DÉCISION DÉLÉGUÉE (UE) 2019/970 DE LA COMMISSION

du 22 février 2019

relative à l'outil permettant aux demandeurs de suivre le statut de leur demande et de vérifier la durée de validité et le statut de leur autorisation de voyage conformément à l'article 31 du règlement (UE) 2018/1240 du Parlement européen et du Conseil

(Texte présentant de l'intérêt pour l'EEE)

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne,

vu le règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d'un système européen d'information et d'autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 (1), et notamment son article 31,

considérant ce qui suit:

(1) Le règlement (UE) 2018/1240 a créé, pour les ressortissants de pays tiers exemptés de l'obligation d'être en possession d'un visa lors du franchissement des frontières extérieures, un système européen d'information et d'autorisation concernant les voyages (ETIAS). Il a fixé les conditions et les procédures relatives à la délivrance ou au refus d'une autorisation de voyage.

(2) Les demandeurs et les titulaires d'une autorisation de voyage ETIAS, les personnes dont l'autorisation de voyage ETIAS a été refusée, révoquée ou annulée ou les personnes dont l'autorisation de voyage ETIAS a expiré et qui ont consenti à la conservation de leurs données conformément à l'article 54, paragraphe 2, du règlement (UE) 2018/1240 (ci-après les «demandeurs») devraient être en mesure de vérifier le statut de leur demande et de vérifier la durée de validité et le statut de leur autorisation de voyage.

(3) La présente décision devrait fixer les conditions et modalités selon lesquelles les demandeurs peuvent suivre le statut de leur demande et vérifier la durée de validité et le statut de leur autorisation de voyage au moyen d'un outil spécifique.

(4) L'outil de vérification devrait être accessible via le site internet public prévu à cet effet ou via l'application pour appareils mobiles, ainsi que par un lien sécurisé. Il convient que le lien renvoyant à l'outil de vérification soit envoyé à l'adresse électronique du demandeur lorsque celui-ci reçoit la notification accusant réception d'une demande ou la notification l'informant de la délivrance, de la révocation ou de l'annulation d'une autorisation de voyage, conformément à l'article 19, paragraphe 5, à l'article 38, paragraphe 1, point a), à l'article 42, point a), et à l'article 44, paragraphe 6, point a), du règlement (UE) 2018/1240.

(5) L'outil de vérification devrait permettre de confirmer l'identité du demandeur. Il y a donc lieu de définir les exigences en matière d'authentification en vue de l'accès à l'outil de vérification. Les demandeurs devraient communiquer des données afin de permettre leur authentification. Il est également nécessaire de déterminer les indications de statut qui seront fournies par l'outil de vérification et permettront au demandeur de suivre le statut de sa demande et de vérifier la durée de validité et le statut de son autorisation de voyage.

(6) Les canaux de communication de l'outil de vérification avec le système central ETIAS devraient être déterminés. En outre, le format des messages, les normes et les protocoles ainsi que les exigences de sécurité devraient être établis.

(7) Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark n'a pas participé à l'adoption du règlement (UE) 2017/2226 du Parlement européen et du Conseil (2) et n'est donc pas lié par celui-ci ni soumis à son application. Toutefois, le règlement (UE) 2018/1240 développant l'acquis de Schengen, le Danemark, conformément à l'article 4 dudit protocole, a notifié le 21 décembre 2018 sa décision de transposer ledit règlement dans son droit national.

(8) La présente décision constitue un développement des dispositions de l'acquis de Schengen auxquelles le Royaume-Uni ne participe pas, conformément à la décision 2000/365/CE du Conseil (3); le Royaume-Uni ne participe donc pas à l'adoption de la présente décision et n'est pas lié par celle-ci ni soumis à son application.

(9) La présente décision constitue un développement des dispositions de l'acquis de Schengen auxquelles l'Irlande ne participe pas, conformément à la décision 2002/192/CE du Conseil (4); l'Irlande ne participe donc pas à l'adoption de la présente décision et n'est pas liée par celle-ci ni soumise à son application.

(10) En ce qui concerne l'Islande et la Norvège, la présente décision constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord conclu par le Conseil de l'Union européenne, la République d'Islande et le Royaume de Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (5), qui relèvent du domaine visé à l'article 1er, point A, de la décision 1999/437/CE du Conseil (6).

(11) En ce qui concerne la Suisse, la présente décision constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (7), qui relèvent du domaine visé à l'article 1er, point A, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2008/146/CE du Conseil (8).

(12) En ce qui concerne le Liechtenstein, la présente décision constitue un développement des dispositions de l'acquis de Schengen au sens du protocole entre l'Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (9), qui relèvent du domaine visé à l'article 1er, point A, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2011/350/UE du Conseil (10).

(13) Le contrôleur européen de la protection des données a été consulté le 28 janvier 2019 et a rendu son avis le 8 février 2019,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Accès à l'outil de vérification 1. Les demandeurs et les titulaires d'une autorisation de voyage ETIAS, les personnes dont l'autorisation de voyage ETIAS a été refusée, révoquée ou annulée ou les personnes dont l'autorisation de voyage ETIAS a expiré et qui ont consenti à la conservation de leurs données conformément à l'article 54, paragraphe 2, du règlement (UE) 2018/1240 (ci-après les «demandeurs») ont accès à l'outil de vérification. 2. L'outil de vérification est accessible via: a) le site internet public prévu à cet effet; b) l'application pour appareils mobiles visée à l'article 16 du règlement (UE) 2018/1240; c) un lien fourni au moyen de la messagerie électronique ETIAS visée à l'article 6, paragraphe 2, point f), du règlement (UE) 2018/1240. Ce lien est envoyé au demandeur lorsque celui-ci reçoit la notification accusant réception d'une demande ou la notification l'informant de la délivrance, de la révocation ou de l'annulation d'une autorisation de voyage, conformément à l'article 19, paragraphe 5, à l'article 38, paragraphe 1, point a), à l'article 42, point a), et à l'article 44, paragraphe 6, point a), du règlement (UE) 2018/1240.

Article 2 Authentification à deux facteurs requise pour avoir accès à l'outil de vérification 1. La connexion à l'outil de vérification est subordonnée à une authentification à deux facteurs. 2. La première authentification consiste à saisir les données suivantes: a) le numéro du document de voyage; b) le pays de délivrance du document de voyage, à sélectionner dans une liste préétablie; c) l'adresse électronique. 3. Les données saisies par le demandeur sont identiques à celles qu'il a indiquées dans son formulaire de demande. 4. La deuxième authentification consiste en un code unique à introduire dans l'outil de vérification pour confirmer l'authentification. 5. Dès la transmission des informations mentionnées au paragraphe 2, le code unique est automatiquement généré et envoyé au demandeur au moyen de la messagerie électronique visée à l'article 6, paragraphe 2, point f), du règlement (UE) 2018/1240. 6. Le code unique expire après une brève période. L'envoi d'un nouveau code unique invalide les codes uniques envoyés précédemment au même demandeur. 7. Le code unique est envoyé à la même adresse électronique que celle communiquée dans la demande introduite. 8. Le code unique n'est utilisable qu'une seule fois.

Article 3 Indications de statut fournies par l'outil de vérification 1. Dès l'authentification leur donnant accès à l'outil, les demandeurs visualisent le statut de chaque demande ou autorisation de voyage liée au numéro de leur document de voyage. 2. L'outil de vérification indique l'un des statuts suivants pour chaque demande ou autorisation de voyage liée au numéro du document de voyage: a) «introduite»; b) «en cours de validité»; c) «refusée»; d) «annulée»; e) «révoquée»; f) «arrivée à expiration». 3. Pour chaque autorisation de voyage en cours de validité, l'outil de vérification indique la date de fin de la période de validité. 4. En cas de validité territoriale limitée, le demandeur est informé du ou des État(s) membre(s) pour le(s)quel(s) l'autorisation de voyage est valable. Ces informations sont affichées à un endroit bien visible dans l'outil de vérification. 5. Un avertissement apparaît dans l'outil de vérification, indiquant qu'une autorisation de voyage en cours de validité ne confère pas un droit d'entrée ou de séjour automatique, comme précisé à l'article 36, paragraphe 6, du règlement (UE) 2018/1240. Cet avertissement invite également le demandeur à consulter le service internet du système d'entrée/de sortie (EES) visé à l'article 13 du règlement (UE) 2017/2226, qui est clairement indiqué, afin d'obtenir de plus amples informations sur la durée restante du séjour autorisé.

Article 4 Exigences relatives à l'extraction de données 1. L'outil de vérification utilise une base de données distincte en lecture seule mise à jour en quelques minutes, au moyen d'une extraction à sens unique des sous-ensembles minimaux de données conservées dans l'ETIAS nécessaires pour mettre en œuvre les dispositions des articles 2 et 3 de la présente décision. 2. L'eu-LISA est responsable de la sécurité de l'outil de vérification, de la sécurité des données à caractère personnel qu'il contient et du processus d'extraction des données à caractère personnel vers la base de données distincte en lecture seule.

Article 5 Format des messages, normes et protocoles Le format des messages et les protocoles à mettre en œuvre figurent dans les spécifications techniques visées à l'article 73, paragraphe 3, du règlement (UE) 2018/1240.

Article 6 Considérations particulières de sécurité 1. L'outil de vérification est conçu et mis en œuvre pour assurer la confidentialité, l'intégrité et la disponibilité des données traitées et pour garantir la non-répudiation des transactions. Sa mise en œuvre technique et organisationnelle satisfait aux exigences du plan de sécurité de l'ETIAS, mentionné à l'article 59, paragraphe 3, du règlement (UE) 2018/1240, et des règles relatives à la protection et à la sécurité des données applicables au site internet public et à l'application pour appareils mobiles, mentionnées à l'article 16, paragraphe 10, dudit règlement. 2. L'outil de vérification est conçu de manière à ce qu'il soit préservé de tout accès illicite. À cette fin, l'outil de vérification limite le nombre de tentatives d'accès avec le même document de voyage et le même code unique. Il comporte également des fonctions visant à le protéger contre d'éventuels accès non humains. 3. L'outil de vérification comprend également des fonctions visant à interrompre la connexion après quelques minutes d'inactivité. 4. Les modalités supplémentaires concernant la confidentialité, l'intégrité et la disponibilité des données traitées font l'objet des spécifications techniques visées à l'article 73, paragraphe 3, du règlement (UE) 2018/1240.

Article 7 Registres 1. L'outil de vérification tient des journaux d'activité, comprenant: a) les données relatives à l'authentification, y compris la mention de la réussite ou de l'échec de l'authentification; b) la date et l'heure de l'accès. 2. Les registres d'activité produits par l'outil sont copiés dans le système central. Ils sont stockés pendant un an au maximum après l'expiration du délai de conservation du dossier de demande, à moins qu'ils ne soient nécessaires aux fins de procédures de contrôle déjà entamées. Ils sont supprimés automatiquement ensuite. Les registres ne peuvent être utilisés qu'aux fins indiquées à l'article 69, paragraphe 4, du règlement (UE) 2018/1240.

Article 8 La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne.

Fait à Bruxelles, le 22 février 2019. Par la Commission Le président Jean-Claude JUNCKER

(1) JO L 236 du 19.9.2018, p. 1.

(2) Règlement (UE) 2017/2226 du Parlement européen et du Conseil du 30 novembre 2017 portant création d'un système d'entrée/de sortie (EES) pour enregistrer les données relatives aux entrées, aux sorties et aux refus d'entrée concernant les ressortissants de pays tiers qui franchissent les frontières extérieures des États membres et portant détermination des conditions d'accès à l'EES à des fins répressives, et modifiant la convention d'application de l'accord de Schengen et les règlements (CE) no 767/2008 et (UE) no 1077/2011 (JO L 327 du 9.12.2017, p. 20).

(3) Décision 2000/365/CE du Conseil du 29 mai 2000 relative à la demande du Royaume-Uni de Grande-Bretagne et d'Irlande du Nord de participer à certaines dispositions de l'acquis de Schengen (JO L 131 du 1.6.2000, p. 43).

(4) Décision 2002/192/CE du Conseil du 28 février 2002 relative à la demande de l'Irlande de participer à certaines dispositions de l'acquis de Schengen (JO L 64 du 7.3.2002, p. 20).

(5) JO L 176 du 10.7.1999, p. 36.

(6) Décision 1999/437/CE du Conseil du 17 mai 1999 relative à certaines modalités d'application de l'accord conclu par le Conseil de l'Union européenne et la République d'Islande et le Royaume de Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (JO L 176 du 10.7.1999, p. 31).

(7) JO L 53 du 27.2.2008, p. 52.

(8) Décision 2008/146/CE du Conseil du 28 janvier 2008 relative à la conclusion, au nom de la Communauté européenne, de l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (JO L 53 du 27.2.2008, p. 1).

(9) JO L 160 du 18.6.2011, p. 21.

(10) Décision 2011/350/UE du Conseil du 7 mars 2011 relative à la conclusion, au nom de l'Union européenne, du protocole entre l'Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen en ce qui concerne la suppression des contrôles aux frontières intérieures et la circulation des personnes (JO L 160 du 18.6.2011, p. 19).