RÈGLEMENT (UE) 2018/1861 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 28 novembre 2018

sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine des vérifications aux frontières, modifiant la convention d'application de l'accord de Schengen et modifiant et abrogeant le règlement (CE) no 1987/2006

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 77, paragraphe 2, points b) et d), et son article 79, paragraphe 2, point c),

vu la proposition de la Commission européenne,

après transmission du projet d'acte législatif aux parlements nationaux,

statuant conformément à la procédure législative ordinaire (1),

considérant ce qui suit:

(1) Le système d'information Schengen (SIS) constitue un outil essentiel pour l'application des dispositions de l'acquis de Schengen tel qu'il a été intégré dans le cadre de l'Union européenne. Il représente l'une des grandes mesures compensatoires qui contribuent au maintien d'un niveau élevé de sécurité dans l'espace de liberté, de sécurité et de justice de l'Union par le soutien qu'il apporte à la coopération opérationnelle entre les autorités nationales compétentes, notamment les garde-frontières, les services de police, les autorités douanières, les autorités chargées de l'immigration et les autorités chargées de la prévention et de la détection des infractions pénales ainsi que des enquêtes et poursuites en la matière ou de l'exécution des sanctions pénales.

(2) Le SIS a initialement été créé en vertu des dispositions du titre IV de la convention d'application de l'accord de Schengen du 14 juin 1985 entre les gouvernements des États de l'Union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes (2) (ci-après dénommée «convention d'application de l'accord de Schengen»), signée le 19 juin 1990. La Commission a été chargée, par le règlement (CE) no 2424/2001 du Conseil (3) et la décision 2001/886/JAI du Conseil (4), du développement du SIS de deuxième génération (SIS II). Il a ultérieurement été créé par le règlement (CE) no 1987/2006 du Parlement européen et du Conseil (5) et par la décision 2007/533/JAI du Conseil (6). Le SIS II a remplacé le SIS tel qu'il a été créé par la convention d'application de l'accord Schengen.

(3) Trois ans après l'entrée en service du SIS II, la Commission a procédé à une évaluation du système, conformément au règlement (CE) no 1987/2006 et à la décision 2007/533/JAI. Le 21 décembre 2016, la Commission a présenté au Parlement européen et au Conseil le rapport d'évaluation du système d'information de Schengen de deuxième génération (SIS II) conformément à l'article 24, paragraphe 5, à l'article 43, paragraphe 3, et à l'article 50, paragraphe 5, du règlement (CE) no 1987/2006, et à l'article 59, paragraphe 3, et à l'article 66, paragraphe 5, de la décision 2007/533/JAI, accompagné d'un document de travail des services. Les recommandations formulées dans ces documents devraient être prises en compte, le cas échéant, dans le présent règlement.

(4) Le présent règlement constitue la base juridique pour le SIS dans les domaines relevant du champ d'application de la troisième partie, titre V, chapitre 2, du traité sur le fonctionnement de l'Union européenne. Le règlement (UE) 2018/1862 du Parlement européen et du Conseil (7) constitue la base juridique pour le SIS dans les domaines relevant du champ d'application de la troisième partie, titre V, chapitres 4 et 5, du traité sur le fonctionnement de l'Union européenne.

(5) Le fait que la base juridique pour le SIS consiste en des instruments distincts n'affecte pas le principe selon lequel le SIS constitue un système d'information unique qui devrait fonctionner en tant que tel. Il devrait comprendre un réseau unique de bureaux nationaux, dénommés bureaux SIRENE, pour assurer l'échange d'informations supplémentaires. Certaines dispositions de ces instruments devraient donc être identiques.

(6) Il est nécessaire de préciser les objectifs du SIS, certains éléments de son architecture technique et de son financement, de fixer des règles concernant son fonctionnement et son utilisation de bout en bout et de définir les responsabilités. Il est également nécessaire de déterminer les catégories de données à introduire dans le système, les finalités de leur introduction et de leur traitement, ainsi que les critères pour leur introduction. Des règles sont également nécessaires pour régir la suppression des signalements, les autorités autorisées à avoir accès aux données et l'utilisation de données biométriques, et pour préciser les obligations en matière de protection des données et de traitement des données.

(7) Les signalements dans le SIS ne contiennent que les informations nécessaires pour identifier une personne et déterminer la conduite à tenir. Par conséquent, il convient que les États membres échangent des informations supplémentaires liées aux signalements lorsque c'est nécessaire.

(8) Le SIS comprend un système central (SIS central) et des systèmes nationaux. Les systèmes nationaux pourraient contenir une copie intégrale ou partielle de la base de données du SIS, qui peut être partagée par deux États membres ou plus. Étant donné que le SIS est l'instrument d'échange d'informations le plus important en Europe pour assurer la sécurité et une gestion efficace des frontières, il est nécessaire de garantir son fonctionnement continu au niveau tant central que national. La disponibilité du SIS devrait faire l'objet d'un suivi étroit au niveau central et des États membres, et tout cas d'indisponibilité pour les utilisateurs finaux devrait être consigné et signalé aux parties intéressées au niveau national et de l'Union. Chaque État membre devrait mettre en place un dispositif de secours pour son système national. Les États membres devraient également garantir une connectivité continue avec le SIS central en prévoyant des points de connexion doubles et physiquement et géographiquement séparés. Il convient de gérer le SIS central et l'infrastructure de communication de manière à assurer leur fonctionnement 24 heures sur 24, 7 jours sur 7. Pour cette raison, l'agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (ci-après dénommée «eu-LISA») créée par le règlement (UE) 2018/1726 du Parlement européen et du Conseil (8) devrait mettre en œuvre des solutions techniques pour renforcer la disponibilité continue du SIS, sous réserve d'une analyse d'impact indépendante et d'une analyse coûts/avantages.

(9) Il est nécessaire de disposer d'un manuel qui contienne des règles détaillées sur l'échange d'informations supplémentaires concernant la conduite à tenir à la suite de signalements (ci-après dénommé «manuel SIRENE»). Les bureaux SIRENE devraient assurer cet échange d'informations de manière rapide et efficace.

(10) Pour garantir un échange efficace d'informations supplémentaires, y compris en ce qui concerne la conduite à tenir spécifiée dans les signalements, il y a lieu de renforcer le fonctionnement des bureaux SIRENE en précisant les exigences quant aux ressources disponibles et à la formation des utilisateurs et au délai pour répondre aux demandes de renseignements reçues d'autres bureaux SIRENE.

(11) Il convient que les États membres veillent à ce que le personnel de leur bureau SIRENE ait les compétences linguistiques et les connaissances du droit et des règles de procédure applicables nécessaires à l'exercice de ses fonctions.

(12) Afin d'être en mesure de bénéficier pleinement des fonctionnalités du SIS, les États membres devraient veiller à ce que les utilisateurs finaux et le personnel des bureaux SIRENE reçoivent régulièrement des formations, portant notamment sur la sécurité des données, la protection des données et la qualité des données. Les bureaux SIRENE devraient être associés à l'élaboration des programmes de formation. Dans la mesure du possible, les bureaux SIRENE devraient en outre prévoir des échanges de personnel avec d'autres bureaux SIRENE au moins une fois par an. Les États membres sont encouragés à prendre les mesures utiles pour empêcher que la rotation du personnel ne cause une perte de compétences et d'expérience.

(13) L'eu-LISA est chargée de la gestion opérationnelle des éléments centraux du SIS. Afin de permettre à l'eu-LISA de consacrer les moyens financiers et humains nécessaires pour couvrir tous les aspects de la gestion opérationnelle du SIS central et de l'infrastructure de communication, le présent règlement devrait décrire ses tâches en détail, notamment en ce qui concerne les aspects techniques de l'échange d'informations supplémentaires.

(14) Sans préjudice de la responsabilité des États membres relative à l'exactitude des données introduites dans le SIS et du rôle des bureaux SIRENE en tant que coordinateurs de la qualité, l'eu-LISA devrait être chargée de renforcer la qualité des données en introduisant un outil de contrôle central de cette qualité et devrait présenter des rapports à la Commission et aux États membres à intervalles réguliers. La Commission devrait faire rapport au Parlement européen et au Conseil sur les problèmes rencontrés quant à la qualité des données. En vue d'améliorer davantage la qualité des données dans le SIS, l'eu-LISA devrait également proposer une formation sur l'utilisation du SIS aux organismes de formation nationaux et, dans la mesure du possible, aux bureaux SIRENE et aux utilisateurs finaux.

(15) En vue d'un meilleur contrôle de l'utilisation du SIS et pour analyser les tendances en matière de pression migratoire et de gestion des frontières, l'eu-LISA devrait être en mesure d'acquérir la capacité de fournir, en utilisant les méthodes les plus modernes, des rapports statistiques aux États membres, au Parlement européen, au Conseil, à la Commission, à Europol et à l'Agence européenne de garde-frontières et de garde-côtes sans compromettre l'intégrité des données. Il convient dès lors de créer un fichier central. Les statistiques conservées dans ce fichier ou fournies par celui-ci ne devraient contenir aucune donnée à caractère personnel. Les États membres devraient communiquer, dans le cadre de la coopération entre les autorités de contrôle et le Contrôleur européen de la protection des données prévue par le présent règlement, des statistiques concernant l'exercice du droit d'accès, de rectification des données inexactes et d'effacement des données conservées de manière illicite.

(16) De nouvelles catégories de données devraient être introduites dans le SIS pour permettre aux utilisateurs finaux de prendre des décisions éclairées fondées sur un signalement sans perdre de temps. En conséquence, les signalements aux fins de non-admission et d'interdiction de séjour devraient comprendre des informations concernant la décision sur laquelle le signalement est fondé. En outre, afin de faciliter l'identification et de détecter les identités multiples, le signalement devrait comporter, lorsqu'une telle information est disponible, une référence au document d'identification personnel de la personne concernée ou au numéro de ce document et une copie du document, si possible en couleurs.

(17) Les autorités compétentes devraient pouvoir, en cas de nécessité absolue, introduire dans le SIS des informations spécifiques concernant des caractéristiques physiques, spécifiques et objectives d'une personne qui ne sont pas susceptibles de changer, telles que des tatouages, des marques ou des cicatrices.

(18) Si elles sont disponibles, toutes les données pertinentes, en particulier le prénom de la personne concernée, devraient être insérées lors de la création d'un signalement, afin de réduire autant que possible le risque de fausses réponses positives et les activités opérationnelles inutiles.

(19) Aucune donnée ayant servi à effectuer des recherches ne devrait être conservée dans le SIS, à l'exception de la tenue de registres afin de pouvoir contrôler la licéité de la recherche et la licéité du traitement des données, d'assurer un autocontrôle et le bon fonctionnement des systèmes nationaux, et de garantir l'intégrité et la sécurité des données.

(20) Le SIS devrait permettre le traitement des données biométriques afin d'aider à identifier les personnes concernées de manière fiable. Toute introduction de photographies, d'images faciales ou de données dactyloscopiques dans le SIS et toute utilisation de ces données devraient être limitées à ce qui est nécessaire pour atteindre les objectifs poursuivis, devraient être autorisées par le droit de l'Union, devraient respecter les droits fondamentaux, notamment l'intérêt supérieur de l'enfant, et devraient être conformes au droit de l'Union en matière de protection des données, y compris les dispositions applicables en matière de protection des données prévues par le présent règlement. Dans la même optique, de manière à éviter les problèmes causés par des erreurs d'identification, le SIS devrait également permettre le traitement de données relatives à des personnes dont l'identité a été usurpée, sous réserve de garanties adaptées, de l'obtention du consentement des personnes concernées pour chaque catégorie de données, en particulier les empreintes palmaires, et d'une stricte limitation des fins auxquelles ces données à caractère personnel peuvent être traitées de manière licite.

(21) Les États membres devraient prendre les mesures techniques nécessaires pour que, chaque fois que les utilisateurs finaux ont le droit d'effectuer des recherches dans une base de données nationale des services de police ou d'immigration, ils puissent aussi faire des recherches dans le SIS en parallèle, sous réserve des principes énoncés à l'article 4 de la directive (UE) 2016/680 du Parlement européen et du Conseil (9) et à l'article 5 du règlement (UE) 2016/679 du Parlement européen et du Conseil (10). Ceci devrait garantir que le SIS fonctionne comme la principale mesure compensatoire dans l'espace sans contrôles aux frontières intérieures et tienne mieux compte de la dimension transfrontière de la criminalité et de la mobilité des criminels.

(22) Le présent règlement devrait définir les conditions d'utilisation des données dactyloscopiques, des photographies et des images faciales à des fins d'identification et de vérification. Les images faciales et les photographies ne devraient être utilisées, dans un premier temps, à des fins d'identification que dans le contexte des points de passage frontalier habituels. Une telle utilisation devrait faire l'objet d'un rapport de la Commission confirmant que la technique requise est disponible, fiable et prête à être employée.

(23) Les recherches dans les données dactyloscopiques conservées dans le SIS devraient être autorisées à l'aide de séries complètes ou incomplètes d'empreintes digitales ou d'empreintes palmaires trouvées sur le lieu d'une infraction s'il peut être établi avec un degré élevé de probabilité qu'elles sont celles de l'auteur de l'infraction grave ou de l'infraction terroriste, pour autant qu'une recherche soit effectuée simultanément dans les bases de données d'empreintes digitales nationales pertinentes. Il convient d'accorder une attention particulière à l'établissement de normes de qualité applicables à la conservation de données biométriques.

(24) Chaque fois que l'identité d'une personne ne peut être établie par aucun autre moyen, il convient d'utiliser les données dactyloscopiques pour tenter d'identifier la personne. Il devrait être autorisé dans tous les cas d'identifier une personne en utilisant des données dactyloscopiques.

(25) Il devrait être possible pour les États membres de mettre en relation les signalements dans le SIS. Cette mise en relation de deux signalements ou plus ne devrait avoir aucun effet sur la conduite à tenir, le délai de réexamen des signalements ou les droits d'accès aux signalements.

(26) Un niveau accru d'efficacité, d'harmonisation et de cohérence peut être atteint si l'on rend obligatoire l'introduction dans le SIS de toutes les interdictions d'entrée délivrées par les autorités nationales compétentes conformément à des procédures respectant la directive 2008/115/CE du Parlement européen et du Conseil (11), et si l'on établit des règles communes pour l'introduction de signalements aux fins de non-admission et d'interdiction de séjour au moment du retour d'un ressortissant de pays tiers en séjour irrégulier. Les États membres devraient prendre toutes les mesures nécessaires pour faire en sorte qu'il n'y ait pas de délai entre le moment où le ressortissant de pays tiers concerné quitte l'espace Schengen et l'activation du signalement dans le SIS. Cela devrait garantir l'application des interdictions d'entrée aux points de passage des frontières extérieures, en empêchant effectivement toute nouvelle entrée dans l'espace Schengen.

(27) Les personnes à l'égard desquelles une décision de non-admission et d'interdiction de séjour a été prise devraient avoir le droit de former un recours contre ladite décision. Il convient que ce droit de recours respecte la directive 2008/115/CE dans le cas d'une décision liée au retour.

(28) Le présent règlement devrait établir des règles obligatoires prévoyant que les autorités nationales sont consultées et qu'une notification leur est adressée lorsqu'un ressortissant de pays tiers est titulaire d'un titre de séjour ou d'un visa de long séjour en cours de validité accordé dans un État membre, ou qu'il est susceptible d'en obtenir un, et qu'un autre État membre envisage d'introduire ou a déjà introduit un signalement aux fins de non-admission et d'interdiction de séjour de ce ressortissant de pays tiers. De telles situations créent en effet de graves incertitudes pour les garde-frontières, les services de police et les services de l'immigration. Par conséquent, il convient de prévoir un délai impératif pour procéder à une consultation rapide et obtenir un résultat définitif, afin de garantir que les ressortissants de pays tiers qui sont autorisés à résider légalement sur le territoire des États membres puissent y entrer sans difficulté et que ceux qui ne sont pas autorisés à entrer en soient empêchés.

(29) Lorsque, à la suite d'une consultation entre États membres, l'État membre signalant supprime un signalement dans le SIS, il devrait pouvoir maintenir l'inscription du ressortissant de pays tiers en question sur sa liste de signalements nationale.

(30) Le présent règlement devrait s'entendre sans préjudice de l'application de la directive 2004/38/CE du Parlement européen et du Conseil (12).

(31) Les signalements ne devraient pas être conservés dans le SIS pour une durée plus longue que le temps nécessaire à la réalisation des finalités spécifiques pour lesquelles ils ont été introduits. Dans un délai de trois ans à compter de l'introduction d'un signalement dans le SIS, l'État membre signalant devrait réexaminer la nécessité de le conserver. Cependant, dans le cas où la décision nationale sur laquelle le signalement se fonde prévoit une durée de validité supérieure à trois ans, il convient que le signalement soit réexaminé dans un délai de cinq ans. La décision de conserver des signalements concernant des personnes devrait être fondée sur une évaluation individuelle complète. Les États membres devraient réexaminer les signalements concernant des personnes dans le délai de réexamen prescrit et tenir des statistiques sur le nombre de signalements concernant des personnes dont la durée de conservation a été prolongée.

(32) Lors de l'introduction d'un signalement dans le SIS et du report de la date d'expiration d'un signalement dans le SIS, il convient de respecter une exigence de proportionnalité, impliquant de vérifier si un cas déterminé est suffisamment approprié, pertinent et important pour justifier l'introduction d'un signalement dans le SIS. Dans les cas d'infractions terroristes, le cas devrait être jugé suffisamment approprié, pertinent et important pour justifier un signalement dans le SIS. Pour des raisons de sécurité publique ou nationale, les États membres devraient être autorisés, à titre exceptionnel, à s'abstenir d'introduire un signalement dans le SIS si celui-ci risque de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires.

(33) L'intégrité des données du SIS est de la plus haute importance. Il convient dès lors de prévoir des mesures de protection adaptées pour que les données du SIS soient traitées, au niveau tant central que national, d'une manière qui assure leur sécurité de bout en bout. Les autorités intervenant dans le traitement des données devraient être liées par les obligations de sécurité prévues par le présent règlement et soumises à une procédure uniforme de déclaration des incidents. Leur personnel devrait avoir reçu une formation adéquate et être informé des infractions et sanctions éventuelles en la matière.

(34) Les données traitées dans le SIS et les informations supplémentaires connexes échangées au titre du présent règlement ne devraient pas être transférées à des pays tiers ou à des organisations internationales ni mises à leur disposition.

(35) Afin de renforcer l'efficacité du travail des autorités chargées de l'immigration lorsqu'elles statuent sur le droit de ressortissants de pays tiers d'entrer et de séjourner sur le territoire des États membres, ainsi que sur le retour de ressortissants de pays tiers en séjour irrégulier, il convient de donner à ces autorités un accès au SIS en vertu du présent règlement.

(36) Sans préjudice de règles plus spécifiques prévues par le présent règlement en ce qui concerne le traitement de données à caractère personnel, le règlement (UE) 2016/679 devrait s'appliquer aux traitements de données à caractère personnel effectués par les États membres en vertu du présent règlement, sauf si ces traitements sont effectués par les autorités nationales compétentes aux fins de la prévention et de la détection d'infractions terroristes ou d'autres infractions pénales graves, et des enquêtes et poursuites en la matière.

(37) Sans préjudice de règles plus spécifiques prévues par le présent règlement, les dispositions législatives, réglementaires et administratives nationales adoptées en vertu de la directive (UE) 2016/680 devraient s'appliquer aux traitements de données à caractère personnel effectués en vertu du présent règlement par les autorités nationales compétentes aux fins de la prévention et de la détection d'infractions terroristes ou d'autres infractions pénales graves, des enquêtes et poursuites en la matière ou de l'exécution des sanctions pénales. L'accès aux données introduites dans le SIS et le droit d'effectuer des recherches dans ces données dont disposent les autorités nationales compétentes chargées de la prévention et de la détection des infractions terroristes ou d'autres infractions pénales graves, des enquêtes et poursuites en la matière ou de l'exécution des sanctions pénales sont soumis à toutes les dispositions pertinentes du présent règlement et de la directive (UE) 2016/680 telle qu'elle est transposée en droit national, et en particulier à la surveillance par les autorités de contrôle visées dans la directive (UE) 2016/680.

(38) Le règlement (UE) 2018/1725 du Parlement européen et du Conseil (13) devrait s'appliquer aux traitements de données à caractère personnel effectués par les institutions et organes de l'Union dans l'exercice de leurs fonctions au titre du présent règlement.

(39) Le règlement (UE) 2016/794 du Parlement européen et du Conseil (14) devrait s'appliquer aux traitements de données à caractère personnel effectués par Europol au titre du présent règlement.

(40) Lorsqu'elles utilisent le SIS, les autorités compétentes devraient veiller au respect de la dignité et de l'intégrité des personnes dont les données sont traitées. Les traitements de données à caractère personnel aux fins du présent règlement ne doivent aboutir à aucune discrimination à l'encontre des personnes, fondée notamment sur le sexe, l'origine raciale ou ethnique, la religion ou les croyances, le handicap, l'âge ou l'orientation sexuelle.

(41) En ce qui concerne la confidentialité, les dispositions pertinentes du statut des fonctionnaires de l'Union européenne et du régime applicable aux autres agents de l'Union fixées dans le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (15) (ci-après dénommés «statut») devraient s'appliquer aux fonctionnaires et autres agents employés et travaillant dans le cadre du SIS.

(42) Tant les États membres que l'eu-LISA devraient disposer de plans de sécurité visant à faciliter la mise en œuvre des obligations en matière de sécurité et devraient coopérer de manière à traiter les questions de sécurité dans une perspective commune.

(43) Les autorités de contrôle indépendantes nationales visées dans le règlement (UE) 2016/679 et la directive (UE) 2016/680 (ci-après dénommées «autorités de contrôle») devraient vérifier la licéité des traitements de données à caractère personnel effectués par les États membres en vertu du présent règlement, y compris les échanges d'informations supplémentaires. Les autorités de contrôle devraient être dotées de ressources suffisantes pour mener à bien cette mission. Il convient de prévoir des dispositions sur le droit des personnes concernées d'avoir accès à leurs données à caractère personnel conservées dans le SIS et d'obtenir la rectification et l'effacement de ces données, et sur tout recours ultérieur devant les juridictions nationales ainsi que sur la reconnaissance mutuelle des décisions judiciaires. Il y a également lieu d'imposer aux États membres l'établissement de statistiques annuelles.

(44) Les autorités de contrôle devraient veiller à ce que soit réalisé, tous les quatre ans au minimum, un audit des opérations de traitement des données dans les systèmes nationaux de leur État membre, conformément aux normes internationales d'audit. Cet audit devrait être réalisé par les autorités de contrôle elles-mêmes ou être commandé directement par les autorités de contrôle à un auditeur indépendant en matière de protection des données. Ce dernier devrait rester sous le contrôle et la responsabilité des autorités de contrôle concernées, qui devraient dès lors donner des instructions à l'auditeur et définir clairement l'objet de l'audit, son étendue et sa méthode, et donner des indications et exercer un contrôle sur l'audit et ses résultats finaux.

(45) Le Contrôleur européen de la protection des données devrait contrôler les activités des institutions et des organes de l'Union dans le domaine du traitement de données à caractère personnel effectué au titre du présent règlement. Le Contrôleur européen de la protection des données et les autorités de contrôle devraient coopérer dans le cadre du suivi du SIS.

(46) Le Contrôleur européen de la protection des données devrait être doté de ressources suffisantes pour s'acquitter des tâches que lui confie le présent règlement, y compris l'aide de personnes ayant une expertise en matière de données biométriques.

(47) Le règlement (UE) 2016/794 prévoit qu'Europol appuie et renforce l'action des autorités nationales compétentes et leur coopération mutuelle dans la lutte contre le terrorisme et les formes graves de criminalité, et qu'il fournit des analyses et des évaluations de la menace. Afin d'aider Europol à s'acquitter de ses missions, en particulier au sein du Centre européen chargé de lutter contre le trafic de migrants, il convient de permettre à Europol d'avoir accès aux catégories de signalements prévues dans le présent règlement.

(48) Afin de pallier le partage insuffisant d'informations sur le terrorisme, en particulier sur les combattants terroristes étrangers, dont la surveillance des mouvements est essentielle, les États membres sont encouragés à partager avec Europol leurs informations sur les activités liées au terrorisme. Ce partage d'informations devrait s'effectuer par la voie d'échange d'informations supplémentaires avec Europol sur les signalements concernés. À cette fin, Europol devrait établir une connexion avec l'infrastructure de communication.

(49) Il est également nécessaire d'établir des règles claires à l'intention d'Europol au sujet du traitement et du téléchargement des données du SIS pour lui permettre d'utiliser le SIS de manière complète, à condition que les normes en matière de protection des données soient respectées comme le prévoient le présent règlement et le règlement (UE) 2016/794. Lorsque des recherches effectuées dans le SIS par Europol révèlent l'existence d'un signalement introduit par un État membre, Europol ne peut pas exécuter la conduite à tenir requise. Il devrait dès lors informer l'État membre concerné, par la voie d'échange d'informations supplémentaires avec le bureau SIRENE concerné, pour permettre à cet État membre de donner suite à l'affaire.

(50) Le règlement (UE) 2016/1624 du Parlement européen et du Conseil (16) prévoit, aux fins dudit règlement, que l'État membre hôte autorise les membres des équipes visés à l'article 2, point 8), dudit règlement qui sont déployés par l'Agence européenne de garde-frontières et de garde-côtes à consulter les bases de données de l'Union lorsque cette consultation est nécessaire à la réalisation des objectifs opérationnels précisés dans le plan opérationnel relatif aux vérifications aux frontières, à la surveillance des frontières et au retour. D'autres agences concernées de l'Union, en particulier le Bureau européen d'appui en matière d'asile et Europol, peuvent également déployer, dans le cadre des équipes d'appui à la gestion des flux migratoires, des experts qui n'appartiennent pas au personnel de ces agences de l'Union. Le déploiement des équipes visées à l'article 2, points 8) et 9), dudit règlement a pour objectif de fournir des renforts techniques et opérationnels aux États membres demandeurs, en particulier à ceux confrontés à des défis migratoires disproportionnés. Pour accomplir les tâches qui leur sont confiées, les équipes visées à l'article 2, points 8) et 9), dudit règlement ont besoin d'avoir accès au SIS par l'intermédiaire d'une interface technique de l'Agence européenne de garde-frontières et de garde-côtes qui permet de se connecter au SIS central. Lorsque des recherches effectuées dans le SIS par les équipes visées à l'article 2, points 8) et 9), du règlement (UE) 2016/1624 ou par les équipes d'agents révèlent l'existence d'un signalement introduit par un État membre, le membre de l'équipe ou l'agent ne peut exécuter la conduite requise que si l'État membre hôte l'y autorise. L'État membre hôte devrait dès lors être informé pour lui permettre de donner suite à l'affaire. L'État membre hôte devrait notifier la réponse positive à l'État membre signalant par la voie d'échange d'informations supplémentaires.

(51) Certains aspects du SIS ne peuvent pas être couverts de manière exhaustive par le présent règlement en raison de leur nature technique, de leur niveau élevé de précision et de leur nature sujette à de fréquents changements. Ces aspects incluent, par exemple, des règles techniques concernant l'introduction, la mise à jour et la suppression des données, et, les recherches dans les données, et concernant la qualité des données, et des règles liées aux données biométriques, des règles sur la compatibilité et l'ordre de priorité des signalements, sur la mise en relation des signalements, et sur l'échange d'informations supplémentaires. Il convient de conférer des compétences d'exécution relatives à ces aspects à la Commission. Les règles techniques concernant les recherches de signalements devraient tenir compte du bon fonctionnement des applications nationales.

(52) Afin d'assurer des conditions uniformes d'exécution du présent règlement, il convient de conférer des compétences d'exécution à la Commission. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (17). La procédure d'adoption des actes d'exécution au titre du présent règlement et du règlement (UE) 2018/1862 devrait être identique.

(53) Pour assurer la transparence, l'eu-LISA devrait, deux ans après la mise en service du SIS en vertu du présent règlement, établir un rapport sur le fonctionnement technique du SIS central et de l'infrastructure de communication, y compris la sécurité qu'ils offrent, et sur les échanges bilatéraux et multilatéraux d'informations supplémentaires. La Commission devrait procéder à une évaluation globale tous les quatre ans.

(54) Afin de garantir le bon fonctionnement du SIS, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l'article 290 du traité sur le fonctionnement de l'Union européenne en ce qui concerne la détermination des circonstances dans lesquelles des photographies et des images faciales peuvent être utilisées aux fins de l'identification de personnes dans un contexte autre que celui des points de passage frontaliers habituels. Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts, et que ces consultations soient menées conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016«Mieux légiférer» (18). En particulier, pour assurer leur égale participation à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents au même moment que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d'experts de la Commission traitant de la préparation des actes délégués.

(55) Étant donné que les objectifs du présent règlement, à savoir l'établissement d'un système d'information de l'Union et la fixation de règles applicables à ce système ainsi que l'échange d'informations supplémentaires connexes, ne peuvent pas être atteints de manière suffisante par les États membres mais peuvent en raison de leur nature l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre ces objectifs.

(56) Le présent règlement respecte les droits fondamentaux et observe les principes reconnus, notamment, par la Charte des droits fondamentaux de l'Union européenne. En particulier, le présent règlement respecte pleinement la protection des données à caractère personnel conformément à l'article 8 de la Charte des droits fondamentaux de l'Union européenne, tout en cherchant à assurer un environnement sûr pour toutes les personnes résidant sur le territoire de l'Union et à protéger les migrants en situation irrégulière contre l'exploitation et la traite des êtres humains. Dans les affaires concernant un enfant, l'intérêt supérieur de l'enfant devrait être une considération primordiale.

(57) Les coûts estimés de la mise à niveau des systèmes nationaux et de la mise en œuvre des nouvelles fonctionnalités envisagées dans le présent règlement sont inférieurs au solde restant dans la ligne budgétaire destinée aux frontières intelligentes prévue dans le règlement (UE) no 515/2014 du Parlement européen et du Conseil (19). En conséquence, il convient d'attribuer aux États membres et à l'eu-LISA un financement pour le développement de systèmes informatiques permettant la gestion des flux migratoires aux frontières extérieures conformément au règlement (UE) no 515/2014. Il convient d'assurer un suivi des coûts financiers de la mise à niveau du SIS et de la mise en œuvre du présent règlement. Si les coûts estimés sont plus élevés, il convient de mettre à disposition un financement de l'Union pour soutenir les États membres conformément au cadre financier pluriannuel applicable.

(58) Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application. Le présent règlement développant l'acquis de Schengen, le Danemark décide, conformément à l'article 4 dudit protocole, dans un délai de six mois à partir de la décision du Conseil sur le présent règlement, s'il le transpose dans son droit interne.

(59) Le présent règlement constitue un développement des dispositions de l'acquis de Schengen auxquelles le Royaume-Uni ne participe pas, conformément à la décision 2000/365/CE du Conseil (20); le Royaume-Uni ne participe donc pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application.

(60) Le présent règlement constitue un développement des dispositions de l'acquis de Schengen auxquelles l'Irlande ne participe pas, conformément à la décision 2002/192/CE du Conseil (21); l'Irlande ne participe donc pas à l'adoption du présent règlement et n'est pas liée par celui-ci ni soumise à son application.

(61) En ce qui concerne l'Islande et la Norvège, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord conclu par le Conseil de l'Union européenne, la République d'Islande et le Royaume de Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (22), qui relèvent du domaine visé à l'article 1er, point G, de la décision 1999/437/CE du Conseil (23).

(62) En ce qui concerne la Suisse, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (24), qui relèvent du domaine visé à l'article 1er, point G, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2008/146/CE du Conseil (25).

(63) En ce qui concerne le Liechtenstein, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens du protocole entre l'Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (26), qui relèvent du domaine visé à l'article 1er, point G, de la décision 1999/437/CE, lue en liaison avec l'article 3 de la décision 2011/350/UE du Conseil (27).

(64) En ce qui concerne la Bulgarie et la Roumanie, le présent règlement constitue un acte fondé sur l'acquis de Schengen ou qui s'y rapporte, au sens de l'article 4, paragraphe 2, de l'acte d'adhésion de 2005 et il doit être lu en combinaison avec les décisions 2010/365/UE (28) et (UE) 2018/934 (29) du Conseil.

(65) En ce qui concerne la Croatie, le présent règlement constitue un acte fondé sur l'acquis de Schengen ou qui s'y rapporte, au sens de l'article 4, paragraphe 2, de l'acte d'adhésion de 2011 et il doit être lu en combinaison avec la décision (UE) 2017/733 du Conseil (30).

(66) En ce qui concerne Chypre, le présent règlement constitue un acte fondé sur l'acquis de Schengen ou qui s'y rapporte, au sens de l'article 3, paragraphe 2, de l'acte d'adhésion de 2003.

(67) Le présent règlement apporte une série d'améliorations au SIS qui le rendront plus efficace, renforceront la protection des données et élargiront les droits d'accès. Certaines de ces améliorations n'exigent pas d'avancées techniques complexes, tandis que d'autres nécessitent des évolutions techniques d'une ampleur variable. Afin que les utilisateurs finaux puissent disposer des améliorations du système aussi vite que possible, le présent règlement apporte des modifications au règlement (CE) no 1987/2006 en plusieurs étapes. Un certain nombre d'améliorations apportées au système devraient s'appliquer immédiatement, dès l'entrée en vigueur du présent règlement, tandis que d'autres devraient s'appliquer un an ou deux ans après son entrée en vigueur. Le présent règlement devrait s'appliquer dans son intégralité dans un délai de trois ans après son entrée en vigueur. Afin d'éviter les retards dans son application, la mise en œuvre progressive du présent règlement devrait être étroitement suivie.

(68) Le règlement (CE) no 1987/2006 devrait être abrogé avec effet à compter de la date de l'application intégrale du présent règlement.

(69) Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001 du Parlement européen et du Conseil (31), et a rendu un avis le 3 mai 2017,

ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:

CHAPITRE I

DISPOSITIONS GÉNÉRALES

Article premier Objectif général du SIS L'objet du SIS est d'assurer un niveau élevé de sécurité dans l'espace de liberté, de sécurité et de justice de l'Union, y compris la préservation de la sécurité publique et de l'ordre public et la sauvegarde de la sécurité sur les territoires des États membres, et d'assurer l'application des dispositions de la troisième partie, titre V, chapitre 2, du traité sur le fonctionnement de l'Union européenne relatives à la libre circulation des personnes sur les territoires des États membres, à l'aide des informations transmises par ce système.

Article 2 Objet 1. Le présent règlement établit les conditions et les procédures relatives à l'introduction et au traitement dans le SIS des signalements concernant des ressortissants de pays tiers, et à l'échange d'informations supplémentaires et de données complémentaires aux fins de non-admission et d'interdiction de séjour sur le territoire des États membres. 2. Le présent règlement prévoit également des dispositions concernant l'architecture technique du SIS, les responsabilités incombant aux États membres et à l'Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (ci-après dénommée «eu-LISA»), le traitement des données, les droits des personnes concernées et la responsabilité.

Article 3 Définitions Aux fins du présent règlement, on entend par: 1) «signalement»: un ensemble de données introduites dans le SIS permettant aux autorités compétentes d'identifier une personne en vue de tenir une conduite particulière à son égard; 2) «informations supplémentaires»: les informations ne faisant pas partie des données d'un signalement stockées dans le SIS, mais en rapport avec des signalements dans le SIS, qui doivent être échangées par l'intermédiaire des bureaux SIRENE: a) afin de permettre aux États membres de se consulter ou de s'informer mutuellement lors de l'introduction d'un signalement; b) à la suite d'une réponse positive afin que la conduite requise puisse être exécutée; c) en cas d'impossibilité d'exécuter la conduite requise; d) en ce qui concerne la qualité des données du SIS; e) en ce qui concerne la compatibilité des signalements et leur ordre de priorité; f) en ce qui concerne l'exercice du droit d'accès; 3) «données complémentaires»: les données stockées dans le SIS en rapport avec des signalements dans le SIS, qui doivent être immédiatement accessibles aux autorités compétentes lorsqu'une personne au sujet de laquelle des données ont été introduites dans le SIS est localisée à la suite d'une recherche effectuée dans le SIS; 4) «ressortissant de pays tiers»: toute personne qui n'est pas citoyen de l'Union au sens de l'article 20, paragraphe 1, du traité sur le fonctionnement de l'Union européenne, à l'exception des personnes qui sont bénéficiaires, en vertu d'accords conclus entre l'Union, ou l'Union et ses États membres, d'une part, et des pays tiers, d'autre part, de droits en matière de libre circulation équivalents à ceux des citoyens de l'Union; 5) «données à caractère personnel»: les données à caractère personnel au sens de l'article 4, point 1), du règlement (UE) 2016/679; 6) «traitement de données à caractère personnel»: toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'enregistrement dans un registre, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction; 7) «correspondance»: la succession des étapes suivantes: a) une recherche a été effectuée dans le SIS par un utilisateur final; b) cette recherche a révélé l'existence d'un signalement introduit dans le SIS par un autre État membre; et c) les données relatives au signalement introduit dans le SIS correspondent aux données de la recherche; 8) «réponse positive»: une correspondance qui satisfait aux critères suivants: a) elle a été confirmée par: i) l'utilisateur final; ou ii) l'autorité compétente conformément aux procédures nationales, lorsque la correspondance en question était fondée sur la comparaison de données biométriques; et b) une conduite complémentaire est demandée; 9) «État membre signalant»: l'État membre qui a introduit le signalement dans le SIS; 10) «État membre d'octroi»: l'État membre qui envisage d'octroyer ou de prolonger un titre de séjour ou un visa de long séjour, ou qui a octroyé ou prolongé un titre de séjour ou un visa de long séjour, et qui participe à la procédure de consultation avec un autre État membre; 11) «État membre d'exécution»: l'État membre qui exécute ou a exécuté la conduite demandée à la suite d'une réponse positive; 12) «utilisateur final»: un membre du personnel d'une autorité compétente autorisé à effectuer des recherches directement dans le CS-SIS, le N.SIS ou dans une copie technique de ceux-ci; 13) «données biométriques»: les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques ou physiologiques d'une personne physique, qui permettent ou confirment son identification unique à savoir les photographies, les images faciales et les données dactyloscopiques; 14) «données dactyloscopiques»: les données relatives aux empreintes digitales et empreintes palmaires qui, en raison de leur caractère unique et des points de référence qu'elles contiennent, permettent de réaliser des comparaisons précises et concluantes en ce qui concerne l'identité d'une personne; 15) «image faciale»: les images numériques du visage, d'une résolution et d'une qualité d'image suffisantes pour servir à l'établissement automatisé de correspondances biométriques; 16) «retour»: le retour au sens de l'article 3, point 3), de la directive 2008/115/CE; 17) «interdiction d'entrée»: l'interdiction d'entrée au sens de l'article 3, point 6), de la directive 2008/115/CE; 18) «infractions terroristes»: les infractions prévues par le droit national visées aux articles 3 à 14 de la directive (UE) 2017/541 du Parlement européen et du Conseil (32) ou qui sont équivalentes à l'une de ces infractions pour les États membres qui ne sont pas liés par cette directive; 19) «titre de séjour»: un titre de séjour au sens de l'article 2, point 16), du règlement (UE) 2016/399 du Parlement européen et du Conseil (33); 20) «visa de long séjour»: un visa de long séjour tel qu'il est visé à l'article 18, point 1, de la convention d'application de l'accord de Schengen; 21) «menace pour la santé publique»: une menace pour la santé publique au sens de l'article 2, point 21), du règlement (UE) 2016/399.

Article 4 Architecture technique et mode de fonctionnement du SIS 1. Le SIS se compose: a) d'un système central (ci-après dénommé «SIS central») comprenant: i) une fonction de support technique (ci-après dénommée «CS-CIS») contenant une base de données (ci-après dénommée «base de données du SIS»), et comprenant un CS-SIS de secours; ii) une interface nationale uniforme (ci-après dénommée «NI-SIS»); b) d'un système national (ci-après dénommé «N.SIS») dans chaque État membre, constitué des systèmes de données nationaux reliés au SIS central, y compris au moins un N.SIS de secours national ou partagé; et c) d'une infrastructure de communication entre le CS-SIS, le CS-SIS de secours et le NI-SIS de secours (ci-après dénommée «infrastructure de communication»), fournissant un réseau virtuel crypté consacré aux données du SIS et à l'échange de données entre les bureaux SIRENE visés à l'article 7, paragraphe 2. Un N.SIS, tel que visé au point b), peut contenir un fichier de données (ci-après dénommé «copie nationale») comportant une copie complète ou partielle de la base de données du SIS. Deux États membres ou plus peuvent mettre en place dans l'un de leurs N.SIS une copie partagée qui peut être utilisée conjointement par ces États membres. Cette copie partagée est considérée comme la copie nationale de chacun de ces États membres. Un N.SIS de secours partagé, tel que visé au point b), peut être utilisé conjointement par deux États membres ou plus. Dans de tels cas, le N.SIS de secours partagé est considéré comme le N.SIS de secours de chacun de ces États membres. Le N.SIS et le N.SIS de secours peuvent être utilisés simultanément en vue d'assurer la disponibilité continue pour les utilisateurs finaux. Les États membres souhaitant mettre en place une copie partagée ou un N.SIS de secours partagé à utiliser conjointement conviennent par écrit de leurs responsabilités respectives. Ils notifient leur arrangement à la Commission. L'infrastructure de communication apporte son soutien et sa contribution pour assurer la disponibilité continue du SIS. Elle comprend des chemins redondants et séparés pour les connexions entre le CS-SIS et le CS-SIS de secours, ainsi que des chemins redondants et séparés pour les connexions entre chaque point d'accès national du réseau au SIS et le CS-SIS et le CS-SIS de secours. 2. Les États membres introduisent, mettent à jour, et suppriment les données du SIS et effectuent des recherches dans les données du SIS par l'intermédiaire de leur propre N.SIS. Les États membres utilisant une copie nationale partielle ou complète ou une copie partagée partielle ou complète mettent cette copie à disposition pour effectuer des recherches automatisées sur le territoire de chacun de ces États membres. La copie nationale partielle ou la copie partagée partielle contient au moins les données énumérées à l'article 20, paragraphe 2, points a) à v). Il n'est pas possible d'effectuer des recherches dans les fichiers de données des N.SIS des autres États membres, sauf s'il s'agit de copies partagées. 3. Le CS-SIS assure des fonctions techniques de contrôle et de gestion et dispose d'un CS-SIS de secours capable d'assurer l'ensemble des fonctionnalités du CS-SIS principal en cas de défaillance de ce système. Le CS-SIS et le CS-SIS de secours sont situés sur les deux sites techniques de l'eu-LISA. 4. L'eu-LISA met en œuvre des solutions techniques pour renforcer la disponibilité continue du SIS, soit par le fonctionnement simultané du CS-SIS et du CS-SIS de secours, pour autant que le CS-SIS de secours demeure capable d'assurer le fonctionnement du SIS en cas de défaillance du CS-SIS, soit par la duplication du système ou de ses éléments. Nonobstant les exigences de procédure fixées à l'article 10 du règlement (UE) 2018/1726, l'eu-LISA réalise, au plus tard le 28 décembre 2019, une étude sur les options de solutions techniques, comportant une analyse d'impact indépendante et une analyse coûts/avantages. 5. Si nécessaire dans des circonstances exceptionnelles, l'eu-LISA peut provisoirement mettre en place une copie supplémentaire de la base de données du SIS. 6. Le CS-SIS assure les services nécessaires à l'introduction et au traitement des données du SIS, y compris les recherches dans la base de données du SIS. Pour les États membres qui utilisent une copie nationale ou partagée, le CS-SIS assure: a) les mises à jour en ligne des copies nationales; b) la synchronisation et la cohérence entre les copies nationales et la base de données du SIS; et c) les opérations d'initialisation et de restauration des copies nationales. 7. Le CS-SIS assure une disponibilité continue.

Article 5 Coûts 1. Les coûts d'exploitation, de maintenance et de développement ultérieur du SIS central et de l'infrastructure de communication sont à la charge du budget général de l'Union. Ces coûts couvrent les travaux effectués en ce qui concerne le CS-SIS afin d'assurer la fourniture des services visés à l'article 4, paragraphe 6. 2. Des fonds sont alloués à partir de l'enveloppe de 791 000 000 EUR prévue à l'article 5, paragraphe 5, point b), du règlement (UE) no 515/2014 pour couvrir les coûts de mise en œuvre du présent règlement. 3. Il est alloué à l'eu-LISA un montant de 31 098 000 EUR à partir de l'enveloppe visée au paragraphe 2, sans préjuger d'autres financements à cette fin à partir d'autres sources du budget général de l'Union. Ce financement est mis en œuvre dans le cadre d'une gestion indirecte et contribue à la réalisation des évolutions techniques requises au titre du présent règlement en ce qui concerne le SIS central et l'infrastructure de communication ainsi que les activités de formation y afférentes. 4. Les États membres participant au règlement (UE) no 515/2014 reçoivent, à partir de l'enveloppe visée au paragraphe 2, une dotation supplémentaire globale de 36 810 000 EUR à distribuer à parts égales sous la forme de montant forfaitaire s'ajoutant à leur dotation de base. Ce financement est mis en œuvre dans le cadre d'une gestion partagée et il est entièrement destiné à la mise à niveau rapide et efficace des systèmes nationaux concernés conformément aux exigences du présent règlement. 5. Les coûts de mise en place, d'exploitation, de maintenance et de développement ultérieur de chaque N.SIS sont à la charge de l'État membre concerné.

CHAPITRE II

RESPONSABILITÉS INCOMBANT AUX ÉTATS MEMBRES

Article 6 Systèmes nationaux Chaque État membre est chargé de mettre en place, d'exploiter et de continuer à développer son N.SIS, ainsi que d'en assurer la maintenance, et de le connecter au NI-SIS. Chaque État membre assume la responsabilité de garantir aux utilisateurs finaux une disponibilité continue des données du SIS. Chaque État membre transmet ses signalements par l'intermédiaire de son N.SIS.

Article 7 Office N.SIS et bureau SIRENE 1. Chaque État membre désigne une autorité (ci-après dénommée «office N.SIS») qui assume la responsabilité centrale de son N.SIS. Cette autorité est responsable du bon fonctionnement et de la sécurité du N.SIS, fait en sorte que les autorités compétentes aient accès au SIS et prend les mesures nécessaires pour assurer le respect du présent règlement. Elle est chargée de veiller à ce que toutes les fonctionnalités du SIS soient dûment mises à la disposition des utilisateurs finaux. 2. Chaque État membre désigne une autorité nationale qui est pleinement opérationnelle 24 heures sur 24 et 7 jours sur 7 et qui assure l'échange et la disponibilité de toutes les informations supplémentaires (ci-après dénommée «bureau SIRENE»), conformément au manuel SIRENE. Chaque bureau SIRENE sert de point de contact unique pour son État membre pour l'échange des informations supplémentaires concernant les signalements et pour faciliter les conduites à tenir demandées lorsque des signalements concernant des personnes ont été introduits dans le SIS et que ces personnes sont localisées à la suite d'une réponse positive. Chaque bureau SIRENE dispose, dans le respect du droit national, d'un accès facile direct ou indirect à toutes les informations nationales pertinentes, y compris aux bases de données nationales et à toutes les informations sur les signalements de son État membre, ainsi qu'aux avis d'experts, afin d'être à même de réagir aux demandes d'informations supplémentaires rapidement et dans les délais prévus à l'article 8. Les bureaux SIRENE coordonnent la vérification de la qualité des informations introduites dans le SIS. À ces fins, ils ont accès aux données traitées dans le SIS. 3. Les États membres communiquent à l'eu-LISA les coordonnées de leur office N.SIS et de leur bureau SIRENE. L'eu-LISA publie la liste des offices N.SIS et des bureaux SIRENE ainsi que la liste visée à l'article 41, paragraphe 8.

Article 8 Échange d'informations supplémentaires 1. Les informations supplémentaires sont échangées conformément aux dispositions du manuel SIRENE et au moyen de l'infrastructure de communication. Les États membres fournissent les moyens techniques et humains nécessaires pour assurer la disponibilité continue et l'échange rapide et efficace d'informations supplémentaires. Au cas où l'infrastructure de communication ne serait pas accessible, les États membres utilisent d'autres moyens techniques correctement sécurisés pour échanger des informations supplémentaires. Une liste des moyens techniques correctement sécurisés figure dans le manuel SIRENE. 2. Les informations supplémentaires ne sont utilisées qu'aux fins auxquelles elles ont été transmises conformément à l'article 49, à moins que l'État membre signalant n'ait consenti au préalable à une autre utilisation. 3. Les bureaux SIRENE s'acquittent de leurs tâches de manière rapide et efficace, notamment en répondant aux demandes d'informations supplémentaires dans les meilleurs délais, mais au plus tard 12 heures après la réception de la demande. Les formulaires SIRENE concernant des demandes d'informations supplémentaires présentant la priorité la plus élevée portent la mention «URGENT» et les motifs de l'urgence sont précisés. 4. La Commission adopte des actes d'exécution pour établir les modalités relatives aux tâches confiées aux bureaux SIRENE en vertu du présent règlement et à l'échange d'informations supplémentaires sous la forme d'un manuel intitulé «manuel SIRENE». Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

Article 9 Conformité technique et fonctionnelle 1. Pour permettre une transmission rapide et efficace des données, chaque État membre respecte, lors de la création de son N.SIS, les normes communes, les protocoles et les procédures techniques établis afin de permettre la compatibilité de son N.SIS avec le SIS central. 2. Si un État membre utilise une copie nationale, il veille, au moyen des services fournis par le CS-SIS et des mises à jour automatiques visées à l'article 4, paragraphe 6, à ce que les données stockées dans la copie nationale soient identiques à la base de données du SIS et compatibles avec elle, et à ce qu'une recherche dans cette copie nationale produise un résultat équivalent à celui d'une recherche dans la base de données du SIS. 3. Les utilisateurs finaux reçoivent les données dont ils ont besoin pour s'acquitter de leurs tâches, en particulier, et si nécessaire, toutes les données disponibles permettant d'identifier la personne concernée et d'exécuter la conduite à tenir demandée. 4. Les États membre et l'eu-LISA réalisent régulièrement des tests pour vérifier la conformité technique des copies nationales visées au paragraphe 2. Les résultats de ces tests sont pris en considération dans le cadre du mécanisme instauré par le règlement (UE) no 1053/2013 du Conseil (34). 5. La Commission adopte des actes d'exécution pour établir et préciser les normes communes, les protocoles et les procédures techniques visés au paragraphe 1 du présent article. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

Article 10 Sécurité — États membres 1. Chaque État membre adopte, pour son N.SIS, les mesures, dont un plan de sécurité, un plan de continuité des opérations et un plan de rétablissement après sinistre, nécessaires pour: a) assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques; b) empêcher l'accès de toute personne non autorisée aux installations utilisées pour le traitement de données à caractère personnel (contrôle de l'accès aux installations); c) empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données (contrôle des supports de données); d) empêcher l'introduction non autorisée de données ainsi que le contrôle, la modification ou la suppression non autorisés de données à caractère personnel stockées (contrôle du stockage); e) empêcher l'utilisation des systèmes de traitement automatisé de données par des personnes non autorisées au moyen de matériel de transmission de données (contrôle des utilisateurs); f) empêcher le traitement non autorisé de données dans le SIS et toute modification ou tout effacement non autorisés de données traitées dans le SIS (contrôle de la saisie des données); g) garantir que les personnes autorisées à utiliser un système de traitement automatisé de données ne puissent avoir accès qu'aux données couvertes par leur autorisation d'accès, uniquement grâce à des identifiants d'utilisateur individuels et uniques et à des modes d'accès confidentiels (contrôle de l'accès aux données); h) s'assurer que toutes les autorités ayant un droit d'accès au SIS ou aux installations de traitement de données créent des profils décrivant les fonctions et responsabilités des personnes autorisées à avoir accès aux données, à les introduire, à les mettre à jour, et à les supprimer et à effectuer des recherches dans ces données et mettent sans tarder, et à leur demande, ces profils à la disposition des autorités de contrôle visées à l'article 55, paragraphe 1 (profils des membres du personnel); i) garantir la possibilité de vérifier et d'établir à quels organismes des données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données (contrôle de la transmission); j) garantir la possibilité de vérifier et d'établir a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé de données, à quel moment, par qui et à quelle fin (contrôle de l'introduction); k) empêcher toute lecture, copie, modification ou suppression non autorisées de données à caractère personnel pendant la transmission de données à caractère personnel ou durant le transport de supports de données, en particulier au moyen de techniques de cryptage adaptées (contrôle du transport); l) contrôler l'efficacité des mesures de sécurité prévues au présent paragraphe et prendre les mesures organisationnelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement (autocontrôle); m) garantir le rétablissement des systèmes installés en cas d'interruption (rétablissement); et n) garantir que le SIS exécute correctement ses fonctions, que les erreurs soient signalées (fiabilité) et que les données à caractère personnel stockées dans le SIS ne puissent pas être corrompues par le dysfonctionnement du système (intégrité). 2. Les États membres prennent des mesures équivalentes à celles visées au paragraphe 1 pour assurer la sécurité du traitement et de l'échange d'informations supplémentaires, y compris par la sécurisation des locaux des bureaux SIRENE. 3. Les États membres prennent des mesures équivalentes à celles visées au paragraphe 1 du présent article pour assurer la sécurité du traitement des données du SIS effectué par les autorités visées à l'article 34. 4. Les mesures décrites aux paragraphes 1, 2 et 3 peuvent faire partie d'une approche et d'un plan de sécurité génériques au niveau national englobant des systèmes informatiques multiples. Dans de tels cas, les exigences énoncées au présent article et leur applicabilité au SIS sont clairement identifiables dans ce plan et respectées par ce plan.

Article 11 Confidentialité — États membres 1. Chaque État membre applique à l'égard de toutes les personnes et de tous les organismes appelés à travailler avec des données du SIS et des informations supplémentaires ses règles en matière de secret professionnel ou leur impose des obligations de confidentialité équivalentes, conformément à son droit national. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après que ces organismes ont cessé leur activité. 2. Lorsqu'un État membre coopère avec des prestataires externes sur toute tâche liée au SIS, il suit de près les activités des prestataires afin de veiller au respect de l'ensemble des dispositions du présent règlement, notamment en ce qui concerne la sécurité, la confidentialité et la protection des données. 3. La gestion opérationnelle des N.SIS ou de copies techniques n'est en aucun cas confiée à une entreprise ou organisation privée.

Article 12 Tenue de registres au niveau national 1. Les États membres veillent à ce que tous les accès à des données à caractère personnel et tous les échanges de données à caractère personnel au sein du CS-SIS soient enregistrés dans leur N.SIS afin de pouvoir contrôler la licéité de la recherche et la licéité du traitement des données, d'assurer un autocontrôle et le bon fonctionnement du N.SIS et de garantir l'intégrité et la sécurité des données. Cette exigence ne s'applique pas aux processus automatiques visés à l'article 4, paragraphe 6, points a), b) et c). 2. Les registres indiquent, en particulier, l'historique du signalement, la date et l'heure de l'opération de traitement des données, les données utilisées pour effectuer une recherche, la référence aux données traitées et les identifiants d'utilisateur individuels et uniques de l'autorité compétente et de la personne traitant les données. 3. Par dérogation au paragraphe 2 du présent article, si la recherche est effectuée à l'aide de données dactyloscopiques ou d'une image faciale conformément à l'article 33, les registres indiquent le type de données utilisées pour effectuer la recherche au lieu des données réelles. 4. Les registres ne sont utilisés qu'aux fins visées au paragraphe 1 et sont supprimés trois ans après leur création. Les registres contenant l'historique des signalements sont supprimés trois ans après la suppression des signalements. 5. Les registres peuvent être conservés au-delà des périodes visées au paragraphe 4 s'ils sont nécessaires à des procédures de contrôle déjà engagées. 6. Les autorités nationales compétentes chargées de contrôler la licéité des recherches et la licéité des traitements de données, d'assurer un autocontrôle et le bon fonctionnement du N.SIS, et de garantir l'intégrité et la sécurité des données, ont accès aux registres, dans les limites de leurs compétences et sur demande, afin de pouvoir s'acquitter de leurs tâches.

Article 13 Autocontrôle Les États membres veillent à ce que chaque autorité autorisée à avoir accès aux données du SIS prenne les mesures nécessaires pour se conformer au présent règlement et coopère, si nécessaire, avec l'autorité de contrôle.

Article 14 Formation du personnel 1. Avant d'être autorisé à traiter des données stockées dans le SIS, puis à intervalles réguliers après avoir obtenu l'accès à ces données, le personnel des autorités qui a un droit d'accès au SIS reçoit une formation appropriée sur la sécurité des données, sur les droits fondamentaux, dont les règles en matière de protection des données, et sur les règles et procédures relatives au traitement des données énoncées dans le manuel SIRENE. Le personnel est informé de toute disposition pertinente relative aux infractions pénales et aux sanctions, dont celles prévues à l'article 59. 2. Les États membres disposent d'un programme de formation SIS national qui comporte une formation pour les utilisateurs finaux ainsi que pour le personnel des bureaux SIRENE. Ce programme de formation peut faire partie d'un programme de formation général au niveau national englobant des formations dans d'autres domaines pertinents. 3. Des formations communes sont organisées au niveau de l'Union au moins une fois par an pour renforcer la coopération entre les bureaux SIRENE.

CHAPITRE III

RESPONSABILITÉS DE L'eu-LISA

Article 15 Gestion opérationnelle 1. L'eu-LISA est chargée de la gestion opérationnelle du SIS central. Elle veille, en coopération avec les États membres, à ce que le SIS central utilise en permanence la meilleure technologie disponible, sous réserve d'une analyse coûts/avantages. 2. Il incombe également à l'eu-LISA d'assumer les tâches ci-après en ce qui concerne l'infrastructure de communication: a) la supervision; b) la sécurité; c) la coordination des relations entre les États membres et le fournisseur; d) les tâches relatives à l'exécution du budget; e) l'acquisition et le renouvellement; et f) les questions contractuelles. 3. L'eu-LISA est également chargée des tâches ci-après en ce qui concerne les bureaux SIRENE et la communication entre les bureaux SIRENE: a) la coordination, la gestion et le soutien des activités de test; b) la gestion et la mise à jour des spécifications techniques relatives à l'échange d'informations supplémentaires entre les bureaux SIRENE et l'infrastructure de communication; et c) la gestion des effets des modifications techniques lorsqu'elles ont une incidence à la fois sur le SIS et sur les échanges d'informations supplémentaires entre les bureaux SIRENE. 4. L'eu-LISA élabore et gère un dispositif et des procédures de contrôle de qualité des données du CS-SIS. Elle présente, à intervalles réguliers, des rapports aux États membres à cet effet. L'eu-LISA présente à la Commission, à intervalles réguliers, un rapport indiquant les problèmes rencontrés et les États membres concernés. La Commission présente au Parlement européen et au Conseil, à intervalles réguliers, un rapport sur les problèmes rencontrés quant à la qualité des données. 5. L'eu-LISA s'acquitte également des tâches liées à l'offre d'une formation relative à l'utilisation technique du SIS et aux mesures destinées à améliorer la qualité des données du SIS. 6. La gestion opérationnelle du SIS central comprend toutes les tâches nécessaires pour que le SIS central puisse fonctionner 24 heures sur 24, 7 jours sur 7 conformément au présent règlement, en particulier les travaux de maintenance et les développements techniques indispensables au bon fonctionnement du système. Ces tâches incluent également la coordination, la gestion et le soutien des activités de test concernant le SIS central et les N.SIS qui garantissent que le SIS central et les N.SIS fonctionnent conformément aux exigences de conformité technique et fonctionnelle énoncées à l'article 9. 7. La Commission adopte des actes d'exécution pour établir les exigences techniques de l'infrastructure de communication. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

Article 16 Sécurité — eu-LISA 1. L'eu-LISA adopte, pour le SIS central et l'infrastructure de communication, les mesures, dont un plan de sécurité, un plan de continuité des opérations et un plan de rétablissement après sinistre, nécessaires pour: a) assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques; b) empêcher l'accès de toute personne non autorisée aux installations utilisées pour le traitement de données à caractère personnel (contrôle de l'accès aux installations); c) empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données (contrôle des supports de données); d) empêcher l'introduction non autorisée de données ainsi que le contrôle, la modification ou la suppression non autorisés de données à caractère personnel stockées (contrôle du stockage); e) empêcher l'utilisation des systèmes de traitement automatisé de données par des personnes non autorisées au moyen de matériel de transmission de données (contrôle des utilisateurs); f) empêcher le traitement non autorisé de données dans le SIS et toute modification ou tout effacement non autorisés de données traitées dans le SIS (contrôle de la saisie des données); g) garantir que les personnes autorisées à utiliser un système de traitement automatisé de données ne puissent avoir accès qu'aux données couvertes par leur autorisation d'accès, uniquement grâce à des identifiants d'utilisateur individuels et uniques et à des modes d'accès confidentiels (contrôle de l'accès aux données); h) créer des profils décrivant les fonctions et responsabilités des personnes autorisées à avoir accès aux données ou aux installations de traitement de données, et mettre ces profils à la disposition du Contrôleur européen de la protection des données, sans tarder et à la demande de celui-ci (profils des membres du personnel); i) garantir la possibilité de vérifier et d'établir à quels organismes des données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données (contrôle de la transmission); j) garantir la possibilité de vérifier et d'établir a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé de données, à quel moment et par qui (contrôle de l'introduction); k) empêcher toute lecture, copie, modification ou suppression non autorisées de données à caractère personnel pendant la transmission de données à caractère personnel ou durant le transport de supports de données, en particulier au moyen de techniques de cryptage adaptées (contrôle du transport); l) contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et prendre les mesures organisationnelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement (autocontrôle); m) garantir le rétablissement des systèmes installés en cas d'interruption des opérations (rétablissement); n) garantir que le SIS exécute correctement ses fonctions, que les erreurs soient signalées (fiabilité) et que les données à caractère personnel conservées dans le SIS ne puissent pas être corrompues par le dysfonctionnement du système (intégrité); et o) garantir la sécurité de ses sites techniques. 2. L'eu-LISA prend des mesures équivalentes à celles visées au paragraphe 1 pour assurer la sécurité du traitement et de l'échange d'informations supplémentaires par l'intermédiaire de l'infrastructure de communication.

Article 17 Confidentialité — eu-LISA 1. Sans préjudice de l'article 17 du statut, l'eu-LISA applique à l'égard de tous les membres de son personnel appelés à travailler avec des données du SIS des règles appropriées en matière de secret professionnel ou leur impose des obligations de confidentialité équivalentes d'un niveau comparable à celui prévu à l'article 11 du présent règlement. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après la fin de leurs activités. 2. L'eu-LISA prend des mesures équivalentes à celles visées au paragraphe 1 pour assurer la confidentialité de l'échange d'informations supplémentaires par l'intermédiaire de l'infrastructure de communication. 3. Lorsque l'eu-LISA coopère avec des prestataires externes sur toute tâche liée au SIS, elle suit de près les activités des prestataires afin de veiller au respect de l'ensemble des dispositions du présent règlement, notamment en ce qui concerne la sécurité, la confidentialité et la protection des données. 4. La gestion opérationnelle du CS-SIS n'est en aucun cas confiée à une entreprise ou organisation privée.

Article 18 Tenue de registres au niveau central 1. L'eu-LISA veille à ce que tous les accès aux données à caractère personnel et tous les échanges de données à caractère personnel au sein du CS-SIS soient enregistrés aux fins mentionnées à l'article 12, paragraphe 1. 2. Les registres indiquent, en particulier, l'historique du signalement, la date et l'heure de l'opération de traitement des données, les données utilisées pour effectuer une recherche, la référence aux données traitées et les identifiants d'utilisateur individuels et uniques de l'autorité compétente traitant les données. 3. Par dérogation au paragraphe 2 du présent article, si la recherche est effectuée à l'aide de données dactyloscopiques ou d'images faciales conformément à l'article 33, les registres indiquent le type de données utilisées pour effectuer la recherche au lieu des données réelles. 4. Les registres ne sont utilisés qu'aux fins visées au paragraphe 1, et sont supprimés trois ans après leur création. Les registres contenant l'historique des signalements sont supprimés trois ans après la suppression des signalements. 5. Les registres peuvent être conservés au-delà des périodes visées au paragraphe 4 s'ils sont nécessaires à des procédures de contrôle déjà engagées. 6. À des fins d'autocontrôle et pour garantir le bon fonctionnement du CS-SIS ainsi que l'intégrité et la sécurité des données, l'eu-LISA a accès à ces registres, dans les limites de ses compétences. Le Contrôleur européen de la protection des données a accès à ces registres à sa demande, dans les limites de ses compétences et afin de pouvoir s'acquitter de ses tâches.

CHAPITRE IV

INFORMATION DU PUBLIC

Article 19 Campagnes d'information sur le SIS Au début de l'application du présent règlement, la Commission, en coopération avec les autorités de contrôle et le Contrôleur européen de la protection des données, organise une campagne visant à faire connaître au public les objectifs du SIS, les données stockées dans le SIS, les autorités ayant accès au SIS et les droits des personnes concernées. La Commission mène régulièrement des campagnes de ce type, en coopération avec les autorités de contrôle et le Contrôleur européen de la protection des données. La Commission gère un site internet accessible au public qui fournit toutes les informations pertinentes relatives au SIS. Les États membres, en coopération avec leurs autorités de contrôle, élaborent et mettent en œuvre les politiques nécessaires pour assurer l'information générale de leurs citoyens et résidents sur le SIS.

CHAPITRE V

SIGNALEMENTS DE RESSORTISSANTS DE PAYS TIERS AUX FINS DE NON-ADMISSION ET D'INTERDICTION DE SÉJOUR

Article 20 Catégories de données 1. Sans préjudice de l'article 8, paragraphe 1, ou des dispositions du présent règlement prévoyant le stockage de données complémentaires, le SIS ne comporte que les catégories de données qui sont fournies par chaque État membre nécessaires aux fins prévues aux articles 24 et 25. 2. Tout signalement dans le SIS qui comporte des renseignements concernant des personnes comprend uniquement les données suivantes: a) les noms; b) les prénoms; c) les noms à la naissance; d) les noms utilisés antérieurement et les pseudonymes; e) les signes physiques particuliers, objectifs et inaltérables; f) le lieu de naissance; g) la date de naissance; h) le genre; i) toutes les nationalités possédées; j) l'indication que la personne concernée: i) est armée; ii) est violente; iii) s'est enfuie ou échappée; iv) présente un risque de suicide; v) représente une menace pour la santé publique; ou vi) est impliquée dans une activité visée aux articles 3 à 14 de la directive (UE) 2017/541; k) le motif du signalement; l) l'autorité qui a créé le signalement; m) une référence à la décision qui est à l'origine du signalement; n) la conduite à tenir en cas de réponse positive; o) les liens vers d'autres signalements en vertu de l'article 48; p) l'indication que la personne concernée est ou non un membre de la famille d'un citoyen de l'Union ou une autre personne qui est bénéficiaire du droit à la libre circulation visé à l'article 26; q) l'indication que la décision de non-admission et d'interdiction de séjour est ou non fondée sur: i) une condamnation antérieure visée à l'article 24, paragraphe 2, point a); ii) une menace grave pour la sécurité visée à l'article 24, paragraphe 2, point b); iii) le contournement du droit national ou de l'Union relatif à l'entrée et au séjour visé à l'article 24, paragraphe 2, point c); iv) une interdiction d'entrée visée à l'article 24, paragraphe 1, point b); ou v) une mesure restrictive visée à l'article 25; r) le type d'infraction; s) la catégorie des documents d'identification de la personne; t) le pays de délivrance des documents d'identification de la personne; u) le ou les numéros des documents d'identification de la personne; v) la date de délivrance des documents d'identification de la personne; w) les photographies et les images faciales; x) les données dactyloscopiques; y) une copie des documents d'identification, si possible en couleurs. 3. La Commission adopte des actes d'exécution pour établir et préciser les règles techniques nécessaires pour l'introduction, la mise à jour, et la suppression des données visées au paragraphe 2 du présent article et pour les recherches dans ces données, ainsi que les normes communes visées au paragraphe 4 du présent article. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2. 4. Ces règles techniques sont similaires pour les recherches dans le CS-SIS, dans les copies nationales ou partagées et dans les copies techniques réalisées en vertu de l'article 41, paragraphe 2. Elles sont fondées sur des normes communes.

Article 21 Proportionnalité 1. Avant d'introduire un signalement et de prolonger la durée de validité d'un signalement, les États membres vérifient si le cas est suffisamment approprié, pertinent et important pour justifier un signalement dans le SIS. 2. Lorsque la décision de non-admission et d'interdiction de séjour visée à l'article 24, paragraphe 1, point a), est liée à une infraction terroriste, le cas est considéré comme étant suffisamment approprié, pertinent et important pour justifier un signalement dans le SIS. Pour des raisons de sécurité publique ou nationale, les États membres peuvent, à titre exceptionnel, s'abstenir d'introduire le signalement si celui-ci risque de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires.

Article 22 Exigence à remplir pour l'introduction d'un signalement 1. Tout signalement introduit dans le SIS comprend au minimum l'ensemble des données visées à l'article 20, paragraphe 2, points a), g), k), m), n), et q). Les autres données visées audit paragraphe sont également introduites dans le SIS, si elles sont disponibles. 2. Les données visées à l'article 20, paragraphe 2, point e), du présent règlement ne sont introduites que si cela est strictement nécessaire aux fins de l'identification du ressortissant de pays tiers concerné. Lors de l'introduction de ces données, les États membres veillent au respect de l'article 9 du règlement (UE) 2016/679.

Article 23 Compatibilité des signalements 1. Avant d'introduire un signalement, l'État membre vérifie si la personne concernée fait déjà l'objet d'un signalement dans le SIS. À cette fin, il est procédé à une vérification à l'aide des données dactyloscopiques, si ces données sont disponibles. 2. Chaque État membre n'introduit dans le SIS qu'un seul signalement par personne. Si nécessaire, de nouveaux signalements concernant la même personne peuvent être introduits par d'autres États membres, conformément au paragraphe 3. 3. Lorsqu'une personne fait déjà l'objet d'un signalement dans le SIS, l'État membre qui souhaite introduire un nouveau signalement vérifie qu'il n'y a pas d'incompatibilité entre les signalements. S'il n'y a pas d'incompatibilité, l'État membre peut introduire le nouveau signalement. Si les signalements sont incompatibles, les bureaux SIRENE des États membres concernés se consultent par la voie d'échanges d'informations supplémentaires pour parvenir à un accord. Les règles relatives à la compatibilité des signalements sont fixées dans le manuel SIRENE. Il peut être dérogé aux règles de compatibilité après consultation entre les États membres si des intérêts nationaux essentiels sont en jeu. 4. En cas de réponses positives à des signalements multiples concernant la même personne, l'État membre d'exécution observe les règles de priorité pour les signalements fixées dans le manuel SIRENE. Si une personne fait l'objet de signalements multiples introduits par différents États membres, les signalements en vue d'une arrestation introduits conformément à l'article 26 du règlement (UE) 2018/1862 sont exécutés en priorité, sous réserve de l'article 25 dudit règlement.

Article 24 Conditions d'introduction des signalements aux fins de non-admission et d'interdiction de séjour 1. Les États membres introduisent un signalement aux fins de non-admission et d'interdiction de séjour lorsque l'une des conditions ci-après est remplie: a) l'État membre a conclu, sur la base d'une évaluation individuelle comprenant une appréciation de la situation personnelle du ressortissant de pays tiers concerné et des conséquences du refus d'entrée et de séjour, que la présence de ce ressortissant de pays tiers sur son territoire représente une menace pour l'ordre public, la sécurité publique ou la sécurité nationale et l'État membre a, par conséquent, adopté une décision judiciaire ou administrative de non-admission et d'interdiction de séjour conformément à son droit national et émis un signalement national aux fins de non-admission et d'interdiction de séjour; ou b) l'État membre a émis une interdiction d'entrée conformément à des procédures respectant la directive 2008/115/CE au sujet d'un ressortissant de pays tiers. 2. Les situations couvertes par le paragraphe 1, point a), se produisent lorsque: a) un ressortissant de pays tiers a été condamné dans un État membre pour une infraction passible d'une peine privative de liberté d'au moins un an; b) il existe des raisons sérieuses de croire qu'un ressortissant de pays tiers a commis une infraction pénale grave, y compris une infraction terroriste, ou il existe des indications claires de son intention de commettre une telle infraction sur le territoire d'un État membre; ou c) un ressortissant de pays tiers a contourné ou tenté de contourner le droit national ou de l'Union relatif à l'entrée et au séjour sur le territoire des États membres. 3. L'État membre signalant veille à ce que le signalement prenne effet dans le SIS dès que le ressortissant de pays tiers concerné a quitté le territoire des États membres ou dès que possible lorsque l'État membre signalant a obtenu des indications claires que le ressortissant de pays tiers a quitté le territoire des États membres, afin d'empêcher ce ressortissant de pays tiers d'y entrer à nouveau. 4. Les personnes à l'égard desquelles une décision de non-admission et d'interdiction de séjour est prise conformément au paragraphe 1 disposent d'un droit de recours. Ces recours sont exercés conformément au droit national et de l'Union, qui prévoient un recours effectif à introduire devant une juridiction.

Article 25 Conditions d'introduction des signalements concernant les ressortissants de pays tiers qui font l'objet de mesures restrictives 1. Les signalements concernant les ressortissants de pays tiers qui font l'objet d'une mesure restrictive visant à les empêcher d'entrer sur le territoire des États membres ou de transiter par ce territoire, prise conformément à des actes juridiques adoptés par le Conseil, y compris les mesures mettant en œuvre une interdiction de voyager imposée par le Conseil de sécurité des Nations unies, font, dans la mesure où il est satisfait aux exigences en matière de qualité des données, l'objet d'une introduction dans le SIS aux fins de non-admission et d'interdiction de séjour. 2. Les signalements sont introduits, mis à jour et supprimés par l'autorité compétente de l'État membre qui exerce la présidence du Conseil de l'Union européenne au moment de l'adoption de la mesure. Si cet État membre n'a pas accès au SIS ou aux signalements introduits conformément au présent règlement, la responsabilité est assumée par l'État membre qui exerce la présidence suivante et qui a accès au SIS, y compris aux signalements introduits conformément au présent règlement. Les États membres mettent en place les procédures nécessaires pour introduire, mettre à jour et supprimer ces signalements.

Article 26 Conditions d'introduction des signalements concernant les ressortissants de pays tiers qui sont bénéficiaires du droit à la libre circulation dans l'Union 1. Un signalement concernant un ressortissant de pays tiers qui est bénéficiaire du droit à la libre circulation dans l'Union conformément à la directive 2004/38/CE ou conformément à un accord conclu entre, d'une part, l'Union ou l'Union et ses États membres et, d'autre part, un pays tiers, doit être conforme aux règles adoptées pour la mise en œuvre de ladite directive ou dudit accord. 2. En cas de réponse positive à un signalement introduit conformément à l'article 24 concernant un ressortissant de pays tiers jouissant du droit de libre circulation dans l'Union, l'État membre d'exécution consulte immédiatement l'État membre signalant, par la voie d'échange d'informations supplémentaires, afin de décider sans retard de la conduite à tenir.

Article 27 Consultation préalable à l'octroi ou à la prolongation d'un titre de séjour ou d'un visa de long séjour Lorsqu'un État membre envisage d'octroyer ou de prolonger un titre de séjour ou un visa de long séjour au bénéfice d'un ressortissant de pays tiers faisant l'objet d'un signalement aux fins de non-admission et d'interdiction de séjour introduit par un autre État membre, les États membres concernés se consultent, par la voie d'échange d'informations supplémentaires, conformément aux règles suivantes: a) l'État membre d'octroi consulte l'État membre signalant avant d'octroyer ou de prolonger le titre de séjour ou le visa de long séjour; b) l'État membre signalant répond à la demande de consultation dans un délai de dix jours civils; c) l'absence de réponse dans le délai visé au point b) équivaut à une absence d'objection de la part de l'État membre signalant quant à l'octroi ou la prolongation du titre de séjour ou du visa de long séjour; d) lorsqu'il prend la décision en question, l'État membre d'octroi tient compte des motifs de la décision de l'État membre signalant et prend en considération, conformément au droit national, toute menace pour l'ordre public ou la sécurité publique que peut représenter la présence du ressortissant de pays tiers en question sur le territoire des États membres; e) l'État membre d'octroi notifie sa décision à l'État membre signalant; et f) lorsque l'État membre d'octroi notifie à l'État membre signalant son intention d'octroyer ou de prolonger le titre de séjour ou le visa de long séjour, ou sa décision de le faire, l'État membre signalant supprime le signalement aux fins de non-admission et d'interdiction de séjour. La décision finale d'octroyer ou non un titre de séjour ou un visa de long séjour à un ressortissant de pays tiers incombe à l'État membre d'octroi.

Article 28 Consultation préalable à l'introduction d'un signalement aux fins de non-admission et d'interdiction de séjour Lorsqu'un État membre a pris une décision visée à l'article 24, paragraphe 1, et envisage d'introduire un signalement aux fins de non-admission et d'interdiction de séjour concernant un ressortissant de pays tiers qui est titulaire d'un titre de séjour ou d'un visa de long séjour en cours de validité octroyé par un autre État membre, les États membres concernés se consultent, par la voie d'échange d'informations supplémentaires, conformément aux règles suivantes: a) l'État membre qui a pris la décision visée à l'article 24, paragraphe 1, informe l'État membre d'octroi de sa décision; b) les informations échangées en vertu du point a) du présent article contiennent suffisamment de précisions quant aux motifs de la décision visée à l'article 24, paragraphe 1; c) sur la base des informations fournies par l'État membre qui a pris la décision visée à l'article 24, paragraphe 1, l'État membre d'octroi examine s'il existe des motifs de retirer le titre de séjour ou le visa de long séjour; d) lorsqu'il prend la décision en question, l'État membre d'octroi tient compte des motifs de la décision de l'État membre qui a pris la décision visée à l'article 24, paragraphe 1, et il prend en considération, conformément au droit national, toute menace pour l'ordre public ou la sécurité publique que pourrait représenter la présence du ressortissant de pays tiers en question sur le territoire des États membres; e) dans un délai de 14 jours civils à compter de la réception de la demande de consultation, l'État membre d'octroi notifie sa décision à l'État membre qui a pris la décision visée à l'article 24, paragraphe 1, ou, si l'État membre d'octroi n'a pas pu prendre de décision dans ce délai, lui adresse une demande motivée de prolongation exceptionnelle du délai de réponse de maximum 12 jours civils supplémentaires; f) lorsque l'État membre d'octroi informe l'État membre qui a pris la décision visée à l'article 24, paragraphe 1, qu'il maintient le titre de séjour ou le visa de long séjour, l'État membre qui a pris la décision n'introduit pas de signalement aux fins de non-admission et d'interdiction de séjour.

Article 29 Consultation a posteriori après l'introduction d'un signalement aux fins de non-admission et d'interdiction de séjour Lorsqu'il apparaît qu'un État membre a introduit un signalement aux fins de non-admission et d'interdiction de séjour concernant un ressortissant de pays tiers qui est titulaire d'un titre de séjour ou d'un visa de long séjour en cours de validité octroyé par un autre État membre, les États membres concernés se consultent, par la voie d'échange d'informations supplémentaires, conformément aux règles suivantes: a) l'État membre signalant informe l'État membre d'octroi du signalement aux fins de non-admission et d'interdiction de séjour; b) les informations échangées en vertu du point a) contiennent suffisamment de précisions quant aux motifs du signalement aux fins de non-admission et d'interdiction de séjour; c) sur la base des informations fournies par l'État membre signalant, l'État membre d'octroi examine s'il existe des motifs de retirer le titre de séjour ou le visa de long séjour; d) lorsqu'il prend sa décision, l'État membre d'octroi tient compte des motifs de la décision de l'État membre signalant et prend en considération, conformément au droit national, toute menace pour l'ordre public ou la sécurité publique que peut représenter la présence du ressortissant de pays tiers en question sur le territoire des États membres; e) dans un délai de 14 jours civils à compter de la réception de la demande de consultation, l'État membre d'octroi notifie sa décision à l'État membre signalant ou, si l'État membre d'octroi n'a pas pu prendre de décision dans ce délai, lui adresse une demande motivée de prolongation exceptionnelle du délai de réponse de maximum 12 jours civils supplémentaires; f) lorsque l'État membre d'octroi informe l'État membre signalant qu'il maintient le titre de séjour ou le visa de long séjour, l'État membre signalant supprime immédiatement le signalement aux fins de non-admission et d'interdiction de séjour.

Article 30 Consultation en cas de réponse positive concernant un ressortissant de pays tiers titulaire d'un titre de séjour ou d'un visa de long séjour en cours de validité Lorsqu'un État membre obtient une réponse positive à un signalement aux fins de non-admission et d'interdiction de séjour introduit par un État membre concernant un ressortissant de pays tiers qui est titulaire d'un titre de séjour ou d'un visa de long séjour en cours de validité octroyé par un autre État membre, les États membres concernés se consultent par la voie d'échange d'informations supplémentaires, conformément aux règles suivantes: a) l'État membre d'exécution informe l'État membre signalant de la situation; b) l'État membre signalant engage la procédure prévue à l'article 29; c) l'État membre signalant notifie à l'État membre d'exécution le résultat de la consultation. La décision relative à l'entrée du ressortissant de pays tiers est prise par l'État membre d'exécution conformément règlement (UE) 2016/399.

Article 31 Statistiques sur les échanges d'informations Les États membres communiquent annuellement à l'eu-LISA des statistiques sur les échanges d'informations ayant eu lieu conformément aux articles 27 à 30, ainsi que sur les cas dans lesquels les délais prévus dans ces articles n'ont pas été respectés.

CHAPITRE VI

RECHERCHE À L'AIDE DE DONNÉES BIOMÉTRIQUES

Article 32 Règles spécifiques pour l'introduction de photographies, d'images faciales et de données dactyloscopiques 1. Seules les photographies, les images faciales et les données dactyloscopiques visées à l'article 20, paragraphe 2, points w) et x), qui répondent à des normes minimales en matière de qualité des données et à des spécifications techniques sont introduites dans le SIS. Avant l'introduction de telles données, il est procédé à un contrôle de qualité visant à établir si les normes minimales en matière de qualité des données et les spécifications techniques ont été respectées. 2. Les données dactyloscopiques introduites dans le SIS peuvent consister en une à dix empreintes digitales à plat et une à dix empreintes digitales roulées. Elles peuvent également comprendre jusqu'à deux empreintes palmaires. 3. Des normes minimales en matière de qualité des données et des spécifications techniques sont établies conformément au paragraphe 4 du présent article pour la conservation des données biométriques visées au paragraphe 1 du présent article. Ces normes minimales en matière de qualité des données et ces spécifications techniques fixent le niveau de qualité requis pour l'utilisation des données aux fins de la vérification de l'identité d'une personne conformément à l'article 33, paragraphe 1, ainsi que pour l'utilisation des données aux fins de l'identification d'une personne conformément à l'article 33, paragraphes 2 à 4. 4. La Commission adopte des actes d'exécution pour établir les normes minimales en matière de qualité des données et les spécifications techniques visées aux paragraphes 1 et 3 du présent article. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 62, paragraphe 2.

Article 33 Règles spécifiques pour les vérifications ou les recherches à l'aide de photographies, d'images faciales et de données dactyloscopiques 1. Lorsque des photographies, des images faciales et des données dactyloscopiques sont disponibles dans un signalement dans le SIS, ces photographies, images faciales et données dactyloscopiques sont utilisées pour confirmer l'identité d'une personne qui a été localisée à la suite d'une recherche alphanumérique effectuée dans le SIS. 2. Les données dactyloscopiques peuvent, dans tous les cas, faire l'objet de recherches pour identifier une personne. Toutefois, les données dactyloscopiques font l'objet de recherches pour identifier une personne lorsque l'identité de la personne ne peut pas être établie par d'autres moyens. À cette fin, le SIS central contient un système de reconnaissance automatisée d'empreintes digitales (AFIS). 3. Les données dactyloscopiques dans le SIS en rapport avec des signalements introduits conformément aux artic