EUROPA-KOMMISSIONEN Bruxelles, den 8.12.2021 COM(2021) 784 final 2021/0410(COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om elektronisk udveksling af data med henblik på politisamarbejde ("Prüm II"), om ændring af Rådets afgørelse 2008/615/RIA og 2008/616/RIA og Europa-Parlamentets og Rådets forordning (EU) 2018/1726, 2019/817 og 2019/818 {SEC(2021) 421 final} - {SWD(2021) 378 final} - {SWD(2021) 379 final}



BEGRUNDELSE BAGGRUND FOR FORSLAGET •Begrundelse for forslaget Kriminalitet i hele Europa underminerer EU-borgernes sikkerhed og velfærd. De retshåndhævende myndigheder har brug for solide og effektive værktøjer til effektiv bekæmpelse af kriminalitet. Samarbejde og udveksling af oplysninger er det mest effektive middel til at bekæmpe kriminalitet og til retsforfølgelse. I 2021 blev det konstateret, at mere end 70 % af de organiserede kriminelle grupper var til stede i mere end tre medlemsstater. Selv den tilsyneladende mest lokale kriminalitet kan have forbindelser til andre steder i Europa, hvor den samme gerningsmand har begået kriminelle handlinger. På samme måde er det ofte ikke indlysende, at der er forbindelser mellem den lokale kriminalitet og organiserede kriminelle strukturer og operationer. For at kunne bekæmpe kriminalitet effektivt skal de retshåndhævende myndigheder derfor være i stand til at udveksle data rettidigt. EU har allerede givet de retshåndhævende myndigheder en række værktøjer til at lette udvekslingen af oplysninger, som har vist sig at være afgørende for afsløringen af kriminelle aktiviteter og netværk, men der er stadig informationshuller, der skal afhjælpes. Desuden er der behov for at sikre, at systemerne kan kommunikere med hinanden, idet data lagres separat i forskellige nationale IT-systemer og store IT-systemer på EU-plan. I et område uden kontrol ved de indre grænser (Schengenområdet) er der stadig grænser og hindringer for udveksling af oplysninger mellem de retshåndhævende myndigheder, hvilket fører til blinde vinkler og smuthuller for mange kriminelle og terrorister, der er aktive i mere end én medlemsstat. Dette initiativ har sammen med det parallelt vedtagne forslag til et direktiv om udveksling af oplysninger mellem medlemsstaternes retshåndhævende myndigheder til formål at styrke udvekslingen af oplysninger mellem medlemsstaterne og dermed give EU's retshåndhævende myndigheder bedre redskaber til at bekæmpe kriminalitet og terrorisme. Prümrammen har i mere end ti år gjort det muligt for de retshåndhævende myndigheder i hele EU at udveksle oplysninger. Prümafgørelserne, der blev vedtaget i 2008 med henblik på at støtte grænseoverskridende politisamarbejde og retligt samarbejde i straffesager, indeholder bestemmelser om elektronisk udveksling af specifikke oplysninger (DNA-profiler, fingeraftryk og oplysninger fra køretøjsregistre) mellem myndigheder med ansvar for forebyggelse, afsløring og efterforskning af strafbare handlinger. Prümrammen bidrager med succes til bekæmpelse af kriminalitet og terrorisme i EU, men der er stadig smuthuller inden for informationsudveksling, og der er derfor plads til yderligere forbedringer. Rådets konklusioner om gennemførelsen af Prümafgørelserne ti år efter deres vedtagelse understregede betydningen af elektronisk søgning og sammenligning af DNA-profiler, fingeraftryksoplysninger og oplysninger fra køretøjsregistre for at bekæmpe terrorisme og grænseoverskridende kriminalitet. Rådet opfordrede også Kommissionen til at overveje at revidere Prümafgørelserne med henblik på at udvide deres anvendelsesområde og ajourføre de nødvendige tekniske og retlige krav. Prüm II bygger på den eksisterende Prümramme og styrker og moderniserer rammen og muliggør interoperabilitet med andre EU-informationssystemer. Den vil sikre, at alle relevante data, der er tilgængelige for de retshåndhævende myndigheder i en medlemsstat, kan anvendes af de retshåndhævende myndigheder i andre medlemsstater. Den vil også sikre, at Europol kan yde støtte til medlemsstaterne inden for rammerne af Prümrammen. Dette initiativ indeholder bestemmelser om oprettelse af en ny arkitektur, som giver mulighed for lettere og hurtigere udveksling af data mellem medlemsstaterne, og som sikrer et højt beskyttelsesniveau for de grundlæggende rettigheder. •Forslagets formål Det overordnede mål med dette forslag er et resultat af det traktatbaserede mål om at bidrage til Den Europæiske Unions indre sikkerhed. Blandt foranstaltningerne hertil er indsamling, opbevaring, behandling, analyse og udveksling af relevante oplysninger opført på listen. Det overordnede mål med dette instrument er således at forbedre, strømline og lette udvekslingen af oplysninger med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger og terrorhandlinger mellem medlemsstaternes retshåndhævende myndigheder, men også med Europol som EU's knudepunkt for strafferetlige oplysninger. Dette forslags specifikke politiske mål er at: (a)Tilvejebringe en teknisk løsning til effektiv automatisk udveksling af oplysninger mellem retshåndhævende myndigheder for at gøre dem opmærksomme på relevante data, der er tilgængelige i en anden medlemsstats nationale database (b)Sikre, at mere relevante data (med hensyn til datakategorier) fra nationale databaser i andre medlemsstater er tilgængelige for alle kompetente retshåndhævende myndigheder (c)Sikre, at de retshåndhævende myndigheder har adgang til relevante data (med hensyn til datakilder) fra Europols databaser (d)Give de retshåndhævende myndigheder effektiv adgang til de faktiske data, der svarer til et "hit", og som er tilgængelige i en anden medlemsstats nationale database. •Sammenhæng med de gældende regler på samme område I den seneste Schengenstrategi blev der bebudet en række foranstaltninger til at styrke politisamarbejdet og informationsudvekslingen mellem de retshåndhævende myndigheder for at øge sikkerheden i et område uden indre grænser, hvor der i sagens natur er en indbyrdes afhængighed. Sammen med forslaget til direktiv om udveksling af oplysninger mellem medlemsstaternes retshåndhævende myndigheder bidrager dette forslag til målene for denne strategi ved at sikre, at de retshåndhævende myndigheder i én medlemsstat har adgang til de samme oplysninger, som deres kolleger i en anden medlemsstat har adgang til. Forslaget falder ind under det bredere landskab i de store EU-informationssystemer, der har udviklet sig væsentligt siden vedtagelsen af Prümrammen. Dette omfatter de tre centrale EU-informationssystemer, der er i drift: Schengeninformationssystemet (SIS), visuminformationssystemet (VIS) og Eurodac. Derudover befinder tre nye systemer sig i øjeblikket i udviklingsfasen, nemlig: ind- og udrejsesystemet (EES), det europæiske system vedrørende rejseinformation og rejsetilladelse (ETIAS) og det centraliserede system til indkredsning af medlemsstater, der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer (ECRIS-TCN-systemet). Alle disse nuværende og fremtidige systemer er forbundet gennem interoperabilitetsrammen for EU's informationssystemer for sikkerhedsadministration og grænse- og migrationsforvaltning, der blev vedtaget i 2019, og som i øjeblikket er ved at blive indført. De revisioner, der indgår i dette forslag, har til formål at tilpasse Prümrammen til interoperabilitetsrammerne, navnlig hvad angår dataudveksling og den overordnede arkitektur, som interoperabiliteten mellem EU's informationssystemer giver. Dette vil give hurtig og kontrolleret adgang til de oplysninger, som retshåndhævelsespersonale skal bruge for at udføre deres opgaver, og som de har adgangsrettigheder til. SIS indeholder allerede indberetninger om forsvundne personer og giver mulighed for søgninger på grundlag af fingeraftryk. SIS er et centraliseret hit/no hit-informationssystem, som er direkte tilgængeligt for et stort antal slutbrugere i frontlinjen, og som indeholder indberetninger og giver øjeblikkelig respons på stedet med foranstaltninger, der skal træffes i forbindelse med emnet for indberetningen. SIS anvendes for det meste i forbindelse med politi-, grænse- og toldkontrol samt af visum- og indvandringsmyndigheder i deres rutineprocedurer og -kontroller.

I modsætning hertil har Prümrammen ikke nogen central komponent/database på EU-plan, og den anvendes kun i forbindelse med strafferetlige efterforskninger. Det giver andre medlemsstater adgang til de anonymiserede undersæt af nationale DNA- og fingeraftryksdatabaser for kriminelle personer i alle forbundne medlemsstater. Denne adgang gives kun til nationale kontaktpunkter. Mens hit/no hit-svar gives inden for få sekunder eller minutter, kan det tage uger eller endda måneder at modtage de tilhørende personoplysninger vedrørende hittet. 2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET •Retsgrundlag Retsgrundlaget for dette forslag er følgende bestemmelser i traktaten om Den Europæiske Unions funktionsmåde (TEUF): Artikel 16, stk. 2, artikel 87, stk. 2, litra a), og artikel 88, stk. 2. I henhold til artikel 16, stk. 2, er Unionen bemyndiget til at vedtage foranstaltninger vedrørende beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger foretaget af Unionens institutioner, organer og agenturer samt af medlemsstaterne under udøvelse af aktiviteter, der er omfattet af EU-retten, og regler for den frie udveksling af personoplysninger. I henhold til artikel 87, stk. 2, litra a), har Unionen beføjelse til at vedtage foranstaltninger vedrørende indsamling, opbevaring, behandling, analyse og udveksling af relevante oplysninger for at sikre politisamarbejde mellem medlemsstaternes kompetente myndigheder, herunder politi, toldmyndigheder og andre specialiserede håndhævelsestjenester, i forbindelse med forebyggelse, afsløring og efterforskning af strafbare handlinger. I henhold til artikel 88, stk. 2, kan Europa-Parlamentet og Rådet fastlægge Europols struktur, funktionsmåde, indsatsområde og opgaver. •Nærhedsprincippet Forbedringen af informationsudvekslingen mellem politi- og retshåndhævende myndigheder i EU kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne isoleret set på grund af kriminalitetsbekæmpelsens og sikkerhedsspørgsmålenes grænseoverskridende karakter. Medlemsstaterne må forlade sig på hinanden i disse spørgsmål. Gennem flere gennemførelsesprojekter på EU-plan har medlemsstaterne forsøgt at træffe foranstaltninger til at afhjælpe manglerne i den nuværende Prümramme. På trods af alle disse foranstaltninger forblev mange af manglerne de samme som dem, der blev beskrevet i 2012-rapporten om gennemførelsen af Prümafgørelsen. Dette viser, at der er behov for en EU-indsats, da foranstaltninger, der gennemføres af medlemsstaterne alene, ikke har vist sig at være tilstrækkelige til at imødegå begrænsningerne i den nuværende Prümramme. Desuden letter fælles regler, standarder og krav på EU-plan informationsudvekslingen, samtidig med at der skabes kompatibilitet mellem de forskellige nationale systemer. Dette giver mulighed for en vis grad af automatisering i arbejdsgange til udveksling af oplysninger, som fritager retshåndhævelsespersonale fra arbejdskraftintensive manuelle aktiviteter. •Proportionalitetsprincippet Som forklaret fuldt ud i den konsekvensanalyse, der ledsager dette forslag til forordning, anses de politiske valg i forslaget for at være i overensstemmelse med proportionalitetsprincippet. Det skyldes, at de ikke går ud over, hvad der er nødvendigt for at nå de fastsatte mål. Ifølge forslaget skal der oprettes centrale routere (Prüm II-routeren og EPRIS), som hver især skal fungere som forbindelsespunkt mellem medlemsstaterne. Dette er en hybrid tilgang mellem en decentraliseret og centraliseret løsning uden datalagring på centralt plan. Det vil indebære, at de nationale databaser i hver medlemsstat alle forbindes til den centrale router i stedet for at oprette forbindelse til hinanden. Disse routere vil fungere som meddelelsesmæglere, der videresender søgetransaktioner og svar til nationale systemer, uden at skabe nye dataprocesser, udvide adgangsrettighederne eller erstatte nationale databaser. Denne tilgang vil sikre, at de retshåndhævende myndigheder har hurtig og kontrolleret adgang til de oplysninger, de har brug for til at udføre deres opgaver, i overensstemmelse med deres adgangsrettigheder. Routeren vil lette medlemsstaternes gennemførelse af eksisterende og fremtidige dataudvekslinger inden for Prümrammen. Automatisk udveksling af yderligere datakategorier, såsom ansigtsbilleder og politiregistre, er afgørende for en effektiv strafferetlig efterforskning og for at identificere kriminelle. Indførelsen af disse yderligere datakategorier vil ikke føre til lagring af nye kategorier af data, da medlemsstaterne allerede indsamler dem i henhold til national lovgivning og lagrer dem i nationale databaser. Udveksling af disse nye datakategorier vil udgøre en ny behandling af oplysninger. Den vil imidlertid være begrænset til det omfang, det er nødvendigt for at nå sit formål, og den vil kun give mulighed for sammenligning af data i konkrete situationer. Forslaget indeholder også en række beskyttelsesforanstaltninger (f.eks. at der kun sker udveksling af fuldstændige data, hvis der er tale om et "hit" efter en forespørgsel). Med dette forslag vil Europol blive en integreret del af Prümrammen, for det første ved at give medlemsstaterne mulighed for automatisk at kontrollere biometriske data fra tredjelande, der er i Europols besiddelse. For det andet kan Europol også kontrollere data fra tredjelande i forhold til medlemsstaternes nationale databaser. Disse to aspekter af Europols deltagelse i den nye Prümramme i overensstemmelse med Europols opgaver som fastsat i forordning (EU) 2016/794 vil sikre, at der ikke opstår huller i forbindelse med oplysninger om grov kriminalitet og terrorisme modtaget fra tredjelande. I et åbent samfund i en globaliseret verden er data fra tredjelande om kriminelle og terrorister afgørende. Det vil gøre det muligt at identificere kriminelle, der er kendt af lande uden for EU, og samtidig drage fordel af stærke garantier med hensyn til beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder, der er fastsat i Europols samarbejdsaftaler med tredjelande. Den reviderede proces for opfølgende udveksling af oplysninger efter et hit vil bidrage til Den Europæiske Unions indre sikkerhed ved at forenkle og strømline udvekslingen af retshåndhævelsesoplysninger. Sammenlignet med den nuværende situation, hvor udveksling af oplysninger efter et hit er underlagt national lovgivning og dermed er underlagt forskellige regler og procedurer, vil fælles regler, der harmoniserer dette andet trin i Prümprocessen, give forudsigelighed for alle brugere, idet de alle vil vide, hvilke data de vil få i dette trin. Udvekslingen af data vil blive lettet gennem delvis automatisering, hvilket betyder, at der stadig vil være behov for menneskelig indgriben, før der kan finde en omfattende opfølgende dataudveksling sted. Medlemsstaterne vil bevare ejerskabet af/kontrollen med deres data. •Valg af retsakt Der stilles forslag om Europa-Parlamentets og Rådets forordning. Den foreslåede lovgivning bygger på en eksisterende ramme af rådsafgørelser, der bidrager til det grænseoverskridende samarbejde mellem EU's medlemsstater om retlige og indre anliggender. I betragtning af behovet for, at de foreslåede foranstaltninger finder direkte anvendelse og anvendes ensartet i alle medlemsstaterne, samt for at styrke udvekslingen af oplysninger, er en forordning derfor det rette valg af retsakt. 3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER •Efterfølgende evalueringer af gældende lovgivning

Generelt viste evalueringen af Prümrammen, at søgning og sammenligning af oplysninger i DNA-, fingeraftryks- og køretøjsregistre i andre medlemsstaters databaser med henblik på forebyggelse og efterforskning af strafbare handlinger er af afgørende betydning for at beskytte EU's indre sikkerhed og borgernes sikkerhed. Evalueringen viste endvidere, at Prümafgørelserne har bidraget til at fastlægge fælles regler, standarder og krav på EU-plan for at lette udvekslingen af oplysninger og skabe kompatibilitet mellem forskellige nationale systemer. Siden udløbet af fristen for gennemførelse af Prümrammen for ti år siden har EU imidlertid vedtaget en række andre foranstaltninger til fremme af udvekslingen af oplysninger mellem de retshåndhævende myndigheder, herunder interoperabilitetsrammen. Desuden er bestemmelserne om de tekniske specifikationer for forespørgsler, sikkerhedsforanstaltninger og kommunikation ikke blevet ajourført siden vedtagelsen af Prümafgørelserne i 2008. Nogle af disse regler er forældede, da retsvidenskab og teknologi har udviklet sig betydeligt i det seneste årti. Evalueringen viste også, at gennemførelsen af Prümafgørelserne i det seneste ti år har været langsom, og at ikke alle medlemsstater har taget de nødvendige skridt til at gennemføre afgørelserne. Som følge heraf er en række bilaterale forbindelser ikke blevet etableret, og der kan ikke rejses forespørgsler til nogle medlemsstaters databaser. Resultaterne af evalueringen viste også, at opfølgningen på hit sker på grundlag af national ret og derfor falder uden for Prümafgørelsernes anvendelsesområde. Forskelle i de nationale regler og procedurer kan i flere tilfælde medføre, at der går lang tid, før de kompetente myndigheder modtager oplysninger efter et hit. Denne situation påvirker Prümsystemets funktion og den effektive udveksling af oplysninger mellem medlemsstaterne ved at mindske muligheden for, at kriminelle identificeres, og der opdages grænseoverskridende forbindelser mellem forbrydelser. Resultaterne af evalueringen støttede udarbejdelsen af konsekvensanalysen og dette forslag. • Høring af interesserede parter Udarbejdelsen af dette forslag omfattede målrettede høringer af de berørte interessenter, herunder slutbrugerne af systemet, det vil sige medlemsstaternes myndigheder, der anvender Prüms automatiske dataudveksling, lige fra retshåndhævende og retslige myndigheder, nationale køretøjsregistreringsmyndigheder til nationale databasevogtere og kriminaltekniske laboratorier. Europol og eu-LISA blev også hørt i lyset af deres respektive ekspertise og deres potentielle rolle i den nye Prümramme. FRA samt ikkestatslige organisationer såsom EDRi (European Digital Rights) og mellemstatslige organisationer (Eucaris — europæiske informationssystemer vedrørende køretøjer og kørekort) bidrog også med input i lyset af deres ekspertise. Høringsaktiviteter i forbindelse med udarbejdelsen af den konsekvensanalyse, der ligger til grund for dette forslag, indsamlede feedback fra interessenter i forskellige fora. Disse aktiviteter omfattede bl.a. en indledende konsekvensanalyse, en offentlig høring og en række tekniske workshopper. Der blev gennemført en gennemførlighedsundersøgelse baseret på dokumentationsundersøgelser, interviews med emneeksperter, spørgeskemaer og tre ekspertworkshopper, og det blev undersøgt, om det var muligt at forbedre informationsudvekslingen i henhold til Prümafgørelserne. Regelmæssige drøftelser om udveksling af oplysninger om retshåndhævelse og navnlig Prümafgørelserne i Rådets arbejdsgruppe DAPIX/IXIM bidrog også til udarbejdelsen af dette forslag. Der blev offentliggjort en indledende konsekvensanalyse med henblik på feedback fra august til oktober 2020, hvor der i alt blev modtaget seks bidrag. En offentlig høring, der blev offentliggjort på Europa-Kommissionens websted, var rettet mod den brede offentlighed. Svarene bekræftede, at den eksisterende Prümramme er relevant for forebyggelse og efterforskning af strafbare handlinger og har forbedret udvekslingen af data mellem medlemsstaternes retshåndhævende myndigheder. Ved at forhindre behovet for at søge i hver enkelt medlemsstat bilateralt har den elektroniske dataudveksling inden for Prümrammen også medført effektivitetsgevinster. Svarene bekræftede endvidere sammenhængen mellem rammen og EU's og internationale foranstaltninger på dette område, og at den har en merværdi i forhold til, hvad medlemsstaterne kunne opnå inden for udveksling af retshåndhævelsesoplysninger, hvis Prümrammen ikke fandtes. Med hensyn til at styrke den nuværende ramme var de fleste respondenter enige om, at det forhold, at nogle datakategorier ikke er omfattet af rammen og derfor udveksles ved at sende manuelle forespørgsler, er en mangel. Kommissionens tjenestegrene afholdt også en række målrettede uformelle tekniske workshopper med eksperter fra medlemsstaterne og de associerede Schengenlande. Workshopperne havde til formål at samle slutbrugerne med henblik på en udveksling af synspunkter om de muligheder, der var ved at blive overvejet og vurderet med henblik på at styrke Prümrammen ud fra et teknisk perspektiv. Den ledsagende konsekvensanalyse indeholder en mere detaljeret beskrivelse af høringen af interessenter (bilag 2). •Konsekvensanalyse Forslaget understøttes af en konsekvensanalyse som fremlagt i det ledsagende arbejdsdokument fra Kommissionens tjenestegrene [henvisning til Prüm konsekvensanalyse]. Udvalget for Forskriftskontrol gennemgik udkastet til konsekvensanalyse på mødet den 14. juli 2021 og afgav en positiv udtalelse den 16. juli 2021. I konsekvensanalysen blev det konkluderet, at: (1)For at opfylde målet om at tilvejebringe en teknisk løsning for effektiv elektronisk dataudveksling bør der anvendes en hybrid løsning mellem en decentraliseret og en centraliseret tilgang uden datalagring på centralt plan. (2)For at opfylde målet om at sikre, at de retshåndhævende myndigheder har adgang til mere relevante oplysninger (med hensyn til datakategorier), bør der indføres udveksling af ansigtsbilleder og politiregistre. (3)For at opfylde målet om at sikre, at de retshåndhævende myndigheder har adgang til relevante data fra Europols databaser, bør medlemsstaterne som led i Prümrammen automatisk kunne kontrollere biometriske data fra tredjelande hos Europol. Europol bør også kunne kontrollere data fra tredjelande i medlemsstaternes nationale databaser. (4)For at opfylde målet om at give effektiv adgang til de faktiske data, der svarer til et "hit", og som er tilgængelige i en anden medlemsstats nationale database eller i Europol, bør opfølgningsprocessen reguleres på EU-plan med en halvautomatisk udveksling af de faktiske data, der svarer til et "hit".

Den største positive virkning af dette forslag vil være at reagere effektivt på de identificerede problemer og styrke den nuværende Prümramme med målrettede og stærke yderligere kapaciteter for at øge støtten til medlemsstaterne med henblik på at styrke informationsudvekslingen med det endelige mål at forebygge og efterforske kriminelle handlinger og terrorhandlinger under fuld overholdelse af de grundlæggende rettigheder. Det er borgerne, som i sidste instans vil drage direkte og indirekte fordel af alle foretrukne løsninger, i form af bedre kriminalitetsbekæmpelse og lavere kriminalitetsrater. Med hensyn til effektivitet er det de nationale retshåndhævende myndigheder, der primært drager fordel af løsningerne. Forslagets umiddelbare finansielle og økonomiske virkninger vil kræve investeringer på både EU- og medlemsstatsniveau. Det forventes, at de forventede investeringsomkostninger vil blive opvejet af fordele og besparelser, navnlig på medlemsstatsniveau. På trods af de indledende investeringer vil oprettelsen af den centrale Prümrouter spare omkostninger for medlemsstaterne, da routeren ikke vil kræve, at hver medlemsstat opretter (og opretholder) lige så mange forbindelser, som der er medlemsstater og datakategorier. •Grundlæggende rettigheder I overensstemmelse med EU's charter om grundlæggende rettigheder, som EU-institutionerne og medlemsstaterne er bundet af, når de gennemfører EU-retten (chartrets artikel 51, stk. 1), og med princippet om forbud mod forskelsbehandling, skal de muligheder, som de foreslåede muligheder giver, afvejes med forpligtelsen til at sikre, at indgreb i de grundlæggende rettigheder, der kan følge heraf, begrænses til, hvad der er strengt nødvendigt for reelt at opfylde de tilstræbte mål af almen interesse, med forbehold af proportionalitetsprincippet (chartrets artikel 52, stk. 1). De foreslåede interoperabilitetskomponenter giver mulighed for at vedtage målrettede forebyggende foranstaltninger for at øge sikkerheden. Som sådan kan de bidrage til at forfølge det legitime mål om at lette bekæmpelsen af kriminalitet, hvilket også indebærer en positiv forpligtelse for myndighederne til at træffe forebyggende operationelle foranstaltninger for at beskytte en person, hvis liv er i fare, hvis de ved eller burde have vidst, at der foreligger en umiddelbar risiko. •Beskyttelse af personoplysninger Udveksling af oplysninger har indvirkning på retten til beskyttelse af personoplysninger. Denne ret er fastsat i chartrets artikel 8, artikel 16 i traktaten om oprettelse af Det Europæiske Union og den europæiske menneskerettighedskonventions artikel 8. Som det understreges af EU-Domstolen udgør retten til beskyttelse af personoplysninger ikke en absolut rettighed, men skal ses i sammenhæng med dens funktion i samfundet. Databeskyttelse hænger tæt sammen med respekten for privatliv og familieliv, som er omhandlet i chartrets artikel 7. For så vidt angår Prüm er den gældende databeskyttelseslovgivning direktiv (EU) 2016/680. Prümrammen indeholder bestemmelser om behandling af personoplysninger i forbindelse med udveksling af oplysninger mellem retshåndhævende myndigheder med ansvar for forebyggelse og efterforskning af strafbare handlinger. Den frie udveksling af oplysninger inden for EU skal ikke begrænses af hensyn til databeskyttelsen. Dog skal en række principper være opfyldt. For at være lovlig skal enhver begrænsning i udøvelsen af de grundlæggende rettigheder, der er beskyttet af chartret, opfylde følgende kriterier, der er fastsat i chartrets artikel 52, stk. 1: (1)den skal være fastsat i lovgivningen (2)den være forenelig med det væsentligste indhold af rettighederne (3)den skal svare til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder (4)den skal være nødvendig og (5)den skal være proportional. Dette forslag integrerer alle disse databeskyttelsesregler som omhyggeligt beskrevet i den konsekvensanalyse, der ledsager dette forslag til forordning. Forslaget er baseret på principperne om databeskyttelse gennem design og gennem standardindstillinger. Det omfatter alle relevante bestemmelser, der begrænser databehandling til, hvad der er nødvendigt for det specifikke formål, og giver kun adgang til data for de enheder, der har brug for dem. Adgangen til data er udelukkende forbeholdt behørigt bemyndigede medarbejdere hos medlemsstaternes myndigheder eller EU-organer, der er kompetente i forhold til de specifikke formål i den reviderede Prümramme og begrænset til det omfang, hvori der er behov for dataene til at udføre opgaver i overensstemmelse med disse formål. Kommissionen vil i forbindelse med offentliggørelsen af rapporten om vurdering af virkningen af [Rådets henstilling om operationelt politisamarbejde] fra de medlemsstater, der er omhandlet i punkt 9, litra d), i nævnte henstilling, afgøre, om der er behov for EU-lovgivning om grænseoverskridende operationelt politisamarbejde. Hvis der er behov for en sådan lovgivning, vil Kommissionen fremsætte et lovgivningsforslag om grænseoverskridende operationelt politisamarbejde, som også vil sikre tilpasning af de bestemmelser i afgørelse 2008/615/RIA og afgørelse 2008/616/RIA, som ikke var omfattet af dette forslag, til direktiv 2016/680 i overensstemmelse med resultaterne af vurderingen i henhold til artikel 62, stk. 6, i direktiv 2016/680. Hvis der ikke er behov for EU-lovgivning om grænseoverskridende operationelt politisamarbejde, vil Kommissionen fremsætte et lovgivningsforslag for at sikre denne tilpasning i overensstemmelse med resultaterne af vurderingen i henhold til artikel 62, stk. 6, i direktiv 2016/680. 4.VIRKNINGER FOR BUDGETTET Dette lovgivningsinitiativ vil få indvirkning på eu-LISA's og Europols budget og personalebehov. For eu-LISA anslås det, at der vil være behov for et yderligere budget på ca. 16 mio. EUR og ca. 10 yderligere stillinger i den samlede FFR-periode for at sikre, at eu-LISA har de nødvendige ressourcer til at håndhæve de opgaver, der er tildelt agenturet i dette forslag til forordning. Det budget, der er afsat til eu-LISA, vil blive modregnet i instrumentet for grænseforvaltning og visa (IGFV).

For Europols vedkommende anslås det, at der vil være behov for et yderligere budget på ca. 7 mio. EUR og ca. 5 yderligere stillinger i den samlede FFR-periode for at sikre, at Europol har de nødvendige ressourcer til at håndhæve de opgaver, der er tildelt agenturet i dette forslag til forordning. Det budget, der er afsat til Europol, vil blive modregnet i Fonden for Intern Sikkerhed (ISF). 5.ANDRE FORHOLD •Planer for gennemførelsen og foranstaltninger til overvågning, evaluering og rapportering Kommissionen vil sikre, at der er truffet de nødvendige foranstaltninger til at overvåge, hvordan de foreslåede foranstaltninger fungerer, og evaluere dem i forhold til de vigtigste politiske mål. To år efter indførelsen og driften af de nye funktioner og derefter hvert andet år bør EU-agenturerne forelægge Europa-Parlamentet, Rådet og Kommissionen en rapport om, hvordan de nye foreslåede foranstaltninger fungerer teknisk. Endvidere skal Kommissionen tre år efter, at de nye funktioner er indført og fungerer, og derefter hvert fjerde år udarbejde en samlet evaluering af foranstaltningerne, herunder af enhver direkte eller indirekte indvirkning på de grundlæggende rettigheder. Den skal gennemgå de opnåede resultater set i forhold til målene og vurdere de grundlæggende princippers fortsatte gyldighed og eventuelle konsekvenser for fremtidige muligheder. Kommissionen sender evalueringsrapporterne til Europa-Parlamentet og Rådet. •Nærmere redegørelse for de enkelte bestemmelser i forslaget Kapitel 1 indeholder de almindelige bestemmelser for denne forordning med hensyn til genstand, formål og anvendelsesområde. Den indeholder en liste over definitioner og minder om, at behandlingen af personoplysninger med henblik på denne forordning skal overholde princippet om ikkeforskelsbehandling og andre grundlæggende rettigheder. Kapitel 2 indeholder bestemmelser om udveksling af kategorier af oplysninger i henhold til denne forordning, nemlig udveksling af DNA-profiler, fingeraftryksoplysninger, oplysninger fra køretøjsregistre, ansigtsbilleder og politiregistre. Principperne for udveksling, elektronisk søgning af oplysninger, regler for anmodninger og svar er beskrevet i et særskilt afsnit for hver kategori af oplysninger. Kapitel 2 indeholder også fælles bestemmelser om udveksling af oplysninger, oprettelse af nationale kontaktpunkter og gennemførelsesbestemmelser. Kapitel 3 indeholder nærmere oplysninger om den nye (tekniske) arkitektur for udveksling af data. Det første afsnit i dette kapitel indeholder bestemmelser, der beskriver den centrale router, brugen af routeren og afsendelse af forespørgsler. Der vil være behov for gennemførelsesretsakter for at præcisere de tekniske procedurer for disse forespørgsler. Dette afsnit indeholder også bestemmelser om interoperabilitet mellem routeren og det fælles identitetsregister med henblik på adgang til retshåndhævelse, opbevaring af logfiler over alle databehandlingsaktiviteter i routeren, kvalitetskontrol samt meddelelsesprocedurer i tilfælde af, at det er teknisk umuligt at anvende routeren. Et andet afsnit indeholder nærmere oplysninger om anvendelsen af det europæiske politiregisterindekssystem (EPRIS) til udveksling af politiregistre. Dette afsnit indeholder også bestemmelser om opbevaring af logfiler over alle databehandlingsaktiviteter i EPRIS samt meddelelsesprocedurer i tilfælde af, at det er teknisk umuligt at anvende EPRIS. Kapitel 4 beskriver procedurerne for udveksling af data efter et match. Kapitlet indeholder en bestemmelse om elektronisk udveksling af centrale data, hvor data er begrænset til, hvad der er nødvendigt for at gøre det muligt at identificere den pågældende person, og en bestemmelse om udveksling af oplysninger på ethvert trin i processen i henhold til denne forordning, som ikke er udtrykkeligt beskrevet i denne forordning. Kapitel 5 indeholder bestemmelser om medlemsstaternes adgang til biometriske data fra tredjelande, som er lagret af Europol, og om Europols adgang til oplysninger, der er lagret i medlemsstaternes databaser. Kapitel 6 om databeskyttelse indeholder bestemmelser, der sikrer, at oplysninger i henhold til denne forordning behandles lovligt og hensigtsmæssigt i overensstemmelse med bestemmelserne i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA. Det forklares, hvem databehandleren vil være til behandling af oplysninger i henhold til denne forordning. I kapitlet fastsættes de foranstaltninger, som eu-LISA og medlemsstaternes myndigheder skal træffe for at garantere sikkerheden i forbindelse med databehandling, en hensigtsmæssig håndtering af sikkerhedshændelser og overvågning af overholdelsen af foranstaltningerne i denne forordning. Kapitlet indeholder også bestemmelser om tilsyn og revision i forbindelse med databeskyttelse. Det understreger princippet om, at oplysninger, der behandles i henhold til denne forordning, ikke må overføres eller stilles til rådighed for et tredjeland eller en international organisation på en automatiseret måde. Kapitel 7 beskriver medlemsstaternes, Europols og eu-LISA's ansvar i forbindelse med gennemførelsen af foranstaltningerne i denne forordning. Kapitel 8 vedrører ændringer af andre eksisterende instrumenter, nemlig afgørelse 2008/615/RIA og 2008/616/RIA, forordning (EU) 2018/1726, forordning (EU) 2019/817 og forordning (EU) 2019/818. Kapitel 9 om afsluttende bestemmelser indeholder nærmere oplysninger om indberetning og statistik, omkostninger, meddelelser, overgangsbestemmelser og undtagelser. Det fastsætter også kravene til idriftsættelse af de foranstaltninger, der foreslås i henhold til denne forordning. Kapitlet indeholder også bestemmelser om nedsættelse af et udvalg og vedtagelse af en praktisk håndbog til støtte for gennemførelsen og forvaltningen af denne forordning. Den indeholder også en bestemmelse om overvågning og evaluering og en bestemmelse om denne forordnings ikrafttræden og anvendelse. Denne forordning erstatter navnlig artikel 2-6 og afsnit 2 og 3 i kapitel 2 i Rådets afgørelse 2008/615/RIA og kapitel 2-5 og artikel 18, 20 og 21 i Rådets afgørelse 2008/616/RIA, som derfor vil blive slettet fra disse rådsafgørelser fra datoen for denne forordnings anvendelse. Virkningen af disse ændringer vil være, at de erstattede og slettede bestemmelser ikke længere finder anvendelse på nogen medlemsstat.



2021/0410 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om elektronisk udveksling af data med henblik på politisamarbejde ("Prüm II"), om ændring af Rådets afgørelse 2008/615/RIA og 2008/616/RIA og Europa-Parlamentets og Rådets forordning (EU) 2018/1726, 2019/817 og 2019/818 EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16, stk. 2, artikel 87, stk. 2, litra a), og artikel 88, stk. 2, som henviser til forslag fra Europa-Kommissionen, og efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg, under henvisning til udtalelse fra Regionsudvalget, efter den almindelige lovgivningsprocedure, og ud fra følgende betragtninger: (1)Unionen har sat sig som mål at sikre borgerne et område med frihed, sikkerhed og retfærdighed uden indre grænser, hvor der er fri bevægelighed for personer. Dette mål bør nås ved hjælp af blandt andet passende foranstaltninger med henblik på at forebygge og bekæmpe kriminalitet, herunder organiseret kriminalitet og terrorisme. (2)Dette mål kræver, at de retshåndhævende myndigheder udveksler data på en effektiv og rettidig måde for effektivt at bekæmpe kriminalitet. (3)Formålet med denne forordning er derfor at forbedre, strømline og lette udvekslingen af strafferetlige oplysninger mellem medlemsstaternes retshåndhævende myndigheder, men også med Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2016/794 (Europol) som Unionens knudepunkt for oplysninger om strafbare forhold. (4)Rådets afgørelse 2008/615/RIA og 2008/616/RIA om regler for udveksling af oplysninger mellem myndigheder med ansvar for forebyggelse og efterforskning af strafbare handlinger i form af elektronisk overførsel af DNA-profiler, fingeraftryksoplysninger og visse oplysninger fra køretøjsregistre har vist sig at være vigtige for bekæmpelsen af terrorisme og grænseoverskridende kriminalitet. (5)Denne forordning bør fastsætte betingelser og procedurer for elektronisk overførsel af DNA-profiler, fingeraftryksoplysninger, oplysninger fra køretøjsregistre, ansigtsbilleder og politiregistre. Dette bør ikke berøre behandlingen af disse oplysninger i Schengeninformationssystemet (SIS) eller udvekslingen af supplerende oplysninger om dem via Sirene-kontorerne eller rettighederne for personer, hvis oplysninger behandles deri. (6)Behandling af personoplysninger og udveksling af personoplysninger med henblik på denne forordning bør ikke føre til nogen form for forskelsbehandling af personer. Den bør fuldt ud respektere den menneskelige værdighed og integritet og andre grundlæggende rettigheder, herunder retten til respekt for privatlivet og til beskyttelse af personoplysninger, i overensstemmelse med Den Europæiske Unions charter om grundlæggende rettigheder. (7)Ved at fastsætte bestemmelser om elektronisk søgning eller sammenligning af DNA-profiler, fingeraftryksoplysninger, oplysninger fra køretøjsregistre, ansigtsbilleder og politiregistre er formålet med denne forordning også at gøre det muligt at søge efter forsvundne personer og uidentificerede menneskelige rester. Dette bør ikke berøre registreringen af SIS-indberetninger om forsvundne personer og udvekslingen af supplerende oplysninger om sådanne indberetninger i henhold til Europa-Parlamentets og Rådets forordning (EU) 2018/1862. (8)Direktiv (EU) .../... [om udveksling af oplysninger mellem medlemsstaternes retshåndhævende myndigheder] udgør en sammenhængende EU-retlig ramme for at sikre, at de retshåndhævende myndigheder har lige adgang til oplysninger, som andre medlemsstater er i besiddelse af, når de har brug for det til at bekæmpe kriminalitet og terrorisme. For at forbedre udvekslingen af oplysninger formaliserer og præciserer dette direktiv procedurerne for udveksling af oplysninger mellem medlemsstaterne, navnlig med henblik på efterforskning, herunder den rolle, som "det enkelte kontaktpunkt" spiller for sådanne udvekslinger, og gør fuld brug af Europols informationsudvekslingskanal SIENA. Enhver udveksling af oplysninger ud over, hvad der er fastsat i denne forordning, bør reguleres af direktiv (EU) .../... [om udveksling af oplysninger mellem medlemsstaternes retshåndhævende myndigheder]. (9)Til elektronisk søgning af oplysninger i køretøjsregistre bør medlemsstaterne anvende det europæiske informationssystem vedrørende køretøjer og kørekort (Eucaris), der er oprettet ved traktaten om et europæisk informationssystem vedrørende køretøjer og kørekort (Eucaris) og er udformet til dette formål. Eucaris bør forbinde alle deltagende medlemsstater i et netværk. Der er ikke behov for en central komponent for at etablere kommunikationen, da hver medlemsstat kommunikerer direkte til de andre forbundne medlemsstater. (10)Identifikation af en kriminel person er afgørende for en vellykket strafferetlig efterforskning og retsforfølgning. Elektronisk søgning af ansigtsbilleder af mistænkte og dømte kriminelle bør give yderligere oplysninger med henblik på en vellykket identifikation af kriminelle og bekæmpelse af kriminalitet. (11)Elektronisk søgning eller sammenligning af biometriske data (DNA-profiler, fingeraftryksoplysninger og ansigtsbilleder) mellem myndigheder med ansvar for forebyggelse, afsløring og efterforskning af strafbare handlinger i henhold til denne forordning bør kun vedrøre oplysninger i databaser, der er oprettet med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger. (12)Deltagelse i udvekslingen af politiregistre bør fortsat være frivillig. Hvis medlemsstaterne beslutter at deltage i gensidighedsprincippet, bør det ikke være muligt for dem at søge i andre medlemsstaters databaser, hvis de ikke stiller deres egne data til rådighed for andre medlemsstaters forespørgsler. (13)I de senere år har Europol modtaget en stor mængde biometriske data om mistænkte og dømte terrorister og kriminelle fra flere tredjelande. Det er nødvendigt at medtage data fra tredjelande, der er lagret i Europol, inden for Prümrammen og dermed stille disse data til rådighed for de retshåndhævende myndigheder for bedre at kunne forebygge og efterforske strafbare handlinger. Det bidrager også til at skabe synergier mellem forskellige retshåndhævelsesværktøjer.

(14)Europol bør kunne søge i medlemsstaternes databaser inden for Prümrammen med oplysninger fra tredjelande med henblik på at etablere grænseoverskridende forbindelser mellem straffesager. At kunne anvende Prümdata bør ved siden af andre databaser, der er til rådighed for Europol, gøre det muligt at foretage en mere fuldstændig og informeret analyse af strafferetlige efterforskninger, og bør gøre det muligt for Europol at yde bedre støtte til medlemsstaternes retshåndhævende myndigheder. I tilfælde af et match mellem oplysninger, der anvendes til søgning, og oplysninger, der opbevares i medlemsstaternes databaser, kan medlemsstaterne give Europol de oplysninger, der er nødvendige for, at Europol kan udføre sine opgaver. (15)Afgørelse 2008/615/RIA og 2008/616/RIA indeholder bestemmelser om et netværk af bilaterale forbindelser mellem medlemsstaternes nationale databaser. Som følge af denne tekniske arkitektur bør hver medlemsstat oprette mindst 26 forbindelser, dvs. en forbindelse til hver medlemsstat pr. datakategori. Routeren og det europæiske politiregisterindekssystem (EPRIS), der oprettes ved denne forordning, bør forenkle den tekniske arkitektur i Prümrammen og fungere som forbindelsespunkter mellem alle medlemsstater. Routeren bør kræve en enkelt forbindelse pr. medlemsstat i forbindelse med biometriske data, og EPRIS bør kræve en enkelt forbindelse pr. medlemsstat i forbindelse med politiregistre. (16)Routeren bør tilkobles den europæiske søgeportal, der er oprettet ved artikel 6 i Europa-Parlamentets og Rådets forordning (EU) 2019/817 og artikel 6 i Europa-Parlamentets og Rådets forordning (EU) 2019/818, således at medlemsstaternes myndigheder og Europol kan rette søgninger mod nationale databaser i henhold til denne forordning samtidig med forespørgsler til det fælles identitetsregister, der er oprettet ved artikel 17 i forordning (EU) 2019/817 og artikel 17 i forordning (EU) 2019/818 med henblik på retshåndhævelse. (17)I tilfælde af et match mellem de oplysninger, der anvendes til søgningen eller sammenligningen, og oplysningerne i den eller de anmodede medlemsstaters nationale database, og når den anmodende medlemsstat har bekræftet dette match, bør den anmodede medlemsstat returnere et begrænset sæt centrale data via routeren inden for 24 timer. Fristen vil sikre hurtig udveksling af oplysninger mellem medlemsstaternes myndigheder. Medlemsstaterne bør bevare kontrollen med frigivelsen af dette begrænsede sæt af kernedata. Der bør opretholdes en vis grad af menneskelig indgriben på centrale punkter i processen, herunder i forbindelse med afgørelsen om at videregive personoplysninger til den anmodende medlemsstat for at sikre, at der ikke sker elektronisk udveksling af centrale data. (18)Enhver udveksling mellem medlemsstaternes myndigheder eller med Europol på et hvilket som helst tidspunkt af en af de processer, der er beskrevet i denne forordning, og som ikke er udtrykkeligt beskrevet i denne forordning, bør finde sted via SIENA for at sikre, at alle medlemsstater anvender en fælles, sikker og pålidelig kommunikationskanal. (19)Standarden for det universelle meddelelsesformat (UMF) bør anvendes ved udviklingen af routeren og EPRIS. Enhver elektronisk udveksling af data i overensstemmelse med denne forordning bør anvende UMF-standarden. Medlemsstaternes myndigheder og Europol opfordres til at anvende UMF-standarden også i forbindelse med enhver yderligere udveksling af oplysninger mellem dem inden for rammerne af Prüm II-rammen. Det universelle meddelelsesformat (UMF) bør være standard for struktureret, grænseoverskridende informationsudveksling mellem informationssystemer, myndigheder og organisationer på området for retlige og indre anliggender. (20)Kun ikkeklassificerede oplysninger bør udveksles via Prüm II-rammen. (21)Visse aspekter af Prüm II-rammen kan ikke dækkes udtømmende af bestemmelserne i denne forordning på grund af deres tekniske, stærkt detaljerede og hyppigt ændrende karakter. Disse aspekter omfatter f.eks. tekniske ordninger og specifikationer for elektroniske søgeprocedurer, standarder for dataudveksling og de dataelementer, der skal udveksles. For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser. Beføjelserne bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011. (22)Da denne forordning indeholder bestemmelser om etablering af den nye Prümramme, bør de relevante bestemmelser i afgørelse 2008/615/RIA og 2008/616/RIA udgå. De pågældende bestemmelser bør derfor ændres. (23)Da routeren bør udvikles og forvaltes af Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-systemer inden for Området med Frihed, Sikkerhed og Retfærdighed oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2018/1726 (eu-LISA), er det derfor nødvendigt at ændre forordning (EU) 2018/1726 ved at tilføje dette til eu-LISA's opgaver. For at gøre det muligt for routeren at blive tilsluttet den europæiske søgeportal for at foretage samtidige søgninger i routeren og det fælles identitetsregister er det derfor nødvendigt at ændre forordning (EU) 2019/817. For at gøre det muligt for routeren at blive tilsluttet den europæiske søgeportal for at foretage samtidige søgninger i routeren og det fælles identitetsregister og for at lagre routerens rapporter og statistikker i det fælles register for rapportering og statistik er det derfor nødvendigt at ændre forordning (EU) 2019/818. De pågældende forordninger bør derfor ændres. (24)I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til traktaten om Den Europæiske Union og til traktaten om Den Europæiske Unions funktionsmåde, deltager Danmark ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Danmark. (25)[I medfør af artikel 3 i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til traktaten om Den Europæiske Union og til traktaten om Den Europæiske Unions funktionsmåde, har Irland meddelt, at det ønsker at deltage i vedtagelsen og anvendelsen af denne forordning.] ELLER [I medfør af artikel 1 og 2 i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til traktaten om Den Europæiske Union og til traktaten om Den Europæiske Unions funktionsmåde, og med forbehold af artikel 4 i samme protokol deltager Irland ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Irland.] (26)Den Europæiske Tilsynsførende for Databeskyttelse blev hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 og afgav udtalelse den [XX] — VEDTAGET DENNE FORORDNING: KAPITEL 1 ALMINDELIGE BESTEMMELSER Artikel 1 Genstand Denne forordning fastlægger en ramme for udveksling af oplysninger mellem myndigheder med ansvar for forebyggelse, afsløring og efterforskning af strafbare handlinger (Prüm II). Ved denne forordning fastsættes betingelserne og procedurerne for elektronisk søgning af DNA-profiler, fingeraftryksoplysninger, ansigtsbilleder, politiregistre og visse oplysninger i køretøjsregistre og regler for udveksling af centrale oplysninger efter et match.

Artikel 2 Formål Formålet med Prüm II er at intensivere det grænseoverskridende samarbejde i spørgsmål, der er omfattet af tredje del, afsnit V, kapitel 5, i traktaten om Den Europæiske Unions funktionsmåde, navnlig udveksling af oplysninger mellem myndigheder med ansvar for forebyggelse, afsløring og efterforskning af strafbare handlinger. Formålet med Prüm II er også at give de myndigheder, der er ansvarlige for forebyggelse, afsløring og efterforskning af strafbare handlinger, mulighed for at søge efter forsvundne personer og uidentificerede menneskelige rester. Artikel 3 Anvendelsesområde Denne forordning finder anvendelse på de nationale databaser, der anvendes til elektronisk overførsel af kategorier af DNA-profiler, fingeraftryksoplysninger, ansigtsbilleder, politiregistre og visse oplysninger fra køretøjsregistre. Artikel 4 Definitioner I denne forordning forstås ved: (1)"loci": den særlige molekylære struktur på de forskellige DNA-positioner (DNA-loci) (2)"DNA-profil": en bogstav- eller nummerkode, der repræsenterer en række identifikationskendetegn ved den ikke-kodende del af en analyseret menneskelig DNA-prøve, dvs. den særlige molekylestruktur på de forskellige DNA-loci (3)"ikke-kodende del af DNA": kromosomområder, der ikke indeholder noget genetisk udtryk, dvs. at der ikke foreligger nogen oplysninger om, at de kan give oplysninger om en organismes funktionelle egenskaber (4)"DNA-referencedata": DNA-profil og det referencenummer, der er omhandlet i artikel 9 (5)"reference-DNA-profil": en identificeret persons DNA-profil (6)"uidentificeret DNA-profil": en DNA-profil opnået fra spor, der er indsamlet under efterforskningen af strafbare handlinger, og som stammer fra en endnu ikke identificeret person (7)"fingeraftryksoplysninger": fingeraftryksbilleder, latente fingeraftryksbilleder, håndfladeaftryk, latente håndfladeaftryk og skabeloner af sådanne billeder (kodede minutiae), når de lagres og behandles i en automatisk database (8)"fingeraftryksreferenceoplysninger": fingeraftryksoplysninger og det referencenummer, der er omhandlet i artikel 14 (9)"individuel sag": et enkelt efterforskningsdossier (10)"ansigtsbillede": digitalt billede af ansigtet

(11)"biometriske oplysninger": DNA-profiler, fingeraftryksoplysninger eller ansigtsbilleder (12)"match": sammenfald som resultat af en automatiseret sammenligning mellem personoplysninger, der er registreret eller er ved at blive registreret i et informationssystem eller en database (13)"kandidat": data, for hvilke der er et match (14)"den anmodende medlemsstat": den medlemsstat, der foretager en søgning gennem Prüm II (15)"den anmodede medlemsstat": den medlemsstat, hvori søgningen foretages gennem Prüm II af den anmodende medlemsstat (16)"politiregistre": alle oplysninger, der er tilgængelige i det eller de nationale registre over kompetente myndigheders data med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger (17)"pseudonymisering": behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger, forudsat at sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person (18)"Europoloplysninger": personoplysninger, der behandles af Europol i overensstemmelse med forordning (EU) 2016/794 (19)"tilsynsmyndighed": en uafhængig offentlig myndighed, der er oprettet af en medlemsstat i henhold til artikel 41 i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (20)"SIENA": en sikker netværksapplikation til udveksling af oplysninger, der forvaltes af Europol, og som har til formål at lette udvekslingen af oplysninger mellem medlemsstaterne og Europol (21)"væsentlig hændelse": enhver hændelse, medmindre den har en begrænset indvirkning og sandsynligvis allerede er velforstået med hensyn til metode eller teknologi (22)"væsentlig cybertrussel": en cybertrussel, der har til hensigt, mulighed og evne til at forårsage en væsentlig hændelse (23)"væsentlig sårbarhed": en sårbarhed, der sandsynligvis vil føre til en væsentlig hændelse, hvis den udnyttes (24)"hændelse": en hændelse som omhandlet i artikel 4, stk. 5, i Europa-Parlamentets og Rådets direktiv (EU).../... [forslag NIS 2]. KAPITEL 2 DATAUDVEKSLING AFSNIT 1 DNA-profiler

Artikel 5 Oprettelse af nationale DNA-analysedatabaser 1. Medlemsstaterne opretter og forvalter nationale DNA-analysedatabaser med henblik på efterforskning af strafbare handlinger. Behandlingen af oplysninger i disse registre i henhold til denne forordning foretages i overensstemmelse med denne forordning i overensstemmelse med den nationale lovgivning i medlemsstaterne, der finder anvendelse på behandlingen af disse oplysninger. 2. Medlemsstaterne sikrer tilgængeligheden af DNA-referencedata fra deres nationale DNA-analysedatabaser, jf. stk. 1. DNA-referencedata må ikke indeholde oplysninger, som gør det muligt at identificere en person direkte. DNA-referencedata, som ikke er knyttet til en bestemt person (uidentificerede DNA-profiler) skal kunne genkendes som sådanne. Artikel 6 Elektronisk søgning af DNA-profiler 1. Medlemsstaterne giver de nationale kontaktpunkter, der er omhandlet i artikel 29, og Europol adgang til DNA-referenceoplysningerne i deres DNA-analysedatabaser til at foretage elektronisk søgning ved at sammenligne DNA-profiler med henblik på efterforskning af strafbare handlinger. Søgninger må kun foretages i individuelle tilfælde og i overensstemmelse med den anmodende medlemsstats nationale lovgivning. 2. Hvis det ved en elektronisk søgning konstateres, at en leveret DNA-profil matcher en DNA-profil, der er lagret i den anmodede medlemsstats database, modtager den søgende stats nationale kontaktpunkt elektronisk oplysning om de DNA-referenceoplysninger, som der er konstateret et match med. Hvis der ikke er noget match, underrettes den anmodende medlemsstat automatisk herom. 3. Det nationale kontaktpunkt i den anmodende medlemsstat bekræfter, at DNA-profiloplysninger matcher DNA-referenceoplysninger, som den anmodede medlemsstat ligger inde med efter elektronisk levering af de DNA-referenceoplysninger, der er nødvendige for at bekræfte matchet. Artikel 7 Elektronisk sammenligning af uidentificerede DNA-profiler 1. Medlemsstaterne kan via deres nationale kontaktpunkter sammenligne DNA-profilerne for deres uidentificerede DNA-profiler med alle DNA-profiler fra andre nationale DNA-analysedatabaser med henblik på efterforskning af strafbare handlinger. Leveringen og sammenligningen sker elektronisk. 2. Hvis en anmodet medlemsstat som følge af den sammenligning, der er omhandlet i stk. 1, konstaterer, at de fremsendte DNA-profiler matcher nogen af profilerne i dens DNA-analysedatabaser, meddeler den straks den anmodende medlemsstats nationale kontaktpunkt de DNA-referenceoplysninger, som der er konstateret et match med. 3. Bekræftelsen af et match mellem DNA-profiler og DNA-referenceoplysninger, som den anmodede medlemsstat ligger inde med, foretages af den anmodende medlemsstats nationale kontaktpunkt efter elektronisk levering af de DNA-referenceoplysninger, der er nødvendige for at bekræfte matchet. Artikel 8

Rapportering om DNA-analysefiler Hver medlemsstat underretter Kommissionen og eu-LISA om de nationale DNA-analysedatabaser, som artikel 5-7 finder anvendelse på, i overensstemmelse med artikel 73. Artikel 9 Referencenumre for DNA-profiler Referencenumrene for DNA-profiler er kombinationen af følgende: (a)et referencenummer, der i tilfælde af et match gør det muligt for medlemsstaterne at hente yderligere data og andre oplysninger i deres databaser, jf. artikel 5, med henblik på at levere dem til en, flere eller alle andre medlemsstater i overensstemmelse med artikel 47 og 48 (b)en kode til angivelse af den medlemsstat, der har DNA-profilen (c)en kode til angivelse af typen af DNA-profil (reference-DNA-profiler eller uidentificerede DNA-profiler). Artikel 10 Principper for udveksling af DNA-referenceoplysninger 1. Der træffes passende foranstaltninger for at garantere DNA-referenceoplysningers fortrolighed og integritet under overførsel til andre medlemsstater, herunder kryptering af oplysningerne. 2. Medlemsstaterne træffer de fornødne foranstaltninger til at sikre integriteten af de DNA-profiler, der er stillet til rådighed for eller fremsendt til de andre medlemsstater med henblik på sammenligning, og for at sikre, at disse foranstaltninger overholder relevante internationale standarder for udveksling af DNA-data. 3. Kommissionen vedtager gennemførelsesretsakter med henblik på at præcisere de relevante internationale standarder, der skal anvendes af medlemsstaterne til udveksling af DNA-referenceoplysninger. Disse gennemførelsesretsakter vedtages efter proceduren i artikel 76, stk. 2. Artikel 11 Regler for anmodninger og svar vedrørende DNA-profiler 1. En anmodning om elektronisk søgning eller sammenligning må kun indeholde følgende oplysninger: (a)den anmodende medlemsstats kode (b)anmodningens dato, tidspunkt og indikationsnummer (c)DNA-profiler og deres referencenumre, jf. artikel 9 (d)de fremsendte DNA-profilers typer (uidentificerede DNA-profiler eller reference-DNA-profiler).

2. Svaret på anmodningen i stk. 1 må kun indeholde følgende oplysninger: (a)angivelse af, hvorvidt der er konstateret et match med én eller flere DNA-profiler eller ej (b)anmodningens dato, tidspunkt og indikationsnummer (c)svarets dato, tidspunkt og indikationsnummer (d)koderne for den anmodende og den anmodede medlemsstat (e)referencenumrene på DNA-profilerne for den anmodende og den anmodede medlemsstat (f)de fremsendte DNA-profilers typer (uidentificerede DNA-profiler eller reference-DNA-profiler) (g)de matchende DNA-profiler. 3. Der gives kun elektronisk meddelelse om et match, hvis den elektroniske søgning eller sammenligning har resulteret i et match mellem et mindste antal loci. Kommissionen vedtager gennemførelsesretsakter med henblik på at fastsætte dette mindste antal loci efter proceduren i artikel 76, stk. 2. 4. Hvis en søgning eller sammenligning med uidentificerede DNA-profiler resulterer i et match, kan hver anmodet medlemsstat med matchende oplysninger indsætte en mærkning i sin nationale database, der viser, at der har været et match for den pågældende DNA-profil efter en anden medlemsstats søgning eller sammenligning. 5. Medlemsstaterne sikrer, at anmodningerne er i overensstemmelse med de erklæringer, der sendes i henhold til artikel 8. Disse erklæringer gengives i den praktiske håndbog, der er omhandlet i artikel 78. AFSNIT 2 Fingeraftryksoplysninger Artikel 12 Fingeraftryksreferenceoplysninger 1. Medlemsstaterne sikrer tilgængeligheden af fingeraftryksreferenceoplysninger fra databasen for de nationale elektroniske fingeraftryksidentifikationssystemer, der er oprettet med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger. 2. Fingeraftryksreferenceoplysninger må ikke indeholde oplysninger, som gør det muligt at identificere en fysisk person direkte. 3. Fingeraftryksreferenceoplysninger, der ikke kan henføres til en bestemt person (uidentificerede fingeraftryksoplysninger), skal kunne genkendes som sådanne. Artikel 13 Elektronisk søgning af fingeraftryksoplysninger

1. Med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger giver medlemsstaterne de nationale kontaktpunkter i andre medlemsstater og Europol adgang til fingeraftryksreferenceoplysningerne i de elektroniske fingeraftryksidentifikationssystemer, som de har oprettet til dette formål, til at foretage elektronisk søgning ved at sammenligne fingeraftryksreferenceoplysninger. Søgninger må kun foretages i individuelle tilfælde og i overensstemmelse med den anmodende medlemsstats nationale lovgivning. 2. Det nationale kontaktpunkt i den anmodende medlemsstat bekræfter, at fingeraftryksoplysningerne matcher fingeraftryksreferenceoplysninger, som den anmodede medlemsstat ligger inde med efter elektronisk levering af de fingeraftryksreferenceoplysninger, der er nødvendige for at bekræfte matchet. Artikel 14 Referencenumre for fingeraftryksoplysninger Referencenumrene for fingeraftryksoplysninger er en kombination af følgende: (a)et referencenummer, der i tilfælde af et match gør det muligt for medlemsstaterne at hente yderligere data og andre oplysninger i deres databaser, jf. artikel 12, med henblik på at levere dem til en, flere eller alle andre medlemsstater i overensstemmelse med artikel 47 og 48 (b)en kode til angivelse af den medlemsstat, der ligger inde med fingeraftryksoplysningerne. Artikel 15 Principper for udveksling af fingeraftryksoplysninger 1. Digitaliseringen af fingeraftryksoplysninger og fremsendelsen heraf til de øvrige medlemsstater foretages i et ensartet dataformat. Kommissionen vedtager gennemførelsesretsakter med henblik på at præcisere det ensartede dataformat efter proceduren i artikel 76, stk. 2. 2. Medlemsstaterne sikrer, at kvaliteten af de fingeraftryksoplysninger, som de overfører, er tilstrækkelig høj til, at oplysningerne kan behandles i det elektroniske fingeraftryksidentifikationssystem. 3. Medlemsstaterne træffer passende foranstaltninger til at sikre fortroligheden og integriteten af fingeraftryksoplysninger, der sendes til andre medlemsstater, herunder kryptering heraf. 4. Kommissionen vedtager gennemførelsesretsakter med henblik på at præcisere de relevante eksisterende standarder for udveksling af fingeraftryksoplysninger, der skal anvendes af medlemsstaterne. Disse gennemførelsesretsakter vedtages efter proceduren i artikel 76, stk. 2. Artikel 16 Søgekapacitet for fingeraftryksoplysninger 1. Medlemsstaterne sikrer, at deres søgningsanmodninger ikke overstiger den søgekapacitet, den anmodede medlemsstat har anført. Medlemsstaterne underretter Kommissionen og eu-LISA i overensstemmelse med artikel 79, stk. 8 og 10, om deres maksimale søgekapacitet pr. dag for fingeraftryksoplysninger om identificerede personer og fingeraftryksoplysninger om personer, der endnu ikke er identificeret. 2. Kommissionen vedtager gennemførelsesretsakter med henblik på at præcisere det maksimale antal ansøgere, der accepteres til sammenligning pr. fremsendelse, efter proceduren i artikel 76, stk. 2. Artikel 17

Regler for anmodninger og svar vedrørende fingeraftryksoplysninger 1. En anmodning om elektronisk søgning må kun indeholde følgende oplysninger: (a)den anmodende medlemsstats kode (b)anmodningens dato, tidspunkt og indikationsnummer (c)de fingeraftryksoplysninger og deres referencenumre, der er omhandlet i artikel 14. 2. Svaret på anmodningen i stk. 1 må kun indeholde følgende oplysninger: (a)angivelse af, hvorvidt der er konstateret et match med én eller flere DNA-profiler eller ej (b)anmodningens dato, tidspunkt og indikationsnummer (c)svarets dato, tidspunkt og indikationsnummer (d)koderne for den anmodende og den anmodede medlemsstat (e)referencenumrene på fingeraftryksoplysningerne fra de anmodende og anmodede medlemsstater (f)de matchende fingeraftryksoplysninger. AFSNIT 3 Oplysninger i køretøjsregistre Artikel 18 Elektronisk søgning af oplysninger i køretøjsregistre 1. Med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger giver medlemsstaterne de nationale kontaktpunkter i andre medlemsstater og Europol adgang til følgende nationale oplysninger fra køretøjsregistre med henblik på at foretage elektronisk søgning i individuelle sager: (a)oplysninger vedrørende ejere eller indehavere (b)oplysninger vedrørende køretøjer. 2. Søgningen må kun foretages med et fuldstændigt chassisnummer eller et fuldstændigt registreringsnummer.

3. Søgninger må kun foretages i overensstemmelse med den anmodende medlemsstats nationale lovgivning. Artikel 19 Principper for elektronisk søgning af oplysninger i køretøjsregistre 1. Til elektronisk søgning af oplysninger i køretøjsregistre anvender medlemsstaterne det europæiske informationssystem vedrørende køretøjer og kørekort (Eucaris). 2. De oplysninger, der udveksles via Eucaris, overføres i krypteret form. 3. Kommissionen vedtager gennemførelsesretsakter med henblik på at præcisere dataelementerne i de oplysninger fra køretøjsregistre, der skal udveksles. Disse gennemførelsesretsakter vedtages efter proceduren i artikel 76, stk. 2. Artikel 20 Opbevaring af logfiler 1. Hver medlemsstat fører logfiler over forespørgsler, som personalet hos den myndigheder, der er behørigt bemyndiget til at udveksle oplysninger fra køretøjsregistre, foretager, samt logfiler over forespørgsler, som andre medlemsstater har anmodet om. Europol fører logfiler over forespørgsler, som dets behørigt bemyndigede personale foretager. Hver medlemsstat og Europol fører logfiler over alle databehandlinger vedrørende oplysninger fra køretøjsregistre. Disse logfiler omfatter følgende: (a)den medlemsstat eller det EU-agentur, der fremsætter anmodningen om en forespørgsel (b)dato og klokkeslæt for forespørgslen (c)dato og klokkeslæt for svaret (d)de nationale databaser, hvortil en forespørgsel blev sendt (e)de nationale databaser, der gav et positivt svar. 2. De logfiler, der er omhandlet i stk. 1, må kun anvendes til indsamling af statistikker og databeskyttelsesovervågning, herunder til at kontrollere, om en forespørgsel er antagelig, og om databehandlingen er lovlig, og til at sikre datasikkerhed og -integritet. Disse logfiler beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes et år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige for overvågningsprocedurerne. 3. Med henblik på overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandlingen, har de dataansvarlige adgang til logfilerne til egenkontrol som omhandlet i artikel 56. AFSNIT 4 Ansigtsbilleder

Artikel 21 Ansigtsbilleder 1. Medlemsstaterne sikrer tilgængeligheden af ansigtsbilleder fra deres nationale databaser, der er oprettet med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger. Disse oplysninger må kun omfatte ansigtsbilleder og det referencenummer, der er omhandlet i artikel 23, og skal angive, om ansigtsbillederne er knyttet til en fysisk person eller ej. Medlemsstaterne må i denne forbindelse ikke stille data til rådighed, som gør det muligt direkte at identificere en fysisk person. 2. Ansigtsbilleder, der ikke er knyttet til nogen person (uidentificerede ansigtsbilleder), skal kunne genkendes som sådanne. Artikel 22 Automatisk søgning af ansigtsbilleder 1. Med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger giver medlemsstaterne andre medlemsstaters nationale kontaktpunkter og Europol adgang til ansigtsbilleder, der er lagret i deres nationale databaser, med henblik på at foretage elektroniske søgninger. Søgninger må kun foretages i individuelle tilfælde og i overensstemmelse med den anmodende medlemsstats nationale lovgivning. 2. Den anmodende medlemsstat modtager en liste, der består af match vedrørende sandsynlige kandidater. Den pågældende medlemsstat reviderer listen for at fastslå, om der foreligger et bekræftet match. 3. Der skal fastsættes en standard for minimumskvalitet for at muliggøre søgning i og sammenligning af ansigtsbilleder. Kommissionen vedtager gennemførelsesretsakter med henblik på at præcisere denne standard for minimumskvalitet. Disse gennemførelsesretsakter vedtages efter proceduren i artikel 76, stk. 2. Artikel 23 Referencenumre for ansigtsbilleder Referencenumrene for ansigtsbilleder er kombinationen af følgende: (a)et referencenummer, der i tilfælde af et match gør det muligt for medlemsstaterne at hente yderligere data og andre oplysninger i deres databaser, jf. artikel 21, med henblik på at levere dem til en, flere eller alle andre medlemsstater i overensstemmelse med artikel 47 og 48 (b)en kode til angivelse af den medlemsstat, der ligger inde med ansigtsbillederne. Artikel 24 Regler for anmodninger og svar vedrørende ansigtsbilleder 1. En anmodning om elektronisk søgning må kun indeholde følgende oplysninger: (a)den anmodende medlemsstats kode

(b)anmodningens dato, tidspunkt og indikationsnummer (c)ansigtsbillederne og deres referencenumre, jf. artikel 23. 2. Svaret på anmodningen i stk. 1 må kun indeholde følgende oplysninger: (a)angivelse af, hvorvidt der er konstateret et match med én eller flere DNA-profiler eller ej (b)anmodningens dato, tidspunkt og indikationsnummer (c)svarets dato, tidspunkt og indikationsnummer (d)koderne for den anmodende og den anmodede medlemsstat (e)referencenumrene på ansigtsbillederne fra den anmodende og den anmodede medlemsstat (f)de matchende ansigtsbilleder. AFSNIT 5 Politiregistre Artikel 25 Politiregistre 1. Medlemsstaterne kan beslutte at deltage i den elektroniske udveksling af politiregistre. Medlemsstater, der deltager i den elektroniske udveksling af politiregistre, sikrer tilgængeligheden af biografiske oplysninger om mistænkte og kriminelle fra deres nationale politiregistre, der er oprettet med henblik på efterforskning af strafbare handlinger. Dette datasæt skal, hvis det foreligger, indeholde følgende data: (a)fornavn(e) (b)efternavn(e) (c)kaldenavn(e) (d)fødselsdato (e)nationalitet(er) (f)fødeby og -land

(g)køn. 2. De oplysninger, der er omhandlet i stk. 1, litra a), b), c), e) og f), skal være pseudonymiserede. Artikel 26 Automatisk søgning i politiregistre 1. Med henblik på efterforskning af strafbare handlinger giver medlemsstaterne de nationale kontaktpunkter i andre medlemsstater og Europol adgang til oplysninger fra deres nationale politiregistre med henblik på at foretage elektronisk søgning. Søgninger må kun foretages i individuelle tilfælde og i overensstemmelse med den anmodende medlemsstats nationale lovgivning. 2. Den anmodende medlemsstat modtager listen over match med angivelse af matchenes kvalitet. Den anmodende medlemsstat underrettes også om den medlemsstat, hvis database indeholder data, der har ført til matchet. Artikel 27 Referencenumre for politiregistre Referencenumrene for politiregistre er en kombination af følgende: (a)et referencenummer, der i tilfælde af match gør det muligt for medlemsstaterne at hente personoplysninger og andre oplysninger i deres fortegnelser, jf. artikel 25, med henblik på at levere dem til en, flere eller alle medlemsstater i overensstemmelse med artikel 47 og 48 (b)en kode til angivelse af den medlemsstat, der ligger inde med politiregistrene. Artikel 28 Regler for anmodninger og svar vedrørende politiregistre 1. En anmodning om elektronisk søgning må kun indeholde følgende oplysninger: (a)den anmodende medlemsstats kode (b)anmodningens dato, tidspunkt og indikationsnummer (c)politiets registre og deres referencenumre, jf. artikel 27.

2. Svaret på anmodningen i stk. 1 må kun indeholde følgende oplysninger: (a)angivelse af, hvorvidt der er konstateret et match med én eller flere DNA-profiler eller ej (b)anmodningens dato, tidspunkt og indikationsnummer (c)svarets dato, tidspunkt og indikationsnummer (d)koderne for den anmodende og den anmodede medlemsstat (e)referencenumrene for politiregistrene fra de anmodede medlemsstater. AFSNIT 6 Fælles bestemmelser Artikel 29 Nationale kontaktpunkter Hver medlemsstat udpeger et nationalt kontaktpunkt. De nationale kontaktpunkter er ansvarlige for at levere de oplysninger, der er omhandlet i artikel 6, 7, 13, 18, 22 og 26. Artikel 30 Gennemførelsesforanstaltninger Kommissionen vedtager gennemførelsesretsakter for at præcisere de tekniske ordninger for procedurerne i artikel 6, 7, 13, 18, 22 og 26. Disse gennemførelsesretsakter vedtages efter proceduren i artikel 76, stk. 2. Artikel 31 Tekniske specifikationer Medlemsstaterne og Europol overholder fælles tekniske specifikationer i forbindelse med alle anmodninger og svar vedrørende søgninger og sammenligninger af DNA-profiler, fingeraftryksoplysninger, oplysninger fra køretøjsregistre, ansigtsbilleder og politiregistre. Kommissionen vedtager gennemførelsesretsakter med henblik på at præcisere disse tekniske specifikationer efter proceduren i artikel 76, stk. 2. Artikel 32 Adgang til elektronisk dataudveksling på nationalt plan

1. Medlemsstaterne træffer alle nødvendige foranstaltninger for at sikre, at elektronisk søgning eller sammenligning af DNA-profiler, fingeraftryksoplysninger, oplysninger fra køretøjsregistre, ansigtsbilleder og politiregistre er mulig døgnet rundt og syv dage om ugen. 2. De nationale kontaktpunkter underretter straks hinanden, Kommissionen, Europol og eu-LISA om tekniske fejl, der medfører, at den elektroniske dataudveksling ikke er tilgængelig. De nationale kontaktpunkter aftaler midlertidige alternative ordninger for udveksling af oplysninger i overensstemmelse med gældende EU-ret og national lovgivning. 3. De nationale kontaktpunkter genetablerer straks den elektroniske dataudveksling. Artikel 33 Begrundelse for behandling af oplysninger 1. Hver medlemsstat opbevarer en begrundelse for de forespørgsler, som dens kompetente myndigheder foretager. Europol opbevarer en begrundelse for de forespørgsler, det foretager. 2. Den i stk. 1 omhandlede begrundelse skal omfatte: (a)formålet med forespørgslen, herunder en henvisning til den specifikke sag eller undersøgelse (b)en angivelse af, om forespørgslen vedrører en mistænkt eller en gerningsmand til en strafbar handling (c)en angivelse af, om forespørgslen har til formål at identificere en ukendt person eller få flere oplysninger om en kendt person. 3. De i stk. 2 omhandlede begrundelser må kun bruges til overvågning af databeskyttelse, herunder til at kontrollere, hvorvidt en forespørgsel er antagelig, og lovligheden af databehandlingen, og til at garantere datasikkerhed og -integritet. Disse begrundelser beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes et år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, skal de slettes, når de ikke længere er nødvendige for overvågningsprocedurerne. 4. Med henblik på overvågning af databeskyttelse, herunder kontrol af en forespørgsels antagelighed og lovligheden af databehandlingen, skal de dataansvarlige have adgang til disse begrundelser til egenkontrol som omhandlet i artikel 56. Artikel 34 Anvendelse af det universelle meddelelsesformat 1. Standarden for det universelle meddelelsesformat (UMF) anvendes ved udviklingen af den router, der er omhandlet i artikel 35, og EPRIS. 2. Enhver elektronisk udveksling af data i overensstemmelse med denne forordning skal anvende UMF-standarden.

KAPITEL 3 ARKITEKTUR AFSNIT 1 Router Artikel 35 Routeren 1. Der oprettes en router med det formål at lette etableringen af forbindelser mellem medlemsstaterne og med Europol med henblik på søgning i, hentning af og scoring af biometriske data i overensstemmelse med denne forordning. 2. Routeren skal bestå af: (a)en central infrastruktur, herunder et søgeværktøj, der muliggør samtidig søgning i medlemsstaternes databaser, jf. artikel 5, 12 og 21, samt Europoloplysninger (b)en sikker kommunikationskanal mellem de centrale infrastrukturmedlemsstater og EU-agenturer, der har ret til at anvende routeren (c)en sikker kommunikationsinfrastruktur mellem den centrale infrastruktur og den europæiske søgeportal med henblik på artikel 39. Artikel 36 Anvendelse af routeren Anvendelsen af routeren er forbeholdt de myndigheder i medlemsstaterne, der har adgang til udveksling af DNA-profiler, fingeraftryksoplysninger og ansigtsbilleder, og Europol i overensstemmelse med nærværende forordning og forordning (EU) 2016/794. Artikel 37 Forespørgsler 1. De routerbrugere, der er omhandlet i artikel 36, anmoder om en forespørgsel ved at indsende biometriske data til routeren. Routeren sender anmodningen om en forespørgsel til medlemsstaternes databaser og Europoloplysningerne samtidig med de oplysninger, som brugeren har indsendt, og i overensstemmelse med deres adgangsrettigheder. 2. Når den anmodede medlemsstat og Europol modtager anmodningen om en forespørgsel fra routeren, foretager de straks en søgning i deres databaser på en automatiseret måde. 3. Eventuelle match, der opstår som følge af forespørgslen i hver af medlemsstaternes databaser og Europoloplysningerne, sendes automatisk tilbage til routeren. 4. Routeren rangordner svarene i overensstemmelse med scoren for overensstemmelsen mellem de biometriske oplysninger, der anvendes til søgning, og de biometriske oplysninger, der er lagret i medlemsstaternes databaser og Europoloplysningerne.

5. Routeren returnerer listen over matchende biometriske data og deres score til routerbrugeren. 6. Kommissionen vedtager gennemførelsesretsakter med henblik på at præcisere den tekniske procedure for routerens søgning i medlemsstaternes databaser og Europoloplysningerne, formatet for routerens svar og de tekniske regler for vurdering af overensstemmelsen mellem biometriske data. Disse gennemførelsesretsakter vedtages efter proceduren i artikel 76, stk. 2. Artikel 38 Kvalitetskontrol Den anmodede medlemsstat kontrollerer kvaliteten af de fremsendte oplysninger ved hjælp af en fuldt automatiseret procedure. Hvis oplysningerne ikke er egnede til en automatisk sammenligning, underretter den anmodede medlemsstat straks den anmodende medlemsstat herom via routeren. Artikel 39 Interoperabilitet mellem routeren og det fælles identitetsregister med henblik på adgang til retshåndhævelse 1. De routerbrugere, der er omhandlet i artikel 36, kan foretage en forespørgsel i medlemsstaternes databaser og Europoloplysningerne samtidig med en forespørgsel til det fælles identitetsregister, hvis de relevante betingelser i henhold til EU-retten er opfyldt, og i overensstemmelse med deres adgangsrettigheder. Til dette formål søger routeren i det fælles identitetsregister via den europæiske søgeportal. 2. Forespørgsler til det fælles identitetsregister med henblik på retshåndhævelse foretages i overensstemmelse med artikel 22 i forordning (EU) 2019/817 og artikel 22 i forordning (EU) 2019/818. Ethvert resultat af forespørgslerne sendes via den europæiske søgeportal. Kun udpegede myndigheder som defineret i artikel 4, nr. 20, i forordning (EU) 2019/817 og artikel 4, nr. 20, i forordning (EU) 2019/818 kan iværksætte disse samtidige forespørgsler. Samtidige søgninger i medlemsstaternes databaser og Europoloplysninger og det fælles identitetsregister må kun iværksættes i tilfælde, hvor det er sandsynligt, at oplysninger om en mistænkt, gerningsmand eller et offer for en terrorhandling eller andre alvorlige strafbare handlinger som defineret i henholdsvis artikel 4, nr. 21) og 22), i forordning (EU) 2019/817 og artikel 4, nr. 21 og 22, i forordning (EU) 2019/818 er lagret i det fælles identitetsregister. Artikel 40 Opbevaring af logfiler 1. eu-LISA fører logfiler over alle databehandlingsaktiviteter i routeren. Disse logfiler omfatter følgende: (a)den medlemsstat eller det EU-agentur, der fremsætter anmodningen om en forespørgsel (b)dato og klokkeslæt for forespørgslen (c)dato og klokkeslæt for svaret (d)de nationale databaser eller Europoloplysninger, hvortil der er sendt en anmodning om en forespørgsel (e)de nationale databaser eller Europoloplysninger, der har givet et svar

(f)hvor det er relevant, det forhold, at der var en samtidig forespørgsel til det fælles identitetsregister. 2. Hver medlemsstat fører logfiler over forespørgsler, som dens kompetente myndigheder og personalet hos de myndigheder, der er behørigt bemyndiget til at anvende routeren, foretager, samt logfiler over forespørgsler, som andre medlemsstater har anmodet om. Europol fører logfiler over forespørgsler, som dets behørigt bemyndigede personale foretager. 3. De logfiler, der er omhandlet i stk. 1 og 2, må kun anvendes til indsamling af statistikker og databeskyttelsesovervågning, herunder til at kontrollere, om en forespørgsel er antagelig, og om databehandlingen er lovlig, og til at sikre datasikkerhed og -integritet. Disse logfiler beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes et år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige for overvågningsprocedurerne. 4. Med henblik på overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandlingen, har de dataansvarlige adgang til logfilerne til egenkontrol som omhandlet i artikel 56. Artikel 41 Meddelelsesprocedurer, hvis det er teknisk umuligt at anvende routeren 1. Hvis det er teknisk umuligt at anvende routeren til at forespørge i en eller flere nationale databaser eller Europoloplysningerne på grund af routersvigt, underrettes routerens brugere automatisk af eu-LISA. eu-LISA træffer omgående foranstaltninger til at afhjælpe det forhold, der gør det teknisk umuligt at anvende routeren. 2. Hvis det er teknisk umuligt at anvende routeren til at søge i en eller flere nationale databaser eller Europoloplysninger på grund af svigt i den nationale infrastruktur i en medlemsstat, underretter den pågældende medlemsstat elektronisk de øvrige medlemsstater, eu-LISA og Kommissionen herom. Medlemsstaterne træffer omgående foranstaltninger til at afhjælpe det forhold, der gør det teknisk umuligt at anvende routeren. 3. Hvis det er teknisk umuligt at anvende routeren til at søge i en eller flere nationale databaser eller Europoloplysningerne på grund af svigt i Europols infrastruktur, underretter Europol medlemsstaterne, eu-LISA og Kommissionen elektronisk. Europol træffer straks foranstaltninger til at afhjælpe den manglende tekniske mulighed for at anvende routeren. AFSNIT 2 EPRIS Artikel 42 EPRIS 1. Til elektronisk søgning af politiregistre som omhandlet i artikel 26 anvender medlemsstaterne og Europol det europæiske politiregisterindekssystem (EPRIS). 2. EPRIS består af: (a)en central infrastruktur, herunder et søgeværktøj, der muliggør samtidig søgning i medlemsstaternes databaser (b)en sikker kommunikationskanal mellem EPRIS' centrale infrastruktur, medlemsstaterne og Europol. Artikel 43

Anvendelse af EPRIS 1. Med henblik på søgning i politiregistre via EPRIS anvendes følgende datasæt: (a)fornavn(e) (b)efternavn(e) (c)fødselsdato. 2. Følgende datasæt kan også anvendes, hvis de foreligger: (a)kaldenavn(e) (b)nationalitet(er) (c)fødeby og -land (d)køn. 3. De data, der er omhandlet i stk. 1, litra a) og b), og i stk. 2, litra a), b) og c), og som anvendes til forespørgsler, skal være pseudonymiserede. Artikel 44 Forespørgsler 1. Medlemsstaterne og Europol anmoder om en forespørgsel ved at indsende de oplysninger, der er omhandlet i artikel 43. EPRIS sender anmodningen om en forespørgsel til medlemsstaternes databaser med de oplysninger, som den anmodende medlemsstat har indsendt, og i overensstemmelse med denne forordning. 2. Ved modtagelse af anmodningen om en forespørgsel fra EPRIS foretager hver af de anmodede medlemsstater en søgning i deres nationale politiregistre på en automatiseret måde og uden forsinkelse. 3. Eventuelle match, der opstår som følge af forespørgslen i hver medlemsstats database, sendes automatisk tilbage til EPRIS. 4. EPRIS returnerer listen over match til den anmodende medlemsstat. Listen over match skal angive matchets kvalitet samt den medlemsstat, hvis database indeholder data, der har ført til matchet. 5. Efter modtagelse af listen over match træffer den anmodende medlemsstat afgørelse om, hvilke match der skal følges op på, og sender en begrundet opfølgningsanmodning med eventuelle yderligere relevante oplysninger til den eller de anmodede medlemsstater via SIENA. 6. Den eller de anmodede medlemsstater behandler straks sådanne anmodninger for at afgøre, om de vil dele de data, der er lagret i deres database.

Efter bekræftelse udveksler den eller de anmodede medlemsstater de oplysninger, der er omhandlet i artikel 43, hvis de foreligger. Denne udveksling af oplysninger finder sted via SIENA. 7. Kommissionen vedtager gennemførelsesretsakter med henblik på at præcisere den tekniske procedure for EPRIS til søgning i medlemsstaternes databaser og formatet for svarene. Disse gennemførelsesretsakter vedtages efter proceduren i artikel 76, stk. 2. Artikel 45 Opbevaring af logfiler 1. Europol fører logfiler over alle databehandlingsaktiviteter i EPRIS. Disse logfiler omfatter følgende: (a)den medlemsstat eller det EU-agentur, der fremsætter anmodningen om en forespørgsel (b)dato og klokkeslæt for forespørgslen (c)dato og klokkeslæt for svaret (d)de nationale databaser, hvortil en forespørgsel blev sendt (e)de nationale databaser, der gav et svar. 2. Hver medlemsstat fører logfiler over de anmodninger om forespørgsler, som dens kompetente myndigheder og personalet hos de myndigheder, der er behørigt bemyndiget til at anvende EPRIS, foretager. Europol fører logfiler over anmodninger om forespørgsler, som dets behørigt bemyndigede personale foretager. 3. De i stk. 1 og 2 omhandlede logfiler må kun bruges til overvågning af databeskyttelsen, herunder til at kontrollere, hvorvidt en forespørgsel er antagelig, og lovligheden af databehandlingen, og til at garantere datasikkerhed og -integritet. Disse logfiler beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes et år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige for overvågningsprocedurerne. 4. Med henblik på overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandlingen, har de dataansvarlige adgang til logfilerne til egenkontrol som omhandlet i artikel 56. Artikel 46 Meddelelsesprocedurer, hvis det er teknisk umuligt at anvende EPRIS 1. Hvis det er teknisk umuligt at anvende EPRIS til at søge i en eller flere nationale databaser på grund af svigt i Europols infrastruktur, underretter Europol medlemsstaterne elektronisk. Europol træffer straks foranstaltninger til at afhjælpe den manglende tekniske mulighed for at anvende EPRIS. 2. Hvis det er teknisk umuligt at anvende EPRIS til at søge i en eller flere nationale databaser på grund af svigt i den nationale infrastruktur i en medlemsstat, underretter den pågældende medlemsstat Europol og Kommissionen elektronisk. Medlemsstaterne træffer omgående foranstaltninger til at afhjælpe det forhold, der gør det teknisk umuligt at anvende EPRIS. KAPITEL 4

UDVEKSLING AF DATA EFTER ET MATCH Artikel 47 Udveksling af centrale data Hvis procedurerne i artikel 6, 7, 13 eller 22 viser, at der er et match mellem de oplysninger, der er anvendt til søgningen eller sammenligningen, og oplysningerne i den eller de anmodede medlemsstaters database, og når den anmodende medlemsstat har bekræftet dette match, tilbagesender den anmodede medlemsstat et sæt centrale oplysninger via routeren inden for 24 timer. Dette sæt centrale data skal, hvis det foreligger, indeholde følgende data: (a)fornavn(e) (b)efternavn(e) (c)fødselsdato (d)nationalitet(er) (e)fødeby og -land (f)køn. Artikel 48 Anvendelse af SIENA Enhver udveksling, som ikke udtrykkeligt er fastsat i denne forordning, mellem medlemsstaternes kompetente myndigheder eller med Europol på et hvilket som helst tidspunkt i en af procedurerne i henhold til denne forordning, finder sted via SIENA. KAPITEL 5 EUROPOL Artikel 49 Medlemsstaternes adgang til biometriske oplysninger fra tredjelande, som er lagret af Europol 1. Medlemsstaterne skal i overensstemmelse med forordning (EU) 2016/794 have adgang til og kunne søge via routeren i biometriske oplysninger, som tredjelande har leveret til Europol med henblik på artikel 18, stk. 2, litra a), b) og c), i forordning (EU) 2016/794. 2. Hvis denne procedure resulterer i et match mellem de oplysninger, der anvendes til søgningen, og Europoloplysningerne, skal opfølgningen finde sted i overensstemmelse med forordning (EU) 2016/794. Artikel 50

Europols adgang til oplysninger, der er lagret i medlemsstaternes databaser 1. Europol har i overensstemmelse med forordning (EU) 2016/794 adgang til oplysninger, som medlemsstaterne lagrer i deres nationale databaser i overensstemmelse med nærværende forordning. 2. Europols forespørgsler, der foretages med biometriske oplysninger som søgekriterium, foretages ved hjælp af routeren. 3. Europols forespørgsler, der foretages med oplysninger fra køretøjsregistre som søgekriterium, foretages ved hjælp af Eucaris. 4. Europols forespørgsler, der foretages med politiregistre som søgekriterium, foretages ved hjælp af EPRIS. 5. Europol foretager kun søgninger i overensstemmelse med stk. 1, når det udfører sine opgaver som omhandlet i forordning (EU) 2016/794. 6. Hvis de procedurer, der er omhandlet i artikel 6, 7, 13 eller 22, viser, at der er et match mellem de oplysninger, der er anvendt til søgningen eller sammenligningen, og oplysningerne i den eller de anmodede medlemsstaters nationale database, og efter Europols bekræftelse af dette match, beslutter den anmodede medlemsstat inden for 24 timer, om der skal returneres et sæt centrale oplysninger via routeren. Dette sæt centrale data skal, hvis det foreligger, indeholde følgende data: (a)fornavn(e) (b)efternavn(e) (c)fødselsdato (d)nationalitet(er) (e)fødeby og -land (f)køn. 7. Europols anvendelse af oplysninger, der er fremkommet ved en søgning i henhold til stk. 1 og ved udveksling af centrale oplysninger i henhold til stk. 6, er betinget af samtykke fra den medlemsstat, i hvis database matchet fandt sted. Hvis medlemsstaten giver tilladelse til at benytte sådanne oplysninger, skal Europols behandling finde sted i overensstemmelse med forordning (EU) 2016/794. KAPITEL 6 DATABESKYTTELSE Artikel 51 Formålet med oplysningerne 1. Den anmodende medlemsstats eller Europols behandling af personoplysninger er kun tilladt til de formål, hvortil oplysningerne er blevet videregivet af den anmodede medlemsstat i overensstemmelse med denne forordning. Behandling til andre formål er kun tilladt efter forudgående tilladelse fra den anmodede medlemsstat. 2. Den medlemsstat, der søger eller sammenligner oplysninger, må kun behandle de oplysninger, der er leveret i henhold til artikel 6, 7, 13, 18 eller 22, med henblik på at:

(a)fastslå, om de sammenlignede DNA-profiler, fingeraftryksoplysninger, oplysninger fra køretøjsregistre, ansigtsbilleder og politiregistre matcher (b)udarbejde og indgive en politianmodning om retshjælp, hvis disse oplysninger matcher (c)Foretage logning som omhandlet i artikel 40 og 45. 3. Den anmodende medlemsstat må kun behandle de oplysninger, der er videregivet til den i overensstemmelse med artikel 6, 7, 13 eller 22, hvis dette er nødvendigt med henblik på denne forordning. De leverede oplysninger slettes umiddelbart efter en sammenligning af oplysninger eller elektroniske svar på søgninger, medmindre den anmodende medlemsstat har behov for yderligere behandling med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger. 4. Oplysninger, der er meddelt i overensstemmelse med artikel 18, må kun anvendes af den anmodende medlemsstat, hvis det er nødvendigt med henblik på denne forordning. Når søgningen er besvaret elektronisk, skal de leverede oplysninger straks slettes, medmindre der er behov for yderligere behandling med henblik på registrering som omhandlet i artikel 20. Den anmodende medlemsstat må kun anvende de oplysninger, der er fundet ved søgningen, til den procedure, på grundlag af hvilken søgningen er foretaget. Artikel 52 Nøjagtighed, aktualitet og lagring af oplysninger 1. Medlemsstaterne sikrer personoplysningers rigtighed og aktualitet. Hvis en anmodet medlemsstat bliver opmærksom på, at der er blevet leveret ukorrekte oplysninger eller oplysninger, som ikke burde være leveret, skal dette straks meddeles til enhver anmodende medlemsstat. Alle berørte anmodende medlemsstater er forpligtet til at berigtige eller slette oplysningerne i overensstemmelse hermed. Desuden skal leverede personoplysninger rettes, hvis det viser sig, at de er urigtige. Hvis den anmodende medlemsstat har grund til at tro, at de leverede oplysninger er ukorrekte eller bør slettes, underrettes den anmodede medlemsstat herom. 2. Hvis en registreret bestrider rigtigheden af de oplysninger, som en medlemsstat er i besiddelse af, og hvis den pågældende medlemsstat ikke kan fastslå rigtigheden på pålidelig vis, og hvis den registrerede anmoder herom, forsynes de pågældende oplysninger med en påtegning. Hvis der findes en sådan påtegning, må medlemsstaterne kun fjerne den med den registreredes tilladelse eller på grundlag af en afgørelse truffet af den kompetente domstol eller den uafhængige databeskyttelsesmyndighed. 3. Leverede oplysninger slettes, hvis de ikke skulle have været leveret eller modtaget. Retmæssigt leverede og modtagne oplysninger slettes, (a)hvis de ikke eller ikke længere er nødvendige til det formål, hvortil de er leveret (b)efter udløbet af den maksimale frist for opbevaring af oplysninger, der er fastsat i den anmodede medlemsstats nationale lovgivning, hvis den anmodede medlemsstat har underrettet den anmodende medlemsstat om denne maksimale frist på tidspunktet for videregivelsen af oplysningerne. Hvis der er grund til at tro, at sletning af oplysninger vil være til skade for den registreredes interesser, blokeres oplysningerne i stedet for at blive slettet. Blokerede oplysninger må kun leveres eller bruges til det formål, af hensyn til hvilket sletning er undladt. Artikel 53 Databehandler 1) eu-LISA er databehandler som omhandlet i artikel 3, nr. 12), i forordning (EU) 2018/1725 for behandling af personoplysninger via routeren. 2. Europol er databehandler i forbindelse med behandling af personoplysninger via EPRIS. Artikel 54 Behandlingssikkerhed 1. Europol, eu-LISA og medlemsstaternes myndigheder sørger for sikkerheden i forbindelse med behandlingen af personoplysninger, der finder sted i henhold til denne forordning. Europol, eu-LISA og medlemsstaternes myndigheder samarbejder om sikkerhedsrelaterede opgaver.

2. Med forbehold af artikel 33 i forordning (EU) 2018/1725 og artikel 32 i forordning (EU) 2016/794 træffer eu-LISA og Europol de nødvendige foranstaltninger til at garantere sikkerheden for henholdsvis routeren og EPRIS samt den tilhørende kommunikationsinfrastruktur. 3. Navnlig vedtager eu-LISA og Europol de nødvendige foranstaltninger vedrørende henholdsvis routeren og EPRIS, herunder en sikkerhedsplan, en driftskontinuitetsplan og en katastrofeberedskabsplan med henblik på at: (a)beskytte data fysisk, bl.a. ved at udarbejde beredskabsplaner for beskyttelse af kritisk infrastruktur (b)forhindre uautoriserede personers adgang til databehandlingsudstyr og -installationer (c)forhindre, at uautoriserede personer læser, kopierer, ændrer eller fjerner datamedier (d)forhindre uautoriseret indlæsning af data samt uautoriseret læsning, ændring eller sletning af registrerede personoplysninger (e)forhindre uautoriseret behandling af data samt uautoriseret kopiering, ændring eller sletning af data (f)forhindre uautoriserede personers brug af automatiserede databehandlingssystemer ved anvendelse af datakommunikationsudstyr (g)sikre, at autoriserede personer i forhold til at få adgang til routeren og EPRIS kun får adgang til de data, der er omfattet af deres adgangstilladelse, ved hjælp af individuelle brugeridentiteter og fortrolige adgangsmetoder (h)sikre, at det er muligt at kontrollere og fastslå, til hvilke organer personoplysninger må videregives via datatransmissionsudstyr (i)sikre, at det er muligt at kontrollere og fastslå, hvilke oplysninger der er blevet behandlet i routeren og EPRIS, hvornår, af hvem og til hvilket formål (j)forhindre uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger under fremsendelsen af personoplysninger til eller fra routeren og EPRIS eller under fremsendelsen af datamedier, navnlig ved hjælp af passende krypteringsteknikker (k)sikre, at de installerede systemer i tilfælde af afbrydelse kan genetableres til normal drift (l)sikre pålidelighed ved at sørge for, at eventuelle funktionsfejl i routeren og EPRIS indberettes behørigt (m)overvåge effektiviteten af de i dette stykke omhandlede sikkerhedsforanstaltninger og træffe de nødvendige organisatoriske foranstaltninger vedrørende intern overvågning for at sikre overholdelsen af denne forordning og for at vurdere disse sikkerhedsforanstaltninger i lyset af ny teknologiske udvikling. Artikel 55 Sikkerhedshændelser 1. Enhver hændelse, der har eller kan have indvirkning på sikkerheden i routeren eller EPRIS og kan forårsage skade eller tab af data, som er lagret deri, anses for at være en sikkerhedshændelse, især når der er sket uautoriseret adgang til data, eller når tilgængeligheden, integriteten og fortroligheden af data er eller kan være blevet sat over styr. 2. Sikkerhedshændelser skal håndteres således, at en hurtig, effektiv og passende reaktion sikres. 3. Medlemsstaterne underretter uden unødig forsinkelse deres kompetente tilsynsmyndigheder om eventuelle sikkerhedshændelser.

Med forbehold af artikel 34 i forordning (EU) 2016/794 underretter Europol CERT-EU om væsentlige cybertrusler, væsentlige sårbarheder og væsentlige hændelser uden unødig forsinkelse og under alle omstændigheder senest 24 timer efter, at Europol er blevet bekendt med dem. Anvendelige og relevante tekniske detaljer om cybertrusler, sårbarheder og hændelser, der gør det muligt at foretage proaktiv detektion, reagere på hændelser eller træffe afhjælpende foranstaltninger, skal uden unødig forsinkelse meddeles til CERT-EU. I tilfælde af en sikkerhedshændelse i forbindelse med routerens centrale infrastruktur underretter eu-LISA CERT-EU om væsentlige cybertrusler, væsentlige sårbarheder og væsentlige hændelser uden unødig forsinkelse og under alle omstændigheder senest 24 timer efter, at eu-LISA har fået kendskab til dem. Anvendelige og relevante tekniske detaljer om cybertrusler, sårbarheder og hændelser, der gør det muligt at foretage proaktiv detektion, reagere på hændelser eller træffe afhjælpende foranstaltninger, skal uden unødig forsinkelse meddeles til CERT-EU. 4. Oplysninger om en sikkerhedshændelse, der har eller kan have indvirkning på routerens drift eller på dataenes tilgængelighed, integritet og fortrolighed, skal af de berørte medlemsstater og EU-agenturer straks gives til medlemsstaterne og Europol og indberettes i overensstemmelse med den hændelsesstyringsplan, der skal udarbejdes af eu-LISA. 5. Oplysninger om en sikkerhedshændelse, der har eller kan have indvirkning på