02019R0818 — DA — 03.08.2021 — 001.004

Denne tekst tjener udelukkende som dokumentationsværktøj og har ingen retsvirkning. EU's institutioner påtager sig intet ansvar for dens indhold. De autentiske udgaver af de relevante retsakter, inklusive deres betragtninger, er offentliggjort i den Europæiske Unions Tidende og kan findes i EUR-Lex. Disse officielle tekster er tilgængelige direkte via linkene i dette dokument

Ændret ved:





Berigtiget ved:









▼B

EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2019/818

af 20. maj 2019

om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende politisamarbejde og retligt samarbejde, asyl og migration og om ændring af forordning (EU) 2018/1726, (EU) 2018/1862 og (EU) 2019/816







KAPITEL I

Almindelige bestemmelser

Artikel 1

Genstand

1. Denne forordning fastsætter sammen med Europa-Parlamentets og Rådets forordning (EU) 2019/817 ( 1 ) en ramme, der skal sikre interoperabilitet mellem ind-og udrejsesystemet, visuminformationssystemet (VIS), EU-systemet vedrørende rejseinformation og rejsetilladelse (ETIAS), Eurodac, Schengeninformationssystemet (SIS) og det europæiske informationssystem til udveksling af oplysninger fra strafferegistre vedrørende tredjelandsstatsborgere (ECRIS-TCN).

2. Rammen omfatter følgende interoperabilitetskomponenter: a) en europæisk søgeportal (ESP) b) en fælles biometrisk matchtjeneste (fælles BMS) c) et fælles identitetsregister(CIR) d) en multiidentitetsdetektor (MID).

3. Denne forordning fastsætter også bestemmelser om datakvalitetskrav, om et universelt meddelelsesformat (UMF), om et centralt register for rapportering og statistik (CRRS) og om ansvarsområderne for medlemsstaterne og Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) med hensyn til udformningen, udviklingen og driften af interoperabilitetskomponenter.

4. Denne forordning tilpasser også procedurerne og betingelserne for adgangen for de udpegede myndigheder og Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) til ind- og udrejsesystemet, VIS, ETIAS og Eurodac med henblik på forebyggelse, afsløring og efterforskning af terrorhandlinger og andre alvorlige strafbare handlinger.

5. Denne forordning fastsætter også en ramme for verifikation af personers identitet og for identifikation af personer.

Artikel 2

Mål

1. Ved at sikre interoperabilitet har denne forordning følgende mål: a) at forbedre effektiviteten og formålstjenligheden af ind- og udrejsekontrollen ved de ydre grænser b) at bidrage til forebyggelsen og bekæmpelsen af ulovlig indvandring c) at bidrage til et højt sikkerhedsniveau inden for området med frihed, sikkerhed og retfærdighed, herunder at opretholde den offentlige sikkerhed og den offentlige orden samt beskytte sikkerheden på medlemsstaternes område d) at forbedre gennemførelsen af den fælles visumpolitik e) at bistå ved gennemgangen af ansøgninger om international beskyttelse f) at bidrage til forebyggelse, afsløring og efterforskning af terrorhandlinger og andre alvorlige strafbare handlinger g) at lette identifikationen af ukendte personer, der er ude af stand til at legitimere sig, eller uidentificerede menneskelige rester i tilfælde af en naturkatastrofe, en ulykke eller et terrorangreb.

2. De i stk. 1 omhandlede mål skal nås ved at: a) sikre korrekt identifikation af personer b) bidrage til bekæmpelse af identitetssvig c) forbedre datakvalitet og harmonisere kvalitetskravene til oplysninger, der lagres i EU-informationssystemerne, under overholdelse af databehandlingskravene i de retlige instrumenter for de enkelte systemer, databeskyttelsesstandarderne og -principperne d) lette og understøtte medlemsstaternes tekniske og operationelle gennemførelse af EU-informationssystemer e) styrke og forenkle de betingelser for datasikkerhed og databeskyttelse, der styrer de respektive EU-informationssystemer, og gøre dem mere ensartede uden at påvirke den særlige beskyttelse og de sikkerhedsmekanismer, der er gældende for visse kategorier af oplysninger f) effektivisere betingelserne for udpegede myndigheders adgang til ind- og udrejsesystemet, VIS, ETIAS og Eurodac og samtidig sikre nødvendige og forholdsmæssigt afpassede betingelser for denne adgang g) støtte formålene med ind- og udrejsesystemet, VIS, ETIAS, Eurodac, SIS og ECRIS-TCN.

Artikel 3

Anvendelsesområde

1. Denne forordning gælder for Eurodac, SIS og ECRIS-TCN.

2. Denne forordning gælder også for Europoloplysningerne, i det omfang at det gøres muligt at forespørge i dem samtidigt med de i stk. 1 omhandlede EU-informationssystemer.

3. Denne forordning gælder for personer, hvis personoplysninger kan behandles i de i stk. 1 omhandlede EU-informationssystemer, og de i stk. 2 omhandlede Europoloplysninger.

Artikel 4

Definitioner

I denne forordning forstås ved:

1) »ydre grænser« : ydre grænser som defineret i artikel 2, nr. 2), i forordning (EU) 2016/399

2) »ind- og udrejsekontrol« : ind- og udrejsekontrol som defineret i artikel 2, nr. 11), i Europa-Parlamentets og Rådets forordning (EU) 2016/399 ( 2 )

3) »grænsemyndighed« : den grænsevagt, der i overensstemmelse med national ret er udpeget til at foretage ind- og udrejsekontrol

4) »tilsynsmyndigheder« : den tilsynsmyndighed, der er omhandlet i artikel 51, stk. 1, i forordning (EU) 2016/679, og den tilsynsmyndighed, der er omhandlet i artikel 41, stk. 1, i direktiv (EU) 2016/680

5) »verifikation« : sammenligning af sæt af oplysninger for at kontrollere, om en påstået identitet er ægte (kontrol ved sammenligning af to datasæt oplysninger)

6) »identifikation« : fastlæggelse af en persons identitet via en databasesøgning på grundlag af flere sæt oplysninger (kontrol ved sammenligning af mange sæt oplysninger)

7) »alfanumeriske oplysninger« : oplysninger, der er angivet med bogstaver, tal, specialtegn, mellemrum og skilletegn

▼C1

8) »identitetsoplysninger« : de oplysninger, som er omhandlet i artikel 27, stk. 3, litra a) og b)

▼B

9) »fingeraftryksoplysninger« : fingeraftryksbilleder og latente fingeraftryksbilleder, som på grund af deres unikke karakter og referencepunkterne i dem gør det muligt at foretage præcise og endegyldige sammenligninger vedrørende en persons identitet

10) »ansigtsbillede« : digitale billeder af ansigtet

11) »biometriske oplysninger« : fingeraftryksoplysninger eller ansigtsbilleder eller begge

12) »biometrisk skabelon« : en matematisk gengivelse opnået ved at udlede træk fra biometriske oplysninger begrænset til de karakteristika, som er nødvendige for at foretage identifikationer og verifikationer

13) »rejsedokument« : et pas eller et andet tilsvarende dokument, som giver indehaveren ret til at passere de ydre grænser, og som kan forsynes med visum

14) »rejsedokumentoplysninger« : type, nummer og udstedelsesland for rejsedokumentet, udløbsdato for rejsedokumentets gyldighed og koden på tre bogstaver for det land, der har udstedt rejsedokumentet

15) »EU-informationssystemer« : ind- og udrejsesystemet, VIS, ETIAS, Eurodac, SIS og ECRIS-TCN

16) »Europoloplysningerne« : personoplysninger, der behandles af Europol til de formål, der er omhandlet i artikel 18, stk. 2, litra a), b) og c), i forordning (EU) 2016/794

17) »INTERPOL-databaserne« : INTERPOL's database over stjålne og bortkomne rejsedokumenter (SLTD-databasen) og INTERPOL's database over rejsedokumenter med tilknyttede notifikationer (TDAWN-databasen)

18) »match« : sammenfald som resultat af en automatiseret sammenligning mellem personoplysninger, der er registreret eller er ved at blive registreret i et informationssystem eller en database

19) »politimyndighed« : den kompetente myndighed som defineret i artikel 3, nr. 7), i direktiv (EU) 2016/680

20) »udpegede myndigheder« : myndigheder udpeget af medlemsstaterne som defineret i artikel 3, stk. 1, nr. 26), i Europa-Parlamentets og Rådets forordning (EU) 2017/2226 ( 3 ), artikel 2, stk. 1, litra e), i Rådets afgørelse 2008/633/RIA ( 4 ) og artikel 3, stk. 1, nr. 21), i Europa-Parlamentets og Rådets forordning (EU) 2018/1240 ( 5 )

21) »terrorhandling« : en lovovertrædelse i henhold til national ret, som svarer til eller er ligestillet med en af de lovovertrædelser, der er omhandlet i Europa-Parlamentets og Rådets direktiv (EU) 2017/541 ( 6 )

22) »alvorlig strafbar handling« : en lovovertrædelse, som svarer til eller er ligestillet med en af de lovovertrædelser, der er omhandlet i artikel 2, stk. 2, i Rådets rammeafgørelse 2002/584/RIA ( 7 ), hvis den i henhold til national ret kan straffes med frihedsstraf eller en anden frihedsberøvende foranstaltning af en maksimal varighed på mindst tre år

23) »ind- og udrejsesystemet« : ind- og udrejsesystemet oprettet ved forordning (EU) 2017/2226

24) »visuminformationssystemet« eller (»VIS«) : visuminformationssystemet oprettet ved Europa-Parlamentets og Rådets forordning (EF) nr. 767/2008 ( 8 )

25) »europæisk system vedrørende rejseoplysninger og rejsetilladelser« eller »ETIAS« : det europæiske system for rejseoplysninger og rejsetilladelser oprettet ved forordning (EU) 2018/1240

26) »Eurodac« : Eurodac oprettet ved Europa-Parlamentets og Rådets forordning (EU) nr. 603/2013 ( 9 )

27) »Schengeninformationssystemet« eller »SIS« : Schengeninformationssystemet oprettet ved forordning (EU) 2018/1860, (EU) 2018/1861 og (EU) 2018/1862

28) »ECRIS-TCN« : det centraliserede system til indkredsning af medlemsstater, der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer, oprettet ved forordning (EU) 2019/816.

Artikel 5

Ikkeforskelsbehandling og grundlæggende rettigheder

Behandlingen af personoplysninger med henblik på denne forordning må ikke medføre forskelsbehandling af personer af nogen grunde, såsom køn, race, hudfarve, etnisk eller social oprindelse, genetiske anlæg, sprog, religion eller tro, politiske eller andre anskuelser, tilhørsforhold til et nationalt mindretal, ejendomsforhold, fødsel, handicap, alder eller seksuel orientering. Den skal fuldt ud respektere menneskelig værdighed og integritet og de grundlæggende rettigheder, herunder retten til respekt for privatliv og beskyttelse af personoplysninger. Der skal tages særligt hensyn til børn, ældre, personer med handicap og personer, der har behov for international beskyttelse. Hensynet til barnets tarv kommer i første række.







KAPITEL II

Europæisk søgeportal

Artikel 6

Europæisk søgeportal

1. Der oprettes en europæisk søgeportal (ESP) med henblik på at lette hurtig, problemfri, effektiv, systematisk og kontrolleret adgang for medlemsstatsmyndigheder og EU-agenturer til EU-informationssystemer, til Europoloplysningerne og til INTERPOL-databaserne i forbindelse med udførelsen af deres opgaver og i overensstemmelse med deres adgangsret og målene for og formålene med ind- og udrejsesystemet, VIS, ETIAS, Eurodac, SIS og ECRIS-TCN.

2. ESP består af: a) en central infrastruktur, herunder en søgeportal, der muliggør samtidige forespørgsler i ind- og udrejsesystemet, VIS, ETIAS, Eurodac, SIS, ECRIS-TCN samt Europoloplysningerne og INTERPOL-databaserne b) en sikker kommunikationskanal mellem ESP og de medlemsstater og EU-agenturer, der har ret til at bruge ESP c) en sikker kommunikationsinfrastruktur mellem ESP og ind- og udrejsesystemet, VIS, ETIAS, Eurodac, det centrale SIS, ECRIS-TCN, Europoloplysningerne og INTERPOL-databaserne samt mellem ESP og de centrale infrastrukturer i CIR og MID.

3. eu-LISA udvikler og står for den tekniske forvaltning af ESP.

Artikel 7

Brug af den europæiske søgeportal

1. Brugen af ESP er forbeholdt de medlemsstatsmyndigheder og EU-agenturer, der har adgang til mindst ét af EU-informationssystemerne i overensstemmelse med de retlige instrumenter, der regulerer disse EU-informationssystemer, til CIR og MID i overensstemmelse med denne forordning, til Europol-oplysningerne i overensstemmelse med forordning (EU) 2016/794 eller til INTERPOL-databaserne i overensstemmelse med den EU-ret eller nationale ret, der regulerer sådan adgang.

Disse medlemsstatsmyndigheder og EU-agenturer må kun anvende ESP og de derigennem tilvejebragte oplysninger til de mål og formål, der er fastsat i de retlige instrumenter for disse EU-informationssystemer, i forordning (EU) 2016/794 og i nærværende forordning.

2. De i stk. 1 omhandlede medlemsstatsmyndigheder og EU-agenturer bruger ESP til at søge efter oplysninger om personer eller deres rejsedokumenter i de centrale systemer i Eurodac og ECRIS-TCN i overensstemmelse med deres adgangsret som omhandlet i de retlige instrumenter, der regulerer disse EU-informationssystemer, og i national ret. De bruger også ESP til at foretage forespørgsler i CIR i overensstemmelse med deres adgangsret i henhold til denne forordning til de i artikel 20, 21 og 22 omhandlede formål.

▼C2

3. De i stk. 1 omhandlede medlemsstatsmyndigheder kan bruge ESP til at søge efter oplysninger om personer eller deres rejsedokumenter i det i forordning (EU) 2018/1862 omhandlede centrale SIS.

▼B

4. Hvor det er foreskrevet EU-retten, bruger de i stk. 1 omhandlede EU-agenturer ESP til at søge efter oplysninger om personer eller deres rejsedokumenter i det centrale SIS.

5. De i stk. 1 omhandlede medlemsstatsmyndigheder og EU-agenturer kan benytte ESP til at søge efter oplysninger om personer eller deres rejsedokumenter i Europoloplysningerne i overensstemmelse med deres adgangsret i henhold til EU-retten og national ret.

Artikel 8

Profiler for brugerne af den europæiske søgeportal

1. Med henblik på at muliggøre brugen af ESP opretter eu-LISA i samarbejde med medlemsstaterne en profil på grundlag af hver kategori af ESP-bruger og formålene med forespørgslerne, i overensstemmelse med de i stk. 2 omhandlede tekniske detaljer og adgangsrettigheder. Hver profil omfatter i overensstemmelse med EU-retten og national ret følgende oplysninger: a) de datafelter, som skal bruges til at forespørge b) de EU-informationssystemer, de Europoloplysninger og de INTERPOL-databaser, der skal forespørges i, dem der kan forespørges i, og dem der skal give et svar til brugeren c) de konkrete oplysninger i EU-informationssystemerne, Europoloplysningerne og INTERPOL-databaserne, der kan forespørges i d) de kategorier af oplysninger, der kan gives i hvert svar.

2. Kommissionen vedtager gennemførelsesretsakter for at fastlægge de tekniske detaljer for de i stk. 1 omhandlede profiler i overensstemmelse med ESP-brugernes adgangsret i henhold til de retlige instrumenter om EU-informationssystemerne og i henhold til national ret. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 70, stk. 2.

3. De i stk. 1 omhandlede profiler gennemgås regelmæssigt af eu-LISA i samarbejde med medlemsstaterne og mindst én gang årligt, og ajourføres om nødvendigt.

Artikel 9

Forespørgsler

1. ESP-brugerne iværksætter en forespørgsel ved at indsende alfanumeriske eller biometriske oplysninger til ESP. Hvor en forespørgsel er iværksat, foretager ESP samtidigt forespørgsler i ind- og udrejsesystemet, ETIAS, VIS, SIS, Eurodac, ECRIS-TCN, CIR, Europoloplysningerne og INTERPOL-databaserne ved hjælp af de oplysninger, som er indsendt af brugeren, og i overensstemmelse med brugerprofilen.

2. De kategorier af oplysninger, der anvendes til at iværksætte en forespørgsel via ESP, svarer til de kategorier af oplysninger vedrørende personer eller rejsedokumenter, der kan anvendes til at foretage forespørgsler i de forskellige EU-informationssystemer, Europoloplysningerne og INTERPOL-databaserne i overensstemmelse med de retlige instrumenter, der regulerer dem.

3. eu-LISA indfører i samarbejde med medlemsstaterne et grænsefladekontroldokument baseret på UMF, der er omhandlet i artikel 38, for ESP.

4. Når en forespørgsel er iværksat af en ESP-bruger, fremkommer ind- og udrejsesystemet, ETIAS, VIS, SIS, Eurodac, ECRIS-TCN, CIR, MID, Europoloplysningerne og INTERPOL-databaserne som svar på forespørgslen med de oplysninger, de besidder.

Uden at det berører artikel 20, angiver svaret fra ESP, hvilket EU-informationssystem eller hvilken database oplysningerne stammer fra.

ESP giver ingen oplysninger vedrørende oplysninger i EU-informationssystemer, Europoloplysningerne og de INTERPOL-databaser, som brugeren ikke har adgang til i henhold til gældende EU-ret og national ret.

5. Alle forespørgsler i INTERPOL-databaserne, der iværksættes ved hjælp af ESP, foretages på en sådan måde, at ingen oplysninger afsløres over for ejeren af Interpol-indberetningen.

6. ESP svarer brugeren, så snart oplysninger fra et af EU-informationssystemerne, Europoloplysningerne eller INTERPOL-databaserne foreligger. Disse svar må kun indeholde de oplysninger, som brugeren har adgang til i henhold til EU-retten og national ret.

7. Kommissionen vedtager en gennemførelsesretsakt for at præcisere den tekniske procedure for ESP's forespørgsler i EU-informationssystemerne, Europoloplysningerne og INTERPOL-databaserne samt formatet af svarene fra ESP. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 70, stk. 2.

Artikel 10

Føring af logfiler

1. Uden at det berører artikel 12 og 18 i forordning (EU) 2018/1862, artikel 29 i forordning (EU) 2019/816 og artikel 40 i forordning (EU) 2016/794 fører eu-LISA logfiler over alle databehandlingsaktiviteter i ESP. Disse logfiler indeholder følgende: a) den medlemsstat eller det EU-agentur, der iværksætter forespørgslen, og den anvendte ESP-profil b) dato og klokkeslæt for forespørgslen c) de EU-informationssystemer og Europoloplysninger, der foretages forespørgsler i.

2. Hver medlemsstat fører logfiler over forespørgsler, som foretages af dens myndigheder og disse myndigheders medarbejdere, som er behørigt bemyndiget til at anvende ESP. Hvert EU-agentur fører logfiler over forespørgsler, som foretages af dets behørigt bemyndigede medarbejdere.

3. De i stk. 1 og 2 omhandlede logfiler må kun bruges til overvågning af databeskyttelse, herunder til at kontrollere, hvorvidt en forespørgsel er antagelig, og lovligheden af databehandlingen, og til at garantere datasikkerhed og -integritet. Disse logfiler beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes et år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige for overvågningsprocedurerne.

Artikel 11

Alternative procedurer, hvis det er teknisk umuligt at anvende den europæiske søgeportal

1. Hvor det er teknisk umuligt at anvende ESP til at foretage forespørgsler i et eller flere af EU-informationssystemerne eller i CIR på grund af en fejl i ESP, underretter eu-LISA på en automatiseret måde ESP-brugerne af ESP herom.

2. Hvor det er teknisk umuligt at anvende ESP til at foretage forespørgsler i et eller flere af EU-informationssystemerne eller i CIR på grund af en fejl i den nationale infrastruktur i en medlemsstat, underretter den pågældende medlemsstat på en automatiseret måde eu-LISA og Kommissionen herom.

3. I de i denne artikels stk. 1 og 2 omhandlede tilfælde, og indtil den tekniske fejl er rettet, finder forpligtelsen i artikel 7, stk. 2 og 4, ikke anvendelse, og medlemsstaterne tilgår EU-informationssystemerne og CIR direkte, hvor det er krævet af dem i henhold til EU-retten eller national ret.

4. Hvor det er teknisk umuligt at bruge ESP til at foretage forespørgsler i et eller flere af EU-informationssystemerne eller i CIR på grund af funktionssvigt i et EU-agenturs infrastruktur, underretter det pågældende agentur på en automatiseret måde eu-LISA og Kommissionen herom.







KAPITEL III

Den fælles biometriske matchtjeneste

Artikel 12

Fælles biometrisk matchtjeneste

1. Der oprettes en fælles biometrisk matchtjeneste (fælles BMS), der lagrer biometriske skabeloner indhentet fra de i artikel 13 omhandlede biometriske oplysninger, som er lagret i CIR og i SIS, og gør det muligt at foretage forespørgsler med biometriske oplysninger på tværs af flere EU-informationssystemer, med henblik på at understøtte CIR og MID og målene for ind- og udrejsesystemet, VIS, Eurodac, SIS og ECRIS-TCN.

2. Den fælles BMS består af: a) en central infrastruktur, der erstatter de centrale systemer i henholdsvis ind- og udrejsesystemet, VIS, SIS, Eurodac og ECRIS-TCN i den udstrækning, at den lagrer biometriske skabeloner og giver mulighed for at søge med biometriske oplysninger b) en sikker kommunikationsinfrastruktur mellem den fælles BMS, det centrale SIS og CIR.

3. eu-LISA udvikler den fælles BMS og sørger for dens tekniske forvaltning.

Artikel 13

Lagring af biometriske skabeloner i den fælles biometriske matchtjeneste

1. Den fælles BMS lagrer de biometriske skabeloner, som det indhenter fra følgende biometriske oplysninger: a) de oplysninger, der er omhandlet i artikel 20, stk. 3, litra w) og y), bortset fra håndfladeaftryksoplysninger, i forordning (EU) 2018/1862 b) de oplysninger, der er omhandlet i artikel 5, stk. 1, litra b), og stk. 2, i forordning (EU) 2019/816.

De biometriske skabeloner lagres i den fælles BMS logisk adskilt i henhold til det EU-informationssystem, som oplysningerne stammer fra.

2. For hvert i stk. 1 omhandlet sæt oplysninger tilføjer den fælles BMS i hver biometrisk skabelon en henvisning til de EU-informationssystemer, hvor de tilsvarende biometriske oplysninger er lagret, og en henvisning til de konkrete registreringer i disse EU-informationssystemer.

3. Biometriske skabeloner indlæses kun i den fælles BMS efter en automatiseret kvalitetskontrol af de biometriske oplysninger, der er tilføjet et af EU-informationssystemerne, hvilken kvalitetskontrol udføres af den fælles BMS for at sikre, at en minimumsstandard for datakvalitet er opfyldt.

4. Lagringen af de i stk. 1 omhandlede oplysninger skal opfylde de i artikel 37, stk. 2, omhandlede kvalitetsstandarder

5. Kommissionen fastlægger ved hjælp af en gennemførelsesretsakt resultatkravene til og de praktiske ordninger for overvågning af resultaterne for den fælles BMS med henblik på at sikre, at effektiviteten af biometriske søgninger respekterer tidskritiske procedurer, såsom ind- og udrejsekontrol og identifikationer. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 70, stk. 2.

Artikel 14

Søgning efter biometriske oplysninger med den fælles biometriske matchtjeneste

Til at søge efter de biometriske oplysninger, som er lagret i CIR og SIS, anvender CIR og SIS biometriske skabeloner, der er lagret i den fælles BMS. Forespørgsler med biometriske oplysninger finder sted i overensstemmelse med de formål, der er fastsat i denne forordning og i forordning (EF) nr. 767/2008, (EU) 2017/2226, (EU) 2018/1860, (EU) 2018/1861, (EU) 2018/1862 og (EU) 2019/816.

Artikel 15

Datalagring i den fælles biometriske matchtjeneste

De oplysninger, der er omhandlet i artikel 13, stk. 1 og 2, lagres i den fælles BMS, kun så længe de pågældende biometriske oplysninger lagres i CIR eller SIS. Oplysningerne slettes fra den fælles BMS på en automatiseret måde.

Artikel 16

Føring af logfiler

1. Uden at det berører artikel 12 og 18 i forordning (EU) 2018/1862 og artikel 29 i forordning (EU) 2019/816 fører eu-LISA logfiler over alle databehandlingsaktiviteter i den fælles BMS. Disse logfiler omfatter følgende: a) medlemsstaten eller EU-agenturet, der har iværksat forespørgslen b) historikken for oprettelsen og lagringen af biometriske skabeloner c) de EU-informationssystemer, hvori der foretages forespørgsler med de biometriske skabeloner, der er lagret i den fælles BMS d) dato og klokkeslæt for forespørgslen e) typen af biometriske oplysninger, der bruges til at iværksætte forespørgslen f) resultaterne af forespørgslen og dato og tidspunkt for resultatet.

2. Hver medlemsstat fører logfiler over forespørgsler, som foretages af dens myndigheder og disse myndigheders medarbejdere, som er behørigt bemyndiget til at anvende den fælles BMS. Hvert EU-agentur fører logfiler over forespørgsler, som foretages af dets behørigt bemyndigede medarbejdere.

3. De i stk. 1 og 2 omhandlede logfiler må kun bruges til overvågning af databeskyttelse, herunder til at kontrollere, hvorvidt en forespørgsel er antagelig, og lovligheden af databehandlingen, og til at garantere datasikkerhed og -integritet. Disse logfiler beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes et år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige for overvågningsprocedurerne.







KAPITEL IV

Det fælles identitetsregister

Artikel 17

Det fælles identitetsregister

1. Der oprettes et fælles identitetsregister (CIR) med en individuel mappe for hver person, der er registreret i ind- og udrejsesystemet, VIS, ETIAS, Eurodac eller ECRIS-TCN, og indeholdende de i artikel 18 omhandlede oplysninger med henblik på at lette og bistå med korrekt identifikation af personer, der er registreret i ind- og udrejsesystemet, VIS, ETIAS, Eurodac og ECRIS-TCN i overensstemmelse med artikel 20, støtte driften af MID i overensstemmelse med artikel 21 og lette og effektivisere de udpegede myndigheders og Europols adgang til ind- og udrejsesystemet, VIS, ETIAS og Eurodac, når det er nødvendigt for at forebygge, afsløre eller efterforske terrorhandlinger og andre alvorlige strafbare handlinger i overensstemmelse med artikel 22.

2. CIR består af: a) en central infrastruktur, der erstatter de centrale systemer i henholdsvis ind- og udrejsesystemet, VIS, ETIAS, Eurodac og ECRIS-TCN i den udstrækning, at den lagrer de i artikel 18 omhandledes oplysninger b) en sikker kommunikationskanal mellem CIR og de medlemsstater og EU-agenturer, der er berettiget til at benytte CIR i overensstemmelse med EU-retten og national ret c) en sikker kommunikationsinfrastruktur mellem CIR og ind- og udrejsesystemet, VIS, ETIAS, Eurodac og ECRIS-TCN samt med de centrale infrastrukturer i ESP, den fælles BMS og MID.

3. eu-LISA udvikler og står for den tekniske forvaltning af CIR.

4. Hvor det er teknisk umuligt på grund af fejl i CIR at foretage forespørgsel i CIR med henblik på identifikation af en person i henhold til artikel 20, til at påvise flere identiteter i henhold til artikel 21, eller med henblik på at forebygge, afsløre eller efterforske terrorhandlinger eller andre alvorlige strafbare handlinger i henhold til artikel 22, underretter eu-LISA brugerne af CIR om dette på en automatiseret måde.

5. eu-LISA indfører i samarbejde med medlemsstaterne et grænsefladekontroldokument baseret på UMF, der er omhandlet i artikel 38, for CIR.

Artikel 18

Oplysninger i det fælles identitetsregister

1. CIR lagrer følgende oplysninger — logisk opdelt efter hvilket informationssystem oplysningerne hidrører fra: de oplysninger, der er omhandlet i artikel 5, stk. 1, litra b), og stk. 2, og følgende oplysninger opregnet i artikel 5, stk. 1, litra a), i forordning (EU) 2019/816: efternavn, fornavne, fødselsdato, fødested (by og land), nationalitet eller nationaliteter, køn, eventuelle tidligere navne, pseudonymer eller kaldenavne samt, hvis de forefindes, oplysninger på rejsedokumenter.

▼M2

1b. Med henblik på artikel 20 i forordning (EU) 2018/1240 lagres der i CIR også, logisk adskilt fra oplysningerne omhandlet i nærværende artikels stk. 1, de oplysninger, der er omhandlet i artikel 5, stk. 1, litra c), i forordning (EU) 2019/816. De oplysninger, der er omhandlet i artikel 5, stk. 1, litra c), i forordning (EU) 2019/816, må kun være tilgængelige på den måde, der er omhandlet i nævnte forordnings artikel 5, stk. 7.

▼B

2. For hvert af de i stk. 1 omhandlede sæt oplysninger indeholder CIR en henvisning til de EU-informationssystemer, som indeholder oplysningerne.

3. De myndigheder, der tilgår CIR, gør dette i overensstemmelse med deres adgangsrettigheder i henhold til de retlige instrumenter om EU- informationssystemerne og national ret og i overensstemmelse med deres adgangsrettigheder i henhold til denne forordning til de artikel 20, 21 og 22 omhandlede formål.

4. For hvert af de i stk. 1 omhandlede sæt oplysninger indeholder CIR en henvisning til den konkrete registrering i de EU-informationssystemer, som indeholder oplysningerne.

5. Lagringen af de i stk. 1 omhandlede oplysninger opfylder de i artikel 37, stk. 2, omhandlede kvalitetsstandarder.

Artikel 19

Tilføjelse, ændring og sletning af oplysninger i det fælles identitetsregister

1. Hvor der tilføjes, ændres eller slettes oplysninger i Eurodac eller ECRIS-TCN, tilføjes, ændres eller slettes de i artikel 18 omhandlede oplysninger, som er lagret i de individuelle mapper i CIR, tilsvarende på en automatiseret måde.

2. Hvor der oprettes et hvidt eller rødt link i MID i overensstemmelse med artikel 32 eller 33 mellem oplysninger fra to eller flere af de EU-informationssystemer, der udgør CIR, i stedet for at skabe en ny, individuel mappe, tilføjer CIR de nye oplysninger til den individuelle mappe for de sammenkædede oplysninger.

Artikel 20

Adgang til det fælles identitetsregister med henblik på identifikation

1. Forespørgsler i CIR foretages af en politimyndighed i overensstemmelse med stk. 2 og 5 og kun under følgende omstændigheder: a) hvor en politimyndighed er ude af stand til at identificere en person på grund af fraværet af et rejsedokument eller et andet troværdigt dokument, der beviser den pågældendes identitet b) hvor der er tvivl om de identitetsoplysninger, som en person har fremlagt c) hvor der er tvivl om ægtheden af rejsedokumentet eller et andet troværdigt dokument, som en person har fremlagt d) hvor der er tvivl om identiteten af indehaveren af et rejsedokument eller af et andet troværdigt dokument, eller e) hvor en person er ude af stand til eller nægter at samarbejde.

Sådanne forespørgsler er ikke tilladt, når der er tale om mindreårige under 12 år, medmindre det er i overensstemmelse med barnets tarv.

2. Hvor en af omstændighederne opregnet i stk. 1 opstår, og en politimyndighed har beføjelse hertil i medfør af nationale lovgivningsmæssige foranstaltninger som omhandlet i stk. 5, kan den udelukkende med henblik på at identificere en person foretage en forespørgsel i CIR med den pågældende persons biometriske oplysninger, som er udtaget på stedet ved en identitetskontrol, forudsat at proceduren blev indledt under tilstedeværelse af den pågældende person.

3. Hvor forespørgslen viser, at oplysningerne for den pågældende person er lagret i CIR, har politimyndigheden adgang til at konsultere de i artikel 18, stk. 1, omhandlede oplysninger.

Hvor de biometriske oplysninger for personen ikke kan anvendes, eller hvor forespørgslen med de pågældende oplysninger slår fejl, foretages forespørgslen med personens identitetsoplysninger kombineret med oplysningerne i rejsedokumenterne eller med de identitetsoplysninger, som den pågældende person har givet.

4. Hvor en politimyndighed har beføjelse hertil i medfør af nationale lovgivningsmæssige foranstaltninger som omhandlet i stk. 6, kan den i tilfælde af en naturkatastrofe, en ulykke eller et terrorangreb og alene med henblik på at identificere ukendte personer, som er ude af stand til at legitimere sig, eller uidentificerede menneskelige rester foretage en forespørgsel i CIR med de pågældende personers biometriske oplysninger.

5. De medlemsstater, som ønsker at gøre brug af den mulighed, der er fastsat i stk. 2, vedtager nationale lovgivningsmæssige foranstaltninger. Medlemsstaterne tager i denne forbindelse hensyn til behovet for at undgå enhver forskelsbehandling af tredjelandsstatsborgere. Sådanne lovgivningsmæssige foranstaltninger skal specificere de præcise formål med identifikationen blandt de formål, der er omhandlet i artikel 2, stk. 1, litra b) og c). De udpeger de kompetente politimyndigheder og fastsætter procedurer, betingelser og kriterier for en sådan kontrol.

6. De medlemsstater, som ønsker at gøre brug af den mulighed, der er fastsat i stk. 4, vedtager nationale lovgivningsmæssige foranstaltninger til fastsættelse af procedurer, betingelser og kriterier.

Artikel 21

Adgang til det fælles identitetsregister til påvisning af flere identiteter

1. Hvor en forespørgsel i CIR resulterer i et gult link i overensstemmelse med artikel 28, stk. 4, har den myndighed, der er ansvarlig for manuel verifikation af forskellige identiteter i overensstemmelse med artikel 29, og udelukkende med henblik på denne verifikation adgang til de i artikel 18, stk. 1 og 2, omhandlede oplysninger, som er lagret i CIR, og som er knyttet til hinanden af et gult link.

2. Hvor en forespørgsel i CIR resulterer i et rødt link i overensstemmelse med artikel 32, har de i artikel 26, stk. 2, omhandlede myndigheder og udelukkende med henblik på bekæmpelse af identitetssvig adgang til de i artikel 18, stk. 1 og 2, omhandlede oplysninger, som er lagret i CIR, og som er knyttet til hinanden af et rødt link.

Artikel 22

Forespørgsler i det fælles identitetsregister med henblik på at forebygge, afsløre eller efterforske terrorhandlinger eller andre alvorlige strafbare handlinger

1. I særlige tilfælde, hvor der er rimelig grund til at antage, at konsultation af EU-informationssystemerne vil bidrage til forebyggelse, afsløring eller efterforskning af terrorhandlinger eller andre alvorlige strafbare handlinger, navnlig hvor der er mistanke om, at den mistænkte for, gerningsmanden til eller offeret for en terrorhandling eller anden alvorlig kriminel handling er en person, hvis oplysninger er lagret i Eurodac, kan de udpegede myndigheder og Europol konsultere CIR for at indhente oplysninger om, hvorvidt der findes oplysninger om en bestemt person i Eurodac.

2. Hvor CIR som svar på en forespørgsel angiver, at der findes oplysninger om personen i Eurodac, giver CIR udpegede myndigheder og Europol svar i form af en henvisning som omhandlet i artikel 18, stk. 2, til, som angiver, at Eurodac indeholder matchende oplysninger. Alle svar fra CIR udformes således, at datasikkerheden ikke bringes i fare.

Svaret om, at der foreligger oplysninger i Eurodac om den pågældende person, må kun benyttes til at indgive en anmodning om fuld adgang på de betingelser og efter de procedurer, der er fastsat i det retlige instrument om denne form for adgang.

I tilfælde af et eller flere match anmoder den udpegede myndighed eller Europol om fuld adgang til mindst ét af de informationssystemer, hvor der var et match.

Hvor der undtagelsesvis ikke anmodes om en sådan fuld adgang, registrerer de udpegede myndigheder begrundelsen for ikke at indgive anmodningen, hvilket skal kunne spores i den nationale mappe. Europol registrerer begrundelsen i den relevante mappe.

3. Fuld adgang til oplysningerne i ind- og udrejsesystemet, VIS eller ETIAS med henblik på at forebygge, afsløre og efterforske terrorhandlinger eller andre alvorlige strafbare handlinger er fortsat underlagt betingelserne og procedurerne i de respektive retlige instrumenter, der regulerer denne adgang.

Artikel 23

Lagring af oplysninger i det fælles identitetsregister

1. De i artikel 18, stk. 1, 2 og 4, omhandlede oplysninger slettes fra CIR på en automatiseret måde i overensstemmelse med bestemmelserne om opbevaring af oplysninger i forordning (EU) 2019/816.

2. Den individuelle mappe lagres kun i CIR, så længe de tilsvarende oplysninger er lagret i mindst ét af de EU-informationssystemer, hvis oplysninger er indeholdt i CIR. Oprettelse af et link berører ikke lagringsperioden for hvert af elementerne i de sammenkædede oplysninger.

Artikel 24

Føring af logfiler

1. Uden at det berører artikel 29 i forordning (EU) 2019/816, fører eu-LISA logfiler over alle databehandlingsaktiviteter i CIR i overensstemmelse med nærværende artikels stk. 2, 3 og 4.

2. eu-LISA fører logfiler over alle databehandlingsaktiviteter i CIR i henhold til artikel 20. Disse logfiler omfatter følgende: a) medlemsstaten eller EU-agenturet, der har iværksat forespørgslen b) formålet med adgangen for den bruger, der foretager en forespørgsel via CIR c) dato og klokkeslæt for forespørgslen d) typen af oplysninger, der bruges til at iværksætte forespørgslen e) resultaterne af forespørgslen.

3. eu-LISA fører logfiler over alle databehandlingsaktiviteter i CIR i henhold til artikel 21. Disse logfiler omfatter følgende: a) medlemsstaten eller EU-agenturet, der har iværksat forespørgslen b) formålet med adgangen for den bruger, der foretager en forespørgsel via CIR c) dato og klokkeslæt for forespørgslen d) hvor der oprettes et link, de oplysninger, der bruges til at iværksætte forespørgslen, og resultaterne af forespørgslen med angivelse af det EU-informationssystemet, hvorfra oplysningerne blev modtaget.

4. eu-LISA fører logfiler over alle databehandlingsaktiviteter i CIR i henhold til artikel 22. Disse logfiler omfatter følgende: a) dato og klokkeslæt for forespørgslen b) de oplysninger, der bruges til at iværksætte forespørgslen c) resultaterne af forespørgslen d) medlemsstaten eller EU-agenturet, der foretager forespørgslen i CIR.

Logfilerne vedrørende sådan adgang kontrolleres regelmæssigt af den kompetente tilsynsmyndighed, der er udpeget i overensstemmelse med artikel 41 i direktiv (EU) 2016/680 eller af den Europæiske Tilsynsførende for Databeskyttelse i overensstemmelse med artikel 43 i forordning (EU) 2016/794, med intervaller på højst seks måneder, for at kontrollere, at de procedurer og betingelser, der er fastsat i artikel 22, stk. 1 og 2, i nærværende forordning, er opfyldt.

5. Hver medlemsstat fører logfiler over forespørgsler, som foretages i henhold til artikel 20, 21 og 22 af dens myndigheder og disse myndigheders medarbejdere, som er behørigt bemyndiget til at anvende CIR. Hvert EU-agentur fører logfiler over forespørgsler, som foretages af dets behørigt bemyndigede medarbejdere i henhold til artikel 21 og 22.

I forbindelse med enhver adgang til CIR i henhold til artikel 22 fører hver medlemsstat desuden følgende logfiler:

a) henvisningen til den nationale mappe

b) formålet med adgangen

c) i overensstemmelse med nationale regler, den unikke brugeridentitet for den embedsmand, der foretog forespørgslen, og for den embedsmand, der bestilte forespørgslen.

6. I overensstemmelse med forordning (EU) 2016/794 fører Europol for enhver adgang til CIR i henhold til nærværende forordnings artikel 22 logfiler over den unikke brugeridentitet for den embedsmand, der foretog forespørgslen, og den embedsmand, der bestilte forespørgslen.

7. De i stk. 2-6 omhandlede logfiler må kun bruges til overvågning af databeskyttelse, herunder til at kontrollere, hvorvidt en forespørgsel er antagelig, og lovligheden af databehandlingen, og til at garantere datasikkerhed og -integritet. Disse logfiler beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes et år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige til overvågningsprocedurerne.

8. eu-LISA lagrer de logfiler, der er relateret til historikken for de oplysninger, i individuelle mapper. eu-LISA sletter sådanne logfiler på en automatiseret måde, så snart oplysningerne slettes.







KAPITEL V

Multiidentitetsdetektor

Artikel 25

Multiidentitetsdetektor

1. Der oprettes en multiidentitetsdetektor (MID), der opretter og lagrer identitetsbekræftelsesmapper som omhandlet i artikel 34, der indeholder links mellem oplysninger i de EU-informationssystemer, der indgår i CIR og SIS og muliggør påvisning af flere identiteter, med det dobbelte formål at lette identitetskontrol og bekæmpe identitetssvig, med henblik på at støtte CIR's funktioner og målene for ind- og udrejsesystemet, VIS, ETIAS, Eurodac, SIS og ECRIS-TCN.

2. MID består af: a) en central infrastruktur, der lagrer links og henvisninger til EU-informationssystemer b) en sikker kommunikationsinfrastruktur til at forbinde MID med SIS og de centrale infrastrukturer i ESP og CIR.

3. eu-LISA udvikler og står for den tekniske forvaltning af MID.

Artikel 26

Adgang til multiidentitetsdetektoren

1. For så vidt angår den i artikel 29 omhandlede manuelle verifikation af forskellige identiteter gives adgang til de i artikel 34 omhandlede oplysninger, som er lagret i MID, til: a) SIRENE-kontoret i den medlemsstat, der opretter eller ajourfører en indberetning i overensstemmelse med forordning (EU) 2018/1862 b) de centrale myndigheder i den dømmende medlemsstat ved registrering eller ændring af oplysninger i ECRIS-TCN i overensstemmelse med artikel 5 eller 9 i forordning (EU) 2019/816.

2. Medlemsstatsmyndigheder og EU-agenturer, der har adgang til mindst ét EU-informationssystem, der indgår i CIR, eller til SIS, har adgang til de i artikel 34, litra a) og b), omhandlede oplysninger vedrørende eventuelle røde links, der er omhandlet i artikel 32.

3. Medlemsstatsmyndigheder og EU-agenturer har adgang til de i artikel 33, omhandlede hvide links, hvor de har adgang til de to EU-informationssystemer, der indeholder oplysninger, hvorimellem det hvide link blev oprettet.

4. Medlemsstatsmyndigheder og EU-agenturer har adgang til de i artikel 31 omhandlede grønne links, hvor de har adgang til de to EU-informationssystemer, der indeholder oplysninger, hvorimellem det grønne link blev oprettet, og en forespørgsel i disse informationssystemer har vist et match i forhold til de to sæt sammenkædede oplysninger.

Artikel 27

Påvisning af flere identiteter

1. Der iværksættes påvisning af flere identiteter i CIR og SIS, hvor: a) der oprettes en indberetning om en person i SIS i overensstemmelse med kapitel VI-IX i forordning (EU) 2018/1862 b) der oprettes en dataregistrering, eller denne ændres, i ECRIS-TCN-systemet i overensstemmelse med artikel 5 eller 9 i forordning (EU) 2019/816.

2. Hvor oplysninger indeholdt i et i stk. 1 omhandlet EU-informationssystem indeholder biometriske oplysninger, anvender CIR og det centrale SIS den fælles BMS til at udføre påvisningen af flere identiteter. Den fælles BMS sammenholder de biometriske skabeloner fra eventuelle nye biometriske oplysninger med de biometriske skabeloner, der allerede er indeholdt i den fælles BMS, til at verificere, om oplysninger tilhørende den samme person allerede er lagret i CIR eller i det centrale SIS.

3. Ud over den i stk. 2 omhandlede proces anvender CIR og det centrale SIS ESP til at søge efter oplysninger lagret i henholdsvis det centrale SIS og CIR ved hjælp af følgende oplysninger: a) efternavne, fornavne, fødenavne, tidligere anvendte navne og kaldenavne, fødested, fødselsdato, køn og samtlige nationaliteter som omhandlet i artikel 20, stk. 3, i forordning (EU) 2018/1862 b) efternavn, fornavne, fødselsdato, fødested (by og land), nationalitet eller nationaliteter og køn som omhandlet i artikel 5, stk. 1, litra a), i forordning (EU) 2019/816.

4. Ud over den i stk. 2 og 3 omhandlede proces anvender CIR og det centrale SIS ESP til at søge efter oplysninger lagret i henholdsvis det centrale SIS og CIR ved hjælp af rejsedokumentoplysninger.

5. Påvisning af flere identiteter iværksættes kun for at sammenligne oplysninger i ét EU-informationssystem med oplysninger i andre EU-informationssystemer.

Artikel 28

Resultater af påvisningen af flere identiteter

1. Hvor de i artikel 27, stk. 2, 3 og 4, omhandlede forespørgsler ikke giver noget match, fortsætter de i artikel 27, stk. 1, omhandlede procedurer i overensstemmelse med de retlige instrumenter, der regulerer dem.

2. Hvor forespørgslen fastsat i artikel 27, stk. 2, 3 og 4, rapporterer ét eller flere match, opretter CIR og, hvor det er relevant, SIS et link mellem de oplysninger, som er anvendt til at foretage forespørgslen, og de oplysninger, der udløste et match.

Hvor der optræder flere match, oprettes et link mellem alle de oplysninger, der udløste matchet. Hvor der allerede var et link til oplysningerne, udvides det eksisterende link til de oplysninger, der blev anvendt til at foretage forespørgslen.

3. Hvor den i artikel 27, stk. 2, 3 og 4, omhandlede forespørgsel giver et eller flere match, og de tilknyttede mappers identitetsoplysninger er identiske eller ensartede, oprettes et hvidt link i overensstemmelse med artikel 33.

4. Hvor den i artikel 27, stk. 2, 3 og 4, omhandlede forespørgsel giver et eller flere match, og de tilknyttede mappers identitetsoplysninger ikke kan betragtes som værende ensartede, oprettes et gult link i overensstemmelse med artikel 30, og den i artikel 29 omhandlede procedure finder anvendelse.

5. Kommissionen vedtager delegerede retsakter i overensstemmelse med artikel 69 for at fastsætte procedurerne til bestemmelse af, i hvilke tilfælde identitetsoplysninger kan betragtes som værende de samme eller ensartede.

6. Links opbevares i den i artikel 34 omhandlede identitetsbekræftelsesmappe.

7. Kommissionen fastsætter i samarbejde med eu-LISA de tekniske regler for oprettelse af links mellem oplysninger fra forskellige EU-informationssystemer ved hjælp af gennemførelsesretsakter. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 70, stk. 2.

Artikel 29

Manuel verifikation af forskellige identiteter og de ansvarlige myndigheder

1. Uden at det berører stk. 2, er den ansvarlige myndighed for manuel verifikation af forskellige identiteter: a) SIRENE-kontoret i medlemsstaten for match, der forekom i forbindelse med oprettelse eller ajourføring af en SIS-indberetning i overensstemmelse med forordning (EU) 2018/1862 b) de centrale myndigheder i den dømmende medlemsstat for match, der forekom i forbindelse med registrering eller ændring af oplysninger i ECRIS-TCN i overensstemmelse med artikel 5 eller 9 i forordning (EU) 2019/816.

MID angiver, hvilken myndighed der er ansvarlig for den manuelle verifikation af de forskellige identiteter i identitetsbekræftelsesmappen.

2. Den myndighed, der er ansvarlig for den manuelle verifikation af de forskellige identiteter i identitetsbekræftelsesmappen, er SIRENE-kontoret i den medlemsstat, som oprettede den indberetning, hvor et link er etableret til oplysninger i en indberetning: a) om personer, der begæres anholdt med henblik på overgivelse eller udlevering, som omhandlet i artikel 26 i forordning (EU) 2018/1862 b) om savnede eller sårbare personer som omhandlet i artikel 32 i forordning (EU) 2018/1862 c) om personer, der eftersøges med henblik på at yde bistand i forbindelse med retsforfølgning som omhandlet i artikel 34 i forordning (EU) 2018/1862 d) om personer, der er genstand for diskret kontrol, undersøgelseskontrol eller målrettet kontrol som omhandlet i artikel 36 i forordning (EU) 2018/1862.

3. Den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, har adgang til de sammenkædede oplysninger, der er indeholdt i de relevante identitetsbekræftelsesmapper, og til de sammenkædede identitetsoplysninger i CIR, og, hvor det er relevant, i SIS. Den vurderer straks de forskellige identiteter. Når denne vurdering er afsluttet, ajourfører den linket i overensstemmelse med artikel 31, 32 og 33 og føjer det straks til identitetsbekræftelsesmappen.

4. Hvor der oprettes mere end ét link, vurderer den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, hvert link særskilt.

5. Hvor oplysninger, der giver et match, allerede er sammenkædet, tager den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, hensyn til de eksisterende links ved vurderingen af oprettelsen af nye links.

Artikel 30

Gult link

1. Hvor manuel verifikation af forskellige identiteter endnu ikke har fundet sted, klassificeres et link mellem oplysninger fra to eller flere EU-informationssystemer som gult i hvert af de følgende tilfælde: a) de sammenkædede oplysninger har samme biometriske oplysninger, men har ensartede eller forskellige identitetsoplysninger b) de sammenkædede oplysninger har forskellige identitetsoplysninger, men har samme rejsedokumentoplysninger, og mindst ét af EU-informationssystemerne indeholder ikke nogen biometriske oplysninger om den berørte person c) de sammenkædede oplysninger har samme identitetsoplysninger, men har forskellige biometriske oplysninger d) de sammenkædede oplysninger har ensartede eller forskellige identitetsoplysninger og har samme rejsedokumentoplysninger, men har forskellige biometriske oplysninger.

2. Hvor et link er klassificeret som gult i overensstemmelse med stk. 1, finder den i artikel 29 fastsatte procedure anvendelse.

Artikel 31

Grønt link

1. Et link mellem oplysninger fra to eller flere EU-informationssystemer klassificeres som grønt, hvor: a) de sammenkædede oplysninger har forskellige biometriske oplysninger, men har samme identitetsoplysninger, og den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, har konkluderet, at de sammenkædede oplysninger henviser til to forskellige personer b) de sammenkædede oplysninger har forskellige biometriske oplysninger, har ensartede eller forskellige identitetsoplysninger, har samme rejsedokumentoplysninger, og den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, har konkluderet, at de sammenkædede oplysninger henviser til to forskellige personer c) de sammenkædede oplysninger har forskellige identitetsoplysninger, men har samme rejsedokumentoplysninger, mindst ét af EU-informationssystemerne indeholder ikke biometriske oplysninger om den berørte person, og den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, har konkluderet, at de sammenkædede oplysninger henviser til to forskellige personer.

2. Hvor CIR eller SIS forespørges, og hvor der findes et grønt link mellem oplysninger i to eller flere af EU-informationssystemerne, angiver MID, at identitetsoplysningerne for de sammenkædede oplysninger ikke svarer til den samme person.

3. Hvis en medlemsstatsmyndighed har dokumentation, der tyder på, at et grønt link er blevet fejlagtigt registreret i MID, at et grønt link er forældet, eller at oplysninger er blevet behandlet i MID eller EU-informationssystemerne i strid med denne forordning, kontrollerer den de relevante oplysninger, der er lagret i CIR og SIS, og berigtiger eller sletter om nødvendigt straks linket fra MID. Den pågældende medlemsstatsmyndighed informerer straks den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter.

Artikel 32

Rødt link

1. Et link mellem oplysninger fra to eller flere EU-informationssystemer klassificeres som rødt i hvert af de følgende tilfælde: a) de sammenkædede oplysninger har samme biometriske oplysninger, men har ensartede eller forskellige identitetsoplysninger, og den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, har konkluderet, at de sammenkædede oplysninger henviser til den samme person på en uberettiget måde b) de sammenkædede oplysninger har samme, ensartede eller forskellige identitetsoplysninger og samme rejsedokumentoplysninger, men forskellige biometriske oplysninger, og den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, har konkluderet, at de sammenkædede oplysninger henviser til to forskellige personer, hvoraf mindst én benytter det samme rejsedokument på en uberettiget måde c) de sammenkædede oplysninger har samme identitetsoplysninger, men forskellige biometriske oplysninger og forskellige eller ingen rejsedokumentoplysninger, og den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, har konkluderet, at de sammenkædede oplysninger henviser til to forskellige personer på en uberettiget måde d) de sammenkædede oplysninger har forskellige identitetsoplysninger, men har samme rejsedokumentoplysninger, mindst ét af EU-informationssystemerne indeholder ikke biometriske oplysninger om den berørte person, og den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, har konkluderet, at de sammenkædede oplysninger henviser til den samme person på en uberettiget måde.

2. Hvor CIR eller SIS forespørges, og hvor der findes et rødt link mellem oplysninger i to eller flere af EU-informationssystemerne, angiver MID de i artikel 34 omhandlede oplysninger. Opfølgning på et rødt link finder sted i overensstemmelse med EU-retten og national ret med eventuelle retlige konsekvenser for den berørte person kun baseret på de relevante oplysninger om denne person. Der må ikke være retlige konsekvenser for den berørte person udelukkende på grundlag af eksistensen af et rødt link.

3. Hvor der oprettes et rødt link mellem oplysninger fra ind- og udrejsesystemet, VIS, ETIAS, Eurodac eller ECRIS-TCN, ajourføres den individuelle mappe, der er lagret i CIR, i overensstemmelse med artikel 19, stk. 2.

4. Uden at det berører bestemmelserne vedrørende behandling af indberetninger i SIS indeholdt i forordning (EU) 2018/1860, (EU) 2018/1861 og (EU) 2018/1862, og uden at det berører de begrænsninger, der er nødvendige for at beskytte sikkerheden og den offentlige orden, forebygge kriminalitet og sikre, at ingen national undersøgelse bringes i fare, underretter den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, hvor der oprettes et rødt link, den pågældende person om, at der er flere ulovlige identitetsoplysninger, og giver personen det i nærværende forordnings artikel 34, litra c), omhandlede enkelte identifikationsnummer, en henvisning til den myndighed, der er ansvarlig for den manuelle verifikation af de i nærværende forordnings artikel 34, litra d), omhandlede forskellige identiteter, og webadressen på den webportal, der er oprettet i overensstemmelse med nærværende forordnings artikel 49.

5. De i stk. 4 omhandlede oplysninger gives skriftligt i form af en standardformular af den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter. Kommissionen fastlægger indholdet og udseendet af denne formular ved hjælp af gennemførelsesretsakter. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 70, stk. 2.

6. Hvor der oprettes et rødt link, underretter MID de myndigheder, der er ansvarlige for de sammenkædede oplysninger, på en automatiseret måde.

7. Hvis en medlemsstatsmyndighed eller et EU-agentur, der har adgang til CIR eller SIS, har dokumentation, der tyder på, at et rødt link er blevet fejlagtigt registreret i MID, eller at oplysninger er blevet behandlet i MID, CIR eller SIS i strid med denne forordning, kontrollerer denne myndighed eller dette agentur de relevante oplysninger, der er lagret i CIR og SIS, og skal: a) hvor linket vedrører en af de i artikel 29, stk. 2, omhandlede SIS-indberetninger, omgående underrette det relevante SIRENE-kontor i den medlemsstat, der oprettede SIS-indberetningen b) i alle andre tilfælde enten berigtige eller slette linket fra MID omgående.

Hvis et SIRENE-kontor kontaktes i henhold til første afsnits litra a), kontrollerer det den dokumentation, der er fremlagt af medlemsstatsmyndigheden eller af EU-agenturet, og, hvor det er relevant, berigtiger eller sletter omgående linket fra MID.

Den medlemsstatsmyndighed, der modtager dokumentationen, underretter straks den medlemsstatsmyndighed, der er ansvarlig for den manuelle kontrol af forskellige identiteter, om enhver relevant berigtigelse eller sletning af et rød link.

Artikel 33

Hvidt link

1. Et link mellem oplysninger fra to eller flere EU-informationssystemer klassificeres som hvidt i hvert af følgende tilfælde: a) de sammenkædede oplysninger har samme biometriske oplysninger og de samme eller ensartede identitetsoplysninger b) de sammenkædede oplysninger har samme eller ensartede identitetsoplysninger, samme rejsedokumentoplysninger og mindst ét af EU-informationssystemerne har ingen biometriske oplysninger om den pågældende person c) de sammenkædede oplysninger har samme biometriske oplysninger, samme rejsedokumentoplysninger og ensartede identitetsoplysninger d) de sammenkædede oplysninger har samme biometriske oplysninger, men har ensartede eller forskellige identitetsoplysninger, og den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, har konkluderet, at de sammenkædede oplysninger henviser til den samme person på en berettiget måde.

2. Hvor CIR eller SIS forespørges, og hvor der findes et hvidt link mellem oplysninger i to eller flere af EU-informationssystemerne, angiver MID, at identitetsoplysningerne for de sammenkædede oplysninger svarer til den samme person. I svaret fra de forespurgte EU-informationssystemer angives alle de sammenkædede oplysninger for den pågældende person, hvor det er relevant, hvilket giver et match i forhold til de oplysninger, som er sammenkædet af det hvide link, hvis den myndighed, der iværksætter forespørgslen, har adgang til de sammenkædede oplysninger i henhold til EU-retten eller national ret.

3. Hvor der oprettes et hvidt link mellem oplysninger i ind- og udrejsesystemet, VIS, ETIAS, Eurodac eller ECRIS-TCN, ajourføres den individuelle mappe, der er lagret i CIR, i overensstemmelse med artikel 19, stk. 2.

4. Uden at det berører bestemmelserne vedrørende behandling af indberetninger i SIS indeholdt i forordning (EU) 2018/1860, (EU) 2018/1861 og (EU) 2018/1862, og uden at det berører de begrænsninger, der er nødvendige for at beskytte sikkerheden og den offentlige orden, forebygge kriminalitet og sikre, at ingen national efterforskning bringes i fare, underretter den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, hvor der oprettes et hvidt link efter en manuel verifikation af forskellige identiteter, den pågældende person om, at der er ensartede eller forskellige identitetsoplysninger, og giver personen det i nærværende forordnings artikel 34, litra c), omhandlede enkelte identifikationsnummer, en henvisning til den myndighed, der er ansvarlig for den i nærværende forordnings artikel 34, litra d), omhandlede manuelle verifikation af forskellige identiteter og webadressen på den webportal, der er oprettet i overensstemmelse med nærværende forordnings artikel 49.

5. Hvis en medlemsstatsmyndighed har dokumentation, der tyder på, at et hvidt link er blevet fejlagtigt registreret i MID, at et hvidt link er forældet, eller at oplysninger er blevet behandlet i MID eller EU-informationssystemer i strid med denne forordning, kontrollerer den de relevante oplysninger, der er lagret i CIR og SIS, og berigtiger eller sletter om nødvendigt straks linket fra MID. Den pågældende medlemsstatsmyndighed informerer straks den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter.

6. De i stk. 4 omhandlede oplysninger gives skriftligt ved hjælp af en standardformular af den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter. Kommissionen fastlægger indholdet og udseendet af denne formular ved hjælp af gennemførelsesretsakter. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 70, stk. 2.

Artikel 34

Identitetsbekræftelsesmappe

Identitetsbekræftelsesmappen skal indeholde følgende oplysninger:

a) de i artikel 30-33 omhandlede links

b) en henvisning til de EU-informationssystemer, hvor de sammenkædede oplysninger opbevares

c) et enkelt identifikationsnummer, som gør det muligt at hente de sammenkædede oplysninger fra det tilsvarende EU-informationssystem

d) den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter

e) datoen for oprettelse af linket eller for eventuel ajourføring heraf.

Artikel 35

Lagring af oplysninger i multiidentitetsdetektoren

Identitetsbekræftelsesmapperne og oplysningerne deri, herunder links, lagres kun i MID, så længe de sammenkædede oplysninger er lagret i to eller flere EU-informationssystemer. De slettes fra MID på en automatiseret måde.

Artikel 36

Føring af logfiler

1. eu-LISA fører logfiler over alle databehandlingsaktiviteter i MID. Disse logfiler omfatter følgende: a) den medlemsstat, der iværksætter forespørgslen b) formålet med brugerens adgang c) dato og klokkeslæt for forespørgslen d) typen af oplysninger, der anvendes til at foretage forespørgslen e) henvisning til de sammenkædede oplysninger f) historikken for identitetsbekræftelsesmappen.

2. Hver medlemsstat fører logfiler over forespørgsler, som foretages af dens myndigheder og disse myndigheders medarbejdere, som er behørigt bemyndiget til at anvende MID. Hvert EU-agentur fører logfiler over forespørgsler, som foretages af dets behørigt bemyndigede medarbejdere.

3. De i stk. 1 og 2 omhandlede logfiler må kun bruges til overvågning af databeskyttelsen, herunder til at kontrollere, hvorvidt en forespørgsel er antagelig, og lovligheden af databehandlingen, og til at garantere datasikkerhed og -integritet. Disse logfiler beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes et år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige for overvågningsprocedurerne.







KAPITEL VI

Foranstaltninger til støtte for interoperabilitet

Artikel 37

Datakvalitet

1. Uden at det berører medlemsstaternes ansvar for så vidt angår kvaliteten af de oplysninger, der indlæses i systemerne, indfører eu-LISA automatiske mekanismer og procedurer for datakvalitetskontrol af de oplysninger, som er lagret i SIS, Eurodac, ECRIS-TCN, den fælles BMS og CIR.

2. eu-LISA indfører fælles mekanismer til evaluering af nøjagtigheden af den fælles BMS, fælles datakvalitetsindikatorer og minimumskvalitetsstandarder til lagring af oplysninger i SIS, Eurodac, ECRIS-TCN, den fælles BMS og CIR.

Kun oplysninger, der opfylder minimumskvalitetsstandarderne, må indføjes i SIS, Eurodac, ECRIS-TCN, den fælles BMS, CIR og MID.

3. eu-LISA aflægger regelmæssigt rapport om de automatiske mekanismer til og procedurer for datakvalitetskontrol og de fælles datakvalitetsindikatorer til medlemsstaterne. eu-LISA aflægger endvidere regelmæssigt rapport til Kommissionen om eventuelle problemer og de heraf berørte medlemsstater. eu-LISA forelægger på anmodning også denne rapport for Europa-Parlamentet og Rådet. Ingen af rapporterne omfattet af dette stykke indeholder nogen personoplysninger.

4. De nærmere detaljer om de automatiske mekanismer til og procedurer for datakvalitetskontrol, de fælles datakvalitetsindikatorer og minimumskvalitetsstandarderne for lagring af oplysninger i SIS, Eurodac, ECRIS-TCN, den fælles BMS og CIR, navnlig vedrørende biometriske oplysninger, fastsættes i gennemførelsesretsakter. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 70, stk. 2.

5. Et år efter indførelsen af de automatiske mekanismer til og procedurer for datakvalitetskontrol, de fælles datakvalitetsindikatorer og minimumsstandarderne for datakvalitet og hvert år derefter evaluerer Kommissionen medlemsstaternes gennemførelse af datakvalitetskravene og fremsætter alle nødvendige henstillinger. Medlemsstaterne forelægger Kommissionen en handlingsplan for at afhjælpe de mangler, der er konstateret i evalueringsrapporten, og navnlig problemer med datakvalitet hidrørende fra fejlbehæftede oplysninger i EU-informationssystemer. Medlemsstaterne aflægger regelmæssigt rapport til Kommissionen om eventuelle fremskridt i forhold til denne handlingsplan, indtil den er fuldt gennemført.

Kommissionen sender evalueringsrapporten til Europa-Parlamentet, Rådet, Den Europæiske Tilsynsførende for Databeskyttelse, Det Europæiske Databeskyttelsesråd og Den Europæiske Unions Agentur for Grundlæggende Rettigheder, oprettet ved Rådets forordning (EF) nr. 168/2007 ( 10 ).

Artikel 38

Universelt meddelelsesformat

1. Der indføres hermed en standard for det universelle meddelelsesformat (UMF). Med UMF fastsættes standarder for visse indholdselementer af den grænseoverskridende informationsudveksling mellem informationssystemer, myndigheder og organisationer inden for retlige og indre anliggender.

2. UMF-standarden anvendes i forbindelse med udviklingen af Eurodac, ECRIS-TCN, ESP, CIR, MID og, hvis det er hensigtsmæssigt, i forbindelse med eu-LISA's eller et andet EU-agenturs udvikling af nye modeller til informationsudveksling og EU-informationssystemer inden for retlige og indre anliggender.

3. Kommissionen vedtager en gennemførelsesretsakt til fastlæggelse og udvikling af den i denne artikels stk. 1 omhandlede UMF-standard. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 70, stk. 2.

Artikel 39

Centralt register for rapportering og statistik

1. Der oprettes et centralt register for rapportering og statistik (CRRS) med henblik på at støtte målene for SIS, Eurodac og ECRIS-TCN i overensstemmelse med de respektive retlige instrumenter, der regulerer disse systemer, og til at tilvejebringe statistiske oplysninger og analytisk rapportering på tværs af systemerne til politiske, operationelle og datakvalitetsmæssige formål.

2. eu-LISA opretter, gennemfører og hoster CRRS på sine tekniske anlæg, indeholdende de oplysninger og statistikker, der er omhandlet i artikel 74 i forordning (EU) 2018/1862 og artikel 32 i forordning (EU) 2019/816, der holdes logisk adskilt efter EU-informationssystem. Der gives adgang til CRRS via en kontrolleret og sikret adgang og særlige brugerprofiler, udelukkende med henblik på rapportering og statistikker, til de myndigheder, der er omhandlet i artikel 74 i forordning (EU) 2018/1862 og artikel 32 i forordning (EU) 2019/816.

3. eu-LISA anonymiserer oplysningerne og registrerer disse anonymiserede oplysninger i CRRS. Processen for anonymiseringen af oplysningerne skal være automatiseret.

Oplysningerne i CRRS må ikke give mulighed for identifikation af enkeltpersoner.

4. CRRS består af: a) de nødvendige værktøjer til anonymisering af oplysninger b) en central infrastruktur bestående af et dataregister med anonymiserede oplysninger c) en sikker kommunikationsinfrastruktur, der forbinder CRRS til SIS, Eurodac og ECRIS-TCN samt de centrale infrastrukturer i den fælles BMS, CIR og MID.

5. Kommissionen vedtager ved hjælp af en delegeret retsakt, der vedtages efter proceduren i artikel 69, de nærmere regler for driften af CRRS, herunder specifikke sikkerhedsforanstaltninger for behandlingen af personoplysninger i henhold til nærværende artikels stk. 2 og 3 og de sikkerhedsregler, der gælder for registret.







KAPITEL VII

Databeskyttelse

Artikel 40

Dataansvarlig

1. For så vidt angår behandlingen af oplysninger i den fælles BMS, er de medlemsstatsmyndigheder, der er dataansvarlige for henholdsvis Eurodac, SIS og ECRIS-TCN, dataansvarlige i overensstemmelse med artikel 4, nr. 7), i forordning (EU) 2016/679 eller artikel 3, nr. 8), i direktiv (EU) 2016/680 for de biometriske skabeloner fra de i nærværende forordnings artikel 13 omhandlede oplysninger, som de indlæser i de underliggende systemer, og de er ansvarlige for behandlingen af de biometriske skabeloner i den fælles BMS.

2. For så vidt angår behandling af oplysninger i CIR er de medlemsstatsmyndigheder, der er dataansvarlige for henholdsvis Eurodac og ECRIS-TCN, dataansvarlige i overensstemmelse med artikel 4, nr. 7), i forordning (EU) 2016/679 eller artikel 3, nr. 8), i direktiv (EU) 2016/680 for de i nærværende forordnings artikel 18 omhandlede oplysninger, som de indlæser i de underliggende systemer, og de er ansvarlige for behandlingen af de pågældende personoplysninger i CIR.

3. For så vidt angår behandling af oplysninger i MID: a) er Det Europæiske Agentur for Grænse- og Kystbevogtning dataansvarlig som defineret i artikel 3, nr. 8), i forordning (EU) 2018/1725 for den behandling af personoplysninger, der foretages af den centrale ETIAS-enhed b) er de medlemsstatsmyndigheder, der tilføjer eller ændrer oplysninger i identitetsbekræftelsesmappen, dataansvarlige i henhold til artikel 4, nr. 7), i forordning (EU) 2016/679 eller artikel 3, nr. 8), i direktiv (EU) 2016/680, og de er ansvarlige for behandlingen af personoplysninger i MID.

4. Med henblik på overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandlingen, har de dataansvarlige adgang til de logfiler, der er omhandlet i artikel 10, 16, 24 og 36, til egenkontrol som omhandlet i artikel 44.

Artikel 41

Databehandler

For så vidt angår behandlingen af personoplysninger i den fælles BMS, CIR og MID, er eu-LISA databehandler som defineret i artikel 3, nr. 12), litra a), i forordning (EU) 2018/1725.

Artikel 42

Behandlingssikkerhed

1. eu-LISA, den centrale ETIAS-enhed, Europol og medlemsstatsmyndighederne sørger for sikkerheden i forbindelse med den behandling af personoplysninger, der finder sted i henhold til denne forordning. eu-LISA, den centrale ETIAS-enhed, Europol og medlemsstatsmyndighederne samarbejder om sikkerhedsrelaterede opgaver.

2. Uden at det berører artikel 33 i forordning (EU) 2018/1725, træffer eu-LISA de nødvendige foranstaltninger for at garantere sikkerheden for interoperabilitetskomponenterne og deres tilhørende kommunikationsinfrastruktur.

3. Navnlig træffer eu-LISA de nødvendige foranstaltninger, herunder en sikkerhedsplan, en forretningskontinuitetsplan og en katastrofeberedskabsplan, med henblik på at: a) beskytte oplysninger fysisk, herunder ved at udarbejde beredskabsplaner for beskyttelse af kritisk infrastruktur b) forhindre uautoriserede personers adgang til databehandlingsudstyr og -installationer c) forhindre uautoriseret læsning, kopiering, ændring og fjernelse af datamedier d) forhindre uautoriseret indlæsning af oplysninger samt uautoriseret læsning, ændring og sletning af registrerede personoplysninger e) forhindre uautoriseret behandling af oplysninger samt uautoriseret kopiering, ændring eller sletning af oplysninger f) forhindre uautoriserede personers brug af automatiserede databehandlingssystemer ved anvendelse af datakommunikationsudstyr g) sikre, at personer bemyndiget til at få adgang til interoperabilitetskomponenterne kun får adgang til de oplysninger, der er omfattet af deres adgangstilladelse, ved hjælp udelukkende af individuelle brugeridentiteter og fortrolige adgangsmetoder h) sikre, at det er muligt at kontrollere og fastslå, til hvilke organer personoplysninger må videregives via datatransmissionsudstyr i) sikre, at det er muligt at kontrollere og fastslå, hvilke oplysninger der er blevet behandlet i interoperabilitetskomponenterne, hvornår, af hvem og til hvilket formål j) forhindre uautoriseret læsning, kopiering, ændring og sletning af personoplysninger under overførsel af personoplysninger til eller fra interoperabilitetskomponenterne eller under transport af datamedier, navnlig ved hjælp af passende krypteringsteknikker k) sikre, at de installerede systemer i tilfælde af afbrydelse kan genetableres til normal drift l) sikre pålidelighed ved at sørge for, at eventuelle funktionsfejl i interoperabilitetskomponenterne indberettes behørigt m) overvåge effektiviteten af de i dette stykke omhandlede sikkerhedsforanstaltninger og træffe de nødvendige organisatoriske foranstaltninger vedrørende intern overvågning for at sikre overholdelsen af denne forordning og for at vurdere disse sikkerhedsforanstaltninger i lyset af ny teknologiske udvikling.

4. Medlemsstaterne, Europol og den centrale ETIAS-enhed træffer foranstaltninger svarende til dem, der er omhandlet i stk. 3, for så vidt angår sikkerhed, for den behandling af personoplysninger, der udføres af myndigheder med adgangsret til en hvilken som helst af interoperabilitetskomponenterne.

Artikel 43

Sikkerhedshændelser

1. Enhver hændelse, der har eller kan have indvirkning på interoperabilitetskomponenternes sikkerhed eller og kan forårsage skade på eller tab af oplysninger, som er lagret deri, anses for at være en sikkerhedshændelse, navnlig hvor der er sket uautoriseret adgang til oplysninger, eller hvor tilgængeligheden, integriteten og fortroligheden af oplysninger er eller kan være blevet bragt i fare.

2. Sikkerhedshændelser håndteres således, at en hurtig, effektiv og passende reaktion sikres.

3. Uden at det berører anmeldelsen og kommunikationen af et brud på persondatasikkerheden i henhold til artikel 33 i forordning (EU) 2016/679, artikel 30 i direktiv (EU) 2016/680 eller begge, underretter medlemsstaterne straks Kommissionen, eu-LISA, de kompetente tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse om enhver sikkerhedshændelse.

Uden at det berører artikel 34 og 35 i forordning (EU) 2018/1725 og artikel 34 i forordning (EU) 2016/794, underretter den centrale ETIAS-enhed og Europol straks Kommissionen, eu-LISA og Den Europæiske Tilsynsførende for Databeskyttelse om enhver sikkerhedshændelse.

I tilfælde af en sikkerhedshændelse, der vedrører interoperabilitetskomponenternes centrale infrastruktur, underretter eu-LISA straks Kommissionen og Den Europæiske Tilsynsførende for Databeskyttelse.

4. Der gives straks oplysninger om en sikkerhedshændelse, der har eller kan have indvirkning på interoperabilitetskomponenternes drift eller på tilgængeligheden, integriteten og fortroligheden af oplysningerne, til medlemsstaterne, den centrale ETIAS-enhed og Europol, og der rapporteres herom i overensstemmelse med den hændelsesstyringsplan, som eu-LISA skal udforme.

5. De berørte medlemsstater, den centrale ETIAS-enhed, Europol og eu-LISA samarbejder i tilfælde af en sikkerhedshændelse. Kommissionen fastsætter retningslinjer for dette samarbejde ved hjælp af gennemførelsesretsakter. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 70, stk. 2.

Artikel 44

Egenkontrol

Medlemsstaterne og de relevante EU-agenturer sikrer, at enhver myndighed, der har ret til adgang til interoperabilitetskomponenterne, træffer de foranstaltninger, der er nødvendige for at sikre overholdelsen af denne forordning, og i nødvendigt omfang samarbejder med den nationale tilsynsmyndighed.

De i artikel 40 omhandlede dataansvarlige træffer de nødvendige foranstaltninger for at overvåge, at databehandlingen sker i henhold til denne forordning, herunder ved hyppig kontrol af de i artikel 10, 16, 24 og 36 omhandlede logfiler, og samarbejder, hvor det er nødvendigt, med tilsynsmyndighederne og med Den Europæiske Tilsynsførende for Databeskyttelse.

Artikel 45

Sanktioner

Medlemsstaterne sikrer, at enhver form for misbrug af oplysninger, databehandling eller udveksling af oplysninger i strid med denne forordning er strafbar i overensstemmelse med national ret. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.

Artikel 46

Erstatningsansvar

1. Uden at det berører retten til erstatning fra den dataansvarlige eller databehandleren og dennes erstatningsansvar i henhold til forordning (EU) 2016/679, direktiv (EU) 2016/680 og forordning (EU) 2018/1725: a) har enhver person eller medlemsstat, der har lidt materiel eller immateriel skade som følge af en ulovlig behandling af personoplysninger eller enhver anden handling fra en medlemsstats side, der er i strid med denne forordning, ret til erstatning fra den pågældende medlemsstat b) har enhver person eller medlemsstat, der har lidt materiel eller immateriel skade som følge af en handling fra Europols, Det Europæiske Agentur for Grænse- og Kystbevogtnings eller eu-LISA's side, der er i strid med denne forordning, ret til erstatning fra det pågældende agentur.

Den berørte medlemsstat, Europol, Det Europæiske Agentur for Grænse- og Kystbevogtning eller eu-LISA fritages helt eller delvist for deres erstatningsansvar i medfør af første afsnit, hvis de beviser, at de ikke er skyld i den begivenhed, der forårsagede skaden.

2. Hvis en medlemsstats manglende overholdelse af sine forpligtelser i henhold til denne forordning forårsager skade på interoperabilitetskomponenterne, holdes den pågældende medlemsstat ansvarlig for sådan skade, medmindre og i det omfang eu-LISA eller en anden medlemsstat, der er retligt forpligtet af denne forordning, undlod at træffe rimelige foranstaltninger til at forhindre skaden i at ske eller til at begrænse dens omfang.

3. Erstatningskrav mod en medlemsstat for den i stk. 1 og 2 omhandlede skade behandles efter den sagsøgte medlemsstats nationale ret. Erstatningskrav mod den dataansvarlige eller eu-LISA for den i stk. 1 og 2 omhandlede skade er underlagt de betingelser, der er fastsat i traktaterne.

Artikel 47

Ret til oplysninger

1. Den myndighed, der indsamler personoplysninger, der skal lagres i den fælles BMS, CIR eller MID, giver de personer, hvis oplysninger indsamles, de oplysninger, der er påkrævet i henhold til artikel 13 og 14 i forordning (EU) 2016/679, artikel 12 og 13 i direktiv (EU) 2016/680 og artikel 15 og 16 i forordning (EU) 2018/1725. Myndigheden giver oplysningerne på det tidspunkt, hvor sådanne oplysninger indsamles.

2. Alle oplysninger stilles til rådighed ved anvendelse af et klart og enkelt sprog i en sprogudgave, som den berørte person forstår eller med rimelighed kan forventes at forstå. Dette indebærer, at oplysningerne gives på en alderssvarende måde til registrerede, der er mindreårige.

3. Reglerne om retten til oplysninger i gældende EU-databeskyttelsesregler finder anvendelse på de personoplysninger, der er registreret i ECRIS-TCN og behandles med henblik på denne forordning.

Artikel 48

Ret til indsigt i og berigtigelse og sletning af personoplysninger lagret i MID samt til begrænsning af behandlingen heraf

1. For at kunne udøve sin ret i henhold til artikel 15-18 i forordning (EU) 2016/679, artikel 17-20 i forordning (EU) 2018/1725 og artikel 14, 15 og 16 i direktiv (EU) 2016/80 har enhver person ret til at henvende sig til den kompetente myndighed i en hvilken som helst medlemsstat, som skal undersøge og besvare anmodningen.

2. Den medlemsstat, der behandler en sådan anmodning, svarer uden unødigt ophold og under alle omstændigheder inden for 45 dage efter modtagelsen heraf. Denne periode kan om nødvendigt forlænges med yderligere 15 dage under hensyntagen til anmodningernes kompleksitet og antal. Den medlemsstat, der behandler anmodningen, underretter den registrerede om enhver sådan forlængelse inden for 45 dage efter modtagelsen af anmodningen og angiver begrundelsen for forsinkelsen. Medlemsstaterne kan beslutte, at svarene skal gives af centrale kontorer.

3. Hvis en anmodning om berigtigelse eller sletning af personoplysninger indgives til en anden medlemsstat end den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, kontakter den medlemsstat, som anmodningen er indgivet til, myndighederne i den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, inden for syv dage. Den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, kontrollerer oplysningernes nøjagtighed og lovligheden af databehandlingen uden unødigt ophold og under alle omstændigheder inden for 30 dage efter en sådan kontakt. Denne periode kan om nødvendigt forlænges med yderligere 15 dage under hensyntagen til anmodningernes kompleksitet og antal. Den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, underretter den medlemsstat, der har kontaktet den, om enhver sådan forlængelse sammen med begrundelsen for forsinkelsen. Den berørte person underrettes af den medlemsstat, der har kontaktet myndigheden i den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, om den videre procedure.

4. Hvis en anmodning om berigtigelse eller sletning af personoplysninger indgives til en medlemsstat, hvor den centrale ETIAS-enhed var ansvarlig for den manuelle verifikation af forskellige identiteter, kontakter den medlemsstat, som anmodningen er indgivet til, den centrale ETIAS-enhed inden for syv dage for at anmode den om at afgive udtalelse hurtigst muligt. Den centrale ETIAS-enhed afgiver udtalelse uden unødigt ophold og under alle omstændigheder inden for 30 dage efter at være blevet kontaktet. Denne periode kan om nødvendigt forlænges med yderligere 15 dage under hensyntagen til anmodningernes kompleksitet og antal. Den berørte person underrettes af den medlemsstat, der kontaktede den centrale ETIAS-enhed, om den videre procedure.

5. Hvor det efter en undersøgelse konstateres, at de oplysninger, der er lagret i MID, er ukorrekte eller er blevet registreret ulovligt, berigtiger eller sletter den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, eller, hvor der ikke er en medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, eller hvor den centrale ETIAS-enhed er ansvarlig for den manuelle verifikation af forskellige identiteter, den medlemsstat, som anmodningen er indgivet til, disse oplysninger uden unødigt ophold. Den berørte person underrettes skriftligt om, at vedkommendes oplysninger er blevet berigtiget eller slettet.

6. Hvor oplysninger lagret i MID ændres af en medlemsstat i løbet af deres lagringsperiode, gennemfører denne medlemsstat behandlingen fastsat i artikel 27 og, hvor det er relevant, artikel 29 for at fastslå, om de ændrede oplysninger skal sammenkædes. Hvor behandlingen ikke resulterer i et match, sletter denne medlemsstat oplysningerne i identitetsbekræftelsesmappen. Hvor den automatiserede behandling resulterer i et eller flere match, opretter eller ajourfører denne medlemsstat det relevante link i overensstemmelse med de relevante bestemmelser i denne forordning.

7. Hvor den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, eller i givet fald den medlemsstat, som anmodningen er indgivet til, ikke er enig i, at de oplysninger, som er lagret i MID, er ukorrekte eller er blevet registreret ulovligt, træffer denne medlemsstat en administrativ afgørelse, der straks forklarer den berørte person i skrift, hvorfor den ikke er villig til at berigtige eller slette oplysningerne om vedkommende.

8. Den i stk. 7 omhandlede afgørelse giver også den berørte person oplysninger om muligheden for at anfægte den afgørelse, der er truffet vedrørende anmodningen om indsigt i, berigtigelse af, sletning af eller begrænsning af behandlingen af personoplysninger, og hvor det er relevant, oplysninger om, hvordan der kan indgives et søgsmål eller en klage til de kompetente myndigheder eller til domstolene, samt om eventuel bistand hertil, herunder fra tilsynsmyndighederne.

9. Enhver anmodning om indsigt i, berigtigelse af, sletning af eller begrænsning af behandlingen af personoplysninger skal indeholde de oplysninger, der er nødvendige for at identificere den berørte person. Disse oplysninger må udelukkende anvendes til at muliggøre udøvelsen af de i denne artikel omhandlede rettigheder og slettes umiddelbart efter.

10. Den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, eller i givet fald den medlemsstat, som anmodningen er indgivet til, registrerer skriftligt, at der er indgivet en anmodning om indsigt i, berigtigelse af, sletning af eller begrænsning af behandlingen af personoplysninger, samt hvordan den blev håndteret, og stiller straks registreringen til rådighed for tilsynsmyndighederne.

11. Denne artikel berører ikke begrænsninger og restriktioner af de i denne artikel fastsatte rettigheder i medfør af forordning (EU) 2016/679 og direktiv (EU) 2016/680.

Artikel 49

Webportal

1. Der oprettes en webportal med det formål at lette udøvelsen af retten til adgang til, berigtigelse af, sletning af og begrænsning af behandlingen af personoplysninger.

2. Webportalen indeholder oplysninger om de i artikel 47 og 48 omhandlede rettigheder og procedurer og en brugergrænseflade, der gør det muligt for personer, hvis oplysninger behandles i MID, og som er blevet underrettet om tilstedeværelsen af et rødt link i overensstemmelse med artikel 32, stk. 4, at modtage kontaktoplysninger på den kompetente myndighed i den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter.

3. For at få kontaktoplysninger på den kompetente myndighed i den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, bør den person, hvis oplysninger behandles i MID, indtaste henvisningen til den i artikel 34, litra d), omhandlede myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter. Webportalen anvender denne henvisning til at hente kontaktoplysningerne på den kompetente myndighed i den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter. Webportalen skal også indeholde en e-mail-skabelon for at lette kommunikation mellem brugeren af portalen og den kompetente myndighed i den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter. En sådan e-mail skal indeholde et felt til det i artikel 34, litra c), omhandlede enkelte identifikationsnummer for at give den kompetente myndighed i den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, mulighed for at finde frem til de berørte oplysninger.

4. Medlemsstaterne giver eu-LISA kontaktoplysninger på alle de myndigheder, der er kompetente til at behandle og besvare enhver i artikel 47 og 48 omhandlet anmodning, og kontrollerer regelmæssigt, om disse kontaktoplysninger er ajourført.

5. eu-LISA udvikler webportalen og sørger for dens tekniske forvaltning.

6. Kommissionen vedtager en delegeret retsakt i overensstemmelse med artikel 69 for at fastsætte detaljerede bestemmelser om driften af webportalen, herunder brugergrænsefladen, de sprog, som webportalen skal være tilgængelig på, og e-mail-skabelonen.

Artikel 50

Videregivelse af personoplysninger til tredjelande, internationale organisationer og private enheder

Uden at det berører artikel 31 i forordning (EF) nr. 767/2008, artikel 25 og 26 i forordning (EU) 2016/794, artikel 41 i forordning (EU) 2017/2226, artikel 65 i forordning (EU) 2018/1240 og forespørgslerne i INTERPOL-databaserne via ESP i overensstemmelse med nærværende forordnings artikel 9, stk. 5, som overholder bestemmelserne i kapitel V i forordning (EU) 2018/1725 og kapitel V i forordning (EU) 2016/679 må personoplysninger, der er lagret i, behandles af eller tilgås af interoperabilitetskomponenterne, ikke overføres til eller stilles til rådighed for noget tredjeland, nogen international organisation eller nogen privat part.

Artikel 51

Tilsynsmyndighedernes tilsyn

1. Hver medlemsstat sikrer, at tilsynsmyndighederne uafhængigt overvåger lovligheden af den pågældende medlemsstats behandling af personoplysninger i henhold til denne forordning, herunder overførsel af dem til og fra interoperabilitetskomponenterne.

2. Hver medlemsstat sikrer, at de nationale love og administrative bestemmelser, der er vedtaget i henhold til direktiv (EU) 2016/680, også finder anvendelse på politimyndighedernes og de udpegede myndigheders adgang til interoperabilitetskomponenterne, hvor det er relevant, herunder hvad angår rettighederne for de personer, hvis oplysninger der således gives adgang til.

3. Tilsynsmyndighederne sikrer, at der mindst hvert fjerde år foretages en revision af de ansvarlige nationale myndigheders behandling af personoplysninger i forbindelse med denne forordning i overensstemmelse med relevante internationale revisionsstandarder.

Tilsynsmyndighederne offentliggør årligt antallet af anmodninger om berigtigelse, sletning eller begrænsning af behandlingen af personoplysninger, de foranstaltninger, der efterfølgende er truffet, samt antallet af berigtigelser, sletninger og begrænsninger af behandlingen, der er foretaget som følge af anmodninger fra de berørte personer.

4. Medlemsstaterne sikrer, at deres tilsynsmyndigheder har tilstrækkelige ressourcer og ekspertise til at udføre de opgaver, som er tillagt dem i henhold til denne forordning.

5. Medlemsstaterne giver alle de oplysninger, som den tilsynsmyndighed, der er omhandlet i artikel 51, stk. 1, i forordning (EU) 2016/679, anmoder om, herunder navnlig oplysninger om de aktiviteter, der gennemføres i overensstemmelse med deres ansvar i henhold til nærværende forordning. Medlemsstaterne giver de tilsynsmyndigheder, der er omhandlet i artikel 51, stk. 1, i forordning (EU) 2016/679, adgang til deres i nærværende forordnings artikel 10, 16, 24 og 36 omhandlede logfiler og til deres i nærværende forordnings artikel 22, stk. 2, omhandlede begrundelser, og giver dem til enhver tid adgang til alle deres lokaler, som anvendes til interoperabilitetsformål.

Artikel 52

Revision ved Den Europæiske Tilsynsførende for Databeskyttelse

Den Europæiske Tilsynsførende for Databeskyttelse sikrer, at der mindst hvert fjerde år foretages en revision af eu-LISA's, den centrale ETIAS-enheds og Europols aktiviteter til behandling af personoplysninger i forbindelse med denne forordning i overensstemmelse med relevante internationale revisionsstandarder. Europa-Parlamentet, Rådet, eu-LISA, Kommissionen, medlemsstaterne og det berørte EU-agentur tilsendes en rapport om denne revision. eu-LISA, den centrale ETIAS-enhed og Europol har lejlighed til at fremsætte bemærkninger, inden rapporterne vedtages.

eu-LISA, den centrale ETIAS-enhed og Europol udleverer de oplysninger, som Den Europæiske Tilsynsførende for Databeskyttelse anmoder om, giver Den Europæiske Tilsynsførende for Databeskyttelse adgang til alle de dokumenter, denne anmoder om, og til deres i artikel 10, 16, 24 og 36 omhandlede logfiler og giver til enhver tid Den Europæiske Tilsynsførende for Databeskyttelse adgang til alle deres lokaler.

Artikel 53

Samarbejde mellem tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse

1. Tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse, der hver især handler inden for deres respektive beføjelser, samarbejder aktivt inden for rammerne af deres respektive ansvarsområder og sikrer samordnet tilsyn med anvendelsen af interoperabilitetskomponenterne og af de øvrige bestemmelser i denne forordning, navnlig hvis Den Europæiske Tilsynsførende for Databeskyttelse eller en tilsynsmyndighed finder store forskelle mellem medlemsstaternes praksis eller potentielt ulovlige overførsler ved hjælp af kommunikationskanalerne for interoperabilitetskomponenterne.

2. I de i denne artikels stk. 1 omhandlede tilfælde sikres det koordinerede tilsyn som fastsat i artikel 62 i forordning (EU) 2018/1725.

3. Det Europæiske Databeskyttelsesråd sender en fælles rapport om dets aktiviteter i henhold til denne artikel til Europa-Parlamentet, Rådet, Kommissionen, Europol, Det Europæiske Agentur for Grænse- og Kystbevogtning og eu-LISA senest den 12. juni 2021 og derefter hvert andet år. Rapporten indeholder et kapitel om hver medlemsstat, som udarbejdes af den pågældende medlemsstats tilsynsmyndighed.







KAPITEL VIII

Ansvarsområder

Artikel 54

eu-LISA's ansvarsområder under udformnings- og udviklingsfasen

1. eu-LISA sikrer, at de centrale infrastrukturer i interoperabilitetskomponenterne drives i henhold til denne forordning.

2. Interoperabilitetskomponenterne hostes af eu-LISA på dettes tekniske anlæg og leverer de funktionaliteter, der er fastsat i denne forordning, i overensstemmelse med de i artikel 55, stk. 1, omhandlede betingelser for sikkerhed, tilgængelighed, kvalitet og funktionsdygtighed.

3. eu-LISA er ansvarligt for udviklingen af interoperabilitetskomponenterne, for eventuelle tilpasninger, der kræves for at skabe interoperabilitet mellem de centrale systemer i ind- og udrejsesystemet, VIS, ETIAS, SIS, Eurodac, ECRIS-TCN og ESP, den fælles BMS, CIR, MID og CRRS.

eu-LISA har ikke adgang til nogen af de personoplysninger, der behandles gennem ESP, den fælles BMS, CIR og MID, jf. dog artikel 62.

eu-LISA fastlægger udformningen af interoperabilitetskomponenternes fysiske arkitektur, herunder deres kommunikationsinfrastruktur og de tekniske specifikationer og deres udvikling, hvad angår den centrale infrastruktur og den sikre kommunikationsinfrastruktur, der vedtages af bestyrelsen, med forbehold af en gunstig udtalelse fra Kommissionen. eu-LISA gennemfører også de nødvendige tilpasninger af SIS, Eurodac og ECRIS-TCN som følge af etableringen af interoperabilitet og som fastsat i denne forordning.

eu-LISA udvikler og implementerer interoperabilitetskomponenterne så snart som muligt efter ikrafttrædelsen af denne forordning og Kommissionens vedtagelse af de foranstaltninger, der er fastsat i artikel 8, stk. 2, artikel 9, stk. 7, artikel 28, stk. 5 og 7, artikel 37, stk. 4, artikel 38, stk. 3, artikel 39, stk. 5, artikel 43, stk. 5, og artikel 74, stk. 10.

Udviklingsarbejdet omfatter udarbejdelse og gennemførelse af de tekniske specifikationer, afprøvning og overordnet projektstyring og -koordinering.

4. Under udformnings- og udviklingsfasen nedsættes et programstyringsråd bestående af højst 10 medlemmer. Udvalget består af syv medlemmer udpeget af eu-LISA's bestyrelse blandt dets medlemmer eller suppleanter, formanden for den i artikel 71 omhandlede rådgivende gruppe for interoperabilitet, et medlem, der repræsenterer eu-LISA, udpeget af dets administrerende direktør, og et medlem udpeget af Kommissionen. De medlemmer, der udpeges af eu-LISA's bestyrelse, vælges alene fra de medlemsstater, der i henhold til EU-retten er fuldt ud bundet af de retlige instrumenter om udvikling, oprettelse, drift og brug af alle EU-informationssystemerne, og som deltager i interoperabilitetskomponenterne.

5. Programstyringsrådet mødes regelmæssigt og mindst tre gange pr. kvartal. Det sikrer en hensigtsmæssig styring af interoperabilitetskomponenternes udformnings- og udviklingsfase.

Programstyringsrådet indgiver hver måned skriftlige rapporter til eu-LISA's bestyrelse om projektets fremskridt. Programstyringsrådet har ingen beslutningskompetence eller noget mandat til at repræsentere medlemmerne af eu-LISA's bestyrelse.

6. eu-LISA's bestyrelse fastsætter programstyringsrådets forretningsorden, som navnlig indeholder regler om: a) formandskab b) mødesteder c) forberedelse af møder d) eksperters adgang til møderne e) kommunikationsplaner, der sikrer, at fraværende medlemmer af bestyrelsen er fuldt ud informeret.

Formandskabet varetages af en medlemsstat, der i henhold til EU-retten er fuldt ud bundet af de retlige instrumenter om udvikling, oprettelse, drift og brug af alle EU-informationssystemerne og som deltager i interoperabilitetskomponenterne.

Alle rejse- og opholdsudgifter afholdt af medlemmerne af programstyringsrådet betales af eu-LISA, og artikel 10 i eu-LISA's forretningsorden finder tilsvarende anvendelse. eu-LISA forestår programstyringsrådets sekretariat.

Den i artikel 71 omhandlede rådgivende gruppe for interoperabilitet mødes regelmæssigt, indtil interoperabilitetskomponenterne idriftsættes. Det aflægger efter hvert møde rapport til programstyringsrådet. Det yder teknisk ekspertise til støtte for programstyringsrådets opgaver og følger op på, hvor langt medlemsstaterne er nået med deres forberedelser.

Artikel 55

eu-LISA's forpligtelser efter idriftsættelsen

1. Efter idriftsættelsen af hver interoperabilitetskomponent er eu-LISA ansvarligt for den tekniske forvaltning af interoperabilitetskomponenternes centrale infrastruktur, herunder deres vedligeholdelse og teknologiske udviklinger. I samarbejde med medlemsstaterne sikrer det, at den bedste disponible teknologi anvendes på grundlag af en cost-benefit-analyse. eu-LISA er også ansvarligt for den tekniske forvaltning og sikring af den i artikel 6, 12, 17, 25 og 39 omhandlede kommunikationsinfrastruktur.

Den tekniske forvaltning af interoperabilitetskomponenterne omfatter alle de opgaver og tekniske løsninger, der er nødvendige for, at interoperabilitetskomponenterne kan fungere og levere uafbrudte tjenester til medlemsstaterne og EU-agenturerne døgnet rundt alle ugens syv dage i henhold til denne forordning. Det omfatter den vedligeholdelse og tekniske udvikling, der er nødvendig for at sikre, at komponenterne fungerer på et tilfredsstillende niveau i forhold til den tekniske kvalitet, særligt hvad angår den tid, der kræves til søgninger i de centrale infrastrukturer i overensstemmelse med de tekniske specifikationer.

Alle interoperabilitetskomponenter udvikles og forvaltes på en sådan måde, at der sikres hurtig, problemfri, effektiv og kontrolleret adgang og fuldstændig, uafbrudt tilgængelighed til komponenterne og de oplysninger, der er lagret i MID, den fælles BMS og CIR, samt at svartiden er i overensstemmelse med de operationelle behov hos medlemsstatsmyndighederne og EU-agenturerne.

2. Uden at det berører artikel 17 i vedtægten for tjenestemænd i Den Europæiske Union, anvender eu-LISA passende regler for tavshedspligt eller tilsvarende fortrolighedskrav i forbindelse med sine medarbejdere, der skal arbejde med oplysninger lagret i interoperabilitetskomponenterne. Denne forpligtelse består fortsat, efter at sådanne medarbejdere er fratrådt deres stilling, eller deres virksomhed er ophørt.

eu-LISA har ikke adgang til nogen af de personoplysninger, der behandles gennem ESP, den fælles BMS, CIR og MID, jf. dog artikel 62.

3. eu-LISA udvikler og vedligeholder en mekanisme til og procedurer for kvalitetskontrol af de oplysninger, der er lagret i den fælles BMS og CIR i overensstemmelse med artikel 37.

4. eu-LISA udfører også opgaver i forbindelse med uddannelse i den tekniske brug af interoperabilitetskomponenterne.

Artikel 56

Medlemsstaternes ansvarsområder

1. Hver medlemsstat er ansvarlig for: a) forbindelsen til kommunikationsinfrastrukturen i ESP og CIR b) integration af de eksisterende nationale systemer og infrastrukturer med ESP, CIR og MID c) organisation, forvaltning, drift og vedligeholdelse af den eksisterende nationale infrastruktur og dens forbindelse til interoperabilitetskomponenterne d) forvaltning af og ordninger for adgangsretten for de kompetente nationale myndigheders behørigt bemyndigede medarbejdere til ESP, CIR og MID i overensstemmelse med denne forordning og oprettelsen og den regelmæssig ajourføring af en liste over disse medarbejdere og deres profiler e) vedtagelse af de i artikel 20, stk. 5 og 6, omhandlede lovgivningsmæssige foranstaltninger for at få adgang til CIR i identifikationsøjemed f) den i artikel 29 omhandlede manuelle verifikation af forskellige identiteter g) overholdelse af datakvalitetskrav, der er fastsat i henhold til EU-retten h) overholdelse af reglerne for hvert enkelt EU-informationssystem vedrørende personoplysningers sikkerhed og integritet i) afhjælpning af eventuelle mangler, der er konstateret i Kommissionens evalueringsrapport om datakvalitet, der er omhandlet i artikel 37, stk. 5.

2. Hver medlemsstat forbinder sine udpegede myndigheder til CIR.

Artikel 57

Europols ansvarsområder

1. Europol sikrer behandlingen af forespørgsler i Europoloplysningerne fra ESP. Europol tilpasser grænsefladen til sit forespørgselssystem (QUEST) til oplysninger på grundlæggende beskyttelsesniveau (BPL) i overensstemmelse hermed.

2. Europol er ansvarligt for at forvalte og tilrettelægge sine behørigt bemyndigede medarbejderes brug af og adgang til ESP og CIR i henhold til denne forordning og for at føre og regelmæssigt ajourføre en liste over disse medarbejdere og deres profiler.

Artikel 58

Den centrale ETIAS-enheds ansvar

Den centrale ETIAS-enhed er ansvarlig for:

a) den manuelle verifikation af forskellige identiteter i overensstemmelse med artikel 29

b) udførelse af påvisning af flere identiteter blandt de oplysninger, der er lagret i ind- og udrejsesystemet, VIS, Eurodac og SIS som omhandlet i artikel 65.







KAPITEL IX

Ændring af andre EU-instrumenter

Artikel 59

Ændring af forordning (