COMMISSION EUROPÉENNE Bruxelles, le 29.6.2017 COM(2017) 344 final 2017/0144(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL portant création d’un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides, qui vise à compléter et à soutenir le système européen d’information sur les casiers judiciaires (système ECRIS-TCN), et modifiant le règlement (UE) n° 1077/2011



{SWD(2017) 248 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION ·Justification et objectifs de la proposition Le système européen d’information sur les casiers judiciaires (ECRIS) créé par la décision-cadre 2009/315/JAI du Conseil et par la décision 2009/316/JAI du Conseil, permet l’échange électronique d’informations sur les casiers judiciaires sur une base décentralisée entre les États membres. Le système ECRIS est opérationnel depuis avril 2012 et donne la possibilité aux autorités d’un État membre gérant les casiers judiciaires d’obtenir des informations complètes sur les condamnations antérieures prononcées à l’encontre d’un ressortissant de l’UE auprès de l’État membre de nationalité de la personne en question. Bien qu’il soit possible de procéder, via l’ECRIS, à des échanges d’informations sur les condamnations pénales prononcées à l’encontre de ressortissants de pays tiers et de personnes apatrides (ci-après: RPT), à ce jour, aucune procédure ni aucun mécanisme ne permet d’effectuer cet échange de manière efficiente. Ainsi qu’il ressort du rapport statistique de la Commission sur l’utilisation de l’ECRIS, adopté le même jour que la présente proposition, les États membres hésitent à utiliser le système actuel pour les RPT. L’une des raisons expliquant ce faible niveau d’utilisation en ce qui concerne les RPT est le fait que les États membres qui souhaitent obtenir de telles informations doivent envoyer des demandes «générales» à tous les États membres, et notamment à ceux (majoritaires) qui ne détiennent pas les informations demandées. Il a été estimé que la charge administrative entraînée par l’obligation de répondre aux demandes «générales» serait l’aspect le plus coûteux (le montant correspondant pouvant aller jusqu’à 78 millions d’EUR, selon les estimations) des activités liées à l’ECRIS, si les États membres envoyaient systématiquement de telles demandes. L’ECRIS manquant d’efficience en ce qui concerne les RPT, les États membres s’appuient souvent uniquement, en pratique, sur les informations contenues dans leurs casiers judiciaires nationaux. Ainsi, des informations complètes sur les antécédents judiciaires de RPT condamnés ne sont pas toujours accessibles aux juridictions, aux autorités répressives ni aux autres autorités habilitées. Le Conseil européen et le Conseil «Justice et affaires intérieures» ont rappelé à plusieurs reprises l’importance d’améliorer l’ECRIS existant. L’amélioration de l’ECRIS existant en ce qui concerne les ressortissants de pays tiers fait partie d’un ensemble de mesures coordonnées exposées dans le programme européen en matière de sécurité. À cette fin, la Commission a présenté, le 19 janvier 2016, une proposition de directive [COM(2016) 7 final] visant à modifier la décision-cadre 2009/315/JAI du Conseil en ce qui concerne le système ECRIS et en ce qui concerne l’échange d’informations sur les ressortissants de pays tiers et les apatrides (RPT), et remplaçant la décision 2009/316/JAI du Conseil. Toutefois, les développements survenus depuis lors ont démontré la nécessité d’une action complémentaire, sous la forme d’une proposition législative supplémentaire, pour mettre en place un système centralisé pour le traitement des éléments d’identification des RPT. Ce système centralisé permettra aux autorités de l’État membre d’identifier les autres États membres qui détiennent des informations relatives au casier judiciaire du RPT concerné, afin de pouvoir utiliser le système ECRIS existant pour n’adresser des demandes d’informations sur les condamnations qu’à ces États membres. Ces développements sont résumés ci-après. Premièrement, à la suite des nouveaux attentats terroristes atroces perpétrés dans des villes européennes, les questions de sécurité ont encore gagné en importance. La position politique à l’égard de l’utilisation systématique des empreintes digitales à des fins d’identification fiable et, de manière générale, l’attitude à l’égard de l’échange et de la sécurité des données ont changé, l’accent étant désormais mis sur l’efficacité et l’efficience, ainsi que sur la nécessité d’exploiter les synergies entre les différents systèmes d’échange d’informations européens. La création d’un système ECRIS-TCN centralisé contenant à la fois des empreintes digitales et d’autres éléments d’identification peut soutenir cette approche puisqu’elle permettrait de créer un service partagé de mise en correspondance de données biométriques et un répertoire commun de données d’identité pour l’interopérabilité des systèmes d’information, s’il en était décidé ainsi, à l’avenir, par les législateurs. Une solution décentralisée ne générerait pas les mêmes possibilités de synergies futures. Deuxièmement, la communication intitulée «Des systèmes d’information plus robustes et plus intelligents au service des frontières et de la sécurité» contient des suggestions concrètes et pratiques pour continuer à développer les outils existants, mais aussi des suggestions et idées concrètes sur de nouvelles formes d’interopérabilité. La Commission demande d’accroître l’efficience et l’interopérabilité des bases de données et des systèmes électroniques d’échange d’informations européens existants, notamment d’un système ECRIS-TCN. Les travaux de suivi de la communication ont été dirigés par le groupe d’experts de haut niveau sur l’interopérabilité et le système ECRIS-TCN proposé ici est l’un des systèmes qui s’inscrit dans le cadre de cette initiative sur l’interopérabilité. Cette interopérabilité ne serait pas possible si une solution décentralisée, comme celle proposée en janvier 2016, avait été retenue. Troisièmement, au cours de l’année 2016, il est apparu clairement que le système décentralisé proposé en janvier 2016 posait des problèmes techniques, notamment en ce qui concerne les échanges décentralisés d’empreintes digitales pseudonymisées. Ces problèmes techniques n’existent pas dans le cas d’un système centralisé, étant donné que les empreintes digitales ne seraient collectées que dans une seule base de données, sous la direction de l’agence eu-LISA et sous la surveillance du Contrôleur européen de la protection des données. L’adoption d’un nouveau règlement ECRIS-TCN visant à mieux protéger la sécurité de nos citoyens est l’une des priorités législatives retenues dans la déclaration commune de la Commission, du Conseil et du Parlement européen sur les priorités législatives de l’UE pour l’année 2017, qui mentionne spécifiquement l’ECRIS.



·Cohérence avec les dispositions existantes dans le domaine d’action La proposition vient compléter la proposition de directive de la Commission de 2016 visant à modifier la décision-cadre ECRIS et à abroger la décision du Conseil relative à l’ECRIS. La proposition complémentaire vise avant tout à créer un système ECRIS-TCN central et à en fixer les règles de fonctionnement, tandis que la proposition de 2016 régit les échanges décentralisés d’informations sur les condamnations de RPT, qui devraient avoir lieu après qu’il a été établi quel État membre dispose d’informations relatives aux condamnations au moyen du système ECRIS-TCN. Une fois que les deux propositions auront été adoptées par les législateurs, il y aura deux instruments juridiques distincts régissant à la fois l’ECRIS et le système ECRIS-TCN: la décision-cadre ECRIS 2009/315/JAI et la décision 2009/316/JAI du Conseil, modifiées par la directive, ainsi que le règlement ECRIS-TCN créant le système ECRIS-TCN centralisé. La présente proposition est également à mettre en rapport avec la proposition de la Commission sur l’agence eu-LISA qui abroge le règlement eu-LISA actuel, proposé à la même date que la présente proposition, étant donné que la gestion du système ECRIS-TCN sera confiée à l’agence eu-LISA. Les deux propositions contiennent des dispositions analogues concernant les tâches de l’agence eu-LISA en ce qui concerne le système ECRIS-TCN. En fonction de la rapidité avec laquelle les deux propositions seront adoptées par les colégislateurs, il y aura lieu de garantir la cohérence entre les deux textes en ce qui concerne les tâches de l’agence eu-LISA. La présente proposition vise à compléter la proposition de directive de la Commission de janvier 2016 en créant un système centralisé pour identifier avec efficience le ou les États membres qui détiennent des informations sur les condamnations d’un RPT. Le système de recherche proposé, fondé sur la concordance/non-concordance («hit/no hit») et basé sur les données alphanumériques et les empreintes digitales des RPT condamnés dans les États membres, permettra à ces derniers d’identifier rapidement le ou les autres États membres ayant condamné un RPT déterminé. L’État membre requérant devrait alors demander aux États membres identifiés de fournir les informations exactes sur les condamnations au moyen du système ECRIS existant tel qu’amélioré par la proposition de janvier 2016. Les modifications nécessaires à apporter à la décision-cadre 2009/315 et permettant ces échanges sur les RPT au moyen de l’ECRIS sont déjà incluses dans la proposition de la Commission de janvier 2016. Cela signifie que les deux propositions se complètent mutuellement: alors que la présente proposition vise avant tout à mettre en place un nouveau système centralisé, la proposition de 2016 visant à modifier la décision-cadre de 2009 a pour but premier de faire en sorte que l’échange d’informations complètes sur les casiers judiciaires puisse être effectué pour les RPT comme pour les ressortissants de l’UE. Au niveau technique, le logiciel d’interface pour l’utilisation du système ECRIS-TCN central sera pleinement intégré à l’actuelle application de référence d’ECRIS, de sorte que les utilisateurs du système ne devront utiliser qu’un logiciel pour assurer une interface tant avec le système ECRIS-TCN central qu’avec les autorités gérant les casiers judiciaires dans d’autres États membres. Le logiciel d’application de référence d’ECRIS a été mis au point par la Commission dans le cadre de la mise en œuvre de la décision 2009/316 du Conseil. Il est actuellement utilisé par 24 États membres pour échanger des informations sur les casiers judiciaires conformément à la décision-cadre 2009/315. Les autres outils ou bases de données de l’UE utilisés pour lutter contre la criminalité et la prévenir ne permettraient pas de résoudre, même partiellement, le problème du manque d’efficience de l’échange d’informations sur les casiers judiciaires en ce qui concerne les RPT ayant fait l’objet de condamnations. Pour améliorer les modalités d’échange d’informations concernant les condamnations pénales infligées aux RPT au moyen de l’ECRIS, il n’existe pas d’autre solution possible faisant appel à un quelconque autre instrument d’échange d’informations mentionné dans le programme européen en matière de sécurité (comme SIS II, Prüm ou Eurodac), étant donné que ces derniers sont conçus pour poursuivre des objectifs différents. ·Cohérence avec les autres politiques de l’Union

Le perfectionnement de l’ECRIS en ce qui concerne les RPT est inscrit dans le programme européen en matière de sécurité. L’initiative s’inscrit aussi dans la nouvelle approche exposée par la Commission en matière de gestion des données pour les frontières et la sécurité, dans le cadre de laquelle tous les systèmes d’information centralisés de l’UE utilisés pour la gestion de la sécurité, des frontières et des flux migratoires sont interopérables dans le plein respect des droits fondamentaux, de telle sorte que: ·les systèmes puissent être interrogés simultanément en utilisant un portail de recherche européen, dans le plein respect des limitations de la finalité et des droits d’accès, afin de faire un meilleur usage des systèmes d’information existants, éventuellement à l’aide de règles simplifiées pour l’accès des services répressifs; ·les systèmes utilisent un service partagé de mise en correspondance de données biométriques permettant d’effectuer des recherches dans différents systèmes d’information contenant des données biométriques, éventuellement avec des indicateurs de concordance/non-concordance signalant le rapport avec des données biométriques connexes trouvées dans un autre système; ·les systèmes partagent un répertoire commun de données d’identité contenant des données d’identité alphanumériques, afin de détecter les enregistrements de personnes sous des identités multiples dans différentes bases de données. De nouvelles discussions et de nouveaux travaux ont été entamés en ce qui concerne la mise en œuvre de cette approche, y compris afin de déterminer lesquels de ces éléments seraient mis en œuvre en ce qui concerne le système ECRIS-TCN. En outre, l’échange d’informations sur les casiers judiciaires contribue à l’application de la décision-cadre 2008/675/JAI du Conseil, qui prévoit que les autorités judiciaires des États membres devraient, à l’occasion d’une procédure pénale, faire en sorte que les condamnations antérieures prononcées contre la même personne pour des faits différents dans d’autres États membres soient prises en compte, quelle que soit la nationalité de la personne concernée. Comme indiqué dans la communication relative à une politique plus efficace de l’Union européenne en matière de retour [C(2017) 200 final], les autorités compétentes des États membres devraient également prendre en compte les condamnations antérieures prononcées à l’égard de décisions mettant fin au séjour régulier, de décisions de retour et de décisions de refus d’entrée concernant des ressortissants de pays tiers constituant une menace pour l’ordre public, la sécurité publique ou la sécurité nationale. Le cas échéant, les signalements basés sur de telles décisions devraient être introduits dans le SIS conformément à l’article 24 du règlement (CE) n° 1987/2006 [proposition COM(2016) 882 final de la Commission] [et à l’article 3 de la proposition COM(2016) 881 final de la Commission]. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ ·Base juridique L’instrument juridique proposé est un règlement fondé sur l’article 82, paragraphe 1, point d), du traité sur le fonctionnement de l’Union européenne. L’article 82, paragraphe 1, point d), constitue la base juridique légitimant l’action de l’Union dans le domaine de la coopération judiciaire en matière pénale afin de faciliter la coopération entre les autorités judiciaires ou équivalentes des États membres dans le cadre des poursuites pénales et de l’exécution des décisions. L’action proposée s’inscrit clairement dans ce domaine et complète la législation de l’UE en vigueur en la matière. ·Subsidiarité (en cas de compétence non exclusive) Il n’est pas possible de créer, au niveau des États membres, un système centralisé d’échange d’informations sur les casiers judiciaires concernant des RPT condamnés. Un système commun visant à permettre un échange d’informations normalisé, rapide, coordonné et efficient entre les États membres requiert une action concertée. Il ne peut être mis en place ni unilatéralement au niveau des États membres, ni par des contacts bilatéraux entre les États membres. Il s’agit par nature d’une entreprise à mener au niveau de l’UE. ·Proportionnalité Un échange efficient d’informations sur les casiers judiciaires est crucial pour combattre la criminalité transfrontière, et contribue considérablement à la mise en œuvre du principe de reconnaissance mutuelle des jugements et des décisions judiciaires dans un espace commun de justice et de sécurité où prévaut la liberté de circulation des personnes. Une action au niveau de l’UE est donc proportionnée aux objectifs de l’initiative. Les modifications proposées ne vont pas au-delà de ce qui est nécessaire pour atteindre l’objectif de la coopération judiciaire transfrontière et s’appuient sur les pratiques actuelles de l’ECRIS pour les ressortissants de l’UE. Dans l’option proposée, les éléments d’identification des RPT condamnés sont centralisés dans un système à l’échelle de l’UE créé en vue d’appliquer le système ECRIS-TCN qui sera mis au point et géré par eu-LISA. Un État membre qui souhaite identifier le ou les États membres détenant des informations sur le casier judiciaire d’un RPT déterminé peut le faire en procédant à une recherche fondée sur la concordance/non-concordance dans le système TCN central. Par rapport à la proposition de la Commission de 2016 concernant un système décentralisé, la proportionnalité de la solution proposée n’est différente qu’en ce qui concerne le traitement central des données à caractère personnel. Pour ce qui est de la non-discrimination entre les ressortissants de l’UE et les RPT, la solution proposée centralise au niveau de l’UE les données d’identification des RPT, tandis que les données des ressortissants de l’UE sont conservées et traitées au niveau de l’État membre. Une telle approche est justifiée et proportionnée étant donné que la différence de traitement n’entraîne pas d’inconvénients majeurs pour les RPT et que les objectifs de l’initiative ne pourraient pas être atteints aussi facilement dans le cadre d’une approche décentralisée. À la suite de l’identification de problèmes techniques imprévus posés par l’échange d’empreintes digitales pseudonymisées après l’adoption de la proposition de la Commission de 2016, une analyse plus approfondie a révélé que d’autres options décentralisées étaient beaucoup plus coûteuses à mettre en œuvre, mais aussi plus complexes, ce qui augmente le risque de problèmes techniques pendant la phase de mise en œuvre. Même s’il existe des différences entre les options centralisées et décentralisées, elles ne sont pas d’une importance telle qu’elles justifieraient de consacrer beaucoup plus de ressources à la création d’une solution décentralisée.



·Choix de l’instrument

La Commission présente une proposition de règlement, étant donné que l’instrument juridique proposé crée un système central au niveau de l’UE, géré par l’agence européenne eu-LISA, et modifie le règlement (UE) n° 1077/2011. Le règlement est directement applicable dans tous les États membres et obligatoire dans tous ses éléments, de sorte qu’il garantit une application uniforme des règles partout dans l’Union et leur entrée en vigueur à la même date. Il garantit la sécurité juridique en évitant des divergences d’interprétation entre les États membres, ce qui permet d’éviter la fragmentation juridique. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT ·Évaluations ex post/bilans de qualité de la législation existante Le rapport de 2016 sur la mise en œuvre de la décision-cadre 2009/315/JAI du Conseil fait remarquer que des progrès notables ont été réalisés dans l’échange d’informations contenues dans le casier judiciaire entre les États membres, et que la plupart des dispositions essentielles ont été mises en œuvre de manière satisfaisante, alors que d’autres sont transposées de manière inégale. Le rapport attire l’attention sur les lacunes de l’article 7, paragraphe 4, de la décision-cadre et sur la nécessité de mettre en place un mécanisme efficient d’échange d’informations sur les RPT. ·Consultation des parties intéressées Une stratégie de consultation étendue a été suivie afin d’assurer une large participation tout au long du cycle d’élaboration de la proposition de la Commission de 2016. Les consultations comprenaient des contacts bilatéraux, des réunions avec les parties prenantes et des experts, ainsi que des contributions écrites, qui ont fourni à la Commission des avis éclairés et représentatifs. La Commission a cherché à recueillir un large éventail de points de vue équilibrés sur cette question, en donnant la possibilité à toutes les parties prenantes (États membres, autorités nationales, juristes et universitaires, associations actives dans le domaine de la défense des droits fondamentaux et de la protection des données) d’exprimer leur avis, notamment l’Agence des droits fondamentaux de l’Union européenne (FRA), le Contrôleur européen de la protection des données (CEPD) et le groupe de travail «article 29», qui regroupe des représentants des autorités de contrôle de la protection des données dans les États membres. De plus amples consultations ont également été menées avec le CEPD et les États membres dans le cadre de l’élaboration de la proposition à l’examen. En outre, la question a été examinée au sein du groupe d’experts en droit pénal de la Commission, composé d’universitaires et de praticiens du droit pénal, le 23 mars 2017. Le point de vue des associations actives dans le domaine de la défense des droits fondamentaux, qui ont été consultées avant la proposition de la Commission de janvier 2016, reste valable. Elles ont reconnu, d’une manière générale, les effets positifs que pourra avoir un mécanisme ECRIS-TCN dans une perspective judiciaire globale, en contribuant à assurer des condamnations justes et à prévenir les abus à l’égard des enfants, ainsi qu’en ce qui concerne la sécurité juridique pour les personnes ayant un casier judiciaire vierge. Elles ont plaidé en principe pour un système décentralisé qui, selon elles, porterait moins atteinte au droit à la protection des données à caractère personnel qu’un système central au niveau de l’UE. Ces parties prenantes ont également souligné que la mise en place d’un système propre aux RPT qui traiterait ces derniers différemment des ressortissants de l’UE était possible sous l’angle de l’égalité, dans la mesure où il respecte l’essence de ce principe et est objectivement justifié car nécessaire et proportionné. Les facteurs propres aux RPT doivent être pris en considération ici, étant donné que la création d’un système centralisé risque d’avoir des effets néfastes sur les droits fondamentaux des RPT, effets qu’il convient d’atténuer. Les parties prenantes ont attiré l’attention sur les garanties requises pour tenir compte de la situation spécifique des RPT dans le cadre de la migration, sur l’utilisation des empreintes digitales, sur les droits des enfants, ainsi que sur les droits de la personne concernée et les voies de recours effectives. Dans son avis 3/2016 sur la proposition de la Commission du 19 janvier 2016, le CEPD a apprécié la pseudonymisation comme une garantie appropriée pour limiter les atteintes au droit à la vie privée et au droit à la protection des données à caractère personnel des personnes concernées. Il a également salué l’approche décentralisée choisie par la Commission dans sa proposition du 19 janvier 2016, sans exclure une option centralisée. Lors de la réunion des experts des 10 et 11 janvier 2017, les États membres se sont déclarés favorables à un système central contenant les données d’identification des RPT condamnés, mais ont rejeté une centralisation étendue des données, incluant par exemple les données d’identification des ressortissants de l’UE, et l’inclusion de données relatives aux condamnations dans la base de données centralisée. Au cours de la même réunion d’experts, la Commission a également consulté les États membres sur les possibles répercussions des travaux du groupe d’experts de haut niveau sur les systèmes d’information et l’interopérabilité sur la législation en cours d’examen. Selon les États membres, il convient de mettre l’accent sur la création rapide du système ECRIS-TCN. Les autres concepts étaient certes intéressants - et le système devrait être conçu de manière à tenir compte des possibles futures interconnexions - mais les États membres ont confirmé que le seul élément qu’ils pourraient soutenir immédiatement serait le recours à un service partagé de mise en correspondance de données biométriques. En outre, les États membres ont indiqué que la possibilité de stocker des images faciales devrait être prévue dès le départ, de manière à ce qu’un logiciel de reconnaissance faciale puisse être déployé à un stade ultérieur afin de permettre une identification encore plus efficace. ·Obtention et utilisation d’expertise Outre les études et données utilisées lors de l’élaboration de la proposition de 2016, une étude sur la faisabilité et l’évaluation du coût de l’utilisation des empreintes digitales a été commandée en mars 2016. En outre, une étude complémentaire sur l’incidence sur les coûts d’une option centralisée prévoyant le recours aux empreintes digitales a permis d’évaluer de manière fiable le scénario choisi et de mener une réflexion sur l’utilisation potentielle du système partagé de mise en correspondance de données biométriques et sur l’évolution future du système centralisé en termes d’interopérabilité. ·Analyse d’impact La Commission a procédé à une analyse d’impact accompagnant la proposition de directive de la Commission du 19 janvier 2016 [COM (2016) 7 final]. La proposition complémentaire à l’examen est accompagnée d’une note d’analyse, qui s’appuie sur cette analyse d’impact. Dans la note d’analyse, la Commission examine plus en détail la solution privilégiée consistant à créer un système ECRIS-TCN répondant aux exigences fonctionnelles, tout en évitant les difficultés techniques liées aux empreintes digitales pseudonymisées. L’incidence de cette solution sur les frais d’établissement, les coûts administratifs, les droits fondamentaux et la protection des données a été analysée, en tenant compte des résultats de la consultation ciblée des parties intéressées menée préalablement à l’adoption de la proposition de directive en janvier 2016, ainsi que des résultats des deux études réalisées en 2016 et 2017, mentionnées ci-dessus. Les résultats du groupe de travail de haut niveau sur les systèmes d’information et l’interopérabilité ont également été pris en compte, de même que les résultats de la réunion des experts ECRIS des 10 et 11 janvier 2017. Une nouvelle évaluation approfondie des coûts, en particulier en ce qui concerne la solution privilégiée, a été effectuée et est prise en compte dans la note. Le système centralisé contenant à la fois des données alphanumériques et des empreintes digitales est la solution privilégiée. Cette option s’est révélée la plus efficiente et techniquement moins complexe et plus facile à entretenir que les autres. En ce qui concerne la non-discrimination entre les ressortissants de l’UE et les RPT, même si cette option centralise les données d’identification des RPT au niveau de l’UE, alors que les données des ressortissants de l’UE sont conservées et traitées au niveau des États membres, elle est justifiée et proportionnée étant donné que la différence de traitement n’entraîne pas d’inconvénients majeurs pour les RPT. En outre, la création d’un système centralisé offre d’autres avantages encore en rendant le système ECRIS-TCN apte à participer à un futur service partagé de mise en correspondance de données biométriques et à un répertoire commun de données d’identité, en offrant un accès direct pour Eurojust, Europol, [et le Parquet européen] et en créant un point de contact central à Eurojust pour les États tiers qui demandent des informations sur des RPT condamnés. Elle permet aussi de créer un système qui dispose des caractéristiques requises pour garantir, à l’avenir, l’interopérabilité avec d’autres systèmes au niveau de l’UE, s’il en est décidé ainsi par les législateurs. L’incidence sur le budget de l’UE et sur les budgets nationaux serait la suivante: coût unique pour l’UE d’environ 13 002 000 EUR, pour les États membres d’environ 13 344 000 EUR (au total, environ 26 346 000 EUR); coût récurrent pour l’UE d’environ 2 133 000 EUR; pour les États membres, les coûts récurrents devraient augmenter progressivement avec les années, démarrant à 6 087 000 EUR et montant jusqu’à un maximum de 15 387 000 EUR. Ainsi, le total des coûts récurrents devrait augmenter progressivement avec les années, démarrant à 8 220 000 EUR et montant jusqu’à un maximum de 17 520 000 EUR. À l’heure actuelle, les États membres ne recourent à l’ECRIS pour faire des recherches sur les RPT que dans 5 % des cas, et ce pour les raisons exposées ci-dessus. Grâce aux avantages qu’offre la solution proposée, l’utilisation d’ECRIS devrait augmenter considérablement. Si les États membres envoyaient systématiquement des demandes générales, il a été estimé que la charge administrative que représenterait la réponse à ces dernières serait l’aspect le plus coûteux (pouvant aller jusqu’à 78 millions d’EUR selon les estimations) des activités liées à l’ECRIS; la solution proposée permet d’économiser ces coûts. ·Droits fondamentaux L’article 6, paragraphe 1, du traité sur l’Union européenne dispose que l’Union reconnaît les droits, les libertés et les principes énoncés dans la charte des droits fondamentaux.

Les mesures proposées comprennent des dispositions destinées à accroître l’efficience de l’échange d’informations relatives aux ressortissants de pays tiers qui ont été condamnés. Ces dispositions sont conformes aux dispositions applicables de la charte, notamment en ce qui concerne la protection des données à caractère personnel, le principe d’égalité en droit et l’interdiction générale des discriminations. Les mesures proposées ne remettent pas en cause le droit au respect de la vie privée et familiale, le droit à un recours effectif et à accéder à un tribunal impartial ni la présomption d’innocence. De même, elles ne remettent pas en cause le respect du principe de non-refoulement, la protection en cas d’éloignement, d’expulsion ou d’extradition, ni les autres normes et garanties consacrées par le droit de l’Union en matière d’asile, de retour et de frontières. Les dispositions ne portent pas atteinte aux droits fondamentaux, y compris au droit à la protection des données à caractère personnel, au-delà de ce qui est strictement nécessaire pour atteindre l’objectif de la coopération judiciaire en matière pénale, conformément aux conditions posées à l’article 52, paragraphe 1, de la charte. La création d’un système centralisé contenant des données à caractère personnel au niveau de l’Union nécessite de compléter la proposition de directive de la Commission de 2016 par un acte législatif visant à réglementer sa création, la répartition des responsabilités entre l’État membre et l’organisation responsable de son développement et de sa gestion opérationnelle, ainsi que par toutes dispositions spécifiques en matière de protection des données qui sont nécessaires pour compléter les mesures existantes assurant la protection des données et pour garantir un niveau global approprié de protection et de sécurité des données. Les droits fondamentaux des personnes concernées doivent également être protégés. L’option retenue suppose le traitement des données à caractère personnel à la fois au niveau national et au niveau de l’UE. Par conséquent, les règles existantes en matière de protection des données appliquées pour l’actuel système ECRIS décentralisé au niveau des États membres doivent être complétées par des règles spécifiques régissant le traitement des données à caractère personnel au niveau de l’UE. Un régime complémentaire de protection des données – similaire à celui utilisé pour d’autres systèmes centralisés d’échange d’informations qui existent déjà au niveau de l’UE – doit par conséquent être mis en place; il doit être conforme au règlement (CE) n° 45/2001 [ou au règlement qui lui succède]. Le traitement des données à caractère personnel par eu-LISA est actuellement déjà couvert par le règlement (CE) n° 45/2001. En ce qui concerne la protection et la sécurité des données, il n’y a pas de différences significatives entre les différentes solutions possibles, même si l’option centrale retenue nécessite des règles claires et une délimitation des tâches entre les États membres et l’UE. Un régime de protection des données au niveau de l’UE peut offrir la même protection que les régimes nationaux pour les bases de données nationales. Les mesures de sécurité s’appuient sur une technologie qui a fait ses preuves et qui est déjà en place pour plusieurs grandes bases de données de l’UE, telles que le SIS, le VIS et Eurodac. Les États membres ont l’obligation de veiller à ce que les dispositions soient mises en œuvre dans le plein respect des droits et principes fondamentaux consacrés dans la charte, notamment en ce qui concerne leurs responsabilités en matière de collecte et d’utilisation des données. Ils doivent également veiller à ce que les personnes concernées aient un droit d’accès à leurs données, pour les faire rectifier, et à ce qu’il existe des moyens de recours effectifs pour permettre à ces personnes de contester les informations inexactes qui figureraient dans leur casier judiciaire, dans le plein respect des règles découlant du droit à un recours effectif, y compris en ce qui concerne l’accès à l’aide juridictionnelle et aux services d’interprétation et de traduction. Lorsqu’elle établira son rapport sur l’application des dispositions, la Commission évaluera également l’incidence des mesures proposées et de leur mise en œuvre sur les droits fondamentaux. Son appréciation comprendra une évaluation de leur effet sur les droits fondamentaux des ressortissants de pays tiers par rapport à leur effet sur ceux des ressortissants des États membres de l’UE. Dans son réexamen, la Commission accordera une attention particulière au caractère nécessaire et proportionné de l’utilisation des empreintes digitales et d’autres données biométriques et données d’identification à la lumière de l’expérience acquise et des outils et techniques utilisés pour prévenir le risque de concordances erronées. Toute proposition de révision ultérieure du système devra tenir compte du résultat de cette évaluation. La présente proposition ne porte nullement atteinte aux obligations incombant aux États membres en vertu de leur droit interne, notamment les dispositions relatives à l’enregistrement, dans le casier judiciaire national, des condamnations prononcées contre des mineurs et des enfants. De même, elle n’empêche pas l’application du droit constitutionnel des États membres ni des conventions internationales auxquelles ils sont parties, en particulier celles liées à la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, à laquelle tous les États membres sont parties. 4.INCIDENCE BUDGÉTAIRE L’enveloppe financière prévue pour la mise en œuvre du règlement est de 13 002 000 EUR pour l’Union européenne en ce qui concerne les coûts uniques. Elle est compatible avec l'actuel cadre financier pluriannuel et les coûts seront couverts par le programme «Justice» pour la période 2018-2020. À partir de 2021, les coûts seront réduits et stabilisés afin de couvrir les activités de maintenance. De plus amples détails figurent dans la fiche financière législative qui accompagne la présente proposition. La Commission envisage de confier la mise en œuvre et la maintenance du système ECRIS-TCN à l’agence eu-LISA. Des ressources humaines supplémentaires devront être octroyées à cette agence pour lui permettre de mener à bien ses activités. Cinq agents contractuels seront recrutés à partir de 2018 pour la phase de développement. 5.AUTRES ÉLÉMENTS ·Plans de mise en œuvre et modalités de suivi, d'évaluation et d'information Trois ans après le début de l’exploitation du système ECRIS-TCN et tous les quatre ans par la suite, la Commission procédera à une évaluation de son fonctionnement, y compris de son efficacité en ce qui concerne le renforcement de l’échange d’informations sur les RPT condamnés, ainsi que de toutes les questions techniques relatives à son efficience. En outre, elle réexaminera à ce stade si le système doit être développé pour y inclure d’autres données. Sur la base de cette évaluation, la Commission décidera du suivi éventuel à prévoir. La mise en œuvre du nouveau système sera supervisée en permanence tant par le conseil d’administration de l’agence eu-LISA que par le groupe d’experts ECRIS existant. Ce groupe continuera également de servir de lieu de discussion visant à établir de bonnes pratiques en matière d'échange d'informations sur les casiers judiciaires au niveau de l'UE, en particulier lorsque ces informations concernent des RPT condamnés. La Commission définira des indicateurs de suivi portant notamment sur le volume des échanges d’informations sur les casiers judiciaires de RPT rapporté au nombre de condamnations dont ont fait l’objet des RPT, ainsi que d’autres indicateurs de suivi pertinents. Des statistiques seront fournies régulièrement tant par les États membres que par eu-LISA, permettant ainsi d’assurer un suivi continu de l’évolution du système. ·Explication détaillée des différentes dispositions de la proposition L’article 1er énonce l’objet du règlement. Le système central ECRIS-TCN vise à permettre aux autorités compétentes de déterminer rapidement et de manière efficiente dans quel autre(s) État(s) membre(s) sont conservées des informations sur le casier judiciaire d’un ressortissant de pays tiers. L’article 2 définit le champ d’application du règlement. Le règlement s’applique au traitement des éléments d’identification des ressortissants de pays tiers, et non aux informations sur les condamnations régies par la décision-cadre 2009/315/JAI, telle que modifiée par la directive proposée par la Commission en 2016. Le système ECRIS-TCN devrait seulement traiter les éléments d’identification de ressortissants de pays tiers qui ont fait l’objet de décisions définitives émanant de juridictions pénales au sein de l’Union européenne afin d’obtenir des informations sur ces condamnations antérieures par l’intermédiaire du système européen d’information sur les casiers judiciaires mis en place par la décision-cadre 2009/315/JAI du Conseil.

L'article 3 contient une liste de définitions des termes employés dans le règlement. Si certaines définitions existent déjà dans l'acquis relatif à cette matière, d'autres notions sont définies ici pour la première fois. Une définition du terme «ressortissant d’un pays tiers» a été ajoutée pour préciser qu’aux fins du règlement, cette catégorie de personnes comprend les apatrides et les personnes dont la nationalité n’est pas connue de l’État membre de condamnation. Cette définition devrait être la même que celle utilisée dans la décision-cadre telle que modifiée par la directive proposée par la Commission en 2016. Aux fins de l’application du présent règlement, on entend par «autorités compétentes» les autorités centrales des États membres ainsi qu’Eurojust, Europol [et le Parquet européen]. L’article 4 décrit l’architecture technique du système ECRIS-TCN. L’infrastructure de communication à utiliser est le réseau de services télématiques transeuropéens sécurisés entre administrations (s-TESTA) ou toute nouvelle version de ce réseau. L’article indique également que le logiciel d’interface du nouveau système sera intégré à l’actuelle application de référence d’ECRIS afin de garantir une expérience d’utilisateur fluide et pratique. L’article 5 impose à l’État membre de condamnation de créer un enregistrement de données dans le système central ECRIS-TCN pour chaque RPT condamné dès que possible après l’inscription de la condamnation dans le casier judiciaire national. Le système ECRIS-TCN ne devrait contenir que les éléments d’identification des ressortissants de pays tiers ayant fait l’objet d’une condamnation par une juridiction pénale au sein de l’Union européenne. Ces éléments devraient inclure des données alphanumériques, des données dactyloscopiques conformément à la décision-cadre 2009/315/JAI telle que modifiée par la directive proposée par la Commission en 2016, et des images faciales, dans la mesure où elles sont enregistrées dans les bases de données nationales des États membres relatives aux casiers judiciaires. Afin de garantir l’efficacité maximale du système, cet article oblige également les États membres à créer, dans le système ECRIS-TCN, des enregistrements de données relatives à des condamnations qui ont été prononcées par le passé à l’encontre de ressortissants de pays tiers, c’est-à-dire avant l’entrée en vigueur du règlement. Conformément à l’article 25, les États membres doivent achever ce processus dans un délai de 24 mois après la date d’entrée en vigueur du règlement. Toutefois, les États membres ne sont pas obligés, à cette fin, de recueillir des informations qui ne figuraient pas dans les casiers judiciaires avant l’entrée en vigueur du règlement. L’article 6 porte sur l’utilisation d’images faciales. Pour l’instant, les images faciales incluses dans le système ECRIS-TCN ne peuvent être utilisées que pour confirmer l’identité d’un ressortissant de pays tiers. À l’avenir, il n’est pas exclu qu’à la suite de l’évolution des logiciels de reconnaissance faciale, les images faciales puissent être utilisées pour l’établissement automatisé de correspondances biométriques, pour autant que les exigences techniques à cet égard aient été respectées. L’article 7 définit les règles d’utilisation du système ECRIS-TCN aux fins de l’identification de l’État membre ou des États membres détenant des informations sur les casiers judiciaires afin d’obtenir des informations sur les condamnations antérieures par l’intermédiaire du système européen d’information sur les casiers judiciaires créé par la décision-cadre 2009/315/JAI du Conseil. Les limitations de la finalité prévues dans la décision-cadre telle que modifiée par la proposition de directive de 2016 s’appliqueront à tous les échanges d’informations sur les casiers judiciaires. L’article impose aux États membres d’utiliser le système ECRIS-TCN dans tous les cas pour lesquels ils reçoivent une demande d’information sur les condamnations antérieures de ressortissants de pays tiers conformément à la législation nationale, et d’assurer le suivi des résultats positifs avec les États membres identifiés au moyen du système ECRIS. Cette obligation devrait concerner tant les demandes d’information aux fins d’une procédure pénale que les demandes formulées à d’autres fins pertinentes. Un État membre qui souhaite identifier le ou les État(s) membre(s) détenant des informations sur le casier judiciaire d’un RPT déterminé peut le faire en procédant à une recherche fondée sur la concordance/non-concordance («hit/no hit») dans le système TCN central sur la base des données alphanumériques ou des empreintes digitales de ce RPT, en fonction de la disponibilité de ces données. En cas de résultat positif, le nom de l’État membre ou des États membres ayant fourni les données est communiqué, ainsi que les données de référence et toute autre donnée d’identification correspondante. Cela permettra aux États membres d’utiliser le système ECRIS existant pour vérifier l’identité des personnes concernées avant l’échange d’informations sur les casiers judiciaires. Un résultat positif signalé par le système ECRIS-TCN ne devrait pas signifier automatiquement que le ressortissant concerné d’un pays tiers a fait l’objet d’une condamnation dans l’État membre ou les États membres indiqué(s), ni que l’État membre ou les États membres en question détiennent des informations sur le casier judiciaire de ce ressortissant de pays tiers. L’existence de condamnations pénales antérieures doit uniquement être confirmée sur la base des informations provenant des casiers judiciaires des États membres concernés. L’article 8 concerne la durée de conservation des données stockées. Les dispositions nationales relatives à la durée de conservation dans les systèmes de casiers judiciaires et d’empreintes digitales varient considérablement d’un État membre à l'autre et la présente proposition ne vise pas à les harmoniser. Le principe bien établi selon lequel il convient de respecter les périodes de conservation définies par l’État membre de condamnation est également applicable en l’espèce en ce qui concerne les données transmises au système central. Après tout, tant que les données relatives aux condamnations sont conservées dans les casiers judiciaires des États membres, elles devraient également être accessibles aux autorités d’autres États membres. Cela signifie également que toutes les données concernant la personne condamnée devraient être conservées pendant cette période, même si les empreintes digitales provenant d’une autre base de données que le casier judiciaire ont déjà été effacées d’une base de données dactyloscopiques nationale. À l’inverse, même si les empreintes digitales sont conservées au niveau national, elles doivent être effacées du système central si toutes les informations sur les condamnations sont supprimées du casier judiciaire national. L’approche est la même pour les RPT condamnés que pour les condamnations de ressortissants de l’UE notifiées aux États membres de nationalité en vertu de la décision-cadre. L’article 9 oblige les États membres à vérifier l’exactitude des données transmises au système central et à les corriger si nécessaire, ainsi qu’à modifier les données transmises au système central en cas de modification ultérieure des casiers judiciaires nationaux. Ce raisonnement suit une fois de plus la logique de la décision-cadre en ce qui concerne les ressortissants de l’UE. L’article 10 confère des compétences d’exécution à la Commission afin de garantir des conditions uniformes pour le fonctionnement du système ECRIS-TCN. Ces compétences devraient être exercées en conformité avec le règlement (UE) nº 182/2011. La procédure de comitologie choisie est celle de l'examen. L’article 34 complète l’article 10 en ce qui concerne l’établissement de cette procédure. L’article 11 confie à eu-LISA la tâche de développer le système ECRIS-TCN et d’en assurer la gestion opérationnelle, étant donné son expérience dans la gestion d’autres systèmes centralisés de grande envergure dans le domaine de la justice et des affaires intérieures. L'agence eu-LISA est également chargée de développer l’application de référence d’ECRIS et d’en assurer la maintenance afin de garantir le bon fonctionnement du système ECRIS-TCN et du système ECRIS à proprement parler. L’application de référence permet l'utilisation des logiciels d’interconnexion prévus à l’article 3, paragraphe 1, point a), de la décision du Conseil relative à l’ECRIS. L’article 12 énumère les responsabilités des États membres en ce qui concerne le système ECRIS-TCN. Les États membres sont seuls responsables de leurs bases de données nationales relatives aux casiers judiciaires. L’article 13 traite de la responsabilité en matière d’utilisation des données. L’article 14 désigne Eurojust comme le point de contact des pays tiers et des organisations internationales qui souhaitent demander des informations relatives à la condamnation d’un RPT. L’objectif est d’éviter que les pays tiers et les organisations internationales doivent envoyer des demandes à plusieurs États membres. Il convient qu'Eurojust ne donne aucune information à l’État tiers ou à l’organisation internationale ayant formulé une demande, notamment aucune information concernant l’État membre ou les États membres de condamnation détenant les données relatives à la condamnation. L'agence devrait uniquement informer l’État ou les États membre(s) concerné(s) en cas de résultat positif. Il appartient aux États membres concernés de décider s’il y a lieu ou non de prendre contact avec l’État tiers ou l’organisation internationale concernée afin d’indiquer que des informations sur des condamnations antérieures prononcées à l’encontre du RPT concerné pourraient être fournies conformément à la législation nationale.

L’article 15 octroie un accès direct au système ECRIS-TCN à Eurojust, à Europol [et au Parquet européen] pour l’accomplissement de leurs missions statutaires. Toutefois, ces autorités compétentes ne devraient pas avoir accès à l’ECRIS pour demander les informations concernant les condamnations elles-mêmes, mais devraient recourir aux canaux établis avec les autorités nationales afin d’obtenir ces informations. Cette approche respecte les règles établies dans les instruments réglementaires relatifs à ces organismes en ce qui concerne leurs contacts avec les autorités des États membres. L’article 16 énumère les responsabilités d’Eurojust, d’Europol [et du Parquet européen] concernant le système ECRIS-TCN. L’article 17 régit la question de la sécurité des données. L’article 18 concerne la responsabilité des États membres à l'égard des particuliers ou d’autres États membres en cas de traitement illicite ou d'action incompatible avec les dispositions du présent règlement. Il y a lieu de définir, au niveau national, des règles concernant la responsabilité des États membres en cas de dommage résultant du non-respect du présent règlement. L’article 19 impose aux États membres de faire surveiller le respect du présent règlement à l’échelon national par leurs autorités centrales désignées. L’article 20 rend toute utilisation des données saisies dans le système ECRIS-TCN violant le présent règlement punissable en vertu du droit national. L’article 21 précise qui sont les responsables du traitement des données et le sous-traitant des données. L’article 22 limite les finalités du traitement de données à caractère personnel dans le système central à l’identification du ou des État(s) membre(s) détenant des informations sur les casiers judiciaires de RPT. L’article 23 donne aux ressortissants de pays tiers dont les données ont été saisies dans le système ECRIS-TCN le droit d’y accéder, de les corriger et de les faire supprimer lorsque cela est justifié par la loi. L’article 24 régit la coopération entre les autorités centrales et les autorités de contrôle afin de garantir les droits en matière de protection des données. L’article 25 concerne les recours juridiques dont disposent les ressortissants de pays tiers concernés. Les articles 26 et 27 fixent les règles régissant la surveillance exercée par les autorités de contrôle et le Contrôleur européen de la protection des données. L’article 28 régit la coopération entre eux. L’article 29 régit la question de la tenue de journaux par l’agence eu-LISA et les autorités compétentes. L’article 30 porte sur l’utilisation des données à des fins de notification et d’établissement de statistiques et charge l’agence eu-LISA d'élaborer les statistiques relatives au système ECRIS-TCN et à l’application de référence d’ECRIS. Il impose également aux États membres de fournir à l’agence eu-LISA les données statistiques nécessaires à l'élaboration de ses compilations et analyses statistiques et de fournir à la Commission des statistiques sur le nombre de RPT condamnés ainsi que sur le nombre de condamnations prononcées à l’encontre de RPT sur leur territoire. L’article 31 régit les coûts. Sans préjudice de la possibilité de recourir aux programmes financiers de l’Union conformément à la réglementation applicable, chaque État membre devrait supporter ses propres frais résultant de la mise en œuvre, de la gestion, de l’utilisation et de la maintenance de sa base de données relatives aux casiers judiciaires, ainsi que de la mise en œuvre, de la gestion, de l’utilisation et de la maintenance des adaptations techniques nécessaires pour pouvoir utiliser le système ECRIS-TCN. L’article 32 impose aux États membres de notifier le nom de leurs autorités centrales à l’agence eu-LISA et à l’agence eu-LISA de publier ces données. L’article 33 dispose que c’est la Commission qui détermine la date à laquelle le système ECRIS-TCN sera mis en service et énumère les conditions préalables à respecter pour cette mise en service. L’article 34 concerne les obligations d’eu-LISA et de la Commission en matière de présentation de rapports et d'évaluations. Trois ans après le début de l’exploitation du système ECRIS-TCN et tous les quatre ans par la suite, la Commission procédera à une évaluation de son fonctionnement, y compris de son efficacité en ce qui concerne le renforcement de l’échange d’informations sur les RPT condamnés, ainsi que de toutes les questions techniques relatives à son efficience. En outre, la Commission réexaminera à ce stade si le système doit être développé pour y inclure d’autres données. Sur la base de cette évaluation, la Commission décidera du suivi éventuel à prévoir. L’article 35 concerne la procédure de comitologie à utiliser, sur la base d’une disposition type. L’article 36 prévoit la création, par l’agence eu-LISA, d’un groupe consultatif qui contribuera au développement et à l’exploitation du système ECRIS-TCN et de l'application de référence d’ECRIS.

L’article 37 indique les modifications apportées au règlement (UE) n° 1077/2011 en ce qui concerne les nouvelles responsabilités et tâches de l’agence eu-LISA. L’article 38 impose aux États membres de mettre en œuvre le règlement au niveau national dans un délai de 24 mois après son entrée en vigueur. Les spécifications pour le développement et la mise en œuvre technique du système ECRIS-TCN seront définies dans les actes d’exécution. L'article 39 dispose que le règlement entrera en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.



2017/0144 (COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL portant création d’un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides, qui vise à compléter et à soutenir le système européen d’information sur les casiers judiciaires (système ECRIS-TCN), et modifiant le règlement (UE) n° 1077/2011



LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE, vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 82, paragraphe 1, point d), vu la proposition de la Commission européenne, après transmission du projet d'acte législatif aux parlements nationaux, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)L'Union s'est donné pour objectif d'offrir à ses citoyens un espace de liberté, de sécurité et de justice sans frontières intérieures, au sein duquel est assurée la libre circulation des personnes, assorti de mesures appropriées visant à prévenir et à combattre la criminalité. (2)Cet objectif impose que les informations relatives aux décisions de condamnation prononcées dans les États membres puissent être prises en compte en dehors de l'État membre de condamnation, tant à l’occasion d’une nouvelle procédure pénale, conformément à la décision-cadre 2008/675/JAI du Conseil, que pour prévenir de nouvelles infractions. (3)Cet objectif suppose des échanges d’informations extraites des casiers judiciaires entre les autorités compétentes des États membres. Ces échanges d’informations sont organisés et facilités par les règles énoncées dans la décision-cadre 2009/315/JAI du Conseil et par le système européen d’information sur les casiers judiciaires (ECRIS), créé par la décision 2009/316/JAI du Conseil. (4)Toutefois, le cadre juridique de l’ECRIS ne répond pas suffisamment aux particularités des demandes concernant des ressortissants de pays tiers. Bien qu’il soit désormais possible d'échanger des informations sur les ressortissants de pays tiers au moyen de l’ECRIS, il n’existe pas de procédure ni de mécanisme permettant de le faire de manière efficiente.

(5)Les informations relatives aux ressortissants de pays tiers ne sont pas rassemblées au sein de l’Union dans l’État membre de nationalité, comme cela est le cas pour les ressortissants des États membres, mais seulement conservées dans les États membres où les condamnations ont été prononcées. Il n'est donc possible d'avoir un aperçu complet des antécédents judiciaires d’un ressortissant de pays tiers qu'en demandant des informations à tous les États membres. (6)De telles demandes générales imposent une charge administrative à tous les États membres, y compris à ceux qui ne détiennent pas d'informations sur le ressortissant de pays tiers concerné. Dans la pratique, ce fardeau dissuade les États membres de demander des informations sur les ressortissants de pays tiers et a pour résultat que les États membres se contentent des informations sur les casiers judiciaires conservées dans leur registre national. (7)Pour remédier à ce problème, il convient de créer un système au moyen duquel l’autorité centrale d’un État membre peut déterminer rapidement et de manière efficiente dans quel(s) autre(s) État(s) membre(s) sont conservées des informations sur le casier judiciaire d’un ressortissant de pays tiers, de sorte que le cadre existant de l’ECRIS puisse ensuite être utilisé pour demander à cet État membre ou ces États membres des informations sur le casier judiciaire en question conformément à la décision-cadre 2009/315/JAI. (8)Il convient dès lors que le présent règlement définisse les règles relatives à la création, à l’échelle de l’Union, d’un système centralisé contenant des données à caractère personnel et à la répartition des responsabilités entre l’État membre et l’organisme responsable du développement et de la maintenance du système, et qu'il fixe toutes les dispositions spécifiques en matière de protection des données qui sont nécessaires pour compléter les mesures existantes en matière de protection des données et garantir un niveau global approprié de protection et de sécurité des données. Il y a également lieu de protéger les droits fondamentaux des personnes concernées. (9)L’Agence européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (eu-LISA), instituée par le règlement (UE) n° 1077/2011 du Parlement européen et du Conseil pour identifier l’État membre ou les États membres détenant des informations sur les condamnations antérieures de ressortissants de pays tiers (système «ECRIS-TCN»), devrait être chargée de développer et d’exploiter le nouveau système centralisé ECRIS-TCN, compte tenu de son expérience dans la gestion d’autres systèmes d’information à grande échelle dans le domaine de la justice et des affaires intérieures. Son mandat devrait être modifié pour refléter ces nouvelles tâches. (10)Compte tenu de la nécessité de créer des liens techniques étroits entre le système ECRIS-TCN et le système ECRIS actuel, eu-LISA devrait également être chargée de développer davantage l’application de référence d’ECRIS et d’en assurer la maintenance. Son mandat devrait être modifié en conséquence. (11)Le système ECRIS-TCN devrait contenir uniquement les éléments d’identification des ressortissants de pays tiers ayant été condamnés par une juridiction pénale au sein de l’Union européenne. Ces éléments devraient inclure des données alphanumériques, des données dactyloscopiques conformément à la décision-cadre 2009/315/JAI et des images faciales, dans la mesure où elles sont enregistrées dans les bases de données nationales des États membres relatives aux casiers judiciaires. (12)Dans le cas où il existe une concordance entre les données enregistrées dans le système central et celles utilisées par un État membre pour effectuer une recherche (résultat positif), les éléments d’identification pour lequel un résultat positif a été trouvé sont fournis en même temps que ce résultat. Ces éléments devraient servir uniquement à confirmer l’identité du ressortissant concerné d’un pays tiers. Il peut par exemple s'agir de pseudonymes de ressortissants de pays tiers enregistrés dans la base de données nationale relatives aux casiers judiciaires des États membres interrogeant le système central. (13)Dans un premier temps, les images faciales introduites dans le système ECRIS-TCN ne devraient être utilisées qu’aux fins de la vérification de l’identité d'un ressortissant de pays tiers. À terme, il est possible qu’à la suite de l’évolution des logiciels de reconnaissance faciale, les images faciales puissent être utilisées pour l’établissement automatisé de correspondances biométriques, pour autant que les exigences techniques à cet égard aient été respectées. (14)L’utilisation de la biométrie est nécessaire, car il s'agit de la méthode la plus fiable pour identifier les ressortissants de pays tiers sur le territoire des États membres - qui n’ont souvent pas de documents ni d’autre moyen d’identification à leur disposition - et pour recouper de manière plus fiable les données de ressortissants de pays tiers. (15)Il y a lieu que les États membres créent, dans le système ECRIS-TCN, un enregistrement de données concernant les ressortissants de pays tiers condamnés dès que possible après l’inscription de la condamnation dans le casier judiciaire national. (16)Il convient aussi que les États membres créent des enregistrements dans le système ECRIS-TCN au sujet des ressortissants de pays tiers condamnés avant l’entrée en vigueur du règlement, afin de garantir l’efficacité maximale du système. Toutefois, les États membres ne devraient pas être obligés, à cette fin, de recueillir des informations qui ne figuraient pas dans leurs casiers judiciaires avant l’entrée en vigueur du présent règlement. (17)L’amélioration de la diffusion des informations sur les condamnations pénales devrait aider les États membres à mettre en œuvre la décision-cadre 2008/675/JAI, qui oblige les États membres à prendre en compte les condamnations antérieures à l’occasion d’une nouvelle procédure pénale. (18)Il y a lieu d'obliger les États membres à utiliser le système ECRIS-TCN chaque fois qu’ils reçoivent une demande d’information sur les condamnations antérieures de ressortissants de pays tiers conformément à la législation nationale et à assurer le suivi des résultats positifs avec les États membres identifiés au moyen du système ECRIS. Il convient de ne pas limiter cette obligation aux seules demandes formulées dans le cadre d’enquêtes pénales. (19)Un résultat positif signalé par le système ECRIS-TCN ne devrait pas signifier nécessairement que le ressortissant concerné d’un pays tiers a fait l’objet d’une condamnation dans l’État membre ou les États membres indiqué(s), ni que l’État membre ou les États membres en question détiennent des informations sur le casier judiciaire de ce ressortissant de pays tiers. L’existence de condamnations antérieures devrait être confirmée uniquement sur la base des informations provenant des casiers judiciaires des États membres concernés. (20)Sans préjudice de la possibilité de recourir aux programmes financiers de l’Union conformément à la réglementation applicable, chaque État membre devrait supporter ses propres frais résultant de la mise en œuvre, de la gestion, de l’utilisation et de la maintenance de sa base de données relative aux casiers judiciaires et de ses bases de données dactyloscopiques nationales, ainsi que de la mise en œuvre, de la gestion, de l’utilisation et de la maintenance des adaptations techniques nécessaires pour pouvoir utiliser le système ECRIS-TCN, y compris les connexions au point d'accès central national. (21)L’Agence de l’Union européenne pour la coopération des services répressifs (Europol), instituée par le règlement (UE) 2016/794 du Parlement européen et du Conseil, ainsi qu’Eurojust, institué par la décision 2002/187/JAI du Conseil, [et le Parquet européen, institué par le règlement (UE) n°.../...] devraient avoir accès au système ECRIS-TCN pour identifier l’État membre ou les États membres détenant des informations sur le casier judiciaire d’un ressortissant de pays tiers, aux fins de l'accomplissement de leurs missions statutaires. (22)Le présent règlement établit des règles d’accès strictes au système ECRIS-TCN ainsi que les garanties nécessaires, y compris en ce qui concerne la responsabilité des États membres en matière de collecte et d’utilisation des données. Il indique également que les personnes physiques doivent bénéficier d’un droit à indemnisation ainsi que de droits d’accès, de rectification, d’effacement et de recours, en particulier du droit à un recours effectif, et que la surveillance des opérations de traitement doit être assurée par des autorités publiques indépendantes. Il respecte dès lors les libertés et les droits fondamentaux, tout comme les principes reconnus, en particulier, par la charte des droits fondamentaux de l’Union européenne, tels que le droit à la protection des données à caractère personnel, le principe de l’égalité en droit et l’interdiction générale de toute discrimination. (23)La directive (UE) 2016/680 du Parlement européen et du Conseil devrait s'appliquer au traitement des données à caractère personnel par les autorités nationales compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Le règlement (UE) 2016/679 du Parlement européen et du Conseil devrait s’appliquer au traitement des données à caractère personnel par les autorités nationales, pour autant que les dispositions nationales transposant la directive (UE) 2016/680 ne soient pas applicables. Il convient d’assurer une surveillance coordonnée, conformément à l’article 62 du [nouveau règlement sur la protection des données concernant les institutions et les organes de l’Union]. (24)Il y a lieu de définir des règles concernant la responsabilité des États membres en cas de dommage résultant du non-respect du présent règlement.

(25)Étant donné que l'objectif du présent règlement, à savoir permettre l’échange rapide et efficient d'informations sur les casiers judiciaires de ressortissants de pays tiers, ne peut pas être atteint de manière suffisante par les États membres mais peut, en raison de la synergie et de l'interopérabilité nécessaires, l’être mieux au niveau de l’Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l’article 5 du traité sur l’Union européenne. Conformément au principe de proportionnalité tel qu’énoncé audit article, le présent règlement n’excède pas ce qui est nécessaire pour atteindre cet objectif. (26)Afin d'assurer des conditions uniformes pour la création et la gestion opérationnelle du système ECRIS-TCN, des compétences d’exécution devraient être conférées à la Commission. Ces compétences devraient être exercées conformément au règlement (UE) nº 182/2011 du Parlement européen et du Conseil. (27)Conformément aux articles 1er et 2 du protocole n° 22 sur la position du Danemark, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, cet État ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application. (28)Conformément aux articles 1er et 2 ainsi qu’à l’article 4 bis, paragraphe 1, du protocole nº 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, et sans préjudice de l’article 4 dudit protocole, ces États membres ne participent pas à l’adoption de la présente directive et ne sont pas liés par celle-ci ni soumis à son application. [ou] Conformément à l’article 3 et à l’article 4 bis, paragraphe 1, du protocole nº 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, ces États membres ont notifié leur souhait de participer à l’adoption et à l’application de la présente directive. (29)Étant donné que le Royaume-Uni a notifié, le 29 mars 2017, son intention de quitter l'Union, conformément à l'article 50 du traité sur l'Union européenne, les traités cesseront de s'appliquer au Royaume-Uni à partir de la date d'entrée en vigueur de l'accord de retrait ou, à défaut, deux ans après la notification, sauf si le Conseil européen, en accord avec le Royaume-Uni, décide de proroger ce délai. En conséquence, et sans préjudice des dispositions de l’accord de retrait, la description précitée de la participation du Royaume-Uni à la proposition ne s’applique que jusqu’à ce que le Royaume-Uni cesse d’être un État membre. (30)Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2, du règlement (CE) n° 45/2001 du Parlement européen et du Conseil et a rendu un avis le …, ONT ADOPTÉ LE PRÉSENT RÈGLEMENT: CHAPITRE PREMIER

Dispositions générales Article premier

Objet Le présent règlement: (a)crée un système permettant d’identifier le ou les États membres détenant des informations sur les condamnations antérieures prononcées à l’encontre de ressortissants de pays tiers (le «système ECRIS-TCN»); (b)fixe les conditions dans lesquelles le système ECRIS-TCN est utilisé par les autorités compétentes pour obtenir des informations sur ces condamnations antérieures au moyen du système européen d'information sur les casiers judiciaires (ECRIS) créé par la décision 2009/316/JAI. Article 2

Champ d'application Le présent règlement s’applique au traitement des données d'identification des ressortissants de pays tiers qui ont fait l’objet de décisions définitives rendues à leur encontre par des juridictions pénales des États membres, aux fins d’identifier le ou les États membres dans lesquels ces décisions ont été prononcées. Article 3

Définitions Aux fins du présent règlement, on entend par: (a)«condamnation»: toute décision définitive d'une juridiction pénale rendue à l'encontre d'une personne physique en raison d'une infraction pénale, pour autant que cette décision soit inscrite dans le casier judiciaire de l'État membre de condamnation; (b)«procédure pénale»: la phase préalable au procès pénal, le procès pénal lui-même et la phase d'exécution de la condamnation;

(c)«casier judiciaire»: le registre national ou les registres nationaux regroupant les condamnations conformément au droit national; (d)«État membre de condamnation», l’État membre dans lequel une condamnation est prononcée; (e)«autorité centrale»: l’autorité ou les autorités désignées conformément à l’article 3, paragraphe 1, de la décision-cadre 2009/315/JAI; (f)«autorités compétentes»: les autorités centrales et les organes de l’Union compétents pour accéder au système ECRIS-TCN en vertu du présent règlement; (g)«ressortissant de pays tiers», tout ressortissant d’un pays autre qu’un État membre, que cette personne ait ou non la nationalité d’un État membre, ou un apatride ou une personne dont la nationalité n’est pas connue de l'État membre de condamnation; (h)«système central»: la ou les bases de données contenant les données d’identification des ressortissants de pays tiers qui ont fait l’objet de décisions définitives rendues à leur encontre par des juridictions pénales des États membres; le développement et la maintenance de ce système sont assurés par eu-LISA; (i)«logiciel d’interface»: le logiciel hébergé par les autorités compétentes qui leur permet d’accéder au système central au moyen de l’infrastructure de communication visée à l’article 4; (j)«identification»: le processus consistant à déterminer l’identité d’une personne par interrogation d’une base de données et comparaison avec plusieurs séries de données; (k)«données alphanumériques»: les données représentées par des lettres, des chiffres, des caractères spéciaux, des espaces et des signes de ponctuation; (l)«données dactyloscopiques»: les données relatives aux impressions simultanées et roulées des empreintes digitales des dix doigts; (m)«image faciale»: une image numérique du visage d'une personne; (n)«résultat positif»: une ou des concordances constatées en comparant les données enregistrées dans le système central et celles utilisées par un État membre pour effectuer la recherche; (o)«point d'accès central national»: le point national de connexion à l’infrastructure de communication visée à l’article 4; (p)«l’application de référence d’ECRIS»: le logiciel développé par la Commission et mis à la disposition des États membres pour les échanges d’informations sur les casiers judiciaires au moyen d’ECRIS. Article 4

Architecture technique du système ECRIS-TCN 1.Le système ECRIS-TCN se compose des éléments suivants: (a)un système central au sein duquel sont conservées les données d’identification des ressortissants de pays tiers condamnés; (b)un point d'accès central national dans chaque État membre; (c)un logiciel d’interface permettant aux autorités centrales de se connecter au système central, par l'intermédiaire du point d'accès central national et de l’infrastructure de communication; (d)une infrastructure de communication entre le système central et le point d’accès central national.

2.Le système central est hébergé par eu-LISA sur ses deux sites techniques. 3.Le logiciel d’interface est compatible avec l’application de référence d’ECRIS. Les États membres utilisent cette dernière pour interroger le système ECRIS-TCN, ainsi que pour envoyer les demandes ultérieures d’informations sur les casiers judiciaires. CHAPITRE II

Saisie et utilisation des données par les autorités centrales Article 5

Saisie des données dans le système ECRIS-TCN 1.Pour chaque ressortissant de pays tiers condamné, l’autorité centrale de l’État membre de condamnation crée un enregistrement de données dans le système central. Cet enregistrement contient les données suivantes: (e) le nom de famille; le ou les prénoms; la date et le lieu de naissance (ville et pays); la ou les nationalités; le sexe; le nom des parents; s’il y a lieu, les nom et prénoms précédents, le ou les pseudonymes et/ou noms d’emprunt; le code de l’État membre de condamnation; (f)les données dactyloscopiques, conformément à la décision-cadre 2009/315/JAI et aux spécifications concernant la résolution et l’utilisation des empreintes digitales prévues à l’article 10, paragraphe 1, point b); le numéro de référence des données dactyloscopiques de la personne condamnée incluant le code de l’État membre de condamnation. 2.L’enregistrement de données peut également contenir des images faciales du ressortissant de pays tiers condamné. 3.L’État membre de condamnation crée l’enregistrement de données dès que possible après l’inscription de la condamnation dans le casier judiciaire national. 4.Les États membres de condamnation créent des enregistrements de données également pour les condamnations prononcées avant le [date d’entrée en vigueur du présent règlement], dès lors que ces données sont conservées dans leurs casiers judiciaires nationaux ou leur base de données dactyloscopiques. Article 6

Règles spécifiques applicables aux images faciales 1.Les images faciales mentionnées à l’article 5, paragraphe 2, ne sont utilisées que pour confirmer l’identité d’un ressortissant de pays tiers identifié à la suite d’une consultation alphanumérique ou d’une recherche sur la base des empreintes digitales. 2.Dès que cela est possible d'un point de vue technique, les images faciales peuvent aussi être utilisées pour identifier un ressortissant de pays tiers sur la base de ces identificateurs biométriques. Avant l'introduction de cette fonctionnalité dans le système ECRIS-TCN, la Commission présente un rapport précisant si la technique requise est disponible et prête à être employée et consulte le Parlement européen sur ce rapport. Article 7

Utilisation du système ECRIS-TCN pour identifier le ou les États membres détenant des informations sur le casier judiciaire 1.Lorsque des informations sur le casier judiciaire d’un ressortissant de pays tiers sont demandées dans un État membre aux fins d’une procédure pénale à l’encontre de cette personne ou à des fins autres qu'une procédure pénale conformément à la législation nationale, l’autorité centrale de cet État membre utilise le système ECRIS-TCN pour identifier le ou les États membres détenant des informations sur le casier judiciaire de la personne en question afin d’obtenir des informations sur ses condamnations précédentes par l’intermédiaire du système ECRIS. 2.Europol, Eurojust [et le Parquet européen] ont accès au système ECRIS-TCN pour identifier le ou les États membres détenant des informations sur le casier judiciaire d'un ressortissant de pays tiers conformément aux articles 14, 15 et 16. 3.Les autorités compétentes peuvent interroger le système ECRIS-TCN en utilisant les données énumérées à l’article 5, paragraphe 1. 4.Les autorités compétentes peuvent également interroger le système ECRIS-TCN sur la base des images faciales mentionnées à l’article 5, paragraphe 2, pour autant que cette fonctionnalité soit introduite conformément à l’article 6, paragraphe 2. 5.En cas de résultat positif, le système central indique automatiquement à l’autorité compétente le ou les États membres détenant des informations sur le casier judiciaire du ressortissant de pays tiers concerné, ainsi que le ou les numéros de référence associés et toute donnée d’identification correspondante. Ces données d’identification ne sont utilisées qu’à des fins de vérification de l’identité du ressortissant de pays tiers concerné. 6.Si le système central ne détecte aucun résultat positif, il en informe automatiquement l’autorité compétente.

CHAPITRE III

Conservation et modification des données Article 8

Durée de conservation des données stockées 1.Chaque enregistrement de données individuel est conservé dans le système central tant que les données relatives aux condamnations de la personne concernée sont conservées dans le casier judiciaire national. 2.À l’expiration de la durée de conservation prévue au paragraphe 1, l’autorité centrale de l’État membre de condamnation procède à l’effacement de l’enregistrement de données individuel du système central sans délai, et en tout état de cause au plus tard un mois après l’expiration de la durée de conservation. Article 9

Modification et effacement de données 1.Les États membres ont le droit de modifier ou d’effacer les données qu’ils ont introduites dans le système ECRIS-TCN. 2.Toute modification ultérieure, dans le casier judiciaire national, des informations ayant conduit à la création d’un enregistrement de données conformément à l’article 5 entraîne une modification identique, par l’État membre de condamnation, des informations conservées dans l’enregistrement de données en question dans le système central. 3.Si un État membre a des raisons de penser que les données qu’il a enregistrées dans le système central sont erronées ou que leur traitement dans le système central est contraire au présent règlement, il vérifie les données en question et, si nécessaire, procède sans délai à leur modification ou à leur effacement du système central. 4.Si un État membre autre que celui qui a saisi les données a des raisons de penser que les données enregistrées dans le système central sont erronées ou que leur traitement dans le système central est contraire au présent règlement, il prend contact, sans délai, avec l’autorité centrale de l’État membre de condamnation. L'État membre de condamnation vérifie l'exactitude des données ainsi que la licéité de leur traitement dans un délai d'un mois. CHAPITRE IV

Développement, fonctionnement et responsabilités Article 10

Adoption d’actes d’exécution par la Commission 1.La Commission adopte les actes nécessaires au développement et à la mise en œuvre technique du système ECRIS-TCN et arrête en particulier les règles concernant: (g)les spécifications techniques pour le traitement des données alphanumériques; (h)les spécifications techniques pour la résolution et le traitement des empreintes digitales dans le système ECRIS-TCN; (i)les spécifications techniques du logiciel d’interface prévu à l'article 4, paragraphe 1, point c); (j)les spécifications techniques pour le traitement des images faciales; (k)la qualité des données, y compris un dispositif et des procédures de contrôle de la qualité des données; (l)la saisie des données conformément à l’article 5; (m)la consultation des données conformément à l’article 7;

(n)la modification et l’effacement des données conformément aux articles 8 et 9; (o)l’établissement des journaux et l’accès à ceux-ci, conformément à l’article 29; (p)la mise à disposition de statistiques, conformément à l’article 30; (q)les exigences en matière de performance et de disponibilité du système ECRIS-TCN. 2.Les actes d'exécution prévus au paragraphe 1 sont adoptés conformément à la procédure d'examen prévue à l'article 35, paragraphe 2. Article 11

Développement et gestion opérationnelle 1.eu-LISA est responsable du développement et de la gestion opérationnelle du système ECRIS-TCN. Le développement consiste en l’élaboration et la mise en œuvre des spécifications techniques, en la réalisation d’essais et en la coordination générale du projet. 2.eu-LISA est également responsable de la poursuite du développement et de la maintenance de l’application de référence d’ECRIS. 3.eu-LISA définit la conception de l’architecture matérielle du système ECRIS-TCN, notamment ses spécifications techniques et leur évolution en ce qui concerne le système central prévu à l’article 4, paragraphe 1, point a), le point d'accès central national prévu à l’article 4, paragraphe 1, point b), et le logiciel d’interface prévu à l’article 4, paragraphe 1, point c). Cette conception est adoptée par son conseil d’administration, sous réserve de l’avis favorable de la Commission. 4.eu-LISA développe et met en place le système ECRIS-TCN avant le [deux ans après la date d’entrée en vigueur du présent règlement] et après l’adoption par la Commission des mesures prévues à l’article 10. 5.Avant la phase de conception et de développement, un conseil de gestion du programme, composé d’un maximum de dix membres, est créé par le conseil d’administration d’eu-LISA. Il est constitué de huit représentants désignés par le conseil d’administration, du président du groupe consultatif sur le système ECRIS-TCN prévu à l’article 36 et d’un membre désigné par la Commission. Les membres désignés par le conseil d’administration sont issus exclusivement des États membres qui sont pleinement liés, en vertu du droit de l’Union, par les instruments législatifs régissant le système ECRIS et qui participeront au système ECRIS-TCN. Le conseil d’administration veille à ce que les représentants qu’il désigne disposent de l’expérience et de l’expertise nécessaires en matière de développement et de gestion des systèmes informatiques utilisés par les autorités judiciaires et celles gérant les casiers judiciaires. Le conseil de gestion du programme se réunit au moins une fois tous les trois mois, et plus souvent si nécessaire. Il veille à la bonne gestion de la phase de conception et de développement du système ECRIS-TCN. Le conseil de gestion du programme présente chaque mois au conseil d’administration d’eu-LISA un rapport écrit sur l’état d’avancement du projet. Il n’a aucun pouvoir décisionnel ni aucun mandat lui permettant de représenter les membres du conseil d’administration. 6.Le conseil de gestion du programme définit son règlement intérieur, qui comprend notamment des règles sur: (r)la présidence; (s)les lieux de réunion; (t)la préparation des réunions; (u)l’admission d’experts aux réunions; (v)des plans de communication assurant l’information exhaustive des membres du conseil d’administration non participants. 7.La présidence est exercée par l’État membre qui exerce la présidence du Conseil de l’Union européenne, à condition que cet État membre soit pleinement lié, en vertu du droit de l’Union, par les instruments législatifs régissant le système ECRIS et qu’il participe au système ECRIS-TCN. Si ce critère n’est pas rempli, la présidence est exercée par l’État membre qui exercera la présidence de l’UE suivante et qui répond à ce critère. 8.Tous les frais de voyage et de séjour exposés par les membres du conseil de gestion du programme sont pris en charge par l’Agence et l’article 10 du règlement intérieur d’eu-LISA s’applique mutatis mutandis. Le secrétariat du conseil de gestion du programme est assuré par l’eu-LISA. 9.Pendant la phase de conception et de développement, le groupe consultatif sur le système ECRIS-TCN prévu à l’article 36 se compose des gestionnaires de projets nationaux du système ECRIS-TCN. Pendant la phase de conception et de développement, il se réunit au moins une fois par mois jusqu’à la mise en service du système ECRIS-TCN. Après chaque réunion, il rend compte au conseil d’administration d’eu-LISA. Il fournit l’expertise technique nécessaire à l’appui des tâches du conseil d’administration et suit l'état de préparation des États membres.

10.eu-LISA veille, en coopération avec les États membres, à l’utilisation permanente de la meilleure technologie disponible, sous réserve d’une analyse coûts/avantages. 11.eu-LISA est également responsable des tâches suivantes, liées à l'infrastructure de communication prévue à l’article 4, paragraphe1, point d): (w)la supervision; (x)la sécurité; (y)la coordination des relations entre les États membres et le fournisseur. 12.La Commission est chargée de toutes les autres tâches liées à l'infrastructure de communication, en particulier: (``)les tâches relatives à l’exécution du budget; (aa)l’acquisition et le renouvellement; (bb)les questions contractuelles. 13.eu-LISA élabore et gère un dispositif et des procédures de contrôle de la qualité des données dans le système ECRIS-TCN et présente des rapports aux États membres à intervalles réguliers. Elle présente à la Commission, à intervalles réguliers, un rapport indiquant les problèmes rencontrés et les États membres concernés. 14.La gestion opérationnelle du système ECRIS-TCN comprend toutes les tâches nécessaires au fonctionnement du système conformément au présent règlement, en particulier les travaux de maintenance et les perfectionnements techniques indispensables pour que le système fonctionne à un niveau satisfaisant de qualité opérationnelle, conformément aux spécifications techniques. 15.eu-LISA s’acquitte des tâches liées à la fourniture d’une formation relative à l’utilisation technique du système ECRIS-TCN et de l’application de référence d’ECRIS. 16.Sans préjudice de l’article 17 du statut des fonctionnaires de l’Union européenne, eu-LISA applique des règles appropriées en matière de secret professionnel ou impose des obligations de confidentialité équivalentes à tous les membres de son personnel appelés à travailler avec les données enregistrées dans le système central. Cette obligation continue de s’appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après la cessation de leur activité. Article 12

Responsabilités des États membres 1.Chaque État membre est responsable: (cc)de l’établissement d’une connexion sûre entre ses bases de données relatives aux casiers judiciaires, ses bases de données d'empreintes digitales et son point d’accès central national; (dd)du développement, du fonctionnement et de la maintenance de la connexion visée au point a); (ee)de l’établissement d’une connexion entre ses systèmes nationaux et l’application de référence d’ECRIS; (ff)de la gestion et des modalités de l’accès au système ECRIS-TCN dont bénéficie le personnel dûment autorisé des autorités centrales, conformément au présent règlement, ainsi que de l’établissement d’une liste de ce personnel et de ses profils et de la mise à jour régulière de cette liste. 2.Chaque État membre veille à ce que le personnel de ses autorités ayant un droit d’accès au système ECRIS-TCN reçoive, avant d’être autorisé à traiter des données stockées dans le système central, une formation appropriée, en particulier en ce qui concerne les règles en matière de sécurité et de protection des données ainsi que les droits fondamentaux pertinents.

Article 13 Responsabilité en matière d'utilisation des données 1.Conformément à la directive (UE) 2016/680, chaque État membre veille à ce que les données saisies dans le système ECRIS-TCN soient traitées de manière licite, et en particulier à ce que: (gg)seul le personnel dûment autorisé ait accès aux données pour l’accomplissement de ses tâches; (hh)les données soient collectées de manière licite et dans le plein respect de la dignité humaine du ressortissant de pays tiers concerné; (ii)les données soient introduites de manière licite dans le système ECRIS-TCN; (jj)les données soient exactes et à jour lors de leur introduction dans le système ECRIS-TCN. 2.eu-LISA veille à ce que le système ECRIS-TCN soit utilisé conformément au présent règlement et aux actes d’exécution visés à l’article 10, ainsi qu’au règlement (CE) n° 45/2001 [ou au règlement qui lui succède]. En particulier, eu-LISA prend les mesures nécessaires pour assurer la sécurité du système central et de l’infrastructure de communication entre le système central et le point d’accès central national, sans préjudice des responsabilités incombant à chaque État membre. 3.eu-LISA informe le Parlement européen, le Conseil et la Commission, ainsi que le Contrôleur européen de la protection des données, des mesures qu’elle prend, en vertu du paragraphe 2, en vue de la mise en service du système ECRIS-TCN. 4.La Commission met les informations mentionnées au paragraphe 3 à la disposition des États membres et du public, par l’intermédiaire d’un site web public régulièrement actualisé. Article 14

Point de contact pour les pays tiers et les organisations internationales 1.Les pays tiers et les organisations internationales peuvent adresser leurs demandes d’information sur les condamnations antérieures de ressortissants de pays tiers à Eurojust. 2.Lorsqu’une demande visée au paragraphe 1 lui est adressée, Eurojust utilise le système ECRIS-TCN pour identifier le ou les États membres détenant des informations sur le ressortissant de pays tiers concerné, et, lorsqu’un ou plusieurs États membres sont identifiés, transmet la demande immédiatement à leurs autorités centrales. Les États membres concernés sont responsables de la suite du traitement de ces demandes, conformément à leur droit national. 3.Ni Eurojust, ni Europol, [ni le Parquet européen,] ni aucune autorité centrale d’un État membre ne peut transférer à un pays tiers, à une organisation internationale ou à une entité privée, ni mettre à leur disposition, des informations obtenues du système ECRIS-TCN concernant les condamnations antérieures d’un ressortissant de pays tiers ou des informations sur le ou les États membres qui pourraient détenir de telles informations. Article 15

Droit d'accès d’Eurojust, d’Europol [et du Parquet européen] 1.Eurojust dispose d’un accès direct au système ECRIS-TCN aux fins de la mise en œuvre de l’article 14, ainsi que de l’accomplissement de ses missions statutaires. 2.Europol [et le Parquet européen] dispose[nt] d’un accès direct au système ECRISTCN aux fins de l’accomplissement de ses [leurs] missions statutaires. 3.À la suite d'un résultat positif indiquant le ou les États membres détenant des informations sur le casier judiciaire d’un ressortissant de pays tiers, Eurojust, Europol [et le Parquet européen] peuvent utiliser les contacts qu’ils ont établis avec les autorités nationales de ces États membres conformément à leurs instruments juridiques constitutifs respectifs pour demander les informations sur les condamnations. 4.Chacun des organes visés au présent article est responsable de la gestion et des modalités de l’accès au système ECRIS-TCN du personnel dûment autorisé, conformément au présent règlement, ainsi que de l’établissement d’une liste de ce personnel et de ses qualifications et de la mise à jour régulière de cette liste.

Article 16

Responsabilités d’Eurojust, d’Europol [et du Parquet européen] 1.Europol, Eurojust [et le Parquet européen] mettent en place les moyens techniques permettant la connexion au système ECRIS-TCN et sont chargés du maintien de cette connexion. 2.Les organes visés au paragraphe 1 veillent à ce que les membres de leur personnel ayant un droit d’accès au système ECRIS-TCN reçoivent, avant d’être autorisés à traiter des données stockées dans le système central, une formation appropriée, en particulier en ce qui concerne les règles en matière de sécurité et de protection des données ainsi que les droits fondamentaux pertinents. 3.Les organes visés au paragraphe 1 veillent à ce que les données à caractère personnel traitées par ce personnel en vertu du présent règlement soient protégées conformément aux dispositions applicables en matière de protection des données. Article 17

Sécurité des données 1.eu-LISA prend les mesures nécessaires pour assurer la sécurité du système ECRISTCN, sans préjudice des responsabilités incombant à chaque État membre, en tenant compte des mesures de sécurité prévues au paragraphe 3. 2.En ce qui concerne le fonctionnement du système ECRIS-TCN, eu-LISA prend les mesures nécessaires à la réalisation des objectifs fixés au paragraphe 3, y compris l’adoption d’un plan de sécurité, d’un plan de continuité des activités et d’un plan de rétablissement après sinistre. 3.Les États membres assurent la sécurité des données avant et pendant leur transmission au point d’accès central national et leur réception depuis ce même point d'accès central. En particulier, chaque État membre veille à: (kk)assurer la protection physique des données, notamment en élaborant des plans d’urgence pour la protection des infrastructures critiques; (ll)empêcher l’accès de toute personne non autorisée aux installations nationales dans lesquelles sont effectuées les opérations qui incombent à l’État membre en lien avec le système ECRIS-TCN; (mm)empêcher toute lecture, copie, modification ou suppression non autorisées de supports de données; (nn)empêcher l’introduction non autorisée de données et le contrôle, la modification ou l’effacement non autorisés de données à caractère personnel stockées; (oo)empêcher le traitement non autorisé de données dans le système ECRIS-TCN ainsi que toute modification ou tout effacement non autorisés de données traitées dans le système ECRIS-TCN; (pp)garantir que les personnes autorisées à avoir accès au système ECRIS-TCN n’aient accès qu’aux données couvertes par leur autorisation d’accès, uniquement grâce à l’attribution d’identifiants individuels et à des modes d’accès confidentiels; (qq)faire en sorte que toutes les autorités ayant un droit d’accès au système ECRIS-TCN créent des profils décrivant les fonctions et les responsabilités des personnes autorisées à saisir les données, à les modifier, à les effacer, à les consulter et à y faire des recherches, et qu’elles communiquent sans délai ces profils aux autorités de contrôle nationales visées à l’article 25, lorsque ces dernières en font la demande; (rr)garantir la possibilité de vérifier et de déterminer à quelles autorités les données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données; (ss)garantir la possibilité de vérifier et d’établir quelles données ont été traitées dans le système ECRIS-TCN, à quel moment, par qui et dans quel but; (tt)empêcher toute lecture, copie, modification ou tout effacement non autorisés de données à caractère personnel pendant leur transmission à partir du système ECRIS-TCN ou vers celui-ci, ou durant le transport de supports de données, en particulier par des techniques de cryptage adaptées; (uu)contrôler l’efficacité des mesures de sécurité prévues au présent paragraphe et prendre les mesures organisationnelles nécessaires en matière d’autosurveillance pour assurer le respect du présent règlement.

Article 18

Responsabilité 1.Toute personne ou tout État membre ayant subi un dommage du fait d’un traitement illicite ou de toute action incompatible avec les dispositions du présent règlement a le droit d’obtenir réparation de l’État membre responsable du dommage subi. Cet État est exonéré partiellement ou totalement de sa responsabilité s’il prouve que le fait générateur du dommage ne lui est pas imputable. 2.Si le non-respect, par un État membre, des obligations qui lui incombent en vertu du présent règlement cause un dommage au système ECRIS-TCN, cet État membre en est tenu responsable, sauf si eu-LISA ou un autre État membre participant au système ECRIS-TCN n’a pas pris de mesures raisonnables pour prévenir le dommage ou en atténuer les effets. 3.Les actions en réparation intentées contre un État membre pour les dommages visés aux paragraphes 1 et 2 sont régies par le droit interne de l’État membre défendeur. Article 19

Autocontrôle Les États membres veillent à ce que chaque autorité centrale prenne les mesures nécessaires pour se conformer au présent règlement et coopère, s’il y a lieu, avec l'autorité de contrôle et l’autorité de contrôle nationale. Article 20

Sanctions Les États membres prennent les mesures nécessaires pour que toute utilisation de données saisies dans le système ECRIS-TCN non conforme au présent règlement soit passible de sanctions conformément au droit national, qui soient effectives, proportionnées et dissuasives. CHAPITRE V

Droits et surveillance en matière de protection des données Article 21

Responsable du traitement des données et sous-traitant des données 1.Chaque autorité centrale d'un État membre doit être considérée comme le responsable du traitement conformément à la directive (UE) 2016/680 pour ce qui est du traitement des données à caractère personnel effectué par ledit État membre en vertu du présent règlement. 2.eu-LISA est considérée comme le sous-traitant des données conformément au règlement (CE) n° 45/2001 pour ce qui est des données à caractère personnel saisies dans le système central par les États membres. Article 22

Finalité du traitement des données à caractère personnel 1.Les données figurant dans le système central ne font l’objet d’un traitement qu’aux fins de l’identification du ou des État(s) membre(s) détenant des informations sur les casiers judiciaires de ressortissants de pays tiers. 2.L’accès au système ECRIS-TCN aux fins de la saisie, de la modification, de l’effacement et de la consultation des données énumérées à l’article 5 est exclusivement réservé au personnel dûment autorisé des autorités centrales, tandis que le personnel dûment autorisé des organes visés à l’article 15 ne peut y accéder qu’à des fins de consultation des données. Cet accès se limite à ce qui est nécessaire à l'accomplissement des tâches, conformément aux finalités mentionnées au paragraphe 1, et est proportionné aux objectifs poursuivis. Article 23

Droits d’accès, de rectification et d’effacement 1.Les demandes des ressortissants de pays tiers portant sur les droits énoncés aux articles 14 et 16 de la directive (UE) 2016/680 peuvent être adressées à l’autorité centrale de tout État membre. 2.Si une demande est adressée à un État membre autre que l’État membre de condamnation, les autorités de l’État membre auquel la demande a été présentée vérifient l’exactitude des données et la licéité de leur traitement dans le système ECRIS-TCN dans un délai d’un mois s'il n'est pas nécessaire de consulter l’État membre de condamnation pour procéder à cette vérification. Dans le cas contraire, l’État membre autre que l’État membre de condamnation prend contact avec les autorités de l’État membre de condamnation dans un délai de quatorze jours et ce dernier vérifie l’exactitude des données et la licéité de leur traitement dans un délai d’un mois à compter de la prise de contact. 3.S'il apparaît que les données en