02018R1861 — ES — 11.06.2019 — 001.001

Este texto es exclusivamente un instrumento de documentación y no surte efecto jurídico. Las instituciones de la UE no asumen responsabilidad alguna por su contenido. Las versiones auténticas de los actos pertinentes, incluidos sus preámbulos, son las publicadas en el Diario Oficial de la Unión Europea, que pueden consultarse a través de EUR-Lex. Los textos oficiales son accesibles directamente mediante los enlaces integrados en este documento

Modificado por:









▼B

REGLAMENTO (UE) 2018/1861 DEL PARLAMENTO EUROPEO Y DEL CONSEJO

de 28 de noviembre de 2018

relativo al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen (SIS) en el ámbito de las inspecciones fronterizas, por el que se modifica el Convenio de aplicación del Acuerdo de Schengen y se modifica y deroga el Reglamento (CE) n.o 1987/2006







CAPÍTULO I

DISPOSICIONES GENERALES

Artículo 1

Finalidad general del SIS

El SIS tiene por finalidad garantizar un alto nivel de seguridad en el espacio de libertad, seguridad y justicia de la Unión, con inclusión del mantenimiento de la seguridad y el orden públicos y la salvaguardia de la seguridad en el territorio de los Estados miembros, y garantizar la aplicación de las disposiciones del capítulo 2 del título V de la tercera parte del TFUE relativas a la circulación de personas en sus territorios, con la ayuda de la información transmitida a través de este sistema.

Artículo 2

Objeto

1. El presente Reglamento establece las condiciones y los procedimientos para la introducción en el SIS y el tratamiento de las descripciones sobre nacionales de terceros países, y para el intercambio de información complementaria y datos adicionales a efectos de la denegación de entrada y estancia en el territorio de los Estados miembros.

2. El presente Reglamento establece también disposiciones sobre la arquitectura técnica del SIS, las responsabilidades de los Estados miembros y de la Agencia de la Unión Europea para la gestión operativa de sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia (eu-LISA), el tratamiento general de los datos, los derechos de los interesados y la responsabilidad.

Artículo 3

Definiciones

A efectos del presente Reglamento, se entenderá por:

1) «descripción» : un conjunto de datos introducidos en el SIS que permiten a las autoridades competentes identificar a una persona a fin de adoptar una medida específica;

2) «información complementaria» : información que no forma parte de los datos de una descripción almacenada en el SIS, pero que está relacionada con descripciones del SIS y se intercambiará a través de las oficinas Sirene: a) a fin de que los Estados miembros puedan consultarse o informarse entre sí al introducir una descripción; b) tras la obtención de una respuesta positiva, a fin de poder adoptar la medida adecuada; c) cuando no pueda ejecutarse la medida requerida; d) al tratar de la calidad de los datos del SIS; e) al tratar de la compatibilidad y prioridad de las descripciones; f) al tratar del ejercicio del derecho de acceso;

3) «datos adicionales» : los datos almacenados en el SIS y relacionados con las descripciones del SIS que deben estar inmediatamente a disposición de las autoridades competentes cuando, como resultado de una consulta del SIS, se localice a personas sobre las cuales se hayan introducido datos en el SIS;

4) «nacional de un tercer país» : cualquier persona que no sea ciudadano de la Unión en el sentido del artículo 20, apartado 1, del TFUE, a excepción de las personas que disfruten de derechos de libre circulación equivalentes a los de los ciudadanos de la Unión en virtud de acuerdos celebrados entre la Unión, o la Unión y sus Estados miembros, por una parte, y terceros países, por otra parte;

5) «datos personales» : los datos personales según la definición del artículo 4, punto 1, del Reglamento (UE) 2016/679;

6) «tratamiento de datos personales» : cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, inscripción, registro, organización, estructuración, almacenamiento, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

7) «coincidencia» : la realización de los siguientes pasos: a) un usuario final ha realizado una consulta en el SIS; b) la consulta ha arrojado como resultado la existencia de una descripción introducida en el SIS por otro Estado miembro; y c) los datos relativos a la descripción en el SIS coinciden con los datos utilizados para la consulta;

8) «respuesta positiva» : toda coincidencia que cumpla los siguientes criterios: a) haber sido confirmada por: i) el usuario final; o ii) la autoridad competente con arreglo a los procedimientos nacionales, cuando la coincidencia en cuestión estuviese basada en la comparación de datos biométricos; y b) requerir la adopción de medidas;

9) «Estado miembro emisor» : el Estado miembro que ha introducido la descripción en el SIS;

10) «Estado miembro de concesión» : el Estado miembro que está considerando conceder o prorrogar un permiso de residencia o un visado para estancia de larga duración o que los ha concedido o prorrogado, y que participa en el procedimiento de consulta con otro Estado miembro;

11) «Estado miembro de ejecución» : el Estado miembro que adopta o ha adoptado las medidas requeridas a raíz de una respuesta positiva;

12) «usuario final» : todo miembro del personal de una autoridad competente autorizado para consultar directamente la CS-SIS, el N.SIS o una copia técnica de estos;

13) «datos biométricos» : los datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características morfológicas o fisiológicas de una persona física, que permitan o confirmen la identificación única de dicha persona, a saber, fotografías, imágenes faciales y datos dactiloscópicos;

14) «datos dactiloscópicos» : los datos relativos a impresiones dactilares o palmares que, debido a su carácter único y a los puntos de referencia que contienen, permiten comparaciones concluyentes y precisas sobre la identidad de una persona;

15) «imagen facial» : las imágenes digitales del rostro con una resolución de imagen y calidad suficientes para ser utilizadas en el sistema de correspondencias biométricas automatizadas;

16) «retorno» : el retorno tal como se define en el artículo 3, punto 3, de la Directiva 2008/115/CE;

17) «prohibición de entrada» : una prohibición de entrada tal como se define en el artículo 3, punto 6, de la Directiva 2008/115/CE;

18) «delitos de terrorismo» : los delitos previstos en el Derecho nacional a los que se refieren los artículos 3 a 14 de la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo ( 1 ) o equivalentes a alguno de tales delitos en el caso de los Estados miembros que no estén vinculados por la citada Directiva;

19) «permiso de residencia» : un permiso de residencia tal como se define en el artículo 2, punto 16, del Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo ( 2 );

20) «visado para estancia de larga duración» : un visado para estancia de larga duración tal como se recoge en el artículo 18, apartado 1, del Convenio de aplicación del Acuerdo de Schengen;

21) «amenaza para la salud pública» : una amenaza para la salud pública tal como se define en el artículo 2, punto 21, del Reglamento (UE) 2016/399;

▼M1

22) «PEB» : el portal europeo de búsqueda establecido por el artículo 6, apartado 1, del Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo ( 3 );

23) «SCB compartido» : el servicio de correspondencia biométrica compartido establecido por el artículo 12, apartado 1, del Reglamento (UE) 2019/817;

24) «RCDI» : el registro común de datos de identidad establecido por el artículo 17, apartado 1, del Reglamento (UE) 2019/817;

25) «DIM» : el detector de identidades múltiples establecido por el artículo 25, apartado 1, del Reglamento (UE) 2019/817.

▼B

Artículo 4

Arquitectura técnica y funcionamiento del SIS

1. El SIS se compondrá de:

a) un sistema central (SIS Central) compuesto por:

i) una unidad de apoyo técnico («CS-SIS») que contendrá una base de datos (en lo sucesivo, «base de datos del SIS») y que incluirá una copia de seguridad de la CS-SIS;

ii) una interfaz nacional uniforme («NI-SIS»);

▼M1

b) un sistema nacional (N.SIS) en cada Estado miembro, compuesto por los sistemas de datos nacionales que se comunican con el SIS Central, y que incluirá al menos un N.SIS de respaldo nacional o compartido;

c) una infraestructura de comunicación entre la CS-SIS, la copia de seguridad de la CS-SIS y la NI-SIS (en lo sucesivo, «infraestructura de comunicación») que proporcione una red virtual codificada dedicada a los datos del SIS y al intercambio de datos entre las oficinas SIRENE como dispone el artículo 7, apartado 2; y

d) una infraestructura de comunicación segura entre la CS-SIS y las infraestructuras centrales del PEB, el SCB compartido y el DIM.

▼B

El N.SIS a que se refiere la letra b) podrá contener un fichero de datos (la denominada «copia nacional») con una copia total o parcial de la base de datos del SIS. Dos o más Estados miembros podrán establecer en uno de sus N.SIS una copia compartida que podrá ser usada conjuntamente por esos Estados miembros. La copia compartida se considerará la copia nacional de cada uno de esos Estados miembros.

Dos o más Estados miembros podrán usar conjuntamente el N.SIS de respaldo compartido a que se refiere la letra b). En tales casos, el N.SIS de respaldo compartido se considerará el N.SIS de respaldo de cada uno de esos Estados miembros. El N.SIS y su copia de respaldo podrán utilizarse simultáneamente para garantizar una disponibilidad ininterrumpida a los usuarios finales.

Los Estados miembros que tengan previsto crear una copia compartida o un N.SIS de respaldo compartido para usarlos conjuntamente acordarán sus respectivas responsabilidades por escrito. Notificarán dicho acuerdo a la Comisión.

La infraestructura de comunicación contribuirá a garantizar la disponibilidad ininterrumpida del SIS y prestará apoyo para ello. Incluirá rutas redundantes y separadas para las conexiones entre la CS-SIS y la copia de seguridad de la CS-SIS y también incluirá rutas redundantes y separadas para las conexiones entre cada punto acceso nacional a la red del SIS y la CS-SIS y la copia de seguridad de la CS-SIS.

2. Los Estados miembros introducirán, actualizarán, suprimirán y consultarán datos del SIS a través de sus propios N.SIS. Los Estados miembros que usen una copia nacional parcial o completa, o una copia compartida parcial o completa la hará disponible para la realización de consultas automatizadas en el territorio de cada uno de esos Estados miembros. La copia parcial nacional o compartida contendrá, como mínimo, los datos enumerados en el artículo 20, apartado 2, letras a) a v). No se permitirá la consulta de ficheros de datos del N. SIS de otros Estados miembros, excepto en el caso de las copias compartidas.

3. La CS-SIS realizará funciones de supervisión y gestión técnicas y conservará una copia de seguridad de la CS-SIS, capaz de realizar todas las funciones de la CS-SIS principal en caso de fallo de este sistema. La CS-SIS y la copia de seguridad de la CS-SIS deberán estar situadas en los dos emplazamientos técnicos de eu-LISA.

4. Eu-LISA implantará soluciones técnicas para reforzar la disponibilidad ininterrumpida del SIS, mediante el funcionamiento simultáneo de la CS-SIS y su copia de seguridad, a condición de que la copia de seguridad de la CS-SIS siga siendo capaz de garantizar el funcionamiento del SIS en caso de fallo de la CS-SIS, o mediante la duplicación del sistema o de sus componentes. Sin perjuicio de los requisitos de procedimiento establecidos en el artículo 10 del Reglamento (UE) 2018/1726, eu-LISA preparará, a más tardar el 28 de diciembre de 2019, un estudio sobre las opciones en lo que respecta a las soluciones técnicas que contenga una evaluación de impacto independiente y un análisis coste-beneficio.

5. Cuando sea necesario por circunstancias excepcionales, eu-LISA podrá realizar temporalmente una copia adicional de la base de datos del SIS.

6. La CS-SIS prestará los servicios necesarios para la introducción y el tratamiento de datos del SIS, incluida la realización de consultas en la base de datos del SIS. Para los Estados miembros que utilicen una copia nacional o compartida, la CS-SIS garantizará:

a) la actualización en línea de las copias nacionales;

b) la sincronización y coherencia entre las copias nacionales y la base de datos del SIS; y

c) la inicialización y restauración de las copias nacionales.

7. La CS-SIS asegurará una disponibilidad ininterrumpida.

▼M1

8. Sin perjuicio de los apartados 1 a 5, los datos del SIS también podrán consultarse a través del PEB.

9. Sin perjuicio de los apartados 1 a 5, los datos del SIS también podrán transmitirse a través de la infraestructura de comunicación segura a que se refiere el apartado 1, letra d). Estas transmisiones solo podrán realizarse en la medida en que los datos sean necesarios a efectos del Reglamento (UE) 2019/817.

▼B

Artículo 5

Costes

1. Los costes de funcionamiento, mantenimiento y ulterior desarrollo del SIS Central y de la infraestructura de comunicación correrán a cargo del presupuesto general de la Unión. Dichos costes incluirán los trabajos realizados en relación con la CS-SIS para garantizar la prestación de los servicios a que se refiere el artículo 4, apartado 6.

2. La financiación necesaria para sufragar los costes de la aplicación del presente Reglamento se asignará con cargo a la dotación de 791 millones de euros prevista en el artículo 5, apartado 5, letra b), del Reglamento (UE) n.o 515/2014.

3. A partir de la dotación a que se refiere el apartado 2 y sin perjuicio de otras posibles fuentes de financiación procedentes del presupuesto general de la Unión para este fin, se destinarán 31 098 000 EUR a eu-LISA. Dicha financiación se ejecutará en régimen de gestión indirecta y contribuirá a la realización de los avances técnicos previstos en el presente Reglamento en relación con el SIS Central y la infraestructura de comunicación, así como las correspondientes actividades de formación.

4. De la dotación a que se refiere el apartado 2, los Estados miembros que participan en el Reglamento (UE) n.o 515/2014 recibirán una asignación adicional global de 36 810 000 EUR, que se repartirá en partes iguales mediante una cantidad a tanto alzado añadida a la asignación de base. Dicha financiación se ejecutará en régimen de gestión compartida y se destinará íntegramente a que se actualicen con rapidez y eficacia los sistemas nacionales correspondientes, de conformidad con los requisitos del presente Reglamento.

5. Los costes de creación, funcionamiento, mantenimiento y ulterior desarrollo de cada N.SIS correrán a cargo del Estado miembro correspondiente.







CAPÍTULO II

RESPONSABILIDADES DE LOS ESTADOS MIEMBROS

Artículo 6

Sistemas nacionales

Cada Estado miembro será responsable de la creación, el funcionamiento, el mantenimiento y el ulterior desarrollo de su N.SIS y de conectarlo a la NI-SIS.

Cada Estado miembro será responsable de garantizar la disponibilidad ininterrumpida de los datos del SIS para los usuarios finales.

Cada Estado miembro transmitirá sus descripciones a través de su N.SIS.

Artículo 7

Oficina N.SIS y oficina Sirene

1. Cada Estado miembro designará una autoridad (denominada «oficina N.SIS») que asumirá la responsabilidad central respecto de su N.SIS.

Dicha autoridad será responsable del correcto funcionamiento y la seguridad del N.SIS, garantizará el acceso de las autoridades competentes al SIS y adoptará las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el presente Reglamento. Tendrá la responsabilidad de velar por que todas las funcionalidades del SIS se pongan debidamente a disposición de los usuarios finales.

2. Cada Estado miembro designará una autoridad nacional (denominada «oficina Sirene»), operativa las veinticuatro horas del día y los siete días de la semana, que se encargará de garantizar el intercambio y la disponibilidad de toda la información complementaria, de conformidad con el Manual Sirene. Cada oficina Sirene servirá de punto de contacto único de su respectivo Estado miembro para el intercambio de información complementaria relativa a las descripciones y para facilitar la adopción de las medidas solicitadas cuando se hayan introducido en el SIS descripciones sobre personas y esas personas hayan sido localizadas a raíz de una respuesta positiva.

Conforme al Derecho nacional, cada oficina Sirene podrá acceder fácilmente, de forma directa o indirecta, a toda la información nacional pertinente, incluidas las bases de datos nacionales y toda la información relativa a las descripciones de su respectivo Estado miembro, así como al asesoramiento de expertos, con el fin de poder responder a las solicitudes de información complementaria con prontitud y dentro de los plazos establecidos en el artículo 8.

Las oficinas Sirene coordinarán la verificación de la calidad de la información introducida en el SIS. Para ello, tendrán acceso a los datos tratados en el SIS.

▼M1

2 bis. Las oficinas SIRENE garantizarán asimismo la verificación manual de identidades diferentes, de conformidad con el artículo 29 del Reglamento (UE) 2019/817 En la medida en que sea necesario para llevar a cabo esta tarea, las oficinas SIRENE tendrán acceso a los datos almacenados en el RCDI y el DIM para los fines establecidos en los artículos 21 y 26 del Reglamento (UE) 2019/817.

▼B

3. Los Estados miembros comunicarán a eu-LISA los datos relativos a su oficina N.SIS y a su oficina Sirene. Eu-LISA publicará la lista de las oficinas N.SIS y las oficinas Sirene, junto con la lista a la que se refiere el artículo 41, apartado 8.

Artículo 8

Intercambio de información complementaria

1. La información complementaria se intercambiará de conformidad con las disposiciones del Manual Sirene y a través de la infraestructura de comunicación. Los Estados miembros aportarán los recursos técnicos y humanos necesarios para garantizar la disponibilidad continua y el intercambio oportuno y eficaz de información complementaria. En caso de indisponibilidad de la infraestructura de comunicación, los Estados miembros deberán emplear otros medios técnicos dotados de características adecuadas de seguridad para intercambiar información complementaria. El Manual Sirene recogerá una lista de los medios técnicos dotados de características adecuadas de seguridad.

2. La información complementaria se utilizará únicamente para el fin para el que haya sido transmitida de conformidad con el artículo 49, a menos que se haya obtenido el consentimiento previo del Estado miembro emisor para utilizarla con otro fin.

3. Las oficinas Sirene llevarán a cabo sus cometidos de manera rápida y eficiente, en particular respondiendo a las solicitudes de información complementaria lo antes posible, y como máximo doce horas después de su recepción.

Las solicitudes de información complementaria que tengan máxima prioridad deberán marcarse con el calificativo «URGENTE» en los formularios Sirene y deberán especificarse las razones que motivan la urgencia.

4. La Comisión adoptará actos de ejecución para establecer normas detalladas sobre las funciones que competen a las oficinas Sirene en virtud del presente Reglamento y sobre el intercambio de información complementaria, que adoptarán la forma de un manual titulado «Manual Sirene». Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 62, apartado 2.

Artículo 9

Conformidad técnica y operativa

1. Al establecer su N.SIS, cada Estado miembro deberá ajustarse a las normas, protocolos y procedimientos técnicos comunes establecidos a fin de garantizar la compatibilidad de su N.SIS con el SIS Central para la transmisión rápida y eficaz de los datos.

2. Cuando un Estado miembro utilice una copia nacional se asegurará, mediante los servicios prestados por la CS-SIS y las actualizaciones automáticas a que se refiere el artículo 4, apartado 6, de que los datos almacenados en la copia nacional sean idénticos a los de la base de datos del SIS y coherentes con ellos, y de que una consulta en su copia nacional genere un resultado equivalente al de una consulta en la base de datos del SIS.

3. Los usuarios finales recibirán los datos necesarios para llevar a cabo sus tareas, en particular, y cuando sea necesario, todos los datos disponibles que permitan la identificación del interesado y la adopción de las medidas requeridas.

4. Los Estados miembros y eu-LISA realizarán pruebas periódicas para comprobar la conformidad técnica de las copias nacionales a que se refiere el apartado 2. Los resultados de esas pruebas se tendrán en cuenta como parte del mecanismo establecido en el Reglamento (UE) n.o 1053/2013 del Consejo ( 4 ).

5. La Comisión adoptará actos de ejecución a fin de establecer y desarrollar las normas, protocolos y procedimientos técnicos comunes a que se refiere el apartado 1 del presente artículo. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen a que se refiere el artículo 62, apartado 2.

Artículo 10

Seguridad – Estados miembros

1. Cada Estado miembro adoptará, en lo referente a su N.SIS, las medidas adecuadas, incluido un plan de seguridad, un plan de continuidad de las actividades y un plan de recuperación en caso de catástrofe, a fin de:

a) proteger los datos físicamente, entre otras cosas mediante la elaboración de planes de emergencia para la protección de las infraestructuras críticas;

b) impedir el acceso de personas no autorizadas a las instalaciones utilizadas para el tratamiento de datos personales (control en la entrada de las instalaciones);

c) impedir que los soportes de datos puedan ser leídos, copiados, modificados o suprimidos por personas no autorizadas (control de los soportes de datos);

d) impedir la introducción no autorizada de datos y la inspección, modificación o supresión no autorizadas de datos personales almacenados (control del almacenamiento);

e) impedir que los sistemas de tratamiento automatizado de datos puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisión de datos (control de los usuarios);

f) impedir el tratamiento no autorizado de los datos introducidos en el SIS y toda modificación o supresión no autorizada de datos tratados en el SIS (control de la entrada de datos);

g) garantizar que, para la utilización de un sistema de tratamiento automatizado de datos, las personas autorizadas solo puedan tener acceso a los datos que sean de su competencia y ello únicamente con identificadores de usuario personales e intransferibles y con modos de acceso confidenciales (control de acceso a los datos);

h) garantizar que todas las autoridades con derecho de acceso al SIS o a las instalaciones utilizadas para el tratamiento de datos establezcan perfiles que describan las funciones y responsabilidades de las personas autorizadas a acceder a los datos, y a introducir, actualizar, suprimir y consultar dichos datos, y que pongan dichos perfiles a disposición de las autoridades de control a que se refiere el artículo 55, apartado 1, sin dilación a petición de estas (perfiles del personal);

i) garantizar la posibilidad de verificar y determinar a qué autoridades pueden ser transmitidos datos personales a través de equipos de transmisión de datos (control de la comunicación);

j) garantizar que pueda verificarse y determinarse a posteriori qué datos personales se han introducido en el sistema de tratamiento automatizado de datos, en qué momento, por qué persona y para qué fines (control de la introducción);

k) impedir, en particular mediante técnicas adecuadas de criptografiado, que en el momento de la transmisión de datos personales y durante el transporte de soportes de datos, los datos puedan ser leídos, copiados, modificados o suprimidos sin autorización (control del transporte);

l) controlar la eficacia de las medidas de seguridad mencionadas en el presente apartado y adoptar las medidas necesarias de organización relativas al control interno, a fin de garantizar el cumplimiento del presente Reglamento (auditoría interna);

m) asegurar que los sistemas instalados puedan ser restaurados a un funcionamiento normal (recuperación) en caso de interrupción; y

n) asegurar que las funciones del SIS se realicen satisfactoriamente, que se notifiquen los defectos de funcionamiento (fiabilidad) y que los datos personales conservados en el SIS no puedan ser corrompidos por el mal funcionamiento del sistema (integridad).

2. Los Estados miembros tomarán medidas equivalentes a las mencionadas en el apartado 1 en materia de seguridad en relación con el tratamiento y el intercambio de información complementaria, en particular garantizando la seguridad de las instalaciones de las oficinas Sirene.

3. Los Estados miembros tomarán medidas equivalentes a las mencionadas en el apartado 1 del presente artículo en materia de seguridad en relación con el tratamiento de los datos del SIS por las autoridades mencionadas en el artículo 34.

4. Las medidas descritas en los apartados 1, 2 y 3 podrán formar parte de un planteamiento y un plan de seguridad generales de ámbito nacional aplicables a múltiples sistemas informáticos. En tales casos, los requisitos previstos en el presente artículo y su aplicabilidad al SIS deberán figurar de forma claramente identificable en ese plan y quedar garantizados por él.

Artículo 11

Confidencialidad – Estados miembros

1. Cada Estado miembro aplicará sus normas sobre secreto profesional u otras obligaciones equivalentes de confidencialidad a toda persona y organismo que vaya a trabajar con datos del SIS y con información complementaria, de conformidad con su Derecho nacional. Dicha obligación seguirá siendo aplicable después del cese en el cargo o el empleo de dichas personas o tras la terminación de las actividades de dichos organismos.

2. Cuando un Estado miembro coopere con contratistas externos en cometidos relacionados con el SIS, deberá supervisar atentamente las actividades del contratista para garantizar el cumplimiento de todas las disposiciones del presente Reglamento, en particular en materia de seguridad, confidencialidad y protección de datos.

3. No se encomendará a empresas u organizaciones privadas la gestión operativa del N.SIS o de cualesquiera copias técnicas.

Artículo 12

Registros nacionales

▼M1

1. Los Estados miembros garantizarán que todos los accesos a datos personales y todos los intercambios de estos datos en la CS-SIS queden registrados en su N.SIS, con el fin de que se pueda controlar la legalidad de la consulta, supervisando la legalidad del tratamiento de datos, el control interno y garantizando el correcto funcionamiento del N.SIS, así como la integridad y seguridad de los datos. Esto no será de aplicación a los procesos automáticos contemplados en el artículo 4, apartado 6, letras a), b) y c).

Los Estados miembros velarán por que todo acceso a datos personales a través del PEB también quede registrado, con el fin de que se pueda controlar la legalidad de la consulta, supervisando la legalidad del tratamiento de datos, el control interno y la integridad y seguridad de los datos.

▼B

2. Los registros contendrán, en particular, el historial de la descripción, la fecha y hora de la actividad de tratamiento de los datos, los datos utilizados para realizar una consulta, una referencia a los datos tratados y los identificadores de usuario personales e intransferibles de la autoridad competente y de la persona que efectúa el tratamiento de los datos.

3. Como excepción a lo dispuesto en el apartado 2 del presente artículo, si la consulta se realiza con datos dactiloscópicos o imágenes faciales de conformidad con el artículo 33, los registros mostrarán el tipo de datos utilizados para efectuar la consulta en lugar de los datos reales.

4. Los registros solo se utilizarán para los fines mencionados en el apartado 1 y se suprimirán en un plazo de tres años a partir de su creación. Los registros que incluyan el historial de las descripciones serán suprimidos transcurrido un plazo de tres años a partir de la supresión de las descripciones.

5. Los registros podrán conservarse durante plazos mayores que los indicados en el apartado 4 si son necesarios para procedimientos de control ya en curso.

6. Las autoridades nacionales competentes encargadas de controlar la legalidad de la consulta y del tratamiento de datos, de proceder a un control interno y de garantizar el correcto funcionamiento del N.SIS y la integridad y seguridad de los datos, tendrán acceso a los registros, dentro de los límites de sus competencias y previa petición, a fin de poder desempeñar sus funciones.

Artículo 13

Control interno

Los Estados miembros velarán por que toda autoridad habilitada para acceder a los datos del SIS tome las medidas necesarias para garantizar el cumplimiento del presente Reglamento y coopere, en caso necesario, con la autoridad de control.

Artículo 14

Formación del personal

1. Antes de ser autorizado a tratar datos almacenados en el SIS y periódicamente tras la concesión del acceso a los datos del SIS, el personal de las autoridades con derecho de acceso al SIS recibirá la formación adecuada sobre seguridad de los datos, derechos fundamentales, incluida la protección de datos, y sobre las normas y procedimientos del Manual Sirene en lo que respecta al tratamiento de datos. El personal será informado acerca de las disposiciones aplicables en materia de delitos y sanciones penales, incluidas las establecidas de conformidad con el artículo 59.

2. Los Estados miembros deberán disponer de un programa nacional de formación sobre el SIS, que incluirá la formación destinada a los usuarios finales y al personal de las oficinas Sirene.

Dicho programa de formación podrá formar parte de un programa de formación general de ámbito nacional aplicable a la formación en otros ámbitos pertinentes.

3. Se organizarán cursos de formación comunes a escala de la Unión al menos una vez al año para reforzar la cooperación entre las oficinas Sirene.







CAPÍTULO III

RESPONSABILIDADES DE eu-LISA

Artículo 15

Gestión operativa

1. Eu-LISA será responsable de la gestión operativa del SIS Central. eu-LISA se asegurará, en cooperación con los Estados miembros, de que en el SIS Central se utilice en todo momento la mejor tecnología disponible, con sujeción a un análisis de costes y beneficios.

2. Eu-LISA será responsable asimismo de las siguientes funciones relacionadas con la infraestructura de comunicación:

a) supervisión;

b) seguridad;

c) coordinación de las relaciones entre los Estados miembros y el proveedor;

d) ejecución del presupuesto;

e) adquisición y renovación; y

f) cuestiones contractuales.

3. Eu-LISA será responsable asimismo de las siguientes funciones relacionadas con las oficinas Sirene y la comunicación entre ellas:

a) coordinación, gestión y apoyo de las actividades de prueba;

b) mantenimiento y actualización de las especificaciones técnicas relativas al intercambio de información complementaria entre las oficinas Sirene y la infraestructura de comunicación; y

c) gestión del impacto de los cambios técnicos cuando afecten al SIS y al intercambio de información complementaria entre las oficinas Sirene.

4. Eu-LISA desarrollará y mantendrá un mecanismo y procedimientos para realizar controles de calidad de los datos de la CS-SIS. A este respecto, presentará informes regulares a los Estados miembros.

Eu-LISA presentará a la Comisión un informe periódico sobre los problemas detectados y los Estados miembros afectados.

La Comisión transmitirá al Parlamento Europeo y al Consejo un informe periódico sobre los problemas detectados en relación con la calidad de los datos.

5. Eu-LISA también desempeñará funciones relacionadas con la oferta de formación sobre la utilización técnica del SIS y sobre medidas encaminadas a mejorar la calidad de los datos del SIS.

6. La gestión operativa del SIS Central consistirá en todas las funciones necesarias para mantenerlo en funcionamiento ininterrumpido (las 24 horas del día, los 7 días de la semana), de conformidad con el presente Reglamento y, en particular, en el trabajo de mantenimiento y de adaptación técnica necesario para el buen funcionamiento del sistema. Estas tareas incluirán asimismo la coordinación, gestión y apoyo de las actividades de prueba para el SIS Central y los N.SIS, cuyo fin es garantizar que el SIS Central y los N.SIS funcionen con arreglo a los requisitos de conformidad técnica y operativa establecidos en el artículo 9.

7. La Comisión adoptará actos de ejecución para determinar los requisitos técnicos de la infraestructura de comunicación. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 62, apartado 2.

Artículo 16

Seguridad – eu-LISA

1. Eu-LISA adoptará las medidas necesarias, incluido un plan de seguridad, un plan de continuidad de las actividades y un plan de recuperación en caso de catástrofe para el SIS Central y la infraestructura de comunicación a fin de:

a) proteger los datos físicamente, entre otras cosas mediante la elaboración de planes de emergencia para la protección de las infraestructuras críticas;

b) impedir el acceso de personas no autorizadas a las instalaciones utilizadas para el tratamiento de datos personales (control en la entrada de las instalaciones);

c) impedir que los soportes de datos puedan ser leídos, copiados, modificados o suprimidos por personas no autorizadas (control de los soportes de datos);

d) impedir la introducción no autorizada de datos y la inspección, modificación o supresión no autorizadas de datos personales almacenados (control del almacenamiento);

e) impedir que los sistemas de tratamiento automatizado de datos puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisión de datos (control de los usuarios);

f) impedir el tratamiento no autorizado de los datos introducidos en el SIS y toda modificación o supresión no autorizada de datos tratados en el SIS (control de la entrada de datos);

g) garantizar que, para la utilización de un sistema de tratamiento automatizado de datos, las personas autorizadas solo puedan tener acceso a los datos que sean de su competencia y ello únicamente con identificadores de usuario personales e intransferibles y con modos de acceso confidenciales (control de acceso a los datos);

h) establecer perfiles que describan las funciones y responsabilidades de las personas autorizadas a acceder a los datos o a las instalaciones de tratamiento de datos, y poner dichos perfiles a disposición del Supervisor Europeo de Protección de Datos, sin dilación a petición de este (perfiles del personal);

i) garantizar la posibilidad de verificar y determinar a qué autoridades pueden ser transmitidos datos personales a través de equipos de transmisión de datos (control de la comunicación);

j) garantizar que pueda verificarse y determinarse a posteriori qué datos personales se han introducido en el sistema de tratamiento automatizado de datos, en qué momento y por qué persona (control de la introducción);

k) impedir, en particular mediante técnicas adecuadas de criptografiado, que, en el momento de la transmisión de datos personales y durante el transporte de soportes de datos, los datos puedan ser leídos, copiados, modificados o suprimidos sin autorización (control del transporte);

l) vigilar la eficacia de las medidas de seguridad a que se refiere el presente apartado y adoptar las medidas de organización que sean necesarias en relación con el control interno, a fin de garantizar el cumplimiento del presente Reglamento (auditoría interna);

m) asegurar que los sistemas instalados puedan ser restaurados a su funcionamiento normal (recuperación) en caso de interrupción;

n) asegurar que las funciones del SIS se realicen satisfactoriamente, que se notifiquen los defectos de funcionamiento (fiabilidad) y que los datos personales conservados en el SIS no puedan ser corrompidos por el mal funcionamiento del sistema (integridad); y

o) garantizar la seguridad de sus emplazamientos técnicos.

2. Eu-LISA adoptará, en relación con la seguridad del tratamiento y el intercambio de información complementaria mediante la infraestructura de comunicación, medidas equivalentes a las mencionadas en el apartado 1.

Artículo 17

Confidencialidad – eu-LISA

1. Sin perjuicio del artículo 17 del Estatuto de los funcionarios, eu-LISA aplicará a todo miembro de su personal que trabaje con datos del SIS normas adecuadas sobre secreto profesional u otras obligaciones equivalentes de confidencialidad, de nivel equiparable al de las normas previstas en el artículo 11 del presente Reglamento. Dicha obligación seguirá siendo aplicable después del cese en el cargo o el empleo de dichas personas o tras la terminación de sus actividades.

2. Eu-LISA adoptará medidas equivalentes a las mencionadas en el apartado 1 por lo que se refiere a la confidencialidad con respecto al intercambio de información complementaria a través de la infraestructura de comunicación.

3. Cuando eu-LISA coopere con contratistas externos en cometidos relacionados con el SIS, supervisará atentamente las actividades del contratista para garantizar el cumplimiento de todas las disposiciones del presente Reglamento, en particular en materia de seguridad, confidencialidad y protección de datos.

4. No se encomendará a empresas u organizaciones privadas la gestión operativa de la CS-SIS.

Artículo 18

Registros centrales

1. Eu-LISA garantizará que todo acceso a datos personales y todo intercambio de datos personales en la CS-SIS queden registrados para los fines expresados en el artículo 12, apartado 1.

2. Los registros contendrán, en particular, el historial de la descripción, la fecha y hora de la actividad de tratamiento de los datos, los datos utilizados para realizar una consulta, una referencia a los datos tratados y los identificadores de usuario personales e intransferibles de la autoridad competente que efectúa el tratamiento de los datos.

3. Como excepción a lo dispuesto en el apartado 2 del presente artículo, si la consulta se realiza con datos dactiloscópicos o imágenes faciales de conformidad con el artículo 33, los registros mostrarán el tipo de datos utilizados para efectuar la consulta en lugar de los datos reales.

4. Los registros solo se utilizarán para los fines mencionados en el apartado 1 y se suprimirán en un plazo de tres años a partir de su creación. Los registros que incluyan el historial de las descripciones serán suprimidos transcurrido un plazo de tres años a partir de la supresión de las descripciones.

5. Los registros podrán conservarse durante plazos mayores que los indicados en el apartado 4 si son necesarios para procedimientos de control ya en curso.

6. A efectos de control interno y para garantizar el funcionamiento adecuado de la CS-SIS y la integridad y seguridad de los datos, eu-LISA tendrá acceso a los registros, dentro de los límites de sus competencias.

El Supervisor Europeo de Protección de Datos tendrá acceso a dichos registros previa solicitud, dentro de los límites de sus competencias y a fin de poder desempeñar sus funciones.







CAPÍTULO IV

INFORMACIÓN AL PÚBLICO

Artículo 19

Campañas de información del SIS

Al iniciarse la aplicación del presente Reglamento, la Comisión, en cooperación con las autoridades de control y el Supervisor Europeo de Protección de Datos, realizará una campaña para informar al público sobre los objetivos del SIS, los datos almacenados en el SIS, las autoridades con acceso al SIS y los derechos de los interesados. La Comisión repetirá estas campañas periódicamente, en cooperación con las autoridades de control y el Supervisor Europeo de Protección de Datos. La Comisión mantendrá un sitio web abierto al público en el que se facilite toda la información pertinente sobre el SIS. Los Estados miembros, en cooperación con sus autoridades de control, definirán y aplicarán las medidas necesarias para informar al conjunto de sus ciudadanos y residentes sobre el SIS en general.







CAPÍTULO V

DESCRIPCIONES PARA LA DENEGACIÓN DE ENTRADA Y ESTANCIA SOBRE NACIONALES DE TERCEROS PAÍSES

Artículo 20

Categorías de datos

1. Sin perjuicio de lo dispuesto en el artículo 8, apartado 1, ni de las disposiciones del presente Reglamento relativas al almacenamiento de datos adicionales, el SIS incluirá exclusivamente las categorías de datos que facilite cada Estado miembro y que sean necesarios para los fines previstos en los artículos 24 y 25.

2. Las descripciones del SIS que incluyan información sobre personas contendrán solo los datos siguientes:

a) apellidos;

b) nombres;

c) nombres y apellidos de nacimiento;

d) nombres y apellidos usados con anterioridad y alias;

e) rasgos físicos particulares, objetivos e inalterables;

f) lugar de nacimiento;

g) fecha de nacimiento;

h) sexo;

i) nacionalidad o nacionalidades;

j) indicación de si la persona afectada:

i) va armada;

ii) es violenta;

iii) está fugada o se ha evadido;

iv) presenta un riesgo de suicidio;

v) es una amenaza para la salud pública; o

vi) está implicada en alguna actividad de las recogidas en los artículos 3 a 14 de la Directiva (UE) 2017/541;

k) motivo de la descripción;

l) autoridad que creó la descripción;

m) referencia a la decisión que da lugar a la introducción de la descripción;

n) medidas que deben tomarse en caso de respuesta positiva;

o) conexión con otras descripciones de conformidad con el artículo 48;

p) indicación de si la persona en cuestión es miembro de la familia de un ciudadano de la Unión u otra persona que disfrute del derecho de libre circulación según lo previsto en el artículo 26;

q) indicación de si la decisión de denegación de entrada y estancia se basa en:

i) una condena anterior según lo previsto en el artículo 24, apartado 2, letra a);

ii) una amenaza grave para la seguridad según lo previsto en el artículo 24, apartado 2, letra b);

iii) la elusión del Derecho nacional o de la Unión en materia de entrada y estancia según lo previsto en el artículo 24, apartado 2, letra c);

iv) una prohibición de entrada según lo previsto en el artículo 24, apartado 1, letra b); o

v) una medida restrictiva según dispone el artículo 25;

r) tipo de delito;

s) categoría de los documentos de identificación de la persona;

t) país de expedición de los documentos de identificación de la persona;

u) número o números de los documentos de identificación de la persona;

v) fecha de expedición de los documentos de identificación de la persona;

w) fotografías e imágenes faciales;

x) datos dactiloscópicos;

y) fotocopia, a ser posible en color, de los documentos de identificación;

3. La Comisión adoptará actos de ejecución a fin de establecer y desarrollar las normas técnicas necesarias para la introducción, actualización, supresión y consulta de los datos mencionados en el apartado 2 del presente artículo y las normas comunes a que se refiere el apartado 4 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 62, apartado 2.

4. Las normas técnicas serán similares para las consultas en la CS-SIS, en las copias nacionales o compartidas y en las copias técnicas efectuadas con arreglo al artículo 41, apartado 2. Se basarán en normas comunes.

Artículo 21

Proporcionalidad

1. Antes de introducir una descripción y al prorrogar el período de validez de una descripción, los Estados miembros determinarán si el caso es adecuado, pertinente e importante como para justificar una descripción en el SIS.

2. Cuando la decisión de denegación de entrada y estancia mencionada en el artículo 24, apartado 1, letra a), esté relacionada con un delito de terrorismo, el caso se considerará adecuado, pertinente y suficientemente importante como para justificar una descripción en el SIS. Con carácter excepcional, los Estados miembros podrán abstenerse, por motivos de seguridad pública o nacional, de introducir una descripción, cuando sea probable que obstaculice indagaciones, investigaciones o procedimientos administrativos o judiciales.

Artículo 22

Requisitos para la introducción de una descripción

1. Los datos mínimos necesarios para introducir una descripción en el SIS serán los previstos en el artículo 20, apartado 2, letras a), g), k), m), n) y q). Los demás datos enumerados en dicho apartado se introducirán en el SIS si se dispone de ellos.

2. Los datos a que se refiere el artículo 20, apartado 2, letra e), del presente Reglamento solo se introducirán cuando sea estrictamente necesario para la identificación del nacional de un tercer país. Cuando se introduzcan dichos datos, los Estados miembros garantizarán que se cumpla el artículo 9 del Reglamento (UE) 2016/679.

Artículo 23

Compatibilidad de las descripciones

1. Antes de introducir una descripción, el Estado miembro verificará si la persona afectada ya es objeto de una descripción en el SIS. A tal efecto, se realizará también una comprobación con datos dactiloscópicos, si están disponibles.

2. Cada Estado miembro podrá introducir en el SIS una única descripción por persona. En caso necesario, otros Estados miembros podrán introducir nuevas descripciones sobre la misma persona, de conformidad con el apartado 3.

3. En caso de que una persona ya haya sido objeto de una descripción en el SIS, el Estado miembro que desee introducir una nueva descripción verificará que no existe incompatibilidad entre las descripciones. En caso de no existir incompatibilidad, el Estado miembro podrá introducir la nueva descripción. Si las descripciones son incompatibles, las correspondientes oficinas Sirene de los Estados miembros se consultarán mediante el intercambio de información complementaria para alcanzar un acuerdo. Las normas sobre compatibilidad de las descripciones se establecerán en el Manual Sirene. Se podrán establecer excepciones a esas normas de compatibilidad, previa consulta entre los Estados miembros, cuando así lo requieran intereses nacionales esenciales.

4. En caso de que se produzcan respuestas positivas sobre descripciones múltiples relativas a la misma persona, el Estado miembro de ejecución cumplirá las normas sobre prioridad de las descripciones establecidas en el Manual Sirene.

En caso de que una persona sea objeto de descripciones múltiples introducidas por distintos Estados miembros, se dará prioridad a las descripciones para la detención introducidas de conformidad con el artículo 26 del Reglamento (UE) 2018/1862, a reserva de lo dispuesto en el artículo 25 de dicho Reglamento.

Artículo 24

Condiciones aplicables a la introducción de descripciones para la denegación de entrada y estancia

1. Los Estados miembros introducirán una descripción para la denegación de entrada y estancia cuando se cumpla alguna de las condiciones siguientes:

a) que el Estado miembro haya determinado, sobre la base de una evaluación individual que incluye una valoración de las circunstancias personales del nacional concreto de un tercer país y de las consecuencias de denegarle la entrada y estancia, que la presencia de ese nacional de un tercer país en su territorio represente una amenaza para el orden público, la seguridad pública o la seguridad nacional en su territorio y que, por consiguiente, el Estado miembro haya adoptado una decisión judicial o administrativa de conformidad con el Derecho nacional para denegar la entrada y estancia, y que haya emitido una descripción nacional para la denegación de entrada y estancia, o

b) que el Estado miembro haya emitido una prohibición de entrada de conformidad con procedimientos que cumplen la Directiva 2008/115/CE con respecto a un nacional de un tercer país.

2. Serán consideradas situaciones recogidas en el apartado 1, letra a), las siguientes:

a) cuando el nacional de un tercer país haya sido condenado en un Estado miembro por un delito sancionado con una pena privativa de libertad de un año como mínimo;

b) cuando existan motivos fundados para creer que el nacional de un tercer país ha cometido un delito grave, en particular un delito de terrorismo, o indicios claros de su intención de cometer un delito de este tipo en el territorio de un Estado miembro; o

c) cuando el nacional de un tercer país haya eludido o intentado eludir la normativa nacional o de la Unión en materia de entrada y estancia en el territorio de los Estados miembros.

3. El Estado miembro emisor se asegurará de que la descripción surta efecto en el SIS tan pronto como el nacional de un tercer país haya abandonado el territorio de los Estados miembros o lo antes posible cuando el Estado miembro emisor haya obtenido indicaciones claras de que el nacional de un tercer país ha abandonado el territorio de los Estados miembros, a fin de impedir el regreso de dicho nacional de un tercer país.

4. Las personas objeto de una decisión de denegación de entrada y estancia a que se refiere el apartado 1 tendrán derecho a recurrir dicha decisión. Dichos recursos se regirán por la normativa nacional y de la Unión, cualquiera de las cuales regulará vías de recurso efectivo ante los tribunales.

Artículo 25

Condiciones aplicables a la introducción de descripciones sobre nacionales de terceros países sujetos a medidas restrictivas

1. En la medida en que puedan satisfacerse los requisitos de calidad de los datos, se introducirán en el SIS, a efectos de denegación de entrada y estancia, las descripciones sobre aquellos nacionales de terceros países que sean objeto de una medida restrictiva destinada a impedir su entrada en el territorio de los Estados miembros o el tránsito por él, cuando dicha medida haya sido adoptada de conformidad con actos jurídicos adoptados por el Consejo, incluidas las medidas de aplicación de una prohibición de viajar decidida por el Consejo de Seguridad de las Naciones Unidas.

2. Las descripciones serán introducidas, actualizadas y suprimidas por la autoridad competente del Estado miembro que ejerza la Presidencia del Consejo de la Unión Europea en el momento de la adopción de la medida. Si dicho Estado miembro no tuviera acceso al SIS o a las descripciones introducidas con arreglo al presente Reglamento, asumirá la responsabilidad el Estado miembro que ejerza la siguiente Presidencia y que tenga acceso al SIS, en particular a las descripciones introducidas con arreglo al presente Reglamento.

Los Estados miembros establecerán los procedimientos necesarios para introducir, actualizar y suprimir dichas descripciones.

Artículo 26

Condiciones aplicables a la introducción de descripciones sobre nacionales de terceros países que disfruten del derecho de libre circulación en la Unión

1. Las descripciones sobre nacionales de terceros países que disfruten del derecho de libre circulación en la Unión, de conformidad con la Directiva 2004/38/CE o en el sentido de un acuerdo celebrado entre la Unión o la Unión y sus Estados miembros, por una parte, y un tercer país, por otra parte, deberán ser conformes con las normas adoptadas en aplicación de dicha Directiva o de dicho acuerdo.

2. Si se obtiene una respuesta positiva en relación con una descripción introducida con arreglo al artículo 24 sobre un nacional de un tercer país que disfrute del derecho de libre circulación en la Unión, el Estado miembro de ejecución consultará inmediatamente al Estado miembro emisor, mediante el intercambio de información complementaria, para decidir sin dilación qué medidas tomar.

Artículo 27

Consulta previa a la concesión o prórroga de un permiso de residencia o un visado para estancia de larga duración

Cuando un Estado miembro considere conceder o prorrogar un permiso de residencia o un visado para estancia de larga duración a un nacional de un tercer país que sea objeto de una descripción para la denegación de entrada y estancia introducida por otro Estado miembro, los Estados miembros implicados se consultarán mutuamente mediante el intercambio de información complementaria, con arreglo a las normas siguientes:

a) el Estado miembro de concesión consultará al Estado miembro emisor antes de conceder o prorrogar el permiso de residencia o el visado para estancia de larga duración;

b) el Estado miembro emisor contestará a la consulta en un plazo de diez días naturales;

c) la falta de respuesta dentro del plazo establecido en la letra b) significará que el Estado miembro emisor no se opone a la concesión o prórroga del permiso de residencia o del visado para estancia de larga duración;

d) a la hora de tomar la decisión correspondiente, el Estado miembro de concesión tendrá en cuenta los motivos de la decisión del Estado miembro emisor y valorará, de conformidad con el Derecho nacional, la amenaza para el orden público o la seguridad pública que pueda suponer la presencia de ese nacional de un tercer país en el territorio de los Estados miembros;

e) el Estado miembro de concesión notificará su decisión al Estado miembro emisor; y

f) cuando el Estado miembro de concesión notifique al Estado miembro emisor que tiene la intención de conceder o prorrogar el permiso de residencia o el visado para estancia de larga duración o que ha decidido hacerlo, el Estado miembro emisor suprimirá la descripción para la denegación de entrada y estancia.

La decisión definitiva sobre la concesión de un permiso de residencia o un visado para estancia de larga duración compete al Estado miembro de concesión.

Artículo 28

Consulta previa a la introducción de una descripción para la denegación de entrada y de estancia

Cuando un Estado miembro haya tomado una decisión de conformidad con lo dispuesto en el artículo 24, apartado 1, y considere introducir una descripción para la denegación de entrada y estancia sobre un nacional de un tercer país que sea titular de un permiso de residencia válido o de un visado para estancia de larga duración válido concedidos por otro Estado miembro, los Estados miembros implicados se consultarán mutuamente mediante el intercambio de información complementaria, con arreglo a las normas siguientes:

a) el Estado miembro que haya tomado la decisión mencionada en el artículo 24, apartado 1, informará de ella al Estado miembro de concesión;

b) la información intercambiada con arreglo a la letra a) del presente artículo incluirá suficientes detalles acerca de los motivos de la decisión a la que se refiere el artículo 24, apartado 1;

c) sobre la base de la información facilitada por el Estado miembro que haya tomado la decisión mencionada en el artículo 24, apartado 1, el Estado miembro de concesión valorará si hay motivos para retirar el permiso de residencia o el visado para estancia de larga duración;

d) a la hora de tomar la decisión correspondiente, el Estado miembro de concesión tendrá en cuenta los motivos de la decisión mencionada en el artículo 24, apartado 1, que haya tomado el otro Estado miembro y valorará, de conformidad con el Derecho nacional, la amenaza para el orden público o la seguridad pública que pueda suponer la presencia de ese nacional de un tercer país en el territorio de los Estados miembros;

e) en el plazo de catorce días naturales a partir de la recepción de la solicitud de consulta, el Estado miembro de concesión informará de su decisión al Estado miembro que haya tomado la decisión mencionada en el artículo 24, apartado 1, o, cuando haya sido imposible para el Estado miembro de concesión tomar una decisión en dicho plazo, presentará una solicitud motivada para prorrogar excepcionalmente el plazo de respuesta hasta un máximo de doce días naturales más;

f) cuando el Estado miembro de concesión informe al Estado miembro que haya tomado la decisión mencionada en el artículo 24, apartado 1, de que mantiene el permiso de residencia o el visado para estancia de larga duración, el Estado miembro que ha tomado la decisión no introducirá la descripción para la denegación de entrada y estancia.

Artículo 29

Consulta a posteriori tras la introducción de una descripción para la denegación de entrada y de estancia

Cuando se compruebe que un Estado miembro ha introducido una descripción para la denegación de entrada y estancia sobre un nacional de un tercer país que es titular de un permiso de residencia válido o un visado para estancia de larga duración válido concedidos por otro Estado miembro, los Estados miembros implicados se consultarán mutuamente mediante el intercambio de información complementaria, con arreglo a las normas siguientes:

a) el Estado miembro emisor informará al Estado miembro de concesión de la descripción para la denegación de entrada y de estancia;

b) la información intercambiada con arreglo a la letra a) incluirá suficientes detalles acerca de los motivos de la descripción para la denegación de entrada y estancia;

c) sobre la base de la información facilitada por el Estado miembro emisor, el Estado miembro de concesión valorará si hay motivos para retirar el permiso de residencia o el visado para estancia de larga duración;

d) a la hora de tomar la decisión correspondiente, el Estado miembro de concesión tendrá en cuenta los motivos de la decisión del Estado miembro emisor y valorará, de conformidad con el Derecho nacional, la amenaza para el orden público o la seguridad pública que pueda suponer la presencia de ese nacional de un tercer país en el territorio de los Estados miembros;

e) en el plazo de catorce días naturales a partir de la recepción de la solicitud de consulta, el Estado miembro de concesión informará de su decisión al Estado miembro emisor o, cuando haya sido imposible para el Estado miembro de concesión tomar una decisión en dicho plazo, presentará una solicitud motivada para prorrogar excepcionalmente el plazo de respuesta hasta un máximo de doce días naturales más;

f) cuando el Estado miembro de concesión informe al Estado miembro emisor de que mantiene el permiso de residencia o el visado para estancia de larga duración, el Estado miembro emisor suprimirá inmediatamente la descripción para la denegación de entrada y estancia.

Artículo 30

Consulta en caso de respuesta positiva relativa a un nacional de un tercer país titular de un permiso de residencia válido o un visado para estancia de larga duración válido

Cuando un Estado miembro obtenga una respuesta positiva en una descripción para la denegación de entrada y estancia introducida por un Estado miembro respecto de un nacional de un tercer país que sea titular de un permiso de residencia válido o un visado para estancia de larga duración válido concedidos por otro Estado miembro, los Estados miembros implicados se consultarán mutuamente mediante el intercambio de información complementaria, con arreglo a las normas siguientes:

a) el Estado miembro de ejecución informará de la situación al Estado miembro emisor;

b) el Estado miembro emisor iniciará el procedimiento establecido en el artículo 29;

c) el Estado miembro emisor comunicará al Estado miembro de ejecución el resultado tras las consultas.

El Estado miembro de ejecución tomará la decisión sobre la entrada del nacional de un tercer país de conformidad con el Reglamento (UE) 2016/399.

Artículo 31

Estadísticas sobre intercambios de información

Los Estados miembros facilitarán a eu-LISA anualmente estadísticas sobre los intercambios de información realizados de conformidad con los artículos 27 a 30 y sobre los casos en los que no se hayan cumplido los plazos señalados en dichos artículos.







CAPÍTULO VI

CONSULTA MEDIANTE DATOS BIOMÉTRICOS

Artículo 32

Normas específicas aplicables a la introducción de fotografías, imágenes faciales y datos dactiloscópicos

1. Solo se introducirán en el SIS las fotografías, las imágenes faciales y los datos dactiloscópicos mencionados en el artículo 20, apartado 2, letras w) y x), que cumplan las normas mínimas de calidad de los datos y las especificaciones técnicas. Antes de introducir ese tipo de datos, se comprobará su calidad, para determinar si se han cumplido las normas mínimas de calidad de los datos y las especificaciones técnicas.

2. Los datos dactiloscópicos introducidos en el SIS podrán consistir en una a diez impresiones dactilares planas y en una a diez impresiones dactilares rodadas. También podrán consistir en hasta dos impresiones palmares.

3. De conformidad con el apartado 4 del presente artículo, se establecerán normas mínimas de calidad de los datos y especificaciones técnicas para el almacenamiento de los datos biométricos a que se refiere el apartado 1 del presente artículo. Dichas normas mínimas de calidad de los datos y especificaciones técnicas determinarán el nivel de calidad necesario para utilizar los datos a efectos de comprobar la identidad de una persona de conformidad con el artículo 33, apartado 1, y de identificar a una persona de conformidad con el artículo 33, apartados 2 a 4.

4. La Comisión adoptará actos de ejecución a fin de establecer las normas mínimas de calidad de los datos y las especificaciones técnicas a que se refieren los apartados 1 y 3 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 62, apartado 2.

Artículo 33

Normas específicas aplicables a la comprobación o consulta mediante fotografías, imágenes faciales y datos dactiloscópicos

1. Cuando una descripción del SIS disponga de fotografías, imágenes faciales y datos dactiloscópicos, esas fotografías, imágenes faciales y datos dactiloscópicos se utilizarán para confirmar la identidad de una persona que haya sido localizada como consecuencia de una consulta alfanumérica realizada en el SIS.

2. Los datos dactiloscópicos podrán consultarse en todos los casos para identificar a una persona. Ahora bien, los datos dactiloscópicos se consultarán para identificar a una persona cuando su identidad no pueda determinarse por otros medios. A tal fin, el SIS Central incluirá un sistema automático de identificación dactilar (SAID).

3. Los datos dactiloscópicos del SIS en relación con descripciones introducidas con arreglo a los artículos 24 y 25 también podrán cotejarse utilizando conjuntos completos o incompletos de impresiones dactilares o palmares descubiertas en los lugares de comisión de delitos graves o delitos de terrorismo que estén siendo investigados, cuando pueda acreditarse con un alto grado de probabilidad que esos conjuntos de impresiones pertenecen a un autor del delito y siempre que la consulta se realice de forma simultánea en las pertinentes bases de datos nacionales de los Estados miembros de impresiones dactilares.

4. Tan pronto como sea técnicamente posible, y siempre que se garantice un alto nivel de fiabilidad de la identificación, podrán utilizarse fotografías e imágenes faciales para identificar a una persona en el contexto de los pasos fronterizos oficiales.

Antes de que se incorpore esta función en el SIS, la Comisión presentará un informe en el que examine si la tecnología necesaria está disponible, es fiable y está lista para su uso. Se consultará al Parlamento Europeo sobre este informe.

Una vez que se haya empezado a utilizar esta función en los pasos fronterizos oficiales, la Comisión estará facultada para adoptar actos delegados con arreglo al artículo 61 a fin de completar el presente Reglamento en lo que se refiere a la determinación de otras circunstancias en las que se puedan utilizar fotografías e imágenes faciales para la identificación de personas.







CAPÍTULO VII

DERECHO DE ACCESO A LAS DESCRIPCIONES Y REVISIÓN Y SUPRESIÓN DE DESCRIPCIONES

Artículo 34

Autoridades nacionales competentes con derecho de acceso a los datos del SIS

1. Las autoridades nacionales competentes responsables de la identificación de los nacionales de terceros países tendrán acceso a los datos introducidos en el SIS y tendrán derecho a consultarlos directamente o en una copia de la base de datos del SIS, con los siguientes fines:

a) los controles fronterizos, de conformidad con el Reglamento (UE) 2016/399;

b) los controles policiales y aduaneros realizados en el Estado miembro de que se trate y la coordinación de dichos controles por las autoridades designadas;

c) la prevención, la detección, la investigación o el enjuiciamiento de delitos de terrorismo u otros delitos graves o la ejecución de sanciones penales, dentro del Estado miembro de que se trate, siempre que se aplique la Directiva (UE) 2016/680;

d) el examen de las condiciones de entrada y estancia de nacionales de terceros países en el territorio de los Estados miembros, y la toma de decisiones sobre dicha entrada y estancia, en particular en lo que respecta a los permisos de residencia y los visados para estancia de larga duración, y de decisiones sobre el retorno de nacionales de terceros países, así como efectuar inspecciones de nacionales de terceros países que estén entrando o residiendo irregularmente en el territorio de los Estados miembros;

e) la realización de inspecciones de seguridad a nacionales de terceros países que soliciten protección internacional, en la medida en que las autoridades que las realicen no sean «autoridades decisorias» tal como se definen en el artículo 2, letra f), de la Directiva 2013/32/UE del Parlamento Europeo y del Consejo ( 5 ), y, en su caso, la prestación de asesoramiento de conformidad con el Reglamento (CE) n.o 377/2004 del Consejo ( 6 );

f) el examen de las solicitudes de visado y la toma de decisiones relativas a dichas solicitudes, incluidas las decisiones de anulación, retirada o prórroga de visados, de conformidad con el Reglamento (CE) n.o 810/2009 del Parlamento Europeo y del Consejo ( 7 );

▼M1

g) comprobar identidades diferentes y luchar contra la usurpación de la identidad conforme a lo dispuesto en el capítulo V del Reglamento (UE) 2019/817.

▼B

2. El derecho de acceso a los datos del SIS y el derecho a consultarlos directamente podrán ser ejercidos por las autoridades nacionales competentes responsables de la naturalización, según disponga el Derecho nacional, a los efectos de examinar las solicitudes de naturalización.

3. A efectos de los artículos 24 y 25, el derecho de acceso a los datos del SIS y el derecho a consultarlos directamente podrán ser ejercidos asimismo por las autoridades judiciales nacionales, incluidas las competentes para incoar el proceso penal y la instrucción judicial previa a la acusación de una persona, en el ejercicio de sus funciones, con arreglo a lo dispuesto en el Derecho nacional, así como por sus autoridades de coordinación.

4. El derecho de acceso a los datos relativos a documentos referentes a personas introducidos de conformidad con el artículo 38, apartado 2, letras k) y l), del Reglamento (UE) 2018/1862, así como el derecho a consultarlos, podrán ser ejercidos también por las autoridades a que se refiere el apartado 1, letra f), del presente artículo.

5. Las autoridades competentes a que se refiere el presente artículo se incluirán en la lista mencionada en el artículo 41, apartado 8.

Artículo 35

Acceso de Europol a los datos del SIS

1. La Agencia de la Unión Europea para la Cooperación Policial (Europol), establecida por el Reglamento (UE) 2016/794, tendrá derecho, cuando sea necesario para cumplir su mandato, a acceder a los datos del SIS y a consultarlos. Europol también podrá intercambiar y solicitar información complementaria de conformidad con lo dispuesto en el Manual Sirene.

2. En caso de que una consulta efectuada por Europol revele la existencia de una descripción en el SIS, Europol informará al Estado miembro emisor mediante el intercambio de información complementaria a través de la infraestructura de comunicación y de conformidad con lo dispuesto en el Manual Sirene. Hasta que Europol esté en condiciones de utilizar las funciones previstas para el intercambio de información complementaria, Europol informará al Estado miembro emisor a través de los canales establecidos por el Reglamento (UE) 2016/794.

3. Europol podrá tratar la información complementaria que le proporcionen los Estados miembros para cotejarla con sus bases de datos y proyectos de análisis operativos, con el fin de detectar conexiones u otros vínculos pertinentes, y para llevar a cabo los análisis estratégicos, temáticos u operativos a los que se refiere el artículo 18, apartado 2, letras a), b) y c), del Reglamento (UE) 2016/794. Todo tratamiento de la información complementaria llevado a cabo por Europol a efectos del presente artículo se realizará de conformidad con lo dispuesto en dicho Reglamento.

4. El uso por parte de Europol de la información obtenida como consecuencia de una consulta del SIS o del tratamiento de información complementaria estará sujeto al consentimiento del Estado miembro emisor. Si este permite el uso de dicha información, su tratamiento por parte de Europol se regirá por el Reglamento (UE) 2016/794. Europol solamente podrá comunicar esa información a terceros países u organismos con el consentimiento del Estado miembro emisor y con pleno cumplimiento del Derecho de la Unión en materia de protección de datos.

5. Europol deberá:

a) sin perjuicio de lo dispuesto en los apartados 4 y 6, no conectar las partes del SIS a las que acceda ni transferir los datos contenidos en él a ningún sistema de recopilación y tratamiento de datos gestionado o alojado por Europol, ni descargar ni copiar de otra manera parte alguna del SIS;

b) no obstante lo dispuesto en el artículo 31, apartado 1, del Reglamento (UE) 2016/794, suprimir la información complementaria que contenga datos personales a más tardar un año después de que la descripción correspondiente haya sido suprimida. Como excepción, cuando Europol disponga de información en sus bases de datos o en proyectos de análisis operativos sobre un caso relacionado con la información complementaria, Europol, a título excepcional y a fin de desempeñar sus funciones, podrá seguir conservando la información complementaria cuando sea necesario. Europol informará al Estado miembro emisor y al Estado miembro de ejecución de la prolongación de la conservación de dicha información complementaria y la justificará;

c) limitar el acceso a los datos del SIS, incluida la información complementaria, al personal de Europol expresamente autorizado para ello que necesite acceso a esos datos para desempeñar sus funciones;

d) adoptar y aplicar medidas para garantizar la seguridad, la confidencialidad y el control interno, de conformidad con los artículos 10, 11 y 13;

e) garantizar que su personal autorizado para tratar los datos del SIS reciba la formación y la información adecuadas, de conformidad con el artículo 14, apartado 1; y

f) sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/794, permitir que el Supervisor Europeo de Protección de Datos supervise y examine las actividades que Europol realiza tanto en el ejercicio de su derecho a acceder a los datos del SIS y a consultarlos, como en el marco del intercambio y tratamiento de información complementaria.

6. Europol solo podrá copiar datos del SIS con fines técnicos cuando la copia sea necesaria para la consulta directa por el personal autorizado de Europol. El presente Reglamento será aplicable a esas copias. La copia técnica solo se utilizará para almacenar datos del SIS mientras se consultan dichos datos. Una vez que los datos hayan sido consultados, se suprimirán. Estos usos no se considerarán descargas o copias ilegales de datos del SIS. Europol no podrá copiar datos de las descripciones ni datos adicionales emitidos por Estados miembros o procedentes de la CS-SIS en otros sistemas de Europol.

7. A fin de verificar la legalidad del tratamiento de datos, de llevar a cabo un control interno y de garantizar la adecuada seguridad e integridad de los datos, Europol conservará un registro de cada acceso al SIS y de cada consulta en este, de conformidad con lo dispuesto en el artículo 12. Este tipo de registros y de documentación no se considerarán copias o descargas ilegales de partes del SIS.

8. Los Estados miembros informarán a Europol mediante el intercambio de información complementaria de cualquier respuesta positiva para descripciones relacionadas con delitos de terrorismo. Con carácter excepcional, los Estados miembros podrán no informar a Europol si ello perjudicase investigaciones en curso o la seguridad de una persona o fuera contrario a los intereses esenciales de seguridad del Estado miembro emisor.

9. El apartado 8 será de aplicación a partir de la fecha en que Europol pueda recibir información complementaria de conformidad con el apartado 1.

Artículo 36

Acceso a los datos del SIS por parte de los equipos de la Guardia Europea de Fronteras y Costas, de los equipos de personal que participen en tareas relacionadas con el retorno y de los miembros de los equipos de apoyo a la gestión de la migración

1. De conformidad con el artículo 40, apartado 8, del Reglamento (UE) 2016/1624, los miembros de los equipos mencionados en el artículo 2, puntos 8 y 9, de dicho Reglamento, en el marco de su mandato y siempre que estén autorizados a llevar a cabo inspecciones de conformidad con lo dispuesto en el artículo 34, apartado 1, del presente Reglamento y hayan recibido la formación necesaria de conformidad con el artículo 14, apartado 1, del presente Reglamento, tendrán derecho a acceder a los datos del SIS y a consultarlos en la medida de lo necesario para el cumplimiento de sus funciones y siempre que lo exija el plan operativo de una operación específica. El acceso a los datos del SIS no se hará extensivo a ningún otro miembro del equipo.

2. Los miembros de los equipos mencionados en el apartado 1 ejercerán el derecho a acceder a los datos del SIS y a consultarlos de conformidad con el apartado 1 a través de una interfaz técnica. La Agencia Europea de la Guardia de Fronteras y Costas establecerá y mantendrá la interfaz técnica, la cual permitirá la conexión directa con el SIS Central.

3. En caso de que una consulta efectuada por un miembro de los equipos mencionados en el apartado 1 del presente artículo revele la existencia de una descripción en el SIS, se informará de ello al Estado miembro emisor. De conformidad con el artículo 40 del Reglamento (UE) 2016/1624, los miembros de los equipos solo actuarán en respuesta a una descripción del SIS siguiendo las instrucciones de los guardias de fronteras del Estado miembro de acogida en el que estén trabajando o del personal de este que participe en tareas relacionadas con el retorno y, como norma general, en su presencia. El Estado miembro de acogida podrá autorizar a los miembros de los equipos para que actúen en su nombre.

4. A fin de verificar la legalidad del tratamiento de datos, de llevar a cabo un control interno y de garantizar la adecuada seguridad e integridad de los datos, la Agencia Europea de la Guardia de Fronteras y Costas conservará un registro de cada acceso al SIS y de cada consulta en este, de conformidad con lo dispuesto en el artículo 12.

5. La Agencia Europea de la Guardia de Fronteras y Costas adoptará y aplicará medidas para garantizar la seguridad, la confidencialidad y el control interno, de conformidad con los artículos 10, 11 y 13, y se asegurará de que los equipos mencionados en el apartado 1 del presente artículo aplican dichas medidas.

6. Ninguna disposición del presente artículo podrá interpretarse en el sentido de que afecta a lo dispuesto en el Reglamento (UE) 2016/1624 por lo que respecta a la protección de datos o a la responsabilidad de la Agencia Europea de la Guardia de Fronteras y Costas por el tratamiento no autorizado o incorrecto de datos por su parte.

7. Sin perjuicio del apartado 2, ninguna parte del SIS se conectará a ningún sistema de recopilación y tratamiento de datos gestionado por los equipos mencionados en el apartado 1 o por la Agencia Europea de la Guardia de Fronteras y Costas, y los datos del SIS a los que dichos equipos tengan acceso no se transferirán a dicho sistema. No se descargará ni copiará ninguna parte del SIS. El registro de los accesos y consultas no se considerará descarga ilegal o copia de datos del SIS.

8. La Agencia Europea de la Guardia de Fronteras y Costas permitirá al Supervisor Europeo de Protección de Datos supervisar y examinar las actividades que realicen los equipos mencionados en el presente artículo en el ejercicio de su derecho a acceder a los datos del SIS y a consultarlos. La presente disposición se entenderá sin perjuicio de las demás disposiciones del Reglamento (UE) 2018/1725.

Artículo 37

Evaluación de la utilización del SIS por parte de Europol y de la Agencia Europea de la Guardia de Fronteras y Costas

1. La Comisión llevará a cabo al menos cada cinco años una evaluación del funcionamiento y la utilización del SIS por parte de Europol y de los equipos mencionados en el artículo 36, apartado 1.

2. Europol y la Agencia Europea de la Guardia de Fronteras y Costas garantizarán un seguimiento adecuado de las conclusiones y recomendaciones derivadas de la evaluación.

3. Se enviará al Parlamento Europeo y al Consejo un informe sobre los resultados de la evaluación y las consiguientes medidas.

Artículo 38

Alcance del acceso

Los usuarios finales, incluidos Europol y los miembros de los equipos mencionados en el artículo 2, puntos 8 y 9, del Reglamento (UE) 2016/1624, solo podrán acceder a los datos que requieran para el desempeño de sus funciones.

Artículo 39

Plazo de revisión de las descripciones

1. Las descripciones se conservarán solo durante el tiempo necesario para alcanzar los fines para los que hayan sido introducidas.

2. El Estado miembro emisor revisará la necesidad de conservar una descripción en el SIS en un plazo máximo de tres años a partir de su introducción. No obstante, si la decisión nacional sobre la que se basa la descripción tiene un período de validez superior a tres años, la descripción se revisará a los cinco años.

3. Cada Estado miembro fijará, cuando corresponda, plazos de revisión más cortos con arreglo al Derecho nacional.

4. Durante el plazo de revisión, el Estado miembro emisor podrá decidir, tras una evaluación completa del caso concreto, de la que deberá quedar constancia, que se conserve la descripción durante un período de tiempo más largo que el de revisión, cuando ello sea necesario y proporcionado para los fines que motivaron la introducción de la descripción. En este caso, el apartado 2 también se aplicará a la prórroga. Toda prórroga será comunicada a la CS-SIS.

5. Las descripciones se suprimirán automáticamente una vez que expire el plazo de revisión a que se refiere el apartado 2, excepto cuando el Estado miembro emisor haya comunicado la prórroga a la CS-SIS con arreglo al apartado 4. La CS-SIS informará automáticamente al Estado miembro emisor acerca de la supresión programada de los datos, con una antelación de cuatro meses.

6. Los Estados miembros llevarán estadísticas del número de descripciones cuyos plazos de conservación hayan sido prorrogados con arreglo al apartado 4 del presente artículo y las transmitirán, previa solicitud, a las autoridades de control mencionadas en el artículo 55.

7. Desde el momento en que una oficina Sirene tenga constancia de que una descripción ha cumplido su objetivo y, por consiguiente, debe suprimirse, lo notificará inmediatamente a la autoridad que haya creado la descripción. La autoridad dispondrá de quince días naturales desde la recepción de esa notificación para indicar que la descripción se ha suprimido o se suprimirá, o para justificar su conservación. Si no se recibiese ninguna respuesta antes de expirar el plazo de quince días, la oficina Sirene se asegurará de que se suprima la descripción. Siempre que el Derecho nacional lo permita, la oficina Sirene suprimirá la descripción. Las oficinas Sirene comunicarán a sus respectivas autoridades de control todo problema recurrente que detecten cuando actúen con arreglo al presente apartado.

Artículo 40

Supresión de descripciones

1. Las descripciones para la denegación de entrada y estancia con arreglo al artículo 24 se suprimirán:

a) cuando la decisión sobre cuya base se introdujo la descripción haya sido revocada o anulada por la autoridad competente; o

b) en su caso, siguiendo el procedimiento de consulta indicado en los artículos 27 y 29.

2. Las descripciones sobre nacionales de terceros países objeto de una medida restrictiva destinada a impedir la entrada en el territorio de los Estados miembros o el tránsito por este se suprimirán cuando la medida restrictiva se haya extinguido, suspendido o anulado.

3. Las descripciones sobre personas que hayan adquirido la nacionalidad de un Estado miembro o de cualquier Estado cuyos nacionales disfruten del derecho de libre circulación con arreglo al Derecho de la Unión se suprimirán en cuanto el Estado miembro emisor tenga conocimiento, o sea informado con arreglo al artículo 44, de que la persona en cuestión ha adquirido dicha nacionalidad.

4. Las descripciones se suprimirán una vez que alcancen su fecha de expiración de acuerdo con el artículo 39.







CAPÍTULO VIII

NORMAS GENERALES DE TRATAMIENTO DE DATOS

Artículo 41

Tratamiento de los datos del SIS

1. Los Estados miembros solo podrán tratar los datos enumerados en el artículo 20 a efectos de la denegación de entrada y estancia en sus territorios.

2. Los datos solo podrán copiarse con fines técnicos, cuando sea necesario para la consulta directa por las autoridades competentes mencionadas en el artículo 34. El presente Reglamento se aplicará a esas copias. Los Estados miembros no podrán copiar los datos de una descripción o datos adicionales introducidos por otro Estado miembro desde su N.SIS o la CS-SIS en otros ficheros de datos nacionales.

3. Las copias técnicas mencionadas en el apartado 2 que den lugar a bases de datos fuera de línea solo podrán conservarse durante 48 horas como máximo.

No obstante lo dispuesto en el párrafo primero, no se permitirán las copias técnicas que den lugar a bases de datos fuera de línea para uso de las autoridades responsables de la expedición de visados, salvo las copias que se hagan con el único fin de utilizarlas en situaciones de emergencia ante la imposibilidad de acceder a la red durante más de 24 horas.

Los Estados miembros mantendrán un inventario actualizado de esas copias, pondrán dicho inventario a disposición de las autoridades de control y se asegurarán de que lo dispuesto en el presente Reglamento, en particular su artículo 10, se aplique respecto de dichas copias.

4. El acceso a los datos del SIS por las autoridades nacionales competentes mencionadas en el artículo 34 solo se autorizará dentro de los límites de sus competencias y únicamente al personal debidamente autorizado.

5. Todo tratamiento de información del SIS por los Estados miembros con fines distintos de aquellos para los que se introdujo en el SIS deberá guardar relación con algún caso concreto y estar justificado por la necesidad de prevenir una amenaza grave e inminente para el orden y la seguridad públicos, por razones graves de seguridad nacional o por la necesidad de prevenir un delito grave. A tal fin, deberá obtenerse autorización previa del Estado miembro emisor.

6. Los datos relativos a documentos referentes a personas introducidos en el SIS con arreglo al artículo 38, apartado 2, letras k) y l), del Reglamento (UE) 2018/1862 podrán ser utilizados por las autoridades competentes a que se refiere el artículo 34, apartado 1, letra f), de conformidad con la legislación de cada Estado miembro.

7. Toda utilización de datos del SIS que no cumpla lo dispuesto en los apartados 1 a 6 del presente artículo se considerará una desviación de la finalidad con arreglo al Derecho nacional de cada Estado miembro y estará sujeta a sanciones de conformidad con el artículo 59.

8. Cada Estado miembro remitirá a eu-LISA la lista de las autoridades competentes que estén autorizadas a consultar directamente los datos del SIS con arreglo al presente Reglamento, así como cualquier modificación introducida en ella. La lista indicará, para cada autoridad, los datos que puede consultar y para qué fines. Eu-LISA garantizará la publicación anual de la lista en el Diario Oficial de la Unión Europea. Eu-LISA mantendrá una lista constantemente actualizada en su página web, con los cambios enviados por los Estados miembros entre las publicaciones anuales.

9. En la medida en que el Derecho de la Unión no establezca disposiciones especiales, la normativa de cada Estado miembro se aplicará a los datos de sus N.SIS.

Artículo 42

Datos del SIS y ficheros nacionales

1. El artículo 41, apartado 2, se entenderá sin perjuicio del derecho de cada Estado miembro a conservar en sus ficheros nacionales datos del SIS en relación con los cuales se hayan tomado medidas en su territorio. Dichos datos se conservarán en los ficheros nacionales durante un período máximo de tres años, salvo si la normativa nacional contiene disposiciones específicas que prevean un plazo de conservación más largo.

2. El artículo 41, apartado 2, se entenderá sin perjuicio del derecho de cada Estado miembro a conservar en sus ficheros nacionales los datos contenidos en una descripción concreta que dicho Estado miembro haya introducido en el SIS.

Artículo 43

Información en caso de no ejecución de una descripción

Si no fuera posible ejecutar una medida requerida, el Estado miembro al que se pide actuar informará de ello inmediatamente al Estado miembro emisor mediante el intercambio de información complementaria.

Artículo 44

Calidad de los datos del SIS

1. El Estado miembro emisor será responsable de la exactitud y actualidad de los datos y de la legalidad de su introducción y almacenamiento en el SIS.

2. Cuando un Estado miembro emisor reciba datos adicionales o modificados pertinentes de los enumerados en el artículo 20, apartado 2, completará o modificará sin demora la descripción de que se trate.

3. El Estado miembro emisor será el único autorizado para modificar, completar, rectificar, actualizar o suprimir los datos que haya introducido en el SIS.

4. Si un Estado miembro distinto del Estado miembro emisor dispone de datos adicionales o modificados pertinentes de los enumerados en el artículo 20, apartado 2, los transmitirá sin demora, mediante el intercambio de información complementaria, al Estado miembro emisor para que este último pueda completar o modificar la descripción. Solo se transmitirán los datos si se ha determinado la identidad del nacional de un tercer país.

5. Si un Estado miembro distinto del Estado miembro emisor dispone de indicios que permitan presumir que un dato contiene errores de hecho o que ha sido almacenado ilegalmente, informará, mediante el intercambio de información complementaria, al Estado miembro emisor en cuanto sea posible y, a más tardar, dos días laborables después de haber tenido conocimiento de dichos indicios. El Estado miembro emisor comprobará la información y, en caso necesario, corregirá o suprimirá ese dato sin demora.

6. Si los Estados miembros no pudieran llegar a un acuerdo en el plazo de dos meses a partir del momento en que se tuvo conocimiento de los indicios a que se refiere el apartado 5 del presente artículo, el Estado miembro que no ha introducido la descripción someterá el asunto a las autoridades de control competentes y al Supervisor Europeo de Protección de Datos para que adopten una decisión, recurriendo a la cooperación con arreglo al artículo 57.

7. Los Estados miembros intercambiarán información complementaria cuando una persona alegue que no es la persona objeto de la descripción. Si de la comprobación se desprende que la persona objeto de la descripción no es la persona que hace la alegación, se informará a quien la hace de las medidas establecidas en el artículo 47 y del derecho de recurso con arreglo al artículo 54, apartado 1.

Artículo 45

Incidentes de seguridad

1. Cualquier acontecimiento que repercuta o pueda repercutir en la seguridad del SIS o pueda causar daños o pérdidas de datos del SIS o de información complementaria será considerado un incidente de seguridad, especialmente cuando se haya podido producir un acceso ilegal a los datos o cuando se haya puesto o se haya podido poner en peligro la disponibilidad, integridad y confidencialidad de estos.

2. Los incidentes de seguridad se gestionarán de tal modo que se garantice una respuesta rápida, efectiva y adecuada.

3. Sin perjuicio de la notificación y comunicación de cualquier violación de la seguridad de los datos personales de conformidad con el artículo 33 del Reglamento (UE) 2016/679 o con el artículo 30 de la Directiva (UE) 2016/680, los Estados miembros, Europol y la Agencia Europea de la Guardia de Fronteras y Costas notificarán sin demora a la Comisión, a eu-LISA, a la autoridad de control competente y al Supervisor Europeo de Protección de Datos los incidentes de seguridad que se produzcan. Eu-LISA comunicará sin demora a la Comisión y al Supervisor Europeo de Protección de Datos cualquier incidente de seguridad relativo al SIS Central.

4. La información sobre un incidente de seguridad que repercuta o pueda repercutir en el funcionamiento del SIS en un Estado miembro o en eu-LISA, en la disponibilidad, integridad y confidencialidad de los datos introducidos o enviados por otros Estados miembros o en la información complementaria intercambiada se transmitirá sin demora a todos los Estados miembros y se comunicará de conformidad con el plan de gestión de incidentes establecido por eu-LISA.

5. Los Estados miembros y eu-LISA colaborarán cuando se produzca un incidente de seguridad.

6. La Comisión informará de inmediato al Parlamento Europeo y al Consejo sobre los incidentes graves. Se asignará a esos informes la clasificación EU RESTRICTED/RESTREINT UE de conformidad con las normas de seguridad aplicables.

7. Cuando un incidente de seguridad se deba a la utilización indebida de datos, los Estados miembros, Europol y la Agencia Europea de la Guardia de Fronteras y Costas velarán por que se impongan sanciones de conformidad con el artículo 59.

Artículo 46

Distinción entre personas con características similares

1. Cuando, al introducirse una nueva descripción, se ponga de manifiesto que ya existe una descripción en el SIS sobre una persona con las mismas características identificativas, la oficina Sirene se pondrá en contacto, en un plazo de doce horas, con el Estado miembro emisor mediante el intercambio de información complementaria para comprobar si los sujetos de las dos descripciones son la misma persona.

2. Si al cotejar las descripciones resulta que la persona objeto de la nueva descripción y la persona objeto de la descripción ya introducida en el SIS son efectivamente la misma persona, la oficina Sirene aplicará el procedimiento de introducción de descripciones múltiples previsto en el artículo 23.

3. Si el resultado del cotejo indicase que las descripciones se refieren de hecho a dos personas diferentes, la oficina Sirene aprobará la solicitud de introducción de la segunda descripción añadiendo los datos necesarios para evitar cualquier error de identificación.

Artículo 47

Datos adicionales en caso de usurpación de identidad

1. En caso de que pueda surgir confusión entre la persona a la que realmente se refiere una descripción y otra persona cuya identidad haya sido usurpada, el Estado miembro emisor deberá añadir, con el consentimiento expreso de esta última, datos sobre ella a la descripción, a fin de evitar las consecuencias negativas de los errores de identificación. Cualquier persona cuya identidad haya sido usurpada tendrá derecho a revocar su consentimiento en relación con el tratamiento de los datos personales añadidos.

2. Los datos relacionados con una persona cuya identidad haya sido usurpada solo se utilizarán para los siguientes fines:

a) permitir a la autoridad competente diferenciar a la persona cuya identidad haya sido usurpada de la persona a la que realmente se refiere la descripción; y

b) permitir a la persona cuya identidad haya sido usurpada demostrar su identidad y establecer que su identidad ha sido usurpada.

3. A efectos del presente artículo y a reserva del consentimiento expreso de la persona cuya identidad haya sido usurpada para cada categoría de datos, solo podrán introducirse y tratarse en el SIS los siguientes datos personales de la persona cuya identidad haya sido usurpada:

a) apellidos;

b) nombres;

c) nombres y apellidos de nacimiento;

d) nombres y apellidos anteriores y alias, en su caso registrados por separado;

e) rasgos físicos particulares, objetivos e inalterables;

f) lugar de nacimiento;

g) fecha de nacimiento;

h) sexo;

i) fotografías e imágenes faciales;

j) impresiones dactilares, palmares o ambas;

k) nacionalidad o nacionalidades;

l) categoría de los documentos de identificación de la persona;

m) país de expedición de los documentos de identificación de la persona;

n) número o números de los documentos de identificación de la persona;

o) fecha de expedición de los documentos de identificación de la persona;

p) dirección de la persona;

q) nombre del padre de la persona;

r) nombre de la madre de la persona.

4. La Comisión adoptará actos de ejecución a fin de establecer y desarrollar las normas técnicas necesarias para la introducción y el ulterior tratamiento de los datos a los que se hace referencia en el apartado 3 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 62, apartado 2.

5. Los datos a que se refiere el apartado 3 se suprimirán al mismo tiempo que la descripción correspondiente, o antes si la persona lo solicita.

6. Solo las autoridades que tienen derecho de acceso a la descripción correspondiente podrán acceder a los datos a que se refiere el apartado 3. Podrán acceder a ellos únicamente para evitar errores de identificación.

Artículo 48

Conexiones entre descripciones

1. Los Estados miembros podrán crear conexiones entre las descripciones que introduzcan en el SIS. El efecto de estas conexiones será establecer una relación entre dos o más descripciones.

2. La creación de una conexión no afectará a la medida específica que deba tomarse en virtud de cada una de las descripciones conectadas, ni al período de revisión de cada una de las descripciones conectadas.

3. La creación de una conexión no afectará a los derechos de acceso regulados en el presente Reglamento. Las autoridades que no tengan derecho de acceso a determinadas categorías de descripciones no podrán ver las conexiones con una descripción a la que no tengan acceso.

4. Los Estados miembros crearán una conexión entre descripciones cuando exista una necesidad operativa.

5. Cuando un Estado miembro considere que la creación por otro Estado miembro de una conexión entre descripciones es incompatible con su normativa nacional o sus obligaciones internacionales, podrá adoptar las medidas necesarias para garantizar que no se pueda acceder a la conexión desde su territorio nacional ni puedan acceder a ella sus propias autoridades nacionales situadas fuera de su territorio.

6. La Comisión adoptará actos de ejecución a fin de establecer y desarrollar las normas técnicas necesarias para la conexión entre descripciones. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 62, apartado 2.

Artículo 49

Finalidad y período de conservación de la información complementaria

1. Los Estados miembros conservarán en la oficina Sirene una referencia de las decisiones que han dado lugar a una descripción, a fin de apoyar el intercambio de información complementaria.

2. Los datos personales conservados en ficheros por la oficina Sirene como resultado de un intercambio de información solo se conservarán el tiempo que sea necesario para lograr los fines para los que hayan sido facilitados. En cualquier caso, se suprimirán a más tardar un año después de que se haya suprimido del SIS la descripción correspondiente.

3. El apartado 2 se entenderá sin perjuicio del derecho de cada Estado miembro a conservar en sus ficheros nacionales datos relativos a una descripción concreta que haya introducido o a una descripción en relación con la cual se hayan tomado medidas en su territorio. El período durante el que podrán conservarse dichos datos en esos ficheros se regirá por el Derecho nacional.

Artículo 50

Transferencia de datos personales a terceros

Los datos tratados en el SIS y la correspondiente información complementaria intercambiada con arreglo al presente Reglamento no se transmitirán ni se pondrán a disposición de terceros países ni de organizaciones internacionales.







CAPÍTULO IX

PROTECCIÓN DE DATOS

Artículo 51

Legislación aplicable

1. El Reglamento (UE) 2018/1725 será aplicable al tratamiento de datos personales por eu-LISA y por la Agencia Europea de la Guardia de Fronteras y Costas realizado en el marco del presente Reglamento. El Reglamento (UE) 2016/794 será aplicable al tratamiento de datos personales realizado por Europol en el marco del presente Reglamento.

2. El Reglamento (UE) 2016/679 será aplicable al tratamiento de datos personales realizado en el marco del presente Reglamento por las autoridades competentes a que se refiere el artículo 34 del presente Reglamento, excepto el tratamiento para fines de prevención, detección, investigación o enjuiciamiento de delitos, o de ejecución de sanciones penales, incluida la protección frente a amenazas para la seguridad pública y la prevención de estas, cuando sea de aplicación la Directiva (UE) 2016/680.

Artículo 52

Derecho de información

1. Los nacionales de terceros países objeto de una descripción del SIS serán informados de ello de conformidad con los artículos 13 y 14 del Reglamento (UE) 2016/679 o los artículos 12 y 13 de la Directiva (UE) 2016/680. Esta información se facilitará por escrito, junto con una copia o una referencia de la decisión nacional que haya dado lugar a la descripción, según dispone el artículo 24, apartado 1, del presente Reglamento.

2. Dicha información no se facilitará cuando el Derecho nacional permita limitar el derecho de información, en particular para salvaguardar la seguridad nacional, la defensa, la seguridad pública y para la prevención, detección, investigación y enjuiciamiento de delitos.

Artículo 53

Derecho de acceso, rectificación de datos que contengan errores y supresión de datos almacenados ilegalmente

1. Los interesados podrán ejercer los derechos que les asisten en virtud de los artículos 15, 16 y 17 del Reglamento (UE) 2016/679 y del artículo 14 y artículo 16, apartados 1 y 2, de la Directiva (UE) 2016/680.

2. Un Estado miembro que no sea el Estado miembro emisor podrá facilitar al interesado información relativa a cualquiera de los datos personales del interesado que estén siendo tratados, únicamente si ha dado antes al Estado miembro emisor ocasión de pronunciarse al respecto. La comunicación entre esos Estados miembros tendrá lugar mediante el intercambio de información complementaria.

3. Los Estados miembros tomarán, de conformidad con el Derecho nacional, la decisión de no facilitar la información al interesado, en su totalidad o en parte, en la medida en que dicha limitación total o parcial sea una medida necesaria y proporcionada en una socie