DÉCISION D’EXÉCUTION (UE) 2021/627 DE LA COMMISSION

du 15 avril 2021

établissant des règles relatives à la tenue des registres et à l’accès à ceux-ci dans le système européen d’information et d’autorisation concernant les voyages (ETIAS) conformément au règlement (UE) 2018/1240 du Parlement européen et du Conseil

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d'information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 (1), et notamment son article 73, paragraphe 3, troisième alinéa, point b) iii),

considérant ce qui suit:

(1) Le règlement (UE) 2018/1240 crée le système européen d’information et d’autorisation concernant les voyages (ETIAS) pour les ressortissants de pays tiers exemptés de l’obligation d’être en possession d’un visa aux fins d’entrer et de séjourner sur le territoire des États membres.

(2) Le fonctionnement du système européen d’information et d’autorisation concernant les voyages exige le développement et la mise en œuvre technique du système d’information ETIAS. Le système doit comprendre des registres de toutes les opérations de traitement de données effectuées.

(3) Il convient d’établir des règles relatives à la tenue des registres et à l’accès à ceux-ci. Les registres ne devraient être utilisés que pour vérifier le respect des obligations en matière de traitement des données et pour garantir l’intégrité et la sécurité des données opérationnelles à caractère personnel.

(4) En ce qui concerne la tenue des registres, il convient de préciser le lieu où ils doivent être conservés, les modalités techniques d’enregistrement, y compris lorsque différentes composantes du système européen d’information et d’autorisation concernant les voyages sont impliquées, ainsi que les règles applicables à la suppression des registres au terme de leur période de conservation.

(5) En ce qui concerne l’accès aux registres, il y a lieu de préciser les autorités compétentes – y compris, le cas échéant, les personnes au sein de ces autorités – qui devraient se voir donner la possibilité de consulter les registres et les fins auxquelles ceux-ci peuvent être consultés. Afin de faire en sorte que les autorités compétentes soient en mesure de s’acquitter des tâches qui leur permettent de contrôler la licéité du traitement des données et de garantir la sécurité et l’intégrité des données, il convient de faciliter l’identification des registres au moyen d’une fonction de recherche efficace.

(6) Il convient de tenir des registres des accès du personnel dûment autorisé des autorités nationales de chaque État membre et du personnel dûment autorisé des agences de l’Union aux fins visées à l’article 13, paragraphe 4 bis, du règlement (UE) 2018/1240 conformément aux exigences énoncées à l’article 24, paragraphes 2 et 3, du règlement (UE) 2019/817.

(7) L’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (eu-LISA) est chargée de la phase de conception et de développement du système d’information ETIAS. Les mesures prévues par la présente décision devraient permettre à l’agence eu-LISA de définir la conception de l’architecture matérielle du système européen d’information et d’autorisation concernant les voyages, y compris son infrastructure de communication, ainsi que ses spécifications techniques, et de développer ledit système. L’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice devrait compléter ces mesures par les spécifications techniques et par le document de contrôle des interfaces du système européen d’information et d’autorisation concernant les voyages.

(8) Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark n’a pas participé à l’adoption du règlement (UE) 2018/1240 et n’est pas lié par celui-ci ni soumis à son application. Toutefois, le règlement (UE) 2018/1240 développant l’acquis de Schengen, le Danemark, conformément à l’article 4 dudit protocole, a notifié le 21 décembre 2018 sa décision de transposer ledit règlement dans son droit national.

(9) La présente décision constitue un développement des dispositions de l’acquis de Schengen auxquelles l’Irlande ne participe pas, conformément à la décision 2002/192/CE du Conseil (2); l’Irlande ne participe donc pas à l’adoption de la présente décision et n’est pas liée par celle-ci ni soumise à son application.

(10) En ce qui concerne l’Islande et la Norvège, la présente décision constitue un développement des dispositions de l’acquis de Schengen, au sens de l’accord conclu par le Conseil de l’Union européenne, la République d’Islande et le Royaume de Norvège sur l’association de ces deux États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (3), qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE du Conseil (4).

(11) En ce qui concerne la Suisse, la présente décision constitue un développement des dispositions de l’acquis de Schengen, au sens de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (5), qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE du Conseil, lue en liaison avec l’article 3 de la décision 2008/146/CE du Conseil (6).

(12) En ce qui concerne le Liechtenstein, la présente décision constitue un développement des dispositions de l’acquis de Schengen, au sens du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (7), qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE du Conseil, lue en liaison avec l’article 3 de la décision 2011/350/UE du Conseil (8).

(13) En ce qui concerne Chypre, la Bulgarie et la Roumanie, et la Croatie, la présente décision constitue un acte fondé sur l’acquis de Schengen ou qui s’y rapporte, au sens, respectivement, de l’article 3, paragraphe 1, de l’acte d’adhésion de 2003, de l’article 4, paragraphe 1, de l’acte d’adhésion de 2005 et de l’article 4, paragraphe 1, de l’acte d’adhésion de 2011.

(14) Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (9) et a rendu un avis le 4 septembre 2020.

(15) Les mesures prévues par la présente décision sont conformes à l’avis du comité des frontières intelligentes (ETIAS),

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Tenue des registres des opérations de traitement de données 1. Les registres de toutes les opérations de traitement de données dans le système d’information ETIAS, qui doivent être tenus conformément à l’article 69, paragraphe 1, du règlement (UE) 2018/1240 et qui comprennent l’enregistrement des opérations impliquant l’accès des transporteurs conformément à l’article 45, paragraphe 7, dudit règlement, des autorités frontalières et des autorités chargées de l’immigration conformément à l’article 69, paragraphe 3, dudit règlement et des points d’accès centraux conformément à l’article 70, paragraphe 1, dudit règlement, sont conservés et stockés dans le système central ETIAS par l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice. 2. Chaque opération de traitement de données dans le système d’information ETIAS fait l’objet d’un enregistrement séparé. L’enregistrement comporte un champ spécifique permettant d’identifier les détails de l’opération effectuée. 3. L’enregistrement comporte la date et l’heure de chaque opération de traitement de données («horodatage»). 4. Chaque enregistrement conserve l’identifiant unique de l’autorité ainsi que l’identité de l’agent ou du membre du personnel qui consulte, modifie ou efface des données stockées dans le système central ETIAS. 5. Le système central ETIAS procède chaque jour à la suppression d’enregistrements, conformément aux durées de conservation prévues à l’article 45, paragraphe 7, à l’article 69, paragraphe 4, et à l’article 70, paragraphe 4, du règlement (UE) 2018/1240. L’horodatage est utilisé pour déterminer les enregistrements qui doivent être supprimés à la fin de la période de conservation correspondant à chaque type de registre.

Article 2 Accès aux registres des opérations de traitement de données 1. L’accès aux registres tenus par l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice en vertu du règlement (UE) 2018/1240 est limité: (a) aux administrateurs dûment autorisés de l’ETIAS de l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice et au délégué à la protection des données aux fins visées à l’article 58, paragraphe 2, du règlement (UE) 2018/1240, et notamment pour assurer le respect de l’article 69, paragraphe 4, dudit règlement; (b) au personnel dûment autorisé et au délégué à la protection des données de l’Agence européenne de garde-frontières et de garde-côtes, aux fins prévues à l’article 7, paragraphe 2, point e), et à l’article 61 du règlement (UE) 2018/1240 et pour assurer la licéité du traitement des données et l’intégrité et la sécurité des données; (c) au personnel dûment autorisé et aux délégués à la protection des données des unités nationales ETIAS, aux fins visées à l’article 57, paragraphe 2. 2. Le Contrôleur européen de la protection des données et les autorités de contrôle nationales compétentes, dans l’exercice des fonctions de contrôle visées aux articles 66 et 67 du règlement (UE) 2018/1240, ont accès aux registres, sur demande adressée à l’eu-LISA ou à une ou plusieurs unités nationales ETIAS. 3. Il est possible d’effectuer des recherches dans les enregistrements et les champs spécifiques figurant dans le système central ETIAS conformément à l’article 1er au moins par auteur, date d’accès ou type d’opération de traitement. 4. Aux fins de l’article 45, paragraphes 5 et 7, du règlement (UE) 2018/1240, l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice peut transmettre aux unités nationales ETIAS les registres nécessaires au règlement d’un litige résultant de l’application dudit article, pour autant que les conditions suivantes soient remplies: (a) l’unité nationale ETIAS concernée a présenté une demande expresse motivée en ce sens à l’Agence européenne de garde-frontières et de garde-côtes en sa qualité de responsable du traitement des données au sens de l’article 57, paragraphe 1, première phrase, dudit règlement; (b) l’Agence européenne de garde-frontières et de garde-côtes a vérifié et approuvé la demande. 5. La traçabilité des registres relatifs à l’accès aux registres visé au paragraphe 1 est assurée au moins en ce qui concerne l’auteur ou la date d’accès. 6. Il est possible d’effectuer des recherches dans les registres relatifs à l’accès aux registres visé au paragraphe 1 au moins par auteur, date d’accès ou type d’opération de traitement.

Article 3 Entrée en vigueur La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 15 avril 2021. Par la Commission La présidente Ursula VON DER LEYEN

(1) JO L 236 du 19.9.2018, p. 1.

(2) Décision 2002/192/CE du Conseil du 28 février 2002 relative à la demande de l’Irlande de participer à certaines dispositions de l’acquis de Schengen (JO L 64 du 7.3.2002, p. 20).

(3) JO L 176 du 10.7.1999, p. 36.

(4) Décision 1999/437/CE du Conseil du 17 mai 1999 relative à certaines modalités d’application de l’accord conclu par le Conseil de l’Union européenne et la République d’Islande et le Royaume de Norvège sur l’association de ces États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (JO L 176 du 10.7.1999, p. 31).

(5) JO L 53 du 27.2.2008, p. 52.

(6) Décision 2008/146/CE du Conseil du 28 janvier 2008 relative à la conclusion, au nom de la Communauté européenne, de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (JO L 53 du 27.2.2008, p. 1).

(7) JO L 160 du 18.6.2011, p. 21.

(8) Décision 2011/350/UE du Conseil du 7 mars 2011 relative à la conclusion, au nom de l’Union européenne, du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen en ce qui concerne la suppression des contrôles aux frontières intérieures et la circulation des personnes (JO L 160 du 18.6.2011, p. 19).

(9) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).