REGULAMENTO (UE) 2019/816 DO PARLAMENTO EUROPEU E DO CONSELHO

de 17 de abril de 2019

que cria um sistema centralizado para a determinação dos Estados-Membros que possuem informações sobre condenações de nacionais de países terceiros e de apátridas (ECRIS-TCN) tendo em vista completar o Sistema Europeu de Informação sobre Registos Criminais e que altera o Regulamento (UE) 2018/1726

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 82.o, n.o 1, segundo parágrafo, alínea d),

Tendo em conta a proposta da Comissão Europeia,

Após a transmissão do projeto de ato legislativo aos parlamentos nacionais,

Deliberando de acordo com o processo legislativo ordinário (1),

Considerando o seguinte:

(1) A União estabeleceu como objetivo proporcionar aos seus cidadãos um espaço de liberdade, segurança e justiça sem fronteiras internas, no qual esteja assegurada a livre circulação de pessoas. Esse objetivo deverá ser atingido, nomeadamente, através de medidas adequadas para prevenir e combater a criminalidade, incluindo a criminalidade organizada e o terrorismo.

(2) Esse objetivo exige que as informações relativas às decisões de condenação proferidas nos Estados-Membros sejam tomadas em consideração fora do Estado-Membro de condenação, tanto por ocasião de um novo processo penal, conforme previsto na Decisão-Quadro 2008/675/JAI do Conselho (2), como para prevenir novas infrações.

(3) Esse objetivo pressupõe o intercâmbio de informações extraídas dos registos criminais entre as autoridades competentes dos Estados-Membros. Tal intercâmbio de informações é organizado e facilitado pelas regras estabelecidas na Decisão-Quadro 2009/315/JAI do Conselho (3) e pelo sistema europeu de informação sobre os registos criminais (ECRIS), criado pela Decisão 2009/316/JAI do Conselho (4).

(4) Porém, o atual regime jurídico do ECRIS não tem suficientemente em conta as particularidades dos pedidos relativos a nacionais de países terceiros. Apesar de já ser possível o intercâmbio de informações sobre nacionais de países terceiros através do ECRIS, não existe na UE um procedimento ou mecanismo comum para o fazer com eficácia, rapidez e precisão.

(5) No interior da União, as informações sobre nacionais de países terceiros não são compiladas como acontece relativamente aos nacionais dos Estados-Membros no interior do Estado-Membro de nacionalidade, encontrando-se armazenadas apenas nos Estados-Membros onde foram proferidas as condenações. Por conseguinte, o quadro completo dos antecedentes criminais de nacionais de países terceiros só pode ser verificado se forem solicitadas informações a todos os Estados-Membros.

(6) Tais pedidos genéricos implicam um encargo administrativo desproporcionado para todos os Estados-Membros, incluindo aqueles que não possuem informações sobre o nacional de um país terceiro em causa. Na prática, esse encargo dissuade os Estados-Membros de solicitarem a outros Estados-Membros informações sobre nacionais de países terceiros, o que resulta numa importante restrição ao intercâmbio de informações entre si, limitando o seu acesso a informações sobre o registo criminal às informações armazenadas nos seus registos nacionais. Em consequência, aumenta o risco de o intercâmbio de informações entre os Estados-Membros ser ineficaz e incompleto, o que, por sua vez, afeta o nível de segurança proporcionado aos cidadãos da União e às pessoas que nela residem.

(7) Para corrigir esta situação, deverá ser criado um sistema que permita às autoridades centrais dos Estados-Membros determinar com rapidez e eficácia que outros Estados-Membros possuem informações sobre registos criminais de nacionais de países terceiros (o «ECRIS-TCN»). Poderá então ser utilizado o regime atual do ECRIS para solicitar as informações do registo criminal desses Estados-Membros, nos termos da Decisão-Quadro 2009/315/JAI.

(8) O presente regulamento deverá, por conseguinte, estabelecer regras para a criação de um sistema centralizado a nível da União que contenha dados pessoais, e prever regras para a repartição de responsabilidades entre o Estado-Membro e o organismo responsável pelo seu desenvolvimento e gestão do sistema centralizado, bem como disposições específicas em matéria de proteção de dados que sejam necessárias para completar as disposições vigentes em matéria de proteção de dados e para prever um nível global adequado de proteção e segurança dos dados, e a defesa dos direitos fundamentais das pessoas em causa.

(9) O objetivo de proporcionar aos cidadãos da União um espaço de liberdade, segurança e justiça sem fronteiras internas, em que esteja assegurada a livre circulação de pessoas, exige também a posse de informações completas sobre condenações de cidadãos da União que tenham também a nacionalidade de um país terceiro. Dada a possibilidade de essas pessoas se apresentarem como tendo uma ou várias nacionalidades, e de poderem estar registadas diferentes condenações no Estado-Membro em que foram proferidas ou no Estado-Membro da nacionalidade, é necessário que o âmbito de aplicação do presente regulamento abranja os cidadãos da União que têm a nacionalidade de um país terceiro. A exclusão de tais pessoas levaria a que as informações armazenadas no ECRIS-TCN fossem incompletas e isso comprometeria a fiabilidade do sistema. No entanto, uma vez que tais pessoas têm a cidadania da União, as condições em que os dados dactiloscópicos relativos a essas pessoas podem ser inseridos no ECRIS-TCN deverão ser comparáveis às condições em que os dados dactiloscópicos dos cidadãos da União são trocados entre os Estados-Membros no âmbito do ECRIS, criado pela Decisão-Quadro 2009/315/JAI e pela Decisão 2009/316/JAI. Por conseguinte, no que diz respeito aos cidadãos da União que têm também a nacionalidade de um país terceiro, os dados datiloscópicos só deverão ser inseridos no ECRIS-TCN quando tenham sido recolhidos em conformidade com o direito nacional no decurso de processos penais, entendendo-se que, para tal inserção, os Estados-Membros deverão poder utilizar os dados datiloscópicos recolhidos para fins que não sejam o processo penal, se essa utilização for permitida nos termos do direito nacional.

(10) O ECRIS-TCN deverá permitir o tratamento de dados dactiloscópicos, a fim de determinar quais os Estados-Membros que possuem informações sobre os registos criminais de nacionais de países terceiros. Deverá permitir igualmente o tratamento de imagens faciais, a fim de confirmar a respetiva identidade. É essencial que a introdução e utilização de dados dactiloscópicos e de imagens faciais não exceda o estritamente necessário para alcançar o objetivo pretendido, devendo respeitar os direitos fundamentais, bem como o superior interesse da criança, e estar em conformidade com as regras da União aplicáveis em matéria de proteção de dados.

(11) A Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA), criada pelo Regulamento (UE) 2018/1726 do Parlamento Europeu e do Conselho (5), deverá ser incumbida da tarefa de desenvolver e gerir o ECRIS-TCN, tendo em conta a sua experiência na gestão de outros sistemas de grande escala no domínio da justiça e dos assuntos internos. O seu mandato deverá ser alterado de modo que reflita essas novas atribuições.

(12) A eu-LISA deverá ser dotada dos fundos e do pessoal necessários para cumprir as suas responsabilidades ao abrigo do presente regulamento.

(13) Tendo em conta a necessidade de criar ligações técnicas estreitas entre o ECRIS-TCN e o ECRIS, a eu-LISA deverá ser igualmente incumbida da tarefa de desenvolver e manter em condições de funcionamento a aplicação de referência do ECRIS, devendo o seu mandato ser alterado de modo que reflita essas alterações.

(14) Quatro Estados-Membros desenvolveram o seu próprio software nacional de aplicação do ECRIS, nos termos da Decisão 2009/316/JAI, e têm utilizado esse software em vez da aplicação de referência do ECRIS para o intercâmbio de informações sobre os registos criminais. Tendo em conta as características específicas que introduziram nos seus sistemas para uso nacional, bem como os investimentos que fizeram, esses Estados-Membros deverão poder utilizar o seu software nacional de aplicação do ECRIS também para efeitos do ECRIS-TCN, desde que respeitem as condições estabelecidas no presente regulamento.

(15) O ECRIS-TCN deverá conter apenas informações sobre a identidade de nacionais de países terceiros objeto de condenação por um tribunal penal da União. Essas informações relativas à identidade deverão incluir dados alfanuméricos e dactiloscópicos. Deverá ser possível inserir imagens faciais, na medida em que o direito do Estado-Membro em que a condenação é proferida permita a recolha e o armazenamento de imagens faciais de pessoas objeto de condenação.

(16) Os dados alfanuméricos a inserir pelos Estados-Membros no sistema central deverão incluir os apelidos, os nomes próprios da pessoa objeto de condenação, bem como, se a autoridade central dispuser dessas informações, os pseudónimos ou alcunhas da pessoa. Se o Estado-Membro em causa tiver conhecimento de dados pessoais divergentes – como um nome com uma ortografia diferente num outro alfabeto –, deverá ser possível inserir esses dados no sistema central a título de informação adicional.

(17) Os dados alfanuméricos deverão igualmente incluir, a título de informação adicional, o número de identificação ou o tipo e o número dos documentos de identificação da pessoa, bem como a designação da autoridade que emite esses documentos, se a autoridade central dispuser dessas informações. O Estado-Membro deverá procurar verificar a autenticidade dos documentos de identificação antes de introduzir as informações pertinentes no sistema central. Em todo o caso, uma vez que tais informações poderão não ser fiáveis, deverão ser tratadas com prudência.

(18) As autoridades centrais deverão utilizar o ECRIS-TCN para determinar o Estado-Membro ou Estados-Membros que possuem informações sobre os registos criminais de nacionais de países terceiros, quando forem solicitadas no Estado-Membro em causa informações dos registos criminais dessas pessoas para efeitos de processos penais contra elas instaurados, ou para os efeitos a que se refere o presente regulamento. Embora o ECRIS-TCN deva, em princípio, ser utilizado em todos estes casos, a autoridade responsável pelo processo penal deverá poder decidir não utilizar o ECRIS-TCN se essa utilização não for adequada, dadas as circunstâncias do processo, por exemplo, em certos tipos de processo penal urgente, em casos de trânsito, se a informação sobre o registo criminal tiver sido obtida recentemente através do ECRIS, ou em caso de infrações menores, especialmente infrações menores ao código da estrada, à regulamentação municipal geral ou à ordem pública.

(19) Se o direito nacional assim o previr, os Estados-Membros deverão ter também a possibilidade de utilizar o ECRIS-TCN para quaisquer outros fins não estabelecidos no presente regulamento nos termos do direito nacional e se este assim o previr. No entanto, a fim de aumentar a transparência da utilização do ECRIS-TCN, os Estados-Membros deverão notificar esses outros fins à Comissão, a qual deverá assegurar a publicação de todas as notificações no Jornal Oficial da União Europeia.

(20) Deverá igualmente ser possível que quaisquer outras autoridades que requeiram informações dos registos criminais determinem que o ECRIS-TCN não seja utilizado quando tal não for adequado dadas as circunstâncias do processo, por exemplo, quando for necessário verificar as qualificações profissionais de uma pessoa através de determinados controlos administrativos normalizados, especialmente se se souber que não irão ser solicitadas informações sobre registos criminais a outros Estados-Membros, independentemente do resultado da pesquisa no ECRIS-TCN. No entanto, o ECRIS-TCN deverá ser sempre utilizado se o pedido de informações do registo criminal tiver sido apresentado por uma pessoa que solicite informações sobre o seu próprio registo criminal, em conformidade com a Decisão-Quadro 2009/315/JAI, ou se o pedido for feito para obter informações constantes do registo criminal em conformidade com a Diretiva 2011/93/UE do Parlamento Europeu e do Conselho (6).

(21) Os nacionais de países terceiros deverão ter direito a obter informações por escrito sobre o seu próprio registo criminal nos termos do direito do Estado-Membro no qual solicitam o fornecimento dessas informações e nos termos da Decisão-Quadro 2009/315/JAI. Antes de fornecer essas informações a nacionais de países terceiros, o Estado-Membro em causa deverá consultar o ECRIS-TCN.

(22) Os cidadãos da União que tenham também a nacionalidade de um país terceiro só serão inseridos no sistema ECRIS-TCN se as autoridades competentes tiverem conhecimento de que essas pessoas têm a nacionalidade de um país terceiro. Pode acontecer que cidadãos da União tenham sido anteriormente condenados como nacionais de um país terceiro, sem que as autoridades competentes tenham conhecimento de que esses cidadãos têm também a nacionalidade de um país terceiro. A fim de assegurar que as autoridades competentes tenham uma visão completa dos registos criminais, deverá ser possível consultar o sistema ECRIS-TCN para verificar se, no que diz respeito a um cidadão da União, algum Estado-Membro possui informações sobre o seu registo criminal como nacional de um país terceiro.

(23) No caso de haver correspondência entre os dados registados no sistema central e os utilizados para a pesquisa por um Estado-Membro (resposta positiva), as informações sobre a identidade para as quais se registou «resposta positiva» deverão acompanhar a resposta positiva. O resultado das pesquisas deverá ser utilizado pelas autoridades centrais, apenas para fazer pedidos através do ECRIS ou, pela Agência da União Europeia para a Cooperação Judiciária Penal (Eurojust), criada pelo Regulamento (UE) 2018/1727 do Parlamento Europeu e do Conselho (7), à pela Agência da União Europeia para a Cooperação Policial (Europol), criada pelo Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho (8) e pela Procuradoria Europeia (a «EPPO»), criada pelo Regulamento (UE) 2017/1939 (9), apenas para apresentar um pedido de informações sobre condenações, conforme referido no presente regulamento.

(24) Numa primeira fase, as imagens faciais inseridas no ECRIS-TCN só deverão ser utilizadas para efeitos de confirmação da identidade de um nacional de um país terceiro a fim de identificar o Estado-Membro ou Estados-Membros que possuem informações sobre condenações anteriores desse nacional de um país terceiro. No futuro, deverá ser possível que as imagens faciais possam ser utilizadas para fins de correspondência biométrica automatizada, desde que sejam cumpridos os requisitos técnicos e estratégicos para esse efeito. Tendo em conta a necessidade e a proporcionalidade, bem como a evolução técnica no domínio do software de reconhecimento facial, a Comissão deverá avaliar a disponibilidade e o grau de preparação da tecnologia exigida antes de adotar um ato delegado relativo à utilização de imagens faciais para efeitos de identificação de nacionais de países terceiros, a fim de identificar o Estado-Membro ou Estados-Membros que possuem informações sobre condenações anteriores relativas a essas pessoas.

(25) A utilização de dados biométricos é necessária, pois é o método mais fiável de identificação de nacionais de países terceiros no território dos Estados-Membros, que, muitas vezes, não possuem documentos nem quaisquer outros meios de identificação, permitindo também estabelecer uma correspondência mais fiável entre os dados relativos a nacionais de países terceiros.

(26) Os Estados-Membros deverão inserir no sistema central os dados datiloscópicos de nacionais de países terceiros objeto de condenação que tenham sido recolhidos em processos penais nos termos do direito nacional. Para que o sistema central contenha informações sobre a identidade tão completas quanto possível, os Estados-Membros deverão também poder inserir no sistema central os dados datiloscópicos que tenham sido recolhidos para outros fins que não sejam o processo penal, se esses os dados datiloscópicos puderem ser utilizados em processos penais em conformidade com o direito nacional.

(27) O presente regulamento deverá estabelecer critérios mínimos no que respeita aos os dados datiloscópicos que os Estados-Membros deverão inserir no sistema central. Os Estados-Membros deverão poder escolher entre a introdução de os dados datiloscópicos de nacionais de países terceiros que tenham sido condenados a uma pena de prisão de pelo menos seis meses, e a introdução de os dados datiloscópicos de nacionais de países terceiros que tenham sido condenados por um crime punível, ao abrigo da legislação do Estado-Membro em causa, com pena de prisão máxima de pelo menos 12 meses.

(28) Os Estados-Membros deverão criar no ECRIS-TCN registos relativos a nacionais de países terceiros objeto de condenação, devendo fazê-lo de forma automática, quando possível, e sem demora injustificada após a sua condenação ter sido inscrita no registo criminal nacional. Os Estados-Membros deverão, em conformidade com o presente regulamento, inserir no sistema central dados alfanuméricos e dactiloscópicos relativos a condenações proferidas após a data de início da introdução de dados no ECRIS-TCN. A partir da mesma data, e depois em qualquer altura, os Estados-Membros deverão poder inserir imagens faciais no sistema central.

(29) Os Estados-Membros deverão igualmente, nos termos do presente regulamento, criar no ECRIS-TCN registos relativos a nacionais de países terceiros objeto de condenação antes da data de início da introdução de dados, a fim de assegurar a máxima eficácia do sistema. No entanto, para esse efeito, os Estados-Membros não deverão ser obrigados a recolher informações que não estejam ainda nos respetivos registos criminais antes da data de início da introdução de dados. As os dados datiloscópicos de nacionais de países terceiros recolhidos e relativos a essas condenações anteriores só deverão ser inseridas se tiverem sido recolhidas em processos penais e se o Estado-Membro em causa considerar que é possível estabelecer uma correspondência clara com outras informações sobre a identidade que constem do registo criminal.

(30) A melhoria do intercâmbio das informações sobre as condenações penais deverá ajudar os Estados-Membros na aplicação da Decisão-Quadro 2008/675/JAI, a qual obriga os Estados-Membros a tomarem em consideração as condenações anteriores proferidas noutros Estados-Membros por ocasião de um novo processo penal, na medida em que as condenações nacionais anteriores sejam tomadas em consideração nos termos do direito nacional.

(31) Uma resposta positiva indicada pelo ECRIS-TCN não deverá, por si só, ser interpretada como prova de que o nacional do país terceiro em causa tenha sido condenado nos Estados-Membros indicados. A existência de condenações anteriores só deverá ser confirmada com base nas informações recebidas dos registos criminais dos Estados-Membros em causa.

(32) Não obstante a possibilidade de recorrer a programas financeiros da União de acordo com as regras aplicáveis, cada Estado-Membro deverá suportar as suas próprias despesas decorrentes da execução, gestão, utilização e manutenção da sua base de dados dos registos criminais e das bases nacionais de dados dactiloscópicos, e da execução, gestão, utilização e manutenção das adaptações técnicas necessárias para poder utilizar o ECRIS-TCN, incluindo as conexões ao ponto de acesso central nacional.

(33) A Eurojust, a Europol e a EPPO deverão ter acesso ao ECRIS-TCN com vista a determinar o Estado-Membro ou Estados-Membros que possuem informações sobre os registos criminais de nacionais de países terceiros, em apoio ao exercício das suas funções legais. A Eurojust deverá também ter acesso direto ao ECRIS-TCN com vista ao exercício da sua função, ao abrigo do presente regulamento, de funcionar como ponto de contacto para os países terceiros e as organizações internacionais, sem prejuízo da aplicação dos princípios da cooperação judiciária em matéria penal, nomeadamente as regras aplicáveis ao auxílio judiciário mútuo. Embora deva ser tida em conta a posição dos Estados-Membros que não participam na cooperação reforçada para a criação da EPPO, não deverá ser recusado à EPPO o acesso às informações sobre condenações com o único fundamento de que o Estado-Membro em causa não participa na cooperação reforçada.

(34) O presente regulamento estabelece regras rigorosas de acesso ao ECRIS-TCN e as salvaguardas necessárias, incluindo a responsabilidade dos Estados-Membros no domínio da recolha e utilização de dados. Estabelece igualmente a forma como cada um pode exercer os seus direitos a indemnização, acesso, retificação, supressão e recurso, nomeadamente o direito a um recurso judicial efetivo e a supervisão das operações de tratamento por autoridades públicas independentes. Por conseguinte, o regulamento respeita os direitos e as liberdades fundamentais e observa os princípios consagrados, em especial, na Carta dos Direitos Fundamentais da União Europeia, incluindo o direito à proteção dos dados pessoais, o princípio da igualdade perante a lei e a proibição geral de discriminação. Neste sentido, o regulamento tem também em conta a Convenção Europeia para a Proteção dos Direitos Humanos e das Liberdades Fundamentais, o Pacto Internacional sobre os Direitos Civis e Políticos e outras obrigações em matéria de direitos humanos em conformidade com o direito internacional.

(35) A Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (10) deverá aplicar-se ao tratamento de dados pessoais por parte das autoridades nacionais competentes com vista à prevenção, investigação, deteção ou instauração de processo penal contra infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública. O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (11) deverá ser aplicável ao tratamento de dados pessoais por autoridades nacionais quando tal tratamento não seja abrangido pelo âmbito de aplicação da Diretiva (UE) 2016/680. A supervisão coordenada deverá ser assegurada em conformidade com o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (12), o qual deverá também ser aplicável ao tratamento de dados pessoais pela eu-LISA.

(36) Relativamente às condenações anteriores, as autoridades centrais deverão inserir os dados alfanuméricos até ao final do prazo para a introdução de dados ao abrigo do presente regulamento, e os dados dactiloscópicos no prazo de dois anos após a data de entrada em funcionamento do ECRIS-TCN. Os Estados-Membros deverão poder inserir todos os dados em simultâneo, desde que esses prazos sejam cumpridos.

(37) Deverão ser estabelecidas regras relativas à responsabilidade dos Estados-Membros, da Eurojust, da Europol, da EPPO e da eu-LISA por danos resultantes do incumprimento do presente regulamento.

(38) A fim de melhorar a determinação do Estado-Membro ou Estados-Membros que possuem informações sobre condenações anteriores de nacionais de países terceiros, o poder de adotar atos nos termos do artigo 290.o do Tratado sobre o Funcionamento da União Europeia (TFUE) deverá ser delegado na Comissão no que respeita à complementação do presente regulamento com disposições sobre a utilização de imagens faciais para efeitos de identificação de nacionais de países terceiros com vista a identificar o Estado-Membro ou Estados-Membros que possuem informações sobre condenações anteriores. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (13). Em especial, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados.

(39) A fim de assegurar condições uniformes para a criação e gestão operacional do ECRIS-TCN, deverão ser atribuídas competências de execução à Comissão. Essas competências deverão ser exercidas nos termos do Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho (14).

(40) Os Estados-Membros deverão tomar as medidas necessárias para dar cumprimento ao presente regulamento o mais rapidamente possível, a fim de assegurar o bom funcionamento do ECRIS-TCN, tendo em conta o tempo de que a eu-LISA precisa para desenvolver e implementar o ECRIS-TCN. No entanto, os Estados-Membros deverão dispor de pelo menos 36 meses a contar da entrada em vigor do presente regulamento para tomar as medidas necessárias para lhe dar cumprimento.

(41) Atendendo a que o objetivo do presente regulamento, a saber o intercâmbio rápido e eficaz de informações precisas sobre registos criminais de nacionais de países terceiros, não pode ser suficientemente alcançado pelos Estados-Membros, mas pode, mediante a definição de regras comuns, ser mais bem alcançado ao nível da União, esta pode tomar medidas em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. De acordo com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para alcançar aquele objetivo.

(42) Nos termos dos artigos 1.o e 2.o do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao TUE e ao TFUE, a Dinamarca não participa na adoção do presente regulamento e não fica a ele vinculada nem sujeita à sua aplicação.

(43) Nos termos dos artigos 1.o e 2.o e do artigo 4.o-A, n.o 1, do Protocolo n.o 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao TUE e ao TFUE, e sem prejuízo do artigo 4.o do referido protocolo, a Irlanda não participa na adoção do presente regulamento e não fica a ele vinculada nem sujeita à sua aplicação.

(44) Nos termos do artigo 3.o e do artigo 4.o-A, n.o 1, do Protocolo n.o 21, o Reino Unido notificou a sua intenção de participar na adoção e na aplicação do presente regulamento.

(45) A Autoridade Europeia para a Proteção de Dados foi consultada em conformidade com o artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (15), tendo emitido o seu parecer em 12 de dezembro de 2017 (16),

ADOTARAM O PRESENTE REGULAMENTO:

CAPÍTULO I

Disposições gerais

Artigo 1.o Objeto O presente regulamento estabelece: a) Um sistema que permite determinar o Estado-Membro ou Estados-Membros que possuem informações sobre condenações anteriores de nacionais de países terceiros (o «ECRIS-TCN»); b) As condições em que o ECRIS-TCN deve ser utilizado pelas autoridades centrais para obterem informações sobre as condenações anteriores através do sistema europeu de informação sobre registos criminais (ECRIS), criado pela Decisão 2009/316/JAI, e as condições em que a Eurojust, a Europol e a EPPO devem utilizar o ECRIS-TCN.

Artigo 2.o Âmbito de aplicação O presente regulamento aplica-se ao tratamento de informações sobre a identidade de nacionais de países terceiros que tenham sido objeto de condenações nos Estados-Membros, a fim de determinar os Estados-Membros onde essas condenações foram proferidas. Com exceção do artigo 5.o, n.o 1, alínea b), subalínea ii), as disposições do presente regulamento aplicáveis aos nacionais de países terceiros aplicam-se igualmente aos cidadãos da União que também tenham a nacionalidade de um país terceiro e que tenham sido objeto de condenações nos Estados-Membros.

Artigo 3.o Definições Para efeitos do presente regulamento, entende-se por: 1) «Condenação», qualquer decisão definitiva de um tribunal penal contra uma pessoa singular devido a uma infração penal, na medida em que a decisão conste do registo criminal do Estado-Membro de condenação; 2) «Processo penal», a fase anterior ao julgamento, a fase do julgamento e a fase de execução da condenação; 3) «Registo criminal», o registo ou registos nacionais em que estão inscritas as condenações nos termos do direito nacional; 4) «Estado-Membro de condenação», o Estado-Membro em que é pronunciada uma condenação; 5) «Autoridade central», uma autoridade designada em conformidade com o artigo 3.o, n.o 1, da Decisão-Quadro 2009/315/JAI; 6) «Autoridades competentes», as autoridades centrais e a Eurojust, a Europol e EPPO), que são competentes para, em conformidade com o presente regulamento, aceder ao ECRIS-TCN ou consultá-lo; 7) «Nacional de um país terceiro», qualquer pessoa que não seja cidadão da União, na aceção do artigo 20.o, n.o 1, do TFUE, ou que seja um apátrida ou pessoa cuja nacionalidade seja desconhecida; 8) «Sistema central», a base ou bases de dados, desenvolvidas e geridas pela eu-LISA, que contêm informações sobre a identidade de nacionais de países terceiros que tenham sido objeto de condenações nos Estados-Membros; 9) «Software de interface», o software utilizado pelas autoridades competentes que lhes permite aceder ao sistema central através da infraestrutura de comunicação referida no artigo 4.o, n.o 1, alínea d); 10) «Informações sobre a identidade», os dados alfanuméricos, os dados dactiloscópicos e as imagens faciais utilizadas para estabelecer a correspondência entre esses dados e uma pessoa singular; 11) «Dados alfanuméricos», os dados representados por letras, dígitos, carateres especiais, espaços e sinais de pontuação; 12) «Dados dactiloscópicos», os dados relativos às impressões digitais planas e roladas de todos os dedos de uma pessoa; 13) «Imagem facial», a imagem digital do rosto de uma pessoa; 14) «Resposta positiva», a concordância ou concordâncias determinadas pela comparação entre as informações sobre a identidade registadas no sistema central e as informações sobre a identidade utilizadas numa pesquisa; 15) «Ponto de acesso central nacional», o ponto nacional de ligação à infraestrutura de comunicação referida no artigo 4.o, n.o 1, alínea d); 16) «Aplicação de referência do ECRIS», o software desenvolvido pela Comissão e disponibilizado aos Estados-Membros para o intercâmbio de informações sobre registos criminais através do ECRIS. 17) «Autoridade nacional de controlo», uma autoridade pública independente criada por um Estado-Membro nos termos das regras da União aplicáveis em matéria de proteção de dados; 18) «Autoridades de controlo», a Autoridade Europeia para a Proteção de Dados e as autoridades nacionais de controlo.

Artigo 4.o Arquitetura técnica do ECRIS-TCN 1. O ECRIS-TCN é composto por: a) Um sistema central em que são armazenadas informações sobre a identidade de nacionais de países terceiros objeto de condenação; b) Um ponto de acesso central nacional em cada Estado-Membro; c) Um software de interface que permite a conexão das autoridades competentes ao sistema central através do ponto de acesso central nacional e da infraestrutura de comunicação referida na alínea d); d) Uma infraestrutura de comunicação entre o sistema central e os pontos de acesso central nacional. 2. O sistema central é acolhido pela eu-LISA nas suas instalações técnicas. 3. O software de interface é integrado na aplicação de referência do ECRIS. Os Estados-Membros utilizam a aplicação de referência do ECRIS ou, na situação e nas condições descritas nos n.os 4 a 8, o software nacional de aplicação do ECRIS, para consultar o ECRIS-TCN e para enviar pedidos posteriores de informações sobre registos criminais. 4. Os Estados-Membros que utilizem o seu software nacional de aplicação do ECRIS são responsáveis por assegurar que este permita que as autoridades responsáveis pelo registo criminal nacional utilizem o ECRIS-TCN, com exceção do software de interface, em conformidade com o presente regulamento. Para esse efeito, antes da data da entrada em funcionamento do ECRIS-TCN e em conformidade com o artigo 35.o, n.o 4, esses Estados-Membros asseguram que o seu software nacional de aplicação do ECRIS funcione em conformidade com os protocolos e as especificações técnicas estabelecidas nos atos de execução a que se refere o artigo 10.o, e com quaisquer outros requisitos técnicos adicionais definidos pela eu-LISA nos temos do presente regulamento e baseados nesses atos de execução. 5. Enquanto não utilizarem a aplicação de referência do ECRIS, os Estados-Membros que utilizem o seu software nacional de aplicação do ECRIS garantem também, sem demora injustificada, que sejam aplicadas ao seu software nacional de aplicação do ECRIS eventuais adaptações técnicas subsequentes exigidas por qualquer alteração às especificações técnicas introduzida nos atos de execução a que se refere o artigo 10.o, ou a alterações a quaisquer outros requisitos técnicos adicionais definidos pela eu-LISA nos temos do presente regulamento e baseados nesses atos de execução. 6. Os Estados-Membros que utilizem o seu software nacional de aplicação do ECRIS suportam todas as despesas decorrentes da implementação, manutenção e desenvolvimento desse software e da sua interligação ao ECRIS-TCN, com exceção do software de interface. 7. Se um Estado-Membro que utilize o seu software nacional de aplicação do ECRIS não puder cumprir as obrigações que lhe incumbem por força do presente artigo, é obrigado a utilizar a aplicação de referência do ECRIS, incluindo o software de interface integrado para utilizar o ECRIS-TCN. 8. Tendo em conta a avaliação a realizar pela Comissão nos termos do artigo 36.o, n.o 10, alínea b), os Estados-Membros em causa fornecem à Comissão todas as informações necessárias.

CAPÍTULO II

Introdução e utilização de dados pelas autoridades centrais

Artigo 5.o Introdução de dados no ECRIS-TCN 1. Para cada nacional de país terceiro objeto de condenação, a autoridade central do Estado-Membro de condenação cria um ficheiro correspondente no sistema central. Esse ficheiro inclui: a) No que respeita a dados alfanuméricos: i) informações a incluir a menos que, em casos individuais, essas informações não sejam do conhecimento da autoridade central (informações obrigatórias): — apelidos; — nomes próprios; — data de nascimento; — local de nascimento (localidade e país); — nacionalidade ou nacionalidades; — sexo; — nomes anteriores, se aplicável; — o código do Estado-Membro de condenação, ii) informações a incluir se tiverem sido inscritas no registo criminal (informações facultativas): — filiação, iii) informações a incluir se a autoridade central delas dispuser (informações adicionais): — número de identificação ou tipo e número dos documentos de identificação da pessoa, bem como a designação da entidade emissora; — pseudónimos ou alcunhas; b) No que respeita a dados dactiloscópicos: i) dados dactiloscópicos de nacionais de países terceiros que tenham sido recolhidos nos termos do direito nacional em processo penal; ii) no mínimo, dados dactiloscópicos recolhidos com base em qualquer dos seguintes critérios: — quando o nacional de país terceiro tiver sido condenado a uma pena de prisão de pelo menos seis meses; ou — quando o nacional de país terceiro tiver sido condenado por um crime punível nos termos do direito do Estado-Membro com pena de prisão máxima de pelo menos 12 meses; 2. Os dados dactiloscópicos a que se refere o n.o 1, alínea b), do presente artigo devem ter especificações técnicas relativas à qualidade, resolução e tratamento de dados dactiloscópicos previstos no ato de execução a que se refere o artigo 10.o, n.o 1, alínea b). O número de referência dos dados dactiloscópicos da pessoa objeto de condenação deve incluir o código do Estado-Membro de condenação. 3. O ficheiro pode igualmente incluir imagens faciais do nacional de país terceiro objeto de condenação quando a legislação do Estado-Membro de condenação permita a recolha e o armazenamento de imagens faciais de pessoas objeto de condenação. 4. O Estado-Membro de condenação cria o ficheiro automaticamente, se possível, e sem demora injustificada, após o averbamento da condenação no registo criminal. 5. Os Estados-Membros de condenação criam também ficheiros relativos às condenações proferidas antes da data da introdução dos dados em conformidade com o artigo 35.o, n.o 1, na medida em que dados relativos a pessoas objeto de condenação estejam armazenados nas suas bases de dados nacionais. Nesses casos, os dados dactiloscópicos apenas são inseridos se tiverem sido recolhidos em processo penal nos termos do direito nacional e se puder ser claramente determinada a sua concordância com outras informações sobre a identidade constantes dos registos criminais. 6. A fim de cumprir as obrigações previstas no n.o 1, alínea b), subalíneas i) e ii), e no n.o 5, os Estados-Membros podem utilizar dados dactiloscópicos recolhidos para fins que não sejam o processo penal, se essa utilização for permitida nos termos do direito nacional.

Artigo 6.o Imagens faciais 1. Até à entrada em vigor do ato delegado previsto no n.o 2, as imagens faciais podem ser utilizadas exclusivamente para confirmar a identidade do nacional de país terceiro que tenha sido identificado em resultado de uma pesquisa alfanumérica ou de uma pesquisa com recurso a dados dactiloscópicos. 2. A Comissão fica habilitada a adotar atos delegados em conformidade com o artigo 37.o que completem o presente regulamento no que respeita à utilização de imagens faciais para efeitos da identificação de cidadãos de países terceiros, a fim de identificar o Estado-Membro ou Estados-Membros que possuem informações sobre condenações anteriores no que respeita a essas pessoas quando se tornar tecnicamente possível. Antes de exercer esta competência delegada, a Comissão, tendo em conta a necessidade e a proporcionalidade, bem como a evolução técnica no domínio do software de reconhecimento facial, avalia a disponibilidade e o estado de desenvolvimento da tecnologia necessária.

Artigo 7.o Utilização do ECRIS-TCN para determinar o Estado-Membro ou Estados-Membros que possuem informações sobre registos criminais 1. As autoridades centrais utilizam o ECRIS-TCN para determinar os Estados-Membros que possuem informações sobre os registos criminais de um nacional de país terceiro, de modo que obtenha informações sobre anteriores condenações através do ECRIS, caso sejam exigidas no Estado-Membro em causa informações sobre o registo criminal da referida pessoa para efeitos de processo penal contra ela instaurado ou para qualquer uma das seguintes finalidades, nos termos do direito nacional e se este assim o previr: — verificação do registo criminal dessa pessoa, efetuada a seu pedido; — credenciações de segurança; — obtenção de licenças ou autorizações; — verificações para efeitos de emprego; — verificações para atividades de voluntariado que impliquem contactos diretos e regulares com crianças ou pessoas vulneráveis; — procedimentos ligados a vistos, à aquisição de cidadania e à migração, incluindo os procedimentos de asilo; e — verificações relacionadas com contratos públicos e concursos públicos. No entanto, em casos específicos, para além dos casos em que o nacional de país terceiro peça à autoridade central informações sobre o seu próprio registo criminal, ou em que o pedido seja feito para obter informações sobre registos criminais nos termos do artigo 10.o, n.o 2, da Diretiva 2011/93/UE, a autoridade que requer as informações sobre os registos criminais pode determinar que essa utilização do ECRIS-TCN não é adequada. 2. Os Estados-Membros que decidam, nos termos do direito nacional e se este assim o previr, utilizar o ECRIS-TCN para eventuais finalidades diferentes das enunciadas no n.o 1, a fim de obter informações sobre condenações anteriores através do ECRIS, notificam a Comissão Europeia até à data da entrada em funcionamento referida no artigo 35.o, n.o 4, ou a qualquer momento subsequente, dessas outras finalidades e de eventuais alterações às mesmas. A Comissão publica tais notificações no Jornal Oficial da União Europeia no prazo de 30 dias após a receção das notificações. 3. A Eurojust, a Europol e a EPPO estão habilitadas a consultar o ECRIS-TCN para identificar o Estado-Membro ou Estados-Membros que possuem informações sobre os registos criminais de um nacional de um país terceiro, em conformidade com os artigos 14.o a 18.o. Todavia não introduzem, retificam nem apagam nenhuns dados do ECRIS-TCN. 4. Para os efeitos referidos nos n.os 1, 2 e 3, as autoridades competentes também podem consultar o ECRIS-TCN para verificar se, relativamente a um cidadão da União, algum Estado-Membro possui informações sobre os registos criminais relativos a essa pessoa enquanto nacional de um país terceiro. 5. Quando consultam o ECRIS-TCN, as autoridades competentes podem utilizar todos ou apenas alguns dos dados a que se refere o artigo 5.o, n.o 1. O conjunto mínimo de dados que é exigido para consultar o sistema é especificado num ato de execução adotado nos termos do artigo 10.o, n.o 1, alínea g). 6. As autoridades competentes também podem consultar o ECRIS-TCN utilizando imagens faciais, desde que esta funcionalidade tenha sido implementada em conformidade com o artigo 6.o, n.o 2. 7. Em caso de resposta positiva, o sistema central transmite automaticamente à autoridade competente informações sobre os Estados-Membros que possuem informações sobre o registo criminal do nacional de país terceiro, juntamente com o número ou números de referência associados e qualquer dado de identificação correspondente. Estas informações sobre a identificação são utilizadas exclusivamente para efeitos de verificação da identidade do nacional de país terceiro em causa. O resultado de consultas ao sistema central só pode ser utilizado para efeitos de apresentação de pedidos nos termos do artigo 6.o da Decisão-Quadro 2009/315/JAI ou de pedidos referidos no artigo 17.o, n.o 3, do presente regulamento. 8. Em caso de resposta negativa, o sistema central informa automaticamente deste facto a autoridade competente.

CAPÍTULO III

Conservação e alteração dos dados

Artigo 8.o Período de conservação dos dados armazenados 1. Cada ficheiro é armazenado no sistema central enquanto os dados relativos às condenações da pessoa em causa constarem do registo criminal. 2. Após o termo do período de conservação referido no n.o 1, a autoridade central do Estado-Membro de condenação apaga o ficheiro do sistema central, incluindo quaisquer dados dactiloscópicos ou imagens faciais. O apagamento é feito automaticamente, quando tal for possível, e em qualquer caso o mais tardar um mês após o fim do período de conservação.

Artigo 9.o Alteração e apagamento de dados 1. Os Estados-Membros podem alterar ou apagar os dados que tenham introduzido no sistema ECRIS-TCN. 2. Qualquer alteração das informações constantes dos registos criminais que tenha levado à criação de um ficheiro em conformidade com o artigo 5.o deve incluir uma alteração idêntica, efetuada sem demora injustificada, pelo Estado-Membro de condenação, das informações conservadas no ficheiro em causa no sistema central. 3. Se um Estado-Membro de condenação tiver razões para crer que os dados que registou no sistema central estão incorretos ou que o seu tratamento no sistema central é contrário ao presente regulamento: a) Aciona imediatamente o procedimento de verificação da exatidão dos dados em causa ou a legalidade do seu tratamento, conforme adequado; b) Se necessário, procede sem demora injustificada à sua retificação ou apagamento do sistema central. 4. Se um Estado-Membro diferente do Estado-Membro de condenação que introduziu os dados tiver motivos para crer que os dados registados no sistema central estão incorretos ou que o seu tratamento no sistema central é contrário ao presente regulamento, contacta sem demora injustificada a autoridade central do Estado-Membro de condenação. O Estado-Membro de condenação: a) Aciona imediatamente o procedimento de verificação da exatidão dos dados em causa ou da legalidade do seu tratamento, conforme adequado; b) Se necessário, retifica os dados ou apaga-os do sistema central sem demora injustificada; c) Informa sem demora injustificada o outro Estado-Membro de que os dados foram retificados ou apagados ou das razões pelas quais os dados não foram retificados nem apagados.

CAPÍTULO IV

Desenvolvimento, funcionamento e responsabilidades

Artigo 10.o Adoção de atos de execução pela Comissão 1. A Comissão adota o mais rapidamente possível os atos de execução necessários ao desenvolvimento técnico e à execução técnica do ECRIS-TCN e, em especial, os atos sobre: a) As especificações técnicas para o tratamento dos dados alfanuméricos; b) As especificações técnicas para a qualidade, resolução e tratamento dos dados datiloscópicos; c) As especificações técnicas do software de interface; d) As especificações técnicas para a qualidade, resolução e tratamento das imagens faciais para efeitos do artigo 6.o e nas condições nele previstas; e) A qualidade dos dados, incluindo um mecanismo e procedimentos de controlo da qualidade dos dados; f) A introdução de dados, em conformidade com o artigo 5.o; g) O acesso e a consulta ao ECRIS-TCN, em conformidade com o artigo 7.o; h) A alteração e o apagamento de dados, em conformidade com os artigos 8.o e 9.o; i) A conservação de registos e o acesso aos mesmos, em conformidade com o artigo 31.o; j) funcionamento do repositório central e das regras de proteção e segurança dos dados aplicáveis ao repositório, em conformidade com o artigo 32.o; k) A disponibilização de estatísticas, em conformidade com o artigo 32.o; l) Os requisitos de funcionamento e de disponibilidade do ECRIS-TCN, incluindo as especificações e requisitos mínimos para o desempenho biométrico do ECRIS-TCN, particularmente no que se refere às taxas exigidas de identificação de falsos positivos e de identificação de falsos negativos. 2. Os atos de execução referidos no n.o 1 são adotados pelo procedimento de exame a que se refere o artigo 38.o, n.o 2.

Artigo 11.o Desenvolvimento e gestão operacional do ECRIS-TCN 1. A eu-LISA é responsável pelo desenvolvimento do ECRIS-TCN, de acordo com o princípio da proteção de dados, desde a conceção e por defeito. Além disso, a eu-LISA é responsável pela gestão operacional do ECRIS-TCN. O desenvolvimento consiste na elaboração e implementação das especificações técnicas, na realização de testes e na coordenação global do projeto. 2. A eu-LISA é igualmente responsável pela continuação do desenvolvimento e da manutenção da aplicação de referência do ECRIS. 3. A eu-LISA define a conceção da arquitetura física do ECRIS-TCN, incluindo as suas especificações técnicas e a sua evolução em relação ao sistema central, ao ponto de acesso central nacional, e ao software de interface. Essa conceção é adotada pelo seu Conselho de Administração, sob condição de parecer favorável da Comissão. 4. A eu-LISA desenvolve e executa o ECRIS-TCN o mais rapidamente possível após a entrada em vigor do presente regulamento e após a adoção, pela Comissão, dos atos de execução previstos no artigo 10.o. 5. Previamente à fase de conceção e de desenvolvimento do ECRIS-TCN, o Conselho de Administração da eu-LISA cria um Comité de Gestão do Programa composto por dez membros. O Comité de Gestão do Programa é composto por oito membros nomeados pelo Conselho de Administração, pelo presidente do Grupo Consultivo referido no artigo 39.o, e por um membro nomeado pela Comissão. Os membros nomeados pelo Conselho de Administração só são eleitos de entre os Estados-Membros que estejam plenamente vinculados, nos termos do direito da União, pelos instrumentos legislativos que regem o sistema ECRIS e que participem no ECRIS-TCN. O Conselho de Administração assegura que os membros que designa para o Comité de Gestão do Programa disponham da experiência e dos conhecimentos necessários em matéria de desenvolvimento e de gestão de sistemas informáticos utilizados pelas autoridades judiciárias e as autoridades que gerem os registos criminais. A eu-LISA participa nos trabalhos do Comité de Gestão do Programa. Para o efeito, os representantes da eu-LISA participam nas reuniões do Comité de Gestão do Programa, a fim de apresentar relatórios sobre os trabalhos relativos à conceção e ao desenvolvimento do ECRIS-TCN e sobre quaisquer outros trabalhos e atividades conexas. O Comité de Gestão do Programa reúne-se pelo menos uma vez de três em três meses, ou com maior frequência, se necessário. O Comité de Gestão do Programa garante a gestão adequada da fase de conceção e desenvolvimento do ECRIS-TCN e assegura a coerência entre o projeto ECRIS-TCN central e os projetos ECRIS nacionais e com o software nacional de aplicação. O Comité de Gestão do Programa apresenta regularmente e, se possível mensalmente, por escrito, ao Conselho de Administração da eu-LISA relatórios sobre os progressos do projeto. O Comité de Gestão do Programa não tem poder de decisão nem de mandato para representar os membros do Conselho de Administração. 6. O Comité de Gestão do Programa estabelece o seu regulamento interno, que inclui, em particular, regras sobre: a) O exercício da presidência; b) Os locais de reunião; c) A preparação das reuniões; d) A admissão de peritos nas reuniões; e) Os planos de comunicação que assegurem a disponibilização de informações circunstanciadas aos membros não participantes do Conselho de Administração. 7. A presidência do Comité de Gestão do Programa é exercida por um Estado-Membro que esteja plenamente vinculado, nos termos do direito da União, pelos instrumentos legislativos que regem o ECRIS e pelos que regem o desenvolvimento, a criação, o funcionamento e a utilização de todos os sistemas informáticos de grande escala geridos pela eu-LISA. 8. Todas as despesas de viagem e de estadia incorridas pelos membros do Comité de Gestão do Programa são suportadas pela eu-LISA, aplicando-se o artigo 10.o do regulamento interno da eu-LISA mutatis mutandis. O secretariado do Comité de Gestão do Programa é assegurado pela eu-LISA. 9. Durante a fase de conceção e de desenvolvimento, o Grupo Consultivo referido no artigo 39.o é composto por gestores de projeto nacionais do ECRIS-TCN e presidido pela eu-LISA. Durante a fase de conceção e de desenvolvimento, o grupo reúne-se regularmente, se possível pelo menos uma vez por mês, até à entrada em funcionamento do ECRIS-TCN. O grupo apresenta um relatório após cada reunião do Comité de Gestão do Programa. O grupo fornece ainda os conhecimentos técnicos necessários para apoiar as atividades do Comité de Gestão do Programa e assegura o acompanhamento do nível de preparação dos Estados-Membros. 10. A fim de assegurar a confidencialidade e a integridade dos dados armazenados no ECRIS-TCN a todo o tempo, a eu-LISA prevê, em cooperação com os Estados-Membros, as medidas técnicas e organizativas adequadas, tendo em conta o estado da arte, os custos de execução e os riscos colocados pelo tratamento. 11. A eu-LISA é igualmente responsável pelas funções seguintes relacionadas com a infraestrutura de comunicação a que se refere o artigo 4.o, n.o 1, alínea d): a) Supervisão; b) Segurança; c) Coordenação das relações entre os Estados-Membros e o fornecedor da infraestrutura de comunicação. 12. A Comissão é responsável por todas as outras funções relacionadas com a infraestrutura de comunicação a que se refere o artigo 4.o, n.o 1, alínea d), em especial: a) As relativas à execução do orçamento; b) Aquisição e renovação; c) Questões contratuais. 13. A eu-LISA desenvolve e mantém um mecanismo e procedimentos de controlo da qualidade dos dados no ECRIS-TCN, apresentando relatórios periódicos aos Estados-Membros. A eu-LISA apresenta periodicamente à Comissão relatórios sobre os problemas encontrados e os Estados-Membros afetados. 14. A gestão operacional do ECRIS-TCN engloba todas as tarefas necessárias para assegurar o seu funcionamento, em conformidade com o presente regulamento, em especial o trabalho de manutenção e as adaptações técnicas necessárias para garantir o funcionamento do ECRIS-TCN com um nível satisfatório de acordo com as especificações técnicas. 15. A eu-LISA realiza tarefas relacionadas com a prestação de formação sobre a utilização técnica do ECRIS-TCN e da aplicação de referência do ECRIS. 16. Sem prejuízo do disposto no artigo 17.o do Estatuto dos Funcionários da União Europeia, estabelecido no Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho (17), a eu-LISA aplica as normas de sigilo profissional adequadas, ou outros deveres de confidencialidade equivalentes, a todos os elementos do seu pessoal que tenham de trabalhar com os dados registados no sistema central. Tal dever continua a aplicar-se depois de esses elementos do pessoal cessarem funções ou após a cessação da sua relação contratual ou atividade.

Artigo 12.o Responsabilidades dos Estados-Membros 1. Cada Estado-Membro é responsável: a) Por assegurar uma ligação segura entre as suas bases nacionais de dados dos registos criminais e de dados dactiloscópicos e o respetivo ponto de acesso central nacional; b) Pelo desenvolvimento, funcionamento e manutenção da ligação a que se refere a alínea a); c) Por assegurar a ligação entre os respetivos sistemas nacionais e a aplicação de referência do ECRIS; d) Pela gestão e pelas modalidades de acesso ao ECRIS-TCN pelo pessoal devidamente autorizado das autoridades centrais, em conformidade com o presente regulamento, bem como pela criação e atualização regular de uma lista desse pessoal e os perfis referidos no artigo 19.o, n.o 3, alínea g). 2. Cada Estado-Membro presta ao pessoal das suas autoridades centrais que tenham direito de acesso ao ECRIS-TCN a formação adequada, em especial sobre segurança de dados, normas de proteção de dados e direitos fundamentais aplicáveis, antes de autorizar que procedam ao tratamento dos dados armazenados no sistema central.

Artigo 13.o Responsabilidade pela utilização dos dados 1. Em conformidade com a legislação da União aplicável em matéria de proteção de dados, cada Estado-Membro assegura que os dados registados no ECRIS-TCN sejam tratados de forma lícita e, em especial, que: a) Apenas o pessoal devidamente autorizado tenha acesso aos dados para efeitos de desempenho das suas funções; b) Os dados sejam recolhidos de forma lícita no pleno respeito pela dignidade e dos direitos fundamentais do nacional de país terceiro; c) Os dados sejam introduzidos de forma lícita no ECRIS-TCN; d) Os dados sejam exatos e atualizados aquando da sua introdução no ECRIS-TCN. 2. A eu-LISA assegura que o ECRIS-TCN seja gerido em conformidade com o presente regulamento, com o ato delegado a que se refere o artigo 6.o, n.o 2, e com os atos de execução a que se refere o artigo 10.o, bem como em conformidade com o Regulamento (UE) 2018/1725. A eu-LISA toma, em especial, as medidas necessárias para garantir a segurança do sistema central e da infraestrutura de comunicação a que se refere o artigo 4.o, n. 1, alínea d), sem prejuízo das responsabilidades de cada Estado-Membro. 3. A eu-LISA informa o Parlamento Europeu, o Conselho e a Comissão, bem como a Autoridade Europeia para a Proteção de Dados, o mais rapidamente possível, das medidas que adotar em aplicação do n.o 2 com vista à entrada em funcionamento do ECRIS-TCN. 4. A Comissão coloca as informações referidas no n.o 3 à disposição dos Estados-Membros e do público, através de um sítio Web regularmente atualizado.

Artigo 14.o Acesso da Eurojust, da Europol e da EPPO 1. A Eurojust tem acesso direto ao ECRIS-TCN para efeitos da aplicação do artigo 17.o, bem como do exercício das suas atribuições, nos termos do artigo 2.o do Regulamento (UE) 2018/1727 do Parlamento Europeu e do Conselho, com vista a determinar os Estados-Membros que possuem informações sobre condenações anteriores de nacionais de países terceiros. 2. A Europol tem acesso direto ao ECRIS-TCN para efeitos do exercício das suas atribuições legais, nos termos do artigo 4.o, n.o 1, alíneas a) a e) e h), do Regulamento (UE) 2016/794, com vista a determinar os Estados-Membros que possuem informações sobre condenações anteriores de nacionais de países terceiros. 3. A EPPO tem acesso direto ao ECRIS-TCN para efeitos do exercício das suas atribuições, nos termos do artigo 4.o do Regulamento (UE) 2017/1939, com vista a determinar os Estados-Membros que possuem informações sobre condenações anteriores de nacionais de países terceiros. 4. Na sequência de uma resposta positiva que indique os Estados-Membros que possuem informações sobre o registo criminal de um nacional de país terceiro, a Eurojust, a Europol e a EPPO podem contactar as autoridades nacionais desses Estados-Membros para solicitar as informações do registo criminal do modo previsto nos seus respetivos atos de instituição.

Artigo 15.o Acesso do pessoal autorizado da Eurojust, da Europol e da EPPO A Eurojust, a Europol e a EPPO são responsáveis pela gestão e pelas modalidades de acesso ao ECRIS-TCN pelo pessoal devidamente autorizado, em conformidade com o presente regulamento, e ela criação e atualização regular de uma lista do referido pessoal e dos respetivos perfis.

Artigo 16.o Responsabilidades da Eurojust, da Europol e da EPPO A Eurojust, a Europol e a EPPO devem: a) Estabelecer os meios técnicos que permitam a ligação ao ECRIS-TCN, sendo responsáveis pela manutenção da ligação; b) Prestar formação adequada abrangendo, em particular, a segurança de dados, as regras de proteção de dados e os direitos fundamentais aplicáveis aos elementos do seu pessoal com direito de acesso ao ECRIS-TCN antes de autorizar que procedam ao tratamento dos dados armazenados no sistema central; c) Assegurar que os dados pessoais tratados pelo referido pessoal ao abrigo do presente regulamento sejam protegidos em conformidade com as regras aplicáveis em matéria de proteção de dados.

Artigo 17.o Ponto de contacto para os países terceiros e as organizações internacionais 1. Os países terceiros e as organizações internacionais podem, para efeitos de processo penal, dirigir à Eurojust os pedidos de informações relativas aos Estados-Membros, se algum houver, que possuam informações sobre registos criminais de nacionais de países terceiros. Para o efeito, devem utilizar o formulário normalizado constante do anexo ao presente regulamento. 2. Sempre que receba um pedido nos termos do n.o 1, a Eurojust utiliza o ECRIS-TCN para identificar os Estados-Membros, se algum houver, que possuam informações sobre o nacional de país terceiro em causa. 3. Se a resposta for positiva, a Eurojust deve indagar junto dos Estados-Membros que possuem informações sobre os registos criminais do nacional de país terceiro em causa se consentem que a Eurojust informe o país terceiro ou a organização internacional de qual o Estado-Membro em causa. Se esse Estado-Membro der o seu consentimento, a Eurojust informa o país terceiro ou a organização internacional de qual é esse Estado-Membro, e informa o país terceiro ou a organização internacional da forma como pode solicitar extratos do registo criminal junto desse Estado-Membro em conformidade com os procedimentos aplicáveis. 4. Nos casos em que a resposta seja negativa, ou sempre que a Eurojust não possa fornecer uma resposta em conformidade com o n.o 3 aos pedidos apresentados nos termos do presente artigo, informa o país terceiro ou a organização internacional em causa de que concluiu o procedimento, sem de modo nenhum indicar se algum dos Estados-Membros possui ou não informações sobre o registo criminal da pessoa em causa.

Artigo 18.o Prestação de informações a países terceiros, organizações internacionais ou entidades privadas Nem a Eurojust, nem a Europol, nem a EPPO, nem qualquer autoridade central podem transferir ou disponibilizar a um país terceiro, organização internacional ou entidade privada, as informações obtidas a partir do ECRIS-TCN sobre um nacional de país terceiro. O presente artigo não prejudica o disposto no artigo 17.o, n.o 3.

Artigo 19.o Segurança dos dados 1. A eu-LISA toma as medidas necessárias para garantir a segurança do ECRIS-TCN, sem prejuízo das responsabilidades que incumbem a cada Estado-Membro, tendo em conta as medidas de segurança especificadas no n.o 3. 2. No que diz respeito ao funcionamento do ECRIS-TCN, a eu-LISA adota as medidas necessárias para alcançar os objetivos mencionados no n.o 3, incluindo a adoção de um plano de segurança e de um plano de retoma de atividades e de recuperação na sequência de catástrofes, e para assegurar que os sistemas instalados possam ser reestabelecidos em caso de interrupção. 3. Os Estados-Membros garantem a segurança dos dados antes e durante a sua transmissão ao ponto de acesso central nacional. Em especial, cada Estado-Membro deve: a) Proteger fisicamente os dados, nomeadamente através da elaboração de planos de emergência para a proteção da infraestrutura; b) Impedir o acesso de pessoas não autorizadas às instalações nacionais em que são realizadas as operações que incumbem ao Estado-Membro para fins do ECRIS-TCN; c) Impedir que os suportes de dados possam ser lidos, copiados, alterados ou retirados sem autorização; d) Impedir a introdução não autorizada de dados, bem como qualquer inspeção, alteração ou apagamento não autorizados de dados pessoais armazenados; e) Impedir o tratamento não autorizado de dados contidos no ECRIS-TCN e qualquer alteração ou apagamento não autorizados dos dados tratados no ECRIS-TCN; f) Assegurar que as pessoas autorizadas a aceder ao ECRIS-TCN tenham acesso aos dados abrangidos pela respetiva autorização de acesso unicamente através de nomes de utilizador individuais e de modos de acesso confidenciais; g) Assegurar que todas as autoridades com direito de acesso ao ECRIS-TCN criem perfis que descrevam as funções e responsabilidades das pessoas autorizadas a aceder, retificar, apagar, consultar e pesquisar dados, e que disponibilizem sem demora injustificada esses perfis às autoridades nacionais de controlo, a pedido destas; h) Assegurar a possibilidade de verificar e determinar as entidades, serviços e agências da União às quais podem ser transmitidos os dados pessoais através de equipamentos de comunicação de dados; i) Assegurar a possibilidade de verificar e determinar que tipos de dados foram tratados no ECRIS-TCN, em que momento, por quem e com que finalidade; j) Impedir a leitura, a cópia, a alteração ou o apagamento não autorizados de dados pessoais durante a sua transmissão de e para o ECRIS-TCN, ou durante o transporte dos suportes de dados, em especial através de técnicas de cifragem adequadas; k) Fiscalizar a eficácia das medidas de segurança referidas no presente número e adota as medidas organizativas necessárias relacionadas com o autocontrolo e a supervisão, de forma a assegurar a conformidade com o presente regulamento. 4. A eu-LISA e os Estados-Membros cooperam para garantir uma abordagem coerente da segurança dos dados, com base num processo de gestão dos riscos de segurança que englobe todo o ECRIS-TCN.

Artigo 20.o Responsabilidade 1. Qualquer pessoa ou Estado-Membro que tenha sofrido um dano patrimonial ou não-patrimonial em razão de um tratamento ilícito ou de qualquer outro ato incompatível com o presente regulamento tem direito a ser indemnizado: a) Pelo Estado-Membro responsável por esse dano; ou b) Pela eu-LISA, quando esta não tiver cumprido as obrigações estabelecidas no presente regulamento ou no Regulamento (UE) 2018/1725. O Estado-Membro responsável pelo dano sofrido ou a eu-LISA, respetivamente, são total ou parcialmente exonerados dessa responsabilidade se provarem que o facto que deu origem ao dano não lhes é imputável. 2. Se o incumprimento, por parte de um Estado-Membro, da Eurojust, da Europol ou da EPPO, das obrigações que lhes incumbem por força do presente regulamento causar danos ao ECRIS-TCN, esse Estado-Membro, a Eurojust, a Europol ou a EPPO, respetivamente, são considerados responsáveis pelos danos na medida em que a eu-LISA ou outro Estado-Membro participante no ECRIS-TCN não tenha tomado medidas razoáveis para prevenir os danos ou minimizar o seu impacto. 3. Os pedidos de indemnização a um Estado-Membro pelos danos referidos nos n.os 1 e 2 são regulados pelo direito do Estado-Membro requerido. Os pedidos de indemnização à eu-LISA, à Eurojust, à Europol ou à EPPO pelos danos referidos nos n.os 1 e 2 são regulados pelos respetivos atos de instituição.

Artigo 21.o Autocontrolo Os Estados-Membros asseguram que cada autoridade central tome as medidas necessárias para dar cumprimento ao disposto no presente regulamento e coopere, se necessário, com as autoridades de controlo.

Artigo 22.o Sanções Em conformidade com o direito nacional ou da União, qualquer utilização abusiva dos dados introduzidos no ECRIS-TCN é passível de sanções ou de medidas disciplinares efetivas, proporcionadas e dissuasivas.

CAPÍTULO V

Direitos e fiscalização em matéria de proteção de dados

Artigo 23.o Responsável pelo tratamento de dados e subcontratante 1. Cada autoridade central é considerada responsável, em conformidade com as regras da União aplicáveis em matéria de proteção de dados, pelo tratamento de dados pessoais pelo Estado-Membro dessa autoridade central ao abrigo do presente regulamento. 2. A eu-LISA é considerada subcontratante, em conformidade com o Regulamento (UE) 2018/1725, no que diz respeito aos dados pessoais introduzidos no sistema central pelos Estados-Membros.

Artigo 24.o Finalidade do tratamento de dados pessoais 1. Os dados introduzidos no sistema central só podem ser tratados para efeitos da determinação dos Estados-Membros que possuem informações sobre os registos criminais de nacionais de países terceiros. 2. Com exceção do pessoal devidamente autorizado da Eurojust, da Europol e da EPPO que tem acesso ao ECRIS-TCN para efeitos do presente regulamento, o acesso ao ECRIS-TCN está exclusivamente reservado ao pessoal devidamente autorizado das autoridades centrais. O acesso é limitado na medida necessária à execução de funções conformes com a finalidade a que se refere o n.o 1, e ao que é necessário e proporcional aos objetivos pretendidos.

Artigo 25.o Direito de acesso, retificação, apagamento e limitação do tratamento 1. Os pedidos de nacionais de países terceiros relativos aos direitos de acesso a dados pessoais, à retificação, ao apagamento e à limitação do tratamento de dados pessoais, que estão previstos nas regras da União aplicáveis em matéria de proteção de dados, podem ser dirigidos à autoridade central de qualquer Estado-Membro. 2. Se for apresentado um pedido a um Estado-Membro diferente do Estado-Membro de condenação, o Estado-Membro ao qual tiver sido apresentado o pedido reencaminha-o para o Estado-Membro de condenação sem demora injustificada, e, em qualquer caso, no prazo de dez dias a contar da receção do pedido. Ao receber o pedido, o Estado-Membro de condenação deve: a) Iniciar imediatamente um procedimento de verificação da exatidão dos dados em causa ou da licitude do seu tratamento no ECRIS-TCN; e b) Responder sem demora injustificada ao Estado-Membro que tiver reencaminhado o pedido. 3. Se os dados registados no ECRIS-TCN forem inexatos ou tiverem sido tratados de forma ilícita, o Estado-Membro de condenação procede à sua retificação ou apagamento, em conformidade com o artigo 9.o. O Estado-Membro de condenação ou, se aplicável, o Estado-Membro ao qual tiver sido apresentado o pedido, confirma por escrito e sem demora injustificada à pessoa em causa que tomou as medidas necessárias para proceder à retificação ou ao apagamento de tais dados. O Estado-Membro de condenação comunica também sem demora injustificada a qualquer outro Estado-Membro que tenha sido destinatário das informações sobre condenações obtidas na sequência de uma consulta ao ECRIS-TCN quais as medidas que foram tomadas. 4. Se o Estado-Membro de condenação não considerar que os dados registados no sistema ECRIS-TCN são inexatos ou foram tratados de forma ilícita, adota uma decisão administrativa ou judicial, explicando por escrito à pessoa em causa as razões pelas quais não está disposto a retificar ou a apagar tais dados. Se for adequado, tais casos podem ser comunicados à autoridade nacional de supervisão. 5. O Estado-Membro que tiver adotado a decisão nos termos do n.o 4 faculta igualmente à pessoa em causa informações sobre as medidas que esta pode tomar caso não considere aceitável a explicação dada nos termos do n.o 4. Tais informações incluem a forma de intentar uma ação ou apresentar uma reclamação às autoridades competentes ou aos tribunais desse Estado-Membro, bem como a eventual assistência de que pode beneficiar por parte das autoridades nacionais de controlo, em conformidade com o direito nacional desse Estado-Membro. 6. Qualquer pedido apresentado nos termos do n.o 1 deve incluir as informações necessárias para identificar a pessoa em causa. Essas informações são utilizadas exclusivamente para efeitos do exercício dos direitos referidos no n.o 1, após o que serão imediatamente apagadas. 7. Se o n.o 2 for aplicável, a autoridade central a quem o pedido foi dirigido conserva um registo escrito de que esse pedido foi feito, acerca da forma como ele foi tratado e com indicação da autoridade para a qual foi reencaminhado. A pedido da autoridade nacional de controlo, a autoridade central disponibiliza esse registo sem demora a essa autoridade nacional de controlo. A autoridade central e a autoridade nacional de controlo suprimem tais registos após três anos a contar da sua criação.

Artigo 26.o Cooperação com vista a garantir os direitos em matéria de proteção de dados 1. As autoridades centrais cooperam entre si, a fim de assegurar o respeito pelos direitos estabelecidos no artigo 25.o. 2. Em cada Estado-Membro, a autoridade nacional de controlo presta, a pedido do interessado, informações sobre o modo de exercer o seu direito a obter a retificação ou o apagamento dos dados que lhe digam respeito, em conformidade com as regras da União aplicáveis em matéria de proteção de dados. 3. Para efeitos do presente artigo, a autoridade nacional de controlo do Estado-Membro que transmitiu os dados e a autoridade nacional de controlo dos Estados-Membros à qual o pedido foi apresentado cooperam entre si.

Artigo 27.o Vias de recurso Qualquer pessoa tem o direito de apresentar queixa e o direito de recurso no Estado-Membro de condenação que lhe tiver recusado o direito de acesso, de retificação ou de apagamento dos dados que lhe digam respeito, referido no artigo 25.o, em conformidade com o direito nacional ou da União.

Artigo 28.o Supervisão pelas autoridades nacionais de controlo 1. Cada Estado-Membro assegura que as autoridades nacionais de controlo, designadas nos termos das regras da União aplicáveis em matéria de proteção de dados, supervisionam a licitude do tratamento dos dados pessoais a que se referem os artigos 5.o e 6.o, pelo Estado-Membro em causa, incluindo a sua transmissão ao ECRIS-TCN e a partir do mesmo. 2. A autoridade nacional de controlo assegura que seja efetuada, no mínimo de três em três anos, uma auditoria das operações de tratamento de dados nos registos criminais e nas bases de dados dactiloscópicos nacionais relacionadas com o intercâmbio de dados entre esses sistemas e o ECRIS-TCN, em conformidade com as normas internacionais de auditoria aplicáveis a contar da entrada em funcionamento do ECRIS-TCN. 3. Os Estados-Membros asseguram que as autoridades nacionais de controlo dispõem dos meios necessários para desempenhar as funções que lhe são confiadas nos termos do presente regulamento. 4. Cada Estado-Membro presta todas as informações solicitadas pelas suas autoridades nacionais de controlo e, em especial, informa-as das atividades desenvolvidas em conformidade com os artigos 12.o, 13.o e 19.o. Cada Estado-Membro faculta às suas autoridades nacionais de controlo o acesso aos respetivos registos mencionados no artigo 25.o, n.o 7, e no artigo 31.o, n.o 6, bem como o acesso, a qualquer momento, a todas as suas instalações relacionadas com o ECRIS-TCN.

Artigo 29.o Supervisão pela Autoridade Europeia para a Proteção de Dados 1. A Autoridade Europeia para a Proteção de Dados deve velar por que as atividades de tratamento de dados pessoais efetuadas pela eu-LISA no âmbito do ECRIS-TCN sejam realizadas em conformidade com o presente regulamento. 2. A Autoridade Europeia para a Proteção de Dados deve assegurar que, no mínimo de três em três anos, é efetuada uma auditoria das atividades de tratamento de dados pessoais realizadas pela eu-LISA, em conformidade com as normas internacionais de auditoria aplicáveis. O relatório dessa auditoria é enviado ao Parlamento Europeu, ao Conselho, à Comissão, à eu-LISA e às autoridades de supervisão. A eu-LISA tem a possibilidade de apresentar observações antes da aprovação do relatório. 3. A eu-LISA deve fornecer as informações solicitadas pela Autoridade Europeia para a Proteção de Dados, conceder-lhe o acesso a todos os documentos e aos registos referidos no artigo 31.o e permitir-lhe o acesso, a qualquer momento, a todas as suas instalações.

Artigo 30.o Cooperação entre as autoridades nacionais de controlo e a Autoridade Europeia para a Proteção de Dados A supervisão coordenada do ECRIS-TCN é assegurada em conformidade com o artigo 62.o do Regulamento (UE) 2018/1725.

Artigo 31.o Conservação de registos 1. A eu-LISA e as autoridades competentes asseguram, em conformidade com as respetivas responsabilidades, que todas as operações de tratamento de dados no ECRIS-TCN sejam registadas nos termos do n.o 2 para fins de verificação da admissibilidade do pedido, de controlo da integridade e da segurança, e da licitude do tratamento dos dados, bem como para fins de autocontrolo. 2. O registo deve indicar: a) A finalidade do pedido de acesso aos dados do ECRIS-TCN; b) Os dados transmitidos, como referido no artigo 5.o; c) A referência do ficheiro nacional; d) A data e a hora exata da operação; e) Os dados utilizados para a consulta; f) Os dados de identificação do funcionário que efetuou a consulta. 3. O registo das consultas e dos resultados deve permitir determinar o motivo de tais operações. 4. Os registos só podem ser utilizados para controlar a licitude do tratamento de dados e assegurar a integridade e a segurança destes últimos. Só os registos que contenham dados de caráter não pessoal podem ser utilizados para o controlo e avaliação previstos no artigo 36.o. Os referidos registos são protegidos por medidas adequadas contra o acesso não autorizado e apagados no termo de um período de três anos, se já não forem necessários para procedimentos de controlo entretanto iniciados. 5. A eu-LISA disponibiliza sem demora injustificada às autoridades centrais, a pedido destas, os registos das suas operações de tratamento. 6. As autoridades nacionais de controlo responsáveis pela verificação da admissibilidade do pedido e pelo controlo da licitude do tratamento dos dados e da integridade e segurança dos mesmos, têm acesso aos registos, a seu pedido, para efeitos do exercício das suas funções. As autoridades centrais disponibilizam sem demora injustificada às autoridades nacionais de controlo competentes, a pedido destas, os registos das suas operações de tratamento.

CAPÍTULO VI

Disposições finais

Artigo 32.o Utilização de dados para a elaboração de relatórios e estatísticas 1. O pessoal devidamente autorizado da eu-LISA, das autoridades competentes e da Comissão apenas têm acesso aos dados tratados no âmbito do ECRIS-TCN para fins de elaboração de relatórios e estatísticas, sem permitir uma identificação individual. 2. Para efeitos do n.o 1, a eu-LISA cria, implementa e acolhe um repositório central nas suas instalações técnicas que contenha os dados a que se refere o n.o 1, que, sem permitir uma identificação individual, permita elaborar relatórios e estatísticas adaptáveis. O acesso ao repositório central é concedido por meio de um controlo de acesso seguro e de perfis de utilizador específicos utilizados exclusivamente para fins de elaboração de relatórios e estatísticas. 3. Os procedimentos instaurados pela eu-LISA para acompanhar o funcionamento do ECRIS-TCN, referidos no artigo 36.o, bem como a aplicação de referência do ECRIS, devem incluir a possibilidade de elaborar regularmente estatísticas para fins de acompanhamento. A eu-LISA apresenta à Comissão estatísticas mensais sobre o registo, armazenamento e intercâmbio de informações extraídas dos registos criminais através do ECRIS-TCN e da aplicação de referência do ECRIS. A eu-LISA deve garantir que não é possível a identificação de indivíduos com base nessas estatísticas. A pedido da Comissão, a eu-LISA deve facultar-lhe estatísticas sobre certos aspetos específicos relacionados com a aplicação do presente regulamento. 4. Os Estados-Membros devem facultar à eu-LISA as estatísticas necessárias ao cumprimento das suas obrigações nos termos do presente artigo. Devem facultar à Comissão estatísticas sobre o número de nacionais de países terceiros objeto de condenação e o número de condenações de nacionais de países terceiros no seu território.

Artigo 33.o Custos 1. Os custos decorrentes da criação e do funcionamento do sistema central, da infraestrutura de comunicação referida no artigo 4.o, n.o 1, alínea d), do software de interface e da aplicação de referência do ECRIS são suportados pelo orçamento geral da União. 2. Os custos de ligação da Eurojust, da Europol e da EPPO ao ECRIS-TCN ficam a cargo dos respetivos orçamentos. 3. Outros custos ficam a cargo dos Estados-Membros, em especial os custos decorrentes da ligação dos registos criminais nacionais existentes, das bases de dados dactiloscópicos e das autoridades centrais ao ECRIS-TCN, bem como os custos decorrentes do acolhimento da aplicação de referência do ECRIS.

Artigo 34.o Notificações 1. Cada Estado-Membro notifica a eu-LISA quanto à respetiva autoridade central ou autoridades centrais que têm acesso para introduzir, retificar, apagar, consultar ou pesquisar dados, bem como qualquer alteração a este respeito. 2. A eu-LISA assegura a publicação da lista das autoridades centrais notificadas pelos Estados-Membros, tanto no Jornal Oficial da União Europeia como no seu sítio Web. Quando seja notificada da mudança de uma autoridade central de um Estado-Membro, a eu-LISA atualiza essa lista sem demora injustificada.

Artigo 35.o Introdução de dados e entrada em funcionamento 1. A Comissão determina a data a partir da qual os Estados-Membros introduzem os dados referidos no artigo 5.o no ECRIS-TCN assim que considerar que estão reunidas as seguintes condições: a) Tiverem sido adotados os atos de execução pertinentes previstos no artigo 10.o; b) Os Estados-Membros tiverem validado as disposições técnicas e jurídicas necessárias para recolher e transmitir os dados referidos no artigo 5.o ao ECRIS-TCN e procedido à sua comunicação à Comissão; c) A eu-LISA tiver realizado um teste global do ECRIS-TCN, em cooperação com os Estados-Membros, utilizando dados de teste anónimos. 2. Quando a Comissão tiver fixado a data de início da introdução de dados nos termos do n.o 1, informa disso os Estados-Membros. Num prazo de dois meses a contar da referida data, os Estados-Membros introduzem no ECRIS-TCN os dados referidos no artigo 5.o, tendo em conta o artigo 41.o, n.o 2. 3. Após o fim do prazo referido no n.o 2, a eu-LISA realiza um teste final do ECRIS-TCN, em cooperação com os Estados-Membros. 4. Quando o teste referido no n.o 3 tiver sido concluído com resultados positivos e a eu-LISA considerar que o ECRIS-TCN está pronto para entrar em funcionamento, notifica a Comissão. A Comissão informa o Parlamento Europeu e o Conselho dos resultados do teste e decide em que data o ECRIS-TCN entra em funcionamento. 5. A decisão da Comissão sobre a data de entrada em funcionamento do ECRIS-TCN referida no n.o 4 é publicada no Jornal Oficial da União Europeia. 6. Os Estados-Membros começam a utilizar o ECRIS-TCN a partir da data determinada pela Comissão em conformidade com o n.o 4. 7. Ao tomar as decisões referidas no presente artigo, a Comissão pode especificar diferentes datas para a introdução dos dados alfanuméricos e dos dados dactiloscópicos a que se refere o artigo 5.o no ECRIS-TCN e para a entrada em funcionamento no que diz respeito a essas diferentes categorias de dados.

Artigo 36.o Acompanhamento e avaliação 1. A eu-LISA assegura a criação de procedimentos para acompanhar o desenvolvimento do ECRIS-TCN, tendo em conta os objetivos fixados em termos de planeamento e de custos, e para acompanhar o funcionamento do ECRIS-TCN e da aplicação de referência do ECRIS tendo em conta os objetivos fixados em termos de resultados técnicos, custo-eficácia, segurança e qualidade do serviço. 2. Para efeitos do acompanhamento do funcionamento do ECRIS-TCN e da sua manutenção técnica, a eu-LISA tem acesso às informações necessárias respeitantes às operações de tratamento de dados efetuadas no ECRIS-TCN e na aplicação de referência do ECRIS. 3. Até 12 de dezembro de 2019 e, posteriormente, de seis em seis meses durante a fase de conceção e desenvolvimento, a eu-LISA apresenta ao Parlamento Europeu e ao Conselho um relatório sobre o desenvolvimento do ECRIS-TCN e da aplicação de referência do ECRIS. 4. O relatório a que se refere o n.o 3 deve incluir uma panorâmica geral das despesas correntes e da evolução do projeto, uma avaliação do impacto financeiro e informações sobre eventuais problemas técnicos e riscos suscetíveis de afetar os custos globais do ECRIS-TCN a suportar pelo orçamento geral da União nos termos do artigo 33.o. 5. Em caso de atrasos substanciais no processo de desenvolvimento, eu-LISA informa o Parlamento Europeu e o Conselho, o mais rapidamente possível, das causas desses atrasos e do seu impacto no calendário e a nível financeiro. 6. Uma vez concluída a fase de desenvolvimento do ECRIS-TCN e da aplicação de referência do ECRIS, a eu-LISA apresenta ao Parlamento Europeu e ao Conselho um relatório que explica a forma como os objetivos, em especial de planeamento e de custos, foram alcançados, justificando igualmente as eventuais divergências. 7. Caso se proceda a uma atualização técnica do ECRIS-TCN suscetível de gerar custos substanciais, a eu-LISA informa o Parlamento Europeu e o Conselho. 8. Dois anos após a entrada em funcionamento do ECRIS-TCN e, posteriormente, todos os anos, a eu-LISA apresenta à Comissão um relatório sobre o funcionamento técnico do ECRIS-TCN e da aplicação de referência do ECRIS, incluindo a respetiva segurança, baseado nomeadamente nas estatísticas sobre o funcionamento e a utilização do ECRIS-TCN, bem como sobre o intercâmbio, através da aplicação de referência do ECRIS, de informações extraídas dos registos criminais. 9. Quatro anos após a entrada em funcionamento do ECRIS-TCN e, posteriormente, de quatro em quatro anos, a Comissão realiza uma avaliação global do ECRIS-TCN e da aplicação de referência do ECRIS. O relatório da avaliação global elaborado nesta base deve incluir uma avaliação da aplicação do presente regulamento e uma análise dos resultados obtidos relativamente aos objetivos fixados e do impacto sobre os direitos fundamentais. O relatório deve incluir também uma avaliação relativa à valia dos princípios subjacentes ao funcionamento do ECRIS-TCN, à adequação do uso de dados biométricos para os fins do ECRIS-TCN, bem como uma avaliação da segurança do ECRIS-TCN e de possíveis implicações, em termos de segurança, para o seu funcionamento futuro. A avaliação deve incluir as eventuais recomendações consideradas necessárias. A Comissão envia o relatório ao Parlamento Europeu, ao Conselho, à Autoridade Europeia para a Proteção de Dados e à Agência dos Direitos Fundamentais da União Europeia. 10. Além disso, a primeira avaliação global referida no n.o 9 deve incluir uma análise: a) Da medida em que, com base em dados estatísticos pertinentes e outras informações dos Estados-Membros, a inclusão, no ECRIS-TCN, de informações sobre a identidade dos cidadãos da União que têm também a nacionalidade de um país terceiro contribuiu para alcançar os objetivos do presente regulamento; b) Da possibilidade de alguns Estados-Membros continuarem a utilizar o software nacional de aplicação do ECRIS referido no artigo 4.o; c) Da introdução de dados dactiloscópicos no ECRIS-TCN, em particular da aplicação dos critérios mínimos referidos no artigo 5.o, n.o 1, alínea b), subalínea ii); d) Do impacto do ECRIS e do ECRIS-TCN sobre a proteção de dados pessoais. A análise pode, se necessário, ser acompanhada de propostas legislativas. As avaliações globais subsequentes podem incluir a análise de um ou de todos esses aspetos. 11. Os Estados-Membros, a Eurojust, a Europol e a EPPO comunicam à eu-LISA e à Comissão as informações necessárias à elaboração dos relatórios referidos nos n.os 3, 8 e 9, de acordo com os indicadores quantitativos previamente definidos pela Comissão, pela eu-LISA ou por ambas. Tais informações não podem prejudicar os métodos de trabalho nem incluir dados que revelem as fontes, a identidade do pessoal ou as investigações. 12. Se for pertinente, as autoridades nacionais de controlo comunicam à eu-LISA e à Comissão as informações necessárias à elaboração dos relatórios referidos no n.o 9, de acordo com os indicadores quantitativos previamente definidos pela Comissão, pela eu-LISA ou por ambas. Tais informações não podem prejudicar os métodos de trabalho nem incluir dados que revelem as fontes, a identidade do pessoal ou as investigações. 13. A eu-LISA comunica à Comissão as informações necessárias à elaboração das avaliações globais referidas no n.o 9.

Artigo 37.o Exercício da delegação 1. O poder de adotar atos delegados é conferido à Comissão nas condições estabelecidas no presente artigo. 2. O poder de adotar atos delegados referidos no artigo 6.o, n.o 2, é conferido à Comissão por tempo indeterminado a contar de 11 de junho de 2019. 3. A delegação de poderes referida no artigo 6.o, n.o 2, pode ser revogada em qualquer momento pelo Parlamento Europeu ou pelo Conselho. A decisão de revogação põe termo à delegação dos poderes nela especificados. A decisão de revogação produz efeitos a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia ou de uma data posterior nela especificada. A decisão de revogação não afeta os atos delegados já em vigor. 4. Antes de adotar um ato delegado, a Comissão consulta os peritos designados por cada Estado-Membro de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor. 5. Assim que adotar um ato delegado, a Comissão notifica-o, simultaneamente, ao Parlamento Europeu e ao Conselho. 6. Os atos delegados adotados nos termos do artigo 6.o, n.o 2, só entram em vigor se não tiverem sido formuladas objeções pelo Parlamento Europeu ou pelo Conselho no prazo de [dois meses] a contar da notificação do ato ao Parlamento Europeu e ao Conselho, ou se, antes do termo desse prazo, o Parlamento Europeu e o Conselho tiverem informado a Comissão de que não têm objeções a formular. O referido prazo é prorrogável por [dois meses] por iniciativa do Parlamento Europeu ou do Conselho.

Artigo 38.o Procedimento de comité 1. A Comissão é assistida por um comité. Este comité é um comité na aceção do Regulamento (UE) n.o 182/2011. 2. Caso se remeta para o presente número, aplica-se o artigo 5.o do Regulamento (UE) n.o 182/2011. Na falta de parecer do comité, a Comissão não adota o projeto de ato de execução, aplicando-se o artigo 5.o, n.o 4, terceiro parágrafo, do Regulamento (UE) n.o 182/2011.

Artigo 39.o Grupo Consultivo A eu-LISA cria um grupo consultivo a fim de obter conhecimentos especializados relacionados com o ECRIS-TCN e a aplicação de referência do ECRIS, em especial no contexto da elaboração do seu programa de trabalho anual e do relatório anual de atividades. Durante a fase de conceção e de desenvolvimento, aplica-se o artigo 11.o, n.o 9.

Artigo 40.o Alterações do Regulamento (UE) 2018/1726 O Regulamento (UE) 2018/1726 é alterado do seguinte modo: 1) No artigo 1.o, o n.o 4 passa a ter a seguinte redação: «4. A Agência é responsável pela preparação, pelo desenvolvimento e pela gestão operacional do Sistema de Entrada/Saída (SES), da DubliNet, do Sistema Europeu de Informação e Autorização de Viagem (ETIAS), do ECRIS-TCN e da aplicação de referência do ECRIS.»; 2) É aditado o seguinte artigo: «Artigo 8.o-A Funções relacionadas com o ECRIS-TCN e a aplicação de referência do ECRIS No que respeita ao ECRIS-TCN e à aplicação de referência do ECRIS, a Agência desempenha: a) As funções que lhe são conferidas pelo Regulamento (UE) 2019/816 do Parlamento Europeu e do Conselho (*1); b) As funções relacionadas com a formação para a utilização técnica do ECRIS-TCN e da aplicação de referência do ECRIS.» (*1) Regulamento (UE) 2019/816 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, que cria um sistema centralizado para a determinação dos Estados-Membros que possuem informações sobre condenação de nacionais de países terceiros e de apátridas (ECRIS-TCN) tendo em vista completar o Sistema Europeu de Informação sobre Registos Criminais e que altera o Regulamento (UE) 2018/1726 (HL L 135., 2019.5.22., 1. o.).»;" 3) No artigo 14.o, o n.o 1 passa a ter a seguinte redação: «1. A Agência acompanha a evolução das atividades de investigação pertinentes para a gestão operacional do SIS II, do VIS, do Eurodac, do SES, do ETIAS, da DubliNet, do ECRIS-TCN e de outros sistemas informáticos de grande escala referidos no artigo 1.o, n.o 5.»; 4) No artigo 19.o, o n.o 1 é alterado do seguinte modo: a) A alínea ee) passa a ter a seguinte redação: «ee) Adota os relatórios sobre o desenvolvimento do SES, nos termos do artigo 72. o , n. o 2, do Regulamento (UE) 2017/2226, os relatórios sobre o desenvolvimento do ETIAS, nos termos do artigo 92. o , n. o 2, do Regulamento (UE) 2018/1240, e os relatórios sobre o desenvolvimento do ECRIS-TCN e sobre a aplicação de referência do ECRIS, nos termos do artigo 36. o , n. o 3, do Regulamento (UE) 2019/816;»; b) A alínea ff) passa a ter a seguinte redação: «ff) Adota os relatórios sobre o funcionamento técnico do SIS II, nos termos, respetivamente, do artigo 50. o , n. o 4, do Regulamento (CE) n. o 1987/2006 e do artigo 66. o , n. o 4, da Decisão 2007/533/JAI, do VIS, nos termos do artigo 50. o , n. o 3, do Regulamento (CE) n. o 767/2008 e do artigo 17. o , n. o 3, da Decisão 2008/633/JAI, do SES, nos termos do artigo 72. o , n. o 4, do Regulamento (UE) 2017/2226, e do ETIAS, nos termos do artigo 92. o , n. o 4, do Regulamento (UE) 2018/1240, do ECRIS-TCN e da aplicação de referência do ECRIS, nos termos do artigo 36. o , n. o 8, do Regulamento (UE) 2019/816;»; c) A alínea hh) passa a ter a seguinte redação: «hh) Adota observações formais sobre os relatórios da Autoridade Europeia para a Proteção de Dados relativos às auditorias efetuadas nos termos do artigo 45. o , n. o 2, do Regulamento (CE) n. o 1987/2006, do artigo 42. o , n. o 2, do Regulamento (CE) n. o 767/2008, do artigo 31. o , n. o 2, do Regulamento (UE) n. o 603/2013, do artigo 56. o , n. o 2, do Regulamento (UE) 2017/2226, do artigo 67. o do Regulamento (UE) 2018/1240 e do artigo 29. o , n. o 2, do Regulamento (UE) 2019/816 e assegura que seja dado o adequado seguimento a essas auditorias;»; d) É aditada a seguinte alínea: «ll-A) Apresenta à Comissão estatísticas relacionadas com o ECRIS-TCN e a aplicação de referência do ECRIS, nos termos do artigo 32. o , n. o 3, segundo parágrafo, do Regulamento (UE) 2019/816;»; e) A alínea mm) passa a ter a seguinte redação: «mm) Assegura a publicação anual da lista das autoridades competentes autorizadas a consultar diretamente os dados introduzidos no SIS II, nos termos do artigo 31. o , n. o 8, do Regulamento (CE) n. o 1987/2006 e do artigo 46. o , n. o 8, da Decisão 2007/533/JAI, juntamente com a lista dos serviços dos sistemas nacionais do SIS II (gabinetes N.SIS II) e dos gabinetes SIRENE, nos termos do artigo 7. o , n. o 3, do Regulamento (CE) n. o 1987/2006 e no artigo 7. o , n. o 3, da Decisão 2007/533/JAI, respetivamente, bem como a lista das autoridades competentes nos termos do artigo 65. o , n. o 2, do Regulamento (UE) 2017/2226, a lista das autoridades competentes nos termos do artigo 87. o , n. o 2, do Regulamento (UE) 2018/1240 e a lista das autoridades centrais nos termos do artigo 34. o , n. o 2, do Regulamento (UE) 2019/816;»; 5) No artigo 22.o, n.o 4, após o terceiro parágrafo é inserido o seguinte parágrafo: «A Eurojust, a Europol e a EPPO podem igualmente participar com o estatuto de observador nas reuniões do Conselho de Administração quando figure na ordem de trabalhos qualquer questão relativa ao ECRIS-TCN que esteja relacionada com o Regulamento (UE) 2019/816.»; 6) No artigo 24.o, n.o 3, a alínea p) passa a ter a seguinte redação: «p) A criação das normas de confidencialidade, sem prejuízo do disposto no artigo 17. o do Estatuto dos Funcionários, em cumprimento do disposto no artigo 17. o do Regulamento (CE) n. o 1987/2006, no artigo 17. o da Decisão 2007/533/JAI, no artigo 26. o , n. o 9, do Regulamento (CE) n. o 767/2008, no artigo 4. o , n. o 4, do Regulamento (UE) n. o 603/2013, no artigo 37. o , n. o 4, do Regulamento (UE) 2017/2226, no artigo 74. o , n. o 2, do Regulamento (UE) 2018/1240 e no artigo 11. o , n. o 16, do Regulamento (UE) 2019/816»; 7) No artigo 27.o, n.o 1, é inserida a seguinte alínea: «da) Grupo Consultivo do ECRIS-TCN;».

Artigo 41.o Aplicação e disposições transitórias 1. Os Estados-Membros tomam as medidas necessárias para dar cumprimento ao presente regulamento o mais rapidamente possível, a fim de assegurar o bom funcionamento do ECRIS-TCN. 2. No respeitante às condenações proferidas antes da data de início da introdução dos dados nos termos do artigo 35.o, n.o 1, as autoridades centrais criam os ficheiros individuais no sistema central do seguinte modo: a) Os dados alfanuméricos devem ser introduzidos no sistema central até ao final do período referido no artigo 35.o, n.o 2; b) Os dados dactiloscópicos devem ser introduzidos no sistema central o mais tardar dois anos após a entrada em funcionamento, nos termos do artigo 35.o, n.o 4.

Artigo 42.o Entrada em vigor O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros, em conformidade com os Tratados. Feito em Estrasburgo, em 17 de abril de 2019. Pelo Parlamento Europeu O Presidente A. TAJANI Pelo Conselho O Presidente G. CIAMBA

(1) Posição do Parlamento Europeu de 12 de março de 2019 (ainda não publicada no Jornal Oficial) e decisão do Conselho de 9 de abril de 2019.

(2) Decisão-Quadro 2008/675/JAI do Conselho, de 24 de julho de 2008, relativa à tomada em consideração das decisões de condenação nos Estados-Membros da União Europeia por ocasião de um novo procedimento penal (JO L 220 de 15.8.2008, p. 32).

(3) Decisão-Quadro 2009/315/JAI do Conselho, de 26 de fevereiro de 2009, relativa à organização e ao conteúdo do intercâmbio de informações extraídas do registo criminal entre os Estados-Membros (JO L 93 de 7.4.2009, p. 23).

(4) Decisão 2009/316/JAI do Conselho, de 6 de abril de 2009, relativa à criação do sistema europeu de informação sobre os registos criminais (ECRIS) em aplicação do artigo 11.o da Decisão-Quadro 2009/315/JAI (JO L 93 de 7.4.2009, p. 33).

(5) Regulamento (UE) 2018/1726 do Parlamento Europeu e do Conselho, de 14 de novembro de 2018, relativo à Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA), que altera o Regulamento (CE) n.o 1987/2006 e a Decisão 2007/533/JAI do Conselho, e que revoga o Regulamento (UE) n.o 1077/2011 (JO L 295 de 21.11.2018, p. 99).

(6) Diretiva 2011/93/UE do Parlamento Europeu e do Conselho, de 13 de dezembro de 2011, relativa à luta contra o abuso sexual e a exploração sexual de crianças e a pornografia infantil, e que substitui a Decisão-Quadro 2004/68/JAI do Conselho (JO L 335 de 17.12.2011, p. 1).

(7) Regulamento (UE) 2018/1727 do Parlamento Europeu e do Conselho, de 14 de novembro de 2018, que cria a Agência da União Europeia para a Cooperação Judiciária Penal (Eurojust), e que substitui e revoga a Decisão 2002/187/JAI do Conselho (JO L 295 de 21.11.2018, p. 138).

(8) Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, que cria a Agência da União Europeia para a Cooperação Policial (Europol) e que substitui e revoga as Decisões 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI e 2009/968/JAI do Conselho (JO L 135 de 24.5.2016, p. 53).

(9) Regulamento (UE) 2017/1939 do Conselho, de 12 de outubro de 2017, que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia (JO L 283 de 31.10.2017, p. 1).

(10) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).

(11) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(12) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento dos dados pessoais por parte das instituições, órgãos, organismos e agências da União e à livre circulação desses dados e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

(13) JO L 123 de 12.5.2016, p. 1.

(14) Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho, de 16 de fevereiro de 2011, que estabelece as regras e os princípios gerais relativos aos mecanismos de controlo pelos Estados-Membros do exercício das competências de execução pela Comissão (JO L 55 de 28.2.2011, p. 13).

(15) Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO L 8 de 12.1.2001, p. 1).

(16) JO C 55 de 14.2.2018, p. 4.

(17) JO L 56 de 4.3.1968, p. 1.