REGLAMENTO (UE) 2019/817 DEL PARLAMENTO EUROPEO Y DEL CONSEJO

de 20 de mayo de 2019

relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de las fronteras y los visados y por el que se modifican los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861 del Parlamento Europeo y del Consejo, y las Decisiones 2004/512/CE y 2008/633/JAI del Consejo

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 16, apartado 2, su artículo 74 y su artículo 77, apartado 2, letras a), b), d) y e),

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo (1),

Previa consulta al Comité de las Regiones

De conformidad con el procedimiento legislativo ordinario (2),

Considerando lo siguiente:

(1) En su Comunicación de 6 de abril de 2016 titulada «Sistemas de información más sólidos e inteligentes para la gestión de las fronteras y la seguridad», la Comisión subrayó la necesidad de mejorar la arquitectura de gestión de datos de la Unión para la gestión de las fronteras y la seguridad. La Comunicación puso en marcha un proceso destinado a lograr la interoperabilidad de los sistemas de información de la UE para la gestión de la seguridad, las fronteras y la migración, con el objetivo de solucionar las deficiencias estructurales relacionadas con estos sistemas que obstaculizan la labor de las autoridades nacionales y garantizar que los guardias de fronteras, las autoridades aduaneras, los agentes de policía y las autoridades judiciales tengan a su disposición la información necesaria.

(2) En su Hoja de ruta para mejorar el intercambio y la gestión de la información, con inclusión de soluciones de interoperabilidad en el ámbito de la Justicia y los Asuntos de Interior, de 6 de junio de 2016, el Consejo identificó varios retos jurídicos, técnicos y operativos para la interoperabilidad de los sistemas de información de la UE e instó a la búsqueda de soluciones.

(3) En su Resolución de 6 de julio de 2016 sobre las prioridades estratégicas para el programa de trabajo de la Comisión para 2017 (3), el Parlamento Europeo pidió que se presentaran propuestas para mejorar y desarrollar los sistemas de información de la UE existentes, colmar las lagunas de información y avanzar hacia la interoperabilidad, así como sus propuestas sobre la obligación de intercambiar información a nivel de la UE, junto con las salvaguardias necesarias en materia de protección de datos.

(4) En sus conclusiones de 15 de diciembre de 2016, el Consejo Europeo pidió continuidad en la obtención de resultados en materia de interoperabilidad de los sistemas de información y bases de datos de la UE.

(5) En su informe final de 11 de mayo de 2017, el Grupo de Expertos de Alto Nivel sobre Sistemas de Información e Interoperabilidad llegó a la conclusión de que es necesario y técnicamente viable trabajar para poner en marcha soluciones prácticas en materia de interoperabilidad y que la interoperabilidad podría, en principio, producir beneficios operativos y establecerse cumpliendo los requisitos sobre protección de datos.

(6) En su Comunicación de 16 de mayo de 2017 titulada «Séptimo informe de situación relativo a una Unión de la Seguridad genuina y efectiva», la Comisión diseñó, en consonancia con su Comunicación de 6 de abril de 2016 y las conclusiones y recomendaciones del Grupo de Expertos de Alto Nivel sobre Sistemas de Información e Interoperabilidad, un nuevo planteamiento para la gestión de los datos relativos a las fronteras, la seguridad y la migración, en virtud del cual todos los sistemas de información de la UE para la gestión de la seguridad, las fronteras y la migración serían interoperables sin menoscabo alguno de los derechos fundamentales.

(7) En sus Conclusiones de 9 de junio de 2017 sobre los siguientes pasos para mejorar el intercambio de información y garantizar la interoperabilidad de los sistemas de información de la UE, el Consejo invitó a la Comisión a buscar soluciones de interoperabilidad según lo propuesto por el Grupo de Expertos de Alto Nivel.

(8) En sus Conclusiones de 23 de junio de 2017, el Consejo Europeo puso de relieve la necesidad de mejorar la interoperabilidad de las bases de datos e invitó a la Comisión a preparar, lo antes posible, proyectos legislativos basados en las propuestas formuladas por el Grupo de Expertos de Alto Nivel sobre Sistemas de Información e Interoperabilidad.

(9) Con objeto de mejorar la efectividad y la eficiencia de las inspecciones en las fronteras exteriores, contribuir a prevenir y combatir la inmigración ilegal y alcanzar un elevado nivel de seguridad en el espacio de libertad, seguridad y justicia de la Unión, lo que incluye el mantenimiento de la seguridad pública y del orden público y la salvaguardia de la seguridad en el territorio de los Estados miembros, mejorar la aplicación de la política común de visados y prestar asistencia en el examen de las solicitudes de protección internacional y en la prevención, detección e investigación de los delitos de terrorismo u otros delitos graves, ayudar a identificar a las personas desconocidas que no puedan identificarse o los restos humanos sin identificar en caso de catástrofes naturales, accidentes o atentados terroristas, con el fin de mantener la confianza de los ciudadanos en la política de migración y el sistema de asilo de la Unión, en las medidas de seguridad de la Unión y en las capacidades de la Unión en materia de gestión de las fronteras exteriores, debe establecerse la interoperabilidad de los sistemas de información de la UE, es decir el Sistema de Entradas y Salidas (SES), el Sistema de Información de Visados (VIS), el Sistema Europeo de Información y Autorización de Viajes (SEIAV), Eurodac, el Sistema de Información de Schengen (SIS), y el Sistema Europeo de Información de Antecedentes Penales de nacionales de terceros países (ECRIS-TCN), para que estos sistemas de información y sus datos se complementen mutuamente, respetando al mismo tiempo los derechos fundamentales de los individuos, especialmente el derecho a la protección de los datos personales. Para ello, deben crearse, como componentes de interoperabilidad, un portal europeo de búsqueda (PEB), un servicio de correspondencia biométrica compartido (SCB compartido), un registro común de datos de identidad (RCDI) y un detector de identidades múltiples (DIM).

(10) La interoperabilidad de los sistemas de información de la UE debe permitirles complementarse a fin de facilitar la identificación correcta de las personas, incluidas las personas desconocidas que no puedan identificarse o los restos humanos sin identificar, contribuir a luchar contra la usurpación de identidad, mejorar y armonizar los requisitos de calidad de los datos de los respectivos sistemas de información de la UE, facilitar la aplicación técnica y operativa por los Estados miembros de los sistemas de información de la UE, reforzar las garantías de seguridad de los datos y de protección de datos que rigen en los respectivos sistemas de información de la UE, racionalizar el acceso con fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves al SES, el VIS, el SEIAV y Eurodac, y apoyar los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN.

(11) Los componentes de interoperabilidad deben abarcar el SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. Asimismo, deben incluir los datos de Europol, pero solo en la medida necesaria para que los datos de Europol puedan ser consultados al mismo tiempo que esos sistemas de información de la UE.

(12) Los componentes de interoperabilidad deben tratar los datos personales de personas cuyos datos personales sean tratados por los sistemas de información subyacentes de la UE y por Europol.

(13) Debe crearse un PEB con el fin de facilitar técnicamente a las autoridades de los Estados miembros y las agencias de la Unión Europea un acceso rápido, ininterrumpido, eficiente, sistemático y controlado los sistemas de información de la UE, los datos de Europol y las bases de datos de la Organización Internacional de Policía Criminal (Interpol)en la medida en que sea necesario para llevar a cabo sus tareas, de conformidad con sus derechos de acceso, así como para apoyar los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS, el ECRIS-TCN y los datos de Europol. Al permitir la consulta simultánea de todos los sistemas de información de la UE relevantes en paralelo, así como de los datos de Europol y de las bases de datos de Interpol, el PEB debe actuar como una ventanilla única o «intermediario de mensajes» a distintos sistemas centrales de búsqueda y recabar la información necesaria de forma ininterrumpida y en el pleno respeto de las normas de control de acceso y los requisitos de protección de datos de los sistemas subyacentes.

(14) El diseño del PEB debe garantizar que, al iniciar una consulta de las bases de datos de Interpol, los datos utilizados por un usuario del PEB para iniciar una consulta de las bases de datos de Interpol no se compartan con los propietarios de los datos de Interpol. El diseño del PEB debe garantizar asimismo que las bases de datos de Interpol se consulten únicamente de conformidad con el Derecho nacional y de la Unión aplicable.

(15) La base de datos de documentos de viaje robados y perdidos (base de datos DVRP) de la Interpol permite a las entidades autorizadas responsables de la prevención, detección o investigación de delitos de terrorismo u otros delitos graves en los Estados miembros, incluidas las autoridades de inmigración y de control de las fronteras, determinar la validez de un documento de viaje. El SEIAV consulta la base de datos DVRP y la base de datos de Interpol de documentos de viaje asociados a notificaciones (base de datos TDAWN) para valorar la probabilidad de que una persona que solicite una autorización de viaje esté migrando de manera irregular o pueda suponer una amenaza a la seguridad. El PEB debe permitir las consultas de los datos de identidad o los datos del documento de viaje de una persona física en las bases de datos DVRP y TDAWN. Cuando se transmitan datos personales desde la Unión a Interpol a través del PEB, deben aplicarse las disposiciones sobre transmisiones internacionales que contempla el capítulo V del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (4) o las disposiciones nacionales de transposición del capítulo V de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (5), sin perjuicio de las normas específicas establecidas en la Posición Común 2005/69/JAI del Consejo (6) y en la Decisión 2007/533/JAI del Consejo (7).

(16) El PEB debe desarrollarse y configurarse de tal forma que solo permita la realización de esas consultas utilizando datos que no sean relativos a personas o documentos de viaje que obren en un sistema de información de la UE, en los datos de Europol o en la base de datos de Interpol.

(17) Para garantizar el uso sistemático de los sistemas de información de la UE pertinentes, el PEB debe utilizarse para consultar el RCDI, el SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN. Sin embargo, debe mantenerse la conexión nacional a los diferentes sistemas de información de la UE, a fin de proporcionar una alternativa técnica. Las agencias de la Unión deben también utilizar el PEB para consultar el SIS Central de conformidad con sus derechos de acceso, en el ejercicio de sus funciones. El PEB debe ser un medio suplementario para consultar el SIS Central, los datos de Europol y las bases de datos de Interpol, como complemento de las interfaces específicas existentes.

(18) Los datos biométricos, como las impresiones dactilares y las imágenes faciales, son únicos y, por tanto, mucho más fiables para la identificación de una persona que los datos alfanuméricos. El SCB compartido debe ser un instrumento técnico para reforzar y facilitar la labor de los sistemas de información de la UE relevantes y los demás componentes de interoperabilidad. El objetivo principal del SCB compartido debe ser facilitar la identificación de una persona que esté registrada en varias bases de datos, utilizando un único componente tecnológico para cotejar los datos biométricos de dicha persona entre diferentes sistemas, en lugar de varios componentes diferentes en cada uno de los sistemas subyacentes. El SCB compartido debe contribuir a la seguridad, así como aportar beneficios desde el punto de vista financiero, operativo y de mantenimiento. Todos los sistemas automáticos de identificación mediante impresiones dactilares, incluidos los utilizados actualmente para Eurodac, el VIS y el SIS, utilizan plantillas biométricas compuestas por los datos obtenidos mediante una extracción de características de muestras biométricas reales. El SCB compartido debe agrupar y almacenar todas estas plantillas biométricas —separadas de un modo lógico, según el sistema de información del que provengan los datos— en un único lugar, facilitando así el cotejo entre sistemas por medio de plantillas biométricas y permitir economías de escala en el desarrollo y el mantenimiento de los sistemas centrales de la UE.

(19) Las plantillas biométricas almacenadas en el SCB compartido deben estar formadas por datos procedentes de la extracción de características de las muestras biométricas reales y obtenerse de forma que no sea posible revertir el proceso de extracción. Las plantillas biométricas deben obtenerse a partir de datos biométricos, pero no debe ser posible obtener estos mismos datos biométricos a partir de las plantillas biométricas. Dado que los datos de las impresiones palmares y los perfiles de ADN solo se almacenan en el SIS, y no pueden utilizarse para cotejarlos con los datos existentes en otros sistemas de información, en consonancia con los principios de necesidad y proporcionalidad, el SCB compartido no debe almacenar perfiles de ADN ni plantillas biométricas obtenidas a partir de datos de las impresiones palmares.

(20) Los datos biométricos constituyen datos personales sensibles. El presente Reglamento debe establecer las bases y las salvaguardias para el tratamiento de dichos datos a los únicos efectos de la identificación inequívoca de las personas afectadas.

(21) El SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN necesitan una identificación exacta de las personas cuyos datos personales están almacenados en ellos. El RCDI debe, por consiguiente, facilitar la identificación correcta de las personas registradas en dichos sistemas.

(22) Los datos personales almacenados en los citados sistemas de información de la UE pueden referirse a las mismas personas, pero con identidades distintas o incompletas. Los Estados miembros disponen de métodos eficaces para identificar a sus ciudadanos o a los residentes permanentes registrados en su territorio. La interoperabilidad de los sistemas de información de la UE debe contribuir a la identificación correcta de las personas que figuran en esos sistemas. El RCDI debe almacenar aquellos datos personales que sean necesarios para permitir una identificación más precisa de las personas cuyos datos están almacenados en aquellos sistemas, incluidos sus datos de identidad, los datos de su documento de viaje y sus datos biométricos, independientemente del sistema en el que hubiesen sido recogidos originalmente los datos. Solamente deben almacenarse en el RCDI los datos personales estrictamente necesarios para llevar a cabo un control de identidad adecuado. Los datos personales registrados en el RCDI no deben conservarse durante más tiempo del estrictamente necesario para los fines de los sistemas subyacentes y deben eliminarse automáticamente cuando se eliminen los datos en los sistemas subyacentes, con arreglo a su separación lógica.

(23) Una nueva operación de tratamiento consistente en el almacenamiento de dichos datos en el RCDI, en lugar de su almacenamiento en cada uno de los diferentes sistemas, es necesaria para mejorar la exactitud de la identificación, que se hace posible mediante la comparación automatizada y las correspondencias entre dichos datos. El hecho de que los datos de identidad, los datos del documento de viaje y los datos biométricos se almacenen en el RCDI no debe obstaculizar en modo alguno el tratamiento de datos para los fines del SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN, ya que el RCDI debe ser un nuevo componente compartido de dichos sistemas subyacentes.

(24) Es por tanto necesario crear un expediente individual en el RCDI para cada persona que se registre en el SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN para alcanzar el objetivo de una identificación correcta de las personas en el espacio Schengen y para apoyar al detector de identidades múltiples con la doble finalidad de facilitar los controles de identidad de los viajeros de buena fe y luchar contra la usurpación de identidad. El expediente individual debe almacenar en un único lugar toda la información de identidad vinculada a una persona y dar acceso a ella a los usuarios finales debidamente autorizados.

(25) El RCDI debe, por lo tanto, facilitar y racionalizar el acceso de las autoridades responsables de la prevención, detección o investigación de delitos de terrorismo u otros delitos graves a los sistemas de información de la UE que no se hayan creado exclusivamente con fines de prevención, detección o investigación de delitos graves.

(26) El RCDI debe proporcionar un repositorio común de los datos de identidad, del documento de viaje y biométricos de las personas registradas en el SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN. Debe ser parte de la arquitectura técnica de dichos sistemas y servir como componente compartido entre ellos para el almacenamiento de los datos de identidad, del documento de viaje y biométricos y para permitir su consulta

(27) Todas las anotaciones presentes en el RCDI deben tener una separación lógica consistente en etiquetar automáticamente cada anotación con el nombre del sistema subyacente que lo contenga. El control de acceso del RCDI debe utilizar estas etiquetas para determinar si permite o no el acceso a la anotación en cuestión.

(28) Cuando las autoridades policiales de un Estado miembro no hayan podido identificar a una persona debido a la inexistencia de un documento de viaje u otro documento fiable que demuestre la identidad de esa persona, o cuando existan dudas sobre los datos de identidad proporcionados por esa persona o sobre la autenticidad del documento de viaje o la identidad de su titular, o cuando esa persona sea incapaz de cooperar o se niegue a hacerlo, dichas autoridades policiales deben poder consultar el RCDI al objeto de identificar a la persona. A tal fin, las autoridades policiales deben tomar las impresiones dactilares mediante técnicas de toma de impresiones dactilares en vivo siempre que el procedimiento se haya iniciado en presencia de dicha persona. Dichas consultas al RCDI no deben estar permitidas en los casos de identificación de menores de doce años, salvo que sea en el interés superior del menor.

(29) Cuando no puedan utilizarse los datos biométricos de la persona, o si la consulta de esos datos es infructuosa, la consulta debe llevarse a cabo con los datos de identidad de dicha persona en combinación con los datos del documento de viaje. Cuando la consulta indique que los datos sobre la persona están almacenados en el RCDI, las autoridades de los Estados miembros deben tener acceso al RCDI para consultar los datos de identidad y los datos del documento de viaje de esa persona, sin que el RCDI proporcione ninguna indicación con respecto a qué sistema de información de la UE pertenecen los datos.

(30) Los Estados miembros deben adoptar medidas legislativas nacionales que designen a las autoridades competentes para llevar a cabo controles de identidad mediante el uso del RCDI y establezcan los procedimientos, las condiciones y los criterios de dichos controles acordes con el principio de proporcionalidad. En particular, debe preverse en el Derecho nacional la facultad de recoger datos biométricos durante el control de identidad de una persona presente ante un miembro del personal de dichas autoridades.

(31) El presente Reglamento debe introducir también una nueva posibilidad de racionalizar el acceso a datos diferentes de los datos de identidad o de los datos del documento de viaje registrados en el SES, el VIS, el SEIAV y Eurodac por parte de las autoridades responsables de la prevención, detección o investigación de los delitos de terrorismo u otros delitos graves designadas de los Estados miembros y de Europol. Estos datos pueden ser necesarios para la prevención, la detección o la investigación de delitos de terrorismo u otros delitos graves en un caso concreto en el que existan motivos razonables para creer que su consulta va a contribuir a la prevención, detección o investigación de delitos de terrorismo u otros delitos graves, en particular si existe una sospecha fundada de que el sospechoso, el autor o la víctima de un delito de terrorismo u otro delito grave es una persona cuyos datos están almacenados en el SES, el VIS, el SEIAV o Eurodac.

(32) El pleno acceso a los datos contenidos en el SES, el VIS, el SEIAV o Eurodac necesario para los fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves, más allá del acceso a los datos de identidad o a los datos del documento de viaje guardados en el RCDI debe seguir rigiéndose por los instrumentos jurídicos aplicables. Las autoridades responsables de la prevención, detección o investigación de los delitos de terrorismo u otros delitos graves designadas y Europol no saben de antemano cuáles de los sistemas de información de la UE contienen datos de las personas respecto de las cuales necesitan investigar. Esto da lugar a retrasos e ineficiencias. El usuario final autorizado por la autoridad designada debe, por lo tanto, estar autorizado a ver en cuál de esos sistemas de información de la UE están registrados los datos que corresponden al resultado de su consulta. El sistema correspondiente, por tanto, se señalaría con una indicación tras la verificación automatizada de la presencia de una correspondencia en el sistema (la denominada funcionalidad de aviso de correspondencia).

(33) En este contexto, una respuesta del RCDI no debe interpretarse ni utilizarse como fundamento o razón para extraer conclusiones con respecto a una persona o tomar medidas contra ella, sino que solo debe utilizarse para presentar una solicitud de acceso a los sistemas de información subyacentes de la Unión, con arreglo a las condiciones y los procedimientos establecidos en los respectivos instrumentos jurídicos por los que se rige dicho acceso. Cualquier solicitud de acceso de este tipo debe estar sometida al capítulo VII del presente Reglamento y, en su caso, al Reglamento (UE) 2016/679, la Directiva (UE) 2016/680 o el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (8).

(34) Como norma general, cuando un aviso de correspondencia indique que los datos están registrados en el SES, el VIS, el SEIAV o Eurodac, las autoridades designadas o Europol deben solicitar el pleno acceso al menos a uno de los sistemas de información de la UE de que se trate. En los casos en que, con carácter excepcional, no se solicite este pleno acceso, por ejemplo, porque las autoridades designadas o Europol ya han obtenido los datos por otros medios o porque la obtención de los datos ya no está permitida con arreglo al Derecho nacional, debe registrarse la justificación de la falta de solicitud de acceso.

(35) Los registros de las consultas del RCDI deben indicar la finalidad de la consulta. Cuando dicha consulta se haya llevado a cabo utilizando el planteamiento de consulta de datos en dos fases, los registros deben incluir una referencia al expediente nacional de la investigación o del caso, indicando de esta forma que dicha consulta ha sido iniciada con fines de prevención, detección o investigación de delitos de terrorismo u otros delitos graves.

(36) La consulta del RCDI por parte de las autoridades designadas y de Europol para obtener una respuesta en forma de aviso de correspondencia que indique que los datos están contenidos en el SES, el VIS, el SEIAV o Eurodac exige el tratamiento automatizado de datos personales. Un aviso de correspondencia no debe revelar datos personales de la persona de que se trate, aparte de la indicación de que algunos de sus datos están almacenados en uno de los sistemas. El usuario final autorizado no debe tomar ninguna decisión perjudicial para la persona de que se trate basándose únicamente en la presencia de un solo aviso de correspondencia. El acceso del usuario final a un aviso de correspondencia supondrá, por lo tanto, una interferencia muy limitada con el derecho a la protección de los datos personales de la persona de que se trate, al tiempo que permite a las autoridades designadas y a Europol solicitar el acceso a datos personales de forma más eficaz.

(37) Debe crearse un DIM a fin de respaldar el funcionamiento del RCDI y de apoyar los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. Para ser eficaces en el cumplimiento de sus respectivos objetivos, todos los sistemas de información de la UE exigen la identificación exacta de las personas cuyos datos personales almacenan.

(38) Para mejorar la consecución de los objetivos de los sistemas de información de la UE, las autoridades que utilizan estos sistemas deben poder llevar a cabo verificaciones suficientemente fiables de las identidades de las personas cuyos datos estén almacenados en sistemas diferentes. El conjunto de datos de identidad o del documento de viaje almacenados en un sistema individual concreto puede ser incorrecto, incompleto o fraudulento, y actualmente no existe ninguna posibilidad de detectar datos de identidad o del documento de viaje incorrectos, incompletos o fraudulentos por medio de una comparación con los datos almacenados en otro sistema. Para resolver esta situación, es necesario disponer de un instrumento técnico a escala de la Unión que permita la identificación correcta de las personas a esos efectos.

(39) El DIM debe crear y almacenar vínculos entre los datos de los distintos sistemas de información de la UE para detectar las identidades múltiples, con la doble finalidad de facilitar los controles de identidad de los viajeros de buena fe y de luchar contra la usurpación de identidad. Solamente debe contener los vínculos los datos de personas que figuran en más de un sistema de información de la UE. Los datos vinculados deben estar estrictamente limitados a aquellos datos que sean necesarios para verificar si una persona está registrada, ya sea de forma justificada o injustificada, con diferentes identidades biográficas en diferentes sistemas, o para aclarar que dos personas con similares datos de identidad pueden no ser la misma persona. El tratamiento de datos a través del PEB y del SCB compartido, destinado a vincular expedientes individuales entre diferentes sistemas, debe quedar limitado a un mínimo absoluto y, por lo tanto, limitarse a la detección de identidades múltiples, que debe realizarse en el momento en que se añadan nuevos datos a uno de los sistemas que tengan datos almacenados en el RCDI o añadidos al SIS. El DIM debe incluir salvaguardias frente a una posible discriminación y decisiones desfavorables contra las personas con múltiples identidades legales.

(40) El presente Reglamento establece nuevas operaciones de tratamiento de datos destinadas a identificar correctamente a las personas de que se trate. Esto constituye una injerencia en los derechos fundamentales reconocidos en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea. Dado que la aplicación eficaz de los sistemas de información de la UE depende de la identificación correcta de las personas afectadas, tal injerencia está justificada por los mismos objetivos para los que se ha creado cada uno de estos sistemas: la gestión eficaz de las fronteras de la Unión, la seguridad interna de la Unión y la aplicación efectiva de las políticas de la Unión en materia de visados y asilo.

(41) El PEB y el SCB compartido deben comparar los datos sobre personas contenidos en el RCDI y en el SIS cuando una autoridad nacional o una agencia de la Unión creen o carguen nuevas anotaciones. Dicha comparación debe estar automatizada. El RCDI y el SIS deben utilizar el SCB compartido para detectar posibles vínculos basados en datos biométricos. El RCDI y el SIS deben utilizar el PEB para detectar posibles vínculos basados en datos alfanuméricos. El RCDI y el SIS deben poder identificar los mismos datos o datos similares relativos a una persona almacenados en varios sistemas. Cuando ese sea el caso, debe establecerse un vínculo que indique que se trata de la misma persona. El RCDI y el SIS deben configurarse de manera que detecten los pequeños errores de transliteración o de deletreo, a fin de que no sean fuentes de inconvenientes injustificados para la persona de que se trate.

(42) La autoridad nacional o la agencia de la Unión que haya registrado los datos en el sistema de información de la UE respectivo debe confirmar o modificar esos vínculos. Esa autoridad nacional o agencia de la Unión deben tener acceso a los datos almacenados en el RCDI o el SIS y en el DIM, a efectos de la verificación manual de las diferentes identidades.

(43) Una verificación manual de diferentes identidades debe ser garantizada por la autoridad que haya creado o actualizado los datos que hayan generado la correspondencia expresada mediante un vínculo con datos ya almacenados en otro sistema de información de la UE. La autoridad responsable de la verificación manual de diferentes identidades debe evaluar si existen múltiples identidades que se refieran a la misma persona de forma justificada o injustificada. Dicha evaluación debe llevarse a cabo, cuando sea posible, en presencia de la persona de que se trate y, en caso necesario, solicitando aclaraciones o información adicionales. Dicha evaluación debe realizarse sin demora, de conformidad con los requisitos legales para la exactitud de la información que contemplen el Derecho nacional y de la Unión. Especialmente en las fronteras, se restringirán los movimientos de las personas implicadas mientras durase la verificación que, por ese motivo, no debe prolongarse por tiempo indefinido. La existencia de un vínculo amarillo en el DIM no debe constituir por sí misma un motivo de denegación de entrada y cualquier decisión sobre la autorización o la denegación de entrada debe tomarse exclusivamente sobre la base de las disposiciones aplicables del Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo (9).

(44) Para los vínculos obtenidos en relación con el SIS y relacionados con las descripciones de personas buscadas para su detención, su entrega voluntaria o su extradición; personas desaparecidas o vulnerables; personas buscadas para que presten asistencia en un procedimiento judicial o personas buscadas a efectos de controles discretos, de controles de investigación o de controles específicos, la autoridad responsable de la verificación manual de las diferentes identidades debe ser la oficina SIRENE del Estado miembro que haya creado la descripción. Dichas categorías de descripciones del SIS son sensibles y no deben necesariamente ser compartidas con las autoridades que hayan creado o actualizado los datos vinculados a las mismas en uno de los otros sistemas de información de la UE. La creación de un vínculo con datos del SIS debe realizarse sin perjuicio de las medidas que deban adoptarse en virtud de los Reglamentos (UE) 2018/1860 (10), (UE) 2018/1861 (11) y (UE) 2018/1862 del Parlamento Europeo y del Consejo (12).

(45) La creación de dichos vínculos requiere transparencia en cuanto a las personas afectadas. Con el fin de facilitar la aplicación de las salvaguardias necesarias de conformidad con las normas aplicables de la Unión en materia de protección de datos, las personas que estén sujetas a un vínculo rojo o a un vínculo blanco a raíz de una verificación manual de las diferentes identidades deben ser informadas por escrito, sin perjuicio de las limitaciones para proteger la seguridad y el orden público, prevenir la delincuencia y garantizar que no se pongan en peligro las investigaciones nacionales. Estas personas deben recibir un número de identificación único que les permita identificar a la autoridad a la que deben dirigirse para ejercer sus derechos.

(46) Cuando exista un vínculo amarillo, la autoridad responsable de la verificación manual de las diferentes identidades debe tener acceso al RCD. Cuando exista un vínculo rojo, las autoridades de los Estados miembros y las agencias de la Unión que ya tengan acceso al menos a un sistema de información de la UE incluido en el RCDI o en el SIS deben tener acceso al DIM. Un vínculo rojo indica que una persona está utilizando diferentes identidades de manera injustificada, o que una persona está utilizando la identidad de otra persona.

(47) Cuando exista un vínculo blanco o verde entre datos procedentes de dos sistemas de información de la UE, las autoridades de los Estados miembros y las agencias de la Unión también deben tener acceso al DIM, en caso de que dichas autoridades o agencias tengan acceso a ambos sistemas de información. Dicho acceso debe concederse con el único fin de permitir que la autoridad o la agencia detecten casos en los que los datos puedan haber sido vinculados incorrectamente o tratados en el DIM, el RCDI y el SIS incumpliendo el presente Reglamento, así como para que adopten las medidas necesarias para corregir la situación y actualizar o suprimir el vínculo.

(48) La Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA) debe establecer mecanismos automatizados de control de calidad de los datos e indicadores comunes de calidad de los datos. Debe ser responsable de desarrollar de una capacidad central de supervisión de la calidad de los datos y de la elaboración de informes periódicos de análisis de datos para mejorar el control de la implementación y la aplicación por los Estados miembros de los sistemas de información de la UE. Los indicadores comunes de calidad de los datos deben incluir las normas mínimas de calidad aplicables al almacenamiento de datos en los sistemas de información de la UE o en los componentes de interoperabilidad. El objetivo de dichas normas de calidad de los datos debe ser que los sistemas de información de la UE y los componentes de interoperabilidad identifiquen de forma automática presentaciones de datos aparentemente incorrectas o incoherentes, de modo que el Estado miembro que haya generado los datos pueda verificarlos y tomar las medidas correctoras que sean necesarias.

(49) La Comisión debe evaluar los informes de calidad de eu-LISA y formular recomendaciones a los Estados miembros cuando proceda. Los Estados miembros deben ser responsables de la preparación de un plan de acción que describa las medidas destinadas a corregir cualquier deficiencia en la calidad de los datos y deben informar periódicamente sobre sus progresos.

(50) El formato universal de mensajes (UMF) debe servir como norma para el intercambio de información, estructurado y transfronterizo, entre sistemas de información, autoridades y organizaciones en el ámbito de la justicia y los asuntos de interior. El UMF debe definir un vocabulario común y estructuras lógicas para la información intercambiada habitualmente con el objetivo de facilitar la interoperabilidad y permitir la creación y la lectura del contenido del intercambio de forma coherente y equivalente desde el punto de vista semántico.

(51) Puede tomarse en consideración la aplicación de la norma UMF en el VIS, el SIS y cualquier otro modelo existente o nuevo de intercambio transfronterizo de información o sistema de información en el ámbito de la justicia y los asuntos de interior desarrollado por los Estados miembros.

(52) Debe crearse un repositorio central para la presentación de informes y estadísticas (RCIE) con el fin de generar datos estadísticos entre sistemas e informes de análisis relativos a la formulación de políticas, la operatividad y la calidad de los datos, de conformidad con los instrumentos jurídicos respectivos. eu-LISA debe crear e implementar el RCIE y alojarlo en sus sitios técnicos que contengan datos estadísticos anonimizados procedentes de los sistemas mencionados anteriormente, el RCDI, el DIM y el SCB compartido. Los datos contenidos en el RCIE no deben permitir la identificación de personas. eu-LISA debe anonimizar de forma automatizada los datos y registrar los datos anonimizados en el RCIE. El proceso para anonimizar los datos debe ser automatizado y no debe concederse al personal de eu-LISA acceso a ninguno de los datos personales almacenados en los sistemas de información de la UE o en los componentes de interoperabilidad.

(53) El Reglamento (UE) 2016/679 se aplica al tratamiento de datos personales con fines de interoperabilidad por parte de las autoridades nacionales en virtud del presente Reglamento, a menos que sean las autoridades designadas o los puntos de acceso central de los Estados miembros quienes lleven a cabo dicho tratamiento por razones de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves.

(54) Cuando el tratamiento de los datos personales por parte de los Estados miembros con fines de interoperabilidad en virtud del presente Reglamento lo realicen las autoridades competentes a efectos de prevención, detección o investigación de los delitos de terrorismo o de otros delitos graves, debe ser de aplicación la Directiva (UE) 2016/680.

(55) El Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o, en su caso, la Directiva (UE) 2016/680 se aplican también a las transferencias de datos personales a terceros países u organizaciones internacionales realizadas de conformidad con el presente Reglamento. Sin perjuicio de los motivos de la transferencia con arreglo al capítulo V del Reglamento (UE) 2016/679 o, en su caso, de la Directiva (UE) 2016/680, toda resolución de un órgano jurisdiccional y toda decisión de una autoridad administrativa de un tercer país que exija a un responsable o encargado transferir o divulgar datos personales solo debe ser reconocida o ejecutable de alguna forma si se basa en un acuerdo internacional vigente entre el tercer país solicitante y la Unión o un Estado miembro.

(56) Las disposiciones específicas sobre protección de datos de los Reglamentos (UE) 2017/2226 (13), (CE) n.o 767/2008 (14), (UE) 2018/1240 (15) del Parlamento Europeo y del Consejo y el Reglamento (UE) 2018/1861 son aplicables al tratamiento de datos personales en los sistemas regulados por esos Reglamentos.

(57) El Reglamento (UE) 2018/1725 es aplicable al tratamiento de los datos personales por eu-LISA y otras instituciones y organismos de la Unión en el ejercicio de sus responsabilidades con arreglo al presente Reglamento, sin perjuicio del Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (16), aplicable al tratamiento de datos personales por parte de Europol.

(58) Las autoridades de control a que se refiere el Reglamento (UE) 2016/679 o la Directiva (UE) 2016/680 deben supervisar la legalidad del tratamiento de los datos personales por los Estados miembros. El Supervisor Europeo de Protección de Datos debe supervisar las actividades que llevan a cabo las instituciones y organismos de la Unión en relación con el tratamiento de datos personales. El Supervisor Europeo de Protección de Datos y las autoridades de control deben cooperar en la supervisión del tratamiento de los datos personales que se realice mediante los componentes de interoperabilidad. Para que el Supervisor Europeo de Protección de Datos cumpla las tareas que le encomienda el presente Reglamento, se requieren recursos suficientes, tanto humanos como financieros.

(59) De conformidad con el artículo 28, apartado 2, del Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo (17), se consultó al Supervisor Europeo de Protección de Datos, que emitió su dictamen el 16 de abril de 2018 (18).

(60) El Grupo de Trabajo del Artículo 29 emitió un dictamen el 11 de abril de 2018.

(61) Los Estados miembros y eu-LISA deben disponer de planes de seguridad para facilitar el cumplimiento de las obligaciones en materia de seguridad y deben cooperar entre sí para solucionar los problemas de seguridad. eu-LISA también debe asegurarse de que se haga un uso continuo de los avances tecnológicos más recientes a fin de garantizar la integridad de los datos en el contexto del desarrollo, el diseño y la gestión de los componentes de interoperabilidad. Las obligaciones de eu-LISA a este respecto deben incluir la adopción de las medidas necesarias para impedir el acceso de personas no autorizadas, como el personal de proveedores de servicios externos, a datos personales tratados mediante los componentes de interoperabilidad. Al adjudicar contratos para la prestación de servicios, los Estados miembros y eu-LISA deben considerar todas las medidas necesarias para garantizar el cumplimiento de las disposiciones legislativas o reglamentarias relativas a la protección de los datos personales y a la privacidad de las personas o salvaguardar intereses esenciales en materia de seguridad, de conformidad con el Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo (19) y los convenios internacionales aplicables. eu-LISA debe aplicar los principios de protección de la intimidad desde el diseño y por defecto durante el desarrollo de los componentes de interoperabilidad.

(62) La aplicación de los componentes de interoperabilidad previstos en el presente Reglamento tendrá repercusiones sobre la manera en que se llevan a cabo las inspecciones en los pasos fronterizos. Estas repercusiones serán el resultado de la aplicación combinada de las disposiciones vigentes del Reglamento (UE) 2016/399 y de las normas sobre interoperabilidad establecidas en el presente Reglamento.

(63) Como consecuencia de esta aplicación combinada de las normas, el PEB debe constituir el principal punto de acceso para la consulta sistemática obligatoria de las bases de datos sobre personas en los pasos fronterizos, prevista por el Reglamento (UE) 2016/399. Además, los guardias de fronteras deben tener en cuenta los datos de identidad o del documento de viaje que hayan dado lugar a la clasificación como vínculo rojo de un vínculo en el DIM, para evaluar si el interesado cumple o no las condiciones de entrada definidas en el Reglamento (UE) 2016/399. Sin embargo, la presencia de un vínculo rojo no constituye en sí misma un motivo de denegación de entrada y, por lo tanto, los motivos de denegación de entrada que actualmente se enumeran en el Reglamento (UE) 2016/399 no deben modificarse.

(64) Resulta oportuno actualizar el Manual práctico para guardias de fronteras a fin de formular de forma explícita estas aclaraciones.

(65) En caso de que la consulta del DIM a través del PEB dé lugar a un vínculo amarillo o detecte un vínculo rojo, el guardia de fronteras debe consultar el RCDI, el Sistema de Información de Schengen o ambos, a fin de evaluar la información relativa a la persona objeto de la inspección, verificar manualmente su identidad diferente y, si procede, adaptar el color del vínculo.

(66) Para apoyar los objetivos en materia de estadísticas e informes, es necesario conceder al personal autorizado de las autoridades, las instituciones y las agencias de la Unión competentes a que se refiere el presente Reglamento acceso para consultar determinados datos relativos a determinados componentes de interoperabilidad sin permitir la identificación de las personas.

(67) A fin de permitir a las autoridades de los Estados miembros y a las agencias de la Unión adaptarse a los nuevos requisitos sobre el uso del PEB, es necesario prever un periodo transitorio. Del mismo modo, a fin de garantizar la coherencia y el funcionamiento óptimo del DIM, deben adoptarse medidas transitorias para su entrada en funcionamiento.

(68) Dado que el objetivo del presente Reglamento, a saber, el establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE, no puede ser alcanzado de manera suficiente por los Estados miembros sino que, debido a las dimensiones y a los efectos de la acción, puede lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea (TUE). De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo.

(69) El saldo en el presupuesto asignado a las fronteras inteligentes con arreglo al Reglamento (UE) n.o 515/2014 del Parlamento Europeo y del Consejo (20) debe reasignarse al presente Reglamento, de conformidad con el artículo 5, apartado 5, letra b), del Reglamento (UE) n.o 515/2014 al objeto de cubrir los costes del desarrollo de los componentes de interoperabilidad.

(70) A fin de complementar ciertos aspectos técnicos concretos del presente Reglamento, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea (TFUE), por lo que respecta a: — la ampliación del periodo transitorio para el uso del PEB, — la ampliación del periodo transitorio para la detección de identidad múltiple realizada por la unidad central SEIAV, — los procedimientos para determinar en qué casos puede considerarse que los datos de identidad son los mismos o similares, — las normas de funcionamiento del RCIE, incluidas las salvaguardias específicas para el tratamiento de datos personales y las normas de seguridad aplicables al repositorio, y — las normas detalladas sobre el funcionamiento del portal web. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación (21). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados.

(71) A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución para fijar las fechas a partir de las cuales deben comenzar a funcionar el PEB, el SCB compartido, el RCDI, el DIM y el RCIE.

(72) También deben conferirse a la Comisión competencias de ejecución para adoptar normas detalladas relativas a: los detalles técnicos de los perfiles de los usuarios del PEB; las especificaciones de la solución técnica para facilitar la consulta de los sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol por el PEB y el formato de las respuestas del PEB; las normas técnicas para la generación de vínculos entre datos de los distintos sistemas de información de la UE; el contenido y la presentación del formulario que se debe utilizar para informar al titular de los datos cuando se genere un vínculo rojo; los requisitos y la supervisión del rendimiento del SCB compartido; los mecanismos, procedimientos e indicadores del control automatizado de la calidad de los datos; el desarrollo de la norma UMF; el procedimiento de cooperación que se debe utilizar en caso de incidentes de seguridad y las especificaciones de la solución técnica para que los Estados miembros gestionen las solicitudes de acceso de los usuarios. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo (22).

(73) Ya que los componentes de interoperabilidad conllevarán el tratamiento de cantidades significativas de datos personales sensibles, es importante que las personas cuyos datos se traten a través de dichos componentes puedan ejercer de forma eficaz sus derechos como titulares de los datos, tal y como exigen el Reglamento (UE) 2016/679, la Directiva (UE) 2016/680 y el Reglamento (UE) 2018/1725. Los titulares de los datos deben disponer de un portal web que les facilite el ejercicio de sus derechos de acceso a sus datos personales y de rectificación, supresión y limitación del tratamiento de dichos datos. eu-LISA debe crear y gestionar dicho portal web.

(74) Uno de los principios fundamentales de la protección de datos es la minimización de datos: de conformidad con el artículo 5, apartado 1, letra c), del Reglamento (UE) 2016/679, que establece que el tratamiento de datos personales será adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados. Por esta razón, los componentes de interoperabilidad no deben prever el almacenamiento de nuevos datos personales, con excepción de los vínculos que se almacenarán en el DIM y que son el mínimo necesario a los efectos del presente Reglamento.

(75) El presente Reglamento debe contener disposiciones claras sobre responsabilidad civil y el derecho a una indemnización por daños y perjuicios causados por el tratamiento ilegal de datos personales y por cualquier otro acto incompatible con él. Las referidas disposiciones se entienden sin perjuicio del derecho a una indemnización y de la responsabilidad civil del responsable o del encargado del tratamiento en virtud del Reglamento (UE) 2016/679, la Directiva (UE) 2016/680 y el Reglamento (UE) 2018/1725. eu-LISA debe ser responsable, como encargada del tratamiento de datos, de cualesquiera daños y perjuicios que cause cuando no cumpla las obligaciones que el presente Reglamento le impone específicamente, o cuando haya actuado al margen o en contra de las instrucciones legales del Estado miembro que sea responsable del tratamiento de los datos.

(76) El presente Reglamento se entiende sin perjuicio de la aplicación de la Directiva 2004/38/CE del Parlamento Europeo y del Consejo (23).

(77) De conformidad con los artículos 1 y 2 del Protocolo n.o 22 sobre la posición de Dinamarca, anejo al TUE y al TFUE, Dinamarca no participa en la adopción del presente Reglamento y no queda vinculada por este ni sujeta a su aplicación. Dado que el presente Reglamento desarrolla el acervo de Schengen, Dinamarca decidirá, de conformidad con el artículo 4 de dicho Protocolo, en un plazo de seis meses a partir de que el Consejo haya tomado una medida sobre el presente Reglamento, si lo incorpora o no a su Derecho nacional.

(78) El presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en las que el Reino Unido no participa, de conformidad con la Decisión 2000/365/CE del Consejo (24); por lo tanto, el Reino Unido no participa en su adopción y no queda vinculado por él ni sujeto a su aplicación.

(79) El presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en las que Irlanda no participa de conformidad con la Decisión 2002/192/CE del Consejo (25); por lo tanto, Irlanda no participa en su adopción y no queda vinculada por él ni sujeta a su aplicación.

(80) En lo que respecta a Islandia y Noruega, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en el sentido del acuerdo celebrado por el Consejo de la Unión Europea con la República de Islandia y el Reino de Noruega sobre la asociación de esos dos Estados a la ejecución, aplicación y desarrollo del acervo de Schengen (26), que entran en el ámbito mencionado en el artículo 1, puntos A, B y G, de la Decisión 1999/437/CE del Consejo (27).

(81) Por lo que respecta a Suiza, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen, en el sentido del Acuerdo firmado entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen (28), que entran en el ámbito mencionado en el artículo 1, puntos A, B, C y G, de la Decisión 1999/437/CE, en relación con el artículo 3 de la Decisión 2008/146/CE del Consejo (29).

(82) Por lo que respecta a Liechtenstein, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en el sentido del Protocolo entre la Unión Europea, la Comunidad Europea, la Confederación Suiza y el Principado de Liechtenstein sobre la adhesión del Principado de Liechtenstein al Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, la aplicación y el desarrollo del acervo de Schengen (30), que entran en el ámbito mencionado en el artículo 1, puntos A, B, C y G, de la Decisión 1999/437/CE del Consejo, en relación con el artículo 3 de la Decisión 2011/350/UE del Consejo (31).

(83) El presente Reglamento respeta los derechos fundamentales y observa los principios reconocidos, en particular, en la Carta de los Derechos Fundamentales de la Unión Europea, por lo que debe aplicarse de conformidad con tales derechos y principios.

(84) A fin de que el presente Reglamento encaje en el marco jurídico vigente, los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861, y las Decisiones 2004/512/CE (32) y 2008/633/JAI (33) del Consejo deben modificarse en consecuencia.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO I

Disposiciones generales

Artículo 1 Objeto 1. El presente Reglamento, junto con el Reglamento (UE) 2019/818 del Parlamento Europeo y del Consejo (34) establece un marco para garantizar la interoperabilidad del Sistema de Entradas y Salidas (SES), el Sistema de Información de Visados (VIS), el Sistema Europeo de Información y Autorización de Viajes (SEIAV), Eurodac, el Sistema de Información de Schengen (SIS) y el Sistema Europeo de Información de Antecedentes Penales de nacionales de terceros países (ECRIS-TCN). 2. El marco incluirá los siguientes componentes de interoperabilidad: a) un portal europeo de búsqueda (PEB); b) un servicio de correspondencia biométrica compartido (SCB compartido); c) un registro común de datos de identidad (RCDI); d) un detector de identidades múltiples (DIM). 3. El presente Reglamento establece también disposiciones sobre los requisitos de calidad de los datos, sobre un formato universal de mensajes (UMF) y sobre un repositorio central de presentación de informes y estadísticas (RCIE), así como las responsabilidades de los Estados miembros y de la Agencia Europea para la Gestión Operativa de Sistemas Informáticos de gran magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA), en lo que respecta al diseño, el desarrollo y el funcionamiento de los componentes de interoperabilidad. 4. El presente Reglamento también adapta los procedimientos y las condiciones para el acceso de las autoridades designadas y de la Agencia de la Unión Europea para la Cooperación Policial (Europol) al SES, al VIS, al SEIAV y a Eurodac con fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves. 5. El presente Reglamento establece asimismo un marco para la verificación de la identidad de las personas y para la identificación de las personas.

Artículo 2 Objetivos 1. Mediante la garantía de la interoperabilidad, el presente Reglamento tiene los siguientes objetivos: a) mejorar la eficacia y la eficiencia de las inspecciones fronterizas en las fronteras exteriores; b) contribuir a la prevención de la inmigración ilegal y a la lucha contra ella; c) contribuir a un alto nivel de seguridad en el espacio de libertad, seguridad y justicia de la Unión, lo que incluye el mantenimiento de la seguridad pública y del orden público y la salvaguardia de la seguridad en el territorio de los Estados miembros; d) mejorar la aplicación de la política común de visados; e) ayudar a examinar las solicitudes de protección internacional; f) contribuir a la prevención, detección e investigación de los delitos de terrorismo o de otros delitos penales graves; g) ayudar a identificar a las personas desconocidas que no puedan identificarse o los restos humanos sin identificar en caso de catástrofes naturales, accidentes o atentados terroristas. 2. Los objetivos contemplados en el apartado 1 se alcanzarán: a) garantizando la identificación correcta de las personas; b) contribuyendo a luchar contra la usurpación de identidad; c) mejorando la calidad de los datos y armonizando los requisitos de calidad de los datos almacenados en los sistemas de información de la UE, respetando al mismo tiempo los requisitos de tratamiento de datos de los instrumentos jurídicos que rigen los diferentes sistemas y las normas y principios en materia de protección de datos; d) facilitando y apoyando la aplicación técnica y operativa por parte de los Estados miembros de los sistemas de información de la UE; e) reforzando, simplificando y uniformizando las condiciones de seguridad de los datos y de protección de datos que rigen en los respectivos sistemas de información de la UE, sin perjuicio de la protección y las salvaguardias especiales otorgadas a ciertas categorías de datos; f) racionalizando las condiciones de acceso de las autoridades designadas al SES, al VIS, al SEIAV y a Eurodac, garantizando al mismo tiempo las condiciones necesarias y proporcionadas para dicho acceso; g) apoyando los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN.

Artículo 3 Ámbito de aplicación 1. El presente Reglamento es aplicable al SES, el VIS, el SEIAV y el SIS. 2. El presente Reglamento es aplicable a las personas cuyos datos personales puedan ser objeto de tratamiento en los sistemas de información de la UE a que se refiere el apartado 1 del presente artículo y cuyos datos se recojan para los fines definidos en los artículos 1 y 2 del Reglamento (CE) n.o 767/2008, el artículo 1 del Reglamento (UE) 2017/2226, los artículos 1 y 4 del Reglamento (UE) 2018/1240, el artículo 1 del Reglamento (UE) 2018/1860 y el artículo 1 del Reglamento (UE) 2018/1861.

Artículo 4 Definiciones A los efectos del presente Reglamento, se entenderá por: 1) «fronteras exteriores»: las fronteras exteriores tal como se definen en el artículo 2, punto 2, del Reglamento (UE) 2016/399; 2) «inspecciones fronterizas»: las inspecciones fronterizas tal como se definen en el artículo 2, punto 11, del Reglamento (UE) 2016/399; 3) «autoridad fronteriza»: la guardia de fronteras encargada de llevar a cabo las inspecciones fronterizas de conformidad con la normativa nacional; 4) «autoridades de control»: las autoridades de control a que se refiere el artículo 51, apartado 1, del Reglamento (UE) 2016/679 y las autoridades de control a que se refiere el artículo 41, apartado 1, punto 1, de la Directiva (UE) 2016/680; 5) «verificación»: el proceso de comparación de conjuntos de datos para establecer la validez de una identidad declarada (control simple); 6) «identificación»: el proceso de determinación de la identidad de una persona por comparación con múltiples conjuntos de datos de una base de datos (control múltiple); 7) «datos alfanuméricos»: datos representados por letras, dígitos, caracteres especiales, espacios y signos de puntuación; 8) «datos de identidad»: los datos a que se refiere el artículo 27, apartado 3, letras a) a h); 9) «datos dactiloscópicos»: imágenes de las impresiones dactilares e imágenes de huellas dactilares latentes que, debido a su carácter único y a los puntos de referencia que contienen, permiten comparaciones concluyentes y precisas sobre la identidad de una persona; 10) «imagen facial»: las imágenes digitales del rostro de una persona; 11) «datos biométricos»: los datos dactiloscópicos o las imágenes faciales; 12) «plantilla biométrica»: una representación matemática obtenida por extracción de características de los datos biométricos, limitada a las características necesarias para llevar a cabo identificaciones y verificaciones; 13) «documento de viaje»: el pasaporte o cualquier otro documento equivalente que permita a su titular cruzar las fronteras exteriores y en el que pueda insertarse el visado; 14) «datos del documento de viaje»: el tipo, el número y el país de expedición del documento de viaje, la fecha de expiración de su validez y el código de tres letras del país de expedición; 15) «sistemas de información de la UE»: el SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN; 16) «datos de Europol»: los datos personales tratados por Europol a efectos del artículo 18, apartado 2, letras a), b) y c), del Reglamento (UE) 2016/794; 17) «bases de datos de Interpol»: la base de datos sobre documentos de viaje robados y perdidos (base de datos DVRP) y la base de datos de documentos de viaje asociados a notificaciones de Interpol (base de datos TDAWN); 18) «correspondencia»: la existencia de una coincidencia como resultado de la comparación automatizada de datos personales que hayan sido o estén siendo registrados en un sistema de información o una base de datos; 19) «autoridades policiales»: las «autoridades competentes» tal como se definen en el artículo 3, punto 7, de la Directiva (UE) 2016/680; 20) «autoridades designadas»: las autoridades designadas por el Estado miembro como se definen en el artículo 3, apartado 1, punto 26, del Reglamento (UE) 2017/2226, el artículo 2, apartado 1, letra e), de la Decisión 2008/633/JAI y el artículo 3, apartado 1, punto 21, del Reglamento (UE) 2018/1240; 21) «delito de terrorismo»: un delito con arreglo al Derecho nacional que corresponda o sea equivalente a alguno de los delitos a que se refiere la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo (35); 22) «delito grave»: un delito que corresponda o sea equivalente a alguno de los delitos a los que se refiere el artículo 2, apartado 2, de la Decisión Marco 2002/584/JAI del Consejo (36), si está penado en el Derecho nacional con una pena privativa de libertad o de internamiento con una duración máxima no inferior a tres años; 23) «Sistema de Entradas y Salidas o “SES”»: el Sistema de Entradas y Salidas establecido por el Reglamento (UE) 2017/2226; 24) «Sistema de Información de Visados (“VIS”)»: el Sistema de Información de Visados establecido por el Reglamento (CE) n.o 767/2008; 25) «Sistema Europeo de Información y Autorización de Viajes (“SEIAV”)»: el Sistema Europeo de Información y Autorización de Viajes establecido por el Reglamento (UE) 2018/1240; 26) «Eurodac»: Eurodac establecido por el Reglamento (UE) n.o 603/2013 del Parlamento Europeo y del Consejo (37); 27) «Sistema de Información de Schengen o “SIS”»: el Sistema de Información de Schengen establecido por los Reglamentos (UE) 2018/1860, (UE) 2018/1861 y (UE) 2018/1862 del Parlamento Europeo y del Consejo; 28) «ECRIS-TCN»: el sistema centralizado para la identificación de los Estados miembros que contiene información sobre las condenas de nacionales de terceros países y apátridas establecido por el Reglamento (UE) 2019/816 del Parlamento Europeo y del Consejo (38).

Artículo 5 No discriminación y derechos fundamentales El tratamiento de datos personales a los efectos del presente Reglamento no dará lugar a discriminación contra las personas por motivos tales como el género, la raza, el color, el origen étnico o social, las características genéticas, el idioma, la religión o las creencias, las opiniones políticas o de cualquier otro tipo, la pertenencia a una minoría nacional, el patrimonio, el nacimiento, la discapacidad, la edad o la orientación sexual. Deberá respetar plenamente la dignidad y la integridad humanas, así como los derechos fundamentales, incluido el derecho a la intimidad y a la protección de los datos personales. Se prestará especial atención a los niños, las personas mayores, las personas con discapacidad y las personas que necesitan protección internacional. El interés superior del menor constituirá una consideración primordial.

CAPÍTULO II

Portal europeo de búsqueda

Artículo 6 Portal europeo de búsqueda 1. Se crea un Portal europeo de búsqueda (PEB) con objeto de facilitar el acceso rápido, ininterrumpido, eficiente, sistemático y controlado de las autoridades de los Estados miembros y de las agencias de la Unión a los sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol para el desempeño de sus tareas y de conformidad con sus derechos de acceso, así como con los objetivos y fines del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. 2. El PEB se compondrá de: a) una infraestructura central, incluido un portal de búsqueda que permita la consulta simultánea del SES, el VIS, el SEIAV, el SIS, Eurodac y el ECRIS-TCN, así como de los datos de Europol y las bases de datos de Interpol; b) un canal de comunicación seguro entre el PEB, los Estados miembros y las agencias de la Unión que tengan derecho a utilizar el PEB; c) una infraestructura de comunicación segura entre el PEB y el SES, el VIS, el SEIAV Eurodac, el SIS Central, el ECRIS-TCN, los datos de Europol y las bases de datos de Interpol, así como entre el PEB y las infraestructuras centrales del RCDI y el DIM. 3. eu-LISA desarrollará el PEB y garantizará su gestión técnica.

Artículo 7 Utilización del portal europeo de búsqueda 1. La utilización del PEB se reservará a las autoridades de los Estados miembros y a las agencias de la Unión que tengan acceso como mínimo a uno de los sistemas de información de la UE, de conformidad con los instrumentos jurídicos que rijan esos sistemas, al RCDI y al DIM de conformidad con el presente Reglamento, a los datos de Europol de conformidad con el Reglamento (UE) 2016/794 o a las bases de datos de Interpol de conformidad con el Derecho nacional o de la Unión que regule dicho acceso. Dichas autoridades de los Estados miembros y agencias de la Unión podrán utilizar el PEB y los datos que este facilite únicamente para los objetivos y fines establecidos en los instrumentos jurídicos que rigen dichos sistemas de información de la UE, en el Reglamento (UE) 2016/794 y en el presente Reglamento. 2. Las autoridades de los Estados miembros y agencias de la Unión a que se refiere el apartado 1 utilizarán el PEB para consultar datos relativos a personas o sus documentos de viaje en los sistemas centrales del SES, el VIS y SEIAV de conformidad con sus derechos de acceso a que se refieren los instrumentos jurídicos que rigen los sistemas de información de la UE y en el Derecho nacional. Asimismo, utilizarán el PEB para consultar el RCDI, de conformidad con sus derechos de acceso con arreglo al presente Reglamento, para los fines mencionados en los artículos 20, 21 y 22. 3. Las autoridades de los Estados miembros a que se refiere el apartado 1 pueden utilizar el PEB para buscar datos relativos a las personas o sus documentos de viaje en el SIS Central a que se refieren los Reglamentos (UE) 2018/1860 y (UE) 2018/1861. 4. Cuando así se estipule en el Derecho de la Unión, las agencias de la Unión mencionadas en el apartado 1 utilizarán el PEB para consultar datos relativos a personas o sus documentos de viaje en el SIS Central. 5. Las autoridades de los Estados miembros y agencias de la Unión a que se refiere el apartado 1 utilizarán el PEB para consultar datos relativos a documentos de viaje en las bases de datos de Europol, de conformidad con los derechos de acceso que les otorguen el Derecho nacional y la de la Unión.

Artículo 8 Perfiles de los usuarios del portal europeo de búsqueda 1. A los efectos de permitir el uso del PEB, eu-LISA creará, en colaboración con los Estados miembros, un perfil basado en la categoría de usuarios del PEB y en el objeto de sus consultas, de conformidad con los detalles técnicos y derechos de acceso a que se refiere el apartado 2. Cada perfil incluirá, de conformidad con el Derecho de la Unión y nacional, la información siguiente: a) los campos de datos que tienen que utilizarse para llevar a cabo una consulta; b) los sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol que tienen que consultarse, cuáles pueden consultarse y cuales tienen que dar una respuesta al usuario, c) los datos específicos en los sistemas de información de la UE, datos de Europol y las bases de datos de Interpol que pueden consultarse; d) las categorías de datos que pueden facilitarse en cada respuesta. 2. La Comisión adoptará actos de ejecución para especificar los detalles técnicos de los perfiles a que se refiere el apartado 1, de conformidad con los derechos de acceso de los usuarios del PEB, conforme se regulan en los instrumentos jurídicos que rigen los sistemas de información de la UE y en el Derecho nacional. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2. 3. Los perfiles a que se refiere el apartado 1 serán revisados periódicamente por eu-LISA en colaboración con los Estados miembros, al menos una vez al año, y, cuando proceda, se actualizarán.

Artículo 9 Consultas 1. Los usuarios del PEB iniciarán una consulta mediante la presentación de datos alfanuméricos o biométricos al PEB. Cuando se haya iniciado una consulta, el PEB consultará el SES, el SEIAV, el VIS, el SIS, Eurodac, el ECRIS-TCN, el RCDI, los datos de Europol y las bases de datos de Interpol al mismo tiempo que los datos presentados por el usuario y de conformidad con el perfil de este. 2. Las categorías de datos utilizados para iniciar una consulta a través del PEB corresponderán a las categorías de datos relativos a personas o documentos de viaje que puedan utilizarse para consultar los distintos sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol, de conformidad con los instrumentos jurídicos que los rijan. 3. eu-LISA, en colaboración con los Estados miembros, desarrollará un documento de control de interfaces sobre la base del UMF a que se refiere el artículo 38 para el PEB. 4. Cuando se lance una consulta por un usuario del PEB, el SES, el SEIAV, el VIS, el SIS, Eurodac, el ECRIS-TCN, el RCDI, el DIM, los datos de Europol y las bases de datos de Interpol, proporcionarán como respuesta a la consulta los datos oportunos contenidos en ellas. Sin perjuicio del artículo 20, la respuesta facilitada por el PEB indicará a qué sistema de información de la UE o base de datos pertenecen los datos. El PEB no facilitará información relativa a los datos almacenados en sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol a los que el usuario no tenga acceso con arreglo al Derecho de la Unión y nacional aplicable. 5. Toda consulta de las bases de datos de Interpol iniciada a través del PEB se realizará de tal manera que no se revele ningún elemento de dicha información al propietario de la descripción Interpol. 6. El PEB dará respuestas al usuario tan pronto como se disponga de datos procedentes de uno de los sistemas de información de la UE, datos de Europol o las bases de datos de Interpol. Dichas respuestas contendrán únicamente los datos a que tenga acceso el usuario de conformidad con el Derecho de la Unión y nacional. 7. La Comisión adoptará un acto de ejecución para especificar el procedimiento técnico para que el PEB consulte los sistemas informativos de la UE, los datos de Europol y las bases de datos de Interpol, así como el formato de las respuestas del PEB. Dicho acto de ejecución se adoptará con arreglo al procedimiento de examen a que se refiere el artículo 74, apartado 2.

Artículo 10 Conservación de registros 1. Sin perjuicio del artículo 46 del Reglamento (UE) 2017/2226, el artículo 34 del Reglamento (CE) n.o 767/2008, el artículo 69 del Reglamento (UE) 2018/1240 y los artículos 12 y 18 del Reglamento (UE) 2018/1861, eu-LISA conservará los registros de todas las operaciones de tratamiento de datos dentro del PEB. Dichos registros incluirán, en particular, lo siguiente: a) el Estado miembro o la agencia de la Unión que inicia la consulta y el perfil de usuario del PEB utilizado; b) la fecha y hora de la consulta; c) los sistemas de información de la UE y las bases de datos de Interpol consultados; 2. Cada Estado miembro llevará un registro de las consultas que hacen sus autoridades y el personal de dichas autoridades debidamente autorizado para utilizar el PEB. Cada agencia de la Unión llevará un registro de las consultas que efectúe su personal debidamente autorizado. 3. Los registros a que se refieren los apartados 1 y 2 únicamente se podrán utilizar para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de los requisitos de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que los procedimientos de supervisión ya no exijan dichos registros No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán cuando dejen de ser necesarios para dichos procedimientos de supervisión.

Artículo 11 Procedimientos alternativos en caso de imposibilidad técnica de utilizar el portal europeo de búsqueda 1. Cuando por un fallo del PEB resulte técnicamente imposible utilizar el PEB para consultar uno o varios de los sistemas de información de la UE o el RCDI, eu-LISA lo notificará a los usuarios del PEB de forma automatizada. 2. Cuando por un fallo de la infraestructura nacional de un Estado miembro resulte técnicamente imposible utilizar el PEB para consultar uno o varios de los sistemas de información de la UE o el RCDI, ese Estado miembro lo notificará a eu-LISA y a la Comisión de forma automatizada. 3. En los casos recogidos en los apartados 1 y 2 del presente artículo, y hasta que el fallo técnico quede resuelto, no será de aplicación la obligación a que se refiere el artículo 7, apartados 2 y 4, y los Estados miembros accederán a los sistemas de información de la UE o al RCDI cuando así deban de hacerlo con arreglo al Derecho de la Unión o nacional. 4. Cuando debido a un fallo de la infraestructura de una agencia de la Unión resulte técnicamente imposible utilizar el PEB para consultar uno o varios de los sistemas de información de la UE o el RCDI, dicha agencia lo notificará a eu-LISA y a la Comisión de forma automatizada.

CAPÍTULO III

Servicio de correspondencia biométrica compartido

Artículo 12 Servicio de correspondencia biométrica compartido 1. Se crea un servicio de correspondencia biométrica compartido (SCB compartido), que almacenará plantillas biométricas obtenidas a partir de los datos a que se refiere el artículo 13, almacenados en el RCDI y el SIS, y permitirá consultar datos biométricos a través de varios sistemas de información de la UE, a efectos de apoyar al RCDI y al DIM y los objetivos del SES, el VIS, Eurodac, el SIS y el ECRIS-TCN. 2. El SCB compartido se compondrá de: a) una infraestructura central que sustituirá a los sistemas centrales del SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN, respectivamente, en la medida en que deberá almacenar plantillas biométricas y permitir búsquedas con datos biométricos; b) una infraestructura de comunicación segura entre el SCB compartido, el SIS Central y el RCDI. 3. eu-LISA desarrollará el SCB compartido y garantizará su gestión técnica.

Artículo 13 Almacenamiento de plantillas biométricas en el servicio de correspondencia biométrica compartido 1. El SCB compartido almacenará las plantillas biométricas, que obtendrá de los siguientes datos biométricos: a) los datos a que se refieren el artículo 16, apartado 1, letra d), el artículo 17, apartado 1, letras b) y c), y el artículo 18, apartado 2, letras a), b) y c), del Reglamento (UE) 2017/2226; b) los datos a que se refiere el artículo 9, punto 6, del Reglamento (CE) n.o 767/2008; c) los datos a que se refiere el artículo 20, apartado 2, letras w) y x), con exclusión de las impresiones palmares, del Reglamento (UE) 2018/1861; d) los datos a que se refiere el artículo 4, apartado 1, letras u) y v), excluidas las impresiones palmares del Reglamento (UE) n.o 2018/1860. Las plantillas biométricas se almacenarán en el SCB compartido separadas de un modo lógico, según el sistema de información de la UE del que provengan los datos. 2. Para cada conjunto de datos a que se refiere el apartado 1, el SCB compartido incluirá en cada plantilla biométrica una referencia a los sistemas de información de la UE en que están almacenados los datos biométricos correspondientes y una referencia a los registros reales de dichos sistemas de información de la UE. 3. Las plantillas biométricas solo podrán introducirse en el SCB compartido tras un control de calidad automatizado de los datos biométricos añadidos a uno de los sistemas de información de la UE con que cuenta el SCB compartido para cerciorarse de que se alcanza un estándar mínimo de calidad de los datos. 4. El almacenamiento de los datos mencionados en el apartado 1 cumplirá los estándares de calidad a que se refiere el artículo 37, apartado 2. 5. La Comisión establecerá mediante un acto de ejecución los requisitos de rendimiento y las disposiciones prácticas para supervisar el funcionamiento del SCB compartido a fin de garantizar que la eficacia de las búsquedas biométricas respete procedimientos en los que el tiempo es un factor crítico, como los controles y las identificaciones en las fronteras. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2.

Artículo 14 Búsqueda de datos biométricos con el SCB compartido A fin de buscar los datos biométricos almacenados en el RCDI y el SIS, estos utilizarán las plantillas biométricas almacenadas en el SCB compartido. Las consultas con datos biométricos tendrán lugar de conformidad con los fines previstos en el presente Reglamento y en los Reglamentos (CE) n.o 767/2008, (UE) 2017/2226, (UE) 2018/1860, (UE) 2018/1861, (UE) 2018/1862 y (UE) 2019/816.

Artículo 15 Conservación de datos en el servicio de correspondencia biométrica compartido Los datos a que se refiere el artículo 13, apartados 1 y 2, solo estarán almacenados en el SCB compartido mientras los datos biométricos correspondientes estén almacenados en el RCDI o en el SIS. Los datos se suprimirán del SCB compartido de forma automatizada.

Artículo 16 Conservación de registros 1. Sin perjuicio del artículo 46 del Reglamento (UE) 2017/2226, el artículo 34 del Reglamento (CE) n.o 767/2008, y los artículos 12 y 18 del Reglamento (UE) 2018/1861, eu-LISA conservará los registros de todas las operaciones de tratamiento de datos dentro del SCB compartido. Dichos registros incluirán lo siguiente: a) el Estado miembro o la agencia de la Unión que inicie la consulta; b) el historial de creación y almacenamiento de las plantillas biométricas; c) los sistemas de información de la UE consultados con las plantillas biométricas almacenadas en el SCB compartido; d) la fecha y hora de la consulta; e) el tipo de datos biométricos utilizados para iniciar la consulta; f) los resultados de la consulta y la fecha y hora de los resultados. 2. Cada Estado miembro llevará un registro de las consultas de la autoridad y del personal debidamente autorizado para utilizar el PEB compartido. Cada agencia de la Unión llevará un registro de las consultas que efectúe su personal debidamente autorizado. 3. Los registros a que se refieren los apartados 1 y 2 únicamente podrán utilizarse para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de los requisitos de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que dichos procedimientos de supervisión ya no exijan dichos registros.

CAPÍTULO IV

Registro común de datos de identidad

Artículo 17 Registro común de datos de identidad 1. Se establece un registro común de datos de identidad (RCDI), que creará un expediente individual para cada persona registrada en el SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN, y contendrá los datos a que se refiere el artículo 18, con el fin de facilitar y apoyar la identificación correcta de las personas registradas en el SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN, de conformidad con el artículo 20, de apoyar el funcionamiento del DIM, de conformidad con el artículo 21, y de facilitar y racionalizar el acceso por parte de las autoridades designadas y de Europol al SES, al VIS, al SEIAV y a Eurodac, cuando sea necesario con fines de prevención, detección o investigación de delitos terroristas u otros delitos graves de conformidad con el artículo 22. 2. El RCDI se compondrá de: a) una infraestructura central que sustituirá a los sistemas centrales del SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN, respectivamente, en la medida en que deberá almacenar los datos a que se refiere el artículo 18; b) un canal de comunicación seguro entre el RCDI, los Estados miembros y las agencias de la Unión que tengan derecho a utilizar el RCDI de conformidad con el Derecho de la Unión y nacional; c) una infraestructura de comunicación segura entre el RCDI y el SES, el SEIAV el VIS, Eurodac y el ECRIS-TCN, así como las infraestructuras centrales del PEB, el SCB compartido y el DIM. 3. eu-LISA desarrollará el RCDI y garantizará su gestión técnica. 4. Cuando, a causa de un fallo del RCDI, resulte técnicamente imposible consultarlo para identificar a una persona de conformidad con el artículo 20, detectar identidades múltiples de conformidad con el artículo 21, o a efectos de prevención, detección o investigación de delitos de terrorismo u otros delitos graves de conformidad con el artículo 22, eu-LISA informará a los usuarios del RCDI de forma automatizada. 5. eu-LISA, en colaboración con los Estados miembros, desarrollará un documento de control de interfaces sobre la base del UMF a que se refiere el artículo 38 para el RCDI.

Artículo 18 Datos del registro común de datos de identidad 1. El RCDI almacenará los siguientes datos, separados de un modo lógico según el sistema de información del que provengan: a) los datos a que se refieren el artículo 16, apartado 1, letras a) a d), el artículo 17, apartado 1, letras a), b) y c), y el artículo 18, apartados 1 y 2, del Reglamento (UE) 2017/2226; b) los datos a que se refiere el artículo 9, apartados 4, letras a) a c), 5 y 6, del artículo 9 del Reglamento (CE) n.o 767/2008; c) los datos a que se refiere el artículo 17, apartado 2, letras a), a e), del Reglamento (UE) n.o 2018/1240; 2. Para cada conjunto de datos contemplado en el apartado 1, el RCDI incluirá una referencia a los sistemas de información de la UE a los que los datos pertenecen. 3. Las autoridades que accedan al RCDI deberán hacerlo de conformidad con sus derechos de acceso en virtud de los instrumentos jurídicos que rigen los sistemas de información de la UE y del Derecho nacional, y de conformidad con sus derechos de acceso en virtud del presente Reglamento, para los fines contemplados en los artículos 20, 21 y 22. 4. Para cada conjunto de datos contemplado en el apartado 1, el RCDI incluirá una referencia al registro efectivo en los sistemas de información de la UE a los que pertenecen los datos. 5. El almacenamiento de los datos mencionados en el apartado 1 cumplirá los estándares de calidad a que se refiere el artículo 37, apartado 2.

Artículo 19 Adición, modificación y eliminación de datos en el RCDI 1. Cuando se añadan, modifiquen o eliminen datos en el SES, el VIS y el SEIAV, los datos contemplados en el artículo 18 almacenados en el expediente individual del RCDI se añadirán, modificarán o eliminarán en consecuencia, de forma automatizada. 2. Cuando se cree un vínculo blanco o rojo en el DIM, de conformidad con lo dispuesto en los artículos 32 o 33, entre los datos de dos o más de los sistemas de información de la UE que constituyen el RCDI, el RCDI añadirá los nuevos datos al expediente individual de los datos vinculados, en lugar de crear un nuevo expediente individual.

Artículo 20 Acceso al registro común de datos de identidad a efectos de identificación 1. La consulta del RCDI será efectuada por una autoridad policial, de conformidad con los apartados 2 y 5, exclusivamente en las circunstancias siguientes: a) cuando una autoridad policial no sea capaz de identificar a una persona debido a la falta de un documento de viaje o de otro documento fiable que demuestre su identidad; b) cuando existan dudas sobre los datos de identidad facilitados por una persona; c) cuando existan dudas en cuanto a la autenticidad del documento de viaje u otro documento fiable facilitado por una persona; d) cuando existan dudas en cuanto a la identidad del titular de un documento de viaje o de otro documento fiable; o e) cuando la persona no pueda o se niegue a cooperar. Dicha consulta no estará permitida en el caso de menores de doce años, de no ser en el interés superior del menor. 2. Cuando se dé alguna de las circunstancias previstas en el apartado 1, y las medidas legislativas nacionales a que se refiere el apartado 5 las faculten para ello, las autoridades policiales podrán, únicamente con fines de identificación de una persona, consultar el RCDI con los datos biométricos de dicha persona tomados en vivo durante un control de identidad, siempre que el procedimiento se haya iniciado en presencia de esta. 3. Cuando la búsqueda indique que los datos de esa persona están almacenados en el RCDI, las autoridades policiales tendrán acceso para consultar los datos a que se refiere el artículo 18, apartado 1. Cuando no puedan utilizarse los datos biométricos de la persona o cuando la consulta de esos datos sea infructuosa, la consulta se llevará a cabo con los datos de identidad de dicha persona en combinación con los datos del documento de viaje, o con los datos de identidad facilitados por esa persona. 4. Cuando hayan sido habilitadas para ello en virtud de las medidas legislativas nacionales a que se refiere el apartado 6, las autoridades policiales de un Estado miembro podrán consultar el RCDI con los datos biométricos de dichas personas, en caso de catástrofe natural, accidente o ataque terrorista, y únicamente con el fin de identificar a personas desconocidas que no puedan identificarse o restos humanos no identificados. 5. Los Estados miembros que deseen acogerse a la posibilidad prevista en el apartado 2 adoptarán medidas legislativas nacionales al efecto. Al hacerlo, los Estados miembros tendrán en cuenta la necesidad de evitar cualquier discriminación de los nacionales de terceros países. Esas medidas legislativas especificarán los objetivos precisos de la identificación dentro de los fines mencionados en el artículo 2, apartado 1, letras b) y c). Designarán a las autoridades policiales competentes y establecerán los procedimientos, condiciones y criterios de dichos controles. 6. Los Estados miembros que deseen hacer uso de la posibilidad prevista en el apartado 4 adoptarán medidas legislativas nacionales que establezcan los procedimientos, las condiciones y los criterios.

Artículo 21 Acceso al registro común de datos de identidad para la detección de identidades múltiples 1. Cuando una consulta del RCDI dé lugar a un vínculo amarillo de conformidad con el artículo 28, apartado 4, la autoridad responsable de la verificación manual de identidades diferentes de conformidad con el artículo 29, podrá acceder, únicamente a efectos de dicha verificación, a los datos a que se refiere el artículo 18, apartados 1 y 2, almacenados en el RCDI conectados por un vínculo amarillo. 2. Cuando una consulta del RCDI resulte en un vínculo rojo de conformidad con el artículo 32, las autoridades a que se refiere el artículo 26, apartado 2, podrán acceder, únicamente a efectos de combatir la usurpación de identidad, a los datos a que se refiere el artículo 18, apartados 1 y 2, almacenados en el RCDI pertenecientes a los distintos sistemas de información de la UE conectados por un vínculo rojo.

Artículo 22 Consulta del registro común de datos de identidad con fines de prevención, detección o investigación de delitos de terrorismo u otros delitos graves 1. En un caso específico, las autoridades designadas y Europol podrán consultar el RCDI cuando existan motivos razonables para creer que la consulta de los sistemas de información de la UE contribuirá a la prevención, detección o investigación de los delitos de terrorismo u otros delitos graves, en particular cuando exista una sospecha fundada de que el sospechoso, autor o víctima de un delito de terrorismo u otro delito grave es una persona cuyos datos se almacenan en el SES, el VIS y el SEIAV, para obtener información sobre si en el SES, el VIS o el SEIAV se encuentran datos sobre una persona específica. 2. Cuando, en respuesta a una consulta, el RCDI indique que existen datos sobre esa persona en el SES, el VIS o el SEIAV, el RCDI proporcionará a las autoridades designadas y a Europol una respuesta en forma de referencia al amparo del artículo 18, apartado 2, que indique cuál de los sistemas de información contiene los datos objeto de correspondencia. El RCDI responderá de manera que la seguridad de los datos no se vea comprometida. La respuesta en la que se indique si los datos sobre esa persona se encuentran en alguno de los sistemas de información de la UE a que se refiere el apartado 1 se utilizará únicamente a los efectos de la presentación de una solicitud de pleno acceso con arreglo a las condiciones y procedimientos establecidos en los instrumentos jurídicos respectivos que rigen dicho acceso. En caso de una correspondencia o de múltiples correspondencias, la autoridad designada o Europol presentará una solicitud de pleno acceso al menos a uno de los sistemas de información con los que se haya generado una correspondencia. Cuando, con carácter excepcional, no se solicite el pleno acceso, las autoridades designadas deberán consignar, de forma localizable en el fichero nacional, la justificación para no hacerlo y Europol registrará la justificación en el expediente correspondiente. 3. El pleno acceso a los datos contenidos en el SES, el VIS o el SEIAV para los fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves seguirá estando sujeto a las condiciones y los procedimientos establecidos en los respectivos instrumentos jurídicos que rijan dicho acceso.

Artículo 23 Conservación de los datos en el registro común de datos de identidad 1. Los datos a que se refiere el artículo 18, apartados 1, 2 y 4, se eliminarán del RCDI de forma automatizada de conformidad con las disposiciones de conservación de los datos de los Reglamentos (UE) 2017/2226, (CE) n.o 767/2008 y (UE) 2018/1240 respectivamente. 2. El expediente individual se almacenará en el RCDI sólo durante el mismo tiempo que los datos correspondientes permanezcan almacenados en al menos uno de los sistemas de información de la UE cuyos datos estén contenidos en el RCDI. La creación de un vínculo no afectará al periodo de conservación de cada uno de los datos vinculados.

Artículo 24 Conservación de registros 1. Sin perjuicio del artículo 46 del Reglamento (UE) 2017/2226, el artículo 34 del Reglamento (CE) n.o 767/2008 y el artículo 69 del Reglamento (UE) 2018/1240, eu-LISA conservará los registros de todas las operaciones de tratamiento de datos dentro del RCDI de conformidad con los apartados 2, 3 y 4 del presente artículo. 2. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos con arreglo al artículo 20 en el RCDI. Dichos registros incluirán lo siguiente: a) el Estado miembro o la agencia de la Unión que inicie la consulta; b) la finalidad del acceso del usuario que realice la consulta a través del RCDI; c) la fecha y hora de la consulta; d) el tipo de datos utilizados para iniciar la consulta; e) los resultados de la consulta; 3. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos con arreglo al artículo 21 en el RCDI. Dichos registros incluirán lo siguiente: a) el Estado miembro o la agencia de la Unión que inicie la consulta; b) la finalidad del acceso del usuario que realice la consulta a través del RCDI; c) la fecha y hora de la consulta; d) cuando se genere un vínculo, el tipo de datos utilizados para iniciar la consulta y los resultados de la consulta indicando el sistema de información de la UE del que se recibieron los datos; 4. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos con arreglo al artículo 22 en el RCDI. Dichos registros incluirán lo siguiente: a) la fecha y hora de la consulta; b) los datos utilizados para iniciar la consulta; c) los resultados de la consulta; d) el Estado miembro o la agencia de la Unión que consulte el RCDI. La autoridad de control competente de conformidad con el artículo 41 de la Directiva (UE) 2016/680, o el Supervisor Europeo de Protección de Datos de conformidad con el artículo 43 del Reglamento (UE) 2016/794, verificará periódicamente los registros de dichos accesos, a intervalos no superiores a seis meses, con el fin de cerciorarse del cumplimiento de los procedimientos y condiciones establecidos en el artículo 22, apartados 1 y 2 del presente Reglamento. 5. Cada Estado miembro conservará los registros de las consultas que efectúen sus autoridades y el personal de esas autoridades debidamente autorizadas para utilizar el RCDI en virtud de los artículos 20, 21 y 22. Cada agencia de la Unión llevará registros de las consultas que efectúe su personal debidamente autorizado en virtud de los artículos 21 y 22. Además, para cualquier acceso al RCDI con arreglo al artículo 22, cada Estado miembro conservará los registros siguientes: a) el número de referencia del expediente nacional; b) el motivo del acceso; c) de conformidad con las normas nacionales, el nombre único de usuario del funcionario que haya efectuado la búsqueda y el del funcionario que haya pedido la búsqueda. 6. Con arreglo al Reglamento (UE) 2016/794, para cualquier acceso al RCDI con arreglo al artículo 22 del presente Reglamento, Europol conservará registros de la identidad del usuario único del funcionario que haya realizado la consulta y del funcionario que haya encargado la consulta. 7. Los registros contemplados en los apartados 2, a 6 únicamente podrán utilizarse para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de las condiciones de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que los procedimientos de supervisión ya no exijan dichos registros. 8. eu-LISA conservará los registros relativos al historial de los datos en expedientes individuales. eu-LISA suprimirá esos registros de forma automatizada, una vez que se hayan suprimido esos datos.

CAPÍTULO V

Detector de identidades múltiples

Artículo 25 Detector de identidades múltiples 1. A fin de apoyar el funcionamiento del RCDI y la consecución de los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN, se establece un detector de identidades múltiples (DIM), para crear y almacenar los expedientes de confirmación de identidad a que se refiere el artículo 34, que contenga vínculos entre los datos de los sistemas de información de la UE incluidos en el RCDI y en el SIS y permita la detección de identidades múltiples, con el doble objetivo de facilitar los controles de identidad y combatir la usurpación de identidad 2. El DIM se compondrá de: a) una infraestructura central, que almacenará los vínculos y las referencias a los sistemas de información de la UE; b) una infraestructura de comunicación segura que conecte el DIM con el SIS y las infraestructuras centrales del PEB y el RCDI. 3. eu-LISA desarrollará el DIM y garantizará su gestión técnica.

Artículo 26 Acceso al detector de identidades múltiples 1. A los efectos de la verificación manual de las identidades diferentes a que se refiere el artículo 29, se concederá el acceso a los datos contemplados en el artículo 34 almacenados en el DIM a: a) las autoridades competentes designadas de acuerdo con el artículo 9, apartado 2, del Reglamento (UE) n.o 2017/2226 cuando creen o actualicen un expediente individual en el VIS de conformidad con el artículo 14 de dicho Reglamento; b) las autoridades de visados a que se refiere el artículo 6, apartado 1, del Reglamento (CE) n.o 767/2008 cuando creen o actualicen un expediente individual en el VIS de conformidad con dicho Reglamento; c) la unidad central SEIAV y las unidades nacionales SEIAV, cuando lleven a cabo el tratamiento a que se refieren los artículos 22 y 26 de dicho Reglamento; d) la oficina SIRENE del Estado miembro que cree o actualice una descripción en el SIS de conformidad con los Reglamentos (UE) 2018/1861 y (UE) 2018/1861; 2. Las autoridades de los Estados miembros y las agencias de la Unión que tengan acceso a, como mínimo, un sistema de información de la UE incluido en el RDCI o al SIS tendrán acceso a los datos a que se refiere el artículo 34, letras a) y b), en lo relativo a los vínculos rojos según lo dispuesto en el artículo 32. 3. Las autoridades de los Estados miembros y las agencias de la Unión tendrán acceso a los vínculos blancos mencionados en el artículo 33 cuando tengan acceso a los dos sistemas de información de la UE que contengan los datos entre los que se haya establecido el vínculo blanco. 4. Las autoridades de los Estados miembros y las agencias de la Unión tendrán acceso a los vínculos verdes a que se refiere el artículo 31 cuando tengan acceso a los dos sistemas de información de la UE que contengan los datos entre los que se haya establecido el vínculo verde y una consulta de dichos sistemas de información haya revelado una correspondencia con los dos conjuntos de datos relacionados.

Artículo 27 Detector de identidades múltiples 1. Se iniciará una detección de identidades múltiples en el RCDI y el SIS cuando: a) se cree o actualice un expediente individual en el SES de conformidad con el artículo 14 del Reglamento (UE) 2017/2226; b) se cree o actualice un expediente individual en el VIS de conformidad con el Reglamento (CE) n.o 767/2008; c) se cree o actualice un expediente individual en el VIS de conformidad con el artículo 19 del Reglamento (UE) 2018/1240; d) se cr