REGLAMENTO (UE) 2018/1862 DEL PARLAMENTO EUROPEO Y DEL CONSEJO

de 28 de noviembre de 2018

relativo al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen (SIS) en el ámbito de la cooperación policial y de la cooperación judicial en materia penal, por el que se modifica y deroga la Decisión 2007/533/JAI del Consejo, y se derogan el Reglamento (CE) n.o 1986/2006 del Parlamento Europeo y del Consejo y la Decisión 2010/261/UE de la Comisión

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 82, apartado 1, párrafo segundo, letra d), su artículo 85, apartado 1, su artículo 87, apartado 2, letra a), y su artículo 88, apartado 2, letra a),

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

De conformidad con el procedimiento legislativo ordinario (1),

Considerando lo siguiente:

(1) El Sistema de Información de Schengen (SIS) constituye un instrumento esencial para la aplicación de las disposiciones del acervo de Schengen integrado en el marco de la Unión Europea. El SIS es una de las principales medidas compensatorias que contribuyen al mantenimiento de un alto nivel de seguridad en el espacio de libertad, seguridad y justicia de la Unión, al apoyar la cooperación operativa entre las autoridades nacionales competentes, en particular guardias de fronteras, servicios policiales, autoridades aduaneras, autoridades de inmigración y autoridades responsables de la prevención, la detección, la investigación o el enjuiciamiento de infracciones penales o la ejecución de sanciones penales.

(2) Inicialmente, el SIS fue creado de conformidad con las disposiciones del título IV del Convenio de aplicación del Acuerdo de Schengen de 14 de junio de 1985 entre los Gobiernos de los Estados de la Unión Económica Benelux, de la República Federal de Alemania y de la República Francesa, relativo a la supresión gradual de los controles en las fronteras comunes (2) (en lo sucesivo, «Convenio de aplicación del Acuerdo de Schengen»), firmado el 19 de junio de 1990. El SIS de segunda generación (SIS II), cuyo desarrollo se había encomendado a la Comisión con arreglo al Reglamento (CE) n.o 2424/2001 del Consejo (3) y a la Decisión 2001/886/JAI del Consejo (4). Posteriormente, fue establecido mediante el Reglamento (CE) n.o 1987/2006 del Parlamento Europeo y del Consejo (5), y la Decisión 2007/533/JAI del Consejo (6). El SIS II sustituyó al SIS, tal como se había creado en virtud del Convenio de aplicación del Acuerdo de Schengen.

(3) Tres años después de la entrada en funcionamiento del SIS II, la Comisión evaluó el sistema con arreglo a lo dispuesto en el Reglamento (CE) n.o 1987/2006 y en la Decisión 2007/533/JAI. El 21 de diciembre de 2016, la Comisión presentó al Parlamento Europeo y al Consejo el informe sobre la evaluación del Sistema de Información Schengen de segunda generación (SIS II), de conformidad con el artículo 24, apartado 5, el artículo 43, apartado 3, y el artículo 50, apartado 5, del Reglamento (CE) n.o 1987/2006 y con el artículo 59, apartado 3, y el artículo 66, apartado 5, de la Decisión 2007/533/JAI, al que acompañaba un documento de trabajo de los servicios de la Comisión. Las recomendaciones que figuran en dichos documentos deben reflejarse, en su caso, en el presente Reglamento.

(4) El presente Reglamento constituye la base jurídica para el SIS en las materias que entran en el ámbito de aplicación de la tercera parte, título V, capítulos 4 y 5, del Tratado de Funcionamiento de la Unión Europea (TFUE). El Reglamento (UE) 2018/1861 del Parlamento Europeo y del Consejo (7) constituye la base jurídica para el SIS en las materias que entran en el ámbito de aplicación de la tercera parte, título V, capítulo 2, del TFUE.

(5) El hecho de que la base jurídica para el SIS consista en dos instrumentos separados no afecta al principio de que el SIS constituye un único sistema de información que debe funcionar como tal. Debe contar con una red única de oficinas nacionales, denominadas oficinas Sirene, para garantizar el intercambio de información complementaria. En consecuencia, algunas disposiciones de dichos instrumentos deben ser idénticas.

(6) Es necesario especificar los objetivos del SIS, determinados elementos de su arquitectura técnica y su financiación, establecer normas relativas a su funcionamiento y utilización de extremo a extremo y determinar las responsabilidades. También es necesario determinar las categorías de datos que se vayan a introducir en el sistema, los fines para los que se vayan a introducir y tratar, y los criterios de introducción. Asimismo, es preciso regular la supresión de descripciones, las autoridades autorizadas para acceder a los datos y el uso de datos biométricos, y desarrollar otras normas sobre protección y tratamiento de datos.

(7) Las descripciones del SIS solo contienen la información necesaria para identificar a una persona u objeto y para precisar las medidas que deben tomarse. Por tanto, los Estados miembros deben intercambiar, cuando sea necesario, información complementaria relacionada con las descripciones.

(8) El SIS incluye un sistema central (SIS Central) y unos sistemas nacionales. Los sistemas nacionales pueden contener una copia completa o parcial de la base de datos del SIS, que puede ser compartida entre dos o más Estados miembros. Considerando que el SIS es el instrumento de intercambio de información más importante de Europa para garantizar la seguridad y una gestión eficaz de las fronteras, es necesario asegurar su funcionamiento ininterrumpido tanto a escala central como nacional. La disponibilidad del SIS debe ser objeto de una estrecha supervisión tanto a escala central como en los Estados miembros, y todo incidente de indisponibilidad para los usuarios finales debe ser registrado y comunicado a las partes interesadas nacionales y de la Unión. Cada Estado miembro debe crear una copia de seguridad para su sistema nacional. Además, los Estados miembros deben garantizar la conectividad ininterrumpida con el SIS Central mediante puntos de conexión duplicados y separados física y geográficamente. El SIS Central y la infraestructura de comunicación deben organizarse de tal manera que se garantice su funcionamiento las 24 horas del día y los 7 días de la semana. Por este motivo, la Agencia de la Unión Europea para la gestión operativa de sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia (en lo sucesivo, «eu-LISA»), establecida en virtud del Reglamento (UE) 2018/1726 del Parlamento Europeo y del Consejo (8), debe implantar soluciones técnicas que refuercen la disponibilidad ininterrumpida del SIS, a reserva de una evaluación de impacto y un análisis coste-beneficio independientes.

(9) Es necesario disponer de un manual que establezca normas detalladas sobre el intercambio de información complementaria en relación con las medidas solicitadas en las descripciones (Manual Sirene). Las oficinas Sirene deben garantizar el intercambio de esa información de manera rápida y eficiente.

(10) Con el fin de garantizar la eficiencia del intercambio de información complementaria, en particular sobre las medidas que deban tomarse según lo especificado en las descripciones, procede reforzar el funcionamiento de las oficinas Sirene precisando las exigencias relativas a los recursos disponibles y la formación de los usuarios y el tiempo de respuesta a las consultas que reciban de otras oficinas Sirene.

(11) Los Estados miembros deben asegurarse de que el personal de sus oficinas Sirene tenga las capacidades lingüísticas y los conocimientos de las normas sustantivas y procesales aplicables necesarios para desempeñar sus funciones.

(12) Para poder aprovechar plenamente las funcionalidades del SIS, los Estados miembros deben garantizar que los usuarios finales y el personal de las oficinas Sirene reciban formación periódicamente, en particular sobre la seguridad de los datos, la protección de los datos y la calidad de los datos. Las oficinas Sirene deben participar en la elaboración de los programas de formación. En la medida de lo posible, las oficinas Sirene deben prever además la organización de intercambios de personal con otras oficinas Sirene, con una periodicidad anual como mínimo. Se anima a los Estados miembros a adoptar las medidas necesarias para evitar la pérdida de capacidades y experiencia a causa de la rotación del personal.

(13) eu-LISA se ocupa de la gestión operativa de los componentes centrales del SIS. Con el fin de que eu-LISA pueda dedicar los recursos financieros y humanos necesarios al conjunto de los aspectos de la gestión operativa del SIS Central y de la infraestructura de comunicación, el presente Reglamento debe definir pormenorizadamente sus funciones, en particular por lo que se refiere a los aspectos técnicos del intercambio de información complementaria.

(14) Sin perjuicio de la responsabilidad de los Estados miembros en lo que respecta a la exactitud de los datos introducidos en el SIS y de la función de coordinación de la calidad que desempeñan las oficinas Sirene, eu-LISA debe encargarse de la mejora de la calidad de los datos mediante la creación a nivel central de una herramienta de supervisión de la calidad de los datos y debe presentar informes periódicos a la Comisión y a los Estados miembros. La Comisión debe informar al Parlamento Europeo y al Consejo acerca de los problemas detectados en relación con la calidad de los datos. Para seguir mejorando la calidad de los datos del SIS, eu-LISA también debe ofrecer formación sobre la utilización del SIS a los organismos nacionales de formación y, en la medida de lo posible, a las oficinas Sirene y a los usuarios finales.

(15) Con el fin de mejorar el seguimiento de la utilización del SIS y analizar las tendencias relativas a los delitos, eu-LISA debe estar facultada para desarrollar una capacidad de vanguardia que le permita elaborar, sin poner en peligro la integridad de los datos, informes estadísticos destinados a los Estados miembros, el Parlamento Europeo, el Consejo, la Comisión, Europol, Eurojust y la Agencia Europea de la Guardia de Fronteras y Costas. Por tanto, debe crearse un repositorio central. Las estadísticas conservadas en el repositorio u obtenidas de este no deben contener datos personales. Los Estados Miembros deben comunicar estadísticas relativas al ejercicio del derecho de acceso, rectificación de datos inexactos y supresión de datos almacenados ilegalmente, en el marco de la cooperación entre las autoridades de control y el Supervisor Europeo de Protección de Datos con arreglo al presente Reglamento.

(16) Se deben introducir en el SIS nuevas categorías de datos para permitir a los usuarios finales tomar decisiones con pleno conocimiento de causa basándose en una descripción, sin pérdida de tiempo. Por tanto, para facilitar la identificación y detectar identidades múltiples, la descripción debe incluir, si se dispone de esta información, una referencia al documento de identificación personal de la persona en cuestión, o a su número, y una copia, a ser posible en color, de dicho documento.

(17) Cuando sea estrictamente necesario, las autoridades competentes deben poder introducir en el SIS información específica relativa a rasgos físicos particulares, objetivos e inalterables de una persona, como tatuajes, marcas o cicatrices.

(18) Cuando se disponga de ellos, todos los datos pertinentes, en particular el nombre de la persona en cuestión, deben introducirse cuando se cree una descripción, a fin de minimizar el riesgo de obtener falsos positivos, así como actividades operativas innecesarias.

(19) El SIS no debe almacenar ningún dato empleado para efectuar consultas, con excepción de los registros destinados a comprobar la legalidad de la consulta y del tratamiento de datos, realizar controles internos y garantizar el correcto funcionamiento de los sistemas nacionales, así como la integridad y seguridad de los datos.

(20) El SIS debe permitir tratar datos biométricos para ayudar a la identificación fiable de las personas en cuestión. La introducción en el SIS de fotografías, imágenes faciales o datos dactiloscópicos y la utilización de esos datos deben limitarse a lo necesario para lograr los objetivos perseguidos, debe estar autorizada por el Derecho de la Unión, respetar los derechos fundamentales, en particular el interés superior del menor, y debe ser conforme con el Derecho de la Unión en materia de protección de datos, en particular las disposiciones aplicables en materia de protección de datos previstas en el presente Reglamento. Desde la misma perspectiva y a fin de evitar los inconvenientes de una identificación incorrecta, el SIS también debe permitir el tratamiento de datos sobre personas cuya identidad haya sido usurpada, con las garantías adecuadas, con el consentimiento de la persona en cuestión para cada categoría de datos, y en especial para las impresiones palmares, y con una limitación estricta de los fines para los que dichos datos personales pueden ser tratados legalmente.

(21) Los Estados miembros deben adoptar las disposiciones técnicas necesarias para que, cada vez que los usuarios finales sean facultados para realizar una consulta en una base de datos nacional de uso policial o de inmigración, puedan consultar también el SIS en paralelo, a reserva de los principios establecidos en el artículo 4 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (9) y en el artículo 5 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (10). De este modo se garantiza que el SIS funcione como la principal medida compensatoria en el espacio sin controles en las fronteras interiores y sirva para afrontar mejor la dimensión transfronteriza de la delincuencia y la movilidad de los delincuentes.

(22) El presente Reglamento debe establecer las condiciones para el uso de datos dactiloscópicos, fotografías e imágenes faciales a efectos de identificación y comprobación. Las imágenes faciales y las fotografías a efectos de identificación solo deben utilizarse en un principio en el contexto de los pasos fronterizos oficiales. Previamente a dicha utilización, se necesitará un informe de la Comisión que confirme que la tecnología necesaria está disponible, es fiable y está lista para su uso.

(23) La introducción de un servicio automatizado de identificación de impresiones dactilares en el SIS complementa el mecanismo existente de Prüm sobre acceso mutuo transfronterizo en línea a las bases de datos nacionales de ADN y a los sistemas automatizados de identificación de impresiones dactilares, tal como establecen las Decisiones 2008/615/JAI (11) y 2008/616/JAI (12) del Consejo. La consulta de datos dactiloscópicos en el SIS permite una búsqueda activa del autor de un delito. Por tanto, conviene prever la posibilidad de cargar los datos dactiloscópicos de un autor desconocido en el SIS, a condición de que la persona a quien correspondan esos datos dactiloscópicos pueda ser identificada con un muy alto grado de probabilidad como autor de un delito grave o un acto de terrorismo. Este es el caso, en particular, cuando se encuentran datos dactiloscópicos en un arma o en cualquier objeto utilizado para la comisión del delito. La mera presencia de los datos dactiloscópicos en el lugar del delito no debe considerarse como indicio de un muy alto grado de probabilidad de que dichos datos dactiloscópicos sean los del autor. Otro requisito previo para la creación de dicha descripción debe ser la imposibilidad de establecer la identidad del sospechoso a partir de datos procedentes de cualquier otra base de datos nacional, de la Unión o internacional pertinente. En caso de que una consulta de datos dactiloscópicos conduzca a una posible coincidencia, el Estado miembro debe proceder a verificaciones adicionales con la participación de expertos en la materia, a fin de determinar si el sospechoso es la persona a quien corresponden las impresiones dactilares almacenadas en el SIS, y debe establecer la identidad de la persona. El procedimiento debe estar sujeto al Derecho nacional. Tal identificación podría contribuir sustancialmente a la investigación y desembocar en una detención siempre que se cumplan todas las condiciones para proceder a la detención.

(24) Los conjuntos completos o incompletos de impresiones dactilares o palmares encontradas en el lugar de un delito deben poder cotejarse con los datos dactiloscópicos almacenados en el SIS, si puede acreditarse con un alto grado de probabilidad que pertenecen al autor de un delito grave o un delito de terrorismo, siempre que se haga también un cotejo de forma simultánea en las bases de datos nacionales pertinentes de impresiones dactilares. Se debe prestar particular atención al establecimiento de normas de calidad aplicables al almacenamiento de datos biométricos, en particular de datos dactiloscópicos latentes.

(25) Cuando la identidad de una persona no se pueda acreditar por ningún otro medio, se deben utilizar los datos dactiloscópicos para intentar identificarla. La identificación de una persona mediante datos dactiloscópicos debe estar autorizada en todos los casos.

(26) En casos claramente definidos en que no se disponga de datos dactiloscópicos, ha de ser posible añadir a la descripción un perfil de ADN. Únicamente los usuarios autorizados deben tener acceso a ese perfil de ADN. Los perfiles de ADN deberían facilitar la identificación de personas desaparecidas que necesitan protección y especialmente de menores desaparecidos, en particular si se permite el uso de los perfiles de ADN de sus ascendientes o descendientes directos o hermanos para permitir la identificación. Los datos de ADN han de contener únicamente la información mínima necesaria para la identificación de la persona desaparecida.

(27) En el SIS solo deben consultarse perfiles de ADN cuando la identificación sea necesaria y proporcionada a efectos de lo dispuesto en el presente Reglamento. No se deben consultar ni tratar perfiles de ADN para fines distintos de aquellos para los que fueron introducidos en el SIS. Deben aplicarse las normas sobre seguridad y protección de datos establecidas en el presente Reglamento. Se deben tomar, si fuera necesario, medidas adicionales cuando se utilicen perfiles de ADN con el fin de evitar todo riesgo de falsas coincidencias, piratería informática o intercambio no autorizado con terceros.

(28) El SIS debe contener descripciones sobre personas a las que se busca para detenerlas y entregarlas o extraditarlas. Además de las descripciones, procede facilitar el intercambio, a través de las oficinas Sirene, de la información complementaria que sea necesaria para los procedimientos de entrega y extradición. En particular, deben ser tratados en el SIS los datos a que se refiere el artículo 8 de la Decisión Marco 2002/584/JAI del Consejo (13). Por razones operativas, resulta oportuno que el Estado miembro emisor, tras obtener autorización de la autoridad judicial, pueda suspender temporalmente la disponibilidad de una descripción existente a efectos de detención cuando la persona que sea objeto de una orden de detención europea esté siendo buscada activa e intensivamente y los usuarios finales que no participen en la operación de búsqueda puedan poner en peligro el resultado de esta. La indisponibilidad temporal de este tipo de descripciones no debe superar, en principio, las 48 horas.

(29) Debe ser posible añadir en el SIS una traducción de los datos adicionales introducidos a efectos de una entrega al amparo de la orden de detención europea o a efectos de una extradición.

(30) El SIS debe contener descripciones sobre personas desaparecidas o sobre personas vulnerables a quienes se deba impedir viajar para garantizar su protección o prevenir amenazas contra la seguridad o el orden públicos. En el caso de los menores, estas descripciones y los procedimientos correspondientes deben servir al interés superior del menor, de conformidad con el artículo 24 de la Carta de los Derechos Fundamentales de la Unión Europea y el artículo 3 de la Convención de las Naciones Unidas sobre los Derechos del Niño, de 20 de noviembre de 1989. Las autoridades competentes, incluidas las autoridades judiciales, que vayan a tomar medidas o decisiones a raíz de una descripción sobre un menor deben hacerlo en cooperación con las autoridades de protección de menores. Cuando proceda, debe informarse a la línea directa nacional sobre menores desaparecidos.

(31) Las descripciones sobre personas desaparecidas que necesiten recibir protección deben ser introducidas a petición de la autoridad competente. Para cualquier menor que haya desaparecido de algún centro de acogida de los Estados miembros se debe introducir una descripción en el SIS como persona desaparecida.

(32) Las descripciones sobre menores en riesgo de sustracción parental deben introducirse en el SIS a petición de las autoridades competentes, especialmente de las autoridades judiciales que tengan competencia en asuntos de responsabilidad parental con arreglo al Derecho nacional. Solamente deben introducirse en el SIS descripciones sobre menores en riesgo de sustracción parental cuando dicho riesgo sea concreto y evidente y en limitadas situaciones. Por lo tanto, es necesario prever salvaguardias estrictas y adecuadas. Al evaluar si existe un riesgo concreto y evidente de traslado ilegal e inminente de un menor fuera de un Estado miembro, la autoridad competente debe tener en cuenta las circunstancias personales del menor y el entorno al que está expuesto.

(33) El presente Reglamento ha de establecer una nueva categoría de descripciones para determinadas categorías de personas vulnerables a quienes se debe impedir viajar. Debe considerarse vulnerables a las personas que, debido a su edad, discapacidad o circunstancias familiares, necesitan protección.

(34) Han de introducirse en el SIS descripciones sobre menores a quienes se deba impedir viajar por su propia protección cuando haya un riesgo concreto y evidente de que abandonen el territorio de un Estado miembro o sean trasladados fuera de él. Han de introducirse dichas descripciones cuando el viaje ponga a los menores en peligro de ser objeto de trata de seres humanos o matrimonio forzado, mutilación genital femenina u otras formas de violencia de género; de ser víctimas de delitos de terrorismo o de verse involucrados en ellos, o de ser reclutados o alistados en grupos armados u obligados a participar activamente en hostilidades.

(35) Han de introducirse descripciones sobre adultos vulnerables a quienes se deba impedir viajar por su propia protección cuando el viaje los ponga en peligro de ser objeto de trata de seres humanos o violencia de género.

(36) Con el fin de garantizar unas salvaguardias estrictas y adecuadas y cuando así lo requiera el Derecho nacional, las descripciones sobre menores u otras personas vulnerables a quienes se deba impedir viajar han de introducirse en el SIS tras la decisión de una autoridad judicial o la decisión de una autoridad competente confirmada por una autoridad judicial.

(37) Debe añadirse una nueva medida para permitir dar el alto e interrogar a una persona para que el Estado miembro emisor pueda obtener información. Dicha medida debe aplicarse en los casos en los que, a partir de un indicio claro, se sospeche que una persona ha cometido o tiene previsto cometer cualquiera de los delitos a que se refiere el artículo 2, apartados 1 y 2, de la Decisión Marco 2002/584/JAI, cuando se necesite más información para la ejecución de una pena de privación de libertad o una orden de detención contra una persona declarada culpable de cualesquiera de los delitos a que se refiere el artículo 2, apartados 1 y 2, de la Decisión Marco 2002/584/JAI, o cuando haya motivos para creer que dicha persona cometerá alguno de tales delitos. Esta medida debe entenderse también sin perjuicio de los mecanismos existentes de asistencia judicial. Gracias a ella ha de obtenerse información suficiente para decidir la adopción de ulteriores medidas. Esta nueva medida no debe equivaler al registro o la detención de la persona. Se deben salvaguardar los derechos procesales de los sospechosos y acusados con arreglo al Derecho nacional y de la Unión, en particular, el derecho a la asistencia de letrado de conformidad con la Directiva 2013/48/UE del Parlamento Europeo y el Consejo (14).

(38) En el caso de descripciones sobre objetos para su incautación o utilización como pruebas en un proceso penal, la incautación de los objetos en cuestión debe llevarse a cabo de conformidad con la normativa nacional que determine en qué casos y en qué condiciones se puede proceder a la incautación de un objeto, en particular si este está en manos de su legítimo propietario.

(39) El SIS debe incluir nuevas categorías de objetos de gran valor, como artículos de tecnología de la información, que puedan ser identificados y registrados con un único número identificativo.

(40) En cuanto a las descripciones introducidas en el SIS sobre documentos a efectos de incautación o utilización como prueba en procesos penales, se entenderá que el término «falso» se refiere tanto a los documentos falsificados como a los falsos.

(41) Los Estados miembros deben tener la posibilidad de añadir una indicación a una descripción a fin de que la medida que deba adoptarse en relación con la descripción no se aplique en su territorio. Por lo que respecta a las descripciones introducidas a efectos de la detención y entrega de una persona, lo dispuesto en el presente Reglamento no puede interpretarse como una excepción a la Decisión Marco 2002/584/JAI ni en el sentido de que impida la aplicación de lo dispuesto en ella. La decisión de añadir una indicación a una descripción para la no ejecución de una orden de detención europea debe basarse únicamente en los motivos de denegación previstos en la citada Decisión Marco.

(42) Cuando se haya añadido una indicación a una descripción y se descubra el paradero de la persona en búsqueda a efectos de detención y entrega, siempre se debe comunicar ese paradero a la autoridad judicial emisora, que podrá decidir transmitir una orden de detención europea a la autoridad judicial competente de conformidad con lo dispuesto en la Decisión Marco 2002/584/JAI.

(43) Debe existir la posibilidad de que los Estados miembros establezcan conexiones entre las descripciones en el SIS. La creación de conexiones entre dos o más descripciones no debe afectar a las medidas que deban tomarse, al plazo de revisión de las descripciones ni a los derechos de acceso a las descripciones.

(44) Las descripciones no deben conservarse en el SIS por más tiempo del necesario para cumplir el fin específico para el que fueron introducidas. Los plazos de revisión de las distintas categorías de descripción deben ser adecuados a la luz de la finalidad de esta. Las descripciones sobre objetos que estén vinculadas a una descripción sobre una persona solo deben conservarse mientras se conserve la descripción sobre la persona. Las decisiones de conservar descripciones sobre personas deben basarse en una evaluación global de cada caso concreto. Los Estados miembros deben volver a examinar las descripciones sobre personas y objetos en los plazos de revisión establecidos y deben elaborar estadísticas del número de descripciones cuyo período de conservación se haya prorrogado.

(45) La introducción de una descripción en el SIS y la prórroga de su fecha de expiración deben estar sujetas al requisito de proporcionalidad, lo que significa que se debe determinar en cada situación concreta si se trata de un caso adecuado, pertinente y suficientemente importante como para justificar la introducción de una descripción en el SIS. Cuando se trate de delitos de terrorismo, el caso debe ser considerado adecuado, pertinente y suficientemente importante como para justificar una descripción en el SIS. Los Estados miembros deben poder abstenerse excepcionalmente, por motivos de seguridad pública o nacional, de introducir una descripción en el SIS cuando sea probable que obstaculice indagaciones, investigaciones o procedimientos administrativos o judiciales.

(46) Es necesario establecer normas sobre la supresión de las descripciones. Una descripción debe conservarse únicamente durante el tiempo necesario para alcanzar el objetivo con que se introdujo. Habida cuenta de las prácticas divergentes de los Estados miembros en lo que respecta a la determinación del momento en que una descripción ha cumplido su objetivo, procede establecer criterios detallados a fin de determinar, para cada categoría de descripción, el momento en que ha de ser suprimida.

(47) La integridad de los datos del SIS reviste una importancia primordial. Por tanto, deben fijarse salvaguardias adecuadas para tratar los datos del SIS a escala central y a escala nacional, a fin de garantizar la seguridad de los datos de extremo a extremo. Las autoridades que intervienen en el tratamiento de los datos deben estar sujetas a los requisitos de seguridad del presente Reglamento y se les debe aplicar un procedimiento uniforme de notificación de incidentes. Su personal debe estar debidamente formado y estar al tanto de las infracciones y sanciones a este respecto.

(48) Los datos tratados en el SIS y la información complementaria conexa intercambiada con arreglo al presente Reglamento no se deben transmitir ni poner a disposición de terceros países ni de organizaciones internacionales.

(49) Es conveniente conceder acceso al SIS a los servicios responsables de la matriculación de vehículos, embarcaciones y aeronaves con el fin de permitirles comprobar si el medio de transporte en cuestión es objeto de búsqueda en los Estados miembros para su incautación. También es conveniente conceder acceso al SIS a los servicios responsables de registrar armas de fuego, con el fin de permitirles comprobar si el arma en cuestión ya es objeto de búsqueda en los Estados miembros para su incautación o si existe una descripción sobre la persona que solicita el registro.

(50) Debe facilitarse el acceso directo al SIS únicamente a los servicios públicos competentes. Dicho acceso debe limitarse a las descripciones relativas a los respectivos medios de transporte y sus documentos de registro o números de matrícula, o a las armas de fuego y las personas que solicitan su registro. Los servicios mencionados deben informar de cualquier respuesta positiva en el SIS a las autoridades policiales, las cuales deben tomar las medidas oportunas en relación con esa descripción concreta del SIS y notificar la respuesta positiva al Estado miembro emisor a través de las oficinas Sirene.

(51) Sin perjuicio de normas más específicas recogidas en el presente Reglamento, las disposiciones legales, reglamentarias y administrativas nacionales adoptadas en virtud de la Directiva (UE) 2016/680 deben aplicarse al tratamiento de datos personales, incluidas su recogida y comunicación, con arreglo al presente Reglamento por parte de las autoridades nacionales competentes a efectos de prevención, detección, investigación o enjuiciamiento de delitos de terrorismo u otros delitos graves o de la ejecución de sanciones penales. En el caso de las autoridades nacionales competentes responsables de la prevención, detección, investigación o enjuiciamiento de delitos de terrorismo u otros delitos graves o de la ejecución de sanciones penales, el acceso a los datos introducidos en el SIS y el derecho a consultarlos deben estar sujetos a todas las disposiciones pertinentes del presente Reglamento y de la Directiva (UE) 2016/680, tal como se hayan incorporado al Derecho nacional, en particular por lo que respecta a la supervisión por las autoridades de control mencionadas en la Directiva (UE) 2016/680.

(52) Sin perjuicio de normas más específicas recogidas en el presente Reglamento para el tratamiento de datos personales, el Reglamento (UE) 2016/679 debe aplicarse al tratamiento de datos personales efectuado por los Estados miembros con arreglo al presente Reglamento, a menos que dicho tratamiento sea llevado a cabo por las autoridades nacionales competentes a efectos de prevención, investigación, detección o enjuiciamiento de delitos de terrorismo u otros delitos graves.

(53) El Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (15) debe aplicarse al tratamiento de datos personales por las instituciones y los órganos de la Unión en el ejercicio de sus competencias con arreglo al presente Reglamento.

(54) El Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (16) debe aplicarse al tratamiento de datos personales por Europol con arreglo al presente Reglamento.

(55) En caso de que una consulta realizada en el SIS por miembros nacionales de Eurojust o sus asistentes revele la existencia de una descripción introducida por un Estado miembro, Eurojust no puede adoptar la medida que se pide. Por consiguiente, debe informar de ello al Estado miembro afectado para que este pueda hacer un seguimiento del asunto.

(56) A la hora de utilizar el SIS, las autoridades competentes deben velar por que se respeten la dignidad e integridad de la persona cuyos datos están siendo tratados. El tratamiento de datos personales a los efectos del presente Reglamento no debe dar lugar a discriminación contra las personas por motivos tales como el sexo, el origen racial o étnico, la religión o las creencias, la discapacidad, la edad o la orientación sexual.

(57) En lo que respecta a la confidencialidad, las disposiciones pertinentes del Estatuto de los funcionarios de la Unión Europea y el Régimen aplicable a los otros agentes de la Unión, establecido en el Reglamento (CEE, Euratom, CECA) n.o 259/68 del Consejo (17) (en lo sucesivo, «Estatuto de los funcionarios») deben aplicarse a los funcionarios y otros agentes que trabajen en ámbitos relacionados con el SIS.

(58) Tanto los Estados miembros como eu-LISA deben disponer de planes de seguridad para facilitar la aplicación de las obligaciones en materia de seguridad y deben cooperar entre sí para abordar las cuestiones de seguridad desde una perspectiva común.

(59) Las autoridades nacionales de control independientes a las que se refieren el Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680 (en lo sucesivo, «autoridades de control») deben supervisar la legalidad del tratamiento de datos personales por los Estados miembros en el marco del presente Reglamento, incluido el intercambio de información complementaria. A tal efecto, se debe dotar de recursos suficientes a las autoridades de control. Deben regularse los derechos de los interesados con respecto al acceso, la rectificación y la supresión de sus datos personales almacenados en el SIS y cualquier recurso ulterior ante los órganos jurisdiccionales nacionales, así como el reconocimiento mutuo de las resoluciones judiciales. También resulta adecuado solicitar estadísticas anuales a los Estados miembros.

(60) Las autoridades de control deben velar por que, al menos cada cuatro años, se lleve a cabo una auditoría de las operaciones de tratamiento de datos en los sistemas nacionales de sus respectivos Estados miembros de acuerdo con las normas internacionales de auditoría. La auditoría debe ser realizada por las autoridades de control o bien encargada directamente por estas a un auditor independiente especializado en protección de datos. El auditor independiente debe quedar bajo la supervisión y la responsabilidad de las autoridades de control correspondientes que, por lo tanto, deben dirigir ellas mismas instrucciones al auditor, definir con claridad su objetivo, alcance y metodología, y ejercer una función de orientación y control respecto a la auditoría y sus resultados finales.

(61) El Supervisor Europeo de Protección de Datos debe supervisar las actividades de las instituciones y órganos de la Unión en lo que se refiere al tratamiento de datos personales al amparo del presente Reglamento. El Supervisor Europeo de Protección de Datos y las autoridades de control deben cooperar en la supervisión del SIS.

(62) Se deben asignar al Supervisor Europeo de Protección de Datos recursos suficientes para el desempeño de las funciones que le encomienda el presente Reglamento, incluido el asesoramiento de personas con conocimientos técnicos sobre datos biométricos.

(63) El Reglamento (UE) 2016/794 dispone que Europol apoye y refuerce las acciones llevadas a cabo por las autoridades nacionales competentes y su cooperación en la lucha contra el terrorismo y los delitos graves, y elabore análisis y evaluaciones de amenazas. La ampliación de los derechos de acceso de Europol a las descripciones sobre personas desaparecidas debería seguir mejorando la capacidad de Europol para facilitar a las autoridades policiales nacionales una amplia asistencia operativa y productos analíticos relativos a la trata de seres humanos y la explotación sexual de menores, incluidos los delitos en Internet. Con ello se contribuiría a mejorar la prevención de estos delitos, la protección de las víctimas potenciales y la investigación de la autoría. El Centro Europeo de Lucha contra la Ciberdelincuencia de Europol también se beneficiaría del nuevo acceso de Europol a las descripciones sobre personas desaparecidas, en particular en casos de turismo sexual y de abuso sexual de menores en Internet, ya que en este contexto los autores de esos delitos sostienen a menudo que tienen, o pueden tener, acceso a menores que pueden haber sido registrados como desaparecidos.

(64) Con el fin de colmar las lagunas existentes en lo que respecta al intercambio de información relacionada con el terrorismo, en particular sobre los combatientes terroristas extranjeros (por la crucial importancia que reviste el seguimiento de sus movimientos), se anima a los Estados miembros a intercambiar con Europol información sobre las actividades relacionadas con el terrorismo. Dicho intercambio de información debe llevarse a cabo mediante el intercambio de información complementaria con Europol sobre las descripciones correspondientes. Con este fin, Europol debe establecer una conexión con la infraestructura de comunicación.

(65) Además, es necesario establecer normas claras aplicables a Europol en lo que se refiere al tratamiento y la descarga de datos del SIS a fin de permitirle el más amplio uso del SIS, siempre que se cumplan las normas de protección de datos con arreglo a lo dispuesto en el presente Reglamento y en el Reglamento (UE) 2016/794. En caso de que las consultas realizadas por Europol en el SIS revelen la existencia de una descripción introducida por un Estado miembro, Europol no puede tomar las medidas que se piden. Por consiguiente, debe informar al Estado miembro afectado mediante el intercambio de información complementaria con la oficina Sirene correspondiente, a fin de que dicho Estado miembro pueda realizar el seguimiento del asunto.

(66) El Reglamento (UE) 2016/1624 del Parlamento Europeo y del Consejo (18) establece, a los efectos de su objeto, que el Estado miembro de acogida debe autorizar a los miembros de los equipos mencionados en el artículo 2, punto 8, de dicho Reglamento desplegados por la Agencia Europea de la Guardia de Fronteras y Costas a consultar las bases de datos de la Unión, cuando dicha consulta sea necesaria para cumplir objetivos operativos sobre controles en las fronteras, vigilancia fronteriza y retorno especificados en el plan operativo. Otras agencias competentes de la Unión, especialmente la Oficina Europea de Apoyo al Asilo y Europol, pueden también desplegar expertos no pertenecientes al personal de dichas agencias de la Unión en el marco de los equipos de apoyo a la gestión de la migración. El objetivo del despliegue de los equipos a que se refiere el artículo 2, puntos 8 y 9, de dicho Reglamento es proporcionar un refuerzo operativo y técnico a los Estados miembros solicitantes, especialmente a aquellos que se enfrentan a desafíos de migración desproporcionados. Para el cumplimiento de las tareas asignadas, los equipos a que se refiere el artículo 2, puntos 8 y 9, de dicho Reglamento necesitan acceso al SIS a través de una interfaz técnica de la Agencia Europea de la Guardia de Fronteras y Costas conectada al SIS Central. En caso de que las consultas efectuadas en el SIS por los equipos a que se refiere el artículo 2, puntos 8 y 9, del Reglamento (UE) 2016/1624 o los equipos de personal revelen la existencia de una descripción introducida por un Estado miembro, el miembro del personal o el equipo no puede tomar las medidas que se piden, a menos que esté autorizado para ello por el Estado miembro de acogida. Por consiguiente, se debe informar al Estado miembro de acogida para posibilitarle el seguimiento del asunto. El Estado miembro de acogida debe notificar la respuesta positiva al Estado miembro emisor mediante el intercambio de información complementaria.

(67) Debido a su naturaleza técnica, nivel de detalle y carácter variable frecuente, determinados aspectos del SIS no pueden ser regulados exhaustivamente por el presente Reglamento. Entre esos aspectos figuran, por ejemplo, las normas técnicas sobre introducción, actualización, supresión y consulta de datos y sobre la calidad de los datos y las normas relativas a los datos biométricos, las normas sobre compatibilidad y orden de prioridad de las descripciones, sobre conexiones entre descripciones, sobre el establecimiento de la fecha de expiración de las descripciones dentro del plazo máximo y sobre el intercambio de información complementaria. En consecuencia, deben conferirse a la Comisión competencias de ejecución en estas materias. Las normas técnicas sobre la consulta de descripciones deben tener en cuenta la necesidad de que las aplicaciones nacionales funcionen con fluidez.

(68) A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo (19). El procedimiento para la adopción de actos de ejecución en virtud del presente Reglamento y del Reglamento (UE) 2018/1861 debe ser el mismo.

(69) A fin de garantizar la transparencia, eu-LISA debe elaborar, dos años después de la entrada en funcionamiento del SIS con arreglo al presente Reglamento, un informe sobre el funcionamiento técnico del SIS Central y de la infraestructura de comunicación, incluida su seguridad, y sobre el intercambio bilateral y multilateral de información complementaria. La Comisión debe emitir una evaluación general cada cuatro años.

(70) A fin de garantizar el correcto funcionamiento del SIS, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del TFUE por lo que respecta a nuevas subcategorías de objetos cuya búsqueda pueda solicitarse en las descripciones sobre objetos para su incautación o utilización como pruebas en un proceso penal, y a la determinación de las circunstancias en las que se debe permitir la utilización de fotografías e imágenes faciales a efectos de la identificación de personas en un contexto distinto al de los pasos fronterizos oficiales. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación (20). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados.

(71) Dado que los objetivos del presente Reglamento, a saber, el establecimiento y regulación de un sistema común de información y el intercambio de información complementaria, no pueden ser alcanzados de manera suficiente por los Estados miembros, sino que, debido a su naturaleza, pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea (TUE). De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dichos objetivos.

(72) El presente Reglamento respeta los derechos fundamentales y observa los principios reconocidos, en particular, por la Carta de los Derechos Fundamentales de la Unión Europea. Concretamente, el presente Reglamento respeta plenamente la protección de los datos personales de conformidad con el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, con el objetivo simultáneo de garantizar un entorno seguro para todas las personas que residen en el territorio de la Unión y una protección especial para los menores que pueden ser víctimas de trata o sustracción. En los casos relacionados con menores, la principal consideración debe ser el interés superior del menor.

(73) De conformidad con los artículos 1 y 2 del Protocolo n.o 22 sobre la posición de Dinamarca, anejo al TUE y al TFUE, Dinamarca no participa en la adopción del presente Reglamento y no queda vinculada por este ni sujeta a su aplicación. Dado que el presente Reglamento desarrolla el acervo de Schengen, Dinamarca decidirá, de conformidad con el artículo 4 de dicho Protocolo, dentro de un período de seis meses a partir de que el Consejo haya tomado una medida sobre el presente Reglamento, si lo incorpora a su legislación nacional.

(74) El Reino Unido participa en el presente Reglamento de conformidad con el artículo 5, apartado 1, del Protocolo n.o 19 sobre el acervo de Schengen integrado en el marco de la Unión Europea, anejo al TUE y al TFUE, y con el artículo 8, apartado 2, de la Decisión 2000/365/CE del Consejo (21).

(75) Irlanda participa en el presente Reglamento de conformidad con el artículo 5, apartado 1, del Protocolo n.o 19 anejo al TUE y al TFUE, y con el artículo 6, apartado 2, de la Decisión 2002/192/CE del Consejo (22).

(76) Por lo que respecta a Islandia y Noruega, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en el sentido del Acuerdo celebrado por el Consejo de la Unión Europea, la República de Islandia y el Reino de Noruega sobre la asociación de estos dos Estados a la ejecución, aplicación y desarrollo del acervo de Schengen (23), que entran en el ámbito mencionado en el artículo 1, punto G, de la Decisión 1999/437/CE del Consejo (24).

(77) Por lo que respecta a Suiza, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en el sentido del Acuerdo firmado entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen (25), que entran en el ámbito mencionado en el artículo 1, punto G, de la Decisión 1999/437/CE, en relación con el artículo 3 de la Decisión 2008/149/JAI del Consejo (26).

(78) Por lo que respecta a Liechtenstein, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en el sentido del Protocolo entre la Unión Europea, la Comunidad Europea, la Confederación Suiza y el Principado de Liechtenstein sobre la adhesión del Principado de Liechtenstein al Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen (27), que entran en el ámbito mencionado en el artículo 1, punto G, de la Decisión 1999/437/CE, en relación con el artículo 3 de la Decisión 2011/349/UE del Consejo (28).

(79) Por lo que respecta a Bulgaria y Rumanía, el presente Reglamento constituye un acto que desarrolla el acervo de Schengen o está relacionado con él de otro modo en el sentido del artículo 4, apartado 2, del Acta de adhesión de 2005 y debe interpretarse conjuntamente con las Decisiones 2010/365/UE (29) y (UE) 2018/934 (30) del Consejo.

(80) Por lo que respecta a Croacia, el presente Reglamento constituye un acto que desarrolla el acervo de Schengen o está relacionado con él de otro modo en el sentido del artículo 4, apartado 2, del Acta de adhesión de 2011, y debe interpretarse conjuntamente con la Decisión (UE) 2017/733 del Consejo (31).

(81) Por lo que respecta a Chipre, el presente Reglamento constituye un acto que desarrolla el acervo de Schengen o está relacionado con él de otro modo en el sentido del artículo 3, apartado 2, del Acta de adhesión de 2003.

(82) El presente Reglamento debe aplicarse a Irlanda en las fechas determinadas de conformidad con los procedimientos establecidos en los instrumentos pertinentes relativos a la aplicación del acervo de Schengen a dicho Estado.

(83) El presente Reglamento introduce una serie de mejoras en el SIS que aumentarán su eficacia, reforzarán la protección de datos y ampliarán los derechos de acceso. Algunas de estas mejoras no requieren avances técnicos complejos, mientras que otras precisan modificaciones técnicas de diversa magnitud. Con objeto de permitir que las mejoras en el sistema estén disponibles para los usuarios finales lo antes posible, el presente Reglamento introduce modificaciones en la Decisión 2007/533/JAI en varias fases. Algunas de las mejoras introducidas en el sistema deben aplicarse con carácter inmediato a partir de la entrada en vigor del presente Reglamento y otras deben aplicarse uno o dos años después de su entrada en vigor. El presente Reglamento debe aplicarse en su integridad en un plazo de tres años a partir de su entrada en vigor. A fin de evitar retrasos en la ejecución del presente Reglamento, debe hacerse un atento seguimiento de las diversas fases de su aplicación.

(84) El Reglamento (CE) n.o 1986/2006 del Parlamento Europeo y del Consejo (32), la Decisión 2007/533/JAI y la Decisión 2010/261/UE de la Comisión (33) deben quedar derogados con efectos a partir de la fecha de aplicación completa del presente Reglamento.

(85) El Supervisor Europeo de Protección de Datos fue consultado de conformidad con el artículo 28, apartado 2, del Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo (34) y emitió su dictamen el 3 de mayo de 2017.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO I

Disposiciones generales

Artículo 1 Finalidad general del SIS El SIS tiene por finalidad garantizar un alto nivel de seguridad en el espacio de libertad, seguridad y justicia de la Unión, con inclusión del mantenimiento de la seguridad y el orden públicos y la salvaguardia de la seguridad en el territorio de los Estados miembros, y garantizar la aplicación de las disposiciones de los capítulos 4 y 5 del título V de la tercera parte del TFUE relativas a la circulación de personas en sus territorios, con la ayuda de la información transmitida a través de este sistema.

Artículo 2 Objeto 1. El presente Reglamento establece las condiciones y los procedimientos para la introducción en el SIS y el tratamiento de las descripciones sobre personas y objetos, así como para el intercambio de información complementaria y datos adicionales a efectos de la cooperación policial y judicial en materia penal. 2. El presente Reglamento establece también disposiciones sobre la arquitectura técnica del SIS, las responsabilidades de los Estados miembros y de la Agencia de la Unión Europea para la gestión operativa de sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia (eu-LISA), el tratamiento general de los datos, los derechos de los interesados y la responsabilidad.

Artículo 3 Definiciones A efectos del presente Reglamento, se entenderá por: 1) «descripción»: un conjunto de datos introducidos en el SIS que permiten a las autoridades competentes identificar a una persona o un objeto a fin de adoptar una medida específica; 2) «información complementaria»: información que no forma parte de los datos de una descripción almacenada en el SIS, pero que está relacionada con descripciones del SIS y se intercambiará a través de las oficinas Sirene: a) a fin de que los Estados miembros puedan consultarse o informarse entre sí al introducir una descripción; b) tras la obtención de una respuesta positiva, a fin de poder adoptar la medida adecuada; c) cuando no pueda ejecutarse la medida requerida; d) al tratar de la calidad de los datos del SIS; e) al tratar de la compatibilidad y prioridad de las descripciones; f) al tratar del ejercicio del derecho de acceso; 3) «datos adicionales»: los datos almacenados en el SIS y relacionados con las descripciones del SIS que deben estar inmediatamente a disposición de las autoridades competentes cuando, como resultado de una consulta del SIS, se localice a personas sobre las cuales se hayan introducido datos en el SIS; 4) «datos personales»: los datos personales según la definición del artículo 4, punto 1, del Reglamento (UE) 2016/679; 5) «tratamiento de datos personales»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, inscripción, registro, organización, estructuración, almacenamiento, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 6) «coincidencia»: la realización de los siguientes pasos: a) un usuario final ha realizado una consulta en el SIS; b) la consulta ha arrojado como resultado la existencia de una descripción introducida en el SIS por otro Estado miembro; c) los datos relativos a la descripción en el SIS coinciden con los datos utilizados para la consulta; 7) «respuesta positiva»: toda coincidencia que cumpla los siguientes criterios: a) haber sido confirmada por: i) el usuario final, o ii) la autoridad competente con arreglo a los procedimientos nacionales, cuando la coincidencia en cuestión estuviese basada en la comparación de datos biométricos; y b) requerir la adopción de medidas; 8) «indicación»: la suspensión de la validez de una descripción a nivel nacional que puede añadirse a las descripciones a efectos de una detención, a las descripciones sobre personas desaparecidas y vulnerables, y a las descripciones a efectos de controles discretos, de investigación y específicos; 9) «Estado miembro emisor»: el Estado miembro que ha introducido la descripción en el SIS; 10) «Estado miembro de ejecución»: el Estado miembro que adopta o ha adoptado las medidas requeridas a raíz de una respuesta positiva; 11) «usuario final»: todo miembro del personal de una autoridad competente autorizado para consultar directamente la CS-SIS, el N.SIS o una copia técnica de estos; 12) «datos biométricos»: los datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características morfológicas o fisiológicas de una persona física, que permitan o confirmen la identificación única de dicha persona, a saber, fotografías, imágenes faciales, datos dactiloscópicos y perfil de ADN; 13) «datos dactiloscópicos»: los datos relativos a impresiones dactilares o palmares que, debido a su carácter único y a los puntos de referencia que contienen, permiten comparaciones concluyentes y precisas sobre la identidad de una persona; 14) «imagen facial»: las imágenes digitales del rostro con una resolución de imagen y calidad suficientes para ser utilizadas en el sistema de correspondencias biométricas automatizadas; 15) «perfil de ADN»: el código alfabético o numérico que representa un conjunto de características identificativas de la parte no codificante de una muestra de ADN humano analizada, es decir, la estructura molecular específica en los diversos loci (posiciones) de ADN; 16) «delitos de terrorismo»: los delitos previstos en el Derecho nacional a los que se refieren los artículos 3 a 14 de la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo (35) o equivalentes a alguno de tales delitos en el caso de los Estados miembros que no estén vinculados por la citada Directiva; 17) «amenaza para la salud pública»: una amenaza para la salud pública tal como se define en el artículo 2, punto 21, del Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo (36).

Artículo 4 Arquitectura técnica y funcionamiento del SIS 1. El SIS se compondrá de: a) un sistema central (SIS Central) compuesto por: i) una unidad de apoyo técnico («CS-SIS»), que contendrá una base de datos (en lo sucesivo, «base de datos del SIS») y que incluirá una copia de seguridad de la CS-SIS; ii) una interfaz nacional uniforme («NI-SIS»); b) un sistema nacional (N.SIS) en cada Estado miembro, compuesto por los sistemas de datos nacionales que se comunican con el SIS Central, y que incluirá al menos un N.SIS de respaldo nacional o compartido; y c) una infraestructura de comunicación entre la CS-SIS, la copia de seguridad de la CS-SIS y la NI-SIS (en lo sucesivo, «infraestructura de comunicación») que proporcione una red virtual codificada dedicada a los datos del SIS y al intercambio de datos entre las oficinas Sirene como dispone el artículo 7, apartado 2. El N.SIS a que se refiere la letra b) podrá contener un fichero de datos («copia nacional») con una copia total o parcial de la base de datos del SIS. Dos o más Estados miembros podrán establecer en uno de sus N.SIS una copia compartida que podrá ser usada conjuntamente por esos Estados miembros. La copia compartida se considerará la copia nacional de cada uno de esos Estados miembros. Dos o más Estados miembros podrán usar conjuntamente el N.SIS de respaldo compartido a que se refiere la letra b). En tales casos, el N.SIS de respaldo compartido se considerará el N.SIS de respaldo de cada uno de esos Estados miembros. El N.SIS y su copia de respaldo podrán utilizarse simultáneamente para garantizar una disponibilidad ininterrumpida a los usuarios finales. Los Estados miembros que tengan previsto crear una copia compartida o un N.SIS de respaldo compartido para usarlos conjuntamente acordarán sus respectivas responsabilidades por escrito. Notificarán dicho acuerdo a la Comisión. La infraestructura de comunicación contribuirá a garantizar la disponibilidad ininterrumpida del SIS y prestará apoyo para ello. Incluirá rutas redundantes y separadas para las conexiones entre la CS-SIS y la copia de seguridad de la CS-SIS y también incluirá rutas redundantes y separadas para las conexiones entre cada punto de acceso nacional a la red del SIS y la CS-SIS y la copia de seguridad de la CS-SIS. 2. Los Estados miembros introducirán, actualizarán, suprimirán y consultarán datos del SIS a través de sus propios N.SIS. Los Estados miembros que usen una copia nacional parcial o completa, o una copia compartida parcial o completa la hará disponible para la realización de consultas automatizadas en el territorio de cada uno de esos Estados miembros. La copia parcial nacional o compartida contendrá, como mínimo, los datos enumerados en el artículo 20, apartado 3, letras a) a v). No se permitirá la consulta de ficheros de datos del N. SIS de otros Estados miembros, excepto en el caso de las copias compartidas. 3. La CS-SIS realizará funciones de supervisión y gestión técnicas y conservará una copia de seguridad de la CS-SIS, capaz de realizar todas las funciones de la CS-SIS principal en caso de fallo de este sistema. La CS-SIS y la copia de seguridad de la CS-SIS deberán estar situadas en los dos emplazamientos técnicos de eu-LISA. 4. eu-LISA implantará soluciones técnicas para reforzar la disponibilidad ininterrumpida del SIS, mediante el funcionamiento simultáneo de la CS-SIS y su copia de seguridad, a condición de que la copia de seguridad de la CS-SIS siga siendo capaz de garantizar el funcionamiento del SIS en caso de fallo de la CS-SIS, o mediante la duplicación del sistema o de sus componentes. Sin perjuicio de los requisitos de procedimiento establecidos en el artículo 10 del Reglamento (UE) 2018/1726, eu-LISA preparará, a más tardar el 28 de diciembre de 2019, un estudio sobre las opciones en lo que respecta a las soluciones técnicas que contenga una evaluación de impacto independiente y un análisis coste-beneficio. 5. Cuando sea necesario por circunstancias excepcionales, eu-LISA podrá realizar temporalmente una copia adicional de la base de datos del SIS. 6. La CS-SIS prestará los servicios necesarios para la introducción y el tratamiento de datos del SIS, incluida la realización de consultas en la base de datos del SIS. Para los Estados miembros que utilicen una copia nacional o compartida, la CS-SIS garantizará: a) la actualización en línea de las copias nacionales; b) la sincronización y coherencia entre las copias nacionales y la base de datos del SIS; y c) la inicialización y restauración de las copias nacionales. 7. La CS-SIS asegurará una disponibilidad ininterrumpida.

Artículo 5 Costes 1. Los costes de funcionamiento, mantenimiento y ulterior desarrollo del SIS Central y de la infraestructura de comunicación correrán a cargo del presupuesto general de la Unión. Dichos costes incluirán los trabajos realizados en relación con la CS-SIS para garantizar la prestación de los servicios a que se refiere el artículo 4, apartado 6. 2. Los costes de creación, funcionamiento, mantenimiento y ulterior desarrollo de cada N.SIS correrán a cargo del Estado miembro correspondiente.

CAPÍTULO II

Responsabilidades de los Estados miembros

Artículo 6 Sistemas nacionales Cada Estado miembro será responsable de la creación, el funcionamiento, el mantenimiento y el ulterior desarrollo de su N.SIS y de conectarlo a la NI-SIS. Cada Estado miembro será responsable de garantizar la disponibilidad ininterrumpida de los datos del SIS para los usuarios finales. Cada Estado miembro transmitirá sus descripciones a través de su N.SIS.

Artículo 7 Oficina N.SIS y oficina Sirene 1. Cada Estado miembro designará una autoridad (denominada «oficina N.SIS») que asumirá la responsabilidad central respecto de su N.SIS. Dicha autoridad será responsable del correcto funcionamiento y la seguridad del N.SIS, garantizará el acceso de las autoridades competentes al SIS y adoptará las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el presente Reglamento. Tendrá la responsabilidad de velar por que todas las funcionalidades del SIS se pongan debidamente a disposición de los usuarios finales. 2. Cada Estado miembro designará una autoridad nacional (denominada «oficina Sirene»), operativa las veinticuatro horas del día y los siete días de la semana, que se encargará de garantizar el intercambio y la disponibilidad de toda la información complementaria, de conformidad con el Manual Sirene. Cada oficina Sirene servirá de punto de contacto único de su respectivo Estado miembro para el intercambio de información complementaria relativa a las descripciones y para facilitar la adopción de las medidas solicitadas cuando se hayan introducido en el SIS descripciones sobre personas u objetos y esas personas u objetos hayan sido localizados a raíz de una respuesta positiva. Conforme al Derecho nacional, cada oficina Sirene podrá acceder fácilmente, de forma directa o indirecta, a toda la información nacional pertinente, incluidas las bases de datos nacionales y toda la información relativa a las descripciones de su respectivo Estado miembro, así como al asesoramiento de expertos, con el fin de poder responder a las solicitudes de información complementaria con prontitud y dentro de los plazos establecidos en el artículo 8. Las oficinas Sirene coordinarán la verificación de la calidad de la información introducida en el SIS. Para ello, tendrán acceso a los datos tratados en el SIS. 3. Los Estados miembros comunicarán a eu-LISA los datos relativos a su oficina N.SIS y a su oficina Sirene. eu-LISA publicará la lista de las oficinas N.SIS y de las oficinas Sirene junto con la lista a la que se refiere el artículo 56, apartado 7.

Artículo 8 Intercambio de información complementaria 1. La información complementaria se intercambiará de conformidad con las disposiciones del Manual Sirene y a través de la infraestructura de comunicación. Los Estados miembros aportarán los recursos técnicos y humanos necesarios para garantizar la disponibilidad continua y el intercambio oportuno y eficaz de información complementaria. En caso de indisponibilidad de la infraestructura de comunicación, los Estados miembros deberán emplear otros medios técnicos dotados de características adecuadas de seguridad para intercambiar información complementaria. El Manual Sirene recogerá una lista de los medios técnicos dotados de características adecuadas de seguridad. 2. La información complementaria se utilizará únicamente para el fin para el que haya sido transmitida de conformidad con el artículo 64, a menos que se haya obtenido el consentimiento previo del Estado miembro emisor para utilizarla con otro fin. 3. Las oficinas Sirene llevarán a cabo su cometido de manera rápida y eficiente, en particular respondiendo a las solicitudes de información complementaria lo antes posible, y como máximo doce horas después de su recepción. En el caso de las descripciones relativas a delitos de terrorismo, de las descripciones sobre personas en búsqueda para su detención a efectos de entrega o extradición y de las descripciones relativas a menores a que se refiere el artículo 32, apartado 1, letra c), las oficinas Sirene actuarán inmediatamente. Las solicitudes de información complementaria que tengan máxima prioridad deberán marcarse con el calificativo «URGENTE» en los formularios Sirene y deberán especificarse las razones que motivan la urgencia. 4. La Comisión adoptará actos de ejecución para establecer normas detalladas sobre las funciones que competen a las oficinas Sirene en virtud del presente Reglamento y sobre el intercambio de información complementaria, que adoptarán la forma de un manual titulado «Manual Sirene». Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 76, apartado 2.

Artículo 9 Conformidad técnica y operativa 1. Al establecer su N.SIS, cada Estado miembro deberá ajustarse a las normas, protocolos y procedimientos técnicos comunes establecidos a fin de garantizar la compatibilidad de su N.SIS con el SIS Central para la transmisión rápida y eficaz de los datos. 2. Cuando un Estado miembro utilice una copia nacional se asegurará, mediante los servicios prestados por la CS-SIS y las actualizaciones automáticas a que se refiere el artículo 4, apartado 6, de que los datos almacenados en la copia nacional sean idénticos a los de la base de datos del SIS y coherentes con ellos, y de que una consulta en su copia nacional genere un resultado equivalente al de una consulta en la base de datos del SIS. 3. Los usuarios finales recibirán los datos necesarios para llevar a cabo sus tareas, en particular, y cuando sea necesario, todos los datos disponibles que permitan la identificación del interesado y la adopción de las medidas requeridas. 4. Los Estados miembros y eu-LISA realizarán pruebas periódicas para comprobar la conformidad técnica de las copias nacionales a que se refiere el apartado 2. Los resultados de estas pruebas se tendrán en cuenta como parte del mecanismo establecido en el Reglamento (UE) n.o 1053/2013 del Consejo (37). 5. La Comisión adoptará actos de ejecución a fin de establecer y desarrollar las normas, protocolos y procedimientos técnicos comunes a que se refiere el apartado 1 del presente artículo. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen a que se refiere el artículo 76, apartado 2.

Artículo 10 Seguridad – Estados miembros 1. Cada Estado miembro adoptará, en lo referente a su N.SIS, las medidas adecuadas, incluido un plan de seguridad, un plan de continuidad de las actividades y un plan de recuperación en caso de catástrofe, a fin de: a) proteger los datos físicamente, entre otras cosas mediante la elaboración de planes de emergencia para la protección de las infraestructuras críticas; b) impedir el acceso de personas no autorizadas a las instalaciones utilizadas para el tratamiento de datos personales (control en la entrada de las instalaciones); c) impedir que los soportes de datos puedan ser leídos, copiados, modificados o suprimidos por personas no autorizadas (control de los soportes de datos); d) impedir la introducción no autorizada de datos y la inspección, modificación o supresión no autorizadas de datos personales almacenados (control del almacenamiento); e) impedir que los sistemas de tratamiento automatizado de datos puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisión de datos (control de los usuarios); f) impedir el tratamiento no autorizado de los datos introducidos en el SIS y toda modificación o supresión no autorizada de datos tratados en el SIS (control de la entrada de datos); g) garantizar que, para la utilización de un sistema de tratamiento automatizado de datos, las personas autorizadas solo puedan tener acceso a los datos que sean de su competencia y ello únicamente con identificadores de usuario personales e intransferibles y con modos de acceso confidenciales (control de acceso a los datos); h) garantizar que todas las autoridades con derecho de acceso al SIS o a las instalaciones utilizadas para el tratamiento de datos establezcan perfiles que describan las funciones y responsabilidades de las personas autorizadas a acceder a los datos, y a introducir, actualizar, suprimir y consultar dichos datos, y que pongan dichos perfiles a disposición de las autoridades de control a que se refiere el artículo 69, apartado 1, sin dilación a petición de estas (perfiles del personal); i) garantizar la posibilidad de verificar y determinar a qué autoridades pueden ser transmitidos datos personales a través de equipos de transmisión de datos (control de la comunicación); j) garantizar que pueda verificarse y determinarse a posteriori qué datos personales se han introducido en el sistema de tratamiento automatizado de datos, en qué momento, por qué persona y para qué fines (control de la introducción); k) impedir, en particular mediante técnicas adecuadas de criptografiado, que en el momento de la transmisión de datos personales y durante el transporte de soportes de datos, los datos puedan ser leídos, copiados, modificados o suprimidos sin autorización (control del transporte); l) controlar la eficacia de las medidas de seguridad mencionadas en el presente apartado y adoptar las medidas necesarias de organización relativas al control interno, a fin de garantizar el cumplimiento del presente Reglamento (auditoría interna); m) asegurar que los sistemas instalados puedan ser restaurados a un funcionamiento normal (recuperación) en caso de interrupción; y n) asegurar que las funciones del SIS se realicen satisfactoriamente, que se notifiquen los defectos de funcionamiento (fiabilidad) y que los datos personales conservados en el SIS no puedan ser corrompidos por el mal funcionamiento del sistema (integridad). 2. Los Estados miembros tomarán medidas equivalentes a las mencionadas en el apartado 1 en materia de seguridad en relación con el tratamiento y el intercambio de información complementaria, en particular garantizando la seguridad de las instalaciones de las oficinas Sirene. 3. Los Estados miembros tomarán medidas equivalentes a las mencionadas en el apartado 1 del presente artículo en materia de seguridad en relación con el tratamiento de los datos del SIS por las autoridades mencionadas en el artículo 44. 4. Las medidas descritas en los apartados 1, 2 y 3 podrán formar parte de un planteamiento y un plan de seguridad generales de ámbito nacional aplicables a múltiples sistemas informáticos. En tales casos, los requisitos previstos en el presente artículo y su aplicabilidad al SIS deberán figurar de forma claramente identificable en ese plan y quedar garantizados por él.

Artículo 11 Confidencialidad – Estados miembros 1. Cada Estado miembro aplicará sus normas sobre secreto profesional u otras obligaciones equivalentes de confidencialidad a toda persona y organismo que vaya a trabajar con datos del SIS y con información complementaria, de conformidad con su Derecho nacional. Dicha obligación seguirá siendo aplicable después del cese en el cargo o el empleo de dichas personas o tras la terminación de las actividades de dichos organismos. 2. Cuando un Estado miembro coopere con contratistas externos en cometidos relacionados con el SIS, deberá supervisar atentamente las actividades del contratista para garantizar el cumplimiento de todas las disposiciones del presente Reglamento, en particular en materia de seguridad, confidencialidad y protección de datos. 3. No se encomendará a empresas u organizaciones privadas la gestión operativa del N.SIS o de cualesquiera copias técnicas.

Artículo 12 Registros nacionales 1. Los Estados miembros velarán por que todo acceso a datos personales y todos los intercambios de los mismos en la CS-SIS queden registrados en su N.SIS, con el fin de que se pueda controlar la legalidad de la consulta y del tratamiento de datos, se proceda a un control interno y se garantice el correcto funcionamiento del N.SIS, así como para la integridad y seguridad de los datos. Este requisito no se aplicará a los tratamientos automáticos a que se refiere el artículo 4, apartado 6, letras a), b) y c). 2. Los registros contendrán, en particular, el historial de la descripción, la fecha y hora de la actividad de tratamiento de los datos, los datos utilizados para realizar una consulta, una referencia a los datos tratados y los identificadores de usuario personales e intransferibles de la autoridad competente y de la persona que efectúa el tratamiento de los datos. 3. Como excepción a lo dispuesto en el apartado 2 del presente artículo, si la consulta se realiza con datos dactiloscópicos o imágenes faciales de conformidad con el artículo 43, los registros mostrarán el tipo de datos utilizados para efectuar la consulta en lugar de los datos reales. 4. Los registros solo se utilizarán para los fines mencionados en el apartado 1 y se suprimirán en un plazo de tres años a partir de su creación. Los registros que incluyan el historial de las descripciones serán suprimidos transcurrido un plazo de tres años a partir de la supresión de las descripciones. 5. Los registros podrán conservarse durante plazos mayores que los indicados en el apartado 4 si son necesarios para procedimientos de control ya en curso. 6. Las autoridades nacionales competentes encargadas de controlar la legalidad de la consulta y del tratamiento de datos, de proceder a un control interno y de garantizar el correcto funcionamiento del N.SIS y la integridad y seguridad de los datos, tendrán acceso a los registros, dentro de los límites de sus competencias y previa petición, a fin de poder desempeñar sus funciones. 7. Cuando los Estados miembros, de conformidad con la legislación nacional, lleven a cabo consultas automatizadas mediante escaneo de las matrículas de vehículos de motor utilizando sistemas de reconocimiento automático de matrículas, deberán mantener un registro de la consulta de conformidad con la legislación nacional. En caso necesario, podrá llevarse a cabo una consulta completa en el SIS para verificar si se ha obtenido una respuesta positiva. Los apartados 1 a 6 se aplicarán a toda consulta completa. 8. La Comisión adoptará actos de ejecución para determinar el contenido del registro a que se refiere el apartado 7 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 76, apartado 2.

Artículo 13 Control interno Los Estados miembros velarán por que toda autoridad habilitada para acceder a los datos del SIS tome las medidas necesarias para garantizar el cumplimiento del presente Reglamento y coopere, en caso necesario, con la autoridad de control.

Artículo 14 Formación del personal 1. Antes de ser autorizado a tratar datos almacenados en el SIS, y periódicamente tras la concesión del acceso a los datos del SIS, el personal de las autoridades con derecho de acceso al SIS recibirá la formación adecuada sobre seguridad de los datos, derechos fundamentales, incluida la protección de datos, y sobre las normas y procedimientos del Manual Sirene en lo que respecta al tratamiento de datos. El personal será informado acerca de las disposiciones aplicables en materia de delitos y sanciones penales, incluidas las establecidas de conformidad con el artículo 73. 2. Los Estados miembros deberán disponer de un programa nacional de formación sobre el SIS, que incluirá la formación destinada a los usuarios finales y al personal de las oficinas Sirene. Dicho programa de formación podrá formar parte de un programa de formación general de ámbito nacional aplicable a la formación en otros ámbitos pertinentes. 3. Se organizarán cursos de formación comunes a nivel de la Unión al menos una vez al año para reforzar la cooperación entre las oficinas Sirene.

CAPÍTULO III

Responsabilidades de eu-LISA

Artículo 15 Gestión operativa 1. eu-LISA será responsable de la gestión operativa del SIS Central. eu-LISA se asegurará, en cooperación con los Estados miembros, de que en el SIS Central se utilice en todo momento la mejor tecnología disponible, con sujeción a un análisis de costes y beneficios. 2. eu-LISA será responsable asimismo de las siguientes funciones relacionadas con la infraestructura de comunicación: a) supervisión; b) seguridad; c) coordinación de las relaciones entre los Estados miembros y el proveedor; d) ejecución del presupuesto; e) adquisición y renovación; y f) cuestiones contractuales. 3. eu-LISA será responsable asimismo de las siguientes funciones relacionadas con las oficinas Sirene y la comunicación entre ellas: a) coordinación, gestión y apoyo de las actividades de prueba; b) mantenimiento y actualización de las especificaciones técnicas relativas al intercambio de información complementaria entre las oficinas Sirene y la infraestructura de comunicación, y c) gestión del impacto de los cambios técnicos cuando afecten al SIS y al intercambio de información complementaria entre las oficinas Sirene. 4. eu-LISA desarrollará y mantendrá un mecanismo y procedimientos para realizar controles de calidad de los datos de la CS-SIS. A este respecto, presentará informes regulares a los Estados miembros. eu-LISA presentará a la Comisión un informe periódico sobre los problemas detectados y los Estados miembros afectados. La Comisión transmitirá al Parlamento Europeo y al Consejo un informe periódico sobre los problemas detectados en relación con la calidad de los datos. 5. eu-LISA también desempeñará funciones relacionadas con la oferta de formación sobre la utilización técnica del SIS y sobre medidas encaminadas a mejorar la calidad de los datos del SIS. 6. La gestión operativa del SIS Central consistirá en todas las funciones necesarias para mantenerlo en funcionamiento ininterrumpido (las 24 horas del día, los 7 días de la semana), de conformidad con el presente Reglamento y, en particular, en el trabajo de mantenimiento y de adaptación técnica necesario para el buen funcionamiento del sistema. Estas tareas incluirán asimismo la coordinación, gestión y apoyo de las actividades de prueba para el SIS Central y los N.SIS, cuyo fin es garantizar que el SIS Central y los N.SIS funcionen con arreglo a los requisitos de conformidad técnica y operativa establecidos en el artículo 9. 7. La Comisión adoptará actos de ejecución para determinar los requisitos técnicos de la infraestructura de comunicación. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 76, apartado 2.

Artículo 16 Seguridad – eu-LISA 1. eu-LISA adoptará las medidas necesarias, incluido un plan de seguridad, un plan de continuidad de las actividades y un plan de recuperación en caso de catástrofe para el SIS Central y la infraestructura de comunicación a fin de: a) proteger los datos físicamente, entre otras cosas mediante la elaboración de planes de emergencia para la protección de las infraestructuras críticas; b) impedir el acceso de personas no autorizadas a las instalaciones utilizadas para el tratamiento de datos personales (control en la entrada de las instalaciones); c) impedir que los soportes de datos puedan ser leídos, copiados, modificados o suprimidos por personas no autorizadas (control de los soportes de datos); d) impedir la introducción no autorizada de datos y la inspección, modificación o supresión no autorizadas de datos personales almacenados (control del almacenamiento); e) impedir que los sistemas de tratamiento automatizado de datos puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisión de datos (control de los usuarios); f) impedir el tratamiento no autorizado de los datos introducidos en el SIS y toda modificación o supresión no autorizada de datos tratados en el SIS (control de la entrada de datos); g) garantizar que, para la utilización de un sistema de tratamiento automatizado de datos, las personas autorizadas solo puedan tener acceso a los datos que sean de su competencia y ello únicamente con identificadores de usuario personales e intransferibles y con modos de acceso confidenciales (control de acceso a los datos); h) establecer perfiles que describan las funciones y responsabilidades de las personas autorizadas a acceder a los datos o a las instalaciones de tratamiento de datos, y poner dichos perfiles a disposición del Supervisor Europeo de Protección de Datos, sin dilación a petición de este (perfiles del personal); i) garantizar la posibilidad de verificar y determinar a qué autoridades pueden ser transmitidos datos personales a través de equipos de transmisión de datos (control de la comunicación); j) garantizar que pueda verificarse y determinarse a posteriori qué datos personales se han introducido en el sistema de tratamiento automatizado de datos, en qué momento y por qué persona (control de la introducción); k) impedir, en particular mediante técnicas adecuadas de criptografiado, que, en el momento de la transmisión de datos personales y durante el transporte de soportes de datos, los datos puedan ser leídos, copiados, modificados o suprimidos sin autorización (control del transporte); l) vigilar la eficacia de las medidas de seguridad a que se refiere el presente apartado y adoptar las medidas de organización que sean necesarias en relación con el control interno, a fin de garantizar el cumplimiento del presente Reglamento (auditoría interna); m) asegurar que los sistemas instalados puedan ser restaurados a su funcionamiento normal (recuperación) en caso de interrupción; n) asegurar que las funciones del SIS se realicen satisfactoriamente, que se notifiquen los defectos de funcionamiento (fiabilidad) y que los datos personales conservados en el SIS no puedan ser corrompidos por el mal funcionamiento del sistema (integridad); y o) garantizar la seguridad de sus emplazamientos técnicos. 2. eu-LISA adoptará, en relación con la seguridad del tratamiento y el intercambio de información complementaria mediante la infraestructura de comunicación, medidas equivalentes a las mencionadas en el apartado 1.

Artículo 17 Confidencialidad – eu-LISA 1. Sin perjuicio del artículo 17 del Estatuto de los funcionarios, eu-LISA aplicará a todo miembro de su personal que trabaje con datos del SIS normas adecuadas sobre secreto profesional u otras obligaciones equivalentes de confidencialidad, de nivel comparable al de las normas previstas en el artículo 11 del presente Reglamento. Dicha obligación seguirá siendo aplicable después del cese en el cargo o el empleo de dichas personas o tras la terminación de sus actividades. 2. eu-LISA adoptará medidas equivalentes a las mencionadas en el apartado 1 por lo que se refiere a la confidencialidad con respecto al intercambio de información complementaria a través de la infraestructura de comunicación. 3. Cuando eu-LISA coopere con contratistas externos en cometidos relacionados con el SIS, supervisará atentamente las actividades del contratista para garantizar el cumplimiento de todas las disposiciones del presente Reglamento, en particular en materia de seguridad, confidencialidad y protección de datos. 4. No se encomendará a empresas u organizaciones privadas la gestión operativa de la CS-SIS.

Artículo 18 Registros centrales 1. eu-LISA garantizará que todo acceso a datos personales y todo intercambio de datos personales en la CS-SIS queden registrados para los fines expresados en el artículo 12, apartado 1. 2. Los registros contendrán, en particular, el historial de la descripción, la fecha y hora de la actividad de tratamiento de los datos, los datos utilizados para realizar una consulta, una referencia a los datos tratados y los identificadores de usuario personales e intransferibles de la autoridad competente que efectúa el tratamiento de los datos. 3. Como excepción a lo dispuesto en el apartado 2 del presente artículo, si la consulta se realiza con datos dactiloscópicos o imágenes faciales de conformidad con el artículo 43, los registros mostrarán el tipo de datos utilizados para efectuar la consulta en lugar de los datos reales. 4. Los registros solo se utilizarán para los fines mencionados en el apartado 1 y se suprimirán en un plazo de tres años a partir de su creación. Los registros que incluyan el historial de las descripciones serán suprimidos transcurrido un plazo de tres años a partir de la supresión de las descripciones. 5. Los registros podrán conservarse durante plazos mayores que los indicados en el apartado 4, si son necesarios para procedimientos de control ya en curso. 6. A efectos de control interno y para garantizar el funcionamiento adecuado de la CS-SIS y la integridad y seguridad de los datos, eu-LISA tendrá acceso a los registros, dentro de los límites de sus competencias. El Supervisor Europeo de Protección de Datos tendrá acceso a dichos registros previa solicitud, dentro de los límites de sus competencias y a fin de poder desempeñar sus funciones.

CAPÍTULO IV

Información al público

Artículo 19 Campañas de información del SIS Al iniciarse la aplicación del presente Reglamento, la Comisión, en cooperación con las autoridades de control y el Supervisor Europeo de Protección de Datos, realizará una campaña para informar al público sobre los objetivos del SIS, los datos almacenados en el SIS, las autoridades con acceso al SIS y los derechos de los interesados. La Comisión repetirá estas campañas periódicamente, en cooperación con las autoridades de control y el Supervisor Europeo de Protección de Datos. La Comisión mantendrá un sitio web abierto al público en el que se facilite toda la información pertinente sobre el SIS. Los Estados miembros, en cooperación con sus autoridades de control, definirán y aplicarán las medidas necesarias para informar al conjunto de sus ciudadanos y residentes sobre el SIS en general.

CAPÍTULO V

Categorías de datos e introducción de indicaciones

Artículo 20 Categorías de datos 1. Sin perjuicio de lo dispuesto en el artículo 8, apartado 1, ni de las disposiciones del presente Reglamento relativas al almacenamiento de datos adicionales, el SIS incluirá exclusivamente las categorías de datos que facilite cada Estado miembro y que sean necesarios para los fines previstos en los artículos 26, 32, 34, 36, 38 y 40. 2. Las categorías de datos serán las siguientes: a) información sobre las personas respecto de las cuales se haya introducido una descripción; b) información sobre los objetos mencionados en los artículos 26, 32, 34, 36 y 38. 3. Las descripciones del SIS que incluyan información sobre personas contendrán solo los datos siguientes: a) apellidos; b) nombres; c) nombres y apellidos de nacimiento; d) nombres y apellidos usados con anterioridad y alias; e) rasgos físicos particulares, objetivos e inalterables; f) lugar de nacimiento; g) fecha de nacimiento; h) sexo; i) nacionalidad o nacionalidades; j) indicación de si la persona afectada: i) va armada; ii) es violenta; iii) está fugada o se ha evadido; iv) presenta un riesgo de suicidio; v) es una amenaza para la salud pública; o vi) está implicada en alguna actividad de las recogidas en los artículos 3 a 14 de la Directiva (UE) 2017/541; k) motivo de la descripción; l) autoridad que creó la descripción; m) referencia a la decisión que da lugar a la introducción de la descripción; n) medidas que deben tomarse en caso de respuesta positiva; o) conexión con otras descripciones de conformidad con el artículo 63; p) tipo de delito; q) número de registro de la persona en un registro nacional; r) para las descripciones a que se refiere el artículo 32, apartado 1, categorización del tipo de caso; s) categoría de los documentos de identificación de la persona; t) país de expedición de los documentos de identificación de la persona; u) número o números de los documentos de identificación de la persona; v) fecha de expedición de los documentos de identificación de la persona; w) fotografías e imágenes faciales; x) con arreglo al artículo 42, apartado 3, perfiles de ADN pertinentes; y) datos dactiloscópicos; z) fotocopia, a ser posible en color, de los documentos de identificación. 4. La Comisión adoptará actos de ejecución a fin de establecer y desarrollar las normas técnicas necesarias para la introducción, actualización, supresión y consulta de los datos mencionados en los apartados 2 y 3 del presente artículo y las normas comunes a que se refiere el apartado 5 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 76, apartado 2. 5. Las normas técnicas serán similares para las consultas en la CS-SIS, en las copias nacionales o compartidas y en las copias técnicas efectuadas con arreglo al artículo 56, apartado 2. Se basarán en normas comunes.

Artículo 21 Proporcionalidad 1. Antes de introducir una descripción y al prorrogar el período de validez de una descripción, los Estados miembros determinarán si el caso es adecuado, pertinente e importante como para justificar una descripción en el SIS. 2. Cuando se busque a una persona o un objeto en virtud de una descripción relacionada con un delito de terrorismo, el caso se considerará adecuado, pertinente y suficientemente importante como para justificar una descripción en el SIS. Los Estados miembros podrán abstenerse excepcionalmente, por motivos de seguridad pública o nacional, de introducir una descripción, si ello pudiera obstaculizar indagaciones, investigaciones o procedimientos administrativos o judiciales.

Artículo 22 Requisitos para la introducción de una descripción 1. Los datos mínimos necesarios para introducir una descripción en el SIS serán los previstos en el artículo 20, apartado 3, letras a), g), k) y n), excepto en las situaciones contempladas en el artículo 40. Los demás datos enumerados en dicho apartado se introducirán en el SIS si se dispone de ellos. 2. Los datos a que se refiere el artículo 20, apartado 3, letra e), del presente Reglamento solo se introducirán cuando sea estrictamente necesario para la identificación de la persona de que se trate. Cuando se introduzcan dichos datos, los Estados miembros garantizarán que se cumpla el artículo 10 de la Directiva (UE) 2016/680.

Artículo 23 Compatibilidad de las descripciones 1. Antes de introducir una descripción, el Estado miembro verificará si la persona o el objeto afectados ya son objeto de una descripción en el SIS. A fin de comprobar si la persona ya ha sido objeto de una descripción, también se efectuará una comprobación con los datos dactiloscópicos, si estos están disponibles. 2. Cada Estado miembro podrá introducir en el SIS una única descripción por persona u objeto. En caso necesario, otros Estados miembros podrán introducir nuevas descripciones sobre la misma persona u objeto, de conformidad con el apartado 3. 3. En caso de que una persona u objeto ya haya sido objeto de una descripción en el SIS, el Estado miembro que desee introducir una nueva descripción verificará que no existe incompatibilidad entre las descripciones. En caso de no existir incompatibilidad, el Estado miembro podrá introducir la nueva descripción. Si las descripciones son incompatibles, las correspondientes oficinas Sirene de los Estados miembros se consultarán mediante el intercambio de información complementaria para alcanzar un acuerdo. Las normas sobre compatibilidad de las descripciones se establecerán en el Manual Sirene. Se podrán establecer excepciones a esas normas de compatibilidad, previa consulta entre los Estados miembros, cuando así lo requieran intereses nacionales esenciales. 4. En caso de que se produzcan respuestas positivas sobre descripciones múltiples relativas a la misma persona u objeto, el Estado miembro de ejecución cumplirá las normas sobre prioridad de las descripciones establecidas en el Manual Sirene. En caso de que una persona sea objeto de descripciones múltiples introducidas por distintos Estados miembros, se dará prioridad a las descripciones para la detención introducidas de conformidad con el artículo 26, a reserva de lo dispuesto en el artículo 25.

Artículo 24 Disposiciones generales sobre la introducción de indicaciones 1. Si un Estado miembro considera que la ejecución de la medida solicitada en una descripción introducida de conformidad con los artículos 26, 32 o 36 es incompatible con su legislación nacional, sus obligaciones internacionales o sus intereses nacionales esenciales, podrá exigir que se añada una indicación a la descripción, a fin de que la medida que deba adoptarse en relación con la descripción no se ejecute en su territorio. La indicación la añadirá la oficina Sirene del Estado miembro emisor. 2. A fin de que los Estados miembros puedan pedir que se añada una indicación a una descripción introducida con arreglo al artículo 26, se notificará automáticamente a todos los Estados miembros toda nueva descripción de esta categoría mediante el intercambio de información complementaria. 3. Si, en casos particularmente urgentes y graves, el Estado miembro emisor solicita la ejecución de la medida, el Estado miembro de ejecución examinará si puede o no permitir que la indicación añadida a instancia suya sea retirada. En caso afirmativo, adoptará las medidas necesarias para garantizar que se adopte inmediatamente la medida requerida.

Artículo 25 Introducción de indicaciones relativas a descripciones para detención a efectos de entrega 1. Cuando la Decisión Marco 2002/584/JAI sea aplicable, un Estado miembro pedirá al Estado miembro emisor que añada a la descripción para detención a efectos de entrega una indicación destinada a impedir la detención, si la autoridad judicial competente para la ejecución de una orden de detención europea con arreglo al Derecho nacional hubiese denegado la ejecución acogiéndose a uno de los motivos de no ejecución previstos y se hubiese pedido añadir la correspondiente indicación. Un Estado miembro podrá pedir asimismo que se añada una indicación a la descripción si, durante el proceso de entrega, su autoridad judicial competente pone en libertad a la persona objeto de la descripción. 2. No obstante, a instancia de una autoridad judicial competente con arreglo al Derecho nacional que haya dado una instrucción general o para un caso concreto, un Estado miembro también podrá pedir al Estado miembro emisor que añada una indicación a una descripción para detención a efectos de entrega cuando sea obvio que tendrá que denegarse la ejecución de la orden de detención europea.

CAPÍTULO VI

Descripciones sobre personas en búsqueda para su detención a efectos de entrega o extradición

Artículo 26 Objetivos y condiciones para introducir descripciones 1. Las descripciones sobre personas en búsqueda para su detención a efectos de entrega sobre la base de una orden de detención europea, o para su detención a efectos de extradición, se introducirán a instancia de la autoridad judicial del Estado miembro emisor. 2. También se introducirán descripciones para detención a efectos de entrega sobre la base de órdenes de detención dictadas con arreglo a los acuerdos celebrados entre la Unión y terceros países en virtud de los Tratados, a efectos de la entrega de personas sobre la base de una orden de detención, que prevean la transmisión de dicha orden de detención a través del SIS. 3. Cualquier referencia del presente Reglamento a las disposiciones de la Decisión Marco 2002/584/JAI se entenderá en el sentido de que se incluyen las disposiciones correspondientes de los acuerdos celebrados entre la Unión y terceros países en virtud de los Tratados, a efectos de la entrega de personas sobre la base de una orden de detención que prevean la transmisión de dicha orden de detención a través del SIS. 4. Cuando haya una operación en curso, el Estado miembro emisor podrá desactivar temporalmente la posibilidad de que los usuarios finales en los Estados miembros que participan en la operación consulten una descripción a efectos de detención introducida con arreglo al presente artículo. En tales casos, únicamente tendrán acceso a la descripción las oficinas Sirene. Los Estados miembros solo impedirán el acceso a una descripción si: a) el objetivo de la operación no puede lograrse con otras medidas; b) la autoridad judicial competente del Estado miembro de emisión ha dado su autorización previa; y c) todos los Estados miembros que participan en la operación han sido informados mediante el intercambio de información complementaria. La funcionalidad prevista en el párrafo primero solo podrá utilizarse durante un período que no exceda de 48 horas. Sin embargo, en caso de que sea necesario por razones operativas, podrá prorrogarse por períodos sucesivos de 48 horas. Los Estados miembros llevarán estadísticas del número de descripciones con respecto a las cuales se haya utilizado esta funcionalidad. 5. Cuando haya indicios claros de que los objetos mencionados en el artículo 38, apartado 2, letras a), b), c), e), g), h), j) y k), están relacionados con una persona que es objeto de una descripción con arreglo a los apartados 1 y 2 del presente artículo, podrán introducirse descripciones relativas a dichos objetos para localizar a la persona. En tales casos, se establecerá una conexión entre las descripciones relativas a la persona y al objeto con arreglo a lo dispuesto en el artículo 63. 6. La Comisión adoptará actos de ejecución a fin de establecer y desarrollar las normas necesarias para la introducción, actualización, supresión y consulta de los datos mencionados en el apartado 5 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 76, apartado 2.

Artículo 27 Datos adicionales sobre personas en búsqueda para su detención a efectos de entrega 1. En lo que se refiere a personas en búsqueda para su detención a efectos de entrega sobre la base de una orden de detención europea, el Estado miembro emisor introducirá en el SIS una copia del original de la orden de detención europea. Los Estados miembros podrán introducir la copia de varias órdenes de detención europeas en una desc