CELEX: 32021D0627
Language: da
Date: 2021-04-15 00:00:00
Title: Kommissionens gennemførelsesafgørelse (EU) 2021/627 af 15. april 2021 om fastsættelse af regler om logføring og adgang til logfiler i det europæiske system vedrørende rejseinformation og rejsetilladelse (ETIAS) i henhold til Europa-Parlamentets og Rådets forordning (EU) 2018/1240

16.4.2021   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  L 131/187
               
            
         KOMMISSIONENS GENNEMFØRELSESAFGØRELSE (EU) 2021/627
         af 15. april 2021
         om fastsættelse af regler om logføring og adgang til logfiler i det europæiske system vedrørende rejseinformation og rejsetilladelse (ETIAS) i henhold til Europa-Parlamentets og Rådets forordning (EU) 2018/1240
         EUROPA-KOMMISSIONEN HAR —
         under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1240 af 12. september 2018 om oprettelse af et europæisk system vedrørende rejseinformation og rejsetilladelse (ETIAS) og om ændring af forordning (EU) nr. 1077/2011, (EU) nr. 515/2014, (EU) 2016/399, (EU) 2016/1624 og (EU) 2017/2226 (1), særlig artikel 73, stk. 3, litra b), nr. iii), tredje afsnit, og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     Ved forordning (EU) 2018/1240 oprettes det europæiske system vedrørende rejseinformation og rejsetilladelse (ETIAS) for tredjelandsstatsborgere, der er fritaget for kravet om at være i besiddelse af et visum med henblik på indrejse og ophold på medlemsstaternes område.
                  
               
                     (2)
                  
                  
                     Driften af det europæiske system vedrørende rejseinformation og rejsetilladelse kræver, at ETIAS-informationssystemet udvikles og gennemføres rent teknisk. Systemet skal omfatte logfiler, hvori alle udførte databehandlingsaktiviteter registreres.
                  
               
                     (3)
                  
                  
                     Det er nødvendigt at fastsætte regler for logføring og adgang til logfiler. Logfiler bør udelukkende anvendes til at kontrollere, at databehandlingsforpligtelserne overholdes, og sikre de operationelle personoplysningers integritet og sikkerhed.
                  
               
                     (4)
                  
                  
                     Med hensyn til logføring er det nødvendigt at specificere, hvor logfilerne skal lagres, hvordan de skal registreres rent teknisk, bl.a. når de stammer fra forskellige dele af det europæiske system vedrørende rejseinformation og rejsetilladelse, samt reglerne for sletning af logfiler efter udløbet af opbevaringsperioden.
                  
               
                     (5)
                  
                  
                     Med hensyn til adgangen til logfiler er det nødvendigt at specificere, hvilke kompetente myndigheder, herunder også, når det er relevant, hvilke personer hos disse myndigheder der bør gives adgang til logfilerne, og til hvilke formål de må tilgås. For at sikre at de kompetente myndigheder er i stand til at udføre deres opgaver med henblik på at overvåge lovligheden af databehandlingen og sikre datasikkerhed og -integritet, bør identifikationen af logfiler lettes ved hjælp af en effektiv søgefunktion.
                  
               
                     (6)
                  
                  
                     Adgangen til logregistrene for behørigt bemyndigede medarbejdere fra de nationale myndigheder i hver medlemsstat og behørigt bemyndigede medarbejdere fra EU-agenturerne til de formål, der er omhandlet i artikel 13, stk. 4a, i forordning (EU) 2018/1240, bør ske i overensstemmelse med kravene i artikel 24, stk. 2 og 3, i forordning (EU) 2019/817.
                  
               
                     (7)
                  
                  
                     Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (»eu-LISA«) er ansvarligt for udformningen og udviklingen af ETIAS-informationssystemet. Foranstaltningerne i denne afgørelse bør gøre det muligt for Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed dels at fastsætte, hvordan den fysiske arkitektur for det europæiske system vedrørende rejseinformation og rejsetilladelse, herunder dets kommunikationsinfrastruktur, skal udformes, og systemets tekniske specifikationer, dels at udvikle det europæiske system vedrørende rejseinformation og rejsetilladelse. Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed bør komplettere disse foranstaltninger med de tekniske specifikationer og grænsefladekontroldokumentet for det europæiske system vedrørende rejseinformation og rejsetilladelse.
                  
               
                     (8)
                  
                  
                     I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til traktaten om Den Europæiske Union og til traktaten om Den Europæiske Unions funktionsmåde, deltog Danmark ikke i vedtagelsen af forordning (EU) 2018/1240, som ikke er bindende for og ikke finder anvendelse i Danmark. Da forordning (EU) 2018/1240 imidlertid bygger på Schengenreglerne, meddelte Danmark i henhold til artikel 4 i nævnte protokol den 21. december 2018 sin beslutning om at anvende forordning (EU) 2018/1240.
                  
               
                     (9)
                  
                  
                     Denne afgørelse udgør en udvikling af bestemmelser i Schengenreglerne, som Irland ikke deltager i, jf. Rådets afgørelse 2002/192/EF (2). Irland deltager derfor ikke i vedtagelsen af denne afgørelse, som ikke er bindende for og ikke finder anvendelse i Irland.
                  
               
                     (10)
                  
                  
                     For så vidt angår Island og Norge udgør denne afgørelse en udvikling af bestemmelser i Schengenreglerne, jf. aftalen indgået mellem Rådet for Den Europæiske Union og Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (3), henhørende under det område, der er nævnt i artikel 1, litra A, i Rådets afgørelse 1999/437/EF (4).
                  
               
                     (11)
                  
                  
                     For så vidt angår Schweiz udgør denne afgørelse en udvikling af bestemmelser i Schengenreglerne, jf. aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (5), henhørende under det område, som er nævnt i artikel 1, litra A, i Rådets afgørelse 1999/437/EF sammenholdt med artikel 3 i Rådets afgørelse 2008/146/EF (6).
                  
               
                     (12)
                  
                  
                     For så vidt angår Liechtenstein udgør denne afgørelse en udvikling af bestemmelser i Schengenreglerne, jf. protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om dette lands associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (7), henhørende under det område, der er nævnt i artikel 1, litra A, i Rådets afgørelse 1999/437/EF sammenholdt med artikel 3 i Rådets afgørelse 2011/350/EU (8).
                  
               
                     (13)
                  
                  
                     For så vidt angår Cypern, Bulgarien, Rumænien og Kroatien udgør denne afgørelse en retsakt, der bygger på Schengenreglerne eller på anden måde har tilknytning dertil, jf. henholdsvis artikel 3, stk. 1, i tiltrædelsesakten af 2003, artikel 4, stk. 1, i tiltrædelsesakten af 2005 og artikel 4, stk. 1, i tiltrædelsesakten af 2011.
                  
               
                     (14)
                  
                  
                     Den Europæiske Tilsynsførende for Databeskyttelse blev hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (9) og afgav udtalelse den 4. september 2020.
                  
               
                     (15)
                  
                  
                     Foranstaltningerne i denne afgørelse er i overensstemmelse med udtalelse fra udvalget for intelligente grænser (ETIAS) —
                  
               VEDTAGET DENNE AFGØRELSE:
         
            Artikel 1
            Logføring vedrørende databehandlingsaktiviteter
            
               1.   Logfilerne vedrørende alle databehandlingsaktiviteter i ETIAS-informationssystemet, der skal føres i henhold til artikel 69, stk. 1, i forordning (EU) 2018/1240, herunder logfiler vedrørende transportvirksomheders adgang, jf. artikel 45, stk. 7, grænsemyndigheders og indvandringsmyndigheders adgang, jf. artikel 69, stk. 3, i forordning (EU) 2018/1240, og de centrale adgangspunkters adgang, jf. artikel 70, stk. 1, i forordning (EU) 2018/1240, skal registreres og lagres af Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed i det centrale ETIAS-system.
            
            
               2.   Hver databehandlingsaktivitet i ETIAS-informationssystemet skal registreres som en særskilt logpost.
               Logposterne skal have et særligt felt, der gør det muligt at finde frem til oplysninger om den udførte aktivitet.
            
            
               3.   Logposterne skal registreres med tidspunkt og dato for hver databehandlingsaktivitet (»tidsstempel«).
            
            
               4.   Alle logposterne skal indeholde det entydige ID for den myndighed, embedsmand eller medarbejder, der tilgår, ændrer eller sletter oplysninger, der er lagret i det centrale ETIAS-system.
            
            
               5.   Logposterne skal slettes dagligt af det centrale ETIAS-system, jf. de opbevaringsperioder, der er fastsat i artikel 45, stk. 7, artikel 69, stk. 4, og artikel 70, stk. 4, i forordning (EU) 2018/1240.
               Der skal anvendes et tidsstempel til at identificere, hvilke logposter der skal slettes ved udløbet af den relevante opbevaringsperiode for hver type logfil.
            
         
         
            Artikel 2
            Adgang til logfiler vedrørende databehandlingsaktiviteter
            
               1.   Adgangen til logfiler, der føres af Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed, skal i henhold til forordning (EU) 2018/1240 begrænses til:
               
                           a)
                        
                        
                           behørigt bemyndigede ETIAS-administratorer i Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed til de formål, der er omhandlet i artikel 58, stk. 2, i forordning (EU) 2018/1240, og navnlig for at sikre overholdelsen af nævnte forordnings artikel 69, stk. 4
                        
                     
                           b)
                        
                        
                           behørigt bemyndigede medarbejdere og den databeskyttelsesansvarlige i Det Europæiske Agentur for Grænse- og Kystbevogtning til de formål, der er fastsat i artikel 7, stk. 2, litra e), og artikel 61 i forordning (EU) 2018/1240, og for at sikre lovligheden af databehandlingen og dataintegriteten og -sikkerheden
                        
                     
                           c)
                        
                        
                           behørigt bemyndigede medarbejdere og de databeskyttelsesansvarlige i de nationale ETIAS-enheder til de formål, der er omhandlet i artikel 57, stk. 2.
                        
                     
            
               2.   Den Europæiske Tilsynsførende for Databeskyttelse og de kompetente nationale tilsynsmyndigheder, der udfører de tilsynsfunktioner, der er omhandlet i artikel 66 og 67 i forordning (EU) 2018/1240, har på anmodning til eu-LISA eller de nationale ETIAS-enheder adgang til logfilerne.
            
            
               3.   Det skal være muligt at søge på logposterne og de specifikke felter, der er registreret i det centrale ETIAS-system, jf. artikel 1, ved hjælp af som minimum ophavsmand, dato for adgangen eller type databehandling.
            
            
               4.   Med henblik på artikel 45, stk. 5 og 7, i forordning (EU) 2018/1240 kan Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed overføre de logfiler til de nationale ETIAS-enheder, der er nødvendige for at bilægge en tvist om anvendelsen af denne artikel, forudsat at følgende betingelser er opfyldt:
               
                           a)
                        
                        
                           den pågældende nationale ETIAS-enhed har indgivet en udtrykkelig begrundet anmodning om sådanne logfiler til Det Europæiske Agentur for Grænse- og Kystbevogtning som dataansvarlig, jf. nævnte forordnings artikel 57, stk. 1, første punktum
                        
                     
                           b)
                        
                        
                           Det Europæiske Agentur for Grænse- og Kystbevogtning har kontrolleret og godkendt anmodningen.
                        
                     
            
               5.   Det skal være muligt at spore logfiler, hvori adgang til logfiler i henhold til stk. 1 er registreret, på grundlag af som minimum ophavsmand eller dato for adgangen.
            
            
               6.   Det skal være muligt at søge i logfiler, hvori adgang til logfiler i henhold til stk. 1 er registreret, på grundlag af ophavsmand, dato for adgangen og type databehandling.
            
         
         
            Artikel 3
            Ikrafttræden
            Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
         
         
            Udfærdiget i Bruxelles, den 15. april 2021.
            
               
                  På Kommissionens vegne
               
               Ursula VON DER LEYEN
               
                  Formand
               
            
         
         
            (1)  EUT L 236 af 19.9.2018, s. 1.
         
            (2)  Rådets afgørelse 2002/192/EF af 28. februar 2002 om anmodningen fra Irland om at deltage i visse bestemmelser i Schengenreglerne (EFT L 64 af 7.3.2002, s. 20).
         
            (3)  EFT L 176 af 10.7.1999, s. 36.
         
            (4)  Rådets afgørelse 1999/437/EF af 17. maj 1999 om visse gennemførelsesbestemmelser til den aftale, som Rådet for Den Europæiske Union har indgået med Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og den videre udvikling af Schengenreglerne (EFT L 176 af 10.7.1999, s. 31).
         
            (5)  EUT L 53 af 27.2.2008, s. 52.
         
            (6)  Rådets afgørelse 2008/146/EF af 28. januar 2008 om indgåelse, på Den Europæiske Unions vegne, af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (EUT L 53 af 27.2.2008, s. 1).
         
            (7)  EUT L 160 af 18.6.2011, s. 21.
         
            (8)  Rådets afgørelse 2011/350/EU af 7. marts 2011 om indgåelse, på Den Europæiske Unions vegne, af protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne, navnlig for så vidt angår afskaffelsen af kontrollen ved de indre grænser og personbevægelser (EUT L 160 af 18.6.2011, s. 19).
         
            (9)  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).