REGULAMENTO DELEGADO (UE) 2021/2104 DA COMISSÃO

de 19 de agosto de 2021

que estabelece regras pormenorizadas sobre o funcionamento do portal Web, nos termos do artigo 49.o, n.o 6, do Regulamento (UE) 2019/817 do Parlamento Europeu e do Conselho

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2019/817 do Parlamento Europeu e do Conselho, de 20 de maio de 2019, relativo à criação de um regime de interoperabilidade entre os sistemas de informação da UE no domínio das fronteiras e vistos e que altera os Regulamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 e (UE) 2018/1861 do Parlamento Europeu e do Conselho, e as Decisões 2004/512/CE e 2008/633/JAI do Conselho (1), nomeadamente o artigo 49.o, n.o 6,

Considerando o seguinte:

(1) O Regulamento (UE) 2019/817, juntamente com o Regulamento (UE) 2019/818 do Parlamento Europeu e do Conselho (2), estabelece um quadro para assegurar a interoperabilidade entre os sistemas de informação da UE no domínio das fronteiras, dos vistos, da cooperação policial e judiciária, do asilo e da migração.

(2) Esse quadro inclui uma série de componentes da interoperabilidade que implicam o tratamento de quantidades significativas de dados pessoais sensíveis. Importa que as pessoas cujos dados são tratados por meio desses componentes possam exercer efetivamente os seus direitos enquanto titulares de dados, como exigido pelo Regulamento (UE) 2016/679 (3), a Diretiva (UE) 2016/680 (4) e o Regulamento (UE) 2018/1725 (5) do Parlamento Europeu e do Conselho.

(3) A fim de facilitar o exercício do direito à informação, ao acesso, retificação, apagamento ou limitação do tratamento de dados pessoais, o Regulamento (UE) 2019/817 estabelece a criação de um portal Web.

(4) Este portal Web deve permitir às pessoas cujos dados sejam tratados no detetor de identidades múltiplas e que tenham sido informadas da presença de uma ligação vermelha ou branca obter os dados de contacto da autoridade competente do Estado-Membro responsável pela verificação manual das diferentes identidades.

(5) A fim de facilitar a comunicação entre o utilizador do portal e a autoridade competente do Estado-Membro responsável pela verificação manual das diferentes identidades, o portal Web deve incluir um modelo de mensagem de correio eletrónico disponível nas línguas estabelecidas no presente regulamento. Deve igualmente permitir escolher a(s) língua(s) a utilizar na resposta.

(6) A fim de clarificar as responsabilidades respetivas relativamente ao portal Web, o presente regulamento deve especificar as responsabilidades da Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA), da Comissão e dos Estados-Membros.

(7) Para efeitos de um funcionamento seguro e harmonioso do portal Web, o presente regulamento deve estabelecer regras relativas à segurança das informações nele disponíveis. O acesso ao portal Web deve ser registado, a fim de evitar qualquer utilização abusiva.

(8) Dado que o Regulamento (UE) 2019/817 se baseia no acervo de Schengen, em conformidade com o artigo 4.o do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, a Dinamarca notificou a transposição do referido regulamento para o seu direito interno. Por conseguinte, fica vinculada pelo presente regulamento.

(9) O presente regulamento constitui um desenvolvimento das disposições do acervo de Schengen nas quais a Irlanda não participa (6). Por conseguinte, a Irlanda não participa na adoção do presente regulamento, não ficando por ele vinculada nem sujeita à sua aplicação.

(10) No que diz respeito à Islândia e à Noruega, o presente regulamento constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo celebrado pelo Conselho da União Europeia e a República da Islândia e o Reino da Noruega relativo à associação destes Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (7), que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE do Conselho (8).

(11) No que diz respeito à Suíça, o presente regulamento constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (9), que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE, conjugado com o artigo 3.o da Decisão 2008/146/CE do Conselho (10).

(12) No que diz respeito ao Listenstaine, o presente regulamento constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (11), que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE, em conjugação com o artigo 3.o da Decisão 2011/350/UE do Conselho (12).

(13) No que diz respeito a Chipre, à Bulgária, à Roménia e à Croácia, o presente regulamento constitui um ato baseado no acervo de Schengen ou de algum modo com ele relacionado, na aceção, respetivamente, do artigo 3.o, n.o 1, do Ato de Adesão de 2003, do artigo 4.o, n.o 1, do Ato de Adesão de 2005 e do artigo 4.o, n.o 1, do Ato de Adesão de 2011.

(14) A Autoridade Europeia para a Proteção de Dados foi consultada em conformidade com o disposto no artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 e emitiu parecer em 31 de março de 2021,

ADOTOU O PRESENTE REGULAMENTO:

Artigo 1.o Domínio e acesso 1. O portal Web utiliza o nome de domínio «.europa.eu» da União Europeia. 2. A descrição do portal Web deve ser disponibilizada para indexação pelos principais motores de pesquisa públicos. 3. Para além das línguas oficiais dos Estados-Membros, o portal Web deve estar disponível, pelo menos, em russo, árabe, japonês, chinês, albanês, bósnio, macedónio, hindi e turco. 4. O portal Web deve conter as informações referidas nos artigos 47.o e 48.° do Regulamento (UE) 2019/817 e uma ferramenta de pesquisa para obter os dados de contacto da autoridade competente do Estado-Membro responsável pela criação de uma ligação vermelha ou branca na sequência da verificação manual das diferentes identidades. O portal Web pode conter outras informações necessárias para facilitar o exercício dos direitos referidos nos artigos 47.o e 48.° do Regulamento (UE) 2019/817. 5. O portal Web deve estar em conformidade com as regras, orientações e informações do Guia Web do portal Europa da Comissão Europeia, incluindo as orientações em matéria de acessibilidade. 6. O portal Web não deve disponibilizar os dados de contacto das autoridades aos motores de pesquisa e a outras ferramentas automáticas de recolha de dados de contacto.

Artigo 2.o Partes interessadas e responsabilidades 1. Incumbe à eu-LISA desenvolver o portal Web e assegurar a sua gestão técnica, em conformidade com o artigo 49.o, n.o 5, do Regulamento (UE) 2019/817, incluindo o seu alojamento, funcionamento e manutenção. 2. A Comissão comunica à eu-LISA o conteúdo do portal Web referido no artigo 1.o, n.o 4, bem como quaisquer retificações ou atualizações necessárias. 3. Os Estados-Membros devem comunicar atempadamente à eu-LISA os dados de contacto das autoridades competentes para examinar e responder a qualquer pedido referido nos artigos 47.o e 48.° do Regulamento (UE) 2019/817, a fim de permitir o carregamento e a atualização regulares do conteúdo do portal Web, tal como estabelecido no artigo 49.o, n.o 4, do Regulamento (UE) 2019/817. 4. Os Estados-Membros devem indicar à eu-LISA um ponto de contacto único responsável para efeitos de verificação e manutenção. 5. A eu-LISA deve verificar os dados de contacto comunicados, solicitando a todos os Estados-Membros que verifiquem as informações disponíveis, a fim de ter em conta eventuais alterações ou novos elementos. Essa verificação deve realizar-se pelo menos uma vez por ano. 6. No que diz respeito ao tratamento de dados no portal Web, as autoridades dos Estados-Membros são os responsáveis pelo tratamento na aceção do artigo 4.o, ponto 7), do Regulamento (UE) 2016/679 ou do artigo 3.o, ponto 8), da Diretiva (UE) 2016/680. 7. No que respeita ao tratamento de dados pessoais no portal Web, a eu-LISA é o subcontratante na aceção do artigo 3.o, ponto 12), do Regulamento (UE) 2018/1725.

Artigo 3.o Interface do utilizador 1. O portal Web deve incluir uma ferramenta de pesquisa que permita aos utilizadores inserir a referência da autoridade responsável pela verificação manual das diferentes identidades referida no artigo 34.o, alínea d), do Regulamento (UE) 2019/817, a fim de obter os dados de contacto dessa autoridade. 2. Após verificação da validade e da exaustividade dos dados inseridos, o portal Web deve obter os dados de contacto dessa autoridade, em conformidade com o artigo 49.o, n.o 3, do Regulamento (UE) 2019/817. 3. O portal Web deve permitir ao utilizador efetuar um pedido de informações por meio de um modelo de mensagem de correio eletrónico através de um formulário em linha, de forma a facilitar a comunicação com a autoridade responsável pela verificação manual das diferentes identidades. O modelo em causa deve incluir um campo para o número de identificação único referido no artigo 34.o, alínea c), do Regulamento (UE) 2019/817, a fim de permitir a essa autoridade obter os dados pertinentes sobre a ligação e os registos correspondentes. 4. O modelo de mensagem de correio eletrónico deve conter um pedido de informações complementares normalizado, que deve estar disponível nas línguas referidas no artigo 1.o, n.o 3. O modelo de mensagem de correio eletrónico figura no anexo. Este modelo deve prever uma opção em relação à(s) língua(s) a utilizar na resposta, a qual deve incluir, pelo menos, duas línguas à escolha de cada Estado-Membro. A língua do modelo de mensagem de correio eletrónico pode ser escolhida pelo utilizador. 5. Após a apresentação do modelo de mensagem de correio eletrónico preenchido através do formulário Web, deve ser enviada ao utilizador uma mensagem automática de aviso de receção, a qual deve conter os dados de contacto da autoridade responsável pelo seguimento do pedido e permitir à pessoa em causa exercer os direitos estabelecidos no artigo 48.o, n.o 1, do Regulamento (UE) 2019/817.

Artigo 4.o Gestão de conteúdos 1. O portal Web deve assegurar uma separação entre as páginas do sítio que contêm informações destinadas ao público em geral, por um lado, e a ferramenta de pesquisa e as páginas do sítio que permitem ao utilizador obter os dados de contacto da autoridade responsável pela verificação manual das diferentes identidades, por outro. 2. A fim de permitir a gestão dos conteúdos pela eu-LISA, o portal Web deve conter uma interface de administração segura. Quaisquer acessos a essa interface e quaisquer alterações efetuadas devem ser registados em conformidade com o artigo 7.o. 3. A interface de administração deve conceder direitos à eu-LISA para aditar, alterar ou suprimir conteúdos do portal Web. Esta interface não deve permitir à eu-LISA, em caso algum, aceder a dados relativos aos nacionais de países terceiros armazenados nos sistemas de informação da UE. 4. A solução de gestão de conteúdos deve proporcionar um sistema por fases em que todas as alterações possam ser preparadas, visualizadas e encaminhadas para o sistema em linha com vista à sua publicação num determinado momento. A essas fases devem corresponder ferramentas para facilitar a gestão dos conteúdos e pré-visualizar o resultado das alterações.

Artigo 5.o Considerações relativas à segurança 1. O portal Web deve ser concebido e implementado de forma a garantir a confidencialidade, a integridade e a disponibilidade dos serviços, bem como a não rejeição das operações, aplicando, pelo menos, os seguintes princípios de segurança da aplicação: a) Defesa em profundidade (mecanismos de segurança com vários níveis); b) Modelo de segurança positiva (definir o que é permitido e rejeitar tudo o resto); c) Falhar em segurança (tratar os erros de forma segura); d) Princípio do menor privilégio; e) Manter a segurança simples (privilegiar uma abordagem mais rápida e simples, em detrimento de arquiteturas complexas); f) Detetar e prevenir intrusões (registo e gestão de todas as informações relevantes em matéria de segurança), aplicando controlos proativos na proteção das informações do portal Web e dos dados de contacto dos Estados-Membros contra ciberataques e fugas de informações; g) Não confiar na infraestrutura (a aplicação deve autenticar e autorizar cada ação dos sistemas conexos); h) Não confiar nos serviços (não confiar em nenhum sistema externo); i) Estabelecer predefinições seguras (reforçar os ambientes dos suportes lógicos e dos sistemas operativos de acordo com as boas práticas e as normas do setor). 2. O portal Web deve também ser concebido e implementado de forma a garantir a disponibilidade e a integridade dos registos conservados. 3. Para efeitos de segurança e proteção de dados, o portal Web deve incluir um aviso que informe os utilizadores das regras que regem a sua utilização e das consequências da comunicação de informações incorretas. O aviso deve incluir um formulário de aceitação das regras de utilização do portal Web, que o utilizador deve ser obrigado a subscrever antes de ser autorizado a utilizá-lo. A execução técnica e organizacional do portal Web deve ser conforme com o plano de segurança, o plano de continuidade das atividades e o plano de recuperação na sequência de catástrofes referidos no artigo 42.o, n.o 3, do Regulamento (UE) 2019/817.

Artigo 6.o Proteção de dados e direitos do titular dos dados 1. O portal Web deve cumprir as regras em matéria de proteção de dados previstas no Regulamento (UE) 2016/679, no Regulamento (UE) 2018/1725 e na Diretiva (UE) 2016/680. 2. O portal Web deve conter uma declaração de confidencialidade, que deve ser acessível através de uma ligação específica. A declaração deve também ser acessível a partir de todas as páginas do portal Web. A redação da declaração de confidencialidade deve ser clara e completa.

Artigo 7.o Registos 1. Sem prejuízo dos registos referidos no artigo 48.o, n.o 10, do Regulamento (UE) 2019/817, qualquer acesso ao portal Web deve ser gravado num registo que contenha as seguintes informações: a) Endereço IP do sistema utilizado pelo requerente; b) Data e local do pedido; c) Informações técnicas sobre o ambiente utilizado para o pedido, como o tipo de dispositivo, a versão do sistema operativo, o modelo e a versão do programa de navegação. 2. As informações registadas só devem ser utilizadas para fins estatísticos, bem como para monitorizar a utilização do portal Web a fim de evitar qualquer utilização abusiva. 3. Em caso de acesso à interface de administração do portal Web, para além dos dados referidos no n.o 1, devem ser registados os seguintes dados: a) Identificação do utilizador que acede à interface de administração; b) Ações realizadas no portal Web (aditamento, alteração ou supressão de conteúdos). 4. Podem ser registadas informações técnicas anónimas suplementares durante a utilização do portal Web a fim de otimizar a sua utilização e desempenho, desde que não contenham dados pessoais. 5. As informações registadas em conformidade com os n.os 1 e 3 devem ser conservadas por um período não superior a dois anos. 6. A eu-LISA deve conservar os registos de todas as operações de tratamento de dados efetuadas no portal Web. 7. A eu-LISA, as autoridades dos Estados-Membros e as agências da União devem definir, individualmente, a lista do pessoal devidamente autorizado a aceder aos registos das operações de tratamento de dados do portal Web.

Artigo 8.o Entrada em vigor O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável nos Estados-Membros, em conformidade com os Tratados. Feito em Bruxelas, em 19 de agosto de 2021. Pela Comissão A Presidente Ursula VON DER LEYEN

(1) JO L 135 de 22.5.2019, p. 27.

(2) Regulamento (UE) 2019/818 do Parlamento Europeu e do Conselho, de 20 de maio de 2019, relativo à criação de um regime de interoperabilidade entre os sistemas de informação da UE no domínio da cooperação policial e judiciária, asilo e migração, e que altera os Regulamentos (UE) 2018/1726, (UE) 2018/1862 e (UE) 2019/816 (JO L 135 de 22.5.2019, p. 85).

(3) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(4) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).

(5) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

(6) O presente regulamento não é abrangido pelo âmbito de aplicação das medidas previstas na Decisão 2002/192/CE do Conselho, de 28 de fevereiro de 2002, sobre o pedido da Irlanda para participar em algumas das disposições do acervo de Schengen (JO L 64 de 7.3.2002, p. 20).

(7) JO L 176 de 10.7.1999, p. 36.

(8) Decisão 1999/437/CE do Conselho, de 17 de maio de 1999, relativa a determinadas regras de aplicação do Acordo celebrado pelo Conselho da União Europeia com a República da Islândia e o Reino da Noruega relativo à associação dos dois Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (JO L 176 de 10.7.1999, p. 31).

(9) JO L 53 de 27.2.2008, p. 52.

(10) Decisão 2008/146/CE do Conselho, de 28 de janeiro de 2008, respeitante à celebração, em nome da Comunidade Europeia, do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (JO L 53 de 27.2.2008, p. 1).

(11) JO L 160 de 18.6.2011, p. 21.

(12) Decisão 2011/350/UE do Conselho, de 7 de março de 2011, respeitante à celebração, em nome da União Europeia, do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen, no que respeita à supressão dos controlos nas fronteiras internas e à circulação das pessoas (JO L 160 de 18.6.2011, p. 19).