CELEX: 32021R2104
Language: da
Date: 2021-08-19 00:00:00
Title: Kommissionens delegerede forordning (EU) 2021/2104 af 19. august 2021 om fastsættelse af detaljerede regler for driften af webportalen i henhold til artikel 49, stk. 6, i Europa-Parlamentets og Rådets forordning (EU) 2019/817

1.12.2021   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  L 429/72
               
            
         KOMMISSIONENS DELEGEREDE FORORDNING (EU) 2021/2104
         af 19. august 2021
         om fastsættelse af detaljerede regler for driften af webportalen i henhold til artikel 49, stk. 6, i Europa-Parlamentets og Rådets forordning (EU) 2019/817
         EUROPA-KOMMISSIONEN HAR —
         under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2019/817 af 20. maj 2019 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende grænser og visum og om ændring af Europa-Parlamentets og Rådets forordning (EF) nr. 767/2008, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 og (EU) 2018/1861, Rådets beslutning 2004/512/EF og Rådets afgørelse 2008/633/RIA (1), særlig artikel 49, stk. 6, og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     Forordning (EU) 2019/817 fastsætter sammen med Europa-Parlamentets og Rådets forordning (EU) 2019/818 (2) en ramme, der skal sikre interoperabilitet mellem EU-informationssystemerne vedrørende grænser, visum, politisamarbejde og retligt samarbejde, asyl og migration.
                  
               
                     (2)
                  
                  
                     Denne ramme omfatter en række interoperabilitetskomponenter, der vedrører behandling af en væsentlig mængde følsomme personoplysninger. Det er vigtigt, at personer, hvis oplysninger behandles via disse komponenter, effektivt kan udøve deres rettigheder som registrerede i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 (3), direktiv (EU) 2016/680 (4) og forordning (EU) 2018/1725 (5).
                  
               
                     (3)
                  
                  
                     For at lette udøvelsen af retten til oplysninger og adgang til, berigtigelse af, sletning af og begrænsning af behandlingen af personoplysninger oprettes der ved forordning (EU) 2019/817 en webportal.
                  
               
                     (4)
                  
                  
                     Webportalen bør sætte personer, hvis oplysninger behandles i multiidentitetsdetektoren, og som er blevet underrettet om tilstedeværelsen af et rødt eller hvidt link, i stand til at hente oplysninger om den kompetente myndighed i den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter.
                  
               
                     (5)
                  
                  
                     For at lette kommunikationen mellem brugeren af portalen og den kompetente myndighed i den medlemsstat, der er ansvarlig for den manuelle verifikation af forskellige identiteter, bør webportalen indeholde en e-mail-skabelon, der er tilgængelig på de i nærværende forordning fastlagte sprog. I skabelonen bør det desuden være muligt at vælge, på hvilke(t) sprog besvarelsen skal være.
                  
               
                     (6)
                  
                  
                     For at afklare de respektive ansvarsområder vedrørende webportalen bør det i nærværende forordning præciseres, hvilke ansvarsområder der påhviler hhv. Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (»eu-LISA«), Kommissionen og medlemsstaterne for så vidt angår webportalen.
                  
               
                     (7)
                  
                  
                     Med henblik på en sikker og velfungerende webportal bør der ved nærværende forordning fastsættes regler for informationssikkerheden i webportalen. Desuden bør adgang til webportalen logføres med henblik på at opdage eller forhindre misbrug.
                  
               
                     (8)
                  
                  
                     Da forordning (EU) 2019/817 bygger på Schengenreglerne, har Danmark i medfør af artikel 4 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til traktaten om Den Europæiske Union og til traktaten om Den Europæiske Unions funktionsmåde, meddelt, at forordning (EU) 2019/817 er gennemført i Danmarks nationale lovgivning. Danmark er derfor bundet af denne forordning.
                  
               
                     (9)
                  
                  
                     Denne forordning udgør en udvikling af bestemmelser i Schengenreglerne, som Irland ikke deltager i (6). Irland deltager derfor ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Irland.
                  
               
                     (10)
                  
                  
                     For så vidt angår Island og Norge udgør denne forordning en udvikling af bestemmelser i Schengenreglerne, jf. aftalen indgået mellem Rådet for Den Europæiske Union og Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (7), henhørende under det område, der er nævnt i artikel 1, litra A, i Rådets afgørelse 1999/437/EF (8).
                  
               
                     (11)
                  
                  
                     For så vidt angår Schweiz udgør denne forordning en udvikling af bestemmelser i Schengenreglerne, jf. aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (9), henhørende under det område, der er nævnt i artikel 1, litra A, i afgørelse 1999/437/EF sammenholdt med artikel 3 i afgørelse 2008/146/EF (10).
                  
               
                     (12)
                  
                  
                     For så vidt angår Liechtenstein udgør denne forordning en udvikling af bestemmelser i Schengenreglerne, jf. protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (11), henhørende under det område, der er nævnt i artikel 1, litra A, i afgørelse 1999/437/EF sammenholdt med artikel 3 i afgørelse 2011/350/EU (12).
                  
               
                     (13)
                  
                  
                     For så vidt angår Cypern, Bulgarien, Rumænien og Kroatien udgør denne forordning en retsakt, der bygger på eller på anden måde vedrører Schengenreglerne, jf. henholdsvis artikel 3, stk. 1, i tiltrædelsesakten af 2003, artikel 4, stk. 1, i tiltrædelsesakten af 2005 og artikel 4, stk. 1, i tiltrædelsesakten af 2011.
                  
               
                     (14)
                  
                  
                     Den Europæiske Tilsynsførende for Databeskyttelse blev hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav udtalelse den 31. marts 2021 —
                  
               VEDTAGET DENNE FORORDNING:
         
            Artikel 1
            Domæne og adgang
            
               1.   Webportalen anvender Den Europæiske Unions domænenavn ».europa.eu«.
            
            
               2.   Beskrivelsen af webportalen gøres tilgængelig for større offentlige søgemaskiners indeksering.
            
            
               3.   Webportalen gøres som minimum offentligt tilgængelig på følgende sprog (ud over medlemsstaternes officielle sprog): russisk, arabisk, japansk, kinesisk, albansk, bosnisk, makedonsk, hindi og tyrkisk.
            
            
               4.   Webportalen skal indeholde de oplysninger, der er omhandlet i artikel 47 og 48 i forordning (EU) 2019/817, og et søgeværktøj til at hente kontaktoplysningerne på den kompetente myndighed i den medlemsstat, der er ansvarlig for at oprette et rødt eller hvidt link efter den manuelle verifikation af forskellige identiteter. Webportalen kan også indeholde andre nødvendige oplysninger, der letter udøvelsen af de rettigheder, der er omhandlet i artikel 47 og 48 i forordning (EU) 2019/817.
            
            
               5.   Webportalen skal være i overensstemmelse med reglerne, retningslinjerne og oplysningerne i Europa-Kommissionens »Europa Web Guide«, herunder retningslinjerne vedrørende tilgængelighed.
            
            
               6.   Webportalen skal forhindre, at myndighedernes kontaktoplysninger gøres tilgængelige for søgemaskiner og andre automatiske værktøjer til indsamling af kontaktoplysninger.
            
         
         
            Artikel 2
            Interessenter og ansvarsområder
            
               1.   eu-LISA udvikler webportalen og sørger for dens tekniske forvaltning, jf. artikel 49, stk. 5, i forordning (EU) 2019/817, herunder hosting, drift og vedligeholdelse af webportalen.
            
            
               2.   Kommissionen forsyner eu-LISA med det i artikel 1, stk. 4, omhandlede indhold på webportalen og med alle nødvendige rettelser eller ajourføringer.
            
            
               3.   Medlemsstaterne giver rettidigt eu-LISA kontaktoplysningerne på de myndigheder, der er kompetente til at undersøge og besvare enhver af de anmodninger, der er omhandlet i artikel 47 og 48 i forordning (EU) 2019/817, for at gøre det muligt at uploade og ajourføre webportalens indhold regelmæssigt, jf. artikel 49, stk. 4, i forordning (EU) 2019/817.
            
            
               4.   Medlemsstaterne stiller et centralt kontaktpunkt, der er ansvarligt for kontrol og vedligeholdelse, til rådighed for eu-LISA.
            
            
               5.   eu-LISA gennemgår de indgivne kontaktoplysninger og anmoder også alle medlemsstater om at kontrollere de tilgængelige oplysninger med henblik på at ajourføre eventuelle ændringer eller tilføjelser. Gennemgangen foretages mindst en gang om året.
            
            
               6.   For så vidt angår behandlingen af oplysninger på webportalen er medlemsstatsmyndighederne de dataansvarlige i overensstemmelse med artikel 4, nr. 7), i forordning (EU) 2016/679 eller artikel 3, nr. 8), i direktiv (EU) 2016/680.
            
            
               7.   For så vidt angår behandlingen af personoplysninger på webportalen er eu-LISA databehandler som defineret i artikel 3, nr. 12), i forordning (EU) 2018/1725.
            
         
         
            Artikel 3
            Brugergrænseflade
            
               1.   Webportalen skal indeholde et søgeværktøj, der gør det muligt for brugerne at indlæse referencen på den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, jf. artikel 34, litra d), i forordning (EU) 2019/817, med henblik på at hente den pågældende myndigheds kontaktoplysninger.
            
            
               2.   Når det er kontrolleret, at de indlæste data er gyldige og fuldstændige, skal webportalen hente kontaktoplysningerne på den pågældende myndighed, jf. artikel 49, stk. 3, i forordning (EU) 2019/817.
            
            
               3.   Webportalen skal gøre det muligt for brugeren via en webformular at indgive en anmodning om oplysninger ved hjælp af en e-mail-skabelon for at lette kommunikation med den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter. Skabelonen skal indeholde et felt til det enkelte identifikationsnummer, der er omhandlet i artikel 34, litra c), i forordning (EU) 2019/817, for at give den pågældende myndighed mulighed for at hente de relevante sammenkædede oplysninger og optegnelser.
            
            
               4.   E-mail-skabelonen skal indeholde en standardanmodning om yderligere oplysninger, der skal være tilgængelig på de i artikel 1, stk. 3, omhandlede sprog. E-mail-skabelonen findes i bilaget. E-mail-skabelonen skal også indeholde en mulighed for at vælge, på hvilke(t) sprog besvarelsen skal være; hver medlemsstat skal til dette formål vælge mindst to sprog. Brugeren kan vælge, hvilket sprog der anvendes i e-mail-skabelonen.
            
            
               5.   Efter at have udfyldt e-mail-skabelonen og indsendt den via webformularen underrettes brugeren automatisk via en e-mailbekræftelse, der indeholder kontaktoplysningerne på den myndighed, som er ansvarlig for at følge op på anmodningen, og sætter brugeren i stand til at udøve sine rettigheder i henhold til artikel 48, stk. 1, i forordning (EU) 2019/817.
            
         
         
            Artikel 4
            Forvaltning af indhold
            
               1.   Webportalen skal sikre, at de af portalens sider, der indeholder oplysninger til den brede offentlighed, er adskilt fra søgeværktøjet og de sider, hvor brugeren kan hente kontaktoplysninger om den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter.
            
            
               2.   For at gøre det muligt for eu-LISA at forvalte indholdet skal webportalen indeholde en sikret administrationsgrænseflade. Al adgang til denne grænseflade og de ændringer, der foretages, skal logføres i henhold til artikel 7.
            
            
               3.   Administrationsgrænsefladen skal tillade eu-LISA at tilføje, ændre eller slette indhold på webportalen. Grænsefladen må under ingen omstændigheder gøre det muligt for eu-LISA at tilgå oplysninger vedrørende tredjelandsstatsborgere, der er lagret i EU-informationssystemerne.
            
            
               4.   Den valgte løsning til forvaltning af indholdet skal indeholde et trinvist system, hvor alle ændringer kan forberedes, forhåndsvises og sendes til onlinesystemet til offentliggørelse på et givet tidspunkt. Systemet skal også omfatte værktøjer, der kan lette forvaltningen af indholdet og gøre det muligt på forhånd at se resultatet af ændringer.
            
         
         
            Artikel 5
            Sikkerhedshensyn
            
               1.   Webportalen skal endvidere udformes og implementeres, således at tjenesternes fortrolighed, integritet og tilgængelighed og transaktionernes uafviselighed sikres ved som minimum at anvende følgende principper for applikationssikkerhed:
               
                           a)
                        
                        
                           dybdegående forsvar (flere lag af sikkerhedsmekanismer)
                        
                     
                           b)
                        
                        
                           sikkerhedsmodel baseret på positivlister (fastsætter, hvad der er tilladt, og afviser alt andet)
                        
                     
                           c)
                        
                        
                           fejle sikkert (fejl håndteres sikkert)
                        
                     
                           d)
                        
                        
                           fungere med minimumsrettigheder
                        
                     
                           e)
                        
                        
                           forenkle sikkerheden (komplekse arkitekturer undgås, når en enklere tilgang er tilstrækkelig og hurtigere)
                        
                     
                           f)
                        
                        
                           opdage og forhindre indtrængen (logføring og forvaltning af alle sikkerhedsrelevante oplysninger) ved at anvende proaktiv kontrol til at beskytte oplysninger på webportalen og medlemsstaternes kontaktoplysninger fra cyberangreb og informationslækager
                        
                     
                           g)
                        
                        
                           hav ikke tillid til infrastruktur (applikationen skal autentificere og godkende enhver handling fra omgivende informationssystemer)
                        
                     
                           h)
                        
                        
                           hav ikke tillid til tjenester (ingen tillid til nogen eksterne systemer)
                        
                     
                           i)
                        
                        
                           fastsætte sikre standardindstillinger (software- og operativsystemmiljøer skal sikres i henhold til bedste praksis og industristandarder).
                        
                     
            
               2.   Webportalen skal desuden udformes og implementeres, således at logfilernes tilgængelighed og integritet sikres.
            
            
               3.   Af sikkerheds- og databeskyttelseshensyn skal webportalen indeholde en meddelelse til brugerne om reglerne for brug af webportalen og om konsekvenserne af at afgive ukorrekte oplysninger. Meddelelsen skal indeholde en formular til godkendelse af reglerne for brug af webportalen, som brugeren skal indsende for at kunne bruge webportalen.
               Den tekniske og organisatoriske implementering af webportalen skal opfylde kravene i sikkerhedsplanen, forretningskontinuitetsplanen og en katastrofeberedskabsplan, jf. artikel 42, stk. 3, i forordning (EU) 2019/817.
            
         
         
            Artikel 6
            Databeskyttelse og de registreredes rettigheder
            
               1.   Webportalen skal opfylde kravene i databeskyttelsesreglerne i forordning (EU) 2016/679, forordning (EU) 2018/1725 og direktiv (EU) 2016/680.
            
            
               2.   Webportalen skal indeholde en databeskyttelseserklæring. Erklæringen skal være tilgængelig via et særligt link. Den skal også være tilgængelig fra alle sider på webportalen. Den skal udformes på en klar og sammenhængende måde.
            
         
         
            Artikel 7
            Logfiler
            
               1.   Uden at det berører de skriftlige optegnelser, der er omhandlet i artikel 48, stk. 10, i forordning (EU) 2019/817, skal al adgang til webportalen registreres i en log, der skal indeholde følgende oplysninger:
               
                           a)
                        
                        
                           IP-adressen på det af anmoderen anvendte system
                        
                     
                           b)
                        
                        
                           dato og klokkeslæt for anmodningen
                        
                     
                           c)
                        
                        
                           tekniske oplysninger om det miljø, der anvendes til at indgive anmodningen, såsom type enhed, version af operativsystemet, browsermodel og -version.
                        
                     
            
               2.   De logførte oplysninger må kun bruges til at overvåge brugen af webportalen med henblik på at opdage eller forhindre misbrug.
            
            
               3.   Ved adgang til webportalens administrationsgrænseflade logføres følgende oplysninger ud over de i stk. 1 omhandlede oplysninger:
               
                           a)
                        
                        
                           identiteten på den bruger, der tilgår administrationsgrænsefladen
                        
                     
                           b)
                        
                        
                           de handlinger, der er udført på webportalen (tilføjelse, ændring eller sletning af indhold).
                        
                     
            
               4.   Yderligere anonyme tekniske oplysninger kan, så længe de ikke indeholder personoplysninger, logføres under anvendelsen af webportalen for at optimere dens brug og ydeevne.
            
            
               5.   De oplysninger, der logføres i henhold til stk. 1 og 3, opbevares i højst to år.
            
            
               6.   eu-LISA fører logfiler over alle databehandlingsaktiviteter på webportalen.
            
            
               7.   eu-LISA, medlemsstaternes myndigheder og EU-agenturerne fastlægger hver især listen over de medarbejdere, der er behørigt bemyndigede til at tilgå logfilerne over databehandlingsaktiviteter på webportalen.
            
         
         
            Artikel 8
            Ikrafttræden
            Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
         
         
            Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i medlemsstaterne i overensstemmelse med traktaterne.
            Udfærdiget i Bruxelles, den 19. august 2021.
            
               
                  På Kommissionens vegne
               
               Ursula VON DER LEYEN
               
                  Formand
               
            
         
         
            (1)  EUT L 135 af 22.5.2019, s. 27.
         
            (2)  Europa-Parlamentets og Rådets forordning (EU) 2019/818 af 20. maj 2019 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende politisamarbejde og retligt samarbejde, asyl og migration og om ændring af forordning (EU) 2018/1726, (EU) 2018/1862 og (EU) 2019/816 (EUT L 135 af 22.5.2019, s. 85).
         
            (3)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).
         
            (4)  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89).
         
            (5)  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).
         
            (6)  Denne forordning er ikke omfattet af anvendelsesområdet for de foranstaltninger, der er fastsat i Rådets afgørelse 2002/192/EF af 28. februar 2002 om anmodningen fra Irland om at deltage i visse bestemmelser i Schengenreglerne (EFT L 64 af 7.3.2002, s. 20).
         
            (7)  EFT L 176 af 10.7.1999, s. 36.
         
            (8)  Rådets afgørelse 1999/437/EF af 17. maj 1999 om visse gennemførelsesbestemmelser til den aftale, som Rådet for Den Europæiske Union har indgået med Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og den videre udvikling af Schengenreglerne (EFT L 176 af 10.7.1999, s. 31).
         
            (9)  EUT L 53 af 27.2.2008, s. 52.
         
            (10)  Rådets afgørelse 2008/146/EF af 28. januar 2008 om indgåelse, på Det Europæiske Fællesskabs vegne, af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (EUT L 53 af 27.2.2008, s. 1).
         
            (11)  EUT L 160 af 18.6.2011, s. 21.
         
            (12)  Rådets afgørelse 2011/350/EU af 7. marts 2011 om indgåelse, på Den Europæiske Unions vegne, af protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne, navnlig for så vidt angår afskaffelsen af kontrollen ved de indre grænser og personbevægelser (EUT L 160 af 18.6.2011, s. 19).
      
      
         
            BILAG
            
               E-mail-skabelon til anmodning om oplysninger
            
            E-mail-skabelonen ser således ud:
            TIL: <den myndighed, der er ansvarlig for den manuelle verifikation af forskellige identiteter, som er hentet fra portalen>
            FRA: <brugerens e-mailadresse>
            EMNE: Anmodning om oplysninger vedr. påvisning af flere identiteter [rødt link/hvidt link]: <enkelt identifikationsnummer>
            E-mailens tekst:
            Kære...
            Jeg er (via en formular) blevet skriftligt underrettet om mulige uoverensstemmelser i mine personoplysninger.
            Som følge af de muligvis uoverensstemmende identitetsoplysninger er der blevet oprettet en sagsmappe med referencenummer <enkelt identifikationsnummer>.
            Jeg vil gerne anmode om senest den <dato, der udregnes af portalen> at få alle yderligere oplysninger vedrørende denne sag sendt på <sprog (1)> til denne e-mailadresse.
            
               (1)  Rullemenu med de mulige sprog, der skal fastlægges af den enkelte medlemsstat.