02018R1861 — FR — 11.06.2019 — 001.001

Ce texte constitue seulement un outil de documentation et n’a aucun effet juridique. Les institutions de l'Union déclinent toute responsabilité quant à son contenu. Les versions faisant foi des actes concernés, y compris leurs préambules, sont celles qui ont été publiées au Journal officiel de l’Union européenne et sont disponibles sur EUR-Lex. Ces textes officiels peuvent être consultés directement en cliquant sur les liens qui figurent dans ce document

Modifié par:









▼B

RÈGLEMENT (UE) 2018/1861 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 28 novembre 2018

sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine des vérifications aux frontières, modifiant la convention d'application de l'accord de Schengen et modifiant et abrogeant le règlement (CE) no 1987/2006







CHAPITRE I

DISPOSITIONS GÉNÉRALES

Article premier

Objectif général du SIS

L'objet du SIS est d'assurer un niveau élevé de sécurité dans l'espace de liberté, de sécurité et de justice de l'Union, y compris la préservation de la sécurité publique et de l'ordre public et la sauvegarde de la sécurité sur les territoires des États membres, et d'assurer l'application des dispositions de la troisième partie, titre V, chapitre 2, du traité sur le fonctionnement de l'Union européenne relatives à la libre circulation des personnes sur les territoires des États membres, à l'aide des informations transmises par ce système.

Article 2

Objet

1. Le présent règlement établit les conditions et les procédures relatives à l'introduction et au traitement dans le SIS des signalements concernant des ressortissants de pays tiers, et à l'échange d'informations supplémentaires et de données complémentaires aux fins de non-admission et d'interdiction de séjour sur le territoire des États membres.

2. Le présent règlement prévoit également des dispositions concernant l'architecture technique du SIS, les responsabilités incombant aux États membres et à l'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (ci-après dénommée «eu-LISA»), le traitement des données, les droits des personnes concernées et la responsabilité.

Article 3

Définitions

Aux fins du présent règlement, on entend par:

1) «signalement» : un ensemble de données introduites dans le SIS permettant aux autorités compétentes d'identifier une personne en vue de tenir une conduite particulière à son égard;

2) «informations supplémentaires» : les informations ne faisant pas partie des données d'un signalement stockées dans le SIS, mais en rapport avec des signalements dans le SIS, qui doivent être échangées par l'intermédiaire des bureaux SIRENE: a) afin de permettre aux États membres de se consulter ou de s'informer mutuellement lors de l'introduction d'un signalement; b) à la suite d'une réponse positive afin que la conduite requise puisse être exécutée; c) en cas d'impossibilité d'exécuter la conduite requise; d) en ce qui concerne la qualité des données du SIS; e) en ce qui concerne la compatibilité des signalements et leur ordre de priorité; f) en ce qui concerne l'exercice du droit d'accès;

3) «données complémentaires» : les données stockées dans le SIS en rapport avec des signalements dans le SIS, qui doivent être immédiatement accessibles aux autorités compétentes lorsqu'une personne au sujet de laquelle des données ont été introduites dans le SIS est localisée à la suite d'une recherche effectuée dans le SIS;

4) «ressortissant de pays tiers» : toute personne qui n'est pas citoyen de l'Union au sens de l'article 20, paragraphe 1, du traité sur le fonctionnement de l'Union européenne, à l'exception des personnes qui sont bénéficiaires, en vertu d'accords conclus entre l'Union, ou l'Union et ses États membres, d'une part, et des pays tiers, d'autre part, de droits en matière de libre circulation équivalents à ceux des citoyens de l'Union;

5) «données à caractère personnel» : les données à caractère personnel au sens de l'article 4, point 1), du règlement (UE) 2016/679;

6) «traitement de données à caractère personnel» : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'enregistrement dans un registre, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction;

7) «correspondance» : la succession des étapes suivantes: a) une recherche a été effectuée dans le SIS par un utilisateur final; b) cette recherche a révélé l'existence d'un signalement introduit dans le SIS par un autre État membre; et c) les données relatives au signalement introduit dans le SIS correspondent aux données de la recherche;

8) «réponse positive» : une correspondance qui satisfait aux critères suivants: a) elle a été confirmée par: i) l'utilisateur final; ou ii) l'autorité compétente conformément aux procédures nationales, lorsque la correspondance en question était fondée sur la comparaison de données biométriques; et b) une conduite complémentaire est demandée;

9) «État membre signalant» : l'État membre qui a introduit le signalement dans le SIS;

10) «État membre d'octroi» : l'État membre qui envisage d'octroyer ou de prolonger un titre de séjour ou un visa de long séjour, ou qui a octroyé ou prolongé un titre de séjour ou un visa de long séjour, et qui participe à la procédure de consultation avec un autre État membre;

11) «État membre d'exécution» : l'État membre qui exécute ou a exécuté la conduite demandée à la suite d'une réponse positive;

12) «utilisateur final» : un membre du personnel d'une autorité compétente autorisé à effectuer des recherches directement dans le CS-SIS, le N.SIS ou dans une copie technique de ceux-ci;

13) «données biométriques» : les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques ou physiologiques d'une personne physique, qui permettent ou confirment son identification unique à savoir les photographies, les images faciales et les données dactyloscopiques;

14) «données dactyloscopiques» : les données relatives aux empreintes digitales et empreintes palmaires qui, en raison de leur caractère unique et des points de référence qu'elles contiennent, permettent de réaliser des comparaisons précises et concluantes en ce qui concerne l'identité d'une personne;

15) «image faciale» : les images numériques du visage, d'une résolution et d'une qualité d'image suffisantes pour servir à l'établissement automatisé de correspondances biométriques;

16) «retour» : le retour au sens de l'article 3, point 3), de la directive 2008/115/CE;

17) «interdiction d'entrée» : l'interdiction d'entrée au sens de l'article 3, point 6), de la directive 2008/115/CE;

18) «infractions terroristes» : les infractions prévues par le droit national visées aux articles 3 à 14 de la directive (UE) 2017/541 du Parlement européen et du Conseil ( 1 ) ou qui sont équivalentes à l'une de ces infractions pour les États membres qui ne sont pas liés par cette directive;

19) «titre de séjour» : un titre de séjour au sens de l'article 2, point 16), du règlement (UE) 2016/399 du Parlement européen et du Conseil ( 2 );

20) «visa de long séjour» : un visa de long séjour tel qu'il est visé à l'article 18, point 1, de la convention d'application de l'accord de Schengen;

21) «menace pour la santé publique» : une menace pour la santé publique au sens de l'article 2, point 21), du règlement (UE) 2016/399;

▼M1

22) «ESP» : le portail de recherche européen créé par l'article 6, paragraphe 1, du règlement (UE) 2019/817 du Parlement européen et du Conseil ( 3 );

23) «BMS partagé» : le service partagé d'établissement de correspondances biométriques établi par l'article 12, paragraphe 1, du règlement (UE) 2019/817;

24) «CIR» : le répertoire commun de données d'identité établi par l'article 17, paragraphe 1, du règlement (UE) 2019/817;

25) «MID» : le détecteur d'identités multiples établi par l'article 25, paragraphe 1, du règlement (UE) 2019/817.

▼B

Article 4

Architecture technique et mode de fonctionnement du SIS

1. Le SIS se compose:

a) d'un système central (ci-après dénommé «SIS central») comprenant:

i) une fonction de support technique (ci-après dénommée «CS-CIS») contenant une base de données (ci-après dénommée «base de données du SIS»), et comprenant un CS-SIS de secours;

ii) une interface nationale uniforme (ci-après dénommée «NI-SIS»);

▼M1

b) d'un système national (ci-après dénommé «N.SIS») dans chaque État membre, constitué des systèmes de données nationaux reliés au SIS central, y compris au moins un N.SIS de secours national ou partagé;

c) d'une infrastructure de communication entre le CS-SIS, le CS-SIS de secours et le NI-SIS de secours (ci-après dénommée «infrastructure de communication»), fournissant un réseau virtuel crypté consacré aux données du SIS et à l'échange de données entre les bureaux SIRENE visés à l'article 7, paragraphe 2; et

d) d'une infrastructure de communication sécurisée entre le CS-SIS et les infrastructures centrales de l'ESP, du BMS partagé et du MID.

▼B

Un N.SIS, tel que visé au point b), peut contenir un fichier de données (ci-après dénommé «copie nationale») comportant une copie complète ou partielle de la base de données du SIS. Deux États membres ou plus peuvent mettre en place dans l'un de leurs N.SIS une copie partagée qui peut être utilisée conjointement par ces États membres. Cette copie partagée est considérée comme la copie nationale de chacun de ces États membres.

Un N.SIS de secours partagé, tel que visé au point b), peut être utilisé conjointement par deux États membres ou plus. Dans de tels cas, le N.SIS de secours partagé est considéré comme le N.SIS de secours de chacun de ces États membres. Le N.SIS et le N.SIS de secours peuvent être utilisés simultanément en vue d'assurer la disponibilité continue pour les utilisateurs finaux.

Les États membres souhaitant mettre en place une copie partagée ou un N.SIS de secours partagé à utiliser conjointement conviennent par écrit de leurs responsabilités respectives. Ils notifient leur arrangement à la Commission.

L'infrastructure de communication apporte son soutien et sa contribution pour assurer la disponibilité continue du SIS. Elle comprend des chemins redondants et séparés pour les connexions entre le CS-SIS et le CS-SIS de secours, ainsi que des chemins redondants et séparés pour les connexions entre chaque point d'accès national du réseau au SIS et le CS-SIS et le CS-SIS de secours.

2. Les États membres introduisent, mettent à jour, et suppriment les données du SIS et effectuent des recherches dans les données du SIS par l'intermédiaire de leur propre N.SIS. Les États membres utilisant une copie nationale partielle ou complète ou une copie partagée partielle ou complète mettent cette copie à disposition pour effectuer des recherches automatisées sur le territoire de chacun de ces États membres. La copie nationale partielle ou la copie partagée partielle contient au moins les données énumérées à l'article 20, paragraphe 2, points a) à v). Il n'est pas possible d'effectuer des recherches dans les fichiers de données des N.SIS des autres États membres, sauf s'il s'agit de copies partagées.

3. Le CS-SIS assure des fonctions techniques de contrôle et de gestion et dispose d'un CS-SIS de secours capable d'assurer l'ensemble des fonctionnalités du CS-SIS principal en cas de défaillance de ce système. Le CS-SIS et le CS-SIS de secours sont situés sur les deux sites techniques de l'eu-LISA.

4. L'eu-LISA met en œuvre des solutions techniques pour renforcer la disponibilité continue du SIS, soit par le fonctionnement simultané du CS-SIS et du CS-SIS de secours, pour autant que le CS-SIS de secours demeure capable d'assurer le fonctionnement du SIS en cas de défaillance du CS-SIS, soit par la duplication du système ou de ses éléments. Nonobstant les exigences de procédure fixées à l'article 10 du règlement (UE) 2018/1726, l'eu-LISA réalise, au plus tard le 28 décembre 2019, une étude sur les options de solutions techniques, comportant une analyse d'impact indépendante et une analyse coûts/avantages.

5. Si nécessaire dans des circonstances exceptionnelles, l'eu-LISA peut provisoirement mettre en place une copie supplémentaire de la base de données du SIS.

6. Le CS-SIS assure les services nécessaires à l'introduction et au traitement des données du SIS, y compris les recherches dans la base de données du SIS. Pour les États membres qui utilisent une copie nationale ou partagée, le CS-SIS assure:

a) les mises à jour en ligne des copies nationales;

b) la synchronisation et la cohérence entre les copies nationales et la base de données du SIS; et

c) les opérations d'initialisation et de restauration des copies nationales.

7. Le CS-SIS assure une disponibilité continue.

▼M1

8. Sans préjudice des paragraphes 1 à 5, les données du SIS peuvent faire l'objet de recherches par l'intermédiaire de l'ESP.

9. Sans préjudice des paragraphes 1 à 5, les données du SIS peuvent également être transmises par l'intermédiaire de l'infrastructure de communication sécurisée visée au paragraphe 1, point d). Ces transmissions sont limitées dans la mesure dans laquelle les données sont nécessaires pour les finalités du règlement (UE) 2019/817.

▼B

Article 5

Coûts

1. Les coûts d'exploitation, de maintenance et de développement ultérieur du SIS central et de l'infrastructure de communication sont à la charge du budget général de l'Union. Ces coûts couvrent les travaux effectués en ce qui concerne le CS-SIS afin d'assurer la fourniture des services visés à l'article 4, paragraphe 6.

2. Des fonds sont alloués à partir de l'enveloppe de 791 000 000 EUR prévue à l'article 5, paragraphe 5, point b), du règlement (UE) no 515/2014 pour couvrir les coûts de mise en œuvre du présent règlement.

3. Il est alloué à l'eu-LISA un montant de 31 098 000 EUR à partir de l'enveloppe visée au paragraphe 2, sans préjuger d'autres financements à cette fin à partir d'autres sources du budget général de l'Union. Ce financement est mis en œuvre dans le cadre d'une gestion indirecte et contribue à la réalisation des évolutions techniques requises au titre du présent règlement en ce qui concerne le SIS central et l'infrastructure de communication ainsi que les activités de formation y afférentes.

4. Les États membres participant au règlement (UE) no 515/2014 reçoivent, à partir de l'enveloppe visée au paragraphe 2, une dotation supplémentaire globale de 36 810 000 EUR à distribuer à parts égales sous la forme de montant forfaitaire s'ajoutant à leur dotation de base. Ce financement est mis en œuvre dans le cadre d'une gestion partagée et il est entièrement destiné à la mise à niveau rapide et efficace des systèmes nationaux concernés conformément aux exigences du présent règlement.

5. Les coûts de mise en place, d'exploitation, de maintenance et de développement ultérieur de chaque N.SIS sont à la charge de l'État membre concerné.







CHAPITRE II

RESPONSABILITÉS INCOMBANT AUX ÉTATS MEMBRES

Article 6

Systèmes nationaux

Chaque État membre est chargé de mettre en place, d'exploiter et de continuer à développer son N.SIS, ainsi que d'en assurer la maintenance, et de le connecter au NI-SIS.

Chaque État membre assume la responsabilité de garantir aux utilisateurs finaux une disponibilité continue des données du SIS.

Chaque État membre transmet ses signalements par l'intermédiaire de son N.SIS.

Article 7

Office N.SIS et bureau SIRENE

1. Chaque État membre désigne une autorité (ci-après dénommée «office N.SIS») qui assume la responsabilité centrale de son N.SIS.

Cette autorité est responsable du bon fonctionnement et de la sécurité du N.SIS, fait en sorte que les autorités compétentes aient accès au SIS et prend les mesures nécessaires pour assurer le respect du présent règlement. Elle est chargée de veiller à ce que toutes les fonctionnalités du SIS soient dûment mises à la disposition des utilisateurs finaux.

2. Chaque État membre désigne une autorité nationale qui est pleinement opérationnelle 24 heures sur 24 et 7 jours sur 7 et qui assure l'échange et la disponibilité de toutes les informations supplémentaires (ci-après dénommée «bureau SIRENE»), conformément au manuel SIRENE. Chaque bureau SIRENE sert de point de contact unique pour son État membre pour l'échange des informations supplémentaires concernant les signalements et pour faciliter les conduites à tenir demandées lorsque des signalements concernant des personnes ont été introduits dans le SIS et que ces personnes sont localisées à la suite d'une réponse positive.

Chaque bureau SIRENE dispose, dans le respect du droit national, d'un accès facile direct ou indirect à toutes les informations nationales pertinentes, y compris aux bases de données nationales et à toutes les informations sur les signalements de son État membre, ainsi qu'aux avis d'experts, afin d'être à même de réagir aux demandes d'informations supplémentaires rapidement et dans les délais prévus à l'article 8.

Les bureaux SIRENE coordonnent la vérification de la qualité des informations introduites dans le SIS. À ces fins, ils ont accès aux données traitées dans le SIS.

▼M1

2 bis. Les bureaux SIRENE assurent également la vérification manuelle des identités différentes conformément à l'article 29 du règlement (UE) 2019/817. Dans la mesure nécessaire à l'accomplissement de cette tâche, les bureaux SIRENE ont accès aux données stockées dans le CIR et le MID aux fins prévues aux articles 21 et 26 du règlement (UE) 2019/817.

▼B

3. Les États membres communiquent à l'eu-LISA les coordonnées de leur office N.SIS et de leur bureau SIRENE. L'eu-LISA publie la liste des offices N.SIS et des bureaux SIRENE ainsi que la liste visée à l'article 41, paragraphe 8.

Article 8

Échange d'informations supplémentaires

1. Les informations supplémentaires sont échangées conformément aux dispositions du manuel SIRENE et au moyen de l'infrastructure de communication. Les États membres fournissent les moyens techniques et humains nécessaires pour assurer la disponibilité continue et l'échange rapide et efficace d'informations supplémentaires. Au cas où l'infrastructure de communication ne serait pas accessible, les États membres utilisent d'autres moyens techniques correctement sécurisés pour échanger des informations supplémentaires. Une liste des moyens techniques correctement sécurisés figure dans le manuel SIRENE.

2. Les informations supplémentaires ne sont utilisées qu'aux fins auxquelles elles ont été transmises conformément à l'article 49, à moins que l'État membre signalant n'ait consenti au préalable à une autre utilisation.

3. Les bureaux SIRENE s'acquittent de leurs tâches de manière rapide et efficace, notamment en répondant aux demandes d'informations supplémentaires dans les meilleurs délais, mais au plus tard 12 heures après la réception de la demande.

Les formulaires SIRENE concernant des demandes d'informations supplémentaires présentant la priorité la plus élevée portent la mention «URGENT» et les motifs de l'urgence sont précisés.

4. La Commission adopte des actes d'exécution pour établir les modalités relatives aux tâches confiées aux bureaux SIRENE en vertu du présent règlement et à l'échange d'informations supplémentaires sous la forme d'un manuel intitulé «manuel SIRENE». Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

Article 9

Conformité technique et fonctionnelle

1. Pour permettre une transmission rapide et efficace des données, chaque État membre respecte, lors de la création de son N.SIS, les normes communes, les protocoles et les procédures techniques établis afin de permettre la compatibilité de son N.SIS avec le SIS central.

2. Si un État membre utilise une copie nationale, il veille, au moyen des services fournis par le CS-SIS et des mises à jour automatiques visées à l'article 4, paragraphe 6, à ce que les données stockées dans la copie nationale soient identiques à la base de données du SIS et compatibles avec elle, et à ce qu'une recherche dans cette copie nationale produise un résultat équivalent à celui d'une recherche dans la base de données du SIS.

3. Les utilisateurs finaux reçoivent les données dont ils ont besoin pour s'acquitter de leurs tâches, en particulier, et si nécessaire, toutes les données disponibles permettant d'identifier la personne concernée et d'exécuter la conduite à tenir demandée.

4. Les États membre et l'eu-LISA réalisent régulièrement des tests pour vérifier la conformité technique des copies nationales visées au paragraphe 2. Les résultats de ces tests sont pris en considération dans le cadre du mécanisme instauré par le règlement (UE) no 1053/2013 du Conseil ( 4 ).

5. La Commission adopte des actes d'exécution pour établir et préciser les normes communes, les protocoles et les procédures techniques visés au paragraphe 1 du présent article. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

Article 10

Sécurité — États membres

1. Chaque État membre adopte, pour son N.SIS, les mesures, dont un plan de sécurité, un plan de continuité des opérations et un plan de rétablissement après sinistre, nécessaires pour:

a) assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques;

b) empêcher l'accès de toute personne non autorisée aux installations utilisées pour le traitement de données à caractère personnel (contrôle de l'accès aux installations);

c) empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données (contrôle des supports de données);

d) empêcher l'introduction non autorisée de données ainsi que le contrôle, la modification ou la suppression non autorisés de données à caractère personnel stockées (contrôle du stockage);

e) empêcher l'utilisation des systèmes de traitement automatisé de données par des personnes non autorisées au moyen de matériel de transmission de données (contrôle des utilisateurs);

f) empêcher le traitement non autorisé de données dans le SIS et toute modification ou tout effacement non autorisés de données traitées dans le SIS (contrôle de la saisie des données);

g) garantir que les personnes autorisées à utiliser un système de traitement automatisé de données ne puissent avoir accès qu'aux données couvertes par leur autorisation d'accès, uniquement grâce à des identifiants d'utilisateur individuels et uniques et à des modes d'accès confidentiels (contrôle de l'accès aux données);

h) s'assurer que toutes les autorités ayant un droit d'accès au SIS ou aux installations de traitement de données créent des profils décrivant les fonctions et responsabilités des personnes autorisées à avoir accès aux données, à les introduire, à les mettre à jour, et à les supprimer et à effectuer des recherches dans ces données et mettent sans tarder, et à leur demande, ces profils à la disposition des autorités de contrôle visées à l'article 55, paragraphe 1 (profils des membres du personnel);

i) garantir la possibilité de vérifier et d'établir à quels organismes des données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données (contrôle de la transmission);

j) garantir la possibilité de vérifier et d'établir a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé de données, à quel moment, par qui et à quelle fin (contrôle de l'introduction);

k) empêcher toute lecture, copie, modification ou suppression non autorisées de données à caractère personnel pendant la transmission de données à caractère personnel ou durant le transport de supports de données, en particulier au moyen de techniques de cryptage adaptées (contrôle du transport);

l) contrôler l'efficacité des mesures de sécurité prévues au présent paragraphe et prendre les mesures organisationnelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement (autocontrôle);

m) garantir le rétablissement des systèmes installés en cas d'interruption (rétablissement); et

n) garantir que le SIS exécute correctement ses fonctions, que les erreurs soient signalées (fiabilité) et que les données à caractère personnel stockées dans le SIS ne puissent pas être corrompues par le dysfonctionnement du système (intégrité).

2. Les États membres prennent des mesures équivalentes à celles visées au paragraphe 1 pour assurer la sécurité du traitement et de l'échange d'informations supplémentaires, y compris par la sécurisation des locaux des bureaux SIRENE.

3. Les États membres prennent des mesures équivalentes à celles visées au paragraphe 1 du présent article pour assurer la sécurité du traitement des données du SIS effectué par les autorités visées à l'article 34.

4. Les mesures décrites aux paragraphes 1, 2 et 3 peuvent faire partie d'une approche et d'un plan de sécurité génériques au niveau national englobant des systèmes informatiques multiples. Dans de tels cas, les exigences énoncées au présent article et leur applicabilité au SIS sont clairement identifiables dans ce plan et respectées par ce plan.

Article 11

Confidentialité — États membres

1. Chaque État membre applique à l'égard de toutes les personnes et de tous les organismes appelés à travailler avec des données du SIS et des informations supplémentaires ses règles en matière de secret professionnel ou leur impose des obligations de confidentialité équivalentes, conformément à son droit national. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après que ces organismes ont cessé leur activité.

2. Lorsqu'un État membre coopère avec des prestataires externes sur toute tâche liée au SIS, il suit de près les activités des prestataires afin de veiller au respect de l'ensemble des dispositions du présent règlement, notamment en ce qui concerne la sécurité, la confidentialité et la protection des données.

3. La gestion opérationnelle des N.SIS ou de copies techniques n'est en aucun cas confiée à une entreprise ou organisation privée.

Article 12

Tenue de registres au niveau national

▼M1

1. Les États membres veillent à ce que chaque accès à des données à caractère personnel et tout échange de ces données avec le CS-SIS soient consignés dans leur N.SIS afin de pouvoir contrôler la licéité de la consultation et la licéité du traitement des données, d'assurer un autocontrôle et le bon fonctionnement du N.SIS, ainsi que l'intégrité et la sécurité des données. Cette exigence n'est pas applicable aux traitements automatiques visés à l'article 4, paragraphe 6, points a), b) et c).

Les États membres veillent à ce que chaque accès à des données à caractère personnel par l'intermédiaire de l'ESP soit également consigné afin de pouvoir contrôler la licéité de la consultation et la licéité du traitement des données, d'assurer un autocontrôle, ainsi que l'intégrité et la sécurité des données.

▼B

2. Les registres indiquent, en particulier, l'historique du signalement, la date et l'heure de l'opération de traitement des données, les données utilisées pour effectuer une recherche, la référence aux données traitées et les identifiants d'utilisateur individuels et uniques de l'autorité compétente et de la personne traitant les données.

3. Par dérogation au paragraphe 2 du présent article, si la recherche est effectuée à l'aide de données dactyloscopiques ou d'une image faciale conformément à l'article 33, les registres indiquent le type de données utilisées pour effectuer la recherche au lieu des données réelles.

4. Les registres ne sont utilisés qu'aux fins visées au paragraphe 1 et sont supprimés trois ans après leur création. Les registres contenant l'historique des signalements sont supprimés trois ans après la suppression des signalements.

5. Les registres peuvent être conservés au-delà des périodes visées au paragraphe 4 s'ils sont nécessaires à des procédures de contrôle déjà engagées.

6. Les autorités nationales compétentes chargées de contrôler la licéité des recherches et la licéité des traitements de données, d'assurer un autocontrôle et le bon fonctionnement du N.SIS, et de garantir l'intégrité et la sécurité des données, ont accès aux registres, dans les limites de leurs compétences et sur demande, afin de pouvoir s'acquitter de leurs tâches.

Article 13

Autocontrôle

Les États membres veillent à ce que chaque autorité autorisée à avoir accès aux données du SIS prenne les mesures nécessaires pour se conformer au présent règlement et coopère, si nécessaire, avec l'autorité de contrôle.

Article 14

Formation du personnel

1. Avant d'être autorisé à traiter des données stockées dans le SIS, puis à intervalles réguliers après avoir obtenu l'accès à ces données, le personnel des autorités qui a un droit d'accès au SIS reçoit une formation appropriée sur la sécurité des données, sur les droits fondamentaux, dont les règles en matière de protection des données, et sur les règles et procédures relatives au traitement des données énoncées dans le manuel SIRENE. Le personnel est informé de toute disposition pertinente relative aux infractions pénales et aux sanctions, dont celles prévues à l'article 59.

2. Les États membres disposent d'un programme de formation SIS national qui comporte une formation pour les utilisateurs finaux ainsi que pour le personnel des bureaux SIRENE.

Ce programme de formation peut faire partie d'un programme de formation général au niveau national englobant des formations dans d'autres domaines pertinents.

3. Des formations communes sont organisées au niveau de l'Union au moins une fois par an pour renforcer la coopération entre les bureaux SIRENE.







CHAPITRE III

RESPONSABILITÉS DE L'eu-LISA

Article 15

Gestion opérationnelle

1. L'eu-LISA est chargée de la gestion opérationnelle du SIS central. Elle veille, en coopération avec les États membres, à ce que le SIS central utilise en permanence la meilleure technologie disponible, sous réserve d'une analyse coûts/avantages.

2. Il incombe également à l'eu-LISA d'assumer les tâches ci-après en ce qui concerne l'infrastructure de communication:

a) la supervision;

b) la sécurité;

c) la coordination des relations entre les États membres et le fournisseur;

d) les tâches relatives à l'exécution du budget;

e) l'acquisition et le renouvellement; et

f) les questions contractuelles.

3. L'eu-LISA est également chargée des tâches ci-après en ce qui concerne les bureaux SIRENE et la communication entre les bureaux SIRENE:

a) la coordination, la gestion et le soutien des activités de test;

b) la gestion et la mise à jour des spécifications techniques relatives à l'échange d'informations supplémentaires entre les bureaux SIRENE et l'infrastructure de communication; et

c) la gestion des effets des modifications techniques lorsqu'elles ont une incidence à la fois sur le SIS et sur les échanges d'informations supplémentaires entre les bureaux SIRENE.

4. L'eu-LISA élabore et gère un dispositif et des procédures de contrôle de qualité des données du CS-SIS. Elle présente, à intervalles réguliers, des rapports aux États membres à cet effet.

L'eu-LISA présente à la Commission, à intervalles réguliers, un rapport indiquant les problèmes rencontrés et les États membres concernés.

La Commission présente au Parlement européen et au Conseil, à intervalles réguliers, un rapport sur les problèmes rencontrés quant à la qualité des données.

5. L'eu-LISA s'acquitte également des tâches liées à l'offre d'une formation relative à l'utilisation technique du SIS et aux mesures destinées à améliorer la qualité des données du SIS.

6. La gestion opérationnelle du SIS central comprend toutes les tâches nécessaires pour que le SIS central puisse fonctionner 24 heures sur 24, 7 jours sur 7 conformément au présent règlement, en particulier les travaux de maintenance et les développements techniques indispensables au bon fonctionnement du système. Ces tâches incluent également la coordination, la gestion et le soutien des activités de test concernant le SIS central et les N.SIS qui garantissent que le SIS central et les N.SIS fonctionnent conformément aux exigences de conformité technique et fonctionnelle énoncées à l'article 9.

7. La Commission adopte des actes d'exécution pour établir les exigences techniques de l'infrastructure de communication. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

Article 16

Sécurité — eu-LISA

1. L'eu-LISA adopte, pour le SIS central et l'infrastructure de communication, les mesures, dont un plan de sécurité, un plan de continuité des opérations et un plan de rétablissement après sinistre, nécessaires pour:

a) assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques;

b) empêcher l'accès de toute personne non autorisée aux installations utilisées pour le traitement de données à caractère personnel (contrôle de l'accès aux installations);

c) empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données (contrôle des supports de données);

d) empêcher l'introduction non autorisée de données ainsi que le contrôle, la modification ou la suppression non autorisés de données à caractère personnel stockées (contrôle du stockage);

e) empêcher l'utilisation des systèmes de traitement automatisé de données par des personnes non autorisées au moyen de matériel de transmission de données (contrôle des utilisateurs);

f) empêcher le traitement non autorisé de données dans le SIS et toute modification ou tout effacement non autorisés de données traitées dans le SIS (contrôle de la saisie des données);

g) garantir que les personnes autorisées à utiliser un système de traitement automatisé de données ne puissent avoir accès qu'aux données couvertes par leur autorisation d'accès, uniquement grâce à des identifiants d'utilisateur individuels et uniques et à des modes d'accès confidentiels (contrôle de l'accès aux données);

h) créer des profils décrivant les fonctions et responsabilités des personnes autorisées à avoir accès aux données ou aux installations de traitement de données, et mettre ces profils à la disposition du Contrôleur européen de la protection des données, sans tarder et à la demande de celui-ci (profils des membres du personnel);

i) garantir la possibilité de vérifier et d'établir à quels organismes des données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données (contrôle de la transmission);

j) garantir la possibilité de vérifier et d'établir a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé de données, à quel moment et par qui (contrôle de l'introduction);

k) empêcher toute lecture, copie, modification ou suppression non autorisées de données à caractère personnel pendant la transmission de données à caractère personnel ou durant le transport de supports de données, en particulier au moyen de techniques de cryptage adaptées (contrôle du transport);

l) contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et prendre les mesures organisationnelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement (autocontrôle);

m) garantir le rétablissement des systèmes installés en cas d'interruption des opérations (rétablissement);

n) garantir que le SIS exécute correctement ses fonctions, que les erreurs soient signalées (fiabilité) et que les données à caractère personnel conservées dans le SIS ne puissent pas être corrompues par le dysfonctionnement du système (intégrité); et

o) garantir la sécurité de ses sites techniques.

2. L'eu-LISA prend des mesures équivalentes à celles visées au paragraphe 1 pour assurer la sécurité du traitement et de l'échange d'informations supplémentaires par l'intermédiaire de l'infrastructure de communication.

Article 17

Confidentialité — eu-LISA

1. Sans préjudice de l'article 17 du statut, l'eu-LISA applique à l'égard de tous les membres de son personnel appelés à travailler avec des données du SIS des règles appropriées en matière de secret professionnel ou leur impose des obligations de confidentialité équivalentes d'un niveau comparable à celui prévu à l'article 11 du présent règlement. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après la fin de leurs activités.

2. L'eu-LISA prend des mesures équivalentes à celles visées au paragraphe 1 pour assurer la confidentialité de l'échange d'informations supplémentaires par l'intermédiaire de l'infrastructure de communication.

3. Lorsque l'eu-LISA coopère avec des prestataires externes sur toute tâche liée au SIS, elle suit de près les activités des prestataires afin de veiller au respect de l'ensemble des dispositions du présent règlement, notamment en ce qui concerne la sécurité, la confidentialité et la protection des données.

4. La gestion opérationnelle du CS-SIS n'est en aucun cas confiée à une entreprise ou organisation privée.

Article 18

Tenue de registres au niveau central

1. L'eu-LISA veille à ce que tous les accès aux données à caractère personnel et tous les échanges de données à caractère personnel au sein du CS-SIS soient enregistrés aux fins mentionnées à l'article 12, paragraphe 1.

2. Les registres indiquent, en particulier, l'historique du signalement, la date et l'heure de l'opération de traitement des données, les données utilisées pour effectuer une recherche, la référence aux données traitées et les identifiants d'utilisateur individuels et uniques de l'autorité compétente traitant les données.

3. Par dérogation au paragraphe 2 du présent article, si la recherche est effectuée à l'aide de données dactyloscopiques ou d'images faciales conformément à l'article 33, les registres indiquent le type de données utilisées pour effectuer la recherche au lieu des données réelles.

4. Les registres ne sont utilisés qu'aux fins visées au paragraphe 1, et sont supprimés trois ans après leur création. Les registres contenant l'historique des signalements sont supprimés trois ans après la suppression des signalements.

5. Les registres peuvent être conservés au-delà des périodes visées au paragraphe 4 s'ils sont nécessaires à des procédures de contrôle déjà engagées.

6. À des fins d'autocontrôle et pour garantir le bon fonctionnement du CS-SIS ainsi que l'intégrité et la sécurité des données, l'eu-LISA a accès à ces registres, dans les limites de ses compétences.

Le Contrôleur européen de la protection des données a accès à ces registres à sa demande, dans les limites de ses compétences et afin de pouvoir s'acquitter de ses tâches.







CHAPITRE IV

INFORMATION DU PUBLIC

Article 19

Campagnes d'information sur le SIS

Au début de l'application du présent règlement, la Commission, en coopération avec les autorités de contrôle et le Contrôleur européen de la protection des données, organise une campagne visant à faire connaître au public les objectifs du SIS, les données stockées dans le SIS, les autorités ayant accès au SIS et les droits des personnes concernées. La Commission mène régulièrement des campagnes de ce type, en coopération avec les autorités de contrôle et le Contrôleur européen de la protection des données. La Commission gère un site internet accessible au public qui fournit toutes les informations pertinentes relatives au SIS. Les États membres, en coopération avec leurs autorités de contrôle, élaborent et mettent en œuvre les politiques nécessaires pour assurer l'information générale de leurs citoyens et résidents sur le SIS.







CHAPITRE V

SIGNALEMENTS DE RESSORTISSANTS DE PAYS TIERS AUX FINS DE NON-ADMISSION ET D'INTERDICTION DE SÉJOUR

Article 20

Catégories de données

1. Sans préjudice de l'article 8, paragraphe 1, ou des dispositions du présent règlement prévoyant le stockage de données complémentaires, le SIS ne comporte que les catégories de données qui sont fournies par chaque État membre nécessaires aux fins prévues aux articles 24 et 25.

2. Tout signalement dans le SIS qui comporte des renseignements concernant des personnes comprend uniquement les données suivantes:

a) les noms;

b) les prénoms;

c) les noms à la naissance;

d) les noms utilisés antérieurement et les pseudonymes;

e) les signes physiques particuliers, objectifs et inaltérables;

f) le lieu de naissance;

g) la date de naissance;

h) le genre;

i) toutes les nationalités possédées;

j) l'indication que la personne concernée:

i) est armée;

ii) est violente;

iii) s'est enfuie ou échappée;

iv) présente un risque de suicide;

v) représente une menace pour la santé publique; ou

vi) est impliquée dans une activité visée aux articles 3 à 14 de la directive (UE) 2017/541;

k) le motif du signalement;

l) l'autorité qui a créé le signalement;

m) une référence à la décision qui est à l'origine du signalement;

n) la conduite à tenir en cas de réponse positive;

o) les liens vers d'autres signalements en vertu de l'article 48;

p) l'indication que la personne concernée est ou non un membre de la famille d'un citoyen de l'Union ou une autre personne qui est bénéficiaire du droit à la libre circulation visé à l'article 26;

q) l'indication que la décision de non-admission et d'interdiction de séjour est ou non fondée sur:

i) une condamnation antérieure visée à l'article 24, paragraphe 2, point a);

ii) une menace grave pour la sécurité visée à l'article 24, paragraphe 2, point b);

iii) le contournement du droit national ou de l'Union relatif à l'entrée et au séjour visé à l'article 24, paragraphe 2, point c);

iv) une interdiction d'entrée visée à l'article 24, paragraphe 1, point b); ou

v) une mesure restrictive visée à l'article 25;

r) le type d'infraction;

s) la catégorie des documents d'identification de la personne;

t) le pays de délivrance des documents d'identification de la personne;

u) le ou les numéros des documents d'identification de la personne;

v) la date de délivrance des documents d'identification de la personne;

w) les photographies et les images faciales;

x) les données dactyloscopiques;

y) une copie des documents d'identification, si possible en couleurs.

3. La Commission adopte des actes d'exécution pour établir et préciser les règles techniques nécessaires pour l'introduction, la mise à jour, et la suppression des données visées au paragraphe 2 du présent article et pour les recherches dans ces données, ainsi que les normes communes visées au paragraphe 4 du présent article. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

4. Ces règles techniques sont similaires pour les recherches dans le CS-SIS, dans les copies nationales ou partagées et dans les copies techniques réalisées en vertu de l'article 41, paragraphe 2. Elles sont fondées sur des normes communes.

Article 21

Proportionnalité

1. Avant d'introduire un signalement et de prolonger la durée de validité d'un signalement, les États membres vérifient si le cas est suffisamment approprié, pertinent et important pour justifier un signalement dans le SIS.

2. Lorsque la décision de non-admission et d'interdiction de séjour visée à l'article 24, paragraphe 1, point a), est liée à une infraction terroriste, le cas est considéré comme étant suffisamment approprié, pertinent et important pour justifier un signalement dans le SIS. Pour des raisons de sécurité publique ou nationale, les États membres peuvent, à titre exceptionnel, s'abstenir d'introduire le signalement si celui-ci risque de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires.

Article 22

Exigence à remplir pour l'introduction d'un signalement

1. Tout signalement introduit dans le SIS comprend au minimum l'ensemble des données visées à l'article 20, paragraphe 2, points a), g), k), m), n), et q). Les autres données visées audit paragraphe sont également introduites dans le SIS, si elles sont disponibles.

2. Les données visées à l'article 20, paragraphe 2, point e), du présent règlement ne sont introduites que si cela est strictement nécessaire aux fins de l'identification du ressortissant de pays tiers concerné. Lors de l'introduction de ces données, les États membres veillent au respect de l'article 9 du règlement (UE) 2016/679.

Article 23

Compatibilité des signalements

1. Avant d'introduire un signalement, l'État membre vérifie si la personne concernée fait déjà l'objet d'un signalement dans le SIS. À cette fin, il est procédé à une vérification à l'aide des données dactyloscopiques, si ces données sont disponibles.

2. Chaque État membre n'introduit dans le SIS qu'un seul signalement par personne. Si nécessaire, de nouveaux signalements concernant la même personne peuvent être introduits par d'autres États membres, conformément au paragraphe 3.

3. Lorsqu'une personne fait déjà l'objet d'un signalement dans le SIS, l'État membre qui souhaite introduire un nouveau signalement vérifie qu'il n'y a pas d'incompatibilité entre les signalements. S'il n'y a pas d'incompatibilité, l'État membre peut introduire le nouveau signalement. Si les signalements sont incompatibles, les bureaux SIRENE des États membres concernés se consultent par la voie d'échanges d'informations supplémentaires pour parvenir à un accord. Les règles relatives à la compatibilité des signalements sont fixées dans le manuel SIRENE. Il peut être dérogé aux règles de compatibilité après consultation entre les États membres si des intérêts nationaux essentiels sont en jeu.

4. En cas de réponses positives à des signalements multiples concernant la même personne, l'État membre d'exécution observe les règles de priorité pour les signalements fixées dans le manuel SIRENE.

Si une personne fait l'objet de signalements multiples introduits par différents États membres, les signalements en vue d'une arrestation introduits conformément à l'article 26 du règlement (UE) 2018/1862 sont exécutés en priorité, sous réserve de l'article 25 dudit règlement.

Article 24

Conditions d'introduction des signalements aux fins de non-admission et d'interdiction de séjour

1. Les États membres introduisent un signalement aux fins de non-admission et d'interdiction de séjour lorsque l'une des conditions ci-après est remplie:

a) l'État membre a conclu, sur la base d'une évaluation individuelle comprenant une appréciation de la situation personnelle du ressortissant de pays tiers concerné et des conséquences du refus d'entrée et de séjour, que la présence de ce ressortissant de pays tiers sur son territoire représente une menace pour l'ordre public, la sécurité publique ou la sécurité nationale et l'État membre a, par conséquent, adopté une décision judiciaire ou administrative de non-admission et d'interdiction de séjour conformément à son droit national et émis un signalement national aux fins de non-admission et d'interdiction de séjour; ou

b) l'État membre a émis une interdiction d'entrée conformément à des procédures respectant la directive 2008/115/CE au sujet d'un ressortissant de pays tiers.

2. Les situations couvertes par le paragraphe 1, point a), se produisent lorsque:

a) un ressortissant de pays tiers a été condamné dans un État membre pour une infraction passible d'une peine privative de liberté d'au moins un an;

b) il existe des raisons sérieuses de croire qu'un ressortissant de pays tiers a commis une infraction pénale grave, y compris une infraction terroriste, ou il existe des indications claires de son intention de commettre une telle infraction sur le territoire d'un État membre; ou

c) un ressortissant de pays tiers a contourné ou tenté de contourner le droit national ou de l'Union relatif à l'entrée et au séjour sur le territoire des États membres.

3. L'État membre signalant veille à ce que le signalement prenne effet dans le SIS dès que le ressortissant de pays tiers concerné a quitté le territoire des États membres ou dès que possible lorsque l'État membre signalant a obtenu des indications claires que le ressortissant de pays tiers a quitté le territoire des États membres, afin d'empêcher ce ressortissant de pays tiers d'y entrer à nouveau.

4. Les personnes à l'égard desquelles une décision de non-admission et d'interdiction de séjour est prise conformément au paragraphe 1 disposent d'un droit de recours. Ces recours sont exercés conformément au droit national et de l'Union, qui prévoient un recours effectif à introduire devant une juridiction.

Article 25

Conditions d'introduction des signalements concernant les ressortissants de pays tiers qui font l'objet de mesures restrictives

1. Les signalements concernant les ressortissants de pays tiers qui font l'objet d'une mesure restrictive visant à les empêcher d'entrer sur le territoire des États membres ou de transiter par ce territoire, prise conformément à des actes juridiques adoptés par le Conseil, y compris les mesures mettant en œuvre une interdiction de voyager imposée par le Conseil de sécurité des Nations unies, font, dans la mesure où il est satisfait aux exigences en matière de qualité des données, l'objet d'une introduction dans le SIS aux fins de non-admission et d'interdiction de séjour.

2. Les signalements sont introduits, mis à jour et supprimés par l'autorité compétente de l'État membre qui exerce la présidence du Conseil de l'Union européenne au moment de l'adoption de la mesure. Si cet État membre n'a pas accès au SIS ou aux signalements introduits conformément au présent règlement, la responsabilité est assumée par l'État membre qui exerce la présidence suivante et qui a accès au SIS, y compris aux signalements introduits conformément au présent règlement.

Les États membres mettent en place les procédures nécessaires pour introduire, mettre à jour et supprimer ces signalements.

Article 26

Conditions d'introduction des signalements concernant les ressortissants de pays tiers qui sont bénéficiaires du droit à la libre circulation dans l'Union

1. Un signalement concernant un ressortissant de pays tiers qui est bénéficiaire du droit à la libre circulation dans l'Union conformément à la directive 2004/38/CE ou conformément à un accord conclu entre, d'une part, l'Union ou l'Union et ses États membres et, d'autre part, un pays tiers, doit être conforme aux règles adoptées pour la mise en œuvre de ladite directive ou dudit accord.

2. En cas de réponse positive à un signalement introduit conformément à l'article 24 concernant un ressortissant de pays tiers jouissant du droit de libre circulation dans l'Union, l'État membre d'exécution consulte immédiatement l'État membre signalant, par la voie d'échange d'informations supplémentaires, afin de décider sans retard de la conduite à tenir.

Article 27

Consultation préalable à l'octroi ou à la prolongation d'un titre de séjour ou d'un visa de long séjour

Lorsqu'un État membre envisage d'octroyer ou de prolonger un titre de séjour ou un visa de long séjour au bénéfice d'un ressortissant de pays tiers faisant l'objet d'un signalement aux fins de non-admission et d'interdiction de séjour introduit par un autre État membre, les États membres concernés se consultent, par la voie d'échange d'informations supplémentaires, conformément aux règles suivantes:

a) l'État membre d'octroi consulte l'État membre signalant avant d'octroyer ou de prolonger le titre de séjour ou le visa de long séjour;

b) l'État membre signalant répond à la demande de consultation dans un délai de dix jours civils;

c) l'absence de réponse dans le délai visé au point b) équivaut à une absence d'objection de la part de l'État membre signalant quant à l'octroi ou la prolongation du titre de séjour ou du visa de long séjour;

d) lorsqu'il prend la décision en question, l'État membre d'octroi tient compte des motifs de la décision de l'État membre signalant et prend en considération, conformément au droit national, toute menace pour l'ordre public ou la sécurité publique que peut représenter la présence du ressortissant de pays tiers en question sur le territoire des États membres;

e) l'État membre d'octroi notifie sa décision à l'État membre signalant; et

f) lorsque l'État membre d'octroi notifie à l'État membre signalant son intention d'octroyer ou de prolonger le titre de séjour ou le visa de long séjour, ou sa décision de le faire, l'État membre signalant supprime le signalement aux fins de non-admission et d'interdiction de séjour.

La décision finale d'octroyer ou non un titre de séjour ou un visa de long séjour à un ressortissant de pays tiers incombe à l'État membre d'octroi.

Article 28

Consultation préalable à l'introduction d'un signalement aux fins de non-admission et d'interdiction de séjour

Lorsqu'un État membre a pris une décision visée à l'article 24, paragraphe 1, et envisage d'introduire un signalement aux fins de non-admission et d'interdiction de séjour concernant un ressortissant de pays tiers qui est titulaire d'un titre de séjour ou d'un visa de long séjour en cours de validité octroyé par un autre État membre, les États membres concernés se consultent, par la voie d'échange d'informations supplémentaires, conformément aux règles suivantes:

a) l'État membre qui a pris la décision visée à l'article 24, paragraphe 1, informe l'État membre d'octroi de sa décision;

b) les informations échangées en vertu du point a) du présent article contiennent suffisamment de précisions quant aux motifs de la décision visée à l'article 24, paragraphe 1;

c) sur la base des informations fournies par l'État membre qui a pris la décision visée à l'article 24, paragraphe 1, l'État membre d'octroi examine s'il existe des motifs de retirer le titre de séjour ou le visa de long séjour;

d) lorsqu'il prend la décision en question, l'État membre d'octroi tient compte des motifs de la décision de l'État membre qui a pris la décision visée à l'article 24, paragraphe 1, et il prend en considération, conformément au droit national, toute menace pour l'ordre public ou la sécurité publique que pourrait représenter la présence du ressortissant de pays tiers en question sur le territoire des États membres;

e) dans un délai de 14 jours civils à compter de la réception de la demande de consultation, l'État membre d'octroi notifie sa décision à l'État membre qui a pris la décision visée à l'article 24, paragraphe 1, ou, si l'État membre d'octroi n'a pas pu prendre de décision dans ce délai, lui adresse une demande motivée de prolongation exceptionnelle du délai de réponse de maximum 12 jours civils supplémentaires;

f) lorsque l'État membre d'octroi informe l'État membre qui a pris la décision visée à l'article 24, paragraphe 1, qu'il maintient le titre de séjour ou le visa de long séjour, l'État membre qui a pris la décision n'introduit pas de signalement aux fins de non-admission et d'interdiction de séjour.

Article 29

Consultation a posteriori après l'introduction d'un signalement aux fins de non-admission et d'interdiction de séjour

Lorsqu'il apparaît qu'un État membre a introduit un signalement aux fins de non-admission et d'interdiction de séjour concernant un ressortissant de pays tiers qui est titulaire d'un titre de séjour ou d'un visa de long séjour en cours de validité octroyé par un autre État membre, les États membres concernés se consultent, par la voie d'échange d'informations supplémentaires, conformément aux règles suivantes:

a) l'État membre signalant informe l'État membre d'octroi du signalement aux fins de non-admission et d'interdiction de séjour;

b) les informations échangées en vertu du point a) contiennent suffisamment de précisions quant aux motifs du signalement aux fins de non-admission et d'interdiction de séjour;

c) sur la base des informations fournies par l'État membre signalant, l'État membre d'octroi examine s'il existe des motifs de retirer le titre de séjour ou le visa de long séjour;

d) lorsqu'il prend sa décision, l'État membre d'octroi tient compte des motifs de la décision de l'État membre signalant et prend en considération, conformément au droit national, toute menace pour l'ordre public ou la sécurité publique que peut représenter la présence du ressortissant de pays tiers en question sur le territoire des États membres;

e) dans un délai de 14 jours civils à compter de la réception de la demande de consultation, l'État membre d'octroi notifie sa décision à l'État membre signalant ou, si l'État membre d'octroi n'a pas pu prendre de décision dans ce délai, lui adresse une demande motivée de prolongation exceptionnelle du délai de réponse de maximum 12 jours civils supplémentaires;

f) lorsque l'État membre d'octroi informe l'État membre signalant qu'il maintient le titre de séjour ou le visa de long séjour, l'État membre signalant supprime immédiatement le signalement aux fins de non-admission et d'interdiction de séjour.

Article 30

Consultation en cas de réponse positive concernant un ressortissant de pays tiers titulaire d'un titre de séjour ou d'un visa de long séjour en cours de validité

Lorsqu'un État membre obtient une réponse positive à un signalement aux fins de non-admission et d'interdiction de séjour introduit par un État membre concernant un ressortissant de pays tiers qui est titulaire d'un titre de séjour ou d'un visa de long séjour en cours de validité octroyé par un autre État membre, les États membres concernés se consultent par la voie d'échange d'informations supplémentaires, conformément aux règles suivantes:

a) l'État membre d'exécution informe l'État membre signalant de la situation;

b) l'État membre signalant engage la procédure prévue à l'article 29;

c) l'État membre signalant notifie à l'État membre d'exécution le résultat de la consultation.

La décision relative à l'entrée du ressortissant de pays tiers est prise par l'État membre d'exécution conformément règlement (UE) 2016/399.

Article 31

Statistiques sur les échanges d'informations

Les États membres communiquent annuellement à l'eu-LISA des statistiques sur les échanges d'informations ayant eu lieu conformément aux articles 27 à 30, ainsi que sur les cas dans lesquels les délais prévus dans ces articles n'ont pas été respectés.







CHAPITRE VI

RECHERCHE À L'AIDE DE DONNÉES BIOMÉTRIQUES

Article 32

Règles spécifiques pour l'introduction de photographies, d'images faciales et de données dactyloscopiques

1. Seules les photographies, les images faciales et les données dactyloscopiques visées à l'article 20, paragraphe 2, points w) et x), qui répondent à des normes minimales en matière de qualité des données et à des spécifications techniques sont introduites dans le SIS. Avant l'introduction de telles données, il est procédé à un contrôle de qualité visant à établir si les normes minimales en matière de qualité des données et les spécifications techniques ont été respectées.

2. Les données dactyloscopiques introduites dans le SIS peuvent consister en une à dix empreintes digitales à plat et une à dix empreintes digitales roulées. Elles peuvent également comprendre jusqu'à deux empreintes palmaires.

3. Des normes minimales en matière de qualité des données et des spécifications techniques sont établies conformément au paragraphe 4 du présent article pour la conservation des données biométriques visées au paragraphe 1 du présent article. Ces normes minimales en matière de qualité des données et ces spécifications techniques fixent le niveau de qualité requis pour l'utilisation des données aux fins de la vérification de l'identité d'une personne conformément à l'article 33, paragraphe 1, ainsi que pour l'utilisation des données aux fins de l'identification d'une personne conformément à l'article 33, paragraphes 2 à 4.

4. La Commission adopte des actes d'exécution pour établir les normes minimales en matière de qualité des données et les spécifications techniques visées aux paragraphes 1 et 3 du présent article. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

Article 33

Règles spécifiques pour les vérifications ou les recherches à l'aide de photographies, d'images faciales et de données dactyloscopiques

1. Lorsque des photographies, des images faciales et des données dactyloscopiques sont disponibles dans un signalement dans le SIS, ces photographies, images faciales et données dactyloscopiques sont utilisées pour confirmer l'identité d'une personne qui a été localisée à la suite d'une recherche alphanumérique effectuée dans le SIS.

2. Les données dactyloscopiques peuvent, dans tous les cas, faire l'objet de recherches pour identifier une personne. Toutefois, les données dactyloscopiques font l'objet de recherches pour identifier une personne lorsque l'identité de la personne ne peut pas être établie par d'autres moyens. À cette fin, le SIS central contient un système de reconnaissance automatisée d'empreintes digitales (AFIS).

3. Les données dactyloscopiques dans le SIS en rapport avec des signalements introduits conformément aux articles 24 et 25 peuvent également faire l'objet de recherches à l'aide de séries complètes ou incomplètes d'empreintes digitales ou d'empreintes palmaires découvertes sur les lieux d'infractions graves ou d'infractions terroristes faisant l'objet d'une enquête, lorsqu'il peut être établi, avec un degré élevé de probabilité, que ces séries d'empreintes appartiennent à un auteur de l'infraction et pour autant que les recherches soient effectuées simultanément dans les bases de données d'empreintes digitales nationales pertinentes de l'État membre.

4. Dès que cela est techniquement possible, et tout en assurant un haut degré de fiabilité de l'identification, les photographies et les images faciales peuvent être utilisées pour identifier une personne dans le contexte des points de passage frontaliers habituels.

Avant que cette fonctionnalité ne soit mise en œuvre dans le SIS, la Commission présente un rapport précisant si la technique requise est disponible, prête à être employée et fiable. Le Parlement européen est consulté sur ce rapport.

Après le début de l'utilisation de la fonctionnalité aux points de passage frontaliers habituels, la Commission est habilitée à adopter des actes délégués conformément à l'article 61 pour compléter le présent règlement en ce qui concerne la détermination des autres circonstances dans lesquelles des photographies et des images faciales peuvent être utilisées pour identifier des personnes.







CHAPITRE VII

DROIT D'ACCÈS, RÉEXAMEN ET SUPPRESSION DES SIGNALEMENTS

Article 34

Autorités nationales compétentes ayant un droit d'accès aux données dans le SIS

1. Les autorités nationales compétentes chargées de l'identification des ressortissants de pays tiers ont accès aux données introduites dans le SIS et ont le droit d'effectuer des recherches dans ces données, directement ou dans une copie de la base de données du SIS, aux fins:

a) du contrôle aux frontières, conformément au règlement (UE) 2016/399;

b) des vérifications de police et de douanes effectuées à l'intérieur de l'État membre concerné et de la coordination de celles-ci par les autorités désignées;

c) de la prévention et de la détection des infractions terroristes ou d'autres infractions pénales graves, et des enquêtes et des poursuites en la matière ou de l'exécution de sanctions pénales, dans l'État membre concerné, pour autant que la directive (UE) 2016/680 s'applique;

d) de l'examen des conditions et de l'adoption des décisions relatives à l'entrée et au séjour des ressortissants de pays tiers sur le territoire des États membres, y compris en ce qui concerne les titres de séjour et les visas de long séjour, ainsi qu'au retour des ressortissants de pays tiers, de même qu'aux fins des vérifications portant sur les ressortissants de pays tiers qui entrent ou séjournent irrégulièrement sur le territoire des États membres;

e) des contrôles de sécurité portant sur les ressortissants de pays tiers qui demandent une protection internationale, dans la mesure où les autorités effectuant les contrôles ne sont pas des «autorités responsables de la détermination» au sens de l'article 2, point f), de la directive 2013/32/UE du Parlement européen et du Conseil ( 5 ), et, le cas échéant, aux fins de la fourniture de conseils conformément au règlement (CE) no 377/2004 du Conseil ( 6 );

f) de l'examen des demandes de visa et de l'adoption des décisions y relatives, notamment les décisions éventuelles d'annulation, d'abrogation ou de prolongation des visas, conformément au règlement (CE) no 810/2009 du Parlement européen et du Conseil ( 7 );

▼M1

g) de la vérification des identités différentes et de la lutte contre la fraude à l'identité conformément au chapitre V du règlement (UE) 2019/817.

▼B

2. Le droit d'accès aux données dans le SIS et le droit d'effectuer des recherches directement dans ces données peuvent être exercés par les autorités nationales compétentes en matière de naturalisation, conformément au droit national, aux fins de l'examen d'une demande de naturalisation.

3. Aux fins des articles 24 et 25, le droit d'accès aux données dans le SIS et le droit d'effectuer des recherches directement dans ces données peuvent également être exercés par les autorités judiciaires nationales, y compris celles qui sont compétentes pour engager des poursuites judiciaires dans le cadre de procédures pénales et pour mener les enquêtes judiciaires avant l'inculpation d'une personne, dans l'exercice de leurs fonctions, conformément au droit national, et par leurs autorités de coordination.

4. Le droit d'accès aux données concernant des documents relatifs à des personnes, introduites conformément à l'article 38, paragraphe 2, points k) et l), du règlement (UE) 2018/1862 et le droit d'effectuer des recherches dans ces données peuvent également être exercés par les autorités visées au paragraphe 1, point f), du présent article.

5. Les autorités compétentes visées au présent article sont incluses dans la liste mentionnée à l'article 41, paragraphe 8.

Article 35

Accès d'Europol aux données dans le SIS

1. L'Agence de l'Union européenne pour la coopération des services répressifs (Europol), établie par le règlement (UE) 2016/794, a, dans la mesure nécessaire à l'exécution de son mandat, le droit d'accès aux données dans le SIS et le droit d'effectuer des recherches dans ces données. Europol peut également échanger des informations supplémentaires et demander, en outre, des informations supplémentaires conformément aux dispositions du manuel SIRENE.

2. Lorsqu'une recherche effectuée par Europol révèle l'existence d'un signalement dans le SIS, Europol informe l'État membre signalant par la voie d'échange d'informations supplémentaires au moyen de l'infrastructure de communication et conformément aux dispositions prévues par le manuel SIRENE. Jusqu'à ce qu'Europol soit en mesure d'utiliser les fonctionnalités prévues pour l'échange d'informations supplémentaires, elle informe les États membres signalants par l'intermédiaire des canaux définis dans le règlement (UE) 2016/794.

3. Europol peut traiter les informations supplémentaires qui lui ont été communiquées par les États membres à des fins de comparaison avec ses bases de données et ses projets d'analyse opérationnelle, en vue d'établir des liens ou d'autres rapports pertinents ainsi qu'aux fins des analyses de nature stratégique ou thématique ou des analyses opérationnelles visées à l'article 18, paragraphe 2, points a), b) et c), du règlement (UE) 2016/794. Tout traitement d'informations supplémentaires par Europol aux fins du présent article est effectué conformément audit règlement.

4. L'utilisation par Europol des informations obtenues lors d'une recherche dans le SIS ou lors du traitement d'informations supplémentaires est soumise à l'accord de l'État membre signalant. Si ledit État membre autorise l'utilisation de ces informations, leur traitement par Europol est régi par le règlement (UE) 2016/794. Europol ne communique ces informations à des pays tiers et à des organismes tiers qu'avec le consentement de l'État membre signalant et dans le respect absolu du droit de l'Union relatif à la protection des données.

5. Europol:

a) sans préjudice des paragraphes 4 et 6, s'abstient de connecter les parties du SIS à un système de collecte et de traitement des données exploité par Europol ou en son sein et de transférer les données qu'elles contiennent auxquelles il a accès vers un tel système, ainsi que de télécharger ou de copier, de toute autre manière, une quelconque partie du SIS;

b) nonobstant l'article 31, paragraphe 1, du règlement (UE) 2016/794, supprime les informations supplémentaires comportant des données à caractère personnel au plus tard un an après que le signalement correspondant a été supprimé. À titre dérogatoire, lorsqu'Europol possède, dans ses bases de données ou dans ses projets d'analyse opérationnelle, des informations sur une affaire à laquelle les informations supplémentaires sont liées, afin de pouvoir s'acquitter de ses missions, Europol peut, à titre exceptionnel, continuer à conserver les informations supplémentaires, si nécessaire. Europol informe l'État membre signalant et l'État membre d'exécution du maintien de la conservation de ces informations supplémentaires, en justifiant celui-ci;

c) limite l'accès aux données dans le SIS, y compris les informations supplémentaires, au personnel expressément autorisé d'Europol qui demande l'accès à ces données pour l'exécution de ses missions;

d) adopte et applique des mesures pour garantir la sécurité, la confidentialité et l'autocontrôle conformément aux articles 10, 11 et 13;

e) veille à ce que son personnel qui est autorisé à traiter des données du SIS reçoive une formation et des informations appropriées conformément à l'article 14, paragraphe 1; et

f) sans préjudice du règlement (UE) 2016/794, autorise le Contrôleur européen de la protection des données à contrôler et à examiner les activités d'Europol dans le cadre de l'exercice de son droit d'accès aux données dans le SIS et de son droit d'effectuer des recherches dans ces données et dans le cadre de l'échange et du traitement d'informations supplémentaires.

6. Europol ne copie les données du SIS qu'à des fins techniques lorsque cette copie est nécessaire au personnel dûment autorisé d'Europol pour effectuer une recherche directe. Le présent règlement s'applique à ces copies. La copie technique n'est utilisée qu'à des fins de conservation des données du SIS pendant que ces données font l'objet de recherches. Les données sont supprimées une fois les recherches terminées. De telles utilisations ne sont pas considérées comme des téléchargements ou copies illicites de données du SIS. Europol s'abstient de copier les données d'un signalement ou des données complémentaires émanant des États membres, ou des données provenant du CS-SIS, vers d'autres systèmes d'Europol.

7. Aux fins de vérifier la licéité du traitement des données, d'assurer un autocontrôle et de garantir la sécurité et l'intégrité des données, Europol consigne dans des registres tout accès au SIS et toute recherche dans le SIS conformément aux dispositions de l'article 12. De tels registres et traces documentaires ne sont pas considérés comme des téléchargements ou copies illicites d'une partie du SIS.

8. Les États membres informent Europol, par la voie d'échange d'informations supplémentaires, de toute réponse positive à des signalements liés à des infractions terroristes. À titre exceptionnel, les États membres peuvent ne pas informer Europol si la transmission de ces informations compromettrait des enquêtes en cours ou la sécurité d'une personne physique, ou serait contraire aux intérêts essentiels de la sécurité de l'État membre signalant.

9. Le paragraphe 8 s'applique à partir de la date à laquelle Europol est en mesure de recevoir des informations supplémentaires conformément au paragraphe 1.

Article 36

Accès aux données dans le SIS par les équipes du corps européen de garde-frontières et de garde-côtes, les équipes d'agents intervenant dans les tâches liées au retour et les membres des équipes d'appui à la gestion des flux migratoires

1. Conformément à l'article 40, paragraphe 8, du règlement (UE) 2016/1624, les membres des équipes visées à l'article 2, points 8) et 9), dudit règlement ont le droit, dans les limites de leur mandat et pour autant que ceux-ci soient autorisés à procéder à des vérifications conformément à l'article 34, paragraphe 1, du présent règlement et qu'ils aient reçu la formation requise conformément à l'article 14, paragraphe 1, du présent règlement, d'avoir accès aux données dans le SIS et d'effectuer des recherches dans ces données dans la mesure où cela est nécessaire à l'exécution de leurs missions et où cela est requis par le plan opérationnel pour une opération spécifique. L'accès aux données dans le SIS ne s'étend pas à d'autres membres des équipes.

2. Les membres des équipes visés au paragraphe 1 exercent le droit d'accès aux données dans le SIS et le droit d'effectuer des recherches dans ces données, conformément au paragraphe 1, par l'intermédiaire d'une interface technique. L'interface technique est créée et gérée par l'Agence européenne de garde-frontières et de garde-côtes et permet une connexion directe au SIS central.

3. Lorsqu'une recherche effectuée par un membre des équipes visé au paragraphe 1 du présent article révèle l'existence d'un signalement dans le SIS, l'État membre signalant en est informé. Conformément à l'article 40 du règlement (UE) 2016/1624, les membres des équipes n'agissent en réaction à un signalement dans le SIS que sur les instructions et, en règle générale, en présence de garde-frontières ou d'agents intervenant dans les tâches liées au retour de l'État membre hôte dans lequel ils opèrent. L'État membre hôte peut autoriser les membres des équipes à agir en son nom.

4. Aux fins de vérifier la licéité du traitement des données, d'assurer un autocontrôle et de garantir la sécurité et l'intégrité des données, l'Agence européenne de garde-frontières et de garde-côtes consigne dans des registres tout accès au SIS et toute recherche effectuée dans le SIS conformément aux dispositions de l'article 12.

5. L'Agence européenne de garde-frontières et de garde-côtes adopte et applique des mesures pour assurer la sécurité, la confidentialité et l'autocontrôle, conformément aux articles 10, 11 et 13, et veille à ce que les équipes visées au paragraphe 1 du présent article appliquent ces mesures.

6. Aucune disposition du présent article ne doit être interprétée comme affectant les dispositions du règlement (UE) 2016/1624 concernant la protection des données ou la responsabilité de l'Agence européenne des garde-frontières et des garde-côtes du fait d'un traitement non autorisé ou incorrect de données qu'elle a effectué.

7. Sans préjudice du paragraphe 2, aucune des parties du SIS n'est connectée à un système de collecte et de traitement des données exploité par les équipes visées au paragraphe 1 ou par l'Agence européenne de garde-frontières et de garde-côtes, et aucune des données dans le SIS auxquelles ces équipes ont accès n'est transférée vers un tel système. Aucune partie du SIS ne doit être téléchargée ou copiée. L'enregistrement dans un registre des accès et des recherches n'est pas considéré comme un téléchargement ou une copie illicite de données du SIS.

8. L'Agence européenne de garde-frontières et de garde-côtes autorise le Contrôleur européen de la protection des données à contrôler et à examiner les activités des équipes visées au présent article dans le cadre de l'exercice de leur droit d'accès aux données dans le SIS et de leur droit d'effectuer des recherches dans ces données. Cette disposition est sans préjudice des autres dispositions du règlement (UE) 2018/1725.

Article 37

Évaluation de l'utilisation du SIS par Europol et l'Agence européenne de garde-frontières et de garde-côtes

1. La Commission procède, au moins tous les cinq ans, à une évaluation de l'exploitation et de l'utilisation du SIS par Europol et les équipes visées à l'article 36, paragraphe 1.

2. Europol et l'Agence européenne de garde-frontières et de garde-côtes veillent à ce que des suites adéquates soient données aux conclusions et recommandations résultant de l'évaluation.

3. Un rapport sur les résultats de l'évaluation et les suites qui y sont données est transmis au Parlement européen et au Conseil.

Article 38

Limites d'accès

Les utilisateurs finaux, y compris Europol et les membres des équipes visés à l'article 2, points 8) et 9), du règlement (UE) 2016/1624, n'accèdent qu'aux données qui sont nécessaires à l'exécution de leurs missions.

Article 39

Délai de réexamen des signalements

1. Les signalements ne sont conservés que pendant le temps nécessaire à la réalisation des finalités pour lesquelles ils ont été introduits.

2. Un État membre signalant réexamine, dans un délai de trois ans à compter de l'introduction d'un signalement dans le SIS, la nécessité de l'y conserver. Cependant, si la décision nationale sur laquelle le signalement se fonde prévoit une durée de validité supérieure à trois ans, le signalement est réexaminé dans un délai de cinq ans.

3. Chaque État membre fixe, s'il y a lieu, des délais de réexamen plus courts, conformément à son droit national.

4. L'État membre signalant peut, dans le délai de réexamen, décider, au terme d'une évaluation individuelle globale, qui est enregistrée, de conserver le signalement pour une durée plus longue que le délai de réexamen si cela s'avère nécessaire et proportionné aux fins pour lesquelles le signalement a été introduit. Dans ce cas, le paragraphe 2 s'applique également à la prolongation. Toute prolongation de ce type est communiquée au CS-SIS.

5. Les signalements sont automatiquement supprimés à l'expiration du délai de réexamen visé au paragraphe 2, sauf dans le cas où l'État membre signalant a informé le CS-SIS d'une prolongation en vertu du paragraphe 4. Le CS-SIS informe automatiquement l'État membre signalant de la suppression programmée de données avec un préavis de quatre mois.

6. Les États membres tiennent des statistiques sur le nombre de signalements dont la durée de conservation a été prolongée conformément au paragraphe 4 du présent article et les transmettent, sur demande, aux autorités de contrôle visées à l'article 55.

7. Dès qu'il est clair pour un bureau SIRENE que le signalement a atteint son objectif et devrait par conséquent être supprimé, il envoie immédiatement une notification à l'autorité qui a créé le signalement. L'autorité dispose d'un délai de 15 jours civils à compter de la réception de cette notification pour répondre que le signalement a été ou sera supprimé ou pour exposer les raisons de la conservation du signalement. Faute de réponse à l'expiration du délai de 15 jours, le bureau SIRENE veille à ce que le signalement soit supprimé. Si le droit national l'autorise, le signalement est supprimé par le bureau SIRENE. Les bureaux SIRENE signalent à leur autorité de contrôle tout problème récurrent qu'ils rencontrent quand ils agissent au titre du présent paragraphe.

Article 40

Suppression des signalements

1. Les signalements aux fins de non-admission et d'interdiction de séjour introduits en vertu de l'article 24 sont supprimés:

a) lorsque l'autorité compétente a retiré ou annulé la décision ayant fondé l'introduction du signalement; ou

b) s'il y a lieu, au terme de la procédure de consultation visée aux articles 27 et 29.

2. Les signalements concernant des ressortissants de pays tiers qui font l'objet d'une mesure restrictive visant à les empêcher d'entrer sur le territoire des États membres ou de transiter par ce territoire sont supprimés lorsque la mesure restrictive a pris fin, a été suspendue ou a été annulée.

3. Les signalements concernant une personne ayant acquis la citoyenneté d'un État membre ou d'un État dont les ressortissants sont bénéficiaires du droit de libre circulation au titre du droit de l'Union sont supprimés dès que l'État membre signalant apprend, ou est informé en application de l'article 44, que la personne concernée a acquis cette citoyenneté.

4. Les signalements sont supprimés dès l'expiration du signalement conformément à l'article 39.







CHAPITRE VIII

RÈGLES GÉNÉRALES RELATIVES AU TRAITEMENT DES DONNÉES

Article 41

Traitement des données du SIS

1. Les États membres ne traitent les données visées à l'article 20 qu'à des fins de non-admission et d'interdiction de séjour sur leur territoire.

2. Les données ne sont copiées qu'à des fins techniques, lorsque cette copie est nécessaire aux autorités compétentes visées à l'article 34 pour effectuer une recherche directe. Le présent règlement s'applique à ces copies. Tout État membre s'abstient de copier les données d'un signalement ou des données complémentaires introduites par un autre État membre depuis son N.SIS ou depuis le CS-SIS dans d'autres fichiers de données nationaux.

3. Les copies techniques visées au paragraphe 2 qui deviennent des bases de données hors ligne ne peuvent être conservées que pour une durée inférieure à 48 heures.

Nonobstant le premier alinéa, les copies techniques qui deviennent des bases de données hors ligne destinées à être utilisées par les autorités chargées de délivrer les visas ne sont pas autorisées, à l'exception des copies faites pour n'être utilisées que dans des situations d'urgence résultant d'une indisponibilité du réseau de plus de 24 heures.

Les États membres tiennent à jour un inventaire de ces copies, le mettent à la disposition de leurs autorités de contrôle et veillent à ce que ces copies soient conformes au présent règlement, notamment à l'article 10.

4. L'accès aux données dans le SIS par les autorités nationales compétentes visées à l'article 34 est autorisé uniquement dans les limites de leurs compétences et est réservé au personnel dûment autorisé.

5. Tout traitement des données du SIS par les États membres à des fins autres que celles pour lesquelles elles y ont été introduites doit se rapporter à un cas précis et être justifié par la nécessité de prévenir une menace grave et imminente pour l'ordre public et la sécurité publique, pour des raisons graves de sécurité nationale ou aux fins de la prévention d'une infraction grave. À cette fin, l'autorisation préalable de l'État membre signalant doit être obtenue.

6. Les données concernant des documents relatifs à des personnes qui sont introduites dans le SIS conformément à l'article 38, paragraphe 2, points k) et l), du règlement (UE) 2018/1862 peuvent être utilisées par les autorités compétentes visées à l'article 34, paragraphe 1, point f), conformément à la législation de chaque État membre.

7. Toute utilisation de données du SIS qui ne respecte pas les paragraphes 1 à 6 du présent article est considérée comme une utilisation abusive au regard du droit national de chaque État membre et donne lieu à des sanctions conformément à l'article 59.

8. Chaque État membre communique à l'eu-LISA la liste de ses autorités compétentes autorisées à effectuer des recherches directement dans les données dans le SIS en vertu du présent règlement, ainsi que tout changement apporté à cette liste. La liste indique, pour chaque autorité, quelles données peuvent faire l'objet de recherches et à quelles fins. L'eu-LISA veille à ce que la liste soit publiée chaque année au Journal officiel de l'Union européenne. L'eu-LISA maintient sur son site internet une liste constamment mise à jour contenant les modifications transmises par les États membres entre les publications annuelles.

9. Pour autant que le droit de l'Union ne prévoie pas de dispositions particulières, le droit de chaque État membre est applicable aux données dans son N.SIS.

Article 42

Données du SIS et fichiers nationaux

1. L'article 41, paragraphe 2, est sans préjudice du droit qu'à un État membre de conserver, dans ses fichiers nationaux, des données du SIS sur la base desquelles la conduite a été exécutée sur son territoire. Ces données sont conservées dans les fichiers nationaux pour une durée maximale de trois ans, sauf si des dispositions particulières du droit national prévoient une durée de conservation plus longue.

2. L'article 41, paragraphe 2, est sans préjudice du droit qu'à un État membre de conserver, dans ses fichiers nationaux, des données contenues dans un signalement particulier qu'il a lui-même introduit dans le SIS.

Article 43

Information en cas d'inexécution d'un signalement

Si une conduite demandée ne peut être exécutée, l'État membre requis pour cette conduite en informe directement l'État membre signalant par la voie d'échange d'informations supplémentaires.

Article 44

Qualité des données dans le SIS

1. Un État membre signalant est responsable de l'exactitude et de l'actualité des données dans le SIS, ainsi que de la licéité de leur introduction et de leur conservation dans le SIS.

2. Lorsqu'un État membre signalant reçoit des données complémentaires ou modifiées pertinentes telles qu'elles sont énumérées à l'article 20, paragraphe 2, il complète ou modifie sans tarder le signalement concerné.

3. Seul l'État membre signalant est autorisé à modifier, compléter, rectifier, mettre à jour ou supprimer les données qu'il a introduites dans le SIS.

4. Lorsqu'un État membre autre que l'État membre signalant dispose de données complémentaires ou modifiées pertinentes telles qu'elles sont énumérées à l'article 20, paragraphe 2, il les transmet sans tarder, par la voie d'échange d'informations supplémentaires, à l'État membre signalant afin de permettre à ce dernier de compléter ou de modifier le signalement. Les données ne sont transmises que si l'identité du ressortissant de pays tiers est établie.

5. Lorsqu'un État membre autre que l'État membre signalant dispose d'éléments de preuve suggérant qu'une donnée est matériellement erronée ou a été conservée de manière illicite, il en informe l'État membre signalant, par la voie d'échange d'informations supplémentaires, dans les meilleurs délais et au plus tard deux jours ouvrables après avoir relevé ces éléments de preuve. L'État membre signalant vérifie l'information et, s'il y a lieu, corrige ou supprime la donnée sans tarder.

6. Lorsque les États membres ne peuvent parvenir à un accord dans un délai de deux mois à compter de la découverte des éléments de preuve visés au paragraphe 5 du présent article, l'État membre qui n'a pas introduit le signalement soumet la question aux autorités de contrôle concernées et au Contrôleur européen de la protection des données aux fins de l'adoption d'une décision, par la voie de la coopération prévue à l'article 57.

7. Les États membres échangent des informations supplémentaires lorsqu'une personne se plaint de ne pas être la personne visée par un signalement. Lorsqu'il ressort des vérifications que la personne visée par un signalement n'est en réalité pas la personne qui s'est plainte, celle-ci est informée des mesures prévues à l'article 47 et du droit de recours dont elle dispose en vertu de l'article 54, paragraphe 1.

Article 45

Incidents de sécurité

1. Tout événement ayant ou pouvant avoir un impact sur la sécurité du SIS ou susceptible de causer des dommages ou des pertes aux données du SIS ou aux informations supplémentaires est considéré comme un incident de sécurité, en particulier lorsque des données peuvent avoir fait l'objet d'un accès illicite ou que la disponibilité, l'intégrité et la confidentialité de données ont été ou peuvent avoir été compromises.

2. Les incidents de sécurité sont gérés de telle sorte qu'une réponse rapide, efficace et idoine y soit apportée.

3. Sans préjudice de la notification et de la communication d'une violation de données à caractère personnel en vertu de l'article 33 du règlement (UE) 2016/679 ou de l'article 30 de la directive (UE) 2016/680, les États membres, Europol et l'Agence européenne de garde-frontières et de garde-côtes informent sans tarder la Commission, l'eu-LISA, l'autorité de contrôle compétente et le Contrôleur européen de la protection des données des incidents de sécurité. L'eu-LISA informe sans tarder la Commission et le Contrôleur européen de la protection des données de tout incident de sécurité concernant le SIS central.

4. Les informations relatives à un incident de sécurité ayant ou pouvant avoir un impact sur le fonctionnement du SIS dans un État membre ou au sein de l'eu-LISA, sur la disponibilité, l'intégrité et la confidentialité des données introduites ou envoyées par d'autres États membres ou sur les informations supplémentaires échangées sont communiquées sans tarder à tous les États membres et signalées conformément au plan de gestion des incidents fourni par l'eu-LISA.

5. Les États membres et l'eu-LISA collaborent en cas d'incident de sécurité.

6. La Commission signale immédiatement les incidents graves au Parlement européen et au Conseil. Ces rapports sont classifiés EU RESTRICTED/RESTREINT UE conformément aux règles de sécurité applicables.

7. Lorsqu'un incident de sécurité a pour cause une utilisation abusive de données, les États membres, Europol et l'Agence européenne de garde-frontières et de garde-côtes veillent à ce que des sanctions soient imposées conformément à l'article 59.

Article 46

Différenciation des personnes présentant des caractéristiques similaires

1. Lorsque, lors de l'introduction d'un nouveau signalement, il apparaît qu'il existe déjà un signalement dans le SIS concernant une personne dont la description d'identité est la même, le bureau SIRENE contacte, dans un délai de 12 heures, l'État membre signalant par la voie d'échange d'informations supplémentaires pour vérifier si les personnes faisant l'objet des deux signalements sont la même personne.

2. Lorsque la vérification fait apparaître que la personne faisant l'objet du nouveau signalement et la personne faisant l'objet du signalement déjà introduit dans le SIS sont bien une seule et même personne, le bureau SIRENE applique la procédure concernant l'introduction de signalements multiples visée à l'article 23.

3. Lorsque la vérification révèle qu'il s'agit en réalité de deux personnes différentes, le bureau SIRENE valide la demande d'introduction du deuxième signalement, en ajoutant les données nécessaires pour éviter toute erreur d'identification.

Article 47

Données complémentaires pour traiter les cas d'usurpation d'identité

1. Lorsqu'il est possible de confondre la personne visée par un signalement et une personne dont l'identité a été usurpée, l'État membre signalant ajoute dans le signalement, avec le consentement explicite de la personne dont l'identité a été usurpée, des données concernant cette dernière afin d'éviter les conséquences négatives résultant d'une erreur d'identification. Toute personne dont l'identité a été usurpée a le droit de retirer son consentement en ce qui concerne le traitement des données à caractère personnel ajoutées.

2. Les données concernant une personne dont l'identité a été usurpée sont exclusivement utilisées pour:

a) permettre à l'autorité compétente de distinguer la personne dont l'identité a été usurpée de la personne visée par le signalement; et

b) permettre à la personne dont l'identité a été usurpée de prouver son identité et d'établir que celle-ci a été usurpée.

3. Aux fins du présent article, et sous réserve du consentement explicite, pour chaque catégorie de données, de la personne dont l'identité a été usurpée, seules les données à caractère personnel de la personne dont l'identité a été usurpée énumérées ci-après peuvent être introduites dans le SIS et y faire l'objet d'un traitement ultérieur:

a) les noms;

b) les prénoms;

c) les noms à la naissance;

d) les noms utilisés antérieurement ainsi que les pseudonymes éventuellement enregistrés séparément;

e) les signes physiques particuliers, objectifs et inaltérables;

f) le lieu de naissance;

g) la date de naissance;

h) le genre;

i) les photographies et les images faciales;

j) les empreintes digitales, les empreintes palmaires ou les deux;

k) toutes les nationalités possédées;

l) la catégorie des documents d'identification de la personne;

m) le pays de délivrance des documents d'identification de la personne;

n) le ou les numéros des documents d'identification de la personne;

o) la date de délivrance des documents d'identification de la personne;

p) l'adresse de la personne;

q) le nom du père de la personne;

r) le nom de la mère de la personne.

4. La Commission adopte des actes d'exécution pour établir et préciser les règles techniques nécessaires pour l'introduction et le traitement ultérieur des données visées au paragraphe 3 du présent article. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

5. Les données visées au paragraphe 3 sont supprimées en même temps que le signalement correspondant, ou plus tôt lorsque la personne concernée le demande.

6. Seules les autorités disposant d'un droit d'accès au signalement correspondant peuvent avoir accès aux données visées au paragraphe 3, et ce dans l'unique but d'éviter une erreur d'identification.

Article 48

Mise en relation de signalements

1. Un État membre peut mettre en relation des signalements qu'il introduit dans le SIS. Cette mise en relation a pour effet d'établir un lien entre deux signalements ou plus.

2. La mise en relation est sans effet sur la conduite particulière à tenir sur la base de chacun des signalements mis en relation, ou sur leur délai de réexamen.

3. La mise en relation ne porte pas atteinte aux droits d'accès prévus par le présent règlement. Les autorités ne disposant pas d'un droit d'accès à certaines catégories de signalements ne doivent pas pouvoir prendre connaissance du lien vers un signalement auquel elles n'ont pas accès.

4. Un État membre met en relation des signalements lorsque cela répond à un besoin opérationnel.

5. Lorsqu'un État membre estime que la mise en relation de signalements par un autre État membre n'est pas compatible avec son droit national ou ses obligations internationales, il peut prendre les mesures nécessaires pour faire en sorte que le lien établi ne soit pas accessible à partir de son territoire national ou pour les autorités relevant de sa juridiction établies en dehors de son territoire.

6. La Commission adopte des actes d'exécution pour établir et préciser les règles techniques pour mettre en relation des signalements. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

Article 49

Objet et durée de conservation des informations supplémentaires

1. Les États membres conservent au sein du bureau SIRENE une trace des décisions ayant donné lieu à un signalement, afin de faciliter l'échange d'informations supplémentaires.

2. Les données à caractère personnel conservées au sein du bureau SIRENE à la suite d'un échange d'informations ne sont conservées que pendant le temps nécessaire à la réalisation des finalités pour lesquelles elles ont été fournies. Elles sont, en tout état de cause, supprimées au plus tard un an après que le signalement correspondant a été supprimé du SIS.

3. Le paragraphe 2 est sans préjudice du droit qu'à un État membre de conserver, dans des fichiers nationaux, des données relatives à un signalement particulier que cet État membre a introduit ou à un signalement sur la base duquel une conduite a été exécutée sur son territoire. Le délai pendant lequel les données peuvent être conservées dans ces fichiers est régi par le droit national.

Article 50

Transfert de données à caractère personnel à des tiers

Les données traitées dans le SIS et les informations supplémentaires y relatives échangées en vertu du présent règlement ne sont pas transférées à des pays tiers ou à des organisations internationales ni mises à leur disposition.







CHAPITRE IX

PROTECTION DES DONNÉES

Article 51

Législation applicable

1. Le règlement (UE) 2018/1725 s'applique aux traitements de données à caractère personnel effectués par l'eu-LISA et l'Agence européenne de garde-frontières et de garde-côtes au titre du présent règlement. Le règlement (UE) 2016/794 s'applique aux traitements de données à caractère personnel effectués par Europol au titre du présent règlement.

2. Le règlement (UE) 2016/679 s'applique aux traitements de données à caractère personnel effectués, au titre du présent règlement, par les autorités compétentes visées à l'article 34 du présent règlement, exception faite des traitements de données à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces lorsque la directive (UE) 2016/680 s'applique.

Article 52

Droit à l'information

1. Les ressortissants de pays tiers qui font l'objet d'un signalement dans le SIS en sont informés conformément aux articles 13 et 14 du règlement (UE) 2016/679 ou aux articles 12 et 13 de la directive (UE) 2016/680. Cette information est fournie par écrit, avec une copie de la décision nationale qui est à l'origine du signalement visée à l'article 24, paragraphe 1, du présent règlement ou une référence à ladite décision.

2. Cette information n'est pas fournie lorsque le droit national permet de limiter le droit à l'information, en particulier pour préserver la sécurité nationale, la défense et la sécurité publique, ou à des fins de prévention et de détection des infractions pénales et d'enquêtes et de poursuites en la matière.

Article 53

Droit d'accès, de rectification des données inexactes et d'effacement de données conservées de manière illicite

1. Les personnes concernées ont la possibilité d'exercer les droits que leur confèrent les articles 15, 16 et 17 du règlement (UE) 2016/679 et l'article 14 et l'article 16, paragraphes 1 et 2, de la directive (UE) 2016/680.

2. Un État membre autre que l'État membre signalant ne peut fournir à la personne concernée des informations concernant l'une ou l'autre des données à caractère personnel de la personne concernée qui sont traitées que s'il donne d'abord à l'État membre signalant la possibilité de prendre position. La communication entre ces États membres se fait par la voie d'échange d'informations supplémentaires.

3. Un État membre peut décider de ne pas fournir des informations à la personne concernée, en tout ou en partie, conformément au droit national, dès lors et aussi longtemps qu'une limitation partielle ou complète de cette nature constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne concernée, pour:

a) éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires;

b) éviter de nuire à la prévention et à la détection d'infractions pénales, aux enquêtes et aux poursuites en la matière, ou à l'exécution de sanctions pénales;

c) protéger la sécurité publique;

d) protéger la sécurité nationale; ou

e) proté