RÈGLEMENT (UE) 2019/816 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 17 avril 2019

portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 82, paragraphe 1, deuxième alinéa, point d),

vu la proposition de la Commission européenne,

après transmission du projet d'acte législatif aux parlements nationaux,

statuant conformément à la procédure législative ordinaire (1),

considérant ce qui suit:

(1) L'Union s'est donné pour objectif d'offrir à ses citoyens un espace de liberté, de sécurité et de justice sans frontières intérieures, au sein duquel est assurée la libre circulation des personnes. Cet objectif devrait être réalisé au moyen, entre autres, de mesures appropriées visant à prévenir et à lutter contre la criminalité, y compris la criminalité organisée et le terrorisme.

(2) Cet objectif requiert que les informations relatives aux condamnations prononcées dans les États membres soient prises en compte en dehors de l'État membre de condamnation à l'occasion d'une nouvelle procédure pénale, conformément à la décision-cadre 2008/675/JAI du Conseil (2), ainsi que pour prévenir de nouvelles infractions.

(3) Cet objectif suppose des échanges d'informations extraites des casiers judiciaires entre les autorités compétentes des États membres. Ces échanges d'informations sont organisés et facilités par les règles énoncées dans la décision-cadre 2009/315/JAI du Conseil (3) et par le système européen d'information sur les casiers judiciaires (ECRIS), créé conformément à la décision 2009/316/JAI du Conseil (4).

(4) Toutefois, le cadre juridique actuel de l'ECRIS ne répond pas suffisamment aux particularités des demandes concernant des ressortissants de pays tiers. Bien qu'il soit déjà possible d'échanger des informations sur les ressortissants de pays tiers au moyen de l'ECRIS, il n'existe pas de procédure ni de mécanisme commun de l'Union permettant de le faire avec efficacité, rapidité et exactitude.

(5) Au sein de l'Union, les informations relatives aux ressortissants de pays tiers ne sont pas rassemblées, comme c'est le cas pour les ressortissants des États membres, dans l'État membre de nationalité, mais seulement conservées dans les États membres où les condamnations ont été prononcées. Il n'est donc possible d'avoir un aperçu complet des antécédents judiciaires d'un ressortissant d'un pays tiers qu'en demandant ces informations à tous les États membres.

(6) De telles demandes générales imposent une charge administrative disproportionnée à tous les États membres, y compris à ceux qui ne détiennent pas d'informations sur le ressortissant d'un pays tiers concerné. Dans la pratique, cette charge dissuade les États membres de demander des informations sur les ressortissants de pays tiers à d'autres États membres, ce qui entrave considérablement l'échange d'informations entre eux, et a pour résultat que l'accès aux informations sur les casiers judiciaires est limité aux informations conservées dans leur registre national. Il existe dès lors un risque accru que les échanges d'informations entre États membres soient inefficaces et incomplets, au détriment du niveau de sécurité et de sûreté dont bénéficient les citoyens et les personnes résidant dans l'Union.

(7) Pour remédier à ce problème, il convient de créer un système au moyen duquel l'autorité centrale d'un État membre peut déterminer rapidement et avec efficacité quels autres États membres détiennent des informations sur le casier judiciaire d'un ressortissant d'un pays tiers (ci-après dénommé «ECRIS-TCN»). Le cadre actuel de l'ECRIS pourrait ensuite être utilisé pour demander à ces États membres des informations sur le casier judiciaire en question conformément à la décision-cadre 2009/315/JAI.

(8) Il convient dès lors que le présent règlement définisse les règles relatives à la création, à l'échelle de l'Union, d'un système centralisé contenant des données à caractère personnel et les règles relatives à la répartition des responsabilités entre l'État membre et l'organisme responsable du développement et de la maintenance du système centralisé, et qu'il fixe toutes les dispositions spécifiques en matière de protection des données qui sont nécessaires pour compléter les mesures existantes en matière de protection des données et garantir un niveau global approprié de protection et de sécurité des données ainsi que la protection des droits fondamentaux des personnes concernées.

(9) L'objectif consistant à offrir aux citoyens de l'Union un espace de liberté, de sécurité et de justice sans frontières intérieures, au sein duquel est assurée la libre circulation des personnes, requiert également que les informations à détenir sur les décisions de condamnation soient complètes, y compris en ce qui concerne les citoyens de l'Union qui ont la nationalité d'un pays tiers. Étant donné qu'il est possible que ces personnes se présentent sous une ou plusieurs nationalités, et que différentes décisions de condamnation soient conservées dans l'État membre de condamnation ou dans l'État membre dont la personne concernée a la nationalité, il est nécessaire, d'inclure dans le champ d'application du présent règlement les citoyens de l'Union qui ont la nationalité d'un pays tiers. L'exclusion de ces personnes rendrait les informations conservées dans l'ECRIS-TCN incomplètes. Cela compromettrait la fiabilité du système. Cependant, comme ces personnes possèdent la citoyenneté de l'Union, les conditions dans lesquelles les données dactyloscopiques peuvent être introduites dans l'ECRIS-TCN en ce qui concerne ces personnes devraient être comparables aux conditions dans lesquelles les données dactyloscopiques des citoyens de l'Union sont échangées entre les États membres dans le cadre de l'ECRIS, qui a été créé par la décision-cadre 2009/315/JAI et la décision 2009/316/JAI. Par conséquent, en ce qui concerne les citoyens de l'Union ayant également la nationalité d'un pays tiers, les données dactyloscopiques ne devraient être introduites dans l'ECRIS-TCN que lorsqu'elles ont été recueillies conformément au droit national à l'occasion de procédures pénales, étant entendu que, aux fins de cette introduction, les États membres devraient pouvoir utiliser les données dactyloscopiques recueillies à des fins autres qu'une procédure pénale, lorsque cette utilisation est autorisée par le droit national.

(10) L'ECRIS-TCN devrait permettre le traitement de données dactyloscopiques aux fins d'identifier les États membres détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers. Il devrait aussi permettre le traitement d'images faciales en vue de confirmer son identité. Il est essentiel que l'inscription et l'utilisation de données dactyloscopiques et d'images faciales n'excèdent pas ce qui est strictement nécessaire pour atteindre l'objectif poursuivi, respectent les droits fondamentaux, de même que l'intérêt supérieur de l'enfant, et soient en conformité avec les règles applicables de l'Union en matière de protection des données.

(11) L'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (ci-après dénommée «eu-LISA»), instituée par le règlement (UE) 2018/1726 du Parlement européen et du Conseil (5), devrait être chargée de développer et d'exploiter l'ECRIS-TCN, compte tenu de son expérience dans la gestion d'autres systèmes à grande échelle dans le domaine de la justice et des affaires intérieures. Il convient de modifier son mandat pour tenir compte de ces nouvelles tâches.

(12) L'eu-LISA devrait être dotée des ressources financières et humaines nécessaires pour assumer ses responsabilités en vertu du présent règlement.

(13) Compte tenu de la nécessité de créer des liens techniques étroits entre l'ECRIS-TCN et l'ECRIS, l'eu-LISA devrait également être chargée de poursuivre le développement de l'application de référence de l'ECRIS et d'en assurer la maintenance et son mandat devrait être modifié en conséquence.

(14) Quatre États membres ont développé leur propre logiciel d'application national de l'ECRIS conformément à la décision 2009/316/JAI et l'utilisent à la place de l'application de référence de l'ECRIS pour échanger des informations sur les casiers judiciaires. Compte tenu des caractéristiques particulières que ces États membres ont introduites dans leurs systèmes aux fins d'un usage national et des investissements qu'ils ont réalisés, il convient de les autoriser à utiliser leur logiciel d'application national de l'ECRIS également aux fins de l'ECRIS-TCN, pour autant que les conditions prévues dans le présent règlement soient respectées.

(15) L'ECRIS-TCN devrait contenir uniquement les éléments d'identification des ressortissants de pays tiers ayant été condamnés par une juridiction pénale au sein de l'Union. Ces éléments devraient inclure des données alphanumériques et des données dactyloscopiques. Il devrait également être possible d'inclure des images faciales, dans la mesure où le droit de l'État membre dans lequel une condamnation est prononcée autorise la collecte et la conservation des images faciales d'une personne condamnée.

(16) Les données alphanumériques que les États membres doivent inscrire dans le système central devraient comprendre le nom (nom de famille) et les prénoms de la personne condamnée, ainsi que, lorsque l'autorité centrale dispose de ces informations, tout pseudonyme ou nom d'emprunt de cette personne. Lorsque l'État membre concerné est en possession de données personnelles divergentes, par exemple une orthographe différente d'un nom dans un autre alphabet, il devrait être possible de les inscrire dans le système central à titre complémentaire.

(17) Les données alphanumériques devraient également comprendre, à titre complémentaire, le numéro d'identité, ou le type et le numéro des documents d'identité de la personne concernée, ainsi que le nom de l'autorité ayant délivré ces documents, lorsque l'autorité centrale dispose de ces informations. L'État membre devrait s'efforcer de vérifier l'authenticité des documents d'identité avant d'inscrire les informations en question dans le système central. En tout état de cause, ces informations pouvant se révéler non fiables, il y a lieu de les exploiter avec prudence.

(18) Les autorités centrales devraient utiliser l'ECRIS-TCN pour identifier les États membres qui détiennent des informations sur le casier judiciaire d'un ressortissant d'un pays tiers lorsque ces informations sont demandées dans l'État membre concerné aux fins d'une procédure pénale à l'encontre de cette personne ou à toute fin visée dans le présent règlement. Si l'ECRIS-TCN devrait en principe être utilisé dans tous ces cas de figure, l'autorité chargée de la conduite de la procédure pénale devrait pouvoir décider qu'il convient de ne pas utiliser l'ECRIS-TCN lorsque cela ne serait pas approprié dans les circonstances de l'espèce, par exemple dans certains types de procédures pénales urgentes, en cas de transit, lorsque les informations sur le casier judiciaire ont été obtenues récemment par l'intermédiaire de l'ECRIS, ou en cas d'infractions mineures, en particulier s'il s'agit d'infractions routières mineures, d'infractions mineures aux règlements municipaux généraux ainsi que d'infractions mineures à l'ordre public.

(19) Les États membres devraient aussi pouvoir utiliser l'ECRIS-TCN à des fins autres que celles prévues dans le présent règlement, si le droit national le prévoit et conformément à celui-ci. Toutefois, pour rendre plus transparente l'utilisation de l'ECRIS-TCN, les États membres devraient notifier ces autres fins à la Commission, qui devrait veiller à ce que toutes les notifications soient publiées au Journal officiel de l'Union européenne.

(20) Les autres autorités demandant des informations sur un casier judiciaire devraient également pouvoir décider que l'ECRIS-TCN ne devrait pas être utilisé lorsque cela ne serait pas approprié dans les circonstances de l'espèce, par exemple dans le cas où il est nécessaire de procéder à des vérifications administratives standard concernant les qualifications professionnelles d'une personne, en particulier si l'on sait que des informations sur le casier judiciaire ne seront pas demandées auprès d'autres États membres, indépendamment du résultat de la recherche dans l'ECRIS-TCN. Cependant, l'ECRIS-TCN devrait toujours être utilisé lorsque la demande d'informations sur le casier judiciaire a été introduite par une personne qui demande des informations sur son propre casier judiciaire conformément à la décision-cadre 2009/315/JAI, ou lorsqu'elle est présentée pour obtenir des informations sur un casier judiciaire conformément à la directive 2011/93/UE du Parlement européen et du Conseil (6).

(21) Les ressortissants de pays tiers devraient avoir le droit d'obtenir des informations par écrit sur leur propre casier judiciaire conformément au droit de l'État membre dans lequel ils demandent la communication de ces informations et conformément à la décision-cadre 2009/315/JAI. Avant de communiquer ces informations à un ressortissant d'un pays tiers, l'État membre concerné devrait interroger l'ECRIS-TCN.

(22) Les citoyens de l'Union qui ont également la nationalité d'un pays tiers ne seront inclus dans l'ECRIS-TCN que si les autorités compétentes ont connaissance du fait que ces personnes ont la nationalité d'un pays tiers. Lorsque les autorités compétentes n'ont pas connaissance du fait que des citoyens de l'Union ont également la nationalité d'un pays tiers, il est néanmoins possible que ces personnes aient fait l'objet de condamnations antérieures en tant que ressortissants de pays tiers. Pour faire en sorte que les autorités compétentes aient un aperçu complet des casiers judiciaires, il devrait être possible d'interroger l'ECRIS-TCN pour vérifier si, en ce qui concerne un citoyen de l'Union, un État membre quelconque détient des informations sur le casier judiciaire de cette personne en tant que ressortissant d'un pays tiers.

(23) Dans le cas où il existe une concordance entre les données enregistrées dans le système central et celles utilisées par un État membre pour effectuer une recherche (réponse positive), les éléments d'identification pour lesquels une réponse positive a été trouvée devraient être fournis en même temps que ce résultat. Le résultat d'une recherche ne devrait être utilisé par les autorités centrales qu'aux fins de présenter une demande par l'intermédiaire de l'ECRIS ou par l'Agence de l'Union européenne pour la coopération judiciaire en matière pénale (Eurojust) instituée par le règlement (UE) 2018/1727 du Parlement européen et du Conseil (7), l'Agence de l'Union européenne pour la coopération des services répressifs (Europol), instituée par le règlement (UE) 2016/794 du Parlement européen et du Conseil (8), et le Parquet européen, institué par le règlement (UE) 2017/1939 du Conseil (9), qu'aux fins de présenter une demande d'informations relatives aux condamnations au titre du présent règlement.

(24) Dans un premier temps, les images faciales introduites dans l'ECRIS-TCN ne devraient être utilisées qu'aux fins de la confirmation de l'identité d'un ressortissant d'un pays tiers en vue d'identifier les États membres détenant des informations sur les condamnations antérieures de ce ressortissant d'un pays tiers. À terme, les images faciales devraient pouvoir être utilisées pour l'établissement automatisé de correspondances biométriques, pour autant que les exigences techniques et politiques à cet égard aient été respectées. La Commission devrait, en se fondant sur des critères de nécessité et de proportionnalité ainsi que sur les évolutions techniques dans le domaine des logiciels de reconnaissance faciale, évaluer si la technique requise est disponible et prête à être employée avant d'adopter un acte délégué concernant l'utilisation des images faciales aux fins de l'identification de ressortissants de pays tiers en vue d'identifier les États membres détenant des informations sur les condamnations antérieures de ces personnes.

(25) L'utilisation de la biométrie est nécessaire, car il s'agit de la méthode la plus fiable pour identifier les ressortissants de pays tiers sur le territoire des États membres, qui n'ont souvent pas de documents ni d'autre moyen d'identification à leur disposition, et pour recouper de manière plus fiable les données de ressortissants de pays tiers.

(26) Les États membres devraient inscrire dans le système central les données dactyloscopiques de ressortissants de pays tiers condamnés qui ont été recueillies conformément au droit national au cours d'une procédure pénale. Afin que les données d'identification les plus complètes possibles figurent dans le système central, les États membres devraient également pouvoir inscrire dans le système central les données dactyloscopiques qui ont été recueillies à d'autres fins qu'une procédure pénale, lorsque ces données dactyloscopiques peuvent être utilisées dans une procédure pénale conformément au droit national.

(27) Le présent règlement devrait établir des critères minimaux concernant les données dactyloscopiques que les États membres devraient inclure dans le système central. Les États membres devraient avoir le choix soit inscrire les données dactyloscopiques des ressortissants de pays tiers qui ont été condamnés à une peine privative de liberté d'au moins six mois, soit inscrire les données dactyloscopiques de ressortissants de pays tiers qui ont été condamnés pour avoir commis une infraction pénale punissable, en vertu du droit de l'État membre concerné, d'une peine privative de liberté d'une durée maximale d'au moins douze mois.

(28) Les États membres devraient créer, dans l'ECRIS-TCN, des enregistrements concernant les ressortissants de pays tiers condamnés. Cela devrait se faire, si possible, automatiquement et sans retard injustifié après l'inscription de la condamnation dans le casier judiciaire national. Les États membres devraient, conformément au présent règlement, inscrire dans le système central les données alphanumériques et dactyloscopiques liées aux condamnations prononcées après la date de début d'inscription des données dans le système ECRIS-TCN. À partir de la même date, et à tout moment par la suite, les États membres devraient pouvoir saisir des images faciales dans le système central.

(29) Les États membres devraient également, conformément au présent règlement, créer, dans l'ECRIS-TCN, des enregistrements concernant les ressortissants de pays tiers condamnés avant la date de début de l'inscription des données, afin de garantir l'efficacité maximale du système. Toutefois, les États membres ne devraient pas être tenus, à cette fin, de recueillir des informations qui ne figuraient pas dans leurs casiers judiciaires avant la date de début de l'inscription des données. Les données dactyloscopiques de ressortissants de pays tiers recueillies en rapport avec ces condamnations antérieures devraient être incluses uniquement si elles ont été recueillies à l'occasion d'une procédure pénale, et si l'État membre concerné considère qu'elles peuvent être clairement mises en concordance avec d'autres données d'identification dans les casiers judiciaires.

(30) L'amélioration de l'échange d'informations sur les condamnations devrait aider les États membres à mettre en œuvre la décision-cadre 2008/675/JAI, qui impose aux États membres de prendre en compte les condamnations antérieures prononcées dans d'autres États membres à l'occasion d'une nouvelle procédure pénale, dans la mesure où les condamnations nationales antérieures sont prises en compte conformément au droit national.

(31) Une réponse positive signalée par l'ECRIS-TCN ne devrait pas automatiquement signifier que le ressortissant d'un pays tiers concerné a fait l'objet d'une condamnation dans les États membres indiqués. L'existence de condamnations antérieures devrait être confirmée uniquement sur la base des informations provenant des casiers judiciaires des États membres concernés.

(32) Nonobstant la possibilité de recourir aux programmes financiers de l'Union conformément à la réglementation applicable, chaque État membre devrait supporter ses propres frais résultant de la mise en œuvre, de la gestion, de l'utilisation et de la maintenance de sa base de données relative aux casiers judiciaires et de ses bases de données dactyloscopiques nationales, ainsi que de la mise en œuvre, de la gestion, de l'utilisation et de la maintenance des adaptations techniques nécessaires pour pouvoir utiliser l'ECRIS-TCN, y compris leurs connexions au point d'accès central national.

(33) Eurojust, Europol et le Parquet européen devraient avoir accès au système ECRIS-TCN pour identifier les États membres détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers aux fins de l'accomplissement de leurs missions statutaires. Eurojust devrait également disposer d'un accès direct à l'ECRIS-TCN pour pouvoir accomplir la tâche que lui confie le présent règlement de faire office de point de contact pour les pays tiers et les organisations internationales, sans préjudice de l'application des principes de la coopération judiciaire en matière pénale, y compris les dispositions relatives à l'entraide judiciaire. Bien qu'il y ait lieu de prendre en considération la position des États membres qui ne participent pas à la coopération renforcée portant création du Parquet européen, le Parquet européen ne devrait pas se voir refuser l'accès aux informations relatives aux condamnations au seul motif que l'État membre concerné ne participe pas à cette coopération renforcée.

(34) Le présent règlement établit des règles d'accès strictes à l'ECRIS-TCN ainsi que les garanties nécessaires, y compris en ce qui concerne la responsabilité des États membres en matière de collecte et d'utilisation des données. Il indique également comment les personnes physiques peuvent exercer leur droit à réparation ainsi que leurs droits d'accès, de rectification, d'effacement et de recours, en particulier leur droit à un recours effectif, et précise que la surveillance des opérations de traitement doit être assurée par des autorités publiques indépendantes. Il respecte dès lors les libertés et les droits fondamentaux consacrés, en particulier, dans la charte des droits fondamentaux de l'Union européenne, tels que le droit à la protection des données à caractère personnel, le principe de l'égalité en droit et l'interdiction générale de toute discrimination. À cet égard, il tient également compte de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, du Pacte international relatif aux droits civils et politiques et des autres obligations en matière de droits de l'homme découlant du droit international.

(35) La directive (UE) 2016/680 du Parlement européen et du Conseil (10) devrait s'appliquer au traitement des données à caractère personnel par les autorités nationales compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Le règlement (UE) 2016/679 du Parlement européen et du Conseil (11) devrait s'appliquer au traitement des données à caractère personnel par les autorités nationales lorsqu'un tel traitement ne relève pas du champ d'application de la directive (UE) 2016/680. Il convient d'assurer un contrôle coordonné, conformément au règlement (UE) 2018/1725 du Parlement européen et du Conseil (12), qui devrait également s'appliquer au traitement de données à caractère personnel par l'eu-LISA.

(36) En ce qui concerne les condamnations antérieures, les autorités centrales devraient inscrire les données alphanumériques au plus tard à la fin de la période d'inscription des données conformément au présent règlement, et les données dactyloscopiques deux ans après la date de mise en service de l'ECRIS-TCN. Les États membres devraient pouvoir inscrire toutes les données au même moment, à condition que ces délais soient respectés.

(37) Il y a lieu de définir des règles concernant la responsabilité des États membres, d'Eurojust, d'Europol, du Parquet européen et de l'eu-LISA en cas de dommage résultant du non-respect du présent règlement.

(38) Afin d'améliorer l'identification des États membres détenant des informations sur les condamnations antérieures de ressortissants de pays tiers, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l'article 290 du traité sur le fonctionnement de l'Union européenne en vue de compléter le présent règlement en prévoyant l'utilisation d'images faciales aux fins de l'identification des ressortissants de pays tiers pour identifier les États membres détenant des informations sur les condamnations antérieures. Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts, et que ces consultations soient menées conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016«Mieux légiférer» (13). En particulier, pour assurer leur égale participation à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents au même moment que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d'experts de la Commission traitant de la préparation des actes délégués.

(39) Afin d'assurer des conditions uniformes pour la création et la gestion opérationnelle de l'ECRIS-TCN, il convient de conférer des compétences d'exécution à la Commission. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (14).

(40) Les États membres devraient prendre les mesures nécessaires pour se conformer au présent règlement dès que possible afin d'assurer le bon fonctionnement de l'ECRIS-TCN, compte tenu du temps dont l'eu-LISA a besoin pour développer et mettre en œuvre ce système. Les États membres devraient toutefois disposer d'un délai d'au moins 36 mois à compter de l'entrée en vigueur du présent règlement pour prendre les mesures pour se conformer au présent règlement.

(41) Étant donné que l'objectif du présent règlement, à savoir permettre l'échange rapide et efficace d'informations exactes sur les casiers judiciaires de ressortissants de pays tiers, ne peut pas être atteint de manière suffisante par les États membres mais peut, grâce à la mise en place de règles communes, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif.

(42) Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application.

(43) Conformément aux articles 1er et 2 ainsi qu'à l'article 4 bis, paragraphe 1, du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, et sans préjudice de l'article 4 dudit protocole, l'Irlande ne participe pas à l'adoption du présent règlement et n'est pas liée par celui-ci ni soumise à son application.

(44) Conformément à l'article 3 et à l'article 4 bis, paragraphe 1, du protocole no 21, le Royaume-Uni a notifié son souhait de participer à l'adoption et à l'application du présent règlement.

(45) Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001 du Parlement européen et du Conseil (15) et a rendu un avis le 12 décembre 2017 (16),

ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:

CHAPITRE I

Dispositions générales

Article premier Objet Le présent règlement établit: a) un système permettant d'identifier les États membres détenant des informations sur les condamnations antérieures prononcées à l'encontre de ressortissants de pays tiers (ci-après dénommé «ECRIS-TCN»); b) les conditions dans lesquelles l'ECRIS-TCN est utilisé par les autorités centrales pour obtenir des informations sur ces condamnations antérieures au moyen du système européen d'information sur les casiers judiciaires (ECRIS) créé par la décision 2009/316/JAI, ainsi que les conditions dans lesquelles Eurojust, Europol et le Parquet européen utilisent l'ECRIS-TCN.

Article 2 Champ d'application Le présent règlement s'applique au traitement des données d'identification des ressortissants de pays tiers qui ont fait l'objet de condamnations dans les États membres aux fins d'identifier les États membres dans lesquels ces condamnations ont été prononcées. À l'exception de l'article 5, paragraphe 1, point b) ii), les dispositions du présent règlement qui s'appliquent aux ressortissants de pays tiers s'appliquent aussi aux citoyens de l'Union qui ont également la nationalité d'un pays tiers et qui ont fait l'objet de condamnations dans les États membres.

Article 3 Définitions Aux fins du présent règlement, on entend par: 1) «condamnation»: toute décision définitive d'une juridiction pénale rendue à l'encontre d'une personne physique en raison d'une infraction pénale, pour autant que cette décision soit inscrite dans le casier judiciaire de l'État membre de condamnation; 2) «procédure pénale»: la phase préalable au procès pénal, le procès pénal et la phase d'exécution de la condamnation; 3) «casier judiciaire»: le registre national ou les registres nationaux regroupant les condamnations conformément au droit national; 4) «État membre de condamnation»: l'État membre dans lequel une condamnation est prononcée; 5) «autorité centrale»: une autorité désignée conformément à l'article 3, paragraphe 1, de la décision-cadre 2009/315/JAI; 6) «autorités compétentes»: les autorités centrales et Eurojust, Europol et le Parquet européen, qui sont compétents pour accéder à l'ECRIS-TCN ou l'interroger en vertu du présent règlement; 7) «ressortissant d'un pays tiers»: une personne qui n'est pas citoyen de l'Union au sens de l'article 20, paragraphe 1, du traité sur le fonctionnement de l'Union européenne, ou qui est une personne apatride ou dont la nationalité n'est pas connue; 8) «système central»: la ou les bases de données dont le développement et la maintenance sont assurés par l'eu-LISA et qui contiennent les données d'identification des ressortissants de pays tiers qui ont fait l'objet de condamnations dans les États membres; 9) «logiciel d'interface»: le logiciel hébergé par les autorités compétentes qui leur permet d'accéder au système central au moyen de l'infrastructure de communication visée à l'article 4, paragraphe 1, point d); 10) «données d'identification»: les données alphanumériques, les données dactyloscopiques et les images faciales qui sont utilisées pour établir un lien entre ces données et une personne physique; 11) «données alphanumériques»: les données représentées par des lettres, des chiffres, des caractères spéciaux, des espaces et des signes de ponctuation; 12) «données dactyloscopiques»: les données relatives aux impressions simultanées et roulées des empreintes digitales de chaque doigt d'une personne; 13) «image faciale»: une image numérique du visage d'une personne; 14) «réponse positive»: une ou des concordances constatées en comparant les données d'identification enregistrées dans le système central et les données d'identification utilisées pour effectuer une recherche; 15) «point d'accès central national»: le point national de connexion à l'infrastructure de communication visée à l'article 4, paragraphe 1, point d); 16) «application de référence de l'ECRIS»: le logiciel développé par la Commission et mis à la disposition des États membres pour les échanges d'informations sur les casiers judiciaires au moyen de l'ECRIS; 17) «autorité de contrôle nationale»: une autorité publique indépendante instituée par un État membre en vertu des règles de l'Union en matière de protection des données; 18) «autorités de contrôles»: le Contrôleur européen de la protection des données et les autorités de contrôle nationales.

Article 4 Architecture technique de l'ECRIS-TCN 1. L'ECRIS-TCN se compose des éléments suivants: a) un système central au sein duquel sont conservées les données d'identification des ressortissants de pays tiers condamnés; b) un point d'accès central national dans chaque État membre; c) un logiciel d'interface permettant aux autorités compétentes de se connecter au système central, par l'intermédiaire des points d'accès centraux nationaux et de l'infrastructure de communication visée au point d); d) une infrastructure de communication entre le système central et les points d'accès centraux nationaux. 2. Le système central est hébergé par l'eu-LISA sur ses sites techniques. 3. Le logiciel d'interface est compatible avec l'application de référence de l'ECRIS. Les États membres utilisent l'application de référence de l'ECRIS ou, dans la situation et dans les conditions décrites aux paragraphes 4 à 8, le logiciel d'application national de l'ECRIS, pour interroger l'ECRIS-TCN et pour envoyer ensuite des demandes d'informations sur les casiers judiciaires. 4. Il incombe aux États membres qui utilisent leur logiciel d'application national de l'ECRIS de s'assurer que celui-ci permet à leurs autorités gérant les casiers judiciaires d'utiliser l'ECRIS-TCN, exception faite du logiciel d'interface, conformément au présent règlement. À cette fin, ils s'assurent, avant la date de mise en service de l'ECRIS-TCN conformément à l'article 35, paragraphe 4, que leur logiciel d'application national de l'ECRIS fonctionne conformément aux protocoles et aux spécifications techniques établis dans les actes d'exécution visés à l'article 10, ainsi qu'à toute autre exigence technique fondée sur ces actes d'exécution établie par l'eu-LISA en vertu du présent règlement. 5. Tant qu'ils n'utilisent pas l'application de référence de l'ECRIS, les États membres qui utilisent leur logiciel d'application national de l'ECRIS assurent également la mise en œuvre des adaptations techniques ultérieures de leur logiciel d'application national de l'ECRIS requises par les modifications apportées aux spécifications techniques établies par la voie des actes d'exécution visés à l'article 10, ou à toute autre exigence technique fondée sur ces actes d'exécution établie par l'eu-LISA en vertu du présent règlement, sans retard injustifié. 6. Les États membres qui utilisent leur logiciel d'application national de l'ECRIS supportent tous les coûts afférents à la mise en œuvre, à la maintenance et au développement de ce logiciel ainsi qu'à son interconnexion avec l'ECRIS-TCN, exception faite du logiciel d'interface. 7. Si un État membre qui utilise son logiciel d'application national de l'ECRIS n'est pas en mesure de satisfaire aux obligations énoncées au présent article, il est tenu d'utiliser l'application de référence de l'ECRIS, y compris le logiciel d'interface intégré, pour pouvoir utiliser l'ECRIS-TCN. 8. Aux fins de l'évaluation que doit réaliser la Commission en application de l'article 36, paragraphe 10, point b), les États membres concernés communiquent à la Commission toutes les informations nécessaires.

CHAPITRE II

Inscription et utilisation des données par les autorités centrales

Article 5 Inscription des données dans l'ECRIS-TCN 1. Pour chaque ressortissant d'un pays tiers condamné, l'autorité centrale de l'État membre de condamnation crée un fichier de données dans le système central. Ce fichier de données contient: a) en ce qui concerne les données alphanumériques: i) informations à inclure sauf si, dans des cas particuliers, l'autorité centrale n'en a pas connaissance (informations obligatoires): — le nom (nom de famille); — les prénoms; — la date de naissance; — le lieu de naissance (ville et pays); — la ou les nationalités; — le genre; — les noms précédents, le cas échéant; — le code de l'État membre de condamnation; ii) informations à inclure lorsqu'elles ont été inscrites dans le casier judiciaire (informations facultatives): — les noms des parents; iii) informations à inclure si l'autorité centrale en dispose (informations complémentaires): — le numéro d'identité, ou le type et le numéro des documents d'identité de la personne concernée, ainsi que le nom de l'autorité les ayant délivrés; — les pseudonymes ou noms d'emprunt; b) en ce qui concerne les données dactyloscopiques: i) les données dactyloscopiques qui ont été recueillies conformément au droit national à l'occasion de procédures pénales; ii) au minimum, les données dactyloscopiques recueillies sur la base de l'un des critères suivants: — lorsque le ressortissant d'un pays tiers a été condamné à une peine privative de liberté d'au moins six mois; ou — lorsque le ressortissant d'un pays tiers a été condamné pour avoir commis une infraction pénale punissable, en vertu du droit de l'État membre, d'une peine privative de liberté d'une durée maximale d'au moins douze mois. 2. Les données dactyloscopiques visées au paragraphe 1, point b), du présent article, répondent aux spécifications techniques concernant la qualité, la résolution et le traitement des données dactyloscopiques prévues dans l'acte d'exécution visé à l'article 10, paragraphe 1, point b). Le numéro de référence des données dactyloscopiques de la personne condamnée comprend le code de l'État membre de condamnation. 3. Le fichier de données peut également contenir des images faciales du ressortissant d'un pays tiers condamné, si le droit de l'État membre de condamnation autorise la collecte et la conservation des images faciales des personnes condamnées. 4. L'État membre de condamnation crée le fichier de données automatiquement, si possible, et sans retard injustifié après l'inscription de la condamnation dans le casier judiciaire. 5. Les États membres de condamnation créent également des fichiers de données concernant les condamnations prononcées avant la date de début de l'inscription des données conformément à l'article 35, paragraphe 1 dans la mesure où les données concernant les personnes condamnées sont conservées dans leurs bases de données nationales. Dans ces cas, les données dactyloscopiques sont incluses uniquement si elles ont été recueillies à l'occasion d'une procédure pénale conformément au droit national, et lorsqu'elles peuvent être clairement mises en concordance avec d'autres données d'identification dans les casiers judiciaires. 6. Pour se conformer aux obligations énoncées au paragraphe 1, points b) i) et b) ii), et au paragraphe 5, les États membres peuvent utiliser les données dactyloscopiques recueillies à des fins autres qu'une procédure pénale, lorsque cette utilisation est autorisée par le droit national.

Article 6 Images faciales 1. Jusqu'à l'entrée en vigueur de l'acte délégué prévu au paragraphe 2, les images faciales ne peuvent être utilisées que pour confirmer l'identité d'un ressortissant d'un pays tiers identifié à la suite d'une consultation alphanumérique ou d'une recherche sur la base des données dactyloscopiques. 2. La Commission est habilitée à adopter des actes délégués conformément à l'article 37 en vue de compléter le présent règlement en ce qui concerne l'utilisation d'images faciales aux fins de l'identification de ressortissants de pays tiers pour identifier les États membres détenant des informations sur les condamnations antérieures prononcées à l'encontre de ces personnes, lorsque cela devient techniquement possible. Avant d'exercer cette habilitation, la Commission évalue, en se fondant sur des critères de nécessité et de proportionnalité ainsi que sur les évolutions techniques dans le domaine des logiciels de reconnaissance faciale, si la technique requise est disponible et prête à être employée.

Article 7 Utilisation de l'ECRIS-TCN pour identifier les États membres détenant des informations sur le casier judiciaire 1. Les autorités centrales utilisent l'ECRIS-TCN pour identifier les États membres qui détiennent des informations sur le casier judiciaire d'un ressortissant d'un pays tiers, afin d'obtenir des informations sur les condamnations antérieures au moyen de l'ECRIS, lorsque les informations sur le casier judiciaire sont demandées dans l'État membre concerné aux fins d'une procédure pénale à l'encontre de cette personne, ou à l'une des fins ci-après, si le droit national le prévoit et conformément à celui-ci: — vérification par une personne de son propre casier judiciaire, à sa demande; — habilitation de sécurité; — obtention d'une licence ou d'un permis; — enquêtes menées dans le cadre d'un recrutement professionnel; — enquêtes menées dans le cadre d'un recrutement en vue d'activités bénévoles impliquant des contacts directs et réguliers avec des enfants ou des personnes vulnérables; — procédures de visas, d'acquisition de la citoyenneté et de migration, y compris les procédures d'asile; et — vérifications en rapport avec des marchés publics et des concours publics. Toutefois, dans des cas particuliers, autres que ceux où un ressortissant d'un pays tiers présente à l'autorité centrale une demande d'informations sur son propre casier judiciaire, ou lorsque la demande est présentée pour obtenir des informations sur un casier judiciaire en vertu de l'article 10, paragraphe 2, de la directive 2011/93/UE, l'autorité demandant des informations sur le casier judiciaire peut décider qu'il n'est pas approprié d'utiliser l'ECRIS-TCN. 2. Tout État membre qui décide, si le droit national le prévoit et conformément à celui-ci, d'utiliser l'ECRIS-TCN à des fins autres que celles prévues au paragraphe 1 pour obtenir des informations sur les condamnations antérieures au moyen de l'ECRIS notifie à la Commission, au plus tard à la date de mise en service visée à l'article 35, paragraphe 4, ou à tout moment par la suite, ces autres fins et toutes les modifications qui y sont apportées. La Commission publie ces notifications au Journal officiel de l'Union européenne dans les trente jours suivant leur réception. 3. Eurojust, Europol et le Parquet européen peuvent interroger l'ECRIS-TCN pour identifier les États membres détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers conformément aux articles 14 à 18. Toutefois, ils ne sont pas habilités à inscrire, rectifier ou effacer des données dans l'ECRIS-TCN. 4. Aux fins visées aux paragraphes 1, 2 et 3, les autorités compétentes peuvent également interroger l'ECRIS-TCN pour vérifier si, en ce qui concerne un citoyen de l'Union, un État membre quelconque détient des informations sur le casier judiciaire de cette personne en tant que ressortissant d'un pays tiers. 5. Lorsqu'elles interrogent l'ECRIS-TCN, les autorités compétentes peuvent utiliser une partie ou la totalité des données visées à l'article 5, paragraphe 1. L'ensemble minimal de données requises pour interroger le système est précisé dans un acte d'exécution adopté conformément à l'article 10, paragraphe 1, point g). 6. Les autorités compétentes peuvent également interroger l'ECRIS-TCN en utilisant des images faciales, pour autant que cette fonctionnalité ait été mise en œuvre conformément à l'article 6, paragraphe 2. 7. En cas de réponse positive, le système central indique automatiquement à l'autorité compétente les États membres détenant des informations sur le casier judiciaire du ressortissant d'un pays tiers concerné, ainsi que les numéros de référence associés et toute donnée d'identification correspondante. Ces données d'identification ne sont utilisées qu'aux fins de la vérification de l'identité du ressortissant d'un pays tiers concerné. Les résultats d'une recherche dans le système central ne peuvent être utilisés que pour introduire une demande conformément à l'article 6 de la décision-cadre 2009/315/JAI ou une demande visée à l'article 17, paragraphe 3, du présent règlement. 8. En l'absence de réponse positive, le système central en informe automatiquement l'autorité compétente.

CHAPITRE III

Conservation et modification des données

Article 8 Durée de conservation des données stockées 1. Chaque fichier de données est conservé dans le système central tant que les données relatives aux condamnations de la personne concernée sont conservées dans le casier judiciaire. 2. À l'expiration de la durée de conservation visée au paragraphe 1, l'autorité centrale de l'État membre de condamnation procède à l'effacement du fichier de données, y compris les données dactyloscopiques et les images faciales, du système central. L'effacement se fait automatiquement, si possible, et en tout état de cause au plus tard un mois après l'expiration de la durée de conservation.

Article 9 Modification et effacement de données. 1. Les États membres peuvent modifier ou effacer les données qu'ils ont inscrites dans l'ECRIS-TCN. 2. Toute modification des informations figurant dans le casier judiciaire qui ont conduit à la création d'un fichier de données conformément à l'article 5 comprend une modification identique, par l'État membre de condamnation, des informations conservées dans le fichier de données en question dans le système central, sans retard injustifié. 3. Si un État membre de condamnation a des raisons de penser que les données qu'il a enregistrées dans le système central sont inexactes ou que des données ont été traitées dans le système central en violation du présent règlement, il: a) lance immédiatement une procédure de vérification des données concernées ou de la licéité de leur traitement, selon le cas; b) si nécessaire, les rectifie ou les efface du système central sans retard injustifié. 4. Si un État membre autre que l'État membre de condamnation qui a inscrit les données a des raisons de penser que les données enregistrées dans le système central sont inexactes ou que des données ont été traitées dans le système central en violation du présent règlement, il prend contact, sans retard injustifié, avec l'autorité centrale de l'État membre de condamnation. L'État membre de condamnation: a) lance immédiatement une procédure de vérification de l'exactitude des données concernées ou de la licéité de leur traitement, selon le cas; b) si nécessaire, les rectifie ou les efface du système central sans retard injustifié; c) informe l'autre État membre que les données ont été rectifiées ou effacées, ou lui expose les raisons pour lesquelles les données n'ont pas été rectifiées ou effacées, sans retard injustifié.

CHAPITRE IV

Développement, fonctionnement et responsabilités

Article 10 Adoption d'actes d'exécution par la Commission 1. La Commission adopte les actes d'exécution nécessaires au développement technique et à la mise en œuvre de l'ECRIS-TCN, dès que possible et en particulier les actes concernant: a) les spécifications techniques pour le traitement des données alphanumériques; b) les spécifications techniques pour la qualité, la résolution et le traitement des données dactyloscopiques; c) les spécifications techniques du logiciel d'interface; d) les spécifications techniques pour la qualité, la résolution et le traitement des images faciales aux fins de l'article 6 et aux conditions qui y sont énoncées; e) la qualité des données, y compris un dispositif et des procédures de contrôle de la qualité des données; f) l'inscription des données conformément à l'article 5; g) la consultation et l'interrogation de l'ECRIS-TCN conformément à l'article 7; h) la modification et l'effacement des données conformément aux articles 8 et 9; i) la tenue des registres et l'accès à ceux-ci conformément à l'article 31; j) le fonctionnement du fichier central et les règles en matière de sécurité et de protection des données applicables au fichier, conformément à l'article 32; k) la mise à disposition de statistiques conformément à l'article 32; l) les exigences en matière de performance et de disponibilité de l'ECRIS-TCN, y compris les spécifications et exigences minimales de performance en matière biométrique de l'ECRIS-TCN, en particulier pour ce qui est du taux de fausses identifications positives et du taux de fausses identifications négatives. 2. Les actes d'exécution visés au paragraphe 1 sont adoptés en conformité avec la procédure d'examen visée à l'article 38, paragraphe 2.

Article 11 Développement et gestion opérationnelle de l'ECRIS-TCN 1. L'eu-LISA est responsable du développement de l'ECRIS-TCN conformément au principe de protection des données dès la conception et par défaut. En outre, l'eu-LISA est responsable de la gestion opérationnelle de l'ECRIS-TCN. Le développement consiste en l'élaboration et la mise en œuvre des spécifications techniques, en la réalisation d'essais et en la coordination générale du projet. 2. L'eu-LISA est également responsable de la poursuite du développement et de la maintenance de l'application de référence de l'ECRIS. 3. L'eu-LISA définit la conception de l'architecture matérielle de l'ECRIS-TCN, notamment ses spécifications techniques et l'évolution en ce qui concerne le système central, le point d'accès central national, et le logiciel d'interface. Cette conception est adoptée par son conseil d'administration, sous réserve de l'avis favorable de la Commission. 4. L'eu-LISA développe et met en place l'ECRIS-TCN dès que possible après l'entrée en vigueur du présent règlement et après l'adoption par la Commission des actes d'exécution prévus à l'article 10. 5. Avant la phase de conception et de développement de l'ECRIS-TCN, le conseil d'administration de l'eu-LISA établit un conseil de gestion du programme, composé de dix membres. Le conseil de gestion du programme est constitué de huit membres désignés par le conseil d'administration, du président du groupe consultatif visé à l'article 39 et d'un membre désigné par la Commission. Les membres désignés par le conseil d'administration sont issus exclusivement des États membres qui sont pleinement liés, en vertu du droit de l'Union, par les instruments législatifs régissant l'ECRIS et qui participeront à l'ECRIS-TCN. Le conseil d'administration veille à ce que les membres qu'il désigne au conseil de gestion du programme disposent de l'expérience et de l'expertise nécessaires en matière de développement et de gestion des systèmes informatiques utilisés par les autorités judiciaires et celles gérant les casiers judiciaires. L'eu-LISA participe aux travaux du conseil de gestion du programme. À cette fin, des représentants de l'eu-LISA assistent aux réunions du conseil de gestion du programme afin de faire rapport sur les travaux relatifs à la conception et au développement de l'ECRIS-TCN ainsi que sur les autres travaux et activités connexes. Le conseil de gestion du programme se réunit au moins une fois tous les trois mois, et plus souvent si nécessaire. Il veille à la bonne gestion de la phase de conception et de développement de l'ECRIS-TCN ainsi qu'à la cohérence entre les projets ECRIS-TCN aux niveaux central et national et avec le logiciel d'application national de l'ECRIS. Le conseil de gestion du programme présente régulièrement, et si possible chaque mois, au conseil d'administration de l'eu-LISA des rapports écrits sur l'état d'avancement du projet. Le conseil de gestion du programme n'a aucun pouvoir décisionnel ni aucun mandat lui permettant de représenter les membres du conseil d'administration. 6. Le conseil de gestion du programme établit son règlement intérieur, qui comprend notamment des règles sur: a) la présidence; b) les lieux de réunion; c) la préparation des réunions; d) l'admission d'experts aux réunions; e) des plans de communication assurant l'information exhaustive des membres du conseil d'administration non participants. 7. La présidence du conseil de gestion du programme est exercée par un État membre qui est pleinement lié, en vertu du droit de l'Union, par les instruments législatifs régissant l'ECRIS et les instruments législatifs régissant le développement, la mise en place, le fonctionnement et l'utilisation de tous les systèmes informatiques à grande échelle gérés par l'eu-LISA. 8. Tous les frais de voyage et de séjour exposés par les membres du conseil de gestion du programme sont pris en charge par l'eu-LISA. L'article 10 du règlement intérieur de l'eu-LISA s'applique mutatis mutandis. Le secrétariat du conseil de gestion du programme est assuré par l'eu-LISA. 9. Pendant la phase de conception et de développement, le groupe consultatif visé à l'article 39 se compose des gestionnaires de projets nationaux de l'ECRIS-TCN et est présidé par l'eu-LISA. Au cours de cette phase, il se réunit régulièrement, et si possible au moins une fois par mois, jusqu'à la mise en service de l'ECRIS-TCN. Après chaque réunion, il fait rapport au conseil de gestion du programme. Il fournit l'expertise technique nécessaire à l'appui des tâches du conseil de gestion du programme et suit l'état de préparation des États membres. 10. Afin de garantir la confidentialité et l'intégrité des données conservées dans l'ECRIS-TCN à tout moment, l'eu-LISA prévoit, en coopération avec les États membres, les mesures techniques et organisationnelles appropriées, en tenant compte de l'état des connaissances, du coût de mise en œuvre et des risques posés par le traitement. 11. L'eu-LISA est responsable des tâches ci-après, liées à l'infrastructure de communication visée à l'article 4, paragraphe 1, point d): a) la supervision; b) la sécurité; c) la coordination des relations entre les États membres et le fournisseur de l'infrastructure de communication. 12. La Commission est chargée de toutes les autres tâches liées à l'infrastructure de communication visées à l'article 4, paragraphe 1, point d), en particulier: a) les tâches relatives à l'exécution du budget; b) l'acquisition et le renouvellement; c) les questions contractuelles. 13. L'eu-LISA élabore et gère un dispositif et des procédures de contrôle de la qualité des données conservées dans l'ECRIS-TCN et présente à intervalles réguliers des rapports aux États membres. Elle présente à la Commission, à intervalles réguliers, des rapports précisant les problèmes rencontrés et les États membres concernés. 14. La gestion opérationnelle de l'ECRIS-TCN comprend toutes les tâches nécessaires au fonctionnement de l'ECRIS-TCN conformément au présent règlement, en particulier les travaux de maintenance et les perfectionnements techniques indispensables pour que l'ECRIS-TCN fonctionne à un niveau satisfaisant, conformément aux spécifications techniques. 15. L'eu-LISA s'acquitte des tâches liées à la fourniture d'une formation relative à l'utilisation technique de l'ECRIS-TCN et de l'application de référence de l'ECRIS. 16. Sans préjudice de l'article 17 du statut des fonctionnaires de l'Union européenne, tel qu'il figure dans le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (17), l'eu-LISA applique des règles appropriées en matière de secret professionnel ou impose des obligations de confidentialité équivalentes à tous les membres de son personnel appelés à travailler avec les données enregistrées dans le système central. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après la cessation de leur activité.

Article 12 Responsabilités des États membres 1. Chaque État membre est responsable: a) de l'établissement d'une connexion sécurisée entre son casier judiciaire national, ses bases de données dactyloscopiques et son point d'accès central national; b) du développement, du fonctionnement et de la maintenance de la connexion visée au point a); c) de l'établissement d'une connexion entre ses systèmes nationaux et l'application de référence de l'ECRIS; d) de la gestion et des modalités de l'accès à l'ECRIS-TCN dont bénéficie le personnel dûment autorisé des autorités centrales, conformément au présent règlement, ainsi que de l'établissement d'une liste de ce personnel et des profils visés à l'article 19, paragraphe 3, point g), et de la mise à jour régulière de cette liste. 2. Chaque État membre veille à ce que le personnel de son autorité centrale ayant un droit d'accès à l'ECRIS-TCN reçoive, avant d'être autorisé à traiter des données conservées dans le système central, une formation appropriée, portant en particulier sur les règles en matière de sécurité et de protection des données ainsi que les droits fondamentaux applicables.

Article 13 Responsabilité en matière d'utilisation des données 1. Conformément aux règles applicables de l'Union en matière de protection des données, chaque État membre veille à ce que les données enregistrées dans l'ECRIS-TCN soient traitées de manière licite, et en particulier à ce que: a) seul le personnel dûment autorisé ait accès aux données pour l'accomplissement de ses tâches; b) les données soient collectées de manière licite et dans le respect intégral de la dignité humaine et des droits fondamentaux du ressortissant d'un pays tiers concerné; c) les données soient inscrites de manière licite dans l'ECRIS-TCN; d) les données soient exactes et à jour lors de leur inscription dans l'ECRIS-TCN. 2. L'eu-LISA veille à ce que l'ECRIS-TCN soit utilisé conformément au présent règlement, à l'acte délégué visé à l'article 6, paragraphe 2, et aux actes d'exécution visés à l'article 10, ainsi qu'au règlement (UE) 2018/1725. En particulier, l'eu-LISA prend les mesures nécessaires pour assurer la sécurité du système central et de l'infrastructure de communication visées à l'article 4, paragraphe 1, point d), sans préjudice des responsabilités incombant à chaque État membre. 3. L'eu-LISA informe le Parlement européen, le Conseil et la Commission, ainsi que le Contrôleur européen de la protection des données, dès que possible, des mesures qu'elle prend, en vertu du paragraphe 2, en vue de la mise en service de l'ECRIS-TCN. 4. La Commission met les informations visées au paragraphe 3 à la disposition des États membres et du public, par l'intermédiaire d'un site internet public régulièrement actualisé.

Article 14 Accès d'Eurojust, d'Europol et du Parquet européen 1. Eurojust dispose d'un accès direct à l'ECRIS-TCN aux fins de la mise en œuvre de l'article 17, ainsi que de l'accomplissement de ses missions en vertu de l'article 2 du règlement (UE) 2018/1727, afin d'identifier les États membres détenant des informations sur les condamnations antérieures de ressortissants de pays tiers. 2. Europol dispose d'un accès direct à l'ECRIS-TCN aux fins de l'accomplissement de ses missions en vertu de l'article 4, paragraphe 1, points a) à e) et h), du règlement (UE) 2016/794, afin d'identifier les États membres détenant des informations sur les condamnations antérieures de ressortissants de pays tiers. 3. Le Parquet européen dispose d'un accès direct à l'ECRIS-TCN aux fins de l'accomplissement de ses missions en vertu de l'article 4 du règlement (UE) 2017/1939, afin d'identifier les États membres détenant des informations sur les condamnations antérieures de ressortissants de pays tiers. 4. À la suite d'une réponse positive indiquant les États membres détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers, Eurojust, Europol et le Parquet européen peuvent utiliser les contacts qu'ils ont respectivement établis avec les autorités nationales de ces États membres pour demander des informations sur le casier judiciaire dans la forme prévue par leurs actes constitutifs respectifs.

Article 15 Accès du personnel autorisé d'Eurojust, d'Europol et du Parquet européen Eurojust, Europol et le Parquet européen sont responsables de la gestion et des modalités d'accès à l'ECRIS-TCN du personnel dûment autorisé, conformément au présent règlement et de l'établissement d'une liste de ce personnel et de ses profils et de la mise à jour régulière de cette liste.

Article 16 Responsabilités d'Eurojust, d'Europol et du Parquet européen Eurojust, Europol et le Parquet européen: a) mettent en place les moyens techniques permettant la connexion à l'ECRIS-TCN et sont chargés du maintien de cette connexion; b) fournissent une formation appropriée couvrant, en particulier, les règles en matière de sécurité et de protection des données et les droits fondamentaux applicables aux membres de leur personnel ayant un droit d'accès à l'ECRIS-TCN avant de les autoriser à traiter des données conservées dans le système central; c) veillent à ce que les données à caractère personnel traitées par ce personnel en vertu du présent règlement soient protégées conformément aux règles applicables en matière de protection des données.

Article 17 Point de contact pour les pays tiers et les organisations internationales 1. Les pays tiers et les organisations internationales peuvent, aux fins d'une procédure pénale, adresser des demandes d'information, le cas échéant, sur l'État membre détenant des informations sur le casier judiciaire d'un ressortissant d'un pays tiers à Eurojust. À cette fin, ils utilisent le formulaire type figurant à l'annexe du présent règlement. 2. Lorsqu'une demande en vertu du paragraphe 1 lui est adressée, Eurojust utilise l'ECRIS-TCN pour identifier, le cas échéant, les États membres détenant des informations sur le casier judiciaire du ressortissant d'un pays tiers concerné. 3. En cas de réponse positive, Eurojust demande à l'État membre détenant des informations sur le casier judiciaire du ressortissant d'un pays tiers concerné s'il consent à ce qu'Eurojust communique son nom au pays tiers ou à l'organisation internationale. Lorsque cet État membre donne son consentement, Eurojust communique au pays tiers ou à l'organisation internationale le nom de cet État membre et informe le pays tiers ou l'organisation internationale de la manière dont il/elle peut introduire une demande d'extrait de casier judiciaire auprès de cet État membre en conformité avec les procédures applicables. 4. En l'absence de réponse positive ou lorsqu'Eurojust ne peut pas donner de réponse, conformément au paragraphe 3, aux demandes qui lui ont été adressées au titre du présent article, elle informe le pays tiers ou l'organisation internationale concerné qu'elle a mené à bien la procédure, sans indiquer si des informations sur le casier judiciaire de la personne concernée sont détenues par un État membre.

Article 18 Communication d'informations à un pays tiers, une organisation internationale ou une entité privée Ni Eurojust, ni Europol, ni le Parquet européen, ni aucune autorité centrale ne peut transférer à un pays tiers, à une organisation internationale ou à une entité privée, ni mettre à leur disposition, des informations concernant un ressortissant d'un pays tiers obtenues au moyen de l'ECRIS-TCN. Le présent article ne porte pas atteinte à l'article 17, paragraphe 3.

Article 19 Sécurité des données 1. L'eu-LISA prend les mesures nécessaires pour assurer la sécurité de l'ECRIS-TCN, sans préjudice des responsabilités incombant à chaque État membre, en tenant compte des mesures de sécurité prévues au paragraphe 3. 2. En ce qui concerne le fonctionnement de l'ECRIS-TCN, l'eu-LISA prend les mesures nécessaires à la réalisation des objectifs fixés au paragraphe 3, y compris l'adoption d'un plan de sécurité et d'un plan de continuité des activités et de rétablissement après sinistre, ainsi que pour faire en sorte que les systèmes installés puissent, en cas d'interruption, être rétablis. 3. Les États membres assurent la sécurité des données avant et pendant leur transmission au point d'accès central national et leur réception depuis ce même point d'accès central. En particulier, chaque État membre: a) assure la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures; b) empêche l'accès de toute personne non autorisée aux installations nationales dans lesquelles sont effectuées les opérations qui incombent à l'État membre en rapport avec l'ECRIS-TCN; c) empêche toute lecture, copie, modification ou suppression non autorisées de supports de données; d) empêche l'introduction non autorisée de données et le contrôle, la modification ou l'effacement non autorisés de données à caractère personnel conservées; e) empêche le traitement non autorisé de données dans l'ECRIS-TCN ainsi que toute modification ou tout effacement non autorisés de données traitées dans le système ECRIS-TCN; f) fait en sorte que les personnes autorisées à avoir accès à l'ECRIS-TCN n'aient accès qu'aux données couvertes par leur autorisation d'accès, et ce uniquement au moyen d'identifiants individuels uniques et de modes d'accès confidentiels; g) fait en sorte que toutes les autorités ayant un droit d'accès à l'ECRIS-TCN créent des profils décrivant les fonctions et les responsabilités des personnes autorisées à inscrire les données, à les rectifier, à les effacer, à les consulter et à y faire des recherches, et qu'elles communiquent sans retard injustifié ces profils aux autorités de contrôle nationales, lorsque ces dernières en font la demande; h) faire en sorte qu'il soit possible de vérifier et de déterminer à quels organes et organismes de l'Union les données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données; i) fait en sorte qu'il soit possible de vérifier et d'établir quelles données ont été traitées dans l'ECRIS-TCN, à quel moment, par qui et dans quel but; j) empêche toute lecture, copie ou modification ou tout effacement non autorisés de données à caractère personnel pendant leur transmission à partir de l'ECRIS-TCN ou vers celui-ci, ou durant le transport de supports de données, en particulier par des techniques de cryptage adaptées; k) contrôle l'efficacité des mesures de sécurité visées au présent paragraphe et prend les mesures organisationnelles nécessaires en matière d'autocontrôle et de surveillance pour assurer le respect du présent règlement. 4. L'eu-LISA et les États membres coopèrent afin d'assurer une approche cohérente en matière de sécurité des données, sur la base d'un processus de gestion des risques pour la sécurité englobant l'ensemble de l'ECRIS-TCN.

Article 20 Responsabilité 1. Toute personne ou tout État membre ayant subi un dommage matériel ou moral du fait d'un traitement illicite ou de toute autre action incompatible avec le présent règlement a le droit d'obtenir réparation: a) de l'État membre responsable du dommage subi; ou b) de l'eu-LISA, si elle n'a pas satisfait à ses obligations énoncées dans le présent règlement ou dans le règlement (UE) 2018/1725. L'État membre qui est responsable du dommage subi ou l'eu-LISA, respectivement, est exonéré(e) partiellement ou totalement de sa responsabilité s'il/si elle prouve que le fait générateur du dommage ne lui est pas imputable. 2. Si le non-respect, par un État membre, Eurojust, Europol ou le Parquet européen, des obligations qui lui incombent en vertu du présent règlement cause un dommage à l'ECRIS-TCN, cet État membre, Eurojust, Europol, ou le Parquet européen, respectivement, en est tenu responsable, sauf si et dans la mesure où l'eu-LISA ou un autre État membre participant à l'ECRIS-TCN n'a pas pris de mesures raisonnables pour prévenir le dommage ou en atténuer les effets. 3. Les actions en réparation intentées contre un État membre pour les dommages visés aux paragraphes 1 et 2 sont régies par le droit de l'État membre défendeur. Les actions en réparation intentées contre l'eu-LISA, Eurojust, Europol et le Parquet européen pour les dommages visés aux paragraphes 1 et 2 sont régis par leurs actes constitutifs respectifs.

Article 21 Autocontrôle Les États membres veillent à ce que chaque autorité centrale prenne les mesures nécessaires pour se conformer au présent règlement et coopère, s'il y a lieu, avec les autorités de contrôles.

Article 22 Sanctions Toute utilisation frauduleuse de données inscrites dans l'ECRIS-TCN donne lieu, conformément au droit national ou de l'Union, à des sanctions ou à des mesures disciplinaires qui sont effectives, proportionnées et dissuasives.

CHAPITRE V

Droits et surveillance en matière de protection des données

Article 23 Responsable du traitement des données et sous-traitant des données 1. Chaque autorité centrale doit être considérée comme le responsable du traitement des données conformément aux règles applicables de l'Union en matière de protection des données pour ce qui est du traitement des données à caractère personnel effectué par ledit État membre en vertu du présent règlement. 2. L'eu-LISA est considérée comme le sous-traitant des données conformément au règlement (UE) 2018/1725 pour ce qui est des données à caractère personnel inscrites dans le système central par les États membres.

Article 24 Finalité du traitement des données à caractère personnel 1. Les données inscrites dans le système central ne font l'objet d'un traitement qu'aux fins de l'identification des États membres détenant des informations sur les casiers judiciaires de ressortissants de pays tiers. 2. En dehors du personnel dûment autorisé d'Eurojust, d'Europol et du Parquet européen, qui a accès à l'ECRIS-TCN aux fins du présent règlement, l'accès à l'ECRIS-TCN est exclusivement réservé au personnel dûment autorisé des autorités centrales. L'accès est limité à ce qui est requis pour l'accomplissement des tâches, conformément aux finalités visées au paragraphe 1, et à ce qui est nécessaire et proportionné aux objectifs poursuivis.

Article 25 Droit d'accès, de rectification, d'effacement et de limitation du traitement 1. Les demandes des ressortissants de pays tiers concernant les droits d'accès aux données à caractère personnel, de rectification et d'effacement de ces données et de la limitation de leur traitement, qui sont prévus par les règles applicables de l'Union en matière de protection des données, peuvent être adressées à l'autorité centrale de tout État membre 2. Lorsqu'une demande est adressée à un État membre autre que l'État membre de condamnation, l'État membre auquel la demande a été adressée la transmet à l'État membre de condamnation sans retard injustifié et, en tout état de cause, dans les dix jours ouvrables suivant la réception de la demande. Dès réception de la demande, l'État membre de condamnation: a) lance immédiatement une procédure de vérification de l'exactitude des données concernées ou de la licéité de leur traitement dans l'ECRIS-TCN; et b) répond sans retard injustifié à l'État membre qui a transmis la demande. 3. S'il apparaît que les données enregistrées dans l'ECRIS-TCN sont inexactes ou qu'elles y ont été traitées de façon illicite, l'État membre de condamnation rectifie ou efface les données conformément à l'article 9. L'État membre de condamnation ou, le cas échéant, l'État membre auquel la demande a été adressée confirme par écrit et sans retard injustifié à la personne concernée que des mesures ont été prises pour rectifier ou effacer des données la concernant. L'État membre de condamnation notifie également sans retard injustifié les mesures qui ont été prises à tout autre État membre ayant reçu des informations relatives à cette condamnation obtenues à la suite de l'interrogation de l'ECRIS-TCN. 4. Si l'État membre de condamnation n'estime pas que les données enregistrées dans l'ECRIS-TCN sont inexactes ou qu'elles ont été traitées de façon illicite, il adopte une décision administrative ou judiciaire indiquant par écrit à la personne concernée les raisons pour lesquelles il n'est pas disposé à rectifier ou effacer les données la concernant. Ces cas sont, s'il y a lieu, communiqués à l'autorité de contrôle nationale. 5. L'État membre qui a adopté la décision n vertu du paragraphe 4 fournit également à la personne concernée des informations expliquant les mesures que cette personne peut prendre si elle n'accepte pas l'explication fournie en vertu du paragraphe 4. Il s'agit notamment d'informations sur les modalités de recours ou de réclamation devant les autorités ou les juridictions compétentes de cet État membre, ainsi que sur toute aide, y compris de la part des autorités de contrôle nationales, disponible conformément au droit national de cet État membre. 6. Toute demande présentée en vertu du paragraphe 1 comporte toutes les informations nécessaires à l'identification de la personne concernée. Ces informations ne sont utilisées que pour permettre l'exercice des droits visés au paragraphe 1 et sont ensuite immédiatement effacées. 7. Lorsque le paragraphe 2 s'applique, l'autorité centrale à qui la demande a été adressée conserve une trace écrite de l'introduction de cette demande, de la façon dont la demande a été traitée et à quelle autorité elle a été transmise. Si une autorité de contrôle nationale en fait la demande, l'autorité centrale lui transmet sans retard cette trace. L'autorité centrale et l'autorité de contrôle nationale effacent de telles traces trois ans après leur établissement.

Article 26 Coopération en vue de garantir le respect des droits en matière de protection des données 1. Les autorités centrales coopèrent entre elles en vue de garantir le respect des droits prévus à l'article 25. 2. Dans chaque État membre, l'autorité de contrôle nationale communique sur demande à la personne concernée des informations sur la manière d'exercer son droit de faire rectifier ou effacer les données la concernant, conformément aux règles applicables de l'Union en matière de protection des données. 3. Aux fins du présent article, l'autorité de contrôle nationale de l'État membre qui a transmis les données et l'autorité de contrôle nationale de l'État membre auquel la demande a été adressée coopèrent entre elles.

Article 27 Voies de recours Toute personne a le droit d'introduire une réclamation et le droit de former un recours dans l'État membre de condamnation qui lui a refusé le droit d'accès aux données la concernant ou le droit d'en obtenir la rectification ou l'effacement visés à l'article 25, conformément au droit national ou de l'Union.

Article 28 Surveillance assurée par les autorités de contrôle nationales 1. Chaque État membre veille à ce que les autorités de contrôle nationales, désignées conformément aux règles applicables de l'Union en matière de protection des données, contrôlent la licéité du traitement, effectué par l'État membre en question, des données à caractère personnel visées aux articles 5 et 6, y compris de leur transmission à partir de l'ECRIS-TCN et vers celui-ci. 2. L'autorité de contrôle nationale veille à ce qu'un audit des activités de traitement des données figurant dans les casiers judiciaires et les bases de données dactyloscopiques nationaux en rapport avec l'échange de données entre ces systèmes et l'ECRIS-TCN, répondant aux normes internationales d'audit applicables, soit réalisé tous les trois ans au minimum à compter de la date de mise en service de l'ECRIS-TCN. 3. Les États membres veillent à ce que leurs autorités de contrôle nationales disposent de ressources suffisantes pour s'acquitter des tâches qui leur sont confiées en vertu du présent règlement. 4. Chaque État membre communique toutes les informations demandées par ses autorités de contrôle nationales et leur fournit, en particulier, les informations relatives aux activités menées conformément aux articles 12, 13 et 19. Chaque État membre permet à ses autorités de contrôle nationales d'accéder à ses traces en application de l'article 25, paragraphe 7, et à ses registres nationaux en application de l'article 31, paragraphe 6, et, à tout moment, à l'ensemble de ses locaux liés à l'ECRIS-TCN.

Article 29 Surveillance assurée par le Contrôleur européen de la protection des données 1. Le Contrôleur européen de la protection des données contrôle que les activités de traitement des données à caractère personnel menées par l'eu-LISA qui concernent l'ECRIS-TCN sont effectuées conformément au présent règlement. 2. Le Contrôleur européen de la protection des données veille à ce qu'un audit des activités de traitement des données à caractère personnel menées par l'eu-LISA, répondant aux normes internationales d'audit applicables, soit réalisé tous les trois ans au minimum. Le rapport de cet audit est communiqué au Parlement européen, au Conseil, à la Commission, à l'eu-LISA et aux autorités de contrôle. L'eu-LISA se voit offrir la possibilité de formuler des observations avant l'adoption du rapport. 3. L'eu-LISA communique au Contrôleur européen de la protection des données les renseignements qu'il demande et lui donne accès à tous les documents et aux registres visés à l'article 31 et, à tout moment, à l'ensemble de ses locaux.

Article 30 Coopération entre les autorités de contrôle nationales et le Contrôleur européen de la protection des données Un contrôle coordonné de l'ECRIS-TCN est assuré conformément à l'article 62 du règlement (UE) 2018/1725.

Article 31 Tenue de registres 1. L'eu-LISA et les autorités compétentes veillent, conformément à leurs responsabilités respectives, à ce que toutes les activités de traitement de données dans l'ECRIS-TCN soient consignées dans un registre conformément au paragraphe 2 aux fins de la vérification de la recevabilité des demandes ainsi que du contrôle de l'intégrité et de la sécurité des données et de la licéité du traitement des données, de même qu'à des fins d'autocontrôle. 2. Le registre mentionne: a) la finalité de la demande d'accès aux données de l'ECRIS-TCN; b) les données transmises, visées à l'article 5; c) la référence du fichier national; d) la date et l'heure précise de l'opération; e) les données utilisées pour la demande; f) les données d'identification de l'agent qui a effectué la recherche. 3. Le registre des opérations de consultation et de transmission des données permet d'établir le motif de telles opérations. 4. Les registres ne sont utilisés que pour contrôler la licéité du traitement des données et pour garantir l'intégrité et la sécurité de celles-ci. Seuls les registres contenant des données à caractère non personnel peuvent être utilisés aux fins du suivi et de l'évaluation visés à l'article 36. Ces registres sont protégés par des mesures appropriées contre tout accès non autorisé et sont effacés au bout de trois ans s'ils ne sont plus nécessaires à une procédure de contrôle déjà engagée. 5. Sur demande, l'eu-LISA met, sans retard injustifié, les registres de ses opérations de traitement à la disposition des autorités centrales. 6. Les autorités de contrôle nationales compétentes chargées de vérifier la recevabilité de la demande et de contrôler la licéité du traitement des données ainsi que l'intégrité et la sécurité des données ont accès aux registres à leur demande aux fins de l'accomplissement des tâches qui leur incombent. Sur demande, les autorités centrales mettent, sans retard injustifié, les registres de leurs opérations de traitement à la disposition des autorités de contrôle nationales compétentes.

CHAPITRE VI

Dispositions finales

Article 32 Utilisation des données à des fins d'établissement de rapports et de statistiques 1. Le personnel dûment autorisé de l'eu-LISA, des autorités compétentes et de la Commission n'ont accès aux données traitées dans l'ECRIS-TCN qu'à des fins statistiques et d'établissement de rapports ne permettant aucune identification d'individus. 2. Aux fins du paragraphe 1, l'eu-LISA crée, met en place et héberge sur ses sites techniques un fichier central contenant les données visées au paragraphe 1 qui, sans permettre l'identification d'individus, permet d'obtenir des rapports et des statistiques personnalisables. L'accès au fichier central est accordé de manière sécurisée, moyennant un contrôle de l'accès et des profils d'utilisateur spécifiques utilisés exclusivement aux fins de l'établissement de rapports et de statistiques. 3. Les procédures mises en place par l'eu-LISA pour suivre le fonctionnement de l'ECRIS-TCN, visées à l'article 36, ainsi que l'application de référence de l'ECRIS, prévoient la possibilité de produire régulièrement des statistiques à des fins de suivi. Chaque mois, l'eu-LISA soumet à la Commission des statistiques sur l'enregistrement, le stockage et l'échange d'informations extraites des casiers judiciaires au moyen de l'ECRIS-TCN et de l'application de référence de l'ECRIS. L'eu-LISA veille à ce qu'il ne soit pas possible d'identifier des individus sur la base de ces statistiques. À la demande de la Commission, l'eu-LISA lui communique des statistiques relatives à certains aspects spécifiques ayant trait à la mise en œuvre du présent règlement. 4. Les États membres communiquent à l'eu-LISA les statistiques dont elle a besoin pour s'acquitter de ses obligations visées au présent article. Ils procurent à la Commission des statistiques sur le nombre de ressortissants de pays tiers condamnés, de même que sur le nombre de condamnations de ressortissants de pays tiers prononcées sur leur territoire.

Article 33 Coûts 1. Les coûts afférents à la création et au fonctionnement du système central, de l'infrastructure de communication visée à l'article 4, paragraphe 1, point d), du logiciel d'interface et de l'application de référence de l'ECRIS sont à la charge du budget général de l'Union. 2. Les coûts de connexion d'Eurojust, d'Europol et du Parquet européen à l'ECRIS-TCN sont imputés à leurs budgets respectifs. 3. Les autres coûts sont pris en charge par les États membres, en particulier les coûts afférents à la connexion des casiers judiciaires nationaux existants, des bases de données dactyloscopiques et des autorités centrales à l'ECRIS-TCN, ainsi que les coûts liés à l'hébergement de l'application de référence de l'ECRIS.

Article 34 Notifications 1. Chaque État membre notifie à l'eu-LISA le nom de son ou de ses autorités centrales qui bénéficient d'un accès pour inscrire, rectifier, effacer ou consulter des données ou effectuer des recherches dans celles-ci, ainsi que toute modification à cet égard. 2. L'eu-LISA fait publier, tant au Journal officiel de l'Union européenne que sur son site internet, une liste des autorités centrales notifiées par les États membres. Lorsque l'eu-LISA reçoit la notification d'une modification de l'autorité centrale d'un État membre, elle met à jour la liste sans retard injustifié.

Article 35 Inscription des données et mise en service du système 1. Dès que la Commission considère que les conditions ci-après sont remplies, elle détermine la date à partir de laquelle les États membres commencent à inscrire les données visées à l'article 5 dans l'ECRIS-TCN: a) les actes d'exécution pertinents visés à l'article 10 ont été adoptés; b) les États membres ont validé les aménagements techniques et juridiques nécessaires pour recueillir et transmettre à l'ECRIS-TCN les données visées à l'article 5 et ils les ont notifiés à la Commission; c) l'eu-LISA a réalisé un essai complet de l'ECRIS-TCN, qu'elle a mené en coopération avec les États membres à partir de données d'essai anonymes. 2. Lorsque la Commission a déterminé la date de début de l'inscription des données conformément au paragraphe 1, elle la communique aux États membres. Durant une période de deux mois à compter de cette date, les États membres inscrivent les données visées à l'article 5 dans l'ECRIS-TCN, en tenant compte de l'article 41, paragraphe 2. 3. Au terme de la période visée au paragraphe 2, l'eu-LISA réalise un essai final de l'ECRIS-TCN, en coopération avec les États membres. 4. Lorsque l'essai visé au paragraphe 3 a été mené à bien avec succès et que l'eu-LISA considère que l'ECRIS-TCN est prêt à être mis en service, elle en informe la Commission. La Commission informe le Parlement européen et le Conseil des résultats de l'essai effectué et arrête la date de mise en service de l'ECRIS-TCN. 5. La décision de la Commission relative à la date de mise en service de l'ECRIS-TCN visée au paragraphe 4 est publiée au Journal officiel de l'Union européenne. 6. Les États membres commencent à utiliser l'ECRIS-TCN à partir de la date fixée par la Commission conformément au paragraphe 4. 7. Lorsqu'elle prend les décisions visées au présent article, la Commission peut prévoir des dates différentes pour l'inscription dans l'ECRIS-TCN des données alphanumériques et des données dactyloscopiques visées à l'article 5, ainsi que pour le début des opérations relatives à ces différentes catégories de données.

Article 36 Suivi et évaluation 1. L'eu-LISA veille à ce que des procédures soient en place pour suivre le développement de l'ECRIS-TCN par rapport aux objectifs fixés en matière de planification et de coûts et suivre le fonctionnement de l'ECRIS-TCN et de l'application de référence de l'ECRIS par rapport aux objectifs fixés en matière de résultats techniques, de coût-efficacité, de sécurité et de qualité du service. 2. Aux fins du suivi du fonctionnement de l'ECRIS-TCN et de sa maintenance technique, l'eu-LISA a accès aux informations nécessaires concernant les opérations de traitement de données effectuées dans l'ECRIS-TCN et l'application de référence de l'ECRIS. 3. Au plus tard le 12 décembre 2019, puis tous les six mois pendant la phase de conception et de développement, l'eu-LISA présente un rapport au Parlement européen et au Conseil sur l'état d'avancement du développement de l'ECRIS-TCN et de l'application de référence de l'ECRIS. 4. Le rapport visé au paragraphe 3 comprend un aperçu des coûts et de l'état d'avancement du projet, une évaluation des incidences financières ainsi que des informations sur les problèmes techniques et les risques susceptibles d'avoir des retombées sur le coût total de l'ECRIS-TCN à imputer sur le budget général de l'Union conformément à l'article 33. 5. En cas de retards importants dans le processus de développement, l'eu-LISA informe le Parlement européen et le Conseil dès que possible des raisons de ces retards ainsi que de leurs incidences temporelles et financières. 6. Une fois achevé le développement de l'ECRIS-TCN et de l'application de référence de l'ECRIS, l'eu-LISA soumet un rapport au Parlement européen et au Conseil expliquant la manière dont les objectifs, en particulier ceux ayant trait à la planification et aux coûts, ont été atteints, et justifiant les écarts éventuels. 7. En cas de mise à niveau technique de l'ECRIS-TCN susceptible d'entraîner des coûts importants, l'eu-LISA informe le Parlement européen et la Commission. 8. Deux ans après la mise en service de l'ECRIS-TCN et chaque année par la suite, l'eu-LISA présente à la Commission un rapport sur le fonctionnement technique de l'ECRIS-TCN et de l'application de référence de l'ECRIS, y compris sur leur sécurité, fondé notamment sur les statistiques relatives au fonctionnement et à l'utilisation de l'ECRIS-TCN, ainsi que sur l'échange, par l'intermédiaire de l'application de référence de l'ECRIS, d'informations extraites des casiers judiciaires. 9. Quatre ans après la mise en service de l'ECRIS-TCN et tous les quatre ans par la suite, la Commission procède à une évaluation globale de l'ECRIS-TCN et de l'application de référence de l'ECRIS. Le rapport d'évaluation globale établi sur cette base comprend une évaluation de l'application du présent règlement et un examen des résultats obtenus par rapport aux objectifs fixés ainsi que de l'incidence sur les droits fondamentaux. Le rapport détermine également si les principes de base du fonctionnement de l'ECRIS-TCN restent valables, apprécie la pertinence de l'utilisation des données biométriques aux fins de l'ECRIS-TCN et la sécurité de l'ECRIS-TCN, et en tire toutes les conséquences en matière de sécurité pour le fonctionnement futur. L'évaluation comprend les éventuelles recommandations nécessaires. La Commission transmet le rapport au Parlement européen, au Conseil, au Contrôleur européen de la protection des données et à l'Agence des droits fondamentaux de l'Union européenne. 10. En outre, la première évaluation globale visée au paragraphe 9 porte notamment sur: a) la mesure dans laquelle, sur la base de données statistiques pertinentes et d'autres informations communiquées par les États membres, l'inclusion dans l'ECRIS-TCN des données d'identification des citoyens de l'Union qui ont également la nationalité d'un pays tiers a contribué à la réalisation des objectifs du présent règlement; b) la possibilité, pour certains États membres, de continuer à utiliser un logiciel d'application national de l'ECRIS, visé à l'article 4; c) l'inscription des données dactyloscopiques dans l'ECRIS-TCN, en particulier l'application des critères minimaux visés à l'article 5, paragraphe 1, point b) ii); d) l'impact de l'ECRIS et de l'ECRIS-TCN sur la protection des données à caractère personnel. L'évaluation peut, au besoin, être accompagnée de propositions législatives. Les évaluations globales ultérieures peuvent comprendre une appréciation de l'un ou l'autre de ces aspects ou de la totalité d'entre eux. 11. Les États membres, Eurojust, Europol et le Parquet européen communiquent à l'eu-LISA et à la Commission les informations nécessaires à l'établissement des rapports visés aux paragraphes 3, 8 et 9, dans le respect des indicateurs quantitatifs prédéfinis par la Commission, l'eu-LISA ou la Commission et l'eu-LISA. Ces informations ne portent pas préjudice aux méthodes de travail et ne comprennent pas d'indications sur les sources, les membres du personnel ou les enquêtes. 12. S'il y a lieu, les autorités de contrôle communiquent à l'eu-LISA et à la Commission les informations nécessaires à l'établissement des rapports visés au paragraphe 9, dans le respect des indicateurs quantitatifs prédéfinis par la Commission, l'eu-LISA ou la Commission et l'eu-LISA. Ces informations ne portent pas préjudice aux méthodes de travail et ne comprennent pas d'indications sur les sources, les membres du personnel ou les enquêtes. 13. L'eu-LISA communique à la Commission les informations nécessaires pour réaliser les évaluations globales visées au paragraphe 9.

Article 37 Exercice de la délégation 1. Le pouvoir d'adopter des actes délégués conféré à la Commission est soumis aux conditions fixées au présent article. 2. Le pouvoir d'adopter des actes délégués visé à l'article 6, paragraphe 2, est conféré à la Commission pour une durée indéterminée à compter du 11 juin 2019. 3. La délégation de pouvoir visée à l'article 6, paragraphe 2, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l'Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur. 4. Avant l'adoption d'un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016«Mieux légiférer». 5. Aussitôt qu'elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément. 6. Un acte délégué adopté en vertu de l'article 6, paragraphe 2, n'entre en vigueur que si le Parlement européen ou le Conseil n'a pas exprimé d'objections dans un délai de deux mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l'expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d'objections. Ce délai est prolongé de deux mois à l'initiative du Parlement européen ou du Conseil.

Article 38 Comité 1. La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) no 182/2011. 2. Lorsqu'il est fait référence au présent paragraphe, l'article 5 du règlement (UE) no 182/2011 s'applique. Lorsque le comité n'émet aucun avis, la Commission n'adopte pas le projet d'acte d'exécution et l'article 5, paragraphe 4, troisième alinéa, du règlement (UE) no 182/2011 s'applique.

Article 39 Groupe consultatif L'eu-LISA crée un groupe consultatif pour pouvoir bénéficier d'une expertise en rapport avec l'ECRIS-TCN et l'application de référence de l'ECRIS, notamment dans le contexte de l'élaboration de son programme de travail annuel et de son rapport d'activité annuel. Durant la phase de conception et de développement, l'article 11, paragraphe 9, s'applique.

Article 40 Modifications du règlement (UE) 2018/1726 Le règlement (UE) 2018/1726 est modifié comme suit: 1) à l'article 1er, le paragraphe 4 est remplacé par le texte suivant: «4. L'Agence est chargée de la conception, du développement ou de la gestion opérationnelle du système d'entrée/de sortie (EES), de DubliNet, du système européen d'information et d'autorisation concernant les voyages (ETIAS), de l'ECRIS-TCN et de l'application de référence de l'ECRIS.»; 2) l'article suivant est inséré: «Article 8 bis Tâches liées à l'ECRIS TCN et à l'application de référence de l'ECRIS En ce qui concerne l'ECRIS-TCN et l'application de référence de l'ECRIS, l'Agence s'acquitte: a) des tâches qui lui sont confiées par le règlement (UE) 2019/816 du Parlement européen et du Conseil (*1); b) des tâches liées à une formation relative à l'utilisation technique de l'ECRIS-TCN et de l'application de référence de l'ECRIS. (*1) Règlement (UE) 2019/816 du Parlement européen et du Conseil du 17 avril 2019 portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726 (JO L 135 du 22.5.2019, p. 1).»;" 3) à l'article 14, le paragraphe 1 est remplacé par le texte suivant: «1. L'Agence suit les progrès de la recherche présentant de l'intérêt pour la gestion opérationnelle du SIS II, du VIS, d'Eurodac, de l'EES, de l'ETIAS, de DubliNet, de l'ECRIS-TCN et des autres systèmes d'information à grande échelle visés à l'article 1er, paragraphe 5.»; 4) à l'article 19, le paragraphe 1 est modifié comme suit: a) le point ee) est remplacé par le texte suivant: «ee) adopte les rapports sur le développement de l'EES, au titre de l'article 72, paragraphe 2, du règlement (UE) 2017/2226, les rapports sur le développement de l'ETIAS, au titre de l'article 92, paragraphe 2, du règlement (UE) 2018/1240 et les rapports sur le développement de l'ECRIS-TCN et de l'application de référence de l'ECRIS, au titre de l'article 36, paragraphe 3, du règlement (UE) 2019/816;»; b) le point ff) est remplacé par le texte suivant: «ff) adopte les rapports sur le fonctionnement technique du SIS II, au titre, respectivement, de l'article 50, paragraphe 4, du règlement (CE) n o 1987/2006 et de l'article 66, paragraphe 4, de la décision 2007/533/JAI, du VIS, au titre de l'article 50, paragraphe 3, du règlement (CE) n o 767/2008 et de l'article 17, paragraphe 3, de la décision 2008/633/JAI, de l'EES, au titre de l'article 72, paragraphe 4, du règlement (UE) 2017/2226, de l'ETIAS, au titre de l'article 92, paragraphe 4, du règlement (UE) 2018/1240, ainsi que de l'ECRIS-TCN et de l'application de référence de l'ECRIS, au titre de l'article 36, paragraphe 8, du règlement (UE) 2019/816;»; c) le point hh) est remplacé par le texte suivant: «hh) adopte des observations formelles sur les rapports du Contrôleur européen de la protection des données concernant les audits réalisés au titre de l'article 45, paragraphe 2, du règlement (CE) n o 1987/2006, de l'article 42, paragraphe 2, du règlement (CE) n o 767/2008, de l'article 31, paragraphe 2, du règlement (UE) n o 603/2013, de l'article 56, paragraphe 2, du règlement (UE) 2017/2226, de l'article 67 du règlement (UE) 2018/1240 et de l'article 29, paragraphe 2, du règlement (UE) 2019/816, et veille à ce qu'il soit donné dûment à la suite de ces audits;»; d) le point suivant est inséré: «ll bis) soumet à la Commission des statistiques sur l'ECRIS-TCN et l'application de référence de l'ECRIS, au titre de l'article 32, paragraphe 4, deuxième alinéa, du règlement (UE) 2019/816;»; e) le point mm) est remplacé par le texte suivant: «mm) veille à la publication annuelle de la liste des autorités compétentes autorisées à consulter directement les données introduites dans le SIS II au titre de l'article 31, paragraphe 8, du règlement (CE) n o 1987/2006 et de l'article 46, paragraphe 8, de la décision 2007/533/JAI, de la liste des offices des systèmes nationaux de SIS II (offices N.SIS II) et des bureaux SIRENE au titre, respectivement, de l'article 7, paragraphe 3, du règlement (CE) n o 1987/2006 et de l'article 7, paragraphe 3, de la décision 2007/533/JAI, ainsi que de la liste des autorités compétentes au titre de l'article 65, paragraphe 2, du règlement (UE) 2017/2226, de la liste des autorités compétentes au titre de l'article 87, paragraphe 2, du règlement (UE) 2018/1240 et de la liste des autorités centrales au titre de l'article 34, paragraphe 2, du règlement (UE) 2019/816;» 5) à l'article 22, paragraphe 4, l'alinéa suivant est inséré après le troisième alinéa: «Eurojust, Europol et le Parquet européen peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant l'ECRIS-TCN en relation avec l'application du règlement (UE) 2019/816, figure à l'ordre du jour.»; 6) à l'article 24, paragraphe 3, le point p) est remplacé par le texte suivant: «p) de déterminer, sans préjudice de l'article 17 du statut des fonctionnaires, les exigences de confidentialité à respecter pour se conformer à l'article 17 du règlement (CE) n o 1987/2006, à l'article 17 de la décision 2007/533/JAI, à l'article 26, paragraphe 9, du règlement (CE) n o 767/2008, à l'article 4, paragraphe 4, du règlement (UE) n o 603/2013, à l'article 37, paragraphe 4, du règlement (UE) 2017/2226, à l'article 74, paragraphe 2, du règlement 2018/1240 et à l'article 11, paragraphe 16, du règlement (UE) 2019/816;»; 7) à l'article 27, paragraphe 1, le point suivant est inséré: «d bis) le groupe consultatif sur l'ECRIS-TCN;».

Article 41 Mise en œuvre et dispositions transitoires 1. Les États membres prennent les mesures nécessaires pour se conformer au présent règlement dès que possible afin d'assurer le bon fonctionnement de l'ECRIS-TCN. 2. Pour les condamnations prononcées avant la date de début de l'inscription des données conformément à l'article 35, paragraphe 1, les autorités centrales créent les fichiers de données individuels dans le système central comme suit: a) les données alphanumériques à inscrire dans le système central à la fin de la période visée à l'article 35, paragraphe 2; b) les données dactyloscopiques à inscrire dans le système central deux ans à compter de la mise en service du système conformément à l'article 35, paragraphe 4.

Article 42 Entrée en vigueur Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne.

Le présent règlement est