COMMISSION EUROPÉENNE Bruxelles, le 8.12.2021 COM(2021) 784 final 2021/0410(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à l’échange automatisé de données dans le cadre de la coopération policière («Prüm II»), modifiant les décisions 2008/615/JAI et 2008/616/JAI du Conseil et les règlements (UE) 2018/1726, 2019/817 et 2019/818 du Parlement européen et du Conseil {SEC(2021) 421 final} - {SWD(2021) 378 final} - {SWD(2021) 379 final}



EXPOSÉ DES MOTIFS CONTEXTE DE LA PROPOSITION •Justification de la proposition La criminalité en Europe nuit à la sécurité et au bien-être des citoyens de l’Union européenne. Les services répressifs ont besoin d’outils solides et performants pour lutter efficacement contre la criminalité. La coopération et le partage d’informations sont les outils les plus efficaces pour lutter contre la criminalité et le terrorisme et rendre la justice. En 2021, plus de 70 % des organisations criminelles étaient présentes dans plus de trois États membres. Même la criminalité d’apparence très locale peut avoir des liens avec d’autres endroits en Europe où le même auteur a commis ses actes criminels. De même, les liens entre la criminalité présumée locale et les structures et activités de la criminalité organisée ne sont souvent pas évidents. Par conséquent, afin de pouvoir lutter efficacement contre la criminalité, les services répressifs doivent être en mesure d’échanger des données en temps utile. L’Union a déjà fourni aux services répressifs une panoplie d’instruments pour faciliter l’échange d’informations, dont l’importance s’est révélée cruciale pour mettre au jour les activités criminelles et les réseaux criminels, mais il subsiste toujours des lacunes en matière d’information qu’il convient de combler. En outre, les données étant stockées séparément dans divers systèmes d’information nationaux ainsi que dans des systèmes d’information à grande échelle au niveau de l’Union, il est nécessaire de veiller à ce que ces systèmes puissent communiquer entre eux. Dans l’espace sans contrôles aux frontières intérieures qu’est l’espace Schengen, l’échange de données entre les services répressifs continue de se heurter aux frontières et à des obstacles, ce qui crée des angles morts et des failles exploités par de nombreux criminels et terroristes qui agissent dans plusieurs États membres. La présente initiative ainsi que la proposition, adoptée en parallèle, de directive relative à l’échange d’informations entre les services répressifs des États membres visent à renforcer l’échange d’informations entre les États membres et, partant, à fournir aux services répressifs de l’Union des outils améliorés pour lutter contre la criminalité et le terrorisme. Depuis plus de dix ans, le cadre Prüm permet aux services répressifs de l’Union d’échanger des informations. Adoptées en 2008 dans le but de soutenir la coopération policière et judiciaire transfrontalière en matière pénale, les décisions Prüm prévoient l’échange automatisé de données spécifiques (profils ADN, empreintes digitales et données relatives à l’immatriculation des véhicules) entre les autorités chargées de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière. Le cadre Prüm contribue avec succès à la lutte contre la criminalité et le terrorisme dans l’Union, mais il subsiste encore des lacunes dans le domaine de l’échange d’informations et des améliorations peuvent par conséquent être apportées. Dans ses conclusions sur la mise en œuvre des décisions Prüm dix ans après leur adoption, le Conseil a souligné l’importance de la consultation et de la comparaison automatisées de profils ADN, de données dactyloscopiques et de données relatives à l’immatriculation des véhicules pour lutter contre le terrorisme et la criminalité transfrontière. Le Conseil a également demandé à la Commission d’envisager de réviser les décisions Prüm en vue d’en élargir le champ d’application et de mettre à jour les exigences techniques et juridiques nécessaires. Le mécanisme de Prüm II repose sur le cadre Prüm actuellement en place, en le renforçant et en le modernisant, et en permettant l’interopérabilité avec d’autres systèmes d’information de l’Union. Il garantira que toutes les données pertinentes dont disposent les services répressifs d’un État membre peuvent être utilisées par les services répressifs des autres États membres. Il permettra également à Europol d’apporter son soutien aux États membres au titre du cadre Prüm. La présente initiative prévoit la création d’une nouvelle architecture qui permette un échange de données plus facile et plus rapide entre les États membres et qui garantisse un niveau élevé de protection des droits fondamentaux. •Objectifs de la proposition L’objectif général de la présente proposition résulte de l’objectif fondé sur le traité visant à contribuer à la sécurité intérieure de l’Union européenne. Parmi les mesures à prendre à cette fin figurent la collecte, le stockage, le traitement, l’analyse et l’échange d’informations pertinentes. Par conséquent, l’objectif général du présent instrument est d’améliorer, de rationaliser et de faciliter l’échange d’informations aux fins de la prévention et de la détection des infractions pénales et terroristes ainsi que des enquêtes en la matière entre les services répressifs des États membres, mais aussi avec Europol en tant que plateforme centrale d’information sur la criminalité dans l’Union. La présente proposition poursuit les objectifs stratégiques spécifiques suivants: (a)fournir une solution technique pour un échange automatisé efficace de données entre les services répressifs afin de les informer des données pertinentes disponibles dans la base de données nationale d’un autre État membre; (b)faire en sorte qu’un plus grand nombre de données pertinentes (en ce qui concerne les catégories de données) provenant des bases de données nationales des autres États membres soient mises à la disposition de l’ensemble des services répressifs compétents; (c)faire en sorte que les données pertinentes (en ce qui concerne les sources de données) provenant des bases de données d’Europol soient mises à la disposition des services répressifs; (d)fournir aux services répressifs un accès efficace aux données réelles correspondant à une «concordance» qui sont disponibles dans la base de données nationale d’un autre État membre. •Cohérence avec les dispositions existantes dans le domaine d'action Dans sa récente stratégie Schengen, la Commission a annoncé plusieurs mesures visant à approfondir la coopération policière et l’échange d’informations entre les services répressifs afin de renforcer la sécurité dans un espace sans frontières intérieures, intrinsèquement interdépendant. Conjuguée à la proposition de directive relative à l’échange d’informations entre les services répressifs des États membres, la présente proposition contribue à la réalisation des objectifs de cette stratégie en garantissant que les services répressifs d’un État membre ont accès aux mêmes informations que celles dont disposent leurs homologues d’un autre État membre. La proposition s’inscrit dans le paysage plus large des systèmes d’information de l’Union à grande échelle qui a considérablement évolué depuis l’adoption du cadre Prüm. Il s’agit des trois systèmes d’information centraux de l’Union qui sont en service, à savoir le système d’information Schengen (SIS), le système d’information sur les visas (VIS) et le système Eurodac. En outre, trois nouveaux systèmes sont actuellement en phase de développement: le système d’entrée/de sortie (EES), le système européen d’information et d’autorisation concernant les voyages (ETIAS) et le système centralisé permettant d’identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN). Tous ces systèmes actuels et futurs sont reliés par le cadre pour l’interopérabilité des systèmes d’information de l’Union pour la sécurité, les frontières et la gestion des migrations, qui a été adopté en 2019 et dont la mise en place est en cours. Les modifications incluses dans la présente proposition visent à aligner le cadre Prüm sur le cadre pour l’interopérabilité, notamment en ce qui concerne l’échange de données et l’architecture globale prévue par l’interopérabilité des systèmes d’information de l’Union. Cet alignement permettrait un accès rapide et contrôlé aux informations dont les agents des services répressifs ont besoin pour s’acquitter de leurs tâches et pour lesquelles ils disposent de droits d’accès. Le SIS contient déjà des signalements sur les personnes disparues et permet des recherches à partir des empreintes digitales. Le SIS est un système d’information «hit/no hit» (de concordance/non-concordance) centralisé, exploitable, directement accessible à un grand nombre d’utilisateurs finaux de première ligne, qui contient des signalements et fournit une réponse immédiate sur place, tout en indiquant des actions à prendre en rapport avec le sujet du signalement. Le SIS est principalement utilisé lors des contrôles de police, de frontière et de douane, ainsi que par les autorités chargées des visas et de l’immigration dans le cadre de leurs procédures et contrôles de routine.

En revanche, le cadre Prüm ne dispose d’aucune composante ou base de données centrale au niveau de l’Union et il n’est utilisé que dans le cadre d’enquêtes en matière pénale. Il permet aux autres États membres d’accéder aux sous-ensembles dépersonnalisés des bases de données nationales de profils ADN et d’empreintes digitales des services répressifs de tous les États membres connectés. Cet accès est accordé uniquement aux points de contact nationaux. Alors que la réponse comportant le résultat (concordance ou non-concordance) est fournie en quelques secondes ou minutes, il peut s’écouler des semaines, voire des mois, avant de recevoir les données à caractère personnel correspondantes liées à la concordance. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ •Base juridique La base juridique de la présente proposition est constituée des dispositions suivantes du traité sur le fonctionnement de l’Union européenne (TFUE): l’article 16, paragraphe 2, l’article 87, paragraphe 2, point a), et l’article 88, paragraphe 2. En vertu de l’article 16, paragraphe 2, l’Union dispose du pouvoir d’adopter des mesures relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union, ainsi que par les États membres dans l’exercice d’activités qui relèvent du champ d’application du droit de l’Union, et les règles relatives à la libre circulation de ces données. En vertu de l’article 87, paragraphe 2, point a), l’Union a le pouvoir d’adopter des mesures portant sur la collecte, le stockage, le traitement, l’analyse et l’échange d’informations pertinentes afin de garantir la coopération policière entre les autorités compétentes des États membres, y compris les services de police, les services des douanes et autres services répressifs spécialisés dans les domaines de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière. En vertu de l’article 88, paragraphe 2, le Parlement européen et le Conseil peuvent déterminer la structure, le fonctionnement, le domaine d’action et les tâches d’Europol. •Subsidiarité L’amélioration de l’échange d’informations entre les services de police et les services répressifs au sein de l’Union ne peut être réalisée de manière suffisante par les États membres agissant isolément, en raison du caractère transnational de la lutte contre la criminalité et des questions de sécurité. Les États membres doivent compter les uns sur les autres dans ces matières. Par l’intermédiaire de plusieurs projets de mise en œuvre à l’échelon de l’Union, les États membres ont tenté de prendre des mesures afin de remédier aux lacunes du cadre Prüm actuellement en place. Malgré toutes ces mesures, de nombreuses lacunes sont restées les mêmes que celles décrites dans le rapport de 2012 sur la mise en œuvre de la décision Prüm. Les mesures mises en œuvre isolément par les États membres s’étant révélées insuffisantes pour remédier aux limites du cadre Prüm actuellement en place, une action de l’Union est nécessaire. En outre, des règles, normes et exigences communes au niveau de l’Union facilitent les échanges d’informations, tout en garantissant la compatibilité entre les différents systèmes nationaux. Cela permet un certain niveau d’automatisation dans les flux d’échange d’informations qui libèrent les agents des services répressifs d’activités manuelles à forte intensité de main-d’œuvre. •Proportionnalité Comme l’explique de manière très détaillée l’analyse d’impact qui accompagne la présente proposition de règlement, les choix opérés dans la présente proposition sont considérés comme proportionnés. En effet, ils n’excèdent pas ce qui est nécessaire à la réalisation des objectifs fixés. La proposition prévoit la création de routeurs centraux [le routeur Prüm II et le système d’index européen des registres de la police (EPRIS)] qui feraient chacun office de point de connexion entre les États membres. Il s’agit d’une approche hybride entre une solution décentralisée et une solution centralisée, sans qu’aucune donnée ne soit stockée au niveau central. Une telle approche impliquera que les bases de données nationales de chaque État membre seront toutes connectées au routeur central au lieu d’être connectées les unes aux autres. Ces routeurs serviraient de courtiers de messages qui transmettraient les opérations de recherche et les réponses aux systèmes nationaux, sans créer de nouveaux processus de traitement de données, élargir les droits d’accès ou remplacer les bases de données nationales. Cette approche permettrait aux services répressifs de disposer d’un accès rapide et contrôlé aux informations dont ils ont besoin pour s’acquitter de leurs tâches, conformément à leurs droits d’accès. Le routeur faciliterait la mise en œuvre par les États membres des échanges de données existants et futurs au titre du cadre Prüm. L’échange automatisé de catégories de données supplémentaires, telles que des images faciales et des registres de la police, est crucial pour l’efficacité des enquêtes en matière pénale et pour l’identification des criminels. L’introduction de ces catégories de données supplémentaires n’entraînerait pas le stockage de nouvelles catégories de données, car les États membres les collectent déjà en vertu du droit national et les stockent dans des bases de données nationales. L’échange de ces nouvelles catégories de données constituerait un nouveau traitement de données. Il serait toutefois limité à la mesure nécessaire pour réaliser son objectif et il ne permettrait de comparer les données qu’au cas par cas. La proposition prévoit également un ensemble de garanties (par exemple, le partage de données complètes uniquement en cas de concordance à la suite d’une requête). Grâce à la présente proposition, Europol fera partie intégrante du cadre Prüm, en premier lieu en permettant aux États membres de vérifier automatiquement les données biométriques obtenues auprès de pays tiers et détenues par Europol. En second lieu, Europol pourrait également vérifier les données obtenues auprès de pays tiers par rapport aux bases de données nationales des États membres. Ces deux aspects de la contribution d’Europol prévus dans le nouveau cadre Prüm, conformément aux missions d’Europol telles que définies dans le règlement (UE) 2016/794, garantiraient qu’aucune faille n’apparaisse en ce qui concerne les données relatives à la grande criminalité et au terrorisme reçues de pays tiers. Dans une société ouverte à l’ère de la mondialisation, les données fournies par les pays tiers sur les criminels et les terroristes sont cruciales. Elles permettraient l’identification potentielle de criminels connus de pays extérieurs à l’Union et bénéficieraient de solides garanties en matière de protection de la vie privée et des droits et libertés fondamentaux des personnes, établies dans les accords de coopération d’Europol avec des pays tiers. La révision du processus d’échange d’informations à la suite d’une concordance contribuerait à la sécurité intérieure de l’Union européenne en simplifiant et en rationalisant l’échange d’informations en matière répressive. Par rapport à la situation actuelle où l’échange d’informations à la suite d’une concordance est régi par le droit national et est par conséquent soumis à des règles et procédures différentes, des règles communes harmonisant cette deuxième étape du processus de Prüm conféreraient une certaine prévisibilité à l’ensemble des utilisateurs, car tous sauraient quelles données ils obtiendraient à cette étape. L’échange de données serait facilité par une automatisation partielle, ce qui signifie qu’une intervention humaine serait encore nécessaire avant que tout échange de données de suivi complet puisse avoir lieu. Les États membres conserveraient la propriété/le contrôle de leurs données. •Choix de l’instrument Un règlement du Parlement européen et du Conseil est proposé. La législation proposée repose sur un cadre existant de décisions du Conseil contribuant à la coopération transfrontière entre les États membres de l’Union dans les domaines de la justice et des affaires intérieures. Compte tenu de la nécessité de rendre les mesures proposées directement applicables et de les appliquer uniformément dans tous les États membres, ainsi que de renforcer l’échange d’informations, un règlement est l’instrument juridique approprié. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT •Évaluation ex post de la législation existante

Dans l’ensemble, l’évaluation du cadre Prüm a montré que la consultation et la comparaison des données relatives aux profils ADN, aux empreintes digitales et à l’immatriculation des véhicules figurant dans les bases de données des autres États membres, à des fins de prévention des infractions pénales et d’enquêtes en la matière, revêtent une importance capitale pour la préservation de la sécurité intérieure de l’Union et de la sûreté de ses citoyens. L’évaluation a également permis de démontrer que les décisions Prüm ont contribué à établir des règles, des normes et des exigences communes au niveau de l’Union, à faciliter l’échange d’informations et à garantir la compatibilité entre les différents systèmes nationaux. Toutefois, depuis l’expiration du délai de mise en œuvre du cadre Prüm il y a dix ans, l’Union a adopté plusieurs autres mesures visant à faciliter l’échange d’informations entre les services répressifs, dont le cadre pour l’interopérabilité. En outre, les dispositions relatives aux spécifications techniques des requêtes, aux mesures de sécurité et à la communication n’ont pas été mises à jour depuis l’adoption des décisions Prüm en 2008. Certaines de ces règles sont devenues obsolètes, car la science et la technologie médico-légales ont considérablement évolué au cours de la dernière décennie. Il ressort également de l’évaluation que la mise en œuvre des décisions Prüm au cours des dix dernières années a été lente et que tous les États membres n’ont pas pris les mesures nécessaires pour appliquer lesdites décisions. En conséquence, un certain nombre de connexions bilatérales n’ont pas été établies et il est impossible d’interroger les bases de données de certains États membres. Les résultats de l’évaluation ont également montré que la suite donnée aux concordances repose sur le droit national et ne relève par conséquent pas du champ d’application des décisions Prüm. Les différences entre les règles et procédures nationales peuvent entraîner, dans plusieurs cas, des délais importants avant que les autorités compétentes ne reçoivent des informations à la suite d’une concordance. Cet état de fait nuit au fonctionnement du mécanisme de Prüm ainsi qu’à l’échange efficace d’informations entre les États membres en diminuant la possibilité d’identifier les criminels et de détecter les liens transfrontaliers entre les infractions. Les résultats de l’évaluation ont permis d’élaborer l’analyse d’impact et la présente proposition. • Consultation des parties intéressées L’élaboration de la présente proposition a nécessité des consultations ciblées des parties intéressées concernées, y compris des utilisateurs finaux du système, à savoir les autorités des États membres qui utilisent l’échange automatisé de données dans le cadre du mécanisme de Prüm, qu’il s’agisse des services répressifs et judiciaires, des autorités nationales chargées de l’immatriculation des véhicules, des dépositaires des bases de données nationales ou des laboratoires de police scientifique. L’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (eu-LISA) ont également été consultées en raison de leur expertise respective et de leur rôle potentiel dans le nouveau cadre Prüm. L’Agence des droits fondamentaux de l’Union européenne (FRA), ainsi que des organisations non gouvernementales telles qu’EDRi (European Digital Rights) et des organisations intergouvernementales (Eucaris; système d’information européen concernant les véhicules et les permis de conduire) ont également apporté une contribution en fonction de leur expertise. Les activités de consultation menées dans le cadre de la réalisation de l’analyse d’impact qui sous-tend la présente proposition ont permis de recueillir les avis des parties intéressées dans divers forums. Ces activités comprenaient notamment une analyse d’impact initiale, une consultation publique et une série d’ateliers techniques. Une étude de faisabilité a été réalisée sur la base de recherches documentaires, d’entretiens avec des experts en la matière, de questionnaires et de trois ateliers d’experts. Elle portait sur la possibilité d’améliorer l’échange d’informations dans le cadre des décisions Prüm. Des discussions régulières sur l’échange d’informations entre les services répressifs et plus particulièrement sur les décisions Prüm au sein des groupes de travail DAPIX et IXIM du Conseil ont également contribué à l’élaboration de la présente proposition. Une analyse d’impact initiale a été publiée en vue de recueillir les avis des parties intéressées entre août et octobre 2020. Au total, six contributions ont été reçues. Une consultation publique annoncée sur le site internet de la Commission européenne ciblait le grand public. Les réponses ont confirmé l’utilité du cadre Prüm actuellement en place pour la prévention des infractions pénales et les enquêtes en la matière et le fait que ledit cadre a également permis d’améliorer l’échange de données entre les services répressifs des États membres. En évitant de devoir interroger chaque État membre de manière bilatérale, l’échange automatisé de données au titre du cadre Prüm a également permis de gagner en efficacité. Les réponses ont en outre confirmé la cohérence du cadre avec les actions menées dans ce domaine au niveau de l’Union et au niveau international, ainsi que sa valeur ajoutée par rapport à ce que les États membres pourraient réaliser dans le domaine de l’échange d’informations en matière répressive en l’absence du cadre Prüm. En ce qui concerne le renforcement du cadre actuel, la plupart des répondants ont convenu que le fait que certaines catégories de données ne soient pas couvertes par ledit cadre et soient par conséquent échangées par l’envoi de requêtes manuelles constitue une faiblesse. Les services de la Commission ont également organisé une série d’ateliers techniques informels ciblés avec des experts des États membres et des pays associés à l’espace Schengen. Ces ateliers visaient à réunir les utilisateurs finaux pour un échange de vues sur les options envisagées et évaluées afin de renforcer le cadre Prüm sur le plan technique. L’analyse d’impact qui accompagne la présente proposition contient une description plus détaillée de la consultation des parties intéressées (annexe 2). •Analyse d’impact La présente proposition s’appuie sur une analyse d’impact, présentée dans le document de travail des services de la Commission qui l’accompagne [référence de l’analyse d’impact du mécanisme de Prüm]. Le comité d’examen de la réglementation a examiné le projet d’analyse d’impact lors de sa réunion du 14 juillet 2021 et a émis un avis favorable le 16 juillet 2021. L’analyse d’impact a conclu ce qui suit: (1)pour réaliser l’objectif visant à fournir une solution technique permettant un échange automatisé efficace de données, il convient d’appliquer une solution hybride entre une approche décentralisée et une approche centralisée, sans qu’aucune donnée ne soit stockée au niveau central; (2)pour réaliser l’objectif visant à faire en sorte que les services répressifs disposent d’un plus grand nombre de données pertinentes (sur le plan des catégories de données), il convient d’introduire l’échange d’images faciales et de registres de la police; (3)pour réaliser l’objectif visant à faire en sorte que les données pertinentes provenant des bases de données d’Europol soient mises à la disposition des services répressifs, les États membres devraient être en mesure de vérifier automatiquement les données biométriques obtenues auprès de pays tiers au sein d’Europol, au titre du cadre Prüm. Europol devrait également être en mesure de vérifier les données obtenues auprès de pays tiers par rapport aux bases de données nationales des États membres; (4)pour réaliser l’objectif visant à fournir un accès efficace aux données réelles correspondant à une concordance qui sont disponibles dans la base de données nationale d’un autre État membre ou au sein d’Europol, le processus de suivi devrait être réglementé au niveau de l’Union par un échange semi-automatique des données réelles correspondant à une concordance.

L’incidence positive majeure de la présente proposition sera de répondre efficacement aux problèmes cernés et de renforcer le cadre Prüm actuellement en place avec des capacités supplémentaires ciblées et solides afin d’intensifier son soutien aux États membres dans le renforcement de l’échange d’informations, l’objectif final étant de prévenir les infractions pénales et terroristes et d’enquêter sur celles-ci, dans le plein respect des droits fondamentaux. Les bénéficiaires ultimes de toutes les options privilégiées sont les citoyens, qui profiteront directement et indirectement d’une meilleure lutte contre la criminalité et d’une baisse des taux de criminalité. Sur le plan de l’efficience, les principaux bénéficiaires sont les services répressifs nationaux. Les incidences financières et économiques immédiates de la proposition nécessiteront des investissements tant au niveau de l’Union qu’au niveau des États membres. Les coûts d’investissement prévus devraient être compensés par des avantages et des économies, notamment au niveau des États membres. Malgré les investissements initiaux, la création du routeur central Prüm permettra aux États membres de réaliser des économies, car celui-ci n’obligera pas chaque État membre à créer (et à maintenir) autant de connexions qu’il y a d’États membres et de catégories de données. •Droits fondamentaux Conformément à la charte des droits fondamentaux de l’Union européenne (ci-après la «charte»), que les institutions de l’Union et les États membres doivent respecter lorsqu’ils appliquent le droit de l’Union (article 51, paragraphe 1, de la charte), et au principe de non-discrimination, les possibilités offertes par les options présentées doivent être mises en balance avec l’obligation de garantir que les atteintes aux droits fondamentaux qui peuvent découler de celles-ci se limitent à ce qui est strictement nécessaire afin d’atteindre effectivement les objectifs d’intérêt général poursuivis, sous réserve du principe de proportionnalité (article 52, paragraphe 1, de la charte). Les solutions proposées donnent la possibilité d’adopter des mesures préventives ciblées afin d’améliorer la sécurité. Elles peuvent ainsi contribuer à la poursuite de l’objectif légitime visant à faciliter la lutte contre la criminalité, qui implique également que les autorités ont l’obligation positive d’adopter des mesures opérationnelles préventives afin de protéger toute personne dont la vie serait en péril, si elles ont ou devraient avoir connaissance de l’existence d’un risque immédiat. •Protection des données à caractère personnel L’échange d’informations a une incidence sur le droit à la protection des données à caractère personnel. L’article 8 de la charte, l’article 16 du traité sur le fonctionnement de l’Union européenne et l’article 8 de la convention européenne des droits de l’homme ont consacré ce droit. Ainsi que l’a souligné la Cour de justice de l’Union européenne, le droit à la protection des données à caractère personnel n’apparaît pas comme une prérogative absolue, mais doit être pris en considération par rapport à sa fonction dans la société. La protection des données est étroitement liée au respect de la vie privée et familiale, protégé par l’article 7 de la charte. En ce qui concerne le mécanisme de Prüm, la législation applicable en matière de protection des données est la directive (UE) 2016/680. En effet, le cadre Prüm prévoit le traitement de données à caractère personnel effectué dans le cadre de l’échange d’informations entre les services répressifs chargés de la prévention des infractions pénales et des enquêtes en la matière. La libre circulation des données au sein de l’Union ne doit pas être limitée pour des motifs liés à la protection des données. Une série de principes doivent toutefois être respectés. En effet, pour être légale, toute limitation de l’exercice des droits fondamentaux protégés par la charte doit être conforme aux critères suivants, prévus par l’article 52, paragraphe 1, de la charte: (1)elle doit être prévue par la loi; (2)elle doit respecter le contenu essentiel des droits; (3)elle doit répondre effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui; (4)elle doit être nécessaire; et (5)elle doit être proportionnée. La présente proposition est conforme à toutes ces règles en matière de protection des données, comme l’explique en détail l’analyse d’impact qui l’accompagne. La proposition est fondée sur les principes de la protection des données dès la conception et par défaut. Elle inclut toutes les dispositions appropriées limitant le traitement des données à ce qui est nécessaire à son objectif spécifique et n’accordant l’accès aux données qu’aux entités qui ont «besoin d’en connaître». L’accès aux données est exclusivement réservé aux membres du personnel dûment autorisés des autorités des États membres ou des organes de l’Union compétents aux fins spécifiques du cadre Prüm révisé et sa portée est limitée aux informations nécessaires pour l’exécution des missions conformément à ces fins. Au moment de la publication du rapport évaluant les effets donnés à la [recommandation du Conseil relative à la coopération policière opérationnelle] par les États membres, visé au point 9) d) de ladite recommandation, la Commission décidera s’il est nécessaire d’adopter une législation de l’UE en matière de coopération policière opérationnelle transfrontière. Si une telle législation s’avérait nécessaire, la Commission présentera une proposition législative relative à la coopération policière opérationnelle transfrontière, qui assurera également l’alignement des dispositions de la décision 2008/615/JAI et de la décision 2008/616/JAI non couvertes par la présente proposition sur la directive 2016/680, conformément aux résultats de l’évaluation au titre de l’article 62, paragraphe 6, de la directive 2016/680. Si une législation de l’UE en matière de coopération policière opérationnelle transfrontière n’est pas nécessaire, la Commission présentera une proposition législative visant à assurer ce même alignement, conformément aux résultats de l’évaluation au titre de l’article 62, paragraphe 6, de la directive 2016/680. 4.INCIDENCE BUDGÉTAIRE La présente initiative législative aurait une incidence sur le budget et les besoins en personnel de l’eu-LISA et d’Europol. S’agissant de l’eu-LISA, selon les estimations, un budget supplémentaire d’environ 16 millions d’EUR et approximativement 10 postes supplémentaires seraient nécessaires pour l’ensemble de la période du cadre financier pluriannuel (CFP) afin de s’assurer que l’Agence dispose des ressources nécessaires pour exécuter les tâches qui lui sont attribuées dans la présente proposition de règlement. Le budget alloué à l’eu-LISA sera déduit de l’IGFV.

S’agissant d’Europol, selon les estimations, un budget supplémentaire d’environ 7 millions d’EUR et approximativement 5 postes supplémentaires seraient nécessaires pour l’ensemble de la période du CFP afin de s’assurer que l’Agence dispose des ressources nécessaires pour exécuter les tâches qui lui sont attribuées dans la présente proposition de règlement. Le budget alloué à Europol sera déduit du FSI. 5.AUTRES ÉLÉMENTS •Plans de mise en œuvre et modalités de suivi, d'évaluation et d'information La Commission veillera à ce que les dispositions nécessaires soient en place pour contrôler le fonctionnement des mesures proposées et les évaluer au regard des principaux objectifs stratégiques. Deux ans après la création et la mise en service des nouvelles fonctionnalités, puis tous les deux ans par la suite, les agences de l’Union devraient présenter au Parlement européen, au Conseil et à la Commission un rapport sur le fonctionnement technique des nouvelles mesures proposées. De plus, trois ans après la création et la mise en service des nouvelles fonctionnalités, puis tous les quatre ans par la suite, la Commission devrait produire une évaluation globale des mesures, notamment en ce qui concerne l’incidence directe ou indirecte sur les droits fondamentaux. Cette évaluation devrait examiner les résultats obtenus par rapport aux objectifs, déterminer si les principes de base restent valables et en tirer toutes les conséquences pour les options futures. La Commission devrait présenter les rapports d’évaluation au Parlement européen et au Conseil. •Explication détaillée des différentes dispositions de la proposition Le chapitre 1 énonce les dispositions générales du présent règlement, notamment son objet, son but et son champ d’application. Il fournit une liste de définitions et rappelle que le traitement des données à caractère personnel aux fins du présent règlement respecte le principe de non-discrimination et d’autres droits fondamentaux. Le chapitre 2 énonce les dispositions relatives à l’échange des catégories de données au titre du présent règlement, à savoir l’échange de profils ADN, de données dactyloscopiques, de données relatives à l’immatriculation des véhicules, d’images faciales et de registres de la police. Les principes régissant l’échange, la consultation automatisée de données ainsi que les règles relatives aux demandes et aux réponses sont détaillés dans une section distincte pour chaque catégorie de données respectivement. Le chapitre 2 contient également des dispositions communes relatives à l’échange de données, à la création de points de contact nationaux et à la mesure d’exécution. Le chapitre 3 présente les détails de la nouvelle architecture (technique) de l’échange de données. La première section de ce chapitre comprend des dispositions décrivant le routeur central, l’utilisation du routeur et le lancement des requêtes. Des actes d’exécution seront nécessaires pour préciser les procédures techniques de ces requêtes. Cette section comprend également des dispositions sur l’interopérabilité entre le routeur et le répertoire commun de données d’identité aux fins de l’accès des services répressifs, la tenue de registres pour toutes les opérations de traitement de données dans le routeur, le contrôle de la qualité et les procédures de notification en cas d’impossibilité technique d’utiliser le routeur. Une seconde section fournit des précisions sur l’utilisation du système d’index européen des registres de la police (EPRIS) pour l’échange de registres de la police. Cette section comprend également des dispositions relatives à la tenue de registres pour toutes les opérations de traitement de données effectuées dans l’EPRIS et aux procédures de notification en cas d’impossibilité technique d’utiliser l’EPRIS. Le chapitre 4 présente les processus d’échange de données à la suite d’une correspondance. Il comprend une disposition relative à l’échange automatisé de données de base, les données étant limitées à ce qui est nécessaire pour permettre l’identification de la personne concernée, et une disposition relative à l’échange de données à tout stade du processus au titre du présent règlement qui n’est pas explicitement décrit dans le présent règlement. Le chapitre 5 contient des dispositions sur l’accès des États membres aux données biométriques obtenues auprès de pays tiers et stockées par Europol et sur l’accès d’Europol aux données stockées dans les bases de données des États membres. Le chapitre 6 sur la protection des données contient des dispositions garantissant que les données relevant du présent règlement sont traitées de manière légale et appropriée, conformément aux dispositions de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil. Il explique qui sera le sous-traitant pour le traitement des données en vertu du présent règlement. Il énonce les mesures que l’eu-LISA et les autorités des États membres doivent prendre pour garantir la sécurité du traitement des données, le traitement approprié des incidents de sécurité et le contrôle du respect des mesures prévues par le présent règlement. Ce chapitre établit également des dispositions concernant le contrôle et l’audit en lien avec la protection des données. Il souligne le principe selon lequel les données traitées en vertu du présent règlement ne doivent pas être transférées ou mises à la disposition d’un pays tiers ou d’une organisation internationale de manière automatisée. Le chapitre 7 détaille les responsabilités respectives des États membres, d’Europol et de l’eu-LISA dans la mise en œuvre des mesures prévues par le présent règlement. Le chapitre 8 porte sur les modifications apportées aux autres instruments existants, à savoir les décisions 2008/615/JAI et 2008/616/JAI, le règlement (UE) 2018/1726, le règlement (UE) 2019/817 et le règlement (UE) 2019/818. Le chapitre 9, relatif aux dispositions finales, porte sur l’établissement de rapports et de statistiques, les coûts, les notifications, les dispositions transitoires et les dérogations. Il définit également les exigences relatives à la mise en œuvre initiale des mesures proposées par le présent règlement. Le chapitre prévoit également la création d’un comité et l’adoption d’un manuel pratique pour soutenir la mise en œuvre et la gestion du présent règlement. Il comprend également une disposition sur le suivi et l’évaluation et une disposition sur l’entrée en vigueur et l’applicabilité du présent règlement. Le présent règlement remplace notamment les articles 2 à 6 et les sections 2 et 3 du chapitre 2 de la décision 2008/615/JAI du Conseil, ainsi que les chapitres 2 à 5 et les articles 18, 20 et 21 de la décision 2008/616/JAI du Conseil, qui seront donc supprimés de ces décisions du Conseil à compter de la date d’application du présent règlement. Ces modifications auront pour effet que les dispositions remplacées et supprimées ne s’appliquent plus à aucun État membre.



2021/0410 (COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à l’échange automatisé de données dans le cadre de la coopération policière («Prüm II»), modifiant les décisions 2008/615/JAI et 2008/616/JAI du Conseil et les règlements (UE) 2018/1726, 2019/817 et 2019/818 du Parlement européen et du Conseil LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16, paragraphe 2, son article 87, paragraphe 2, point a), et son article 88, paragraphe 2, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen, vu l’avis du Comité des régions, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)L’Union s’est donné pour objectif d’offrir à ses citoyens un espace de liberté, de sécurité et de justice sans frontières intérieures, au sein duquel est assurée la libre circulation des personnes. Cet objectif devrait être réalisé au moyen, entre autres, de mesures appropriées visant à prévenir et à lutter contre la criminalité, y compris la criminalité organisée et le terrorisme. (2)Cet objectif exige que les services répressifs échangent des données, de manière efficace et en temps utile, afin de lutter efficacement contre la criminalité. (3)Par conséquent, l’objectif du présent règlement est d’améliorer, de rationaliser et de faciliter l’échange d’informations en matière pénale entre les services répressifs des États membres, mais aussi avec l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) instituée par le règlement (UE) 2016/794 du Parlement européen et du Conseil en tant que plateforme centrale d’information sur la criminalité dans l’Union. (4)En prévoyant le transfert automatisé des profils ADN, des données dactyloscopiques et de certaines données relatives à l’immatriculation des véhicules, les décisions 2008/615/JAI et 2008/616/JAI du Conseil établissant des règles relatives à l’échange d’informations entre les services chargés de la prévention des infractions pénales et des enquêtes en la matière se sont avérées importantes pour lutter contre le terrorisme et la criminalité transfrontalière. (5)Le présent règlement devrait fixer les conditions et les procédures de transfert automatisé des profils ADN, des données dactyloscopiques, des données relatives à l’immatriculation des véhicules, des images faciales et des registres de la police. Cela devrait être sans préjudice du traitement de ces données dans le système d’information Schengen (SIS) ou de l’échange d’informations supplémentaires les concernant par l’intermédiaire des bureaux Sirene ou des droits des personnes dont les données sont traitées dans ce système. (6)Le traitement de données à caractère personnel et l’échange de données à caractère personnel aux fins du présent règlement ne devraient donner lieu à aucune discrimination à l’encontre des personnes, quel qu’en soit le motif. Ils devraient respecter pleinement la dignité humaine, l’intégrité des personnes et d’autres droits fondamentaux, notamment le droit au respect de la vie privée et le droit à la protection des données à caractère personnel, conformément à la charte des droits fondamentaux de l’Union européenne. (7)En prévoyant la consultation ou la comparaison automatisée de profils ADN, de données dactyloscopiques, de données relatives à l’immatriculation des véhicules, d’images faciales et de registres de la police, le présent règlement a également pour objet de permettre la recherche de personnes disparues et de restes humains non identifiés. Cela devrait être sans préjudice de l’introduction dans le SIS de signalements de personnes disparues et de l’échange d’informations supplémentaires sur ces signalements en vertu du règlement (UE) 2018/1862 du Parlement européen et du Conseil. (8)La directive (UE) .../... [relative à l’échange d’informations entre les services répressifs des États membres] fournit un cadre juridique cohérent de l’Union afin de garantir que les services répressifs disposent d’un accès équivalent aux informations détenues par les autres États membres lorsqu’ils en ont besoin pour lutter contre la criminalité et le terrorisme. Afin que l’échange d’informations soit intensifié, cette directive formalise les procédures de partage d’informations entre États membres, notamment à des fins d’enquêtes, y compris le rôle du «point de contact unique» pour cet échange, en faisant pleinement usage de l’application de réseau d’échange sécurisé d’informations d’Europol, SIENA. Tout échange d’informations allant au-delà de ce qui est prévu par le présent règlement devrait être régi par la directive (UE) .../... [relative à l’échange d’informations entre les services répressifs des États membres]. (9)En ce qui concerne la consultation automatisée de données relatives à l’immatriculation des véhicules, les États membres devraient utiliser le système d’information européen concernant les véhicules et les permis de conduire (Eucaris) créé par le traité sur un système d’information européen concernant les véhicules et les permis de conduire (traité EUCARIS) et conçu à cet effet. Eucaris devrait connecter tous les États membres participants dans un réseau. Aucun élément central n’est nécessaire pour établir la communication, chaque État membre communiquant directement avec les autres États membres connectés. (10)L’identification d’un criminel est essentielle pour mener à bien des enquêtes et des poursuites en matière pénale. La consultation automatisée d’images faciales de suspects et de criminels reconnus coupables devrait fournir des informations supplémentaires permettant d’identifier les criminels et de lutter contre la criminalité. (11)La consultation ou la comparaison automatisée de données biométriques (profils ADN, données dactyloscopiques et images faciales) entre les autorités chargées de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière en vertu du présent règlement ne devrait concerner que les données contenues dans les bases de données établies aux fins de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière. (12)La participation à l’échange de registres de la police devrait rester volontaire. Lorsque les États membres décident de participer, dans un esprit de réciprocité, il ne devrait pas leur être possible d’interroger les bases de données des autres États membres s’ils ne mettent pas leurs propres données à la disposition de ceux-ci. (13)Ces dernières années, Europol a reçu de plusieurs pays tiers un grand nombre de données biométriques de terroristes et de criminels présumés ou reconnus coupables. L’intégration dans le cadre Prüm des données obtenues auprès de pays tiers et stockées au sein d’Europol, et, partant, la mise à disposition des services répressifs de ces données sont nécessaires pour améliorer la prévention des infractions pénales et les enquêtes en la matière. Elles contribuent également à créer des synergies entre les différents outils de répression.

(14)Europol devrait pouvoir consulter les bases de données des États membres au titre du cadre Prüm à partir des données reçues de pays tiers afin d’établir des liens transfrontaliers entre les affaires pénales. La possibilité d’utiliser les données au titre du cadre Prüm, parallèlement à d’autres bases de données dont dispose Europol, devrait permettre d’établir une analyse plus complète et plus éclairée en matière d’enquêtes pénales et permettre à Europol d’apporter un meilleur soutien aux services répressifs des États membres. En cas de correspondance entre les données utilisées pour la consultation et les données détenues dans les bases de données des États membres, ces derniers peuvent fournir à Europol les informations nécessaires à l’accomplissement de ses missions. (15)Les décisions 2008/615/JAI et 2008/616/JAI prévoient un réseau de connexions bilatérales entre les bases de données nationales des États membres. En conséquence de cette architecture technique, chaque État membre devrait établir au moins 26 connexions, c’est-à-dire une connexion avec chaque État membre, par catégorie de données. Le routeur et le système d’index européen des registres de la police (EPRIS) établis par le présent règlement devraient simplifier l’architecture technique du cadre Prüm et servir de points de connexion entre tous les États membres. Le routeur devrait exiger une connexion unique par État membre en ce qui concerne les données biométriques, et l’EPRIS devrait exiger une connexion unique par État membre en ce qui concerne les registres de la police. (16)Le routeur devrait être connecté au portail de recherche européen créé par l’article 6 du règlement (UE) 2019/817 du Parlement européen et du Conseil et l’article 6 du règlement (UE) 2019/818 du Parlement européen et du Conseil afin de permettre aux autorités des États membres et à Europol d’interroger les bases de données nationales au titre du présent règlement simultanément aux requêtes introduites dans le répertoire commun de données d’identité établi par l’article 17 du règlement (UE) 2019/817 et l’article 17 du règlement (UE) 2019/818 à des fins répressives. (17)En cas de correspondance entre les données utilisées pour la consultation ou la comparaison et les données détenues dans la base de données nationale de l’État membre ou des États membres requis, et après confirmation de cette correspondance par l’État membre requérant, l’État membre requis devrait renvoyer un ensemble limité de données de base par l’intermédiaire du routeur dans les 24 heures. Ce délai garantirait un échange rapide de communications entre les autorités des États membres. Les États membres devraient conserver le contrôle de la communication de cet ensemble limité de données de base. Un certain degré d’intervention humaine devrait être maintenu aux points clés du processus, y compris pour la décision de communiquer des données à caractère personnel à l’État membre requérant, afin de garantir qu’il n’y aurait pas d’échange automatisé de données de base. (18)Tout échange entre les autorités des États membres ou avec Europol à un stade quelconque de l’un des processus décrits dans le présent règlement, qui n’est pas explicitement décrit dans le présent règlement, devrait avoir lieu par l’intermédiaire de l’application SIENA afin de garantir que l’ensemble des États membres utilisent un canal de communication commun, sûr et fiable. (19)La norme de format universel pour les messages (UMF) devrait être utilisée pour le développement du routeur et de l’EPRIS. Tout échange automatisé de données conformément au présent règlement devrait utiliser la norme UMF. Les autorités des États membres et Europol sont encouragés à également utiliser la norme UMF pour tout autre échange de données entre eux dans le cadre du mécanisme de Prüm II. La norme UMF devrait servir en tant que norme pour l’échange d’informations transfrontière structuré entre les systèmes d’information, les autorités ou les organismes dans le domaine de la justice et des affaires intérieures. (20)Seules les informations non classifiées devraient être échangées dans le cadre du mécanisme de Prüm II. (21)Certains aspects du mécanisme de Prüm II ne peuvent pas être couverts de manière exhaustive par le présent règlement en raison de leur nature technique, de leur niveau élevé de précision et de leur nature sujette à de fréquents changements. Ces aspects comprennent, par exemple, les dispositions et spécifications techniques pour les procédures de consultation automatisée, les normes d’échange de données et les éléments de données à échanger. Afin de garantir des conditions uniformes d’exécution du présent règlement, il convient de conférer des compétences d’exécution à la Commission. Ces compétences devraient être exercées conformément au règlement (UE) nº 182/2011 du Parlement européen et du Conseil. (22)Étant donné que le présent règlement prévoit l’établissement du nouveau cadre Prüm, il convient de supprimer les dispositions pertinentes des décisions 2008/615/JAI et 2008/616/JAI. Il convient dès lors de modifier lesdites décisions en conséquence. (23)Étant donné que le routeur devrait être développé et géré par l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (eu-LISA) instituée par le règlement (UE) 2018/1726 du Parlement européen et du Conseil, il est nécessaire de modifier ledit règlement en ajoutant ces deux missions au mandat de l’eu-LISA. Afin de permettre la connexion du routeur au portail de recherche européen pour pouvoir consulter simultanément le routeur et le répertoire commun de données d’identité, il est donc nécessaire de modifier le règlement (UE) 2019/817. Afin de permettre la connexion du routeur au portail de recherche européen pour pouvoir consulter simultanément le routeur et le répertoire commun de données d’identité et afin de stocker les rapports et les statistiques du routeur dans le répertoire commun des rapports et statistiques, il est donc nécessaire de modifier le règlement (UE) 2019/818. Il convient dès lors de modifier lesdits règlements en conséquence. (24)Conformément aux articles 1er et 2 du protocole nº 22 sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption du présent règlement et n’est pas lié par celle-ci ni soumis à son application. (25)[Conformément à l’article 3 du protocole nº 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, l’Irlande a notifié son souhait de participer à l’adoption et à l’application du présent règlement.] OU [Conformément aux articles 1er et 2 du protocole nº 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, et sans préjudice de l’article 4 dudit protocole, l’Irlande ne participe pas à l’adoption du présent règlement et n’est pas liée par celui-ci ni soumise à son application.] (26)Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil et a rendu un avis le [XX], ONT ADOPTÉ LE PRÉSENT RÈGLEMENT: CHAPITRE 1 DISPOSITIONS GÉNÉRALES Article premier Objet Le présent règlement établit un cadre pour l’échange d’informations entre les autorités chargées de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière (mécanisme de Prüm II). Le présent règlement fixe les conditions et les procédures applicables à la consultation automatisée de profils ADN, de données dactyloscopiques, d’images faciales, de registres de la police et de certaines données relatives à l’immatriculation des véhicules, ainsi que les règles relatives à l’échange de données de base à la suite d’une correspondance.

Article 2 Objectif Le mécanisme de Prüm II a pour objet d’approfondir la coopération transfrontière dans les matières relevant de la partie III, titre V, chapitre 5, du traité sur le fonctionnement de l’Union européenne, notamment l’échange d’informations entre les autorités chargées de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière. Le mécanisme de Prüm II a également pour objet de permettre la recherche de personnes disparues et de restes humains non identifiés par les autorités chargées de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière. Article 3 Champ d’application Le présent règlement s’applique aux bases de données nationales utilisées pour le transfert automatisé des catégories de profils ADN, de données dactyloscopiques, d’images faciales, de registres de la police et de certaines données relatives à l’immatriculation des véhicules. Article 4 Définitions Aux fins du présent règlement, on entend par: (1)«loci»: la structure moléculaire particulière issue de divers segments d’ADN; (2)«profil ADN: un code alphanumérique qui représente un ensemble de caractéristiques d’identification de la partie non codante d’un échantillon d’ADN humain analysé, c’est-à-dire la structure moléculaire particulière issue de divers segments d’ADN (loci); (3)«partie non codante de l’ADN»: les régions chromosomiques non génétiquement exprimées, c’est-à-dire non connues pour fournir des propriétés fonctionnelles d’un organisme; (4)«données indexées ADN»: un profil ADN et la référence visée à l’article 9; (5)«profil ADN de référence»: le profil ADN d’une personne identifiée; (6)«profil ADN non identifié»: le profil ADN obtenu à partir de traces recueillies lors d’une enquête pénale et appartenant à une personne non encore identifiée; (7)«données dactyloscopiques»: les images d’empreintes digitales, images d’empreintes digitales latentes, d’empreintes de paumes de mains, d’empreintes de paumes de mains latentes, ainsi que des modèles de telles images (points caractéristiques codés), lorsqu’ils sont stockés et traités dans une base de données automatisée; (8)«données indexées dactyloscopiques»: les données dactyloscopiques et la référence visée à l’article 14; (9)«cas par cas»: un dossier d’enquête unique; (10)«image faciale»: une image numérique du visage;

(11)«données biométriques»: les profils ADN, les données dactyloscopiques ou les images faciales; (12)«correspondance»: l’existence d’une correspondance résultant d’une comparaison automatisée entre les données à caractère personnel enregistrées ou en cours d’enregistrement dans un système d’information ou dans une base de données; (13)«candidat»: les données avec lesquelles une correspondance a été établie; (14)«État membre requérant»: l’État membre qui effectue une consultation par l’intermédiaire du mécanisme de Prüm II; (15)«État membre requis»: l’État membre dont les bases de données sont consultées par l’État membre requérant par l’intermédiaire du mécanisme de Prüm II; (16)«registres de la police»: toutes les informations disponibles dans le ou les registres nationaux qui contiennent les données des autorités compétentes à des fins de prévention et de détection des infractions pénales ainsi que d’enquêtes en la matière; (17)«pseudonymisation»: le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable; (18)«données d’Europol»: toutes les données à caractère personnel traitées par Europol conformément au règlement (UE) 2016/794; (19)«autorité de contrôle»: une autorité publique indépendante instituée par un État membre en vertu de l’article 41 de la directive (UE) 2016/680 du Parlement européen et du Conseil; (20)«application SIENA»: l’application de réseau d’échange sécurisé d’informations, gérée par Europol, destinée à faciliter l’échange d’informations entre les États membres et Europol; (21)«incident important»: tout incident, sauf s’il a une incidence limitée et s’il est susceptible d’être déjà bien appréhendé en ce qui concerne la méthode ou la technologie à employer; (22)«menace informatique importante»: une menace informatique ayant l’intention, la possibilité et la capacité de provoquer un incident important; (23)«vulnérabilité importante»: une vulnérabilité qui entraînera probablement un incident important si elle est exploitée; (24)«incident»: un incident au sens de l’article 4, paragraphe 5, de la directive (UE) .../... du Parlement européen et du Conseil [proposition SRI 2]. CHAPITRE 2 ÉCHANGE DE DONNÉES SECTION 1 Profils ADN

Article 5 Création de fichiers nationaux d’analyses ADN 1. Les États membres créent et conservent des fichiers nationaux d’analyses ADN aux fins des enquêtes en matière d’infractions pénales. Le traitement des données conservées dans ces fichiers en vertu du présent règlement s’effectue conformément au droit national des États membres applicable au traitement de ces données. 2. Les États membres s’assurent de la disponibilité des données indexées ADN provenant de leurs fichiers nationaux d’analyses ADN visés au paragraphe 1. Les données indexées ADN ne contiennent aucune donnée permettant l’identification directe de la personne concernée. Les données indexées ADN qui ne peuvent être rattachées à aucune personne (profils ADN non identifiés) doivent être reconnaissables en tant que telles. Article 6 Consultation automatisée de profils ADN 1. Les États membres autorisent les points de contact nationaux visés à l’article 29 et Europol à accéder aux données indexées ADN contenues dans leurs fichiers d’analyses ADN, afin qu’ils puissent procéder à des consultations automatisées par comparaison de profils ADN aux fins d’enquêtes en matière d’infractions pénales. La consultation n’est possible que cas par cas et dans le respect du droit national de l’État membre requérant. 2. Si une consultation automatisée révèle une correspondance entre un profil ADN transmis et les profils ADN enregistrés dans le fichier consulté de l’État membre requis, le point de contact national de l’État membre requérant reçoit de manière automatisée les données indexées ADN pour lesquelles une correspondance a été mise en évidence. S’il n’y a pas de correspondance, l’État membre requérant en est informé de manière automatisée. 3. Le point de contact national de l’État membre requérant confirme l’existence d’une correspondance entre les données de profils ADN et les données indexées ADN détenues par l’État membre requis après la transmission automatisée des données indexées ADN nécessaires à la confirmation d’une correspondance. Article 7 Comparaison automatisée de profils ADN non identifiés 1. Aux fins d’enquêtes en matière d’infractions pénales, les États membres peuvent, par l’intermédiaire de leurs points de contact nationaux, comparer les profils ADN non identifiés avec tous les profils ADN provenant des autres fichiers nationaux d’analyses ADN. La transmission et la comparaison des profils se font de manière automatisée. 2. Si la comparaison visée au paragraphe 1 permet à un État membre requis de mettre en évidence une correspondance entre des profils ADN transmis et le contenu de ses propres fichiers d’analyses ADN, ledit État membre communique sans délai au point de contact national de l’État membre requérant les données indexées ADN pour lesquelles une correspondance a été mise en évidence. 3. La confirmation de l’existence d’une correspondance entre les données de profils ADN et les données indexées ADN détenues par l’État membre requis est établie par le point de contact national de l’État membre requérant après la transmission automatisée des données indexées ADN nécessaires à la confirmation d’une correspondance. Article 8

Notification de fichiers d’analyses ADN Chaque État membre informe la Commission et l’eu-LISA des fichiers nationaux d’analyses ADN auxquels s’appliquent les articles 5, 6 et 7, conformément à l’article 73. Article 9 Références des profils ADN Les références des profils ADN consistent en la combinaison des éléments suivants: (a)un numéro de référence permettant aux États membres, en cas de correspondance, d’extraire des données à caractère personnel supplémentaires et d’autres informations de leurs bases de données visées à l’article 5 afin de les transmettre à un, à plusieurs ou à tous les autres États membres, conformément aux articles 47 et 48; (b)un code indiquant l’État membre qui détient le profil ADN; (c)un code indiquant le type de profil ADN (profils ADN de référence ou profils ADN non identifiés). Article 10 Principes régissant l’échange de données indexées ADN 1. Des mesures appropriées sont prises pour assurer la confidentialité et l’intégrité des données indexées ADN transmises aux autres États membres, notamment en matière de cryptage. 2. Les États membres prennent les mesures nécessaires pour garantir l’intégrité des profils ADN mis à la disposition des autres États membres ou transmis pour comparaison aux autres États membres et pour faire en sorte que ces mesures soient conformes aux normes internationales applicables à l’échange de données ADN. 3. La Commission adopte des actes d’exécution afin de préciser les normes internationales applicables qui doivent être utilisées par les États membres pour l’échange de données indexées ADN. Ces actes d’exécution sont adoptés en conformité avec la procédure visée à l’article 76, paragraphe 2. Article 11 Règles applicables aux demandes et aux réponses relatives aux profils ADN 1. Une demande de consultation ou de comparaison automatisée inclut uniquement les informations suivantes: (a)le code de l’État membre requérant; (b)la date, l’heure et le numéro de référence de la demande; (c)les profils ADN et leurs références visées à l’article 9; (d)les types de profils ADN transmis (profils ADN non identifiés ou profils ADN de référence).

2. La réponse apportée à la demande visée au paragraphe 1 inclut uniquement les informations suivantes: (a)une indication précisant s’il y a eu une ou plusieurs correspondances ou aucune correspondance; (b)la date, l’heure et le numéro de référence de la demande; (c)la date, l’heure et le numéro de référence de la réponse; (d)les codes de l’État membre requérant et de l’État membre requis; (e)les références des profils ADN obtenus de l’État membre requérant et de l’État membre requis; (f)les types de profils ADN transmis (profils ADN non identifiés ou profils ADN de référence); (g)les profils ADN pour lesquels une correspondance est établie. 3. La notification automatisée d’une correspondance est effectuée uniquement si la consultation ou la comparaison automatisée a mis en évidence une correspondance fondée sur un nombre minimal de loci. La Commission adopte des actes d’exécution afin de préciser ce nombre minimal de loci, conformément à la procédure visée à l’article 76, paragraphe 2. 4. Lorsqu’une consultation ou une comparaison avec des profils ADN non identifiés met en évidence une correspondance, chaque État membre requis disposant de données correspondantes peut insérer dans sa base de données nationale une marque indiquant que ce profil ADN a déjà fait l’objet d’une correspondance à la suite d’une consultation ou d’une comparaison effectuée par un autre État membre. 5. Les États membres veillent à ce que les demandes soient cohérentes avec les déclarations transmises en vertu de l’article 8. Ces déclarations figurent dans le manuel pratique visé à l’article 78. SECTION 2 Données dactyloscopiques Article 12 Données indexées dactyloscopiques 1. Les États membres s’assurent de la disponibilité des données indexées dactyloscopiques provenant du fichier regroupant les systèmes automatisés nationaux d’identification par empreintes digitales créés aux fins de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière. 2. Les données indexées dactyloscopiques ne contiennent aucune donnée permettant l’identification directe de la personne concernée. 3. Les données indexées dactyloscopiques qui ne peuvent être rattachées à aucune personne («données dactyloscopiques non identifiées») doivent être reconnaissables en tant que telles. Article 13 Consultation automatisée de données dactyloscopiques

1. Aux fins de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière, les États membres autorisent les points de contact nationaux des autres États membres et Europol à accéder aux données indexées dactyloscopiques des systèmes automatisés d’identification par empreintes digitales qu’ils ont créés à cet effet, afin de procéder à des consultations automatisées par comparaison de données indexées dactyloscopiques. La consultation n’est possible que cas par cas et dans le respect du droit national de l’État membre requérant. 2. Le point de contact national de l’État membre requérant confirme l’existence d’une correspondance entre les données dactyloscopiques et les données indexées dactyloscopiques détenues par l’État membre requis après la transmission automatisée des données indexées dactyloscopiques nécessaires à la confirmation d’une correspondance. Article 14 Référence des données dactyloscopiques Les références des profils dactyloscopiques consistent en la combinaison des éléments suivants: (a)un numéro de référence permettant aux États membres, en cas de correspondance, d’extraire des données à caractère personnel supplémentaires et d’autres informations de leurs bases de données visées à l’article 12 afin de les transmettre à un, à plusieurs ou à tous les autres États membres, conformément aux articles 47 et 48; (b)un code indiquant l’État membre qui détient les données dactyloscopiques. Article 15 Principes régissant l’échange de données dactyloscopiques 1. La numérisation des données dactyloscopiques et leur transmission aux autres États membres s’effectuent selon un format de données uniforme. La Commission adopte des actes d’exécution afin de préciser le format de données uniforme, conformément à la procédure visée à l’article 76, paragraphe 2. 2. Chaque État membre s’assure que les données dactyloscopiques qu’il transmet sont d’une qualité suffisante en vue d’une comparaison par les systèmes automatisés d’identification par empreintes digitales. 3. Les États membres prennent des mesures appropriées pour assurer la confidentialité et l’intégrité des données dactyloscopiques transmises aux autres États membres, notamment en matière de cryptage. 4. La Commission adopte des actes d’exécution afin de préciser les normes existantes applicables à l’échange de données dactyloscopiques qui doivent être utilisées par les États membres. Ces actes d’exécution sont adoptés en conformité avec la procédure visée à l’article 76, paragraphe 2. Article 16 Capacités de consultation pour les données dactyloscopiques 1. Chaque État membre veille à ce que ses demandes de consultation ne dépassent pas les capacités de consultation indiquées par l’État membre requis. Les États membres informent la Commission et l’eu-LISA, conformément à l’article 79, paragraphes 8 et 10, de leurs capacités maximales de consultation journalières pour les données dactyloscopiques de personnes identifiées et pour les données dactyloscopiques de personnes non encore identifiées. 2. La Commission adopte des actes d’exécution afin de préciser les nombres maximaux de candidats admis pour comparaison par transmission, conformément à la procédure visée à l’article 76, paragraphe 2. Article 17

Règles applicables aux demandes et aux réponses relatives aux données dactyloscopiques 1. Une demande de consultation automatisée inclut uniquement les informations suivantes: (a)le code de l’État membre requérant; (b)la date, l’heure et le numéro de référence de la demande; (c)les données dactyloscopiques et leurs références visées à l’article 14. 2. La réponse apportée à la demande visée au paragraphe 1 inclut uniquement les informations suivantes: (a)une indication précisant s’il y a eu une ou plusieurs correspondances ou aucune correspondance; (b)la date, l’heure et le numéro de référence de la demande; (c)la date, l’heure et le numéro de référence de la réponse; (d)les codes de l’État membre requérant et de l’État membre requis; (e)les références des données dactyloscopiques obtenues de l’État membre requérant et de l’État membre requis; (f)les données dactyloscopiques pour lesquelles une correspondance est établie. SECTION 3 Données relatives à l’immatriculation des véhicules Article 18 Consultation automatisée de données relatives à l’immatriculation des véhicules 1. Aux fins de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière, les États membres autorisent les points de contact nationaux des autres États membres et Europol à accéder aux données nationales suivantes relatives à l’immatriculation des véhicules, afin de procéder, cas par cas, à une consultation automatisée: (a)les données relatives aux propriétaires ou aux détenteurs, et (b)les données relatives aux véhicules. 2. La consultation nécessite un numéro de châssis complet ou un numéro d’immatriculation complet.

3. La consultation n’est possible que dans le respect du droit national de l’État membre requérant. Article 19 Principes régissant la consultation automatisée de données relatives à l’immatriculation des véhicules 1. Aux fins de la consultation automatisée de données relatives à l’immatriculation des véhicules, les États membres utilisent le système d’information européen concernant les véhicules et les permis de conduire (Eucaris). 2. Les informations échangées par l’intermédiaire d’Eucaris sont transmises sous une forme cryptée. 3. La Commission adopte des actes d’exécution afin de préciser les éléments des données relatives à l’immatriculation des véhicules qui doivent être échangés. Ces actes d’exécution sont adoptés en conformité avec la procédure visée à l’article 76, paragraphe 2. Article 20 Tenue de registres 1. Chaque État membre tient des registres des requêtes introduites par le personnel de ses autorités dûment autorisé à échanger des données relatives à l’immatriculation des véhicules, ainsi que des registres des requêtes demandées par les autres États membres. Europol tient des registres des requêtes introduites par son personnel dûment autorisé. Chaque État membre et Europol tiennent des registres de toutes les opérations de traitement de données relatives à l’immatriculation des véhicules. Ces registres contiennent les informations suivantes: (a)l’État membre ou l’agence de l’Union qui lance la demande de requête; (b)la date et l’heure de la demande; (c)la date et l’heure de la réponse; (d)les bases de données nationales auxquelles une demande de requête a été envoyée; (e)les bases de données nationales qui ont fourni une réponse positive. 2. Les registres visés au paragraphe 1 ne peuvent être utilisés que pour collecter des statistiques et contrôler la protection des données, y compris vérifier l’admissibilité d’une requête et la licéité du traitement des données, et pour assurer la sécurité et l’intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s’ils sont nécessaires à des procédures de contrôle qui ont déjà été engagées, ils sont effacés dès qu’ils ne sont plus nécessaires aux procédures de contrôle. 3. Aux fins du contrôle de la protection des données, y compris de la vérification de l’admissibilité d’une requête et de la licéité du traitement des données, les responsables du traitement ont accès aux registres en vue de l’autocontrôle visé à l’article 56. SECTION 4 Images faciales

Article 21 Images faciales 1. Les États membres s’assurent de la disponibilité des images faciales provenant de leurs bases de données nationales établies aux fins de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière. Ces données ne contiennent que des images faciales et les références visées à l’article 23, et indiquent si les images faciales sont rattachées à une personne ou non. Dans ce contexte, les États membres ne mettent à disposition aucune donnée permettant l’identification directe de la personne concernée. 2. Les images faciales qui ne peuvent être rattachées à aucune personne (images faciales non identifiées) doivent être reconnaissables en tant que telles. Article 22 Consultation automatisée d’images faciales 1. Aux fins de la prévention et de la détection des infractions pénales ainsi que des enquêtes en la matière, les États membres autorisent les points de contact nationaux des autres États membres et Europol à accéder aux images faciales stockées dans leurs bases de données nationales, afin de procéder à des consultations automatisées. La consultation n’est possible que cas par cas et dans le respect du droit national de l’État membre requérant. 2. L’État membre requérant reçoit une liste des correspondances concernant les candidats probables. Ledit État membre examine cette liste afin de déterminer l’existence d’une correspondance confirmée. 3. Une norme de qualité minimale est établie pour permettre la consultation et la comparaison d’images faciales. La Commission adopte des actes d’exécution afin de préciser cette norme de qualité minimale. Ces actes d’exécution sont adoptés en conformité avec la procédure visée à l’article 76, paragraphe 2. Article 23 Références des images faciales Les références des images faciales consistent en la combinaison des éléments suivants: (a)un numéro de référence permettant aux États membres, en cas de correspondance, d’extraire des données à caractère personnel supplémentaires et d’autres informations de leurs bases de données visées à l’article 21 afin de les transmettre à un, à plusieurs ou à tous les autres États membres, conformément aux articles 47 et 48; (b)un code indiquant l’État membre qui détient les images faciales. Article 24 Règles applicables aux demandes et aux réponses relatives aux images faciales 1. Une demande de consultation automatisée inclut uniquement les informations suivantes: (a)le code de l’État membre requérant;

(b)la date, l’heure et le numéro de référence de la demande; (c)les images faciales et leurs références visées à l’article 23. 2. La réponse apportée à la demande visée au paragraphe 1 inclut uniquement les informations suivantes: (a)une indication précisant s’il y a eu une ou plusieurs correspondances ou aucune correspondance; (b)la date, l’heure et le numéro de référence de la demande; (c)la date, l’heure et le numéro de référence de la réponse; (d)les codes de l’État membre requérant et de l’État membre requis; (e)les références des images faciales obtenues de l’État membre requérant et de l’État membre requis; (f)les images faciales pour lesquelles une correspondance est établie. SECTION 5 Registres de la police Article 25 Registres de la police 1. Les États membres peuvent décider de participer à l’échange automatisé de registres de la police. Les États membres qui participent à l’échange automatisé de registres de la police s’assurent de la disponibilité des données biographiques des suspects et des criminels dans leurs index nationaux de registres de la police créés aux fins d’enquêtes en matière d’infractions pénales. Cet ensemble de données, s’il est disponible, contient les données suivantes: (a)le(s) prénom(s); (b)le(s) nom(s) de famille; (c)le(s) pseudonyme(s); (d)la date de naissance; (e)la (les) nationalité(s); (f)le lieu et le pays de naissance;

(g)le sexe. 2. Les données visées au paragraphe 1, points a), b), c), e) et f), sont pseudonymisées. Article 26 Consultation automatisée de registres de la police 1. Aux fins d’enquêtes en matière d’infractions pénales, les États membres autorisent les points de contact nationaux des autres États membres et Europol à accéder aux données provenant de leurs index nationaux de registres de la police, afin de procéder à des consultations automatisées. La consultation n’est possible que cas par cas et dans le respect du droit national de l’État membre requérant. 2. L’État membre requérant reçoit la liste des correspondances, avec une indication de la qualité de celles-ci. L’État membre requérant est également informé de l’État membre dont la base de données contient les données qui ont mis en évidence la correspondance. Article 27 Références des registres de la police Les références des registres de la police consistent en la combinaison des éléments suivants: (a)un numéro de référence permettant aux États membres, en cas de correspondance, d’extraire des données à caractère personnel et d’autres informations de leurs index visés à l’article 25 afin de les transmettre à un, à plusieurs ou à tous les autres États membres, conformément aux articles 47 et 48; (b)un code indiquant l’État membre qui détient les registres de la police. Article 28 Règles applicables aux demandes et aux réponses relatives aux registres de la police 1. Une demande de consultation automatisée inclut uniquement les informations suivantes: (a)le code de l’État membre requérant; (b)la date, l’heure et le numéro de référence de la demande; (c)les registres de la police et leurs références visées à l’article 27.

2. La réponse apportée à la demande visée au paragraphe 1 inclut uniquement les informations suivantes: (a)une indication précisant s’il y a eu une ou plusieurs correspondances ou aucune correspondance; (b)la date, l’heure et le numéro de référence de la demande; (c)la date, l’heure et le numéro de référence de la réponse; (d)les codes de l’État membre requérant et de l’État membre requis; (e)les références des registres de la police obtenus des États membres requis. SECTION 6 Dispositions communes Article 29 Points de contact nationaux Chaque État membre désigne un point de contact national. Les points de contact nationaux sont chargés de fournir les données visées aux articles 6, 7, 13, 18, 22 et 26. Article 30 Mesures d’exécution La Commission adopte des actes d’exécution afin de préciser les modalités techniques des procédures énoncées aux articles 6, 7, 13, 18, 22 et 26. Ces actes d’exécution sont adoptés en conformité avec la procédure visée à l’article 76, paragraphe 2. Article 31 Spécifications techniques Les États membres et Europol observent les spécifications techniques communes dans le cadre de toutes les demandes et réponses liées aux consultations et comparaisons de profils ADN, de données dactyloscopiques, de données relatives à l’immatriculation des véhicules, d’images faciales et de registres de la police. La Commission adopte des actes d’exécution afin de préciser ces spécifications techniques, conformément à la procédure visée à l’article 76, paragraphe 2. Article 32 Disponibilité de l’échange automatisé de données au niveau national

1. Les États membres prennent toutes les mesures nécessaires pour que la consultation ou la comparaison automatisée de données ADN, de données dactyloscopiques, de données relatives à l’immatriculation de véhicules, d’images faciales et de registres de la police soit possible 24 heures sur 24 et sept jours sur sept. 2. Les points de contact nationaux s’informent immédiatement les uns les autres de la défaillance technique entraînant l’indisponibilité de l’échange automatisé de données; ils en informent également la Commission, Europol et l’eu-LISA. Les points de contact nationaux conviennent d’autres modalités temporaires d’échange d’informations, conformément au droit de l’Union et à la législation nationale applicables. 3. Les points de contact nationaux rétablissent sans délai l’échange automatisé de données. Article 33 Justification du traitement des données 1. Chaque État membre conserve une justification des requêtes effectuées par ses autorités compétentes. Europol conserve une justification des requêtes qu’elle effectue. 2. La justification visée au paragraphe 1 comprend: (a)l’objet de la requête, y compris une référence à l’affaire ou à l’enquête spécifique; (b)une indication permettant de déterminer si la requête concerne un suspect ou un auteur d’une infraction pénale; (c)une indication permettant de déterminer si la requête vise à identifier une personne inconnue ou à obtenir plus de données sur une personne connue. 3. Les justifications visées au paragraphe 2 ne peuvent être utilisées que pour contrôler la protection des données, y compris vérifier l’admissibilité d’une requête et la licéité du traitement des données, et pour garantir la sécurité et l’intégrité des données. Ces justifications sont protégées par des mesures appropriées empêchant tout accès non autorisé et sont effacées un an après leur création. Cependant, si elles sont nécessaires à des procédures de contrôle qui ont déjà été engagées, elles sont effacées dès qu’elles ne sont plus nécessaires à ces procédures. 4. Aux fins du contrôle de la protection des données, y compris de la vérification de l’admissibilité d’une requête et de la licéité du traitement des données, les responsables du traitement ont accès à ces justifications en vue de l’autocontrôle visé à l’article 56. Article 34 Utilisation du format universel pour les messages 1. La norme de format universel pour les messages (UMF) est utilisée pour le développement du routeur visé à l’article 35 et de l’EPRIS. 2. Tout échange automatisé de données conformément au présent règlement utilise la norme UMF.

CHAPITRE 3 ARCHITECTURE SECTION 1 Routeur Article 35 Routeur 1. Un routeur est créé afin de faciliter l’établissement de connexions entre les États membres et avec Europol aux fins de l’interrogation, de l’extraction et de la notation de données biométriques conformément au présent règlement. 2. Le routeur se compose des éléments suivants: (a)une infrastructure centrale, comprenant un outil de recherche permettant l’interrogation simultanée des bases de données des États membres visées aux articles 5, 12 et 21 ainsi que des données d’Europol; (b)un canal de communication sécurisé entre l’infrastructure centrale, les États membres et les agences de l’Union qui sont autorisées à utiliser le routeur; (c)une infrastructure de communication sécurisée entre l’infrastructure centrale et le portail de recherche européen aux fins de l’article 39. Article 36 Utilisation du routeur L’utilisation du routeur est réservée aux autorités des États membres qui ont accès à l’échange de profils ADN, de données dactyloscopiques et d’images faciales, ainsi qu’à Europol, conformément au présent règlement et au règlement (UE) 2016/794. Article 37 Requêtes 1. Les utilisateurs du routeur visés à l’article 36 demandent une requête en soumettant des données biométriques au routeur. Le routeur envoie la demande de requête aux bases de données des États membres et aux données d’Europol en même temps que les données soumises par l’utilisateur et conformément à ses droits d’accès. 2. Dès réception de la demande de requête en provenance du routeur, chaque État membre requis et Europol interrogent leurs bases de données de manière automatisée et sans délai. 3. Toute correspondance mise en évidence par interrogation des bases de données de chaque État membre et des données d’Europol est renvoyée de manière automatisée au routeur. 4. Le routeur classe les réponses en fonction de la note de la correspondance entre les données biométriques utilisées pour la requête et les données biométriques stockées dans les bases de données des États membres et les données d’Europol.

5. La liste des données biométriques pour lesquelles une correspondance a été établie et leurs notes sont renvoyées à l’utilisateur du routeur par ce dernier. 6. La Commission adopte des actes d’exécution afin de préciser la procédure technique permettant au routeur d’interroger les bases de données des États membres et les données d’Europol, le format des réponses du routeur ainsi que les règles techniques de notation de la correspondance entre les données biométriques. Ces actes d’exécution sont adoptés en conformité avec la procédure visée à l’article 76, paragraphe 2. Article 38 Contrôle de la qualité L’État membre requis contrôle, par un procédé entièrement automatisé, la qualité des données transmises. Au cas où les données ne se prêtent pas à une comparaison automatisée, l’État membre requis en informe sans tarder l’État membre requérant par l’intermédiaire du routeur. Article 39 Interopérabilité entre le routeur et le répertoire commun de données d’identité aux fins de l’accès des services répressifs 1. Les utilisateurs du routeur visés à l’article 36 peuvent interroger les bases de données des États membres et les données d’Europol simultanément à une requête effectuée dans le répertoire commun de données d’identité lorsque les conditions applicables prévues par le droit de l’Union sont remplies et dans le respect de leurs droits d’accès. À cette fin, le routeur interroge le répertoire commun de données d’identité par l’intermédiaire du portail de recherche européen. 2. Les requêtes introduites dans le répertoire commun de données d’identité à des fins répressives sont effectuées conformément à l’article 22 du règlement (UE) 2019/817 et à l’article 22 du règlement (UE) 2019/818. Tout résultat issu des requêtes est transmis par l’intermédiaire du portail de recherche européen. Seules les autorités désignées définies à l’article 4, point 20), du règlement (UE) 2019/817 et à l’article 4, point 20), du règlement (UE) 2019/818 peuvent lancer ces requêtes simultanées. Des requêtes simultanées dans les bases de données des États membres et les données d’Europol et dans le répertoire commun de données d’identité ne peuvent être lancées que dans les cas où il est probable que des données sur un suspect, un auteur ou une victime d’une infraction terroriste ou d’autres infractions pénales graves, telles que définies respectivement à l’article 4, points 21) et 22), du règlement (UE) 2019/817 et à l’article 4, points 21) et 22), du règlement (UE) 2019/818, sont stockées dans le répertoire commun de données d’identité. Article 40 Tenue de registres 1. L’eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le routeur. Ces registres contiennent les informations suivantes: (a)l’État membre ou l’agence de l’Union qui lance la demande de requête; (b)la date et l’heure de la demande; (c)la date et l’heure de la réponse; (d)les bases de données nationales ou les données d’Europol auxquelles une demande de requête a été envoyée; (e)les bases de données nationales ou les données d’Europol qui ont fourni une réponse;

(f)le cas échéant, le fait qu’une requête a été introduite simultanément dans le répertoire commun de données d’identité. 2. Chaque État membre tient des registres des requêtes introduites par ses autorités compétentes et le personnel de ces autorités dûment autorisé à utiliser le routeur, ainsi que des registres des requêtes demandées par les autres États membres. Europol tient des registres des requêtes introduites par son personnel dûment autorisé. 3. Les registres visés aux paragraphes 1 et 2 ne peuvent être utilisés que pour collecter des statistiques et contrôler la protection des données, y compris vérifier l’admissibilité d’une requête et la licéité du traitement des données, et pour garantir la sécurité et l’intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s’ils sont nécessaires à des procédures de contrôle qui ont déjà été engagées, ils sont effacés dès qu’ils ne sont plus nécessaires aux procédures de contrôle. 4. Aux fins du contrôle de la protection des données, y compris de la vérification de l’admissibilité d’une requête et de la licéité du traitement des données, les responsables du traitement ont accès aux registres en vue de l’autocontrôle visé à l’article 56. Article 41 Procédures de notification en cas d’impossibilité technique d’utiliser le routeur 1. Lorsqu’il est techniquement impossible d’utiliser le routeur pour interroger une ou plusieurs bases de données nationales ou les données d’Europol en raison d’une défaillance du routeur, les utilisateurs du routeur sont informés de manière automatisée par l’eu-LISA. Cette dernière prend les mesures nécessaires pour remédier sans délai à l’impossibilité technique d’utiliser le routeur. 2. Lorsqu’il est techniquement impossible d’utiliser le routeur pour interroger une ou plusieurs bases de données nationales ou les données d’Europol en raison d’une défaillance de l’infrastructure nationale d’un État membre, cet État membre le notifie, de manière automatisée, aux autres États membres, à l’eu-LISA et à la Commission. Les États membres prennent les mesures nécessaires pour remédier sans délai à l’impossibilité technique d’utiliser le routeur. 3. Lorsqu’il est techniquement impossible d’utiliser le routeur pour interroger une ou plusieurs bases de données nationales ou les données d’Europol en raison d’une défaillance de l’infrastructure d’Europol, cette dernière le notifie, de manière automatisée, aux États membres, à l’eu-LISA et à la Commission. Europol prend les mesures nécessaires pour remédier sans délai à l’impossibilité technique d’utiliser le routeur. SECTION 2 EPRIS Article 42 EPRIS 1. Aux fins de la consultation automatisée des registres de la police visée à l’article 26, les États membres et Europol utilisent le système d’index européen des registres de la police (EPRIS). 2. L’EPRIS se compose des éléments suivants: (a)une infrastructure centrale, comprenant un outil de recherche permettant l’interrogation simultanée des bases de données des États membres; (b)un canal de communication sécurisé entre l’infrastructure centrale de l’EPRIS, les États membres et Europol. Article 43

Utilisation de l’EPRIS 1. Aux fins de la consultation de registres de la police par l’intermédiaire de l’EPRIS, les ensembles de données suivants sont utilisés: (a)le(s) prénom(s); (b)le(s) nom(s) de famille; (c)la date de naissance. 2. Lorsqu’ils sont disponibles, les ensembles de données suivants peuvent également être utilisés: (a)le(s) pseudonyme(s); (b)la (les) nationalité(s); (c)le lieu et le pays de naissance; (d)le sexe. 3. Les données visées au paragraphe 1, points a) et b), et au paragraphe 2, points a), b) et c), utilisées pour les requêtes, sont pseudonymisées. Article 44 Requêtes 1. Les États membres et Europol demandent une requête en soumettant les données visées à l’article 43. L’EPRIS envoie la demande de requête aux bases de données des États membres avec les données soumises par l’État membre requérant et conformément au présent règlement. 2. Dès réception de la demande de requête en provenance de l’EPRIS, chaque État membre requis interroge son index national de registres de la police de manière automatisée et sans délai. 3. Toute correspondance mise en évidence par interrogation de la base de données de chaque État membre est renvoyée de manière automatisée à l’EPRIS. 4. La liste des correspondances est renvoyée à l’État membre requérant par l’intermédiaire de l’EPRIS. La liste des correspondances indique la qualité de la correspondance ainsi que l’État membre dont la base de données contient les données qui ont mis en évidence la correspondance. 5. Dès réception de la liste des correspondances, l’État membre requérant décide des correspondances pour lesquelles un suivi est nécessaire et envoie une demande de suivi motivée contenant toute information complémentaire pertinente à l’État membre ou aux États membres requis au moyen de l’application SIENA. 6. L’État membre ou les États membres requis traitent ces demandes sans délai afin de décider de partager ou non les données stockées dans leurs bases de données.

Après confirmation, le ou les États membres requis partagent les données visées à l’article 43 lorsqu’elles sont disponibles. Cet échange d’informations est effectué au moyen de l’application SIENA. 7. La Commission adopte des actes d’exécution afin de préciser la procédure technique permettant à l’EPRIS d’interroger les bases de données des États membres et le format des réponses. Ces actes d’exécution sont adoptés en conformité avec la procédure visée à l’article 76, paragraphe 2. Article 45 Tenue de registres 1. Europol tient des registres de toutes les opérations de traitement de données effectuées dans l’EPRIS. Ces registres contiennent les informations suivantes: (a)l’État membre ou l’agence de l’Union qui lance la demande de requête; (b)la date et l’heure de la demande; (c)la date et l’heure de la réponse; (d)les bases de données nationales auxquelles une demande de requête a été envoyée; (e)les bases de données nationales qui ont fourni une réponse. 2. Chaque État membre tient des registres des demandes de requêtes effectuées par ses autorités compétentes et le personnel de ces autorités dûment autorisé à utiliser l’EPRIS. Europol tient des registres des demandes de requêtes effectuées par son personnel dûment autorisé. 3. Les registres visés aux paragraphes 1 et 2 ne peuvent être utilisés que pour contrôler la protection des données, y compris vérifier l’admissibilité d’une requête et la licéité du traitement des données, et pour garantir la sécurité et l’intégrité des données. Ces registres sont protégés par des mesures appropriées empêchant tout accès non autorisé et sont effacés un an après leur création. Cependant, s’ils sont nécessaires à des procédures de contrôle qui ont déjà été engagées, ils sont effacés dès qu’ils ne sont plus nécessaires aux procédures de contrôle. 4. Aux fins du contrôle de la protection des données, y compris de la vérification de l’admissibilité d’une requête et de la licéité du traitement des données, les responsables du traitement ont accès aux registres en vue de l’autocontrôle visé à l’article 56. Article 46 Procédures de notification en cas d’impossibilité technique d’utiliser l’EPRIS 1. Lorsqu’il est techniquement impossible d’utiliser l’EPRIS pour interroger une ou plusieurs bases de données nationales en raison d’une défaillance de l’infrastructure d’Europol, cette dernière le notifie, de manière automatisée, aux États membres. Europol prend les mesures nécessaires pour remédier sans délai à l’impossibilité technique d’utiliser l’EPRIS. 2. Lorsqu’il est techniquement impossible d’utiliser l’EPRIS pour interroger une ou plusieurs bases de données nationales en raison d’une défaillance de l’infrastructure nationale d’un État membre, cet État membre le notifie, de manière automatisée, à Europol et à la Commission. Les États membres prennent les mesures nécessaires pour remédier sans délai à l’impossibilité technique d’utiliser l’EPRIS. CHAPITRE 4

ÉCHANGE DE DONNÉES À LA SUITE D’UNE CORRESPONDANCE Article 47 Échange de données de base Lorsque les procédures visées aux articles 6, 7, 13 ou 22 révèlent une correspondance entre les données utilisées aux fins de la consultation ou de la comparaison et les données détenues dans la base de données de l’État membre ou des États membres requis, et après confirmation de cette correspondance par l’État membre requérant, l’État membre requis renvoie un ensemble de données de base par l’intermédiaire du routeur dans les 24 heures. Cet ensemble de données de base, s’il est disponible, contient les données suivantes: (a)le(s) prénom(s); (b)le(s) nom(s) de famille; (c)la date de naissance; (d)la (les) nationalité(s); (e)le lieu et le pays de naissance; (f)le sexe. Article 48 Utilisation de l’application SIENA Tout échange qui n’est pas explicitement prévu par le présent règlement entre les autorités compétentes des États membres ou avec Europol, à n’importe quel stade de l’une des procédures prévues par le présent règlement, se fait au moyen de l’application SIENA. CHAPITRE 5 EUROPOL Article 49 Accès des