DECISÃO DE EXECUÇÃO (UE) 2021/627 DA COMISSÃO

de 15 de abril de 2021

que estabelece regras relativas à conservação e ao acesso aos registos no Sistema Europeu de Informação e Autorização de Viagem (ETIAS) em conformidade com o Regulamento (UE) 2018/1240 do Parlamento Europeu e do Conselho

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2018/1240 do Parlamento Europeu e do Conselho, de 12 de setembro de 2018, que cria um Sistema Europeu de Informação e Autorização de Viagem (ETIAS) e altera os Regulamentos (UE) n.o 1077/2011, (UE) n.o 515/2014, (UE) 2016/399, (UE) 2016/1624 e (UE) 2017/2226 (1), nomeadamente o artigo 73.o, n.o 3, terceiro parágrafo, alínea b), subalínea iii),

Considerando o seguinte:

(1) O Regulamento (UE) 2018/1240 cria o Sistema Europeu de Informação e Autorização de Viagem (ETIAS) para efeitos de entrada e permanência no território dos Estados-Membros dos nacionais de países terceiros isentos da obrigação de visto.

(2) O funcionamento do Sistema Europeu de Informação e Autorização de Viagem exige o desenvolvimento e a execução técnica do respetivo sistema de informação. O sistema deve conter registos de todas as operações de tratamento de dados efetuadas.

(3) É necessário estabelecer regras relativas à conservação e ao acesso aos registos. Os registos devem ser utilizados exclusivamente para verificar o cumprimento das obrigações em matéria de tratamento de dados e para garantir a integridade e a segurança dos dados pessoais operacionais.

(4) No que diz respeito à conservação dos registos, é necessário especificar o respetivo local de armazenamento, as modalidades técnicas de registo, inclusive quando implicam diferentes componentes do Sistema Europeu de Informação e Autorização de Viagem, bem como as regras aplicáveis à eliminação dos registos após o termo do seu prazo de conservação.

(5) No que diz respeito ao acesso aos registos, é necessário especificar as autoridades competentes, incluindo, se for caso disso, as pessoas no âmbito de tais autoridades a quem deve ser concedido acesso aos registos e os fins para os quais é autorizada a sua consulta. Para que as autoridades competentes possam desempenhar as suas funções de controlo da licitude do tratamento dos dados e de garantia da segurança e da integridade dos dados, é necessário dispor de uma função de pesquisa eficaz que permita a identificação dos registos.

(6) Os registos de acesso do pessoal devidamente autorizado das autoridades nacionais de cada Estado-Membro e do pessoal devidamente autorizado das agências da União para os efeitos referidos no artigo 13.o, n.o 4-A, do Regulamento (UE) 2018/1240 devem ser conservados em conformidade com os requisitos estabelecidos no artigo 24.o, n.os 2 e 3, do Regulamento (UE) 2019/817.

(7) A Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA) é responsável pela fase de conceção e de desenvolvimento do sistema de informação ETIAS. As medidas previstas na presente decisão deverão permitir-lhe definir a conceção da arquitetura física do Sistema Europeu de Informação e Autorização de Viagem, incluindo a sua infraestrutura de comunicação e as especificações técnicas, e desenvolver o referido sistema. A Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça deve completar essas medidas com as especificações técnicas e o documento de controlo das interfaces do Sistema Europeu de Informação e Autorização e Viagem.

(8) Nos termos dos artigos 1.o e 2.o do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, a Dinamarca não participou na adoção do Regulamento (UE) 2018/1240, não estando por ele vinculada nem sujeita à sua aplicação. Todavia, uma vez que o Regulamento (UE) 2018/1240 se baseia no acervo de Schengen, a Dinamarca notificou, em 21 de dezembro de 2018, em conformidade com o artigo 4.o do referido protocolo, a sua decisão de transpor o Regulamento (UE) 2018/1240 para o seu direito nacional.

(9) A presente decisão constitui um desenvolvimento das disposições do acervo de Schengen nas quais a Irlanda não participa, em conformidade com a Decisão 2002/192/CE do Conselho (2). Por conseguinte, a Irlanda não participa na sua adoção, não ficando por ela vinculada nem sujeita à sua aplicação.

(10) Em relação à Islândia e à Noruega, o presente regulamento constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo celebrado pelo Conselho da União Europeia com a República da Islândia e o Reino da Noruega relativo à associação destes Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (3), que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE do Conselho (4).

(11) No que diz respeito à Suíça, a presente decisão constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (5), que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE do Conselho, em conjugação com o artigo 3.o da Decisão 2008/146/CE do Conselho (6).

(12) No que diz respeito ao Listenstaine, a presente decisão constitui um desenvolvimento das disposições do acervo de Schengen na aceção do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (7) que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE do Conselho em conjugação com o artigo 3.o da Decisão 2011/350/UE do Conselho (8).

(13) Em relação a Chipre, à Bulgária, à Roménia e à Croácia, a presente decisão constitui um ato baseado no acervo de Schengen ou de algum modo com ele relacionado na aceção, respetivamente, do artigo 3.o, n.o 1, do Ato de Adesão de 2003, do artigo 4.o, n.o 1, do Ato de Adesão de 2005 e do artigo 4.o, n.o 1, do Ato de Adesão de 2011.

(14) A Autoridade Europeia para a Proteção de Dados foi consultada em conformidade com o disposto no artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (9) e emitiu parecer em 4 de setembro de 2020.

(15) As medidas previstas na presente decisão estão em conformidade com o parecer do Comité das Fronteiras Inteligentes (ETIAS),

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o Conservação dos registos das operações de tratamento de dados 1. Os registos de todas as operações de tratamento de dados no âmbito do sistema de informação ETIAS a conservar em conformidade com o artigo 69.o, n.o 1, do Regulamento (UE) 2018/1240, incluindo os registos no que respeita ao acesso das transportadoras, das autoridades de fronteira e das autoridades responsáveis pela imigração e por parte dos pontos centrais de acesso, como previsto, respetivamente, no artigo 45.o, n.o 7, no artigo 69.o, n.o 3, e no artigo 70.o, n.o 1, do referido regulamento, são registados e armazenados pela Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça no sistema central ETIAS. 2. Cada operação de tratamento de dados no âmbito do sistema de informação ETIAS deve ser objeto de um registo separado. Este registo comporta um campo específico que permite identificar os dados pormenorizados relativos à operação efetuada. 3. O registo inclui a marca temporal com a data e a hora em que cada operação de tratamento de dados foi efetuada. 4. A identificação única da autoridade e do funcionário ou membro do pessoal que acede, altera ou apaga os dados armazenados no sistema central ETIAS deve figurar em todos os registos. 5. O sistema central ETIAS procede diariamente à eliminação de registos em conformidade com os prazos de conservação previstos no artigo 45.o, n.o 7, no artigo 69.o, n.o 4, e no artigo 70.o, n.o 4, do Regulamento (UE) 2018/1240. É utilizada uma marca temporal para identificar os registos a eliminar no final do prazo de conservação aplicável a cada tipo de registo.

Artigo 2.o Acesso aos registos das operações de tratamento de dados 1. O acesso aos registos conservados pela Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça em conformidade com o Regulamento (UE) 2018/1240 é limitado a: a) administradores devidamente autorizados do ETIAS no âmbito da Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça e o responsável pela proteção de dados, para os efeitos referidos no artigo 58.o, n.o 2, do Regulamento (UE) 2018/1240 e, em particular, para assegurar a conformidade com o artigo 69.o, n.o 4, do mesmo regulamento; b) pessoal devidamente autorizado e o responsável pela proteção de dados da Agência Europeia da Guarda de Fronteiras e Costeira, para os efeitos previstos no artigo 7.o, n.o 2, alínea e), e no artigo 61.o do Regulamento (UE) 2018/1240, bem como para assegurar a licitude do tratamento de dados e garantir a sua integridade e segurança; c) pessoal devidamente autorizado e os responsáveis pela proteção de dados das unidades nacionais ETIAS, para os efeitos referidos no artigo 57.o, n.o 2. 2. A Autoridade Europeia para a Proteção de Dados e as autoridades nacionais de controlo competentes que exercem as funções de controlo referidas nos artigos 66.o e 67.o do Regulamento (UE) 2018/1240 têm acesso aos registos mediante pedido à eu-LISA ou à(s) unidade(s) nacional(is) ETIAS. 3. Os registos e os campos específicos registados no sistema central ETIAS em conformidade com o artigo 1.o são pesquisáveis, pelo menos, por autor, data de acesso ou tipo de operação de tratamento. 4. Para efeitos do artigo 45.o, n.os 5 e 7, do Regulamento (UE) 2018/1240, a Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça pode transmitir às unidades nacionais ETIAS os registos necessários para a resolução de litígios decorrentes da aplicação do referido artigo, desde que estejam preenchidas as seguintes condições: a) a unidade nacional ETIAS em causa apresentou um pedido fundamentado e explícito de acesso a tais registos à Agência Europeia da Guarda de Fronteiras e Costeira enquanto responsável pelo tratamento dos dados na aceção do artigo 57.o, n.o 1, primeira frase, do referido regulamento; b) a Agência Europeia da Guarda de Fronteiras e Costeira verificou e aprovou o pedido. 5. Os registos do acesso aos registos efetuado nos termos do n.o 1 são rastreáveis, pelo menos, com base no autor ou na data de acesso. 6. Os registos do acesso aos registos efetuado nos termos do n.o 1 são pesquisáveis, pelo menos, por autor, data de acesso ou tipo de operação de tratamento.

Artigo 3.o Entrada em vigor A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Bruxelas, em 15 de abril de 2021. Pela Comissão A Presidente Ursula VON DER LEYEN

(1) JO L 236 de 19.9.2018, p. 1.

(2) Decisão 2002/192/CE do Conselho, de 28 de fevereiro de 2002, sobre o pedido da Irlanda para participar em algumas das disposições do acervo de Schengen (JO L 64 de 7.3.2002, p. 20).

(3) JO L 176 de 10.7.1999, p. 36.

(4) Decisão 1999/437/CE do Conselho, de 17 de maio de 1999, relativa a determinadas regras de aplicação do Acordo celebrado pelo Conselho da União Europeia com a República da Islândia e o Reino da Noruega relativo à associação dos dois Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (JO L 176 de 10.7.1999, p. 31).

(5) JO L 53 de 27.2.2008, p. 52.

(6) Decisão 2008/146/CE do Conselho, de 28 de janeiro de 2008, respeitante à celebração, em nome da Comunidade Europeia, do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (JO L 53 de 27.2.2008, p. 1).

(7) JO L 160 de 18.6.2011, p. 21.

(8) Decisão 2011/350/UE do Conselho, de 7 de março de 2011, respeitante à celebração, em nome da União Europeia, do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen, no que respeita à supressão dos controlos nas fronteiras internas e à circulação das pessoas (JO L 160 de 18.6.2011, p. 19).

(9) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).