphes 1 et 2 ne peuvent être utilisés que pour contrôler la protection des données, y compris vérifier l'admissibilité d'une requête et la licéité du traitement des données, et pour garantir la sécurité et l'intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s'ils sont nécessaires à des procédures de contrôle qui ont déjà été engagées, ils sont effacés dès qu'ils ne sont plus nécessaires aux procédures de contrôle.

CHAPITRE VI

Mesures soutenant l'interopérabilité

Article 37

Qualité des données

1.   Sans préjudice des responsabilités des États membres en ce qui concerne la qualité des données introduites dans les systèmes, l'eu-LISA met en place des mécanismes et des procédures automatisés de contrôle de la qualité des données pour les données stockées dans le SIS, Eurodac, l'ECRIS-TCN, le BMS partagé et le CIR.

2.   L'eu-LISA met en œuvre des mécanismes d'évaluation de l'exactitude du BMS partagé, des indicateurs communs de qualité des données et des normes de qualité minimales pour le stockage de données dans le SIS, Eurodac, l'ECRIS-TCN, le BMS partagé et le CIR.

Seules les données répondant aux normes de qualité minimales peuvent être introduites dans le SIS, Eurodac, l'ECRIS-TCN, le BMS partagé, le CIR et le MID.

3.   L'eu-LISA présente aux États membres des rapports réguliers sur les mécanismes et procédures automatisés de contrôle de la qualité des données et les indicateurs communs de qualité des données. L'eu-LISA fournit également à la Commission un rapport régulier sur les problèmes rencontrés et les États membres concernés. L'eu-LISA fournit également ce rapport au Parlement européen et au Conseil à leur demande. Aucun des rapports visés au présent paragraphe ne contient de données à caractère personnel.

4.   Les détails des mécanismes et procédures automatisés de contrôle de la qualité des données, des indicateurs communs de qualité des données et des normes de qualité minimales pour le stockage de données dans le SIS, Eurodac, l'ECRIS-TCN, le BMS partagé et le CIR, notamment en ce qui concerne les données biométriques, sont définis dans des actes d'exécution. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 70, paragraphe 2.

5.   Un an après la mise en place des mécanismes et procédures automatisés de contrôle de la qualité des données, des indicateurs communs de qualité des données et des normes minimales de qualité des données, puis tous les ans, la Commission évalue la mise en œuvre de la qualité des données par les États membres et formule les recommandations nécessaires en la matière. Les États membres fournissent à la Commission un plan d'action visant à remédier aux manquements constatés dans le rapport d'évaluation et, notamment, aux problèmes de qualité des données découlant de données erronées figurant dans les systèmes d'information de l'UE. Les États membres font régulièrement rapport à la Commission sur les progrès réalisés au regard de ce plan d'action jusqu'à ce que celui-ci soit entièrement mis en œuvre.

La Commission transmet le rapport d'évaluation au Parlement européen, au Conseil, au Contrôleur européen de la protection des données, au comité européen de la protection des données et à l'Agence des droits fondamentaux de l'Union européenne instituée par le règlement (CE) no 168/2007 du Conseil (37).

Article 38

Format universel pour les messages

1.   La norme de format universel pour les messages (UMF) est établie. L'UMF définit les normes applicables à certains éléments du contenu des échanges d'informations transfrontières entre les systèmes d'information, les autorités ou les organismes dans le domaine de la justice et des affaires intérieures.

2.   La norme UMF est utilisée pour le développement d'Eurodac, de l'ECRIS-TCN, de l'ESP, du CIR, du MID et, au besoin, pour l'élaboration, par l'eu-LISA ou par toute autre agence de l'Union, de nouveaux modèles d'échange d'informations et systèmes d'information dans le domaine de la justice et des affaires intérieures.

3.   La Commission adopte un acte d'exécution pour définir et élaborer la norme UMF visée au paragraphe 1 du présent article. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 70, paragraphe 2.

Article 39

Répertoire central des rapports et statistiques

1.   Un répertoire central des rapports et statistiques (CRRS) est créé pour soutenir les objectifs, du SIS, d'Eurodac et de l'ECRIS-TCN, conformément aux différents instruments juridiques régissant ces systèmes, et pour fournir des statistiques intersystèmes et des rapports analytiques à des fins stratégiques, opérationnelles et de qualité des données.

2.   L'eu-LISA établit, met en œuvre et héberge sur ses sites techniques le CRRS, contenant les données et les statistiques visées à l'article 74 du règlement (UE) 2018/1862 et à l'article 32 du règlement (UE) 2019/816, séparées logiquement par système d'information de l'UE. L'accès au CRRS est accordé, moyennant un accès contrôlé et sécurisé et des profils d'utilisateur spécifiques, aux seules fins de l'élaboration de rapports et de statistiques, aux autorités visées à l'article 74 du règlement (UE) 2018/1862 et à l'article 32 du règlement (UE) 2019/816.

3.   L'eu-LISA anonymise les données et enregistre ces données anonymisées dans le CRRS. Le processus d'anonymisation des données est automatisé.

Les données contenues dans le CRRS ne permettent pas l'identification des personnes.

4.   Le CRRS se compose des éléments suivants:

| a) | les outils nécessaires à l'anonymisation des données; |
| --- | --- |

a)

les outils nécessaires à l'anonymisation des données;

| b) | une infrastructure centrale, comprenant un répertoire de données anonymes; |
| --- | --- |

b)

une infrastructure centrale, comprenant un répertoire de données anonymes;

| c) | une infrastructure de communication sécurisée pour connecter le CRRS au SIS, à Eurodac et à l'ECRIS-TCN, ainsi qu'aux infrastructures centrales du BMS partagé, du CIR et du MID. |
| --- | --- |

c)

une infrastructure de communication sécurisée pour connecter le CRRS au SIS, à Eurodac et à l'ECRIS-TCN, ainsi qu'aux infrastructures centrales du BMS partagé, du CIR et du MID.

5.   La Commission adopte un acte délégué conformément à l'article 69 fixant des règles détaillées concernant le fonctionnement du CRRS, notamment des garanties spécifiques pour le traitement des données à caractère personnel dans le cadre des paragraphes 2 et 3 du présent article, ainsi que des règles de sécurité applicables au répertoire.

CHAPITRE VII

Protection des données

Article 40

Responsable du traitement des données

1.   En ce qui concerne le traitement des données dans le BMS partagé, les autorités des États membres qui sont responsables du traitement pour Eurodac, le SIS et l'ECRIS-TCN, respectivement, sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 ou de l'article 3, point 8), de la directive (UE) 2016/680 en ce qui concerne les modèles biométriques obtenus à partir des données visées à l'article 13 du présent règlement qu'elles introduisent dans les systèmes sous-jacents et sont chargées du traitement des modèles biométriques dans le BMS partagé.

2.   En ce qui concerne le traitement des données dans le CIR, les autorités des États membres qui sont responsables du traitement pour Eurodac et l'ECRIS-TCN, respectivement, sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 ou de l'article 3, point 8), de la directive (UE) 2016/680 en ce qui concerne les données visées à l'article 18 du présent règlement qu'elles introduisent dans les systèmes sous-jacents et sont chargées du traitement de ces données à caractère personnel dans le CIR.

3.   En ce qui concerne le traitement des données dans le MID:

| a) | l'Agence européenne de garde-frontières et de garde-côtes est le responsable du traitement au sens de l'article 3, point 8), du règlement (UE) 2018/1725 en ce qui concerne le traitement des données à caractère personnel par l'unité centrale ETIAS. |
| --- | --- |

a)

l'Agence européenne de garde-frontières et de garde-côtes est le responsable du traitement au sens de l'article 3, point 8), du règlement (UE) 2018/1725 en ce qui concerne le traitement des données à caractère personnel par l'unité centrale ETIAS.

| b) | les autorités des États membres qui ajoutent des données dans le dossier de confirmation d'identité ou en modifient les données sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 ou de l'article 3, point 8), de la directive (UE) 2016/680 et sont chargées du traitement des données à caractère personnel dans le MID. |
| --- | --- |

b)

les autorités des États membres qui ajoutent des données dans le dossier de confirmation d'identité ou en modifient les données sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 ou de l'article 3, point 8), de la directive (UE) 2016/680 et sont chargées du traitement des données à caractère personnel dans le MID.

4.   Aux fins du contrôle de la protection des données, y compris la vérification de l'admissibilité d'une requête et de la licéité du traitement des données, les responsables du traitement ont accès aux registres visés aux articles 10, 16, 24 et 36 en vue de l'autocontrôle visé à l'article 44.

Article 41

Sous-traitant

En ce qui concerne le traitement des données à caractère personnel dans le BMS partagé, le CIR et le MID, l'eu-LISA est le sous-traitant au sens de l'article 3, point 12) a), du règlement (UE) 2018/1725.

Article 42

Sécurité du traitement

1.   L'eu-LISA, l'unité centrale ETIAS, Europol et les autorités des États membres veillent à la sécurité des opérations de traitement de données à caractère personnel effectuées en vertu du présent règlement. L'eu-LISA, l'unité centrale ETIAS, Europol et les autorités des États membres coopèrent pour l'exécution des tâches liées à la sécurité.

2.   Sans préjudice de l'article 33 du règlement (UE) 2018/1725, l'eu-LISA prend les mesures nécessaires pour assurer la sécurité des éléments d'interopérabilité et de leurs infrastructures de communication qui y sont liées.

3.   En particulier, l'eu-LISA adopte les mesures nécessaires, y compris un plan de sécurité, un plan de continuité des activités et un plan de rétablissement après sinistre, afin:

| a) | d'assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques; |
| --- | --- |

a)

d'assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques;

| b) | d'interdire à toute personne non autorisée d'accéder aux équipements et aux installations utilisés pour le traitement de données; |
| --- | --- |

b)

d'interdire à toute personne non autorisée d'accéder aux équipements et aux installations utilisés pour le traitement de données;

| c) | d'empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données; |
| --- | --- |

c)

d'empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données;

| d) | d'empêcher l'introduction non autorisée de données et le contrôle, la modification ou l'effacement non autorisés de données à caractère personnel enregistrées; |
| --- | --- |

d)

d'empêcher l'introduction non autorisée de données et le contrôle, la modification ou l'effacement non autorisés de données à caractère personnel enregistrées;

| e) | d'empêcher le traitement non autorisé de données ainsi que toute copie, toute modification ou tout effacement non autorisés de données; |
| --- | --- |

e)

d'empêcher le traitement non autorisé de données ainsi que toute copie, toute modification ou tout effacement non autorisés de données;

| f) | d'empêcher l'utilisation de systèmes de traitement automatisé de données par des personnes non autorisées au moyen de matériel de transmission de données; |
| --- | --- |

f)

d'empêcher l'utilisation de systèmes de traitement automatisé de données par des personnes non autorisées au moyen de matériel de transmission de données;

| g) | de garantir que les personnes autorisées à avoir accès aux éléments d'interopérabilité n'ont accès qu'aux données couvertes par leur autorisation d'accès, uniquement grâce à l'attribution d'identifiants individuels et à des modes d'accès confidentiels; |
| --- | --- |

g)

de garantir que les personnes autorisées à avoir accès aux éléments d'interopérabilité n'ont accès qu'aux données couvertes par leur autorisation d'accès, uniquement grâce à l'attribution d'identifiants individuels et à des modes d'accès confidentiels;

| h) | de garantir la possibilité de vérifier et d'établir à quels organismes les données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données; |
| --- | --- |

h)

de garantir la possibilité de vérifier et d'établir à quels organismes les données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données;

| i) | de garantir la possibilité de vérifier et d'établir quelles données ont été traitées dans les éléments d'interopérabilité, à quel moment, par qui et dans quel but; |
| --- | --- |

i)

de garantir la possibilité de vérifier et d'établir quelles données ont été traitées dans les éléments d'interopérabilité, à quel moment, par qui et dans quel but;

| j) | d'empêcher toute lecture, copie, modification ou tout effacement non autorisés de données à caractère personnel pendant leur transmission à partir des éléments d'interopérabilité ou vers ceux-ci, ou durant le transport de supports de données, en particulier au moyen de techniques de cryptage adaptées; |
| --- | --- |

j)

d'empêcher toute lecture, copie, modification ou tout effacement non autorisés de données à caractère personnel pendant leur transmission à partir des éléments d'interopérabilité ou vers ceux-ci, ou durant le transport de supports de données, en particulier au moyen de techniques de cryptage adaptées;

| k) | de garantir le rétablissement des systèmes installés en cas d'interruption; |
| --- | --- |

k)

de garantir le rétablissement des systèmes installés en cas d'interruption;

| l) | de garantir la fiabilité en veillant à ce que toute erreur survenant dans le fonctionnement des éléments d'interopérabilité soit dûment signalée; |
| --- | --- |

l)

de garantir la fiabilité en veillant à ce que toute erreur survenant dans le fonctionnement des éléments d'interopérabilité soit dûment signalée;

| m) | de contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et de prendre les mesures organisationnelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement et d'évaluer ces mesures de sécurité à la lumière des nouvelles avancées technologiques. |
| --- | --- |

m)

de contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et de prendre les mesures organisationnelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement et d'évaluer ces mesures de sécurité à la lumière des nouvelles avancées technologiques.

4.   Les États membres, Europol et l'unité centrale ETIAS prennent des mesures équivalentes à celles visées au paragraphe 3 en ce qui concerne la sécurité du traitement des données à caractère personnel par les autorités ayant un droit d'accès à l'un des éléments d'interopérabilité.

Article 43

Incidents de sécurité

1.   Tout événement ayant ou pouvant avoir un impact sur la sécurité des éléments d'interopérabilité et susceptible de causer aux données qui y sont stockées des dommages ou des pertes est considéré comme un incident de sécurité, en particulier lorsque des données peuvent avoir été consultées sans autorisation ou que la disponibilité, l'intégrité et la confidentialité de données ont été ou peuvent avoir été compromises.

2.   Les incidents de sécurité sont gérés de telle sorte qu'une réponse rapide, efficace et idoine y soit apportée.

3.   Sans préjudice de la notification et de la communication de toute violation de données à caractère personnel en application de l'article 33 du règlement (UE) 2016/679, de l'article 30 de la directive (UE) 2016/680 ou de ces deux dispositions, les États membres notifient sans retard tout incident de sécurité à la Commission, à l'eu-LISA, aux autorités de contrôle compétentes et au Contrôleur européen de la protection des données.

Sans préjudice des articles 34 et 35 du règlement (UE) 2018/1725 et de l'article 34 du règlement (UE) 2016/794, l'unité centrale ETIAS et Europol notifient sans retard tout incident de sécurité à la Commission, à l'eu-LISA et au Contrôleur européen de la protection des données.

En cas d'incident de sécurité concernant l'infrastructure centrale des éléments d'interopérabilité, l'eu-LISA le notifie à la Commission et au Contrôleur européen de la protection des données sans retard.

4.   Les informations relatives à un incident de sécurité ayant ou pouvant avoir un impact sur le fonctionnement des éléments d'interopérabilité, ou sur la disponibilité, l'intégrité et la confidentialité des données, sont communiquées sans retard aux États membres, à l'unité centrale ETIAS et à Europol et consignées conformément au plan de gestion des incidents qui doit être élaboré par l'eu-LISA.

5.   Les États membres concernés, l'unité centrale ETIAS, Europol et l'eu-LISA coopèrent en cas d'incident de sécurité. La Commission établit les modalités de cette procédure de coopération au moyen d'actes d'exécution. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 70, paragraphe 2.

Article 44

Autocontrôle

Les États membres et les agences de l'Union concernées veillent à ce que chaque autorité habilitée à avoir accès aux éléments d'interopérabilité prenne les mesures nécessaires pour vérifier qu'elle respecte le présent règlement et coopère, au besoin, avec l'autorité de contrôle.

Les responsables du traitement visés à l'article 40 prennent les mesures nécessaires afin de contrôler la conformité des opérations de traitement des données au regard du présent règlement, notamment en vérifiant fréquemment les registres visés aux articles 10, 16, 24 et 36, et coopèrent, au besoin, avec les autorités de contrôle et avec le Contrôleur européen de la protection des données.

Article 45

Sanctions

Les États membres veillent à ce que toute utilisation abusive, tout traitement ou tout échange de données contraire au présent règlement soit sanctionné conformément à leur droit national. Les sanctions prévues sont effectives, proportionnées et dissuasives.

Article 46

Responsabilité

1.   Sans préjudice du droit à réparation de la part du responsable du traitement ou du sous-traitant et de la responsabilité de ceux-ci au titre du règlement (UE) 2016/679, de la directive (UE) 2016/680 et du règlement (UE) 2018/1725:

| a) | toute personne ou tout État membre ayant subi un dommage matériel ou moral du fait d'une opération illicite de traitement de données à caractère personnel ou de tout autre acte incompatible avec le présent règlement de la part d'un État membre a le droit d'obtenir réparation dudit État membre; |
| --- | --- |

a)

toute personne ou tout État membre ayant subi un dommage matériel ou moral du fait d'une opération illicite de traitement de données à caractère personnel ou de tout autre acte incompatible avec le présent règlement de la part d'un État membre a le droit d'obtenir réparation dudit État membre;

| b) | toute personne ou tout État membre ayant subi un dommage matériel ou moral du fait de tout acte d'Europol, de l'Agence européenne de garde-frontières et de garde-côtes ou de l'eu-LISA incompatible avec le présent règlement a le droit d'obtenir réparation de l'agence en question. |
| --- | --- |

b)

toute personne ou tout État membre ayant subi un dommage matériel ou moral du fait de tout acte d'Europol, de l'Agence européenne de garde-frontières et de garde-côtes ou de l'eu-LISA incompatible avec le présent règlement a le droit d'obtenir réparation de l'agence en question.

L'État membre concerné, Europol, l'Agence européenne de garde-frontières et de garde-côtes ou l'eu-LISA sont exonérés, totalement ou partiellement, de leur responsabilité en vertu du premier alinéa s'ils prouvent que le fait générateur du dommage ne leur est pas imputable.

2.   Si le non-respect, par un État membre, des obligations qui lui incombent au titre du présent règlement cause un dommage aux éléments d'interopérabilité, cet État membre en est tenu pour responsable, sauf si, et dans la mesure où, l'eu-LISA ou un autre État membre lié par le présent règlement n'a pas pris de mesures raisonnables pour prévenir le dommage ou en atténuer les effets.

3.   Les actions en réparation intentées à l'encontre d'un État membre pour les dommages visés aux paragraphes 1 et 2 sont régies par le droit national de l'État membre défendeur. Les actions en réparation intentées contre le responsable du traitement ou l'eu-LISA pour les dommages visés aux paragraphes 1 et 2 s'entendent sous réserve des conditions prévues dans les traités.

Article 47

Droit à l'information

1.   L'autorité qui collecte les données à caractère personnel à stocker dans le BMS partagé, le CIR ou le MID fournit aux personnes dont les données sont collectées les informations requises en vertu des articles 13 et 14 du règlement (UE) 2016/679, des articles 12 et 13 de la directive (UE) 2016/680 et des articles 15 et 16 du règlement (UE) 2016/1725. L'autorité fournit les informations au moment de la collecte de ces données.

2.   Toutes les informations sont mises à disposition, en des termes clairs et simples, dans une version linguistique que la personne concernée comprend ou dont on peut raisonnablement supposer qu'elle la comprend. Cela s'applique également à la fourniture d'informations de manière appropriée en fonction de l'âge des personnes concernées mineures.

3.   Les règles relatives au droit à l'information figurant dans les règles applicables de l'Union en matière de protection des données s'appliquent aux données à caractère personnel qui sont enregistrées dans l'ECRIS-TCN et qui font l'objet d'un traitement aux fins du présent règlement.

Article 48

Droit d'accès aux données à caractère personnel stockées dans le MID et droits de rectification, d'effacement et de limitation du traitement de ces données

1.   Pour exercer ses droits au titre des articles 15 à 18 du règlement (UE) 2016/679, des articles 17 à 20 du règlement (UE) 2018/1725 et des articles 14, 15 et 16 de la directive (UE) 2016/680, toute personne a le droit de s'adresser à l'autorité compétente de tout État membre qui examine la demande et y répond.

2.   L'État membre qui examine cette demande répond sans retard injustifié et, en tout état de cause, dans un délai de quarante-cinq jours à compter de la réception de celle-ci. Au besoin, ce délai peut être prolongé de 15 jours, compte tenu de la complexité et du nombre de demandes. L'État membre qui examine la demande informe la personne concernée de cette prolongation et des motifs du report dans un délai de quarante-cinq jours à compter de la réception de la demande. Les États membres peuvent décider que les réponses sont données par des services centraux.

3.   Si une demande de rectification ou d'effacement de données à caractère personnel est présentée à un État membre autre que l'État membre responsable de la vérification manuelle des différentes identités, l'État membre auquel la demande a été présentée prend contact avec les autorités de l'État membre responsable de la vérification manuelle des différentes identités dans un délai de sept jours. L'État membre responsable de la vérification manuelle des différentes identités vérifie l'exactitude des données et la licéité du traitement des données sans retard injustifié et, en tout état de cause, dans un délai de trente jours à compter de cette prise de contact. Au besoin, ce délai peut être prolongé de 15 jours, compte tenu de la complexité et du nombre de demandes. L'État membre responsable de la vérification manuelle des différentes identités informe l'État membre qui l'a contacté de toute prolongation et des motifs du report. La personne concernée est informée de la suite de la procédure par l'État membre qui a contacté l'autorité de l'État membre responsable de la vérification manuelle des différentes identités.

4.   Si une demande de rectification ou d'effacement de données à caractère personnel est présentée à un État membre dans lequel l'unité centrale ETIAS était responsable de la vérification manuelle des différentes identités, l'État membre auquel la demande a été présentée prend contact avec l'unité centrale ETIAS dans un délai de sept jours et demande son avis. L'unité centrale ETIAS donne son avis sans retard injustifié et, en tout état de cause, dans un délai de trente jours à compter de cette prise de contact. Au besoin, ce délai peut être prolongé de 15 jours, compte tenu de la complexité et du nombre de demandes. La personne concernée est informée de la suite de la procédure par l'État membre qui a contacté l'unité centrale ETIAS.

5.   Lorsque, à la suite d'un examen, il apparaît que les données stockées dans le MID sont erronées ou y ont été enregistrées de façon illicite, l'État membre responsable de la vérification manuelle des différentes identités ou, lorsqu'aucun État membre n'était responsable de la vérification manuelle des différentes identités ou que l'unité centrale ETIAS était responsable de la vérification manuelle des différentes identités, l'État membre auquel la demande a été présentée rectifie ou efface ces données sans retard injustifié. La personne concernée est informée par écrit de la rectification ou de l'effacement de ses données.

6.   Lorsque des données stockées dans le MID sont modifiées par un État membre au cours de leur période de conservation, cet État membre procède au traitement prévu à l'article 27 et, selon le cas, à l'article 29 afin de déterminer si les données modifiées doivent être liées. Lorsque le traitement ne génère aucune correspondance, cet État membre efface les données du dossier de confirmation d'identité. Lorsque le traitement automatisé génère une ou plusieurs correspondances, cet État membre crée ou met à jour le lien correspondant conformément aux dispositions pertinentes du présent règlement.

7.   Lorsque l'État membre responsable de la vérification manuelle des différentes identités ou, le cas échéant, l'État membre auquel la demande a été présentée n'estime pas que les données stockées dans le MID sont erronées ou y ont été enregistrées de façon illicite, il prend une décision de nature administrative indiquant par écrit et sans retard à la personne concernée les raisons pour lesquelles il n'est pas disposé à rectifier ou à effacer les données la concernant.

8.   La décision visée au paragraphe 7 fournit également à la personne concernée des précisions sur la possibilité de contester la décision prise au sujet de la demande d'accès aux données à caractère personnel, de rectification, d'effacement ou de limitation du traitement de ces données et, s'il y a lieu, des informations sur les modalités de recours ou de plainte devant les autorités ou les juridictions compétentes, ainsi que sur toute aide disponible, y compris de la part des autorités de contrôle.

9.   Toute demande d'accès aux données à caractère personnel, de rectification, d'effacement ou de limitation du traitement de ces données comporte les informations nécessaires à l'identification de la personne concernée. Ces informations sont utilisées exclusivement pour permettre l'exercice des droits visés au présent article et sont ensuite immédiatement effacées.

10.   L'État membre responsable de la vérification manuelle des différentes identités ou, le cas échéant, l'État membre auquel la demande a été présentée consigne, dans un document écrit, le fait qu'une demande d'accès à des données à caractère personnel, de rectification, d'effacement ou de limitation du traitement de telles données a été présentée et la manière dont cette demande a été traitée, et met sans retard ce document à la disposition des autorités de contrôle.

11.   Le présent article s'applique sans préjudice des limitations et restrictions aux droits énoncés dans le présent article prévues par le règlement (UE) 2016/679 et la directive (UE) 2016/680.

Article 49

Portail en ligne

1.   Un portail en ligne est créé pour faciliter l'exercice des droits d'accès aux données à caractère personnel, de rectification, d'effacement ou de limitation du traitement de telles données.

2.   Le portail en ligne comporte des informations sur les droits et les procédures visés aux articles 47 et 48 ainsi qu'une interface utilisateur permettant aux personnes dont les données sont traitées dans le MID et qui ont été informées de la présence d'un lien rouge conformément à l'article 32, paragraphe 4, de recevoir les coordonnées de l'autorité compétente de l'État membre responsable de la vérification manuelle des différentes identités.

3.   Pour obtenir les coordonnées de l'autorité compétente de l'État membre responsable de la vérification manuelle des différentes identités, la personne dont les données sont traitées dans le MID devrait indiquer la référence de l'autorité responsable de la vérification manuelle des différentes identités visée à l'article 34, point d). Le portail en ligne utilise cette référence pour extraire les coordonnées de l'autorité compétente de l'État membre responsable de la vérification manuelle des différentes identités. Le portail en ligne comporte également un modèle de courriel destiné à faciliter la communication entre l'utilisateur du portail et l'autorité compétente de l'État membre responsable de la vérification manuelle des différentes identités. Ce courriel comporte un champ destiné au numéro d'identification unique visé à l'article 34, point c), afin de permettre à l'autorité compétente de l'État membre responsable de la vérification manuelle des différentes identités d'identifier les données concernées.

4.   Les États membres communiquent à l'eu-LISA les coordonnées de toutes les autorités compétentes pour examiner toute demande visée aux articles 47 et 48 et pour y répondre et vérifient régulièrement que ces coordonnées sont à jour.

5.   L'eu-LISA développe le portail en ligne et en assure la gestion technique.

6.   La Commission adopte un acte délégué conformément à l'article 69 afin de fixer des règles détaillées sur le fonctionnement du portail en ligne, y compris l'interface utilisateur, les langues dans lesquelles le portail est disponible ainsi que le modèle de courriel.

Article 50

Communication de données à caractère personnel vers des pays tiers, à des organisations internationales et à des entités privées

Sans préjudice de l'article 31 du règlement (CE) no 767/2008, des articles 25 et 26 du règlement (UE) 2016/794, de l'article 41 du règlement (UE) 2017/2226, de l'article 65 du règlement (UE) 2018/1240 et de l'interrogation des bases de données d'Interpol via l'ESP conformément à l'article 9, paragraphe 5, du présent règlement, qui respectent les dispositions du chapitre V du règlement (UE) 2018/1725 et du chapitre V du règlement (UE) 2016/679, les données à caractère personnel stockées dans les éléments d'interopérabilité, traitées ou accessibles par ces éléments, ne peuvent être transférées vers un pays tiers, à une organisation internationale ou à une entité privée, ni être mises à leur disposition.

o

Article 51

Contrôle par les autorités de contrôle

1.   Chaque État membre veille à ce que les autorités de contrôle contrôlent en toute indépendance la licéité du traitement des données à caractère personnel dans le cadre du présent règlement par l'État membre concerné, y compris de leur transmission à partir des éléments d'interopérabilité et vers ceux-ci.

2.   Chaque État membre veille à ce que les dispositions législatives, réglementaires et administratives nationales qu'il a adoptées en application de la directive (UE) 2016/680 s'appliquent aussi, s'il y a lieu, à l'accès aux éléments d'interopérabilité par les services de police et les autorités désignées, y compris pour ce qui est des droits des personnes aux données desquelles l'accès a ainsi été donné.

3.   Les autorités de contrôle veillent à ce que les autorités nationales responsables réalisent, tous les quatre ans au minimum, aux fins du présent règlement, un audit des opérations de traitement des données à caractère personnel, conformément aux normes internationales d'audit applicables.

Les autorités de contrôle publient chaque année le nombre de demandes visant à faire rectifier ou effacer des données à caractère personnel, ou à en faire limiter le traitement, les mesures prises par la suite et le nombre de rectifications et d'effacements auxquels il a été procédé et de limitations apportées au traitement, en réponse aux demandes des personnes concernées.

4.   Les États membres veillent à ce que leurs autorités de contrôle disposent de ressources et d'expertise suffisantes pour s'acquitter des tâches qui leur sont confiées en vertu du présent règlement.

5.   Les États membres communiquent toutes les informations demandées par une autorité de contrôle visée à l'article 51, paragraphe 1, du règlement (UE) 2016/679 et lui fournissent, en particulier, des informations relatives aux activités menées dans l'exercice de leurs fonctions au titre du présent règlement. Les États membres octroient aux autorités de contrôle visées à l'article 51, paragraphe 1, du règlement (UE) 2016/679 l'accès à leurs registres visés aux articles 10, 16, 24 et 36 du présent règlement, aux justifications visées à l'article 22, paragraphe 2, du présent règlement et leur permettent d'accéder, à tout moment, à l'ensemble de leurs locaux utilisés à des fins d'interopérabilité.

Article 52

Audits par le Contrôleur européen de la protection des données

Le Contrôleur européen de la protection des données veille à ce que soit réalisé, tous les quatre ans au minimum, un audit des opérations de traitement des données à caractère personnel effectuées aux fins du présent règlement par l'eu-LISA, l'unité centrale ETIAS et Europol, conformément aux normes internationales applicables en matière d'audit. Ce rapport d'audit est communiqué au Parlement européen, au Conseil, à l'eu-LISA, à la Commission, aux États membres et aux agences de l'Union concernées. L'eu-LISA, l'unité centrale ETIAS et Europol ont la possibilité de formuler des observations avant l'adoption des rapports.

L'eu-LISA et l'unité centrale ETIAS fournissent au Contrôleur européen de la protection des données les renseignements qu'il demande et lui octroient l'accès à tous les documents qu'il demande et à leurs registres visés aux articles 10, 16, 24 et 36, et lui permettent d'accéder, à tout moment, à l'ensemble de leurs locaux.

Article 53

Coopération entre les autorités de contrôle et le Contrôleur européen de la protection des données

1.   Les autorités de contrôle et le Contrôleur européen de la protection des données, agissant chacun dans les limites de leurs compétences respectives, coopèrent activement dans le cadre de leurs responsabilités respectives et assurent un contrôle coordonné de l'utilisation des éléments d'interopérabilité et de l'application d'autres dispositions du présent règlement, notamment si le Contrôleur européen de la protection des données ou une autorité de contrôle découvre des différences importantes entre les pratiques des États membres ou l'existence de transferts potentiellement illicites transitant par les canaux de communication des éléments d'interopérabilité.

2.   Dans les cas visés au paragraphe 1 du présent article, un contrôle coordonné est assuré conformément à l'article 62 du règlement (UE) 2018/1725.

3.   Le comité européen de la protection des données envoie un rapport d'activités conjoint au Parlement européen, au Conseil, à la Commission, à Europol, à l'Agence européenne de garde-frontières et de garde-côtes et à l'eu-LISA au plus tard le 12 juin 2021 puis tous les deux ans. Ce rapport comporte un chapitre sur chaque État membre, établi par l'autorité de contrôle de l'État membre concerné.

CHAPITRE VIII

Responsabilités

Article 54

Responsabilités de l'eu-LISA durant la phase de conception et de développement

1.   L'eu-LISA veille à ce que le fonctionnement des infrastructures centrales des éléments d'interopérabilité soit conforme au présent règlement.

2.   Les éléments d'interopérabilité sont hébergés par l'eu-LISA sur ses sites techniques et fournissent les fonctionnalités prévues dans le présent règlement conformément aux conditions de sécurité, de disponibilité, de qualité et de performance visées à l'article 55, paragraphe 1.

3.   L'eu-LISA est responsable du développement des éléments d'interopérabilité, de toutes les adaptations nécessaires pour établir l'interopérabilité entre les systèmes centraux de l'EES, du VIS, de l'ETIAS, du SIS, d'Eurodac, et de l'ECRIS-TCN ainsi que de l'ESP, du BMS partagé, du CIR, du MID et du CRRS.

Sans préjudice de l'article 62, l'eu-LISA n'a accès à aucune des données à caractère personnel traitées via l'ESP, le BMS partagé, le CIR ou le MID.

L'eu-LISA définit la conception de l'architecture matérielle des éléments d'interopérabilité, y compris leur infrastructure de communication, ainsi que les spécifications techniques et leur évolution en ce qui concerne l'infrastructure centrale et l'infrastructure de communication sécurisée, qui est adoptée par le conseil d'administration après avis favorable de la Commission. L'eu-LISA met également en œuvre tout aménagement éventuellement nécessaire du SIS, d'Eurodac ou de l'ECRIS-TCN, résultant de l'établissement de l'interopérabilité et prévu par le présent règlement.

L'eu-LISA développe et met en œuvre les éléments d'interopérabilité dès que possible après l'entrée en vigueur du présent règlement et l'adoption par la Commission des mesures prévues à l'article 8, paragraphe 2, à l'article 9, paragraphe 7, à l'article 28, paragraphes 5 et 7, à l'article 37, paragraphe 4, à l'article 38, paragraphe 3, à l'article 39, paragraphe 5, à l'article 43, paragraphe 5 et à l'article 74, paragraphe 10.

Le développement consiste en l'élaboration et la mise en œuvre des spécifications techniques, en la réalisation d'essais et en la gestion et la coordination générales du projet.

4.   Pendant la phase de conception et de développement, un conseil de gestion du programme, composé d'un maximum de 10 membres, est créé. Il est constitué de sept membres nommés par le conseil d'administration de l'eu-LISA parmi ses membres ou ses suppléants, du président du groupe consultatif sur l'interopérabilité visé à l'article 71, d'un membre représentant l'eu-LISA désigné par son directeur exécutif et d'un membre désigné par la Commission. Les membres nommés par le conseil d'administration de l'eu-LISA sont choisis uniquement parmi les États membres qui sont pleinement liés, en vertu du droit de l'Union, par les instruments juridiques régissant le développement, la création, le fonctionnement et l'utilisation de tous les systèmes d'information de l'UE et qui participeront aux éléments d'interopérabilité.

5.   Le conseil de gestion du programme se réunit régulièrement et au moins trois fois par trimestre. Il veille à la bonne gestion de la phase de conception et de développement des éléments d'interopérabilité.

Le conseil de gestion du programme soumet chaque mois au conseil d'administration de l'eu-LISA des rapports écrits sur l'état d'avancement du projet. Le conseil de gestion du programme n'a aucun pouvoir décisionnel ni aucun mandat lui permettant de représenter les membres du conseil d'administration de l'eu-LISA.

6.   Le conseil d'administration de l'eu-LISA définit le règlement intérieur du conseil de gestion du programme, qui comprend notamment des règles sur:

| a) | la présidence; |
| --- | --- |

a)

la présidence;

| b) | les lieux de réunion; |
| --- | --- |

b)

les lieux de réunion;

| c) | la préparation des réunions; |
| --- | --- |

c)

la préparation des réunions;

| d) | l'admission d'experts aux réunions; |
| --- | --- |

d)

l'admission d'experts aux réunions;

| e) | les plans de communication garantissant que les membres du conseil d'administration non participants soient pleinement informés. |
| --- | --- |

e)

les plans de communication garantissant que les membres du conseil d'administration non participants soient pleinement informés.

La présidence est exercée par un État membre qui est pleinement lié, en vertu du droit de l'Union, par les instruments juridiques régissant le développement, la création, le fonctionnement et l'utilisation de tous les systèmes d'information de l'UE et qui participera aux éléments d'interopérabilité.

Tous les frais de voyage et de séjour exposés par les membres du conseil de gestion du programme sont pris en charge par l'eu-LISA et l'article 10 du règlement intérieur de l'eu-LISA s'applique mutatis mutandis. Le secrétariat du conseil de gestion du programme est assuré par l'eu-LISA.

Le groupe consultatif sur l'interopérabilité visé à l'article 71 se réunit régulièrement jusqu'à la mise en service des éléments d'interopérabilité. Après chaque réunion, il rend compte au comité de gestion du programme. Il fournit l'expertise technique nécessaire à l'appui des tâches du conseil de gestion du programme et suit l'état de préparation des États membres.

Article 55

Responsabilités de l'eu-LISA après la mise en service

1.   Après la mise en service de chaque élément d'interopérabilité, l'eu-LISA est responsable de la gestion technique de l'infrastructure centrale des éléments d'interopérabilité, y compris leur maintenance et leurs évolutions technologiques. Elle veille, en coopération avec les États membres, à ce que la meilleure technologie disponible soit utilisée, sous réserve d'une analyse coûts-avantages. L'eu-LISA est également responsable de la gestion technique de l'infrastructure de communication visée aux articles 6, 12, 17, 25 et 39.

La gestion technique des éléments d'interopérabilité comprend toutes les tâches et solutions techniques nécessaires au fonctionnement des éléments d'interopérabilité et la fourniture continue de services aux États membres et aux agences de l'Union, 24 heures sur 24, 7 jours sur 7, conformément au présent règlement. Elle comprend, en particulier, les travaux de maintenance et les perfectionnements techniques indispensables pour que les éléments d'interopérabilité fonctionnent à un niveau satisfaisant de qualité technique, notamment quant au temps de réponse pour l'interrogation des infrastructures centrales, conformément aux spécifications techniques.

Tous les éléments d'interopérabilité sont élaborés et gérés de manière à assurer un accès rapide, continu, efficace et contrôlé aux éléments et données stockés dans le MID, le BMS partagé et le CIR ainsi que leur disponibilité totale et ininterrompue, et un temps de réponse adapté aux besoins opérationnels des autorités des États membres et des agences de l'Union.

2.   Sans préjudice de l'article 17 du statut des fonctionnaires de l'Union européenne, l'eu-LISA applique des règles appropriées en matière de secret professionnel ou impose des obligations de confidentialité équivalentes à tous les membres de son personnel appelés à travailler avec les données stockées dans les éléments d'interopérabilité. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après la cessation de leur activité.

Sans préjudice de l'article 62, l'eu-LISA n'a accès à aucune des données à caractère personnel traitées via l'ESP, le BMS partagé, le CIR et le MID.

3.   L'eu-LISA élabore et gère un mécanisme et des procédures de contrôle de la qualité des données stockées dans le BMS partagé et dans le CIR, conformément à l'article 37.

4.   L'eu-LISA s'acquitte aussi des tâches liées à l'offre d'une formation relative à l'utilisation technique des éléments d'interopérabilité.

Article 56

Responsabilités des États membres

1.   Chaque État membre est responsable:

| a) | de la connexion à l'infrastructure de communication de l'ESP et du CIR; |
| --- | --- |

a)

de la connexion à l'infrastructure de communication de l'ESP et du CIR;

| b) | de l'intégration des systèmes et infrastructures nationaux existants avec l'ESP, le CIR et le MID; |
| --- | --- |

b)

de l'intégration des systèmes et infrastructures nationaux existants avec l'ESP, le CIR et le MID;

| c) | de l'organisation, de la gestion, du fonctionnement et de la maintenance de son infrastructure nationale existante et de sa connexion aux éléments d'interopérabilité; |
| --- | --- |

c)

de l'organisation, de la gestion, du fonctionnement et de la maintenance de son infrastructure nationale existante et de sa connexion aux éléments d'interopérabilité;

| d) | de la gestion et des modalités de l'accès à l'ESP, au CIR et au MID du personnel dûment autorisé des autorités nationales compétentes, conformément au présent règlement, ainsi que de l'établissement d'une liste de ce personnel et de ses qualifications et de la mise à jour régulière de cette liste; |
| --- | --- |

d)

de la gestion et des modalités de l'accès à l'ESP, au CIR et au MID du personnel dûment autorisé des autorités nationales compétentes, conformément au présent règlement, ainsi que de l'établissement d'une liste de ce personnel et de ses qualifications et de la mise à jour régulière de cette liste;

| e) | de l'adoption des mesures législatives visées à l'article 20, paragraphes 5 et 6, afin d'octroyer l'accès au CIR à des fins d'identification; |
| --- | --- |

e)

de l'adoption des mesures législatives visées à l'article 20, paragraphes 5 et 6, afin d'octroyer l'accès au CIR à des fins d'identification;

| f) | de la vérification manuelle des différentes identités, visée à l'article 29; |
| --- | --- |

f)

de la vérification manuelle des différentes identités, visée à l'article 29;

| g) | du respect des exigences en matière de qualité des données établies au titre du droit de l'Union; |
| --- | --- |

g)

du respect des exigences en matière de qualité des données établies au titre du droit de l'Union;

| h) | du respect des règles applicables à chaque système d'information de l'UE en ce qui concerne la sécurité et l'intégrité des données à caractère personnel; |
| --- | --- |

h)

du respect des règles applicables à chaque système d'information de l'UE en ce qui concerne la sécurité et l'intégrité des données à caractère personnel;

| i) | de la correction des manquements constatés dans le rapport d'évaluation de la Commission concernant la qualité des données visé à l'article 37, paragraphe 5. |
| --- | --- |

i)

de la correction des manquements constatés dans le rapport d'évaluation de la Commission concernant la qualité des données visé à l'article 37, paragraphe 5.

2.   Chaque État membre connecte au CIR ses autorités désignées.

Article 57

Responsabilités d'Europol

1.   Europol assure le traitement des interrogations des données d'Europol par l'ESP. Europol adapte en conséquence son interface d'interrogation des systèmes d'Europol (Querying Europol Systems – QUEST) pour les données nécessitant un niveau de protection de base (basic protection level – BPL).

2.   Europol est responsable de la gestion de l'accès et des modalités de l'accès à l'ESP et au CIR et de leur utilisation par son personnel dûment autorisé, dans le cadre du présent règlement, ainsi que de l'établissement d'une liste de ce personnel et de ses qualifications et de la mise à jour régulière de cette liste.

Article 58

Responsabilités de l'unité centrale ETIAS

L'unité centrale ETIAS est responsable:

| a) | de la vérification manuelle des différentes identités conformément à l'article 29; |
| --- | --- |

a)

de la vérification manuelle des différentes identités conformément à l'article 29;

| b) | de la détection d'identités multiples entre les données stockées dans l'EES, le VIS, Eurodac et le SIS, visée à l'article 65. |
| --- | --- |

b)

de la détection d'identités multiples entre les données stockées dans l'EES, le VIS, Eurodac et le SIS, visée à l'article 65.

CHAPITRE IX

Modifications d'autres instruments de l'Union

Article 59

Modifications du règlement (UE) 2018/1726

Le règlement (UE) 2018/1726 est modifié comme suit:

| 1) | L'article 12 est remplacé par le texte suivant:

  «Article 12
  Qualité des données

  1.   Sans préjudice des responsabilités des États membres en ce qui concerne les données enregistrées dans les systèmes relevant de la responsabilité opérationnelle de l'Agence, l'Agence met en place, en étroite collaboration avec les groupes consultatifs, pour tous les systèmes relevant de sa responsabilité opérationnelle, des mécanismes et procédures automatisés de contrôle de la qualité des données, des indicateurs communs de qualité des données et des normes de qualité minimales pour le stockage de données, conformément aux dispositions pertinentes des instruments juridiques régissant ces systèmes d'information et de l'article 37 des règlements (UE) 2019/817 (*1) et (UE) 2019/818 (*2) du Parlement européen et du Conseil.


  2.   L'Agence crée un répertoire central ne contenant que des données anonymisées à des fins de rapports et de statistiques, conformément à l'article 39 des règlements (UE) 2019/817 et (UE) 2019/818 du Parlement européen et du Conseil, sous réserve des dispositions spécifiques des instruments juridiques régissant le développement, la création, le fonctionnement et l'utilisation des systèmes d'information à grande échelle gérés par l'Agence.



  (*1)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27)."


  (*2)  Règlement (UE) 2019/818 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816 (JO L 135 du 22.5.2019, p. 85).»." |
| --- | --- |

1)

L'article 12 est remplacé par le texte suivant:

«Article 12

Qualité des données

1.   Sans préjudice des responsabilités des États membres en ce qui concerne les données enregistrées dans les systèmes relevant de la responsabilité opérationnelle de l'Agence, l'Agence met en place, en étroite collaboration avec les groupes consultatifs, pour tous les systèmes relevant de sa responsabilité opérationnelle, des mécanismes et procédures automatisés de contrôle de la qualité des données, des indicateurs communs de qualité des données et des normes de qualité minimales pour le stockage de données, conformément aux dispositions pertinentes des instruments juridiques régissant ces systèmes d'information et de l'article 37 des règlements (UE) 2019/817 (*1) et (UE) 2019/818 (*2) du Parlement européen et du Conseil.

2.   L'Agence crée un répertoire central ne contenant que des données anonymisées à des fins de rapports et de statistiques, conformément à l'article 39 des règlements (UE) 2019/817 et (UE) 2019/818 du Parlement européen et du Conseil, sous réserve des dispositions spécifiques des instruments juridiques régissant le développement, la création, le fonctionnement et l'utilisation des systèmes d'information à grande échelle gérés par l'Agence.

(*1)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (JO L 135 du 22.5.2019, p. 27)."

*1

o

(*2)  Règlement (UE) 2019/818 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816 (JO L 135 du 22.5.2019, p. 85).»."

*2

| 2) | À l'article 19, le paragraphe 1 est modifié comme suit:






  a) | le point suivant est inséré:






  «ee bis) | adopte les rapports sur l'état d'avancement du développement des éléments d'interopérabilité en vertu de l'article 78, paragraphe 2, du règlement (UE) 2019/817 et de l'article 74, paragraphe 2, du règlement (UE) 2019/818;»; |
| --- | --- | --- | --- |

2)

À l'article 19, le paragraphe 1 est modifié comme suit:

a)

le point suivant est inséré:

«ee bis)

bis

adopte les rapports sur l'état d'avancement du développement des éléments d'interopérabilité en vertu de l'article 78, paragraphe 2, du règlement (UE) 2019/817 et de l'article 74, paragraphe 2, du règlement (UE) 2019/818;»;

| b) | le point ff) est remplacé par le texte suivant:






  «ff) | adopte les rapports sur le fonctionnement technique du SIS conformément à l'article 60, paragraphe 7, du règlement (UE) 2018/1861 du Parlement européen et du Conseil (*3) et à l'article 74, paragraphe 8, du règlement (UE) 2018/1862 du Parlement européen et du Conseil (*4), du VIS conformément à l'article 50, paragraphe 3, du règlement (CE) no 767/2008 et à l'article 17, paragraphe 3, de la décision 2008/633/JAI, de l'EES conformément à l'article 72, paragraphe 4, du règlement (UE) 2017/2226, d'ETIAS conformément à l'article 92, paragraphe 4, du règlement (UE) 2018/1240, de l'ECRIS-TCN et de l'application de référence de l'ECRIS conformément à l'article 36, paragraphe 8, du règlement (UE) 2019/816 du Parlement et du Conseil (*5) et des éléments d'interopérabilité conformément à l'article 78, paragraphe 3, du règlement (UE) 2019/817 et de l'article 74, paragraphe 3, du règlement (UE) 2019/818; |
| --- | --- | --- |

b)

le point ff) est remplacé par le texte suivant:

«ff)

adopte les rapports sur le fonctionnement technique du SIS conformément à l'article 60, paragraphe 7, du règlement (UE) 2018/1861 du Parlement européen et du Conseil (*3

*4

o

*5

(*3)  Règlement (UE) 2018/1861 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine des vérifications aux frontières, modifiant la convention d'application de l'accord de Schengen et modifiant et abrogeant le règlement (CE) no 1987/2006 (JO L 312 du 7.12.2018, p. 14)."

*3

o

(*4)  Règlement (UE) 2018/1862 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, modifiant et abrogeant la décision 2007/533/JAI du Conseil, et abrogeant le règlement (CE) no 1986/2006 du Parlement européen et du Conseil et la décision 2010/261/UE de la Commission (JO L 312 du 7.12.2018, p. 56)."

*4

o

(*5)  Règlement (UE) 2019/816 du Parlement européen et du Conseil du 17 avril 2019 portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726 (JO L 135 du 22.5.2019, p. 1).»;"

*5

| c) | le point hh) est remplacé par le texte suivant:






  «hh) | adopte des observations formelles sur les rapports du Contrôleur européen de la protection des données relatifs à ses audits effectués conformément à l'article 56, paragraphe 2, du règlement (UE) 2018/1861, à l'article 42, paragraphe 2, du règlement (CE) no 767/2008, à l'article 31, paragraphe 2, du règlement (UE) no 603/2013, à l'article 56, paragraphe 2, du règlement (UE) 2017/2226, à l'article 67 du règlement (UE) 2018/1240, à l'article 29, paragraphe 2, du règlement (UE) 2019/816 et à l'article 52 des règlements (UE) 2019/817 et (UE) 2019/818 et veille à ce qu'il soit donné dûment suite à ces audits;»; |
| --- | --- | --- |

c)

le point hh) est remplacé par le texte suivant:

«hh)

adopte des observations formelles sur les rapports du Contrôleur européen de la protection des données relatifs à ses audits effectués conformément à l'article 56, paragraphe 2, du règlement (UE) 2018/1861, à l'article 42, paragraphe 2, du règlement (CE) no

o

| d) | le point mm) est remplacé par le texte suivant:






  «mm) | veille à la publication annuelle de la liste des autorités compétentes autorisées à consulter directement les données introduites dans le SIS en vertu de l'article 41, paragraphe 8, du règlement (UE) 2018/1861 et de l'article 56, paragraphe 7, du règlement (UE) 2018/1862, de la liste des offices des systèmes nationaux du SIS (N.SIS ) et des bureaux SIRENE visés, respectivement, à l'article 7, paragraphe 3, du règlement (UE) 2018/1861 et à l'article 7, paragraphe 3, du règlement (UE) 2018/1862, de la liste des autorités compétentes visées à l'article 65, paragraphe 2, du règlement (UE) 2017/2226, de la liste des autorités compétentes visées à l'article 87, paragraphe 2, du règlement (UE) 2018/1240, de la liste des autorités centrales visées à l'article 34, paragraphe 2, du règlement (UE) 2019/816 ainsi que de la liste des autorités visées à l'article 71, paragraphe 1, du règlement (UE) 2019/817 et à l'article 67, paragraphe 1, du règlement (UE) 2019/818»; |
| --- | --- | --- |

d)

le point mm) est remplacé par le texte suivant:

«mm)

veille à la publication annuelle de la liste des autorités compétentes autorisées à consulter directement les données introduites dans le SIS en vertu de l'article 41, paragraphe 8, du règlement (UE) 2018/1861 et de l'article 56, paragraphe 7, du règlement (UE) 2018/1862, de la liste des offices des systèmes nationaux du SIS (N.SIS ) et des bureaux SIRENE visés, respectivement, à l'article 7, paragraphe 3, du règlement (UE) 2018/1861 et à l'article 7, paragraphe 3, du règlement (UE) 2018/1862, de la liste des autorités compétentes visées à l'article 65, paragraphe 2, du règlement (UE) 2017/2226, de la liste des autorités compétentes visées à l'article 87, paragraphe 2, du règlement (UE) 2018/1240, de la liste des autorités centrales visées à l'article 34, paragraphe 2, du règlement (UE) 2019/816 ainsi que de la liste des autorités visées à l'article 71, paragraphe 1, du règlement (UE) 2019/817 et à l'article 67, paragraphe 1, du règlement (UE) 2019/818»;

| 3) | À l'article 22, le paragraphe 4 est remplacé par le texte suivant:

  «4.   Europol et Eurojust peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant le SIS II, liée à l'application de la décision 2007/533/JAI, figure à l'ordre du jour.
  L'Agence européenne de garde-frontières et de garde-côtes peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant le SIS, liée à l'application du règlement (UE) 2016/1624, figure à l'ordre du jour.
  Europol peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant le VIS, liée à l'application de la décision 2008/633/JAI, ou lorsqu'une question concernant Eurodac, liée à l'application du règlement (UE) no 603/2013, est à l'ordre du jour.
  Europol peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant l'EES, liée à l'application du règlement (UE) 2017/2226, figure à l'ordre du jour ou lorsqu'une question concernant ETIAS, liée à l'application du règlement (UE) 2018/1240, figure à l'ordre du jour.
  L'Agence européenne de garde-frontières et de garde-côtes peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant ETIAS liée à l'application du règlement (UE) 2018/1240 figure à l'ordre du jour.
  Eurojust, Europol et le Parquet européen peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant le règlement (UE) 2019/816 figure à l'ordre du jour.
  Eurojust, Europol et l'Agence européenne de garde-frontières et de garde-côtes peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant les règlements (UE) 2019/817 et (UE) 2019/818 figure à l'ordre du jour.
  Le conseil d'administration peut inviter toute autre personne dont l'avis peut présenter un intérêt à assister à ses réunions en qualité d'observateur.». |
| --- | --- |

3)

À l'article 22, le paragraphe 4 est remplacé par le texte suivant:

«4.   Europol et Eurojust peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant le SIS II, liée à l'application de la décision 2007/533/JAI, figure à l'ordre du jour.

L'Agence européenne de garde-frontières et de garde-côtes peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant le SIS, liée à l'application du règlement (UE) 2016/1624, figure à l'ordre du jour.

Europol peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant le VIS, liée à l'application de la décision 2008/633/JAI, ou lorsqu'une question concernant Eurodac, liée à l'application du règlement (UE) no 603/2013, est à l'ordre du jour.

Europol peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant l'EES, liée à l'application du règlement (UE) 2017/2226, figure à l'ordre du jour ou lorsqu'une question concernant ETIAS, liée à l'application du règlement (UE) 2018/1240, figure à l'ordre du jour.

L'Agence européenne de garde-frontières et de garde-côtes peut assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant ETIAS liée à l'application du règlement (UE) 2018/1240 figure à l'ordre du jour.

Eurojust, Europol et le Parquet européen peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant le règlement (UE) 2019/816 figure à l'ordre du jour.

Eurojust, Europol et l'Agence européenne de garde-frontières et de garde-côtes peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant les règlements (UE) 2019/817 et (UE) 2019/818 figure à l'ordre du jour.

Le conseil d'administration peut inviter toute autre personne dont l'avis peut présenter un intérêt à assister à ses réunions en qualité d'observateur.».

| 4) | À l'article 24, paragraphe 3, le point p) est remplacé par le texte suivant:






  «p) | sans préjudice de l'article 17 du statut des fonctionnaires, de déterminer les exigences de confidentialité à respecter pour se conformer à l'article 17 du règlement (CE) no 1987/2006, à l'article 17 de la décision 2007/533/JAI, à l'article 26, paragraphe 9, du règlement (CE) no 767/2008, à l'article 4, paragraphe 4, du règlement (UE) no 603/2013, à l'article 37, paragraphe 4, du règlement (UE) 2017/2226, à l'article 74, paragraphe 2, du règlement (UE) 2018/1240, à l'article 11, paragraphe 16, du règlement (UE) 2019/816 et à l'article 55, paragraphe 2, des règlements (UE) 2019/817 et (UE) 2019/818;»; |
| --- | --- | --- |

4)

À l'article 24, paragraphe 3, le point p) est remplacé par le texte suivant:

«p)

sans préjudice de l'article 17 du statut des fonctionnaires, de déterminer les exigences de confidentialité à respecter pour se conformer à l'article 17 du règlement (CE) no

o

o

| 5) | L'article 27 est modifié comme suit:






  a) | au paragraphe 1, le point suivant est inséré:






  «d bis) | le groupe consultatif sur l'interopérabilité;»; |
| --- | --- | --- | --- |

5)

L'article 27 est modifié comme suit:

a)

au paragraphe 1, le point suivant est inséré:

«d bis)

bis

le groupe consultatif sur l'interopérabilité;»;

| b) | le paragraphe 3 est remplacé par le texte suivant:

  «3.   Europol, Eurojust et l'Agence européenne de garde-frontières et de garde-côtes peuvent chacun désigner un représentant au sein du groupe consultatif sur le SIS II.
  Europol peut également désigner un représentant au sein des groupes consultatifs sur le VIS, sur Eurodac et sur l'EES-ETIAS.
  L'Agence européenne de garde-frontières et de garde-côtes peut également désigner un représentant au sein du groupe consultatif sur l'EES-ETIAS.
  Eurojust, Europol et le Parquet européen peuvent chacun désigner un représentant au sein du groupe consultatif sur l'ECRIS-TCN.
  Europol, Eurojust et l'Agence européenne de garde-frontières et de garde-côtes peuvent chacun désigner un représentant au sein du groupe consultatif sur l'interopérabilité.». |
| --- | --- |

b)

le paragraphe 3 est remplacé par le texte suivant:

«3.   Europol, Eurojust et l'Agence européenne de garde-frontières et de garde-côtes peuvent chacun désigner un représentant au sein du groupe consultatif sur le SIS II.

Europol peut également désigner un représentant au sein des groupes consultatifs sur le VIS, sur Eurodac et sur l'EES-ETIAS.

L'Agence européenne de garde-frontières et de garde-côtes peut également désigner un représentant au sein du groupe consultatif sur l'EES-ETIAS.

Eurojust, Europol et le Parquet européen peuvent chacun désigner un représentant au sein du groupe consultatif sur l'ECRIS-TCN.

Europol, Eurojust et l'Agence européenne de garde-frontières et de garde-côtes peuvent chacun désigner un représentant au sein du groupe consultatif sur l'interopérabilité.».

Article 60

Modifications du règlement (UE) 2018/1862

Le règlement (UE) 2018/1862 est modifié comme suit:

| 1) | À l'article 3, les points suivants sont ajoutés:
  «18)   “ESP”: le portail de recherche européen créé par l'article 6, paragraphe 1, du règlement (UE) 2019/818 du Parlement européen et du Conseil (*6);
  19)   «BMS partagé»: le service partagé d'établissement de correspondances biométriques établi par l'article 12, paragraphe 1, du règlement (UE) 2019/818;
  20)   «CIR»: le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/818;
  21)   «MID»: le détecteur d'identités multiples établi par l'article 25, paragraphe 1, du règlement (UE) 2019/818;

  (*6)  Règlement (UE) 2019/818 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816 (JO L 135 du 22.5.2019, p. 85).»." |
| --- | --- |

1)

À l'article 3, les points suivants sont ajoutés:

«18)   “ESP”: le portail de recherche européen créé par l'article 6, paragraphe 1, du règlement (UE) 2019/818 du Parlement européen et du Conseil (*6);

“ESP”

*6

19)   «BMS partagé»: le service partagé d'établissement de correspondances biométriques établi par l'article 12, paragraphe 1, du règlement (UE) 2019/818;

«BMS partagé»

20)   «CIR»: le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/818;

«CIR»

21)   «MID»: le détecteur d'identités multiples établi par l'article 25, paragraphe 1, du règlement (UE) 2019/818;

«MID»

(*6)  Règlement (UE) 2019/818 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816 (JO L 135 du 22.5.2019, p. 85).»."

*6

| 2) | L'article 4 est modifié comme suit:






  a) | au paragraphe 1, les points b) et c) sont remplacés par le texte suivant:






  «b) | d'un système national (ci-après dénommé “N.SIS”) dans chaque État membre, constitué des systèmes de données nationaux reliés au SIS central, y compris au moins un N.SIS de secours national ou partagé; |
| --- | --- | --- | --- |

2)

L'article 4 est modifié comme suit:

a)

au paragraphe 1, les points b) et c) sont remplacés par le texte suivant:

«b)

d'un système national (ci-après dénommé “N.SIS”) dans chaque État membre, constitué des systèmes de données nationaux reliés au SIS central, y compris au moins un N.SIS de secours national ou partagé;

| c) | d'une infrastructure de communication entre le CS-SIS, le CS-SIS de secours et le NI-SIS de secours (ci-après dénommée “infrastructure de communication”), fournissant un réseau virtuel crypté consacré aux données du SIS et à l'échange de données entre les bureaux SIRENE visés à l'article 7, paragraphe 2; et |
| --- | --- |

c)

d'une infrastructure de communication entre le CS-SIS, le CS-SIS de secours et le NI-SIS de secours (ci-après dénommée “infrastructure de communication”), fournissant un réseau virtuel crypté consacré aux données du SIS et à l'échange de données entre les bureaux SIRENE visés à l'article 7, paragraphe 2; et

| d) | d'une infrastructure de communication sécurisée entre le CS-SIS et les infrastructures centrales de l'ESP, du BMS partagé et du MID.»; |
| --- | --- |

d)

d'une infrastructure de communication sécurisée entre le CS-SIS et les infrastructures centrales de l'ESP, du BMS partagé et du MID.»;

| b) | Les paragraphes suivants sont ajoutés:

  «8.   Sans préjudice des paragraphes 1 à 5, les données du SIS relatives aux personnes et aux documents d'identité peuvent également faire l'objet de recherches par l'intermédiaire de l'ESP.


  9.   Sans préjudice des paragraphes 1 à 5, les données du SIS relatives aux personnes et aux documents d'identité peuvent également être transmises par l'intermédiaire de l'infrastructure de communication sécurisée visée au paragraphe 1, point d). Ces transmissions sont limitées dans la mesure dans laquelle les données sont nécessaires pour les finalités du règlement (UE) 2019/818.». |
| --- | --- |

b)

Les paragraphes suivants sont ajoutés:

«8.   Sans préjudice des paragraphes 1 à 5, les données du SIS relatives aux personnes et aux documents d'identité peuvent également faire l'objet de recherches par l'intermédiaire de l'ESP.

9.   Sans préjudice des paragraphes 1 à 5, les données du SIS relatives aux personnes et aux documents d'identité peuvent également être transmises par l'intermédiaire de l'infrastructure de communication sécurisée visée au paragraphe 1, point d). Ces transmissions sont limitées dans la mesure dans laquelle les données sont nécessaires pour les finalités du règlement (UE) 2019/818.».

| 3) | À l'article 7, le paragraphe suivant est inséré:

  «2 bis.   Les bureaux SIRENE assurent également la vérification manuelle des identités différentes conformément à l'article 29 du règlement (UE) 2019/818. Dans la mesure nécessaire à l'accomplissement de cette tâche, les bureaux SIRENE ont accès aux données stockées dans le CIR et le MID aux fins prévues aux articles 21 et 26 du règlement (UE) 2019/818.». |
| --- | --- |

3)

À l'article 7, le paragraphe suivant est inséré:

«2 bis.   Les bureaux SIRENE assurent également la vérification manuelle des identités différentes conformément à l'article 29 du règlement (UE) 2019/818. Dans la mesure nécessaire à l'accomplissement de cette tâche, les bureaux SIRENE ont accès aux données stockées dans le CIR et le MID aux fins prévues aux articles 21 et 26 du règlement (UE) 2019/818.».

| 4) | À l'article 12, paragraphe 1, l'alinéa suivant est ajouté:
  «Les États membres veillent à ce que chaque accès à des données à caractère personnel par l'intermédiaire de l'ESP soit également consigné afin de pouvoir contrôler la licéité de la consultation et la licéité du traitement des données, d'assurer un autocontrôle, ainsi que l'intégrité et la sécurité des données.». |
| --- | --- |

4)

À l'article 12, paragraphe 1, l'alinéa suivant est ajouté:

«Les États membres veillent à ce que chaque accès à des données à caractère personnel par l'intermédiaire de l'ESP soit également consigné afin de pouvoir contrôler la licéité de la consultation et la licéité du traitement des données, d'assurer un autocontrôle, ainsi que l'intégrité et la sécurité des données.».

| 5) | À l'article 44, paragraphe 1, le point suivant est ajouté:






  «f) | de la vérification des identités différentes et de la lutte contre la fraude à l'identité conformément au chapitre V du règlement (UE) 2019/818.». |
| --- | --- | --- |

5)

À l'article 44, paragraphe 1, le point suivant est ajouté:

«f)

de la vérification des identités différentes et de la lutte contre la fraude à l'identité conformément au chapitre V du règlement (UE) 2019/818.».

| 6) | À l'article 74, le paragraphe 7 est remplacé par le texte suivant:

  «7.   Aux fins de l'article 15, paragraphe 4, et des paragraphes 3, 4 et 6 du présent article, l'eu-LISA stocke les données visées à l'article 15, paragraphe 4, et au paragraphe 3 du présent article qui ne permettent pas l'identification des personnes dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/818.
  L'eu-LISA permet à la Commission et aux organismes visés au paragraphe 6 du présent article d'obtenir des rapports et des statistiques sur mesure. Sur demande, l'eu-LISA accorde l'accès au répertoire central des rapports et statistiques conformément à l'article 39 du règlement (UE) 2019/818 aux États membres, à la Commission, à Europol et à l'Agence européenne de garde-frontières et de garde-côtes.». |
| --- | --- |

6)

À l'article 74, le paragraphe 7 est remplacé par le texte suivant:

«7.   Aux fins de l'article 15, paragraphe 4, et des paragraphes 3, 4 et 6 du présent article, l'eu-LISA stocke les données visées à l'article 15, paragraphe 4, et au paragraphe 3 du présent article qui ne permettent pas l'identification des personnes dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/818.

L'eu-LISA permet à la Commission et aux organismes visés au paragraphe 6 du présent article d'obtenir des rapports et des statistiques sur mesure. Sur demande, l'eu-LISA accorde l'accès au répertoire central des rapports et statistiques conformément à l'article 39 du règlement (UE) 2019/818 aux États membres, à la Commission, à Europol et à l'Agence européenne de garde-frontières et de garde-côtes.».

Article 61

Modifications du règlement (UE) 2019/816

Le règlement (UE) 2019/816 est modifié comme suit:

| 1) | À l'article 1er, le point suivant est ajouté:






  «c) | les conditions dans lesquelles l'ECRIS-TCN contribue à faciliter l'identification correcte des personnes enregistrées dans l'ECRIS-TCN et aide à cette identification aux conditions et pour les finalités prévues à l'article 20 du règlement (UE) 2019/818 du Parlement européen et du Conseil (*7), en stockant des données d'identité, des données de documents de voyage et des données biométriques dans le CIR. |
| --- | --- | --- |

1)

À l'article 1er, le point suivant est ajouté:

er

«c)

les conditions dans lesquelles l'ECRIS-TCN contribue à faciliter l'identification correcte des personnes enregistrées dans l'ECRIS-TCN et aide à cette identification aux conditions et pour les finalités prévues à l'article 20 du règlement (UE) 2019/818 du Parlement européen et du Conseil (*7

(*7)  Règlement (UE) 2019/818 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine de la coopération policière et judiciaire, de l'asile et de l'immigration et modifiant les règlements (UE) 2018/1726, (UE) 2018/1862 et (UE) 2019/816 (JO L 135 du 22.5.2019, p. 85).»."

*7

| 2) | L'article 2 est remplacé par le texte suivant:

  «Article 2
  Champ d'application
  Le présent règlement s'applique au traitement des données d'identité des ressortissants de pays tiers qui ont fait l'objet de condamnations dans les États membres aux fins d'identifier les États membres dans lesquels ces condamnations ont été prononcées. À l'exception de l'article 5, paragraphe 1, point b) ii), les dispositions du présent règlement qui s'appliquent aux ressortissants de pays tiers s'appliquent aussi aux citoyens de l'Union qui ont également la nationalité d'un pays tiers et qui ont fait l'objet de condamnations dans les États membres. Le présent règlement facilite également l'identification correcte des personnes et aide à cette identification, conformément au présent règlement et au règlement (UE) 2019/818.». |
| --- | --- |

2)

L'article 2 est remplacé par le texte suivant:

«Article 2

Champ d'application

Le présent règlement s'applique au traitement des données d'identité des ressortissants de pays tiers qui ont fait l'objet de condamnations dans les États membres aux fins d'identifier les États membres dans lesquels ces condamnations ont été prononcées. À l'exception de l'article 5, paragraphe 1, point b) ii), les dispositions du présent règlement qui s'appliquent aux ressortissants de pays tiers s'appliquent aussi aux citoyens de l'Union qui ont également la nationalité d'un pays tiers et qui ont fait l'objet de condamnations dans les États membres. Le présent règlement facilite également l'identification correcte des personnes et aide à cette identification, conformément au présent règlement et au règlement (UE) 2019/818.».

| 3) | L'article 3 est modifié comme suit:






  a) | le point 8) est supprimé; |
| --- | --- | --- |

3)

L'article 3 est modifié comme suit:

a)

le point 8) est supprimé;

| b) | les points suivants sont ajoutés:
  «19)   “CIR”: le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/818;
  20)   “données de l'ECRIS-TCN”: toutes les données stockées dans le système central et dans le CIR conformément à l'article 5;
  21)   “ESP”: le portail européen de recherche créé par l'article 6, paragraphe 1, du règlement (UE) 2019/818». |
| --- | --- |

b)

les points suivants sont ajoutés:

«19)   “CIR”: le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/818;

“CIR”

20)   “données de l'ECRIS-TCN”: toutes les données stockées dans le système central et dans le CIR conformément à l'article 5;

“données de l'ECRIS-TCN”

21)   “ESP”: le portail européen de recherche créé par l'article 6, paragraphe 1, du règlement (UE) 2019/818».

“ESP”

| 4) | À l'article 4, le paragraphe 1 est modifié comme suit:






  a) | le point a) est remplacé par le texte suivant:






  «a) | un système central;»; |
| --- | --- | --- | --- |

4)

À l'article 4, le paragraphe 1 est modifié comme suit:

a)

le point a) est remplacé par le texte suivant:

«a)

un système central;»;

| b) | le point suivant est inséré:






  «a bis) | le CIR;»; |
| --- | --- | --- |

b)

le point suivant est inséré:

«a bis)

bis

le CIR;»;

| c) | le point suivant est ajouté:






  «e) | une infrastructure de communication entre le système central et les infrastructures centrales de l'ESP et du CIR.». |
| --- | --- | --- |

c)

le point suivant est ajouté:

«e)

une infrastructure de communication entre le système central et les infrastructures centrales de l'ESP et du CIR.».

| 5) | L'article 5, est modifié comme suit:






  a) | au paragraphe 1, la phrase introductive est remplacée par le texte suivant:

  «1.   Pour chaque ressortissant d'un pays tiers condamné, l'autorité centrale de l'État membre de condamnation crée un fichier de données dans l'ECRIS-TCN. Ce fichier de données contient:»; |
| --- | --- | --- |

5)

L'article 5, est modifié comme suit:

a)

au paragraphe 1, la phrase introductive est remplacée par le texte suivant:

«1.   Pour chaque ressortissant d'un pays tiers condamné, l'autorité centrale de l'État membre de condamnation crée un fichier de données dans l'ECRIS-TCN. Ce fichier de données contient:»;

| b) | le paragraphe suivant est inséré:

  «1 bis.   Le CIR contient les données visées au paragraphe 1, point b), et les données suivantes du paragraphe 1, point a): le nom (nom de famille), les prénoms, la date de naissance, le lieu de naissance (ville et pays), la ou les nationalités, le genre, les noms précédents, le cas échéant, lorsqu'ils sont disponibles, les pseudonymes ou noms d'emprunt, lorsqu'ils sont disponibles, le type et numéro des documents de voyage de la personne, ainsi que le nom de l'autorité de délivrance de ces documents. Le CIR peut également contenir les données visées au paragraphe 3. Le reste des données de l'ECRIS-TCN sont stockées dans le système central.». |
| --- | --- |

b)

le paragraphe suivant est inséré:

«1 bis.   Le CIR contient les données visées au paragraphe 1, point b), et les données suivantes du paragraphe 1, point a): le nom (nom de famille), les prénoms, la date de naissance, le lieu de naissance (ville et pays), la ou les nationalités, le genre, les noms précédents, le cas échéant, lorsqu'ils sont disponibles, les pseudonymes ou noms d'emprunt, lorsqu'ils sont disponibles, le type et numéro des documents de voyage de la personne, ainsi que le nom de l'autorité de délivrance de ces documents. Le CIR peut également contenir les données visées au paragraphe 3. Le reste des données de l'ECRIS-TCN sont stockées dans le système central.».

| 6) | L'article 8 est modifié comme suit:






  a) | le paragraphe 1 est remplacé par le texte suivant:

  «1.   Chaque fichier de données est conservé dans le système central et dans le CIR tant que les données relatives aux condamnations de la personne concernée sont conservées dans le casier judiciaire.»; |
| --- | --- | --- |

6)

L'article 8 est modifié comme suit:

a)

le paragraphe 1 est remplacé par le texte suivant:

«1.   Chaque fichier de données est conservé dans le système central et dans le CIR tant que les données relatives aux condamnations de la personne concernée sont conservées dans le casier judiciaire.»;

| b) | le paragraphe 2 est remplacé par le texte suivant:

  «2.   À l'expiration de la durée de conservation visée au paragraphe 1, l'autorité centrale de l'État membre de condamnation procède à l'effacement du fichier de données, y compris les données concernant les empreintes digitales ou les images faciales, du système central et du CIR. L'effacement se fait automatiquement, si possible, et en tout état de cause au plus tard un mois après l'expiration de la durée de conservation.». |
| --- | --- |

b)

le paragraphe 2 est remplacé par le texte suivant:

«2.   À l'expiration de la durée de conservation visée au paragraphe 1, l'autorité centrale de l'État membre de condamnation procède à l'effacement du fichier de données, y compris les données concernant les empreintes digitales ou les images faciales, du système central et du CIR. L'effacement se fait automatiquement, si possible, et en tout état de cause au plus tard un mois après l'expiration de la durée de conservation.».

| 7) | L'article 9 est modifié comme suit:






  a) | au paragraphe 1, le terme «dans l'ECRIS-TCN» est remplacé par les termes «dans le système central et dans le CIR»; |
| --- | --- | --- |

7)

L'article 9 est modifié comme suit:

a)

au paragraphe 1, le terme «dans l'ECRIS-TCN» est remplacé par les termes «dans le système central et dans le CIR»;

| b) | aux paragraphes 2, 3 et 4, les termes «dans le système central» et «du système central» sont remplacés, respectivement, par les termes «dans le système central et dans le CIR» et «du système central et du CIR». |
| --- | --- |

b)

aux paragraphes 2, 3 et 4, les termes «dans le système central» et «du système central» sont remplacés, respectivement, par les termes «dans le système central et dans le CIR» et «du système central et du CIR».

| 8) | À l'article 10, paragraphe 1, le point j) est supprimé. |
| --- | --- |

8)

À l'article 10, paragraphe 1, le point j) est supprimé.

| 9) | À l'article 12, paragraphe 2, les termes «dans le système central» sont remplacés par les termes «dans le système central et dans le CIR». |
| --- | --- |

9)

À l'article 12, paragraphe 2, les termes «dans le système central» sont remplacés par les termes «dans le système central et dans le CIR».

| 10) | À l'article 13, paragraphe 2, les termes «du système central» sont remplacés par les termes «du système central, du CIR». |
| --- | --- |

10)

À l'article 13, paragraphe 2, les termes «du système central» sont remplacés par les termes «du système central, du CIR».

| 11) | À l'article 23, paragraphe 2, les termes «dans le système central» sont remplacés par les termes «dans le système central et dans le CIR». |
| --- | --- |

11)

À l'article 23, paragraphe 2, les termes «dans le système central» sont remplacés par les termes «dans le système central et dans le CIR».

| 12) | L'article 24 est modifié comme suit:






  a) | Le paragraphe 1 est remplacé par le texte suivant:

  «1.   Les données introduites dans le système central et dans le CIR ne font l'objet d'un traitement qu'aux fins de l'identification des États membres détenant des informations sur les casiers judiciaires de ressortissants de pays tiers. Les données introduites dans le CIR sont également traitées conformément au règlement (UE) 2019/818 dans le but de faciliter l'identification correcte des personnes enregistrées dans l'ECRIS-TCN et d'aider à cette identification conformément au présent règlement.»; |
| --- | --- | --- |

12)

L'article 24 est modifié comme suit:

a)

Le paragraphe 1 est remplacé par le texte suivant:

«1.   Les données introduites dans le système central et dans le CIR ne font l'objet d'un traitement qu'aux fins de l'identification des États membres détenant des informations sur les casiers judiciaires de ressortissants de pays tiers. Les données introduites dans le CIR sont également traitées conformément au règlement (UE) 2019/818 dans le but de faciliter l'identification correcte des personnes enregistrées dans l'ECRIS-TCN et d'aider à cette identification conformément au présent règlement.»;

| b) | Le paragraphe suivant est ajouté:

  «3.   Sans préjudice du paragraphe 2, l'accès en consultation aux données stockées dans le CIR est également réservé au personnel dûment autorisé des autorités nationales de chaque État membre et au personnel dûment autorisé des agences de l'Union qui sont compétents pour les finalités prévues aux articles 20 et 21 du règlement (UE) 2019/818. Cet accès est limité en fonction de la mesure dans laquelle les données sont nécessaires à l'exécution de leurs tâches pour ces finalités, et est proportionné aux objectifs poursuivis.». |
| --- | --- |

b)

Le paragraphe suivant est ajouté:

«3.   Sans préjudice du paragraphe 2, l'accès en consultation aux données stockées dans le CIR est également réservé au personnel dûment autorisé des autorités nationales de chaque État membre et au personnel dûment autorisé des agences de l'Union qui sont compétents pour les finalités prévues aux articles 20 et 21 du règlement (UE) 2019/818. Cet accès est limité en fonction de la mesure dans laquelle les données sont nécessaires à l'exécution de leurs tâches pour ces finalités, et est proportionné aux objectifs poursuivis.».

| 13) | À l'article 30, le paragraphe 2 est remplacé par le texte suivant:

  «2.   Aux fins du paragraphe 1 du présent article, l'eu-LISA stocke les données visées audit paragraphe dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/818.». |
| --- | --- |

13)

À l'article 30, le paragraphe 2 est remplacé par le texte suivant:

«2.   Aux fins du paragraphe 1 du présent article, l'eu-LISA stocke les données visées audit paragraphe dans le répertoire central des rapports et statistiques visé à l'article 39 du règlement (UE) 2019/818.».

| 14) | À l'article 33, paragraphe 1, les termes «du système central» sont remplacés par les termes «du système central, du CIR et». |
| --- | --- |

14)

À l'article 33, paragraphe 1, les termes «du système central» sont remplacés par les termes «du système central, du CIR et».

| 15) | À l'article 41, le paragraphe 2 est remplacé par le texte suivant:

  «2.   Pour les condamnations prononcées avant la date de début de l'inscription des données conformément à l'article 35, paragraphe 1, les autorités centrales créent les fichiers de données individuels dans le système central et dans le CIR comme suit:






  a) | les données alphanumériques à inscrire dans le système central et dans le CIR à la fin de la période visée à l'article 35, paragraphe 2; |
| --- | --- | --- |

15)

À l'article 41, le paragraphe 2 est remplacé par le texte suivant:

«2.   Pour les condamnations prononcées avant la date de début de l'inscription des données conformément à l'article 35, paragraphe 1, les autorités centrales créent les fichiers de données individuels dans le système central et dans le CIR comme suit:

a)

les données alphanumériques à inscrire dans le système central et dans le CIR à la fin de la période visée à l'article 35, paragraphe 2;

| b) | les données dactyloscopiques à inscrire dans le CIR dans les deux ans suivant la mise en service conformément à l'article 35, paragraphe 4.». |
| --- | --- |

b)

les données dactyloscopiques à inscrire dans le CIR dans les deux ans suivant la mise en service conformément à l'article 35, paragraphe 4.».

CHAPITRE X

Dispositions finales

Article 62

Établissement de rapports et de statistiques

1.   Le personnel dûment autorisé des autorités compétentes des États membres, de la Commission et de l'eu-LISA a accès en consultation, uniquement aux fins de l'établissement de rapports et de statistiques, au nombre de requêtes par profil d'utilisateur de l'ESP.

Il n'est pas possible d'identifier des personnes à partir de ces données.

2.   Le personnel dûment autorisé des autorités compétentes des États membres, de la Commission et de l'eu-LISA a accès en consultation aux données énumérées ci-après concernant le CIR, uniquement aux fins de l'établissement de rapports et de statistiques:

| a) | le nombre de requêtes aux fins des articles 20, 21 et 22; |
| --- | --- |

a)

le nombre de requêtes aux fins des articles 20, 21 et 22;

| b) | la nationalité, le genre et l'année de naissance de la personne; |
| --- | --- |

b)

la nationalité, le genre et l'année de naissance de la personne;

| c) | le type de document de voyage et le code à trois lettres du pays de délivrance; |
| --- | --- |

c)

le type de document de voyage et le code à trois lettres du pays de délivrance;

| d) | le nombre de recherches effectuées avec et sans données biométriques. |
| --- | --- |

d)

le nombre de recherches effectuées avec et sans données biométriques.

Il n'est pas possible d'identifier des personnes à partir de ces données.

3.   Le personnel dûment autorisé des autorités compétentes des États membres, de la Commission et de l'eu-LISA a accès en consultation aux données énumérées ci-après concernant le MID, uniquement aux fins de l'établissement de rapports et de statistiques:

| a) | le nombre de recherches effectuées avec et sans données biométriques; |
| --- | --- |

a)

le nombre de recherches effectuées avec et sans données biométriques;

| b) | le nombre de chaque type de lien et les systèmes d'information de l'UE contenant les données liées; |
| --- | --- |

b)

le nombre de chaque type de lien et les systèmes d'information de l'UE contenant les données liées;

| c) | la durée pendant laquelle un lien jaune et rouge est demeuré dans le système. |
| --- | --- |

c)

la durée pendant laquelle un lien jaune et rouge est demeuré dans le système.

Il n'est pas possible d'identifier des personnes à partir de ces données.

4.   Le personnel dûment autorisé de l'Agence européenne de garde-frontières et de garde-côtes a accès en consultation aux données visées aux paragraphes 1, 2 et 3 du présent articles pour effectuer les analyses des risques et les évaluations de la vulnérabilité visées aux articles 11 et 13 du règlement (UE) 2016/1624 du Parlement européen et du Conseil (38).

5.   Le personnel dûment autorisé d'Europol a accès en consultation aux données visées aux paragraphes 2 et 3 du présent article pour effectuer les analyses de nature stratégique ou thématique et les analyses opérationnelles prévues à l'article 18, paragraphe 2, points b) et c), du règlement (UE) 2016/794.

6.   Aux fins des paragraphes 1, 2 et 3, l'eu-LISA stocke les données visées auxdits paragraphes dans le CRRS. Il n'est pas possible d'identifier des personnes à partir des données figurant dans le CRRS mais les données doivent permettre aux autorités énumérées aux paragraphes 1, 2 et 3 d'obtenir des rapports et des statistiques personnalisables afin d'améliorer l'efficacité des vérifications aux frontières, d'aider les autorités à traiter les demandes de visa et de favoriser l'élaboration, au niveau de l'Union, de politiques en matière de migration et de sécurité fondées sur des données concrètes.

7.   Sur demande, la Commission met les informations pertinentes à la disposition de l'Agence des droits fondamentaux de l'Union européenne afin que celle-ci évalue l'incidence du présent règlement sur les droits fondamentaux.

Article 63

Période transitoire pour l'utilisation du portail de recherche européen

1.   Pendant une période de deux ans à compter de la date de la mise en service de l'ESP, les obligations visées à l'article 7, paragraphes 2 et 4, ne s'appliquent pas et l'utilisation de l'ESP est facultative.

2.   La Commission est habilitée à adopter un acte délégué conformément à l'article 69 afin de modifier le présent règlement en prolongeant une seule fois, d'une année maximum, la période visée au paragraphe 1 du présent article, lorsqu'une évaluation de la mise en œuvre de l'ESP a mis en évidence la nécessité de prolonger ce délai, particulièrement en raison de l'incidence de la mise en service de l'ESP sur l'organisation et la durée des contrôles aux frontières.

Article 64

Période transitoire applicable aux dispositions relatives à l'accès au répertoire commun de données d'identité à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière

L'article 22 s'applique à partir de la date de mise en service du CIR visée à l'article 68, paragraphe 3.

Article 65

Période transitoire pour la détection d'identités multiples

1.   Pendant une période d'un an suivant la notification par l'eu-LISA de l'achèvement de l'essai du MID visé à l'article 68, paragraphe 4, point b), et avant la mise en service du MID, l'unité centrale ETIAS est responsable de la détection d'identités multiples à l'aide des données stockées dans l'EES, le VIS, Eurodac et le SIS. Les détections d'identités multiples ne sont effectuées qu'à l'aide de données biométriques.

2.   Lorsque la recherche génère une ou plusieurs correspondances et que les données d'identité dans les dossiers liés sont les mêmes ou similaires, un lien blanc est créé conformément à l'article 33.

Lorsque la recherche génère une ou plusieurs correspondances et que les données d'identité dans les dossiers liés ne peuvent pas être considérées comme similaires, un lien jaune est créé conformément à l'article 30 et la procédure visée à l'article 29 s'applique.

Lorsque plusieurs correspondances sont générées, un lien est créé entre chaque élément de donnée ayant donné lieu à la correspondance.

3.   Lorsqu'un lien jaune est créé, le MID accorde à l'unité centrale ETIAS l'accès aux données d'identité figurant dans les différents systèmes d'information de l'UE.

4.   Lorsqu'un lien est créé avec un signalement figurant dans le SIS, autre qu'un signalement créé dans le cadre de l'article 3 du règlement (UE) 2018/1860, des articles 24 et 25 du règlement (UE) 2018/1861 ou de l'article 38 du règlement (UE) 2018/1862, le MID accorde au bureau SIRENE de l'État membre qui a créé le signalement l'accès aux données d'identité figurant dans les différents systèmes d'information de l'UE.

5.   L'unité centrale ETIAS ou, dans les cas visé au paragraphe 4 du présent article, le bureau SIRENE de l'État membre qui a créé le signalement a accès aux données figurant dans le dossier de confirmation d'identité, évalue les différentes identités et met à jour le lien conformément aux articles 31, 32 et 33, et l'ajoute au dossier de confirmation d'identité.

6.   L'unité centrale ETIAS n'informe la Commission conformément à l'article 67, paragraphe 3, qu'une fois que tous les liens jaunes ont été vérifiés manuellement et que leur statut a été mis à jour en tant que liens verts, blancs ou rouges.

7.   Les États membres aident, au besoin, l'unité centrale ETIAS à effectuer la détection d'identités multiples visée au présent article.

8.   La Commission est habilitée à adopter un acte délégué conformément à l'article 69 afin de modifier le présent règlement en prolongeant la période visée au paragraphe 1 du présent article de six mois, renouvelables deux fois, chaque fois pour six mois. Une telle prolongation n'est accordée qu'après qu'une évaluation du délai estimé nécessaire pour achever la détection d'identités multiples visée au présent article a démontré que la détection d'identités multiples ne peut être achevée avant l'expiration soit de la période restante prévue au paragraphe 1 du présent article soit de toute prolongation en cours, pour des raisons indépendantes de l'unité centrale ETIAS, et qu'il n'est pas possible de recourir à des mesures correctives. L'évaluation est effectuée au plus tard trois mois avant l'expiration du délai visé au paragraphe 1 ou de la prolongation en cours.

Article 66

Coûts

1.   Les coûts afférents à la création et au fonctionnement de l'ESP, du BMS partagé, du CIR et du MID sont à la charge du budget général de l'Union.

2.   Les coûts afférents à l'intégration des infrastructures nationales existantes et à leur connexion aux interfaces uniformes nationales, ainsi qu'à l'hébergement des interfaces uniformes nationales, sont à la charge du budget général de l'Union.

Les coûts suivants ne sont pas admissibles:

| a) | coûts afférents au bureau de gestion de projet des États membres (réunions, missions, locaux); |
| --- | --- |

a)

coûts afférents au bureau de gestion de projet des États membres (réunions, missions, locaux);

| b) | hébergement des systèmes d'information nationaux (espace, mise en œuvre, électricité, refroidissement); |
| --- | --- |

b)

hébergement des systèmes d'information nationaux (espace, mise en œuvre, électricité, refroidissement);

| c) | fonctionnement des systèmes d'information nationaux (contrats conclus avec les opérateurs et contrats d'appui); |
| --- | --- |

c)

fonctionnement des systèmes d'information nationaux (contrats conclus avec les opérateurs et contrats d'appui);

| d) | conception, développement, mise en œuvre, fonctionnement et maintenance des réseaux de communication nationaux. |
| --- | --- |

d)

conception, développement, mise en œuvre, fonctionnement et maintenance des réseaux de communication nationaux.

3.   Sans préjudice d'un financement supplémentaire à cette fin à partir d'autres sources du budget général de l'Union européenne, un montant de 32 077 000 EUR est mobilisé dans l'enveloppe de 791 000 000 EUR prévue à l'article 5, paragraphe 5, point b), du règlement (UE) no 515/2014 pour couvrir les coûts de mise en œuvre du présent règlement, comme le prévoient les paragraphes 1 et 2 du présent article.

4.   À partir de l'enveloppe visée au paragraphe 3, 22 861 000 EUR sont alloués à l'eu-LISA, 9 072 000 EUR sont alloués à Europol et 144 000 EUR sont alloués à l'Agence de l'Union européenne pour la formation des services répressifs (CEPOL), afin de soutenir ces agences dans l'exécution de leurs tâches respectives dans le cadre du présent règlement. Ce financement est mis en œuvre en gestion partagée.

5.   Les coûts encourus par les autorités désignées sont à la charge de l'État membre qui a procédé à la désignation et d'Europol, respectivement. Les coûts afférents à la connexion de chaque autorité désignée au CIR sont à la charge de chaque État membre.

Les coûts encourus par Europol, y compris ceux afférents à la connexion au CIR, sont à la charge d'Europol.

Article 67

Notifications

1.   Les États membres notifient à l'eu-LISA le nom des autorités visées aux articles 7, 20, 21 et 26 qui peuvent, respectivement, utiliser l'ESP, le CIR et le MID ou y avoir accès.

Une liste consolidée de ces autorités est publiée au Journal officiel de l'Union européenne dans un délai de trois mois à compter de la date à laquelle chaque élément d'interopérabilité a été mis en service conformément à l'article 68. En cas de modifications apportées à cette liste, l'eu-LISA publie une fois par an une version consolidée actualisée.

2.   L'eu-LISA notifie à la Commission les résultats concluants des essais visés à l'article 68, paragraphe 1, point b), paragraphe 2, point b), paragraphe 3, point b), paragraphe 4, point b), paragraphe 5, point b), paragraphe 6, point b).

3.   L'unité centrale ETIAS informe la Commission de l'exécution concluante de la période transitoire prévue à l'article 65.

4.   La Commission met les informations notifiées en application du paragraphe 1 à la disposition des États membres et du public, par l'intermédiaire d'un site web public actualisé en permanence.

Article 68

Mise en service

1.   La Commission détermine, par la voie d'un acte d'exécution, la date de mise en service de l'ESP, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 8, paragraphe 2, à l'article 9, paragraphe 7, et à l'article 43, paragraphe 5, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 8, paragraphe 2, à l'article 9, paragraphe 7, et à l'article 43, paragraphe 5, ont été adoptées;

| b) | L'eu-LISA a déclaré que les essais complets de l'ESP, qu'elle a menés en coopération avec les autorités des États membres et les agences de l'Union autorisées à utiliser l'ESP, étaient concluants; |
| --- | --- |

b)

L'eu-LISA a déclaré que les essais complets de l'ESP, qu'elle a menés en coopération avec les autorités des États membres et les agences de l'Union autorisées à utiliser l'ESP, étaient concluants;

| c) | l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 8, paragraphe 1, et les a notifiés à la Commission; |
| --- | --- |

c)

l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 8, paragraphe 1, et les a notifiés à la Commission;

L'ESP interroge les bases de données d'Interpol uniquement lorsque les aménagements techniques permettent de se conformer à l'article 9, paragraphe 5. S'il est impossible de respecter l'article 9, paragraphe 5, l'ESP n'interroge pas les bases de données d'Interpol, sans que la mise en service de l'ESP ne soit pour autant retardée.

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date d'adoption de l'acte d'exécution.

2.   La Commission détermine, par la voie d'un acte d'exécution, la date de mise en service du BMS partagé, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 13, paragraphe 5, et à l'article 43, paragraphe 5, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 13, paragraphe 5, et à l'article 43, paragraphe 5, ont été adoptées;

| b) | l'eu-LISA a déclaré que les essais complets du BMS partagé qu'elle a menés en coopération avec les autorités des États membres étaient concluants; |
| --- | --- |

b)

l'eu-LISA a déclaré que les essais complets du BMS partagé qu'elle a menés en coopération avec les autorités des États membres étaient concluants;

| c) | l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 13 et les a notifiés à la Commission; |
| --- | --- |

c)

l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 13 et les a notifiés à la Commission;

| d) | l'eu-LISA a déclaré que les essais visés au paragraphe 5, point b), étaient concluants. |
| --- | --- |

d)

l'eu-LISA a déclaré que les essais visés au paragraphe 5, point b), étaient concluants.

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date de l'adoption de l'acte d'exécution.

3.   La Commission détermine, par la voie d'un acte d'exécution, la date de mise en service du CIR, dès que les conditions suivantes sont remplies:

| a) | les mesures prévues à l'article 43, paragraphe 5, et à l'article 74, paragraphe 10, ont été adoptées; |
| --- | --- |

a)

les mesures prévues à l'article 43, paragraphe 5, et à l'article 74, paragraphe 10, ont été adoptées;

| b) | l'eu-LISA a déclaré que les essais complets du CIR qu'elle a menés en coopération avec les autorités des États membres étaient concluants; |
| --- | --- |

b)

l'eu-LISA a déclaré que les essais complets du CIR qu'elle a menés en coopération avec les autorités des États membres étaient concluants;

| c) | l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 18 et les a notifiés à la Commission; |
| --- | --- |

c)

l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 18 et les a notifiés à la Commission;

| d) | l'eu-LISA a déclaré que les essais visés au paragraphe 5, point b), étaient concluants. |
| --- | --- |

d)

l'eu-LISA a déclaré que les essais visés au paragraphe 5, point b), étaient concluants.

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date de l'adoption de l'acte d'exécution.

4.   La Commission détermine, par la voie d'un acte d'exécution, la date de mise en service du MID, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 28, paragraphes 5 et 7, à l'article 32, paragraphe 5, à l'article 33, paragraphe 6, à l'article 43, paragraphe 5, et à l'article 49, paragraphe 6, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 28, paragraphes 5 et 7, à l'article 32, paragraphe 5, à l'article 33, paragraphe 6, à l'article 43, paragraphe 5, et à l'article 49, paragraphe 6, ont été adoptées;

| b) | l'eu-LISA a déclaré que les essais complets du MID, qu'elle a menés en coopération avec les autorités des États membres et l'unité centrale ETIAS, étaient concluants; |
| --- | --- |

b)

l'eu-LISA a déclaré que les essais complets du MID, qu'elle a menés en coopération avec les autorités des États membres et l'unité centrale ETIAS, étaient concluants;

| c) | l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 34 et les a notifiés à la Commission; |
| --- | --- |

c)

l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 34 et les a notifiés à la Commission;

| d) | L'unité centrale ETIAS a adressé à la Commission la notification visée à l'article 67, paragraphe 3; |
| --- | --- |

d)

L'unité centrale ETIAS a adressé à la Commission la notification visée à l'article 67, paragraphe 3;

| e) | l'eu-LISA a déclaré que les essais visés aux paragraphes 1, point b), 2, point b), 3, point b), et 5, point b), étaient concluants. |
| --- | --- |

e)

l'eu-LISA a déclaré que les essais visés aux paragraphes 1, point b), 2, point b), 3, point b), et 5, point b), étaient concluants.

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date de l'adoption de l'acte d'exécution.

5.   La Commission détermine, par la voie d'actes d'exécution, la date à partir de laquelle les mécanismes et procédures automatisés de contrôle de la qualité des données, les indicateurs communs de qualité des données et les normes de qualité minimales doivent être utilisés, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 37, paragraphe 4, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 37, paragraphe 4, ont été adoptées;

| b) | l'eu-LISA a déclaré que les essais complets relatifs aux mécanismes et procédures automatisés de contrôle de la qualité des données, aux indicateurs communs de qualité des données et aux normes de qualité minimales, qu'elle a menés en coopération avec les autorités des États membres, étaient concluants; |
| --- | --- |

b)

l'eu-LISA a déclaré que les essais complets relatifs aux mécanismes et procédures automatisés de contrôle de la qualité des données, aux indicateurs communs de qualité des données et aux normes de qualité minimales, qu'elle a menés en coopération avec les autorités des États membres, étaient concluants;

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date de l'adoption de l'acte d'exécution.

6.   La Commission détermine, par la voie d'un acte d'exécution, de la date de mise en service du CRRS, dès que les conditions suivantes sont remplies:

| a) | les mesures visées à l'article 39, paragraphe 5, et à l'article 43, paragraphe 5, ont été adoptées; |
| --- | --- |

a)

les mesures visées à l'article 39, paragraphe 5, et à l'article 43, paragraphe 5, ont été adoptées;

| b) | l'eu-LISA a déclaré que les essais complets du CRRS qu'elle a menés en coopération avec les autorités des États membres étaient concluants; |
| --- | --- |

b)

l'eu-LISA a déclaré que les essais complets du CRRS qu'elle a menés en coopération avec les autorités des États membres étaient concluants;

| c) | l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 39 et les a notifiés à la Commission. |
| --- | --- |

c)

l'eu-LISA a validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre les données visées à l'article 39 et les a notifiés à la Commission.

La Commission fixe la date visée au premier alinéa dans un délai de trente jours à compter de la date de l'adoption de l'acte d'exécution.

7.   La Commission informe le Parlement européen et le Conseil des résultats des essais effectués en vertu des paragraphes 1, point b), 2, point b), 3, point b), 4, point b), 5, point b), et 6, point b).

8.   Les États membres, l'unité centrale ETIAS et Europol commencent à utiliser chacun des éléments d'interopérabilité à partir de la date fixée par la Commission conformément aux paragraphes 2, 3 et 4, respectivement.

Article 69

Exercice de la délégation

1.   Le pouvoir d'adopter des actes délégués conféré à la Commission est soumis aux conditions fixées au présent article.

2.   Le pouvoir d'adopter des actes délégués visé à l'article 28, paragraphe 5, à l'article 39, paragraphe 5, à l'article 49, paragraphe 6, à l'article 63, paragraphe 2, et à l'article 65, paragraphe 8, est conféré à la Commission pour une période de cinq ans à compter du 11 juin 2019. La Commission élabore un rapport relatif à la délégation de pouvoir au plus tard neuf mois avant la fin de la période de cinq ans. La délégation de pouvoir est tacitement prorogée pour des périodes d'une durée identique, sauf si le Parlement européen ou le Conseil s'oppose à cette prorogation trois mois au plus tard avant la fin de chaque période.

3.   La délégation de pouvoir visée à l'article 28, paragraphe 5, à l'article 39, paragraphe 5, à l'article 49, paragraphe 6, à l'article 63, paragraphe 2, et à l'article 65, paragraphe 8, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l'Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur.

4.   Avant l'adoption d'un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016«Mieux légiférer».

5.   Aussitôt qu'elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément.

6.   Un acte délégué adopté en vertu de l'article 28, paragraphe 5, de l'article 39, paragraphe 5, de l'article 49, paragraphe 6, de l'article 63, paragraphe 2, et de l'article 65, paragraphe 8, n'entre en vigueur que si le Parlement européen ou le Conseil n'a pas exprimé d'objections dans un délai de deux mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l'expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d'objections. Ce délai est prolongé de deux mois à l'initiative du Parlement européen ou du Conseil.

Article 70

Comité

1.   La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) no 182/2011.

2.   Lorsqu'il est fait référence au présent paragraphe, l'article 5 du règlement (UE) no 182/2011 s'applique.

Lorsque le comité n'émet aucun avis, la Commission n'adopte pas le projet d'acte d'exécution, et l'article 5, paragraphe 4, troisième alinéa, du règlement (UE) no 182/2011 s'applique.

Article 71

Groupe consultatif

L'eu-LISA crée un groupe consultatif sur l'interopérabilité. Durant la phase de conception et de développement des éléments d'interopérabilité, l'article 54, paragraphes 4, 5 et 6, s'applique.

Article 72

Formation

L'eu-LISA s'acquitte des tâches liées à l'offre d'une formation relative à l'utilisation technique des éléments d'interopérabilité conformément au règlement (UE) 2018/1726.

Les autorités des États membres et les agences de l'Union proposent, à l'intention des membres de leur personnel autorisés à traiter des données par le biais des éléments d'interopérabilité, un programme de formation approprié sur la sécurité des données, la qualité des données et les règles en matière de protection des données ainsi que sur les procédures applicables au traitement des données et les obligations d'informer prévues à l'article 32, paragraphe 4, à l'article 33, paragraphe 4, et à l'article 47.

Le cas échéant, des formations communes sur ces sujets sont organisées au niveau de l'Union afin de renforcer la coopération et l'échange de meilleures pratiques entre les membres du personnel des autorités des États membres et des agences de l'Union qui sont autorisés à traiter les données par le biais des éléments d'interopérabilité. Une attention particulière est accordée au processus de détection d'identités multiples, y compris la vérification manuelle des différentes identités et le besoin qui s'ensuit de maintenir des garanties en ce qui concerne les droits fondamentaux.

Article 73

Manuel pratique

La Commission, en étroite coopération avec les États membres, l'eu-LISA et les autres agences de l'Union concernées, met à disposition un manuel pratique sur la mise en œuvre et la gestion des éléments d'interopérabilité. Le manuel pratique contient des orientations techniques et opérationnelles, des recommandations et des bonnes pratiques. La Commission adopte le manuel pratique sous la forme d'une recommandation.

Article 74

Suivi et évaluation

1.   L'eu-LISA veille à ce que des procédures soient mises en place pour suivre le développement des éléments d'interopérabilité et leur connexion avec l'interface nationale uniforme par rapport aux objectifs fixés en matière de planification et de coûts et pour suivre le fonctionnement des éléments d'interopérabilité par rapport aux objectifs fixés en matière de résultats techniques, de coût-efficacité, de sécurité et de qualité du service.

2.   Au plus tard le 12 décembre 2019, puis tous les six mois pendant la phase de développement des éléments d'interopérabilité, l'eu-LISA présente un rapport au Parlement européen et au Conseil sur l'état d'avancement du développement des éléments d'interopérabilité et leur connexion à l'interface uniforme nationale. Une fois le développement achevé, un rapport est présenté au Parlement européen et au Conseil, qui explique en détail la manière dont les objectifs, en particulier ceux ayant trait à la planification et aux coûts, ont été atteints, et justifie les éventuels écarts.

3.   Quatre ans après la mise en service de chaque élément d'interopérabilité conformément à l'article 68, puis tous les quatre ans, l'eu-LISA présente au Parlement européen, au Conseil et à la Commission un rapport sur le fonctionnement technique des éléments d'interopérabilité, y compris sur leur sécurité.

4.   En outre, un an après chaque rapport de l'eu-LISA, la Commission réalise une évaluation globale des éléments d'interopérabilité, y compris:

| a) | une évaluation de l'application du présent règlement; |
| --- | --- |

a)

une évaluation de l'application du présent règlement;

| b) | un examen des résultats obtenus par rapport aux objectifs du présent règlement et de son impact sur les droits fondamentaux, notamment une évaluation de l'incidence des éléments d'interopérabilité sur le droit à la non-discrimination; |
| --- | --- |

b)

un examen des résultats obtenus par rapport aux objectifs du présent règlement et de son impact sur les droits fondamentaux, notamment une évaluation de l'incidence des éléments d'interopérabilité sur le droit à la non-discrimination;

| c) | une évaluation du fonctionnement du portail en ligne, y compris des chiffres concernant son utilisation ainsi que le nombre de demandes traitées avec succès; |
| --- | --- |

c)

une évaluation du fonctionnement du portail en ligne, y compris des chiffres concernant son utilisation ainsi que le nombre de demandes traitées avec succès;

| d) | une évaluation permettant de déterminer si les principes de base des éléments d'interopérabilité restent valables; |
| --- | --- |

d)

une évaluation permettant de déterminer si les principes de base des éléments d'interopérabilité restent valables;

| e) | une évaluation de la sécurité des éléments d'interopérabilité; |
| --- | --- |

e)

une évaluation de la sécurité des éléments d'interopérabilité;

| f) | une évaluation de l'utilisation du CIR à des fins d'identification; |
| --- | --- |

f)

une évaluation de l'utilisation du CIR à des fins d'identification;

| g) | une évaluation de l'utilisation du CIR à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière; |
| --- | --- |

g)

une évaluation de l'utilisation du CIR à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière;

| h) | une évaluation de toute conséquence y compris toute incidence disproportionnée sur la fluidité du trafic aux points de passage frontaliers et les conséquences ayant un impact sur le budget général de l'Union; |
| --- | --- |

h)

une évaluation de toute conséquence y compris toute incidence disproportionnée sur la fluidité du trafic aux points de passage frontaliers et les conséquences ayant un impact sur le budget général de l'Union;

| i) | une évaluation des recherches effectuées dans les bases de données d'Interpol via l'ESP, y compris des informations sur le nombre de correspondances dans les bases de données d'Interpol et des informations sur tout problème rencontré; |
| --- | --- |

i)

une évaluation des recherches effectuées dans les bases de données d'Interpol via l'ESP, y compris des informations sur le nombre de correspondances dans les bases de données d'Interpol et des informations sur tout problème rencontré;

Les évaluations globales prévues au premier alinéa du présent paragraphe comprennent les éventuelles recommandations nécessaires. La Commission transmet le rapport d'évaluation au Parlement européen, au Conseil, au Contrôleur européen de la protection des données et à l'Agence des droits fondamentaux de l'Union européenne.

5.   Au plus tard le 12 juin 2020 puis chaque année jusqu'à l'adoption par la Commission des actes d'exécution visés à l'article 68, la Commission présente au Parlement européen et au Conseil un rapport sur l'état d'avancement des préparations pour la mise en œuvre complète du présent règlement. Ce rapport contient également des informations détaillées sur les coûts encourus ainsi que des informations relatives à tout risque susceptible d'avoir des retombées sur les coûts totaux.

6.   Deux ans après la mise en service du MID conformément à l'article 68, paragraphe 4, la Commission examine l'incidence du MID sur le droit à la non-discrimination. À la suite de ce premier rapport, l'examen de l'incidence du MID sur le droit à la non-discrimination fait partie intégrante de l'examen visé au paragraphe 4, point b) du présent article.

7.   Les États membres et Europol communiquent à l'eu-LISA et à la Commission les informations nécessaires à l'établissement des rapports visés aux paragraphes 3 et 6. Ces informations ne peuvent porter préjudice aux méthodes de travail ni comprendre des indications sur les sources, les membres du personnel ou les enquêtes des autorités désignées.

8.   L'eu-LISA fournit à la Commission les informations nécessaires pour élaborer l'évaluation globale visée au paragraphe 4.

9.   Tout en respectant les dispositions du droit national relatives à la publication d'informations sensibles, et sans préjudice des restrictions nécessaires pour protéger la sécurité et l'ordre public, prévenir la criminalité et garantir qu'aucune enquête nationale ne sera compromise, chaque État membre et Europol établissent des rapports annuels sur l'efficacité de l'accès aux données stockées dans le CIR à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, comportant des informations et des statistiques sur:

| a) | les finalités précises de la consultation, notamment les types d'infractions terroristes ou autres infractions pénales graves; |
| --- | --- |

a)

les finalités précises de la consultation, notamment les types d'infractions terroristes ou autres infractions pénales graves;

| b) | les motifs raisonnables invoqués qui permettent de soupçonner de manière justifiée que le suspect, l'auteur ou la victime relève du règlement (UE) no 603/2013; |
| --- | --- |

b)

les motifs raisonnables invoqués qui permettent de soupçonner de manière justifiée que le suspect, l'auteur ou la victime relève du règlement (UE) no 603/2013;

| c) | le nombre de demandes d'accès au CIR aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière; |
| --- | --- |

c)

le nombre de demandes d'accès au CIR aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière;

| d) | le nombre et les types de cas qui ont permis une identification; |
| --- | --- |

d)

le nombre et les types de cas qui ont permis une identification;

| e) | la nécessité de disposer de procédures exceptionnelles dans les cas d'urgence et l'usage qui en a été fait, y compris lorsque le caractère urgent n'a pas été validé par le point d'accès central lors de la vérification a posteriori. |
| --- | --- |

e)

la nécessité de disposer de procédures exceptionnelles dans les cas d'urgence et l'usage qui en a été fait, y compris lorsque le caractère urgent n'a pas été validé par le point d'accès central lors de la vérification a posteriori.

Les rapports annuels préparés par les États membres et par Europol sont transmis à la Commission au plus tard le 30 juin de l'année suivante.

10.   Une solution technique est mise à la disposition des États membres afin de gérer les demandes d'accès des utilisateurs visées à l'article 22 et de faciliter la collecte d'informations au titre des paragraphes 7 et 9 du présent article, en vue de générer les rapports et statistiques visées dans ces paragraphes. La Commission adopte des actes d'exécution pour fixer les spécifications de la solution technique. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 70, paragraphe 2.

Article 75

Entrée en vigueur et applicabilité

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne.

Journal officiel de l'Union européenne.

Les dispositions du présent règlement relatives à l'ESP s'appliquent à compter de la date déterminée par la Commission conformément à l'article 68, paragraphe 1.

Les dispositions du présent règlement relatives au BMS partagé s'appliquent à compter de la date déterminée par la Commission conformément à l'article 68, paragraphe 2.

Les dispositions du présent règlement relatives au CIR s'appliquent à compter de la date déterminée par la Commission conformément à l'article 68, paragraphe 3.

Les dispositions du présent règlement relatives au MID s'appliquent à compter de la date déterminée par la Commission conformément à l'article 68, paragraphe 4.

Les dispositions du présent règlement relatives aux mécanismes et procédures automatisés de contrôle de la qualité des données, aux indicateurs communs de qualité des données et aux normes minimales de qualité des données s'appliquent, respectivement, à compter des dates déterminées par la Commission conformément à l'article 68, paragraphe 5.

Les dispositions du présent règlement relatives au CRRS s'appliquent à compter de la date déterminée par la Commission conformément à l'article 68, paragraphe 6.

Les articles 6, 12, 17, 25, 38, 42, 54, 56, 58, 66, 67, 69, 70, 71 et 73, et l'article 74, paragraphe 1, s'appliquent à compter du 11 juin 2019.

En ce qui concerne Eurodac, le présent règlement s'applique à partir de la date d'application de la refonte du règlement (UE) no 603/2013.

o

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans les États membres conformément aux traités.

Fait à Bruxelles, le 20 mai 2019.

Par le Parlement européen

Le président

A. TAJANI

Par le Conseil

Le président

G. CIAMBA

---

(1)  
  JO C 283 du 10.8.2018, p. 48.

1

(2)  Position du Parlement européen du 16 avril 2019 (non encore parue au Journal officiel) et décision du Conseil du 14 mai 2019.

2

(3)  
  JO C 101 du 16.3.2018, p. 116.

3

(4)  Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO L 135 du 24.5.2016, p. 53).

4

(5)  Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

5

(6)  Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).

6

(7)  Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).

7

o

o

(8)  Règlement (UE) 2018/1860 du Parlement européen et du Conseil du 28 novembre 2018 relatif à l'utilisation du système d'information Schengen aux fins du retour des ressortissants de pays tiers en séjour irrégulier (JO L 312 du 7.12.2018, p. 1).

8

(9)  Règlement (UE) 2018/1861 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine des vérifications aux frontières, modifiant la convention d'application de l'accord de Schengen et modifiant et abrogeant le règlement (CE) no 1987/2006 (JO L 312 du 7.12.2018, p. 14).

9

o

(10)  Règlement (UE) 2018/1862 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, modifiant et abrogeant la décision 2007/533/JAI du Conseil, et abrogeant le règlement (CE) no 1986/2006 du Parlement européen et du Conseil et la décision 2010/261/UE de la Commission (JO L 312 du 7.12.2018, p. 56).

10

o

(11)  Règlement (UE) 2019/816 du Parlement européen et du Conseil du 17 avril 2019 portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726 (voir page 1 du présent Journal officiel).

11

(12)  Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).

12

o

(13)  
  JO C 233 du 4.7.2018, p. 12.

13

(14)  Règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil du 18 juillet 2018 relatif aux règles financières applicables au budget général de l'Union, modifiant les règlements (UE) no 1296/2013, (UE) no 1301/2013, (UE) no 1303/2013, (UE) no 1304/2013, (UE) no 1309/2013, (UE) no 1316/2013, (UE) no 223/2014, (UE) no 283/2014 et la décision no 541/2014/UE, et abrogeant le règlement (UE, Euratom) no 966/2012 (JO L 193 du 30.7.2018, p. 1).

14

o

o

o

o

o

o

o

o

o

o

(15)  Règlement (UE) no 515/2014 du Parlement européen et du Conseil du 16 avril 2014 portant création, dans le cadre du Fonds pour la sécurité intérieure, de l'instrument de soutien financier dans le domaine des frontières extérieures et des visas et abrogeant la décision no 574/2007/CE (JO L 150 du 20.5.2014, p. 143).

15

o

o

(16)  
  JO L 123 du 12.5.2016, p. 1.

16

(17)  Règlement (UE) no 182/2011 du Parlement européen et du Conseil du 16 février 2011 établissant les règles et principes généraux relatifs aux modalités de contrôle par les États membres de l'exercice des compétences d'exécution par la Commission (JO L 55 du 28.2.2011, p. 13).

17

o

(18)  Directive 2004/38/CE du Parlement européen et du Conseil du 29 avril 2004 relative au droit des citoyens de l'Union et des membres de leurs familles de circuler et de séjourner librement sur le territoire des États membres, modifiant le règlement (CEE) no 1612/68 et abrogeant les directives 64/221/CEE, 68/360/CEE, 72/194/CEE, 73/148/CEE, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/365/CEE et 93/96/CEE (JO L 158 du 30.4.2004, p. 77).

18

o

(19)  Décision 2000/365/CE du Conseil du 29 mai 2000 relative à la demande du Royaume-Uni de Grande-Bretagne et d'Irlande du Nord de participer à certaines dispositions de l'acquis de Schengen (JO L 131 du 1.6.2000, p. 43).

19

(20)  Décision 2002/192/CE du Conseil du 28 février 2002 relative à la demande de l'Irlande de participer à certaines dispositions de l'acquis de Schengen (JO L 64 du 7.3.2002, p. 20).

20

(21)  
  JO L 176 du 10.7.1999, p. 36.

21

(22)  Décision 1999/437/CE du Conseil du 17 mai 1999 relative à certaines modalités d'application de l'accord conclu par le Conseil de l'Union européenne et la République d'Islande et le Royaume de Norvège sur l'association de ces États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (JO L 176 du 10.7.1999, p. 31).

22

(23)  
  JO L 53 du 27.2.2008, p. 52.

23

(24)  Décision 2008/149/JAI du Conseil du 28 janvier 2008 relative à la conclusion, au nom de l'Union européenne, de l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (JO L 53 du 27.2.2008, p. 50).

24

(25)  
  JO L 160 du 18.6.2011, p. 21.

25

(26)  Décision 2011/350/UE du Conseil du 7 mars 2011 relative à la conclusion, au nom de l'Union européenne, du protocole entre l'Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen en ce qui concerne la suppression des contrôles aux frontières intérieures et la circulation des personnes (JO L 160 du 18.6.2011, p. 19).

26

(27)  Règlement (UE) 2018/1726 du Parlement européen et du Conseil du 14 novembre 2018 relatif à l'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (eu-LISA), modifiant le règlement (CE) no 1987/2006 et la décision 2007/533/JAI du Conseil et abrogeant le règlement (UE) no 1077/2011 (JO L 295 du 21.11.2018, p. 99).

27

o

o

(28)  Règlement (UE) 2019/817 du Parlement européen et du Conseil du 20 mai 2019 portant établissement d'un cadre pour l'interopérabilité des systèmes d'information de l'UE dans le domaine des frontières et des visas et modifiant les règlements (CE) no 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 et (UE) 2018/1861 du Parlement européen et du Conseil et les décisions 2004/512/CE et 2008/633/JAI du Conseil (voir page 27 du présent Journal officiel).

28

o

(29)  Règlement (UE) 2016/399 du Parlement européen et du Conseil du 9 mars 2016 concernant un code de l'Union relatif au régime de franchissement des frontières par les personnes (code frontières Schengen) (JO L 77 du 23.3.2016, p. 1).

29

(30)  Règlement (UE) 2017/2226 du Parlement européen et du Conseil du 30 novembre 2017 portant création d'un système d'entrée/de sortie (EES) pour enregistrer les données relatives aux entrées, aux sorties et aux refus d'entrée concernant les ressortissants de pays tiers qui franchissent les frontières extérieures des États membres et portant détermination des conditions d'accès à l'EES à des fins répressives, et modifiant la convention d'application de l'accord de Schengen et les règlements (CE) no 767/2008 et (UE) no 1077/2011 (JO L 327 du 9.12.2017, p. 20).

30

o

o

(31)  Décision 2008/633/JAI du Conseil du 23 juin 2008 concernant l'accès en consultation au système d'information sur les visas (VIS) par les autorités désignées des États membres et par l'Office européen de police (Europol) aux fins de la prévention et de la détection des infractions terroristes et des autres infractions pénales graves, ainsi qu'aux fins des enquêtes en la matière (JO L 218 du 13.8.2008, p. 129).

31

(32)  Règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d'un système européen d'information et d'autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 (JO L 236 du 19.9.2018, p. 1).

32

o

o

(33)  Directive (UE) 2017/541 du Parlement européen et du Conseil du 15 mars 2017 relative à la lutte contre le terrorisme et remplaçant la décision-cadre 2002/475/JAI du Conseil et modifiant la décision 2005/671/JAI du Conseil (JO L 88 du 31.3.2017, p. 6).

33

(34)  Décision-cadre 2002/584/JAI du Conseil du 13 juin 2002 relative au mandat d'arrêt européen et aux procédures de remise entre États membres (JO L 190 du 18.7.2002, p. 1).

34

(35)  Règlement (CE) no 767/2008 du Parlement européen et du Conseil du 9 juillet 2008 concernant le système d'information sur les visas (VIS) et l'échange de données entre les États membres sur les visas de court séjour (règlement VIS) (JO L 218 du 13.8.2008, p. 60).

35

o

(36)  Règlement (UE) no 603/2013 du Parlement européen et du Conseil du 26 juin 2013 relatif à la création d'Eurodac pour la comparaison des empreintes digitales aux fins de l'application efficace du règlement (UE) no 604/2013 établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale introduite dans l'un des États membres par un ressortissant de pays tiers ou un apatride et relatif aux demandes de comparaison avec les données d'Eurodac présentées par les autorités répressives des États membres et Europol à des fins répressives, et modifiant le règlement (UE) no 1077/2011 portant création d'une agence européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (JO L 180 du 29.6.2013, p. 1).

36

o

o

o

(37)  Règlement (CE) no 168/2007 du Conseil du 15 février 2007 portant création d'une Agence des droits fondamentaux de l'Union européenne (JO L 53 du 22.2.2007, p. 1).

37

o

(38)  Règlement (UE) 2016/1624 du Parlement européen et du Conseil du 14 septembre 2016 relatif au corps européen de garde-frontières et de garde-côtes, modifiant le règlement (UE) 2016/399 du Parlement européen et du Conseil et abrogeant le règlement (CE) no 863/2007 du Parlement européen et du Conseil, le règlement (CE) no 2007/2004 du Conseil et la décision 2005/267/CE du Conseil (JO L 251 du 16.9.2016, p. 1).

38

o

o

---