CELEX ID: 32018R1862

--- ENGLISH ---

Document:
7.12.2018
EN
Official Journal of the European Union
L 312/56
REGULATION (EU) 2018/1862 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 28 November 2018
on the establishment, operation and use of the Schengen Information System (SIS) in the field of police cooperation and judicial cooperation in criminal matters, amending and repealing Council Decision 2007/533/JHA, and repealing Regulation (EC) No 1986/2006 of the European Parliament and of the Council and Commission Decision 2010/261/EU
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular point (d) of the second subparagraph of Article 82(1), Article 85(1), Article 87(2)(a) and Article 88(2)(a) thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Acting in accordance with the ordinary legislative procedure 
(
1
)
,
Whereas:
(1)
The Schengen Information System (SIS) constitutes an essential tool for the application of the provisions of the Schengen 
acquis
 as integrated into the framework of the European Union. SIS is one of the major compensatory measures contributing to maintaining a high level of security within the area of freedom, security and justice of the Union by supporting operational cooperation between national competent authorities, in particular border guards, the police, customs authorities, immigration authorities, and authorities responsible for the prevention, detection, investigation or prosecution of criminal offences or execution of criminal penalties.
(2)
SIS was initially set up pursuant to the provisions of Title IV of the Convention of 19 June 1990 implementing the Schengen Agreement of 14 June 1985 between the governments of the States of the Benelux Economic Union, the Federal Republic of Germany and the French Republic on the gradual abolition of checks at their common borders 
(
2
)
 (the Convention implementing the Schengen Agreement). The development of the second generation of SIS (SIS II) was entrusted to the Commission pursuant to Council Regulation (EC) No 2424/2001 
(
3
)
 and Council Decision 2001/886/JHA 
(
4
)
. It was later established by Regulation (EC) No 1987/2006 of the European Parliament and of the Council 
(
5
)
 and by Council Decision 2007/533/JHA 
(
6
)
. SIS II replaced SIS as created pursuant to the Convention implementing the Schengen Agreement.
(3)
Three years after SIS II was brought into operation, the Commission carried out an evaluation of the system in accordance with Regulation (EC) No 1987/2006 and Decision 2007/533/JHA. On 21 December 2016, the Commission submitted the Report on the Evaluation of the Second Generation Schengen Information System (SIS II) in accordance with Articles 24(5), 43(3) and 50(5) of Regulation (EC) No 1987/2006 and Articles 59(3) and 66(5) of Decision 2007/533/JHA and an accompanying staff working document to the European Parliament and to the Council. The recommendations set out in those documents should be reflected, as appropriate, in this Regulation.
(4)
This Regulation constitutes the legal basis for SIS in respect of matters falling within the scope of Chapters 4 and 5 of Title V of Part Three of the Treaty on Functioning of the European Union (TFEU). Regulation (EU) 2018/1861 of the European Parliament and of the Council 
(
7
)
 constitutes the legal basis for SIS in respect of matters falling within the scope of Chapter 2 of Title V of Part Three TFEU.
(5)
The fact that the legal basis for SIS consists of separate instruments does not affect the principle that SIS constitutes one single information system that should operate as such. It should include a single network of national offices called SIRENE Bureaux for ensuring the exchange of supplementary information. Certain provisions of those instruments should therefore be identical.
(6)
It is necessary to specify the objectives of SIS, certain elements of its technical architecture and its financing, to lay down rules concerning its end-to-end operation and use and to define responsibilities. It is also necessary to determine the categories of data to be entered into the system, the purposes for which the data are to be entered and processed and the criteria for their entry. Rules are also required to govern the deletion of alerts, the authorities authorised to access the data, the use of biometric data and to further determine data protection and data processing rules.
(7)
Alerts in SIS contain only the information necessary to identify a person or an object and for the action to be taken. Member States should therefore exchange supplementary information related to alerts where required.
(8)
SIS includes a central system (Central SIS) and national systems. The national systems might contain a complete or partial copy of the SIS database, which may be shared by two or more Member States. Considering that SIS is the most important information exchange instrument in Europe for ensuring security and effective border management, it is necessary to ensure its uninterrupted operation at central as well as at national level. The availability of SIS should be subject to close monitoring at central and Member State level and any incident of unavailability for end-users should be registered and reported to stakeholders at national and Union level. Each Member State should set up a backup for its national system. Member States should also ensure uninterrupted connectivity with Central SIS by having duplicated and physically and geographically separated connection points. Central SIS and the Communication Infrastructure should be operated in such a way that their functioning 24 hours a day, 7 days a week is ensured. For that reason the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (‘eu-LISA’), established by Regulation (EU) 2018/1726 of the European Parliament and of the Council 
(
8
)
 should implement technical solutions to reinforce the uninterrupted availability of SIS, subject to an independent impact assessment and cost-benefit analysis.
(9)
It is necessary to maintain a manual setting out the detailed rules for the exchange of supplementary information concerning the actions called for by alerts (‘the SIRENE Manual’). The SIRENE Bureaux, should ensure the exchange of such information in a fast and efficient manner.
(10)
In order to ensure the efficient exchange of supplementary information, including on the action to be taken specified in alerts, it is appropriate to reinforce the functioning of the SIRENE Bureaux by specifying the requirements concerning the available resources and user training and the response time to inquiries they receive from other SIRENE Bureaux.
(11)
Member States should ensure that the staff of their SIRENE Bureau have the linguistic skills and knowledge of relevant law and procedural rules necessary to perform their tasks.
(12)
In order to be able to fully benefit from the functionalities of SIS, Member States should ensure that end-users and the staff of the SIRENE Bureaux regularly receive training, including on data security, data protection and data quality. SIRENE Bureaux should be involved in the development of training programmes. To the extent possible, SIRENE Bureaux should also provide for staff exchanges with other SIRENE Bureaux at least once a year. Member States are encouraged to take appropriate measures to avoid the loss of skills and experience through staff turnover.
(13)
The operational management of the central components of SIS are exercised by eu-LISA. In order to enable eu-LISA to dedicate the necessary financial and personal resources covering all aspects of the operational management of Central SIS and the Communication Infrastructure, this Regulation should set out its tasks in detail, in particular with regard to the technical aspects of the exchange of supplementary information.
(14)
Without prejudice to the responsibility of Member States for the accuracy of data entered into SIS and to the role of the SIRENE Bureaux as quality coordinators, eu-LISA should be responsible for reinforcing data quality by introducing a central data quality monitoring tool, and should provide reports at regular intervals to the Commission and to the Member States. The Commission should report to the European Parliament and to the Council on the data quality issues encountered. To further increase the quality of data in SIS, eu-LISA should also offer training on the use of SIS to national training bodies and, insofar as possible, to the SIRENE Bureaux and to end-users.
(15)
In order to allow better monitoring of the use of SIS and to analyse trends concerning criminal offences, eu-LISA should be able to develop a state-of-the-art capability for statistical reporting to the Member States, to the European Parliament, to the Council, to the Commission, to Europol, to Eurojust and to the European Border and Coast Guard Agency without jeopardising data integrity. Therefore, a central repository should be established. Statistics retained in or obtained from that repository should not contain any personal data. Member States should communicate statistics concerning exercise of the right of access, rectification of inaccurate data and erasure of unlawfully stored data in the framework of cooperation between supervisory authorities and the European Data Protection Supervisor under this Regulation.
(16)
New data categories should be introduced in SIS to allow end-users to take informed decisions based upon an alert without losing time. Therefore, in order to facilitate identification and detect multiple identities, the alert should, where such information is available, include a reference to the personal identification document of the individual concerned or its number and a copy, if possible in colour, of the document.
(17)
Competent authorities should be able, where strictly necessary, to enter into SIS specific information relating to any specific, objective, physical characteristics of a person which are not subject to change, such as tattoos, marks or scars.
(18)
Where available, all the relevant data, in particular the forename of the individual concerned, should be inserted when creating an alert, in order to minimise the risk of false hits and unnecessary operational activities.
(19)
SIS should not store any data used to carry out searches with the exception of keeping logs to verify whether the search is lawful, for monitoring the lawfulness of data processing, for self-monitoring and for ensuring the proper functioning of the national systems as well as for data integrity and security.
(20)
SIS should permit the processing of biometric data in order to assist in the reliable identification of the individuals concerned. Any entry of photographs, facial images or dactyloscopic data into SIS and any use of such data should be limited to what is necessary for the objectives pursued, should be authorised by Union law, should respect fundamental rights, including the best interests of the child, and should be in accordance with Union law on data protection, including the relevant provisions on data protection laid down in this Regulation. In the same perspective, in order to avoid inconveniences caused by misidentification, SIS should also allow for the processing of data concerning individuals whose identity has been misused, subject to suitable safeguards, to obtaining the consent of the individual concerned for each data category, in particular palm prints, and to a strict limitation of the purposes for which such personal data can be lawfully processed.
(21)
Member States should make the necessary technical arrangements so that each time end-users are entitled to carry out a search in a national police or immigration database, they also search SIS in parallel, subject to the principles set out in Article 4 of Directive (EU) 2016/680 of the European Parliament and of the Council 
(
9
)
 and Article 5 of Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
10
)
. This should ensure that SIS functions as the main compensatory measure in the area without internal border controls and better addresses the cross-border dimension of criminality and the mobility of criminals.
(22)
This Regulation should set out the conditions for use of dactyloscopic data, photographs and facial images for identification and verification purposes. Facial images and photographs should, for identification purposes, initially be used only in the context of regular border crossing points. Such use should be subject to a report by the Commission confirming the availability, reliability and readiness of the technology.
(23)
The introduction of an automated fingerprint identification service within SIS complements the existing Prüm mechanism on mutual cross-border online access to designated national DNA databases and automated fingerprint identification systems, as set out in Council Decisions 2008/615/JHA 
(
11
)
 and 2008/616/JHA 
(
12
)
. The SIS dactyloscopic data search allows an active search for the perpetrator. Therefore, it should be possible to upload the dactyloscopic data of an unknown perpetrator into SIS, provided that the owner of that data can be identified with a very high degree of probability as the perpetrator of a serious crime or act of terrorism. This is in particular the case if dactyloscopic data are found on the weapon or on any object used for the offence. The mere presence of the dactyloscopic data at the crime scene should not be considered as indicating a very high degree of probability that the dactyloscopic data are those of the perpetrator. A further precondition for the creation of such an alert should be that the identity of the suspect cannot be established on the basis of data from any other relevant national, Union or international database. Should a dactyloscopic data search lead to a potential match, the Member State should carry out further checks with the involvement of experts to establish whether the suspect is the owner of the prints stored in SIS, and should establish the identity of the person. The procedure should be subject to national law. Such identification could substantially contribute to the investigation and could lead to an arrest provided that all the conditions for an arrest are met.
(24)
It should be allowed to search dactyloscopic data stored in SIS with complete or incomplete sets of fingerprints or palm prints found at a crime scene if it can be established to a high degree of probability that they belong to the perpetrator of the serious crime or terrorist offence, provided that a search is carried out simultaneously in the relevant national fingerprint databases. Particular attention should be given to the establishment of quality standards applicable to the storage of biometric data, including latent dactyloscopic data.
(25)
Wherever the identity of a person cannot be ascertained by any other means, dactyloscopic data should be used to attempt identification. It should be allowed in all cases to identify a person by using dactyloscopic data.
(26)
It should be possible to add a DNA profile to an alert in clearly defined cases where dactyloscopic data are not available. That DNA profile should only be accessible to authorised users. DNA profiles should facilitate the identification of missing persons in need of protection and particularly missing children, including by allowing the use of DNA profiles of direct ascendants, descendants or siblings to enable identification. DNA data should contain only the minimum information necessary for identification of the missing person.
(27)
DNA profiles should only be retrieved from SIS where identification is necessary and proportionate for the purposes laid down in this Regulation. DNA profiles should not be retrieved or processed for any other purpose than those for which they were entered into SIS. The data protection and security rules laid down in this Regulation should apply. Additional safeguards, if necessary, should be put in place when using DNA profiles in order to avoid any risk of false matches, hacking and unauthorised sharing with third parties.
(28)
SIS should contain alerts on persons wanted for arrest for surrender purposes and wanted for arrest for extradition purposes. In addition to alerts, it is appropriate to provide for the exchange of supplementary information through the SIRENE Bureaux which is necessary for the surrender and extradition procedures. In particular, data referred to in Article 8 of Council Framework Decision 2002/584/JHA 
(
13
)
 should be processed in SIS. Due to operational reasons, it is appropriate for the issuing Member State to make an existing alert for arrest temporarily unavailable upon the authorisation of the judicial authorities when a person who is the subject of a European Arrest Warrant is intensively and actively searched and end-users not involved in the concrete search operation may jeopardise the successful outcome. The temporary unavailability of such alerts should in principle not exceed 48 hours.
(29)
It should be possible to add to SIS a translation of the additional data entered for the purpose of surrender under the European Arrest Warrant and for the purpose of extradition.
(30)
SIS should contain alerts on missing persons or on vulnerable persons who need to be prevented from travelling to ensure their protection or to prevent threats to public security or to public order. In the case of children, these alerts and the corresponding procedures should serve the best interests of the child in accordance with Article 24 of the Charter of Fundamental Rights of the European Union and Article 3 of the United Nations Convention on the Rights of the Child of 20 November 1989. Actions and decisions by the competent authorities, including judicial authorities, following an alert on a child should be taken in cooperation with child protection authorities. The national hotline for missing children should be informed, where appropriate.
(31)
Alerts on missing persons who need to be placed under protection should be entered at the request of the competent authority. All children who have gone missing from Member States' reception facilities should be the subject of an alert on missing persons in SIS.
(32)
Alerts on children at risk of parental child abduction should be entered into SIS at the request of competent authorities, including judicial authorities having jurisdiction in matters of parental responsibility under national law. Alerts on children at risk of parental child abduction should only be entered in SIS where this risk is concrete and apparent and in limited circumstances. Therefore it is necessary to provide for strict and appropriate safeguards. In assessing whether a concrete and apparent risk exists that a child may be imminently and unlawfully removed from a Member State, the competent authority should take into account the child's personal circumstances and the environment to which the child is exposed.
(33)
This Regulation should establish a new category of alerts for certain categories of vulnerable persons who need to be prevented from travelling. Persons who, due to their age, disabilities, or their family circumstances require protection should be considered vulnerable.
(34)
Alerts on children who need to be prevented from travelling for their own protection should be entered into SIS if there is a concrete and apparent risk of them being removed from or leaving the territory of a Member State. Such alerts should be entered if the travel would put them at risk of becoming victims of trafficking in human beings or of forced marriage, female genital mutilation or other forms of gender-based violence, of becoming victims or being involved in terrorist offences, of being conscripted or enlisted into armed groups, or of being made to participate actively in hostilities.
(35)
Alerts on vulnerable adults who need to be prevented from travelling for their own protection should be entered if travel would put them at risk of becoming victims of trafficking in human beings or gender-based violence.
(36)
In order to guarantee strict and appropriate safeguards, alerts on children or other vulnerable persons who need to be prevented from travelling should, where required under national law, be entered into SIS following a decision by a judicial authority or a decision by a competent authority confirmed by a judicial authority.
(37)
A new action to be taken should be introduced to allow a person to be stopped and interviewed in order for the issuing Member State to obtain detailed information. This action should apply in cases where, based on a clear indication, a person is suspected of intending to commit or of committing any of the offences referred to in Article 2(1) and (2) of Framework Decision 2002/584/JHA, where further information is needed to execute a custodial sentence or detention order against a person convicted of any of the offences referred to in Article 2(1) and (2) of Framework Decision 2002/584/JHA, or where there is a reason to believe that he or she will commit any of those offences. This action to be taken should also be without prejudice to existing mutual legal assistance mechanisms. It should supply sufficient information to decide upon further actions. This new action should not amount to searching the person nor to his or her arrest. The procedural rights of suspects and accused persons under Union and national law should be preserved, including their right to have access to a lawyer in accordance with Directive 2013/48/EU of the European Parliament and of the Council 
(
14
)
.
(38)
In the case of alerts on objects for seizure or use as evidence in criminal proceedings, the objects concerned should be seized in accordance with national law that determines if and in accordance with which conditions an object is to be seized, particularly if it is in the possession of its rightful owner.
(39)
SIS should contain new categories of objects of high value, such as items of information technology which can be identified and searched with a unique identification number.
(40)
As regards alerts entered into SIS on documents for seizure or use as evidence in criminal proceedings, the term ‘false’ should be construed as encompassing both forged and counterfeit documents.
(41)
It should be possible for a Member State to add an indication, called a flag, to an alert, to the effect that the action to be taken on the basis of the alert will not be taken on its territory. When alerts are entered for arrest for surrender purposes, nothing in this Regulation should be construed so as to derogate from or prevent the application of the provisions contained in the Framework Decision 2002/584/JHA. The decision to add a flag to an alert with a view to the non-execution of a European Arrest Warrant should be based only on the grounds for refusal contained in that Framework Decision.
(42)
When a flag has been added and the whereabouts of the person wanted for arrest for surrender become known, the person's whereabouts should always be communicated to the issuing judicial authority, which may decide to transmit a European Arrest Warrant to the competent judicial authority in accordance with the provisions of the Framework Decision 2002/584/JHA.
(43)
It should be possible for Member States to establish links between alerts in SIS. The establishment of links between two or more alerts should have no impact on the action to be taken, the review period for alerts or the access rights to the alerts.
(44)
Alerts should not be kept in SIS longer than the time required to fulfil the specific purposes for which they were entered. The review periods for different categories of alerts should be appropriate in light of their purpose. Alerts on objects which are linked to an alert on a person should only be kept for as long as the alert on the person is kept. Decisions to retain alerts on persons should be based on a comprehensive individual assessment. Member States should review alerts on persons and objects within the prescribed review periods and should keep statistics on the number of alerts for which the retention period has been extended.
(45)
Entering an alert into SIS and extending the expiry date of an alert in SIS should be subject to a proportionality requirement involving examination of whether a concrete case is adequate, relevant and important enough to warrant insertion of an alert in SIS. Where terrorist offences are concerned, the case should be considered adequate, relevant and important enough to warrant an alert in SIS. For public or national security reasons, Member States should be allowed exceptionally to refrain from entering an alert into SIS when it is likely that this would obstruct official or legal inquiries, investigations or procedures.
(46)
It is necessary to establish rules concerning the deletion of alerts. An alert should be kept only for the time required to achieve the purpose for which it was entered. Considering the diverging practices of Member States in determining the point in time when an alert has fulfilled its purpose, it is appropriate to set out detailed criteria for each category of alert to determine when it should be deleted.
(47)
The integrity of SIS data is of primary importance. Therefore, appropriate safeguards should be provided to process SIS data at central as well as at national level to ensure the end-to-end security of the data. The authorities involved in the data processing should be bound by the security requirements of this Regulation and be subject to a uniform incident reporting procedure. Their staff should be appropriately trained and be informed of any offences and penalties in this respect.
(48)
Data processed in SIS and the related supplementary information exchanged pursuant to this Regulation should not be transferred or made available to third countries or to international organisations.
(49)
It is appropriate to grant access to SIS to services responsible for registering vehicles, boats and aircraft in order to allow them to verify whether the conveyance concerned is being searched for in Member States for seizure. It is also appropriate to grant access to SIS to services responsible for registering firearms in order to allow them to verify whether the firearm concerned is being searched for in Member States for seizure or whether there is an alert on the person requesting the registration.
(50)
Direct access to SIS should only be provided to competent government services. This access should be limited to alerts concerning the respective conveyances and their registration document or number plate or firearms and persons requesting the registration. Any hit in SIS should be reported by such services to the police authorities, who should take further action in line with the particular alert in SIS and notify the issuing Member State of the hit through the SIRENE Bureaux.
(51)
Without prejudice to more specific rules laid down in this Regulation, the national laws, regulations and administrative provisions adopted pursuant to Directive (EU) 2016/680 should apply to the processing, including collection and communication of personal data under this Regulation by the national competent authorities for the purposes of the prevention, detection, investigation or prosecution of terrorist offences or other serious criminal offences or the execution of criminal penalties. Access to data entered into SIS and the right to search such data by national competent authorities which are responsible for the prevention, detection, investigation or prosecution of terrorist offences or other serious criminal offences or the execution of criminal penalties are to be subject to all relevant provisions of this Regulation and those of Directive (EU) 2016/680 as transposed into national law, and in particular to monitoring by the supervisory authorities referred to in Directive (EU) 2016/680.
(52)
Without prejudice to more specific rules laid down in this Regulation for the processing of personal data, Regulation (EU) 2016/679 should apply to the processing of personal data by the Member States under this Regulation unless such processing is carried out by the national competent authorities for the purposes of the prevention, investigation, detection or prosecution of terrorist offences or of other serious criminal offences.
(53)
Regulation (EU) 2018/1725 of the European Parliament and of the Council 
(
15
)
 should apply to the processing of personal data by the institutions and bodies of the Union when carrying out their responsibilities under this Regulation.
(54)
Regulation (EU) 2016/794 of the European Parliament and of the Council 
(
16
)
 should apply to the processing of personal data by Europol under this Regulation.
(55)
In cases when searches carried out in SIS by national members of Eurojust and their assistants reveal the existence of an alert entered by a Member State, Eurojust cannot take the requested action. Therefore, it should inform the Member State concerned to allow it to follow up the case.
(56)
When using SIS, the competent authorities should ensure that the dignity and integrity of the person whose data are processed are respected. Processing of personal data for the purposes of this Regulation is not to result in discrimination against persons on any grounds, such as sex, racial or ethnic origin, religion or belief, disability, age or sexual orientation.
(57)
Insofar as confidentiality is concerned, the relevant provisions of the Staff Regulations of Officials of the European Union and the Conditions of Employment of Other Servants of the Union, laid down in Council Regulation (EEC, Euratom, ECSC) No 259/68 
(
17
)
 (‘Staff Regulations’) should apply to officials or other servants employed and working in connection with SIS.
(58)
Both the Member States and eu-LISA should maintain security plans in order to facilitate the implementation of security obligations and should cooperate with each other in order to address security issues from a common perspective.
(59)
The national independent supervisory authorities referred to in Regulation (EU) 2016/679 and Directive (EU) 2016/680 (‘supervisory authorities’) should monitor the lawfulness of the processing of personal data by the Member States under this Regulation, including the exchange of supplementary information. The supervisory authorities should be granted sufficient resources to carry out this task. The rights of data subjects to access, rectify and erase their personal data that is stored in SIS, and any subsequent remedies before national courts as well as the mutual recognition of judgments should be provided for. It is also appropriate to require annual statistics from Member States.
(60)
The supervisory authorities should ensure that an audit of the data processing operations in their Member State's national systems is carried out in accordance with international auditing standards at least every four years. The audit should either be carried out by the supervisory authorities, or the supervisory authorities should directly order the audit from an independent data protection auditor. The independent auditor should remain under the control and responsibility of the supervisory authorities concerned which therefore should instruct the auditor themselves and provide a clearly defined purpose, scope and methodology for the audit as well as guidance and supervision concerning the audit and its final results.
(61)
The European Data Protection Supervisor should monitor the activities of the Union institutions and bodies in relation to the processing of personal data under this Regulation. The European Data Protection Supervisor and the supervisory authorities should cooperate with each other in monitoring SIS.
(62)
The European Data Protection Supervisor should be granted sufficient resources to fulfil the tasks entrusted to it under this Regulation, including assistance from persons with expertise in biometric data.
(63)
Regulation (EU) 2016/794 provides that Europol is to support and strengthens actions carried out by the national competent authorities and their cooperation in combating terrorism and serious crime and to provide analysis and threat assessments. The extension of Europol's access rights to alerts on missing persons should further improve Europol's capacity to provide national law enforcement authorities with comprehensive operational and analytical products concerning trafficking in human beings and child sexual exploitation, including online. This would contribute to better prevention of those criminal offences, to the protection of potential victims and to the investigation of perpetrators. Europol's European Cybercrime Centre would also benefit from Europol having access to alerts on missing persons, including in cases of travelling sex offenders and child sexual abuse online, where perpetrators often claim that they have access to children or can get access to children who might have been registered as missing.
(64)
In order to bridge the gap in information sharing on terrorism, in particular on foreign terrorist fighters — where monitoring of their movement is crucial — Member States are encouraged to share information on terrorism-related activity with Europol. This information sharing should be carried out through the exchange of supplementary information with Europol on the alerts concerned. For this purpose Europol should set up a connection with the Communication Infrastructure.
(65)
It is also necessary to set out clear rules for Europol on the processing and downloading of SIS data to allow it to use SIS comprehensively, provided that data protection standards are complied with as provided for in this Regulation and Regulation (EU) 2016/794. In cases where searches carried out by Europol in SIS reveal the existence of an alert entered by a Member State, Europol cannot take the required action. Therefore it should inform the Member State concerned through the exchange of supplementary information with the respective SIRENE Bureau, to allow that Member State to follow up the case.
(66)
Regulation (EU) 2016/1624 of the European Parliament and of the Council 
(
18
)
 provides for the purpose of that Regulation, that the host Member State is to authorise the members of the teams referred to in point (8) of Article 2 of that Regulation, deployed by the European Border and Coast Guard Agency to consult Union databases where this consultation is necessary for fulfilling operational aims specified in the operational plan on border checks, border surveillance and return. Other relevant Union agencies, in particular the European Asylum Support Office and Europol, may also deploy experts who are not members of the staff of those Union agencies as part of migration management support teams. The objective of the deployment of the teams referred to in points (8) and (9) of Article 2 of that Regulation is to provide technical and operational reinforcement to the requesting Member States, especially to those facing disproportionate migratory challenges. For the teams referred to in points (8) and (9) of Article 2 of that Regulation to fulfil their tasks, they require access to SIS through a technical interface of the European Border and Coast Guard Agency connecting to Central SIS. In cases where searches in SIS carried out by the teams referred to in points (8) and (9) of Article 2 of Regulation (EU) 2016/1624 or by the teams of staff reveal the existence of an alert entered by a Member State, the member of the team or the staff cannot take the required action unless authorised to do so by the host Member State. Therefore, the host Member State should be informed to allow it to follow up the case. The host Member State should notify the issuing Member State of the hit through the exchange of supplementary information.
(67)
Certain aspects of SIS cannot be covered exhaustively by this Regulation given their technical, highly detailed and frequently changing nature. Those aspects include, for example, technical rules on entering data, on updating, deleting and searching data and on data quality and rules related to biometric data rules on the compatibility and order of priority of alerts, on links between alerts, setting the expiry date of alerts within the maximum time limit and on the exchange of supplementary information. Implementing powers in respect of those aspects should therefore be conferred on the Commission. Technical rules on searching alerts should take into account the smooth operation of national applications.
(68)
In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
19
)
. The procedure for adopting implementing acts under this Regulation and Regulation (EU) 2018/1861 should be the same.
(69)
In order to ensure transparency, two years after the start of operations of SIS pursuant to this Regulation, eu-LISA should produce a report on the technical functioning of Central SIS and the Communication Infrastructure, including their security, and on the bilateral and multilateral exchange of supplementary information. An overall evaluation should be issued by the Commission every four years.
(70)
In order to ensure the smooth functioning of SIS, the power to adopt acts in accordance with Article 290 TFEU should be delegated to the Commission in respect of new sub-categories of objects to be sought under alerts on objects for seizure or used as evidence in criminal proceedings, and the determination of the circumstances in which photographs and facial images may be used for the identification of persons other than in the context of regular border crossing points. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making 
(
20
)
. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States' experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts.
(71)
Since the objectives of this Regulation, namely the establishment and regulation of a Union information system and the exchange of related supplementary information, cannot be sufficiently achieved by the Member States, but can rather, by reason of their nature be better achieved at Union level, the Union may adopt measures in accordance with the principle of subsidiarity, as set out in Article 5 of the Treaty on European Union (TEU). In accordance with the principle of proportionality, as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives.
(72)
This Regulation respects fundamental rights and observes the principles recognised in particular by the Charter of Fundamental Rights of the European Union. In particular, this Regulation fully respects the protection of personal data in accordance with Article 8 of the Charter of Fundamental Rights of the European Union while seeking to ensure a safe environment for all persons residing on the territory of the Union and special protection for children who could be victim of trafficking or abduction. In cases concerning children, the best interests of the child should be a primary consideration.
(73)
In accordance with Articles 1 and 2 of Protocol No 22 on the Position of Denmark annexed to the TEU and to the TFEU, Denmark is not taking part in the adoption of this Regulation and is not bound by it or subject to its application. Given that this Regulation builds upon the Schengen 
acquis
, Denmark shall, in accordance with Article 4 of that Protocol, decide within a period of six months after the Council has decided on this Regulation whether it will implement it in its national law.
(74)
The United Kingdom is taking part in this Regulation in accordance with Article 5(1) of Protocol No 19 on the Schengen 
acquis
 integrated into the framework of the European Union annexed to the TEU and to the TFEU and Article 8(2) of Council Decision 2000/365/EC 
(
21
)
.
(75)
Ireland is taking part in this Regulation in accordance with Article 5(1) of Protocol No 19 annexed to the TEU and to the TFEU and Article 6(2) of Council Decision 2002/192/EC 
(
22
)
.
(76)
As regards Iceland and Norway, this Regulation constitutes a development of provisions of the Schengen 
acquis
 within the meaning of the Agreement concluded by the Council of the European Union and the Republic of Iceland and the Kingdom of Norway concerning the latters' association with the implementation, application and development of the Schengen 
acquis
 
(
23
)
, which fall within the area referred to in Article 1, point (G) of Council Decision 1999/437/EC 
(
24
)
.
(77)
As regards Switzerland, this Regulation constitutes a development of the provisions of the Schengen 
acquis
 within the meaning of the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation's association with the implementation, application and development of the Schengen 
acquis
 
(
25
)
, which fall within the area referred to in Article 1, point (G), of Decision 1999/437/EC read in conjunction with Article 3 of Council Decision 2008/149/JHA 
(
26
)
.
(78)
As regards Liechtenstein, this Regulation constitutes a development of the provisions of the Schengen 
acquis
 within the meaning of the Protocol between the European Union, the European Community, the Swiss Confederation and the Principality of Liechtenstein on the accession of the Principality of Liechtenstein to the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation's association with the implementation, application and development of the Schengen 
acquis
 
(
27
)
, which fall within the area referred to in Article 1, point (G), of Decision 1999/437/EC read in conjunction with Article 3 of Council Decision 2011/349/EU 
(
28
)
.
(79)
As regards Bulgaria and Romania, this Regulation constitutes an act building upon, or otherwise relating to, the Schengen 
acquis
 within the meaning of Article 4(2) of the 2005 Act of Accession and should be read in conjunction with Council Decisions 2010/365/EU 
(
29
)
 and (EU) 2018/934 
(
30
)
.
(80)
As regards Croatia, this Regulation constitutes an act building upon, or otherwise relating to, the Schengen 
acquis
 within the meaning of Article 4(2) of the 2011 Act of Accession and should be read in conjunction with Council Decision (EU) 2017/733 
(
31
)
.
(81)
Concerning Cyprus this Regulation constitutes an act building upon, or otherwise relating to, the Schengen 
acquis
 within the meaning of Article 3(2) of the 2003 Act of Accession.
(82)
This Regulation should apply to Ireland on dates determined in accordance with the procedures set out in the relevant instruments concerning the application of the Schengen 
acquis
 to this State.
(83)
This Regulation introduces a series of improvements to SIS which will increase its effectiveness, strengthen data protection and extend access rights. Certain of those improvements do not require complex technical developments, while others do require technical changes of varying magnitude. In order to enable improvements to the system to become available to end-users as soon as possible, this Regulation introduces amendments to Decision 2007/533/JHA in several phases. A number of improvements to the system should apply immediately upon entry into force of this Regulation, whereas others should apply either one or two years after its entry into force. This Regulation should apply in its entirety within three years after its entry into force. In order to avoid delays in its application the phased implementation of this Regulation should be closely monitored.
(84)
Regulation (EC) No 1986/2006 of the European Parliament and of the Council 
(
32
)
, Decision 2007/533/JHA and Commission Decision 2010/261/EU 
(
33
)
 should be repealed with effect from the date of full application of this Regulation.
(85)
The European Data Protection Supervisor was consulted in accordance with Article 28(2) of Regulation (EC) No 45/2001 of the European Parliament and of the Council 
(
34
)
 and delivered an opinion on 3 May 2017,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
General provisions
Article 1
General purpose of SIS
The purpose of SIS shall be to ensure a high level of security within the area of freedom, security and justice of the Union including the maintenance of public security and public policy and the safeguarding of security in the territories of the Member States, and to ensure the application of the provisions of Chapter 4 and Chapter 5 of Title V of Part Three TFEU relating to the movement of persons on their territories, using information communicated through this system.
Article 2
Subject matter
1.   This Regulation establishes the conditions and procedures for the entry and processing of alerts in SIS on persons and objects and for the exchange of supplementary information and additional data for the purpose of police and judicial cooperation in criminal matters.
2.   This Regulation also lays down provisions on the technical architecture of SIS, on the responsibilities of the Member States and of the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), on data processing, on the rights of the persons concerned and on liability.
Article 3
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘alert’ means a set of data entered into SIS allowing the competent authorities to identify a person or an object with a view to taking specific action;
(2)
‘supplementary information’ means information not forming part of the alert data stored in SIS, but connected to alerts in SIS, which is to be exchanged through the SIRENE Bureaux:
(a)
in order to allow Member States to consult or inform each other when entering an alert;
(b)
following a hit in order to allow the appropriate action to be taken;
(c)
when the required action cannot be taken;
(d)
when dealing with the quality of SIS data;
(e)
when dealing with the compatibility and priority of alerts;
(f)
when dealing with rights of access;
(3)
‘additional data’ means the data stored in SIS and connected with alerts in SIS which are to be immediately available to the competent authorities where a person in respect of whom data has been entered in SIS is located as a result of conducting a search in SIS;
(4)
‘personal data’ means personal data as defined in point 1 of Article 4 of Regulation (EU) 2016/679;
(5)
‘processing of personal data’ means any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, logging, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;
(6)
a ‘match’ means the occurrence of the following steps:
(a)
a search has been conducted in SIS by an end-user;
(b)
that search has revealed an alert entered into SIS by another Member State; and
(c)
data concerning the alert in SIS match the search data;
(7)
a ‘hit’ means any match which fulfils the following criteria:
(a)
it has been confirmed by:
(i)
the end-user; or
(ii)
the competent authority in accordance with national procedures, where the match concerned was based on the comparison of biometric data;
and
(b)
further actions are requested;
(8)
‘flag’ means a suspension of the validity of an alert at the national level that may be added to alerts for arrest, alerts on missing and vulnerable persons and alerts for discreet, inquiry and specific checks;
(9)
‘issuing Member State’ means the Member State which entered the alert into SIS;
(10)
‘executing Member State’ means the Member State which takes or has taken the required actions following a hit;
(11)
‘end-user’ means a member of staff of a competent authority authorised to search directly CS-SIS, N.SIS or a technical copy thereof;
(12)
‘biometric data’ means personal data resulting from specific technical processing relating to the physical or physiological characteristics of a natural person, which allow or confirm the unique identification of that natural person, namely photographs, facial images, dactyloscopic data and DNA profile;
(13)
‘dactyloscopic data’ means data on fingerprints and palm prints which due to their unique character and the reference points contained therein enable accurate and conclusive comparisons on a person's identity;
(14)
‘facial image’ means digital images of the face with sufficient image resolution and quality to be used in automated biometric matching;
(15)
‘DNA profile’ means a letter or number code which represents a set of identification characteristics of the noncoding part of an analysed human DNA sample, namely the particular molecular structure at the various DNA locations (loci);
(16)
‘terrorist offences’ means offences under national law referred to in Articles 3 to 14 of Directive (EU) 2017/541 of the European Parliament and of the Council 
(
35
)
, or equivalent to one of those offences for the Member States which are not bound by that Directive;
(17)
‘threat to public health’ means a threat to public health as defined in point (21) of Article 2 of Regulation (EU) 2016/399 of the European Parliament and of the Council 
(
36
)
.
Article 4
Technical architecture and ways of operating SIS
1.   SIS shall be composed of:
(a)
a central system (Central SIS) composed of:
(i)
a technical support function (‘CS-SIS’) containing a database (the ‘SIS database’), and including a backup CS-SIS;
(ii)
a uniform national interface (‘NI-SIS’);
(b)
a national system (N.SIS) in each of the Member States, consisting of the national data systems which communicate with Central SIS, including at least one national or shared backup N.SIS; and
(c)
a communication infrastructure between CS-SIS, backup CS-SIS and NI-SIS (‘the Communication Infrastructure’) that provides an encrypted virtual network dedicated to SIS data and the exchange of data between SIRENE Bureaux, as referred to in Article 7(2).
An N.SIS as referred to in point (b) may contain a data file (a ‘national copy’) containing a complete or partial copy of the SIS database. Two or more Member States may establish in one of their N.SIS a shared copy which may be used jointly by those Member States. Such shared copy shall be considered as the national copy of each of those Member States.
A shared backup N.SIS as referred to in point (b) may be used jointly by two or more Member States. In such cases, the shared backup N.SIS shall be considered as the backup N.SIS of each of those Member States. The N.SIS and its backup may be used simultaneously to ensure uninterrupted availability to end-users.
Member States intending to establish a shared copy or shared backup N.SIS to be used jointly shall agree their respective responsibilities in writing. They shall notify their arrangement to the Commission.
The Communication Infrastructure shall support and contribute to ensuring the uninterrupted availability of SIS. It shall include redundant and separated paths for the connections between CS-SIS and the backup CS-SIS and shall also include redundant and separated paths for the connections between each SIS national network access point and CS-SIS and backup CS-SIS.
2.   Member States shall enter, update, delete and search SIS data through their own N.SIS. The Member States using a partial or a complete national copy or a partial or complete shared copy shall make that copy available for the purpose of carrying out automated searches in the territory of each of those Member States. The partial national or shared copy shall contain at least the data listed in points (a) to (v) of Article 20 (3). It shall not be possible to search the data files of other Member States' N.SIS except in the case of shared copies.
3.   CS-SIS shall perform technical supervision and administration functions and have a backup CS-SIS, capable of ensuring all functionalities of the principal CS-SIS in the event of failure of that system. CS-SIS and the backup CS-SIS shall be located in the two technical sites of eu-LISA.
4.   eu-LISA shall implement technical solutions to reinforce the uninterrupted availability of SIS either through the simultaneous operation of CS-SIS and the backup CS-SIS, provided that the backup CS-SIS remains capable of ensuring the operation of SIS in the event of a failure of CS-SIS, or through duplication of the system or its components. Notwithstanding the procedural requirements laid down in Article 10 of Regulation (EU) 2018/1726 eu-LISA shall no later than 28 December 2019, prepare a study on the options for technical solutions, containing an independent impact assessment and cost-benefit analysis.
5.   Where necessary in exceptional circumstances, eu-LISA may temporarily develop an additional copy of the SIS database.
6.   CS-SIS shall provide the services necessary for the entry and processing of SIS data, including searches in the SIS database. For the Member States which use a national or shared copy, CS-SIS shall:
(a)
provide online updates for the national copies;
(b)
ensure synchronisation of and consistency between the national copies and the SIS database; and
(c)
provide the operation for initialisation and restoration of the national copies.
7.   CS-SIS shall provide uninterrupted availability.
Article 5
Costs
1.   The costs of operating, maintaining and further developing Central SIS and the Communication Infrastructure shall be borne by the general budget of the Union. Those costs shall include work done with respect to CS-SIS, in order to ensure the provision of the services referred to in Article 4(6).
2.   The costs of setting up, operating, maintaining and further developing each N.SIS shall be borne by the Member State concerned.
CHAPTER II
Responsibilities of the Member States
Article 6
National systems
Each Member State shall be responsible for setting up, operating, maintaining and further developing its N.SIS and connecting it to NI-SIS.
Each Member State shall be responsible for ensuring the uninterrupted availability of SIS data to end-users.
Each Member State shall transmit its alerts through its N.SIS.
Article 7
N.SIS Office and SIRENE Bureau
1.   Each Member State shall designate an authority (the N.SIS Office), which shall have central responsibility for its N.SIS.
That authority shall be responsible for the smooth operation and security of the N.SIS, shall ensure the access of the competent authorities to SIS and shall take the necessary measures to ensure compliance with this Regulation. It shall be responsible for ensuring that all functionalities of SIS are made available to the end users appropriately.
2.   Each Member State shall designate a national authority which shall be operational 24 hours a day, 7 days a week and which shall ensure the exchange and availability of all supplementary information (the SIRENE Bureau) in accordance with the SIRENE Manual. Each SIRENE Bureau shall serve as a single contact point for its Member State to exchange supplementary information regarding alerts and to facilitate the requested actions to be taken when alerts on persons or objects have been entered in SIS and those persons or objects are located following a hit.
Each SIRENE Bureau shall, in accordance with national law, have easy direct or indirect access to all relevant national information, including national databases and all information on its Member States' alerts, and to expert advice, in order to be able to react to requests for supplementary information swiftly and within the deadlines provided for in Article 8.
The SIRENE Bureaux shall coordinate the verification of the quality of the information entered in SIS. For those purposes they shall have access to data processed in SIS.
3.   The Member States shall provide eu-LISA with details of their N.SIS Office and of their SIRENE Bureau. eu-LISA shall publish the list of the N.SIS Offices and the SIRENE Bureaux together with the list referred to in Article 56(7).
Article 8
Exchange of supplementary information
1.   Supplementary information shall be exchanged in accordance with the provisions of the SIRENE Manual and using the Communication Infrastructure. Member States shall provide the necessary technical and human resources to ensure the continuous availability and timely and effective exchange of supplementary information. In the event that the Communication Infrastructure is unavailable, Member States shall use other adequately secured technical means to exchange supplementary information. A list of adequately secured technical means shall be laid down in the SIRENE Manual.
2.   Supplementary information shall be used only for the purpose for which it was transmitted in accordance with Article 64 unless prior consent for another use is obtained from the issuing Member State.
3.   The SIRENE Bureaux shall carry out their tasks in a quick and efficient manner, in particular by replying to a request for supplementary information as soon as possible but not later than 12 hours after the receipt of the request. In case of alerts for terrorist offences, of alerts on persons wanted for arrest for surrender or extradition purposes, and in cases of alerts on children referred to in point (c) of Article 32(1) the SIRENE Bureaux shall act immediately.
Requests for supplementary information with the highest priority shall be marked ‘URGENT’ in the SIRENE forms, and the reason for the urgency shall be specified.
4.   The Commission shall adopt implementing acts to lay down detailed rules for the tasks of the SIRENE Bureaux pursuant to this Regulation and the exchange of supplementary information in the form of a manual entitled the ‘SIRENE Manual’. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 9
Technical and functional compliance
1.   When setting up its N.SIS, each Member State shall comply with common standards, protocols and technical procedures established to ensure the compatibility of its N.-SIS with Central SIS for the prompt and effective transmission of data.
2.   If a Member State uses a national copy, it shall ensure, by means of the services provided by CS-SIS and by means of automatic updates referred to in Article 4(6), that the data stored in the national copy are identical to and consistent with the SIS database and that a search in its national copy produces a result equivalent to that of a search in the SIS database.
3.   End-users shall receive the data required to perform their tasks, in particular, and where necessary, all the available data allowing for the identification of the data subject and for the requested action to be taken.
4.   Member States and eu-LISA shall undertake regular tests to verify the technical compliance of the national copies referred to in paragraph 2. The results of those tests shall be taken into consideration as part of the mechanism established by Council Regulation (EU) No 1053/2013 
(
37
)
.
5.   The Commission shall adopt implementing acts to lay down and develop common standards, protocols and technical procedures, referred to in paragraph 1 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 10
Security — Member States
1.   Each Member State shall, in relation to its N.SIS, adopt the necessary measures, including a security plan, a business continuity plan and a disaster recovery plan, in order to:
(a)
physically protect data, including by making contingency plans for the protection of critical infrastructure;
(b)
deny unauthorised persons access to data-processing facilities used for processing personal data (facilities access control);
(c)
prevent the unauthorised reading, copying, modification or removal of data media (data media control);
(d)
prevent the unauthorised input of data and the unauthorised inspection, modification or deletion of stored personal data (storage control);
(e)
prevent the use of automated data-processing systems by unauthorised persons using data communication equipment (user control);
(f)
prevent the unauthorised processing of data in SIS and any unauthorised modification or erasure of data processed in SIS (control of data entry);
(g)
ensure that persons authorised to use an automated data-processing system have access only to the data covered by their access authorisation, by means of individual and unique user identifiers and confidential access modes only (data access control);
(h)
ensure that all authorities with a right of access to SIS or to the data processing facilities create profiles describing the functions and responsibilities of persons who are authorised to access, enter, update, delete and search the data and make those profiles available to the supervisory authorities referred to in Article 69(1) without delay upon their request (personnel profiles);
(i)
ensure that it is possible to verify and establish to which bodies personal data may be transmitted using data communication equipment (communication control);
(j)
ensure that it is subsequently possible to verify and establish which personal data have been input into automated data-processing systems, when, by whom and for what purpose (input control);
(k)
prevent the unauthorised reading, copying, modification or deletion of personal data during the transmission of personal data or during the transport of data media, in particular by means of appropriate encryption techniques (transport control);
(l)
monitor the effectiveness of the security measures referred to in this paragraph and take the necessary organisational measures related to internal monitoring to ensure compliance with this Regulation (self-auditing);
(m)
ensure that, in the event of interruption, installed systems can be restored to normal operation (recovery); and
(n)
ensure that SIS performs its functions correctly, that faults are reported (reliability) and that personal data stored in SIS cannot be corrupted by means of the system malfunctioning (integrity).
2.   Member States shall take measures equivalent to those referred to in paragraph 1 as regards security in respect of the processing and exchange of supplementary information, including by securing the premises of the SIRENE Bureaux.
3.   Member States shall take measures equivalent to those referred to in paragraph 1 of this Article as regards security in respect of the processing of SIS data by the authorities referred to in Article 44.
4.   The measures described in paragraphs 1, 2 and 3 may be part of a generic security approach and plan at national level encompassing multiple IT systems. In such cases, the requirements set out in this Article and their applicability to SIS shall be clearly identifiable in and ensured by that plan.
Article 11
Confidentiality — Member States
1.   Each Member State shall apply its rules of professional secrecy or other equivalent duties of confidentiality to all persons and bodies required to work with SIS data and supplementary information, in accordance with its national law. That obligation shall also apply after those persons leave office or employment or after the termination of the activities of those bodies.
2.   Where a Member State cooperates with external contractors in any SIS-related tasks, it shall closely monitor the activities of the contractor to ensure compliance with all provisions of this Regulation, in particular on security, confidentiality and data protection.
3.   The operational management of N.SIS or of any technical copies shall not be entrusted to private companies or private organisations.
Article 12
Keeping of logs at national level
1.   Member States shall ensure that every access to and all exchanges of personal data within CS-SIS are logged in their N.SIS for the purposes of checking whether the search was lawful, monitoring the lawfulness of data processing, self-monitoring, ensuring the proper functioning of N.SIS, as well as for data integrity and security. This requirement does not apply to the automatic processes referred to in points (a), (b) and (c) of Article 4(6).
2.   The logs shall show, in particular, the history of the alert, the date and time of the data processing activity, the data used to perform a search, a reference to the data processed and the individual and unique user identifiers of both the competent authority and the person processing the data.
3.   By way of derogation from paragraph 2 of this Article, if the search is carried out with dactyloscopic data or a facial image in accordance with Article 43, the logs shall show the type of data used to perform the search instead of the actual data.
4.   The logs shall only be used for the purpose referred to in paragraph 1 and shall be deleted three years after their creation. The logs which include the history of alerts shall be deleted three years after deletion of the alerts.
5.   Logs may be kept for longer than the periods referred to in paragraph 4 if they are required for monitoring procedures that are already underway.
6.   The national competent authorities in charge of checking whether searches are lawful, monitoring the lawfulness of data processing, self-monitoring and ensuring the proper functioning of N.SIS and data integrity and security, shall have access, within the limits of their competence and at their request, to the logs for the purpose of fulfilling their duties.
7.   Where Member States, in accordance with national law, carry out automated scanned searches of the number plates of motor vehicles, using Automatic Number Plate Recognition systems, Member States shall maintain a log of the search in accordance with national law. If necessary, a full search may be carried out in SIS in order to verify whether a hit has been achieved. Paragraphs 1 to 6 shall apply to any full search.
8.   The Commission shall adopt implementing acts to establish the content of the log, referred to in paragraph 7 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 13
Self-monitoring
Member States shall ensure that each authority entitled to access SIS data takes the measures necessary to comply with this Regulation and cooperates, where necessary, with the supervisory authority.
Article 14
Staff training
1.   Before being authorised to process data stored in SIS and periodically after access to SIS data has been granted, the staff of the authorities having a right to access SIS shall receive appropriate training on data security, on fundamental rights including data -protection, and on the rules and procedures for data processing set out in the SIRENE Manual. The staff shall be informed of any relevant provisions on criminal offences and penalties, including those provided for in Article 73.
2.   Member States shall have a national SIS training programme which shall include training for end-users as well as the staff of the SIRENE Bureaux.
That training programme may be part of a general training programme at national level encompassing training in other relevant areas.
3.   Common training courses shall be organised at Union level at least once a year to enhance cooperation between SIRENE Bureaux.
CHAPTER III
Responsibilities of eu-LISA
Article 15
Operational management
1.   eu-LISA shall be responsible for the operational management of Central SIS. eu-LISA shall, in cooperation with the Member States, ensure that at all times the best available technology is used for Central SIS, subject to a cost-benefit analysis.
2.   eu-LISA shall also be responsible for the following tasks relating to the Communication Infrastructure:
(a)
supervision;
(b)
security;
(c)
the coordination of relations between the Member States and the provider;
(d)
tasks relating to implementation of the budget;
(e)
acquisition and renewal; and
(f)
contractual matters.
3.   eu-LISA shall also be responsible for the following tasks relating to the SIRENE Bureaux and communication between the SIRENE Bureaux:
(a)
the coordination, management and support of testing activities;
(b)
the maintenance and updating of technical specifications for the exchange of supplementary information between SIRENE Bureaux and the Communication Infrastructure; and
(c)
managing the impact of technical changes where it affects both SIS and the exchange of supplementary information between SIRENE Bureaux.
4.   eu-LISA shall develop and maintain a mechanism and procedures for carrying out quality checks on the data in CS-SIS. It shall provide regular reports to the Member States in this regard.
eu-LISA shall provide a regular report to the Commission covering the issues encountered and the Member States concerned.
The Commission shall provide the European Parliament and the Council with a regular report on data quality issues that are encountered.
5.   eu-LISA shall also perform tasks related to providing training on the technical use of SIS and on measures for improving the quality of SIS data.
6.   The operational management of Central SIS shall consist of all the tasks necessary to keep Central SIS functioning 24 hours a day, 7 days a week in accordance with this Regulation, in particular the maintenance work and technical developments necessary for the smooth running of the system. Those tasks shall also include the coordination, management and support of testing activities for Central SIS and the N.SIS that ensure that Central SIS and the N.SIS operate in accordance with the requirements for technical and functional compliance set out in Article 9.
7.   The Commission shall adopt implementing acts to set out the technical requirements for the Communication Infrastructure. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 16
Security — eu-LISA
1.   eu-LISA shall adopt the necessary measures, including a security plan, a business continuity plan and a disaster recovery plan for Central SIS and the Communication Infrastructure in order to:
(a)
physically protect data, including by making contingency plans for the protection of critical infrastructure;
(b)
deny unauthorised persons access to data-processing facilities used for processing personal data (facilities access control);
(c)
prevent the unauthorised reading, copying, modification or removal of data media (data media control);
(d)
prevent the unauthorised input of data and the unauthorised inspection, modification or deletion of stored personal data (storage control);
(e)
prevent the use of automated data-processing systems by unauthorised persons using data communication equipment (user control);
(f)
prevent the unauthorised processing of data in SIS and any unauthorised modification or erasure of data processed in SIS (control of data entry);
(g)
ensure that persons authorised to use an automated data-processing system have access only to the data covered by their access authorisation by means of individual and unique user identifiers and confidential access modes only (data access control);
(h)
create profiles describing the functions and responsibilities of persons who are authorised to access the data or the data processing facilities and make those profiles available to the European Data Protection Supervisor without delay upon its request (personnel profiles);
(i)
ensure that it is possible to verify and establish to which bodies personal data may be transmitted using data communication equipment (communication control);
(j)
ensure that it is subsequently possible to verify and establish which personal data have been input into automated data-processing systems, when and by whom (input control);
(k)
prevent the unauthorised reading, copying, modification or deletion of personal data during the transmission of personal data or during the transport of data media, in particular by means of appropriate encryption techniques (transport control);
(l)
monitor the effectiveness of the security measures referred to in this paragraph and take the necessary organisational measures related to internal monitoring to ensure compliance with this Regulation (self-auditing);
(m)
ensure that, in the event of interrupted operations, installed systems can be restored to normal operation (recovery);
(n)
ensure that SIS performs its functions correctly, that faults are reported (reliability) and that personal data stored in SIS cannot be corrupted by means of the system malfunctioning (integrity); and
(o)
ensure the security of its technical sites.
2.   eu-LISA shall take measures equivalent to those referred to in paragraph 1 as regards security in respect of the processing and exchange of supplementary information through the Communication Infrastructure.
Article 17
Confidentiality — eu-LISA
1.   Without prejudice to Article 17 of the Staff Regulations, eu-LISA shall apply appropriate rules of professional secrecy or other equivalent duties of confidentiality of a comparable standard to those laid down in Article 11 of this Regulation to all its staff required to work with SIS data. That obligation shall also apply after those persons leave office or employment or after the termination of their activities.
2.   eu-LISA shall take measures equivalent to those referred to in paragraph 1 as regards confidentiality in respect of the exchange of supplementary information through the Communication Infrastructure.
3.   Where eu-LISA cooperates with external contractors in any SIS-related tasks, it shall closely monitor the activities of the contractor to ensure compliance with all provisions of this Regulation, in particular on security, confidentiality and data protection.
4.   The operational management of CS-SIS shall not be entrusted to private companies or private organisations.
Article 18
Keeping of logs at central level
1.   eu-LISA shall ensure that every access to and all exchanges of personal data within CS-SIS are logged for the purposes stated in Article 12(1).
2.   The logs shall show, in particular, the history of the alert, the date and time of the data processing activity, the data used to perform a search, a reference to the data processed and the individual and unique user identifiers of the competent authority processing the data.
3.   By way of derogation from paragraph 2 of this Article, if the search is carried out with dactyloscopic data or facial images in accordance with Article 43, the logs shall show the type of data used to perform the search instead of the actual data.
4.   The logs shall only be used for the purposes referred to in paragraph 1 and shall be deleted three years after their creation. The logs which include the history of alerts shall be deleted three years after deletion of the alerts.
5.   Logs may be kept longer than the periods referred to in paragraph 4 if they are required for monitoring procedures that are already underway.
6.   For the purposes of self-monitoring and ensuring the proper functioning of CS-SIS, data integrity and security, eu-LISA shall have access to the logs within the limits of its competence.
The European Data Protection Supervisor shall have access to those logs on request, within the limits of its competence and for the purpose of fulfilling its tasks.
CHAPTER IV
Information to the public
Article 19
SIS information campaigns
At the start of the application of this Regulation, the Commission, in cooperation with the supervisory authorities and the European Data Protection Supervisor, shall carry out a campaign informing the public about the objectives of SIS, the data stored in SIS, the authorities having access to SIS and the rights of data subjects. The Commission shall repeat such campaigns regularly, in cooperation with the supervisory authorities and the European Data Protection Supervisor. The Commission shall maintain a website available to the public providing all relevant information concerning SIS. Member States shall, in cooperation with their supervisory authorities, devise and implement the necessary policies to inform their citizens and residents about SIS generally.
CHAPTER V
Categories of data and flagging
Article 20
Categories of data
1.   Without prejudice to Article 8(1) or to the provisions of this Regulation providing for the storage of additional data, SIS shall contain only those categories of data which are supplied by each Member State, as required for the purposes laid down in Articles 26, 32, 34, 36, 38 and 40.
2.   The categories of data shall be as follows:
(a)
information on persons in relation to whom an alert has been entered;
(b)
information on objects referred to in Articles 26, 32, 34, 36 and 38.
3.   Any alert in SIS which includes information on persons shall contain only the following data:
(a)
surnames;
(b)
forenames;
(c)
names at birth;
(d)
previously used names and aliases;
(e)
any specific, objective, physical characteristics not subject to change;
(f)
place of birth;
(g)
date of birth;
(h)
gender;
(i)
any nationalities held;
(j)
whether the person concerned:
(i)
is armed;
(ii)
is violent;
(iii)
has absconded or escaped;
(iv)
poses a risk of suicide;
(v)
poses a threat to public health; or
(vi)
is involved in an activity referred to in Articles 3 to 14 of Directive (EU) 2017/541;
(k)
the reason for the alert;
(l)
the authority which created the alert;
(m)
a reference to the decision giving rise to the alert;
(n)
the action to be taken in the case of a hit;
(o)
links to other alerts pursuant to Article 63;
(p)
the type of offence;
(q)
the person's registration number in a national register;
(r)
for alerts referred to in Article 32(1), a categorisation of the type of case;
(s)
the category of the person's identification documents;
(t)
the country of issue of the person's identification documents;
(u)
the number(s) of the person's identification documents;
(v)
the date of issue of the person's identification documents;
(w)
photographs and facial images;
(x)
in accordance with Article 42(3), relevant DNA profiles;
(y)
dactyloscopic data;
(z)
a copy of the identification documents, in colour wherever possible.
4.   The Commission shall adopt implementing acts to lay down and develop the technical rules necessary for entering, updating, deleting and searching the data referred to in paragraphs 2 and 3 of this Article and the common standards referred to in paragraph 5 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
5.   Technical rules shall be similar for searches in CS-SIS, in national or shared copies and in technical copies made under Article 56(2). They shall be based on common standards.
Article 21
Proportionality
1.   Before entering an alert and when extending the period of validity of an alert, Member States shall determine whether the case is adequate, relevant and important enough to warrant an alert in SIS.
2.   Where a person or an object is sought under an alert related to a terrorist offence, the case shall be considered adequate, relevant and important enough to warrant an alert in SIS. For public or national security reasons, Member States may exceptionally refrain from entering an alert when it is likely to obstruct official or legal inquiries, investigations or procedures.
Article 22
Requirement for an alert to be entered
1.   The minimum set of data necessary in order to enter an alert into SIS shall be the data referred to in points (a), (g), (k) and (n) of Article 20(3), except for in the situations referred to in Article 40. The other data referred to in that paragraph shall also be entered into SIS, if available.
2.   The data referred to in point (e) of Article 20(3) of this Regulation shall only be entered when this is strictly necessary for the identification of the person concerned. When such data are entered, Member States shall ensure that Article 10 of Directive (EU) 2016/680 is complied with.
Article 23
Compatibility of alerts
1.   Before entering an alert, the Member State shall check whether the person or the object concerned is already the subject of an alert in SIS. To check whether the person is already the subject of an alert, a check with dactyloscopic data shall also be carried out if such data are available.
2.   Only one alert per person or per object per Member State shall be entered into SIS. Where necessary, new alerts may be entered on the same person or object by other Member States, in accordance with paragraph 3.
3.   Where a person or an object is already the subject of an alert in SIS, a Member State wishing to enter a new alert shall check that there is no incompatibility between the alerts. If there is no incompatibility, the Member State may enter the new alert. If the alerts are incompatible, the SIRENE Bureaux of the Member States concerned shall consult each other by exchanging supplementary information in order to reach an agreement. Rules on the compatibility of alerts shall be laid down in the SIRENE Manual. Departures from the compatibility rules may be made after consultation between the Member States if essential national interests are at stake.
4.   In the case of hits on multiple alerts on the same person or object, the executing Member State shall observe the priority rules for alerts laid down in the SIRENE Manual.
If a person is subject to multiple alerts entered by different Member States, alerts for arrest entered in accordance with Article 26 shall be executed as a priority, subject to Article 25.
Article 24
General provisions on flagging
1.   Where a Member State considers that to give effect to an alert entered in accordance with Article 26, 32 or 36 is incompatible with its national law, its international obligations or essential national interests, it may require that a flag be added to the alert to the effect that the action to be taken on the basis of the alert will not be taken in its territory. The flag shall be added by the SIRENE Bureau of the issuing Member State.
2.   In order to enable Member States to require that a flag be added to an alert entered in accordance with Article 26, all Member States shall be notified automatically of any new alert of that category through the exchange of supplementary information.
3.   If in particularly urgent and serious cases, an issuing Member State requests the execution of the action, the executing Member State shall examine whether it is able to allow the flag added at its behest to be withdrawn. If the executing Member State is able to do so, it shall take the necessary steps to ensure that the action to be taken can be carried out immediately.
Article 25
Flagging related to alerts for arrest for surrender purposes
1.   Where Framework Decision 2002/584/JHA applies, a Member State shall request the issuing Member State to add a flag preventing arrest as a follow-up to an alert for arrest for surrender purposes where the competent judicial authority under national law for the execution of a European Arrest Warrant has refused its execution on the basis of a ground for non-execution and where the addition of the flag has been required.
A Member State may also require that a flag be added to the alert if its competent judicial authority releases the subject of the alert during the surrender process.
2.   However, at the behest of a competent judicial authority under national law, either on the basis of a general instruction or in a specific case, a Member State may also require the issuing Member State to add a flag to an alert for arrest for surrender purposes if it is obvious that the execution of the European Arrest Warrant will have to be refused.
CHAPTER VI
Alerts on persons wanted for arrest for surrender or extradition purposes
Article 26
Objectives and conditions for entering alerts
1.   Alerts on persons wanted for arrest for surrender purposes on the basis of a European Arrest Warrant, or alerts on persons wanted for arrest for extradition purposes, shall be entered at the request of the judicial authority of the issuing Member State.
2.   Alerts for arrest for surrender purposes shall also be entered on the basis of arrest warrants issued, in accordance with agreements concluded between the Union and third countries on the basis of the Treaties, for the purpose of surrender of persons on the basis of an arrest warrant, which provide for the transmission of such an arrest warrant through SIS.
3.   Any reference in this Regulation to provisions of Framework Decision 2002/584/JHA shall be construed as including the corresponding provisions of agreements concluded between the Union and third countries on the basis of the Treaties, for the purpose of surrender of persons on the basis of an arrest warrant which provide for the transmission of such an arrest warrant through SIS.
4.   In the case of an ongoing operation, the issuing Member State may temporarily make an existing alert for arrest entered in accordance with this Article unavailable for searching by the end-users in the Member States involved in the operation. In such cases the alert shall only be accessible to the SIRENE Bureaux. Member States shall only make an alert unavailable if:
(a)
the purpose of the operation cannot be achieved by other measures;
(b)
a prior authorisation has been granted by the competent judicial authority of the issuing Member State; and
(c)
all Member States involved in the operation have been informed through the exchange of supplementary information.
The functionality provided for in the first subparagraph shall only be used for a period not exceeding 48 hours. However, if operationally necessary, it may be extended by further periods of 48 hours. Member States shall keep statistics on the number of alerts in relation to which this functionality has been used.
5.   Where there is a clear indication that the objects referred to in points (a), (b), (c), (e), (g), (h), (j) and (k) of Article 38(2) are connected with a person who is the subject of an alert pursuant to paragraph 1 and 2 of this Article, alerts on those objects may be entered in order to locate the person. In such cases, the alert on the person and the alert on the object shall be linked in accordance with Article 63.
6.   The Commission shall adopt implementing acts to lay down and develop rules necessary for entering, updating, deleting and searching the data referred to in paragraph 5 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 27
Additional data on persons wanted for arrest for surrender purposes
1.   Where a person is wanted for arrest for surrender purposes on the basis of a European Arrest Warrant, the issuing Member State shall enter into SIS a copy of the original of the European Arrest Warrant.
A Member State may enter the copy of more than one European Arrest Warrant in an alert for arrest for surrender purposes.
2.   The issuing Member State may enter a copy of a translation of the European Arrest Warrant in one or more other official languages of the institutions of the Union.
Article 28
Supplementary information on persons wanted for arrest for surrender purposes
The issuing Member State of an alert for arrest for surrender purposes shall communicate the information referred to in Article 8(1) of Framework Decision 2002/584/JHA to the other Member States through the exchange of supplementary information.
Article 29
Supplementary information on persons wanted for arrest for extradition purposes
1.   The issuing Member State of an alert for extradition purposes shall communicate the following data to all other Member States through the exchange of supplementary information:
(a)
the authority which issued the request for arrest;
(b)
whether there is an arrest warrant or a document having the same legal effect, or an enforceable judgment;
(c)
the nature and legal classification of the offence;
(d)
a description of the circumstances in which the offence was committed, including the time, place and the degree of participation in the offence by the person on whom the alert has been entered;
(e)
insofar as possible, the consequences of the offence; and
(f)
any other information useful or necessary for the execution of the alert.
2.   The data listed in paragraph 1 of this Article shall not be communicated where the data referred to in Article 27 or 28 have already been provided and are considered sufficient for the execution of the alert by the executing Member State.
Article 30
Conversion of an action to be taken concerning alerts for arrest for surrender or extradition purposes
Where an arrest cannot be made, either because the Member State requested to do so refuses to make it in accordance with the procedures on flagging set out in Article 24 or 25, or because, in the case of an alert for arrest for extradition purposes, an investigation has not been completed, the Member State requested to make the arrest shall act on the alert by communicating the whereabouts of the person concerned.
Article 31
Execution of an action based on an alert for arrest for surrender or extradition purposes
1.   An alert entered in SIS in accordance with Article 26 and the additional data referred to in Article 27 shall together constitute and have the same effect as a European Arrest Warrant issued in accordance with Framework Decision 2002/584/JHA where that Framework Decision applies.
2.   Where Framework Decision 2002/584/JHA does not apply, an alert entered in SIS in accordance with Articles 26 and 29 shall have the same legal force as a request for provisional arrest under Article 16 of the European Convention on Extradition of 13 December 1957 or Article 15 of the Benelux Treaty concerning Extradition and Mutual Assistance in Criminal Matters of 27 June 1962.
CHAPTER VII
Alerts on missing persons or vulnerable persons who need to be prevented from travelling
Article 32
Objectives and conditions for entering alerts
1.   Alerts on the following categories of persons shall be entered in SIS at the request of the competent authority of the issuing Member State:
(a)
missing persons who need to be placed under protection:
(i)
for their own protection;
(ii)
in order to prevent a threat to public order or public security;
(b)
missing persons who do not need to be placed under protection;
(c)
children at risk of abduction by a parent, a family member or a guardian, who need to be prevented from travelling;
(d)
children who need to be prevented from travelling owing to a concrete and apparent risk of them being removed from or leaving the territory of a Member State and:
(i)
becoming victims of trafficking in human beings, or of forced marriage, female genital mutilation or other forms of gender-based violence;
(ii)
becoming victims of or involved in terrorist offences; or
(iii)
becoming conscripted or enlisted into armed groups or being made to participate actively in hostilities;
(e)
vulnerable persons who are of age and who need to be prevented from travelling for their own protection owing to a concrete and apparent risk of them being removed from or leaving the territory of a Member State and becoming victims of trafficking in human beings or gender-based violence.
2.   Point (a) of paragraph 1 shall apply in particular to children and to persons who have to be institutionalised following a decision by a competent authority.
3.   An alert on a child referred to in point (c) of paragraph 1 shall be entered following a decision by the competent authorities, including judicial authorities of the Member States having jurisdiction in matters of parental responsibility, where a concrete and apparent risk exists that the child may be unlawfully and imminently removed from the Member State where the competent authorities are situated.
4.   An alert on persons referred to in points (d) and (e) of paragraph 1 shall be entered following a decision by the competent authorities, including judicial authorities.
5.   The issuing Member State shall regularly review the need to maintain the alerts referred to in points (c), (d) and (e) of paragraph 1 of this Article in accordance with Article 53(4).
6.   The issuing Member State shall ensure all of the following:
(a)
that the data it enters in SIS indicate which of the categories referred to in paragraph 1 the person concerned by the alert falls into;
(b)
that the data it enters in SIS indicate which type of case is involved, wherever the type of case is known; and
(c)
that, in relation to alerts entered in accordance with points (c), (d) and (e) of paragraph 1, its SIRENE Bureau has all relevant information at its disposal at the time of the creation of the alert.
7.   Four months before a child who is the subject of an alert under this Article reaches the age of majority in accordance with the national law of the issuing Member State, CS-SIS shall automatically notify the issuing Member State that either the reason for the alert and the action to be taken have to be updated or the alert has to be deleted.
8.   Where there is a clear indication that the objects referred to in points (a), (b), (c), (e), (g), (h), and (k) of Article 38(2) are connected with a person who is the subject of an alert pursuant to paragraph 1 of this Article, alerts on those objects may be entered in order to locate the person. In such cases, the alert on the person and the alert on the object shall be linked in accordance with Article 63.
9.   The Commission shall adopt implementing acts to lay down and develop rules on the categorisation of the types of cases and the entering of data referred to in paragraph 6. The types of cases of missing persons who are children shall include, but not be limited to, runaways, unaccompanied children in the context of migration and children at risk of parental abduction.
The Commission shall also adopt implementing acts to lay down and develop technical rules necessary for entering, updating, deleting and searching the data referred to in paragraph 8.
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 33
Execution of action based on an alert
1.   Where a person referred to in Article 32 is located, the competent authorities of the executing Member State shall, subject to the requirements in paragraph 4, communicate his or her whereabouts to the issuing Member State.
2.   In the case of persons who need to be placed under protection referred to in points (a), (c), (d) and (e) of Article 32(1), the executing Member State shall immediately consult its own competent authorities and those of the issuing Member State through the exchange of supplementary information in order to agree without delay the measures to be taken. The competent authorities in the executing Member State may, in accordance with national law, move such persons to a safe place in order to prevent them from continuing their journey.
3.   In the case of children, any decision on the measures to be taken or any decision to move the child to a safe place as referred to in paragraph 2 shall be made in accordance with the best interests of the child. Such decisions shall be made immediately and not later than 12 hours after the child was located, in consultation with relevant child protection authorities, as appropriate.
4.   The communication, other than between the competent authorities, of data on a missing person who has been located and who is of age shall be subject to that person's consent. The competent authorities may, however, communicate the fact that the alert has been deleted because the missing person has been located to the person who reported the person missing.
CHAPTER VIII
Alerts on persons sought to assist with a judicial procedure
Article 34
Objectives and conditions for entering alerts
1.   For the purposes of communicating the place of residence or domicile of persons, Member States shall, at the request of a competent authority, enter into SIS alerts on:
(a)
witnesses;
(b)
persons summoned or persons sought to be summoned to appear before the judicial authorities in connection with criminal proceedings in order to account for acts for which they are being prosecuted;
(c)
persons who are to be served with a criminal judgment or other documents in connection with criminal proceedings in order to account for acts for which they are being prosecuted;
(d)
persons who are to be served with a summons to report in order to serve a penalty involving a deprivation of liberty.
2.   Where there is a clear indication that the objects referred to in points (a), (b), (c), (e), (g), (h), and (k) of Article 38(2) are connected with a person who is the subject of an alert pursuant to paragraph 1 of this Article, alerts on those objects may be entered in order to locate the person. In such cases the alerts on the person and the alert on the object shall be linked in accordance with Article 63.
3.   The Commission shall adopt implementing acts to lay down and develop the technical rules necessary for entering, updating, deleting and searching of the data referred to in paragraph 2 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 35
Execution of the action based on an alert
Requested information shall be communicated to the issuing Member State through the exchange of supplementary information.
CHAPTER IX
Alerts on persons and objects for discreet checks, inquiry checks or specific checks
Article 36
Objectives and conditions for entering alerts
1.   Alerts on persons, on the objects referred to in points (a), (b), (c), (e), (g), (h), (j), (k) and (l) of Article 38(2) and on non-cash means of payment shall be entered in accordance with the national law of the issuing Member State, for the purposes of discreet checks, inquiry checks or specific checks in accordance with Article 37(3), (4) and (5).
2.   When entering alerts for discreet checks, inquiry checks or specific checks and where the information sought by the issuing Member State is additional to that provided for in points (a) to (h) of Article 37(1), the issuing Member State shall add to the alert all the information that is sought. If that information relates to special categories of personal data referred to in Article 10 of Directive (EU) 2016/680, it shall only be sought if it is strictly necessary for the specific purpose of the alert and in relation to the criminal offence for which the alert has been entered.
3.   Alerts on persons for discreet checks, inquiry checks or specific checks may be entered for the purposes of preventing, detecting, investigating or prosecuting criminal offences, executing a criminal sentence and preventing threats to public security in one or more of the following circumstances:
(a)
where there is a clear indication that a person intends to commit or is committing any of the offences referred to in Article 2(1) and (2) of the Framework Decision 2002/584/JHA;
(b)
where the information referred to in Article 37(1) is necessary for the execution of a custodial sentence or detention order regarding a person convicted of any of the offences referred to in Article 2(1) and (2) of the Framework Decision 2002/584/JHA;
(c)
where an overall assessment of a person, in particular on the basis of past criminal offences, gives reason to believe that that person may commit the offences referred to in Article 2(1) and 2(2) of the Framework Decision 2002/584/JHA in the future.
4.   In addition, alerts on persons for discreet checks, inquiry checks or specific checks may be entered in accordance with national law at the request of the authorities responsible for national security where there is a concrete indication that the information referred to in Article 37(1) is necessary in order to prevent a serious threat posed by the person concerned or other serious threats to internal or external national security. The Member State which entered the alert in accordance with this paragraph shall inform the other Member States of such an alert. Each Member State shall determine to which authorities this information shall be transmitted. The information shall be transmitted through the SIRENE Bureaux.
5.   Where there is a clear indication that the objects referred to in points (a), (b), (c), (e), (g), (h), (j), (k) and (l) of Article 38(2) or non-cash means of payment are connected with the serious crimes referred to in paragraph 3 of this Article or the serious threats referred to in paragraph 4 of this Article, alerts on those objects may be entered and linked to the alerts entered in accordance with paragraphs 3 and 4 of this Article.
6.   The Commission shall adopt implementing acts to lay down and develop the technical rules necessary for entering, updating, deleting and searching the data referred to in paragraph 5 of this Article as well as the additional information referred to in paragraph 2 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 37
Execution of the action based on an alert
1.   For the purposes of discreet checks, inquiry checks or specific checks, the executing Member State shall collect and communicate to the issuing Member State all or some of the following information:
(a)
the fact that the person who is the subject of an alert has been located, or that objects referred to in points (a), (b), (c), (e), (g), (h), (j), (k) and (l) of Article 38(2) or non-cash means of payment which are the subject of an alert have been located;
(b)
the place, time and reason for the check;
(c)
the route of the journey and destination;
(d)
the persons accompanying the subject of the alert or the occupants of the vehicle, boat or aircraft, or the persons accompanying the holder of the blank official document or issued identity document who can reasonably be expected to be associated with the subject of the alert;
(e)
any identity revealed and any personal description of the person using the blank official document or issued identity document that is the subject of the alert;
(f)
the objects referred to in points (a), (b), (c), (e), (g), (h), (j), (k) and (l) of Article 38(2) or non-cash means of payment used;
(g)
objects carried, including travel documents;
(h)
the circumstances in which the person, the objects referred to in points (a), (b), (c), (e), (g), (h), (j), (k) and (l) of Article 38(2) or the non-cash means of payment were located;
(i)
any other information being sought by the issuing Member State in accordance with Article 36(2).
If the information referred to in point (i) of the first subparagraph of this paragraph relates to special categories of personal data referred to in Article 10 of Directive (EU) 2016/680, it shall be processed in accordance with the conditions set out in that Article and only if it supplements other personal data processed for the same purpose.
2.   The executing Member State shall communicate the information referred to in paragraph 1 through the exchange of supplementary information.
3.   A discreet check shall comprise the discreet collection of as much information described in paragraph 1 as possible during routine activities carried out by the national competent authorities of the executing Member State. The collection of this information shall not jeopardise the discreet nature of the checks and the subject of the alert shall in no way be made aware of the existence of the alert.
4.   An inquiry check shall comprise an interview of the person, including on the basis of information or specific questions added to the alert by the issuing Member State in accordance with Article 36(2). The interview shall be carried out in accordance with the national law of the executing Member State
5.   During specific checks, persons, vehicles, boats, aircraft, containers and carried objects may be searched for the purposes referred to in Article 36. Searches shall be carried out in accordance with the national law of the executing Member State.
6.   Where specific checks are not authorised by the national law of the executing Member State, they shall be replaced by inquiry checks in that Member State. Where inquiry checks are not authorised by the national law of the executing Member State, they shall be replaced by discreet checks in that Member State. Where Directive 2013/48/EU applies, Member States shall ensure that the right of suspects and accused persons to have access to a lawyer is respected under the conditions set out in that Directive.
7.   Paragraph 6 is without prejudice to the obligation of Member States to make available to end-users information sought under Article 36(2).
CHAPTER X
Alerts on objects for seizure or use as evidence in criminal proceedings
Article 38
Objectives and conditions for entering alerts
1.   Member States shall enter into SIS alerts on objects sought for the purposes of seizure or for use as evidence in criminal proceedings.
2.   Alerts shall be entered on the following categories of readily identifiable objects:
(a)
motor vehicles regardless of the propulsion system;
(b)
trailers with an unladen weight exceeding 750 kg;
(c)
caravans;
(d)
industrial equipment;
(e)
boats;
(f)
boat engines;
(g)
containers;
(h)
aircraft;
(i)
aircraft engines;
(j)
firearms;
(k)
blank official documents which have been stolen, misappropriated, lost or purport to be such a document but are false;
(l)
issued identity documents, such as passports, identity cards, residence permits, travel documents and driving licences which have been stolen, misappropriated, lost or invalidated or purport to be such a document but are false;
(m)
vehicle registration certificates and vehicle number plates which have been stolen, misappropriated, lost or invalidated or purport to be such a document or plate but are false;
(n)
banknotes (registered notes) and false banknotes;
(o)
items of information technology;
(p)
identifiable component parts of motor vehicles;
(q)
identifiable component parts of industrial equipment;
(r)
other identifiable objects of high value, as defined in accordance with paragraph 3.
With regard to the documents referred to in points (k), (l) and (m), the issuing Member State may specify whether such documents are stolen, misappropriated, lost, invalid or false.
3.   The Commission shall be empowered to adopt delegated acts in accordance with Article 75 to amend this Regulation by defining new sub-categories of objects under points (o), (p), (q) and (r) of paragraph 2 of this Article.
4.   The Commission shall adopt implementing acts to lay down and develop technical rules necessary for entering, updating, deleting and searching the data referred to in paragraph 2 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 39
Execution of the action based on an alert
1.   Where a search brings to light an alert on an object which has been located, the competent authority shall in accordance with its national law seize the object and contact the authority of the issuing Member State in order to agree on the measures to be taken. For this purpose, personal data may also be communicated in accordance with this Regulation.
2.   The information referred to in paragraph 1 shall be communicated through the exchange of supplementary information.
3.   The executing Member State shall take the requested measures in accordance with national law.
CHAPTER XI
Alerts on unknown wanted persons for the purposes of identification under national law
Article 40
Alerts on unknown wanted persons for the purposes of identification under national law
Member States may enter into SIS alerts on unknown wanted persons containing only dactyloscopic data. Those dactyloscopic data shall be either complete or incomplete sets of fingerprints or palm prints discovered at the scenes of terrorist offences or other serious crimes under investigation. They shall only be entered into SIS where it can be established to a very high degree of probability that they belong to a perpetrator of the offence.
If the competent authority of the issuing Member State cannot establish the identity of the suspect on the basis of data from any other relevant national, Union or international database, the dactyloscopic data referred to in the first subparagraph may only be entered in this category of alerts as ‘unknown wanted person’ for the purpose of identifying such a person.
Article 41
Execution of the action based on an alert
In the event of a hit with the data entered pursuant to Article 40, the identity of the person shall be established in accordance with national law, together with expert verification that the dactyloscopic data in SIS belong to the person. The executing Member States shall communicate information on the identity and the whereabouts of the person to the issuing Member State through the exchange of supplementary information in order to facilitate timely investigation of the case.
CHAPTER XII
Specific rules for biometric data
Article 42
Specific rules for entering photographs, facial images, dactyloscopic data and DNA profiles
1.   Only photographs, facial images, dactyloscopic data referred to in points (w) and (y) of Article 20(3) which fulfil minimum data quality standards and technical specifications shall be entered into SIS. Before such data are entered, a quality check shall be performed in order to ascertain whether the minimum data quality standards and technical specifications have been met.
2.   Dactyloscopic data entered in SIS may consist of one to ten flat fingerprints and one to ten rolled fingerprints. It may also include up to two palm prints.
3.   A DNA profile may only be added to alerts in the situations provided for in point (a) of Article 32(1), only following a quality check to ascertain whether the minimum data quality standards and technical specifications have been met and only where photographs, facial images or dactyloscopic data are not available or not suitable for identification. The DNA profiles of persons who are direct ascendants, descendants or siblings of the subject of the alert may be added to the alert provided that those persons give their explicit consent. Where a DNA profile is added to an alert, that profile shall contain the minimum information strictly necessary for the identification of the missing person.
4.   Minimum data quality standards and technical specifications shall be established in accordance with paragraph 5 of this Article for the storage of the biometric data referred to in paragraphs 1 and 3 of this Article. Those minimum data quality standards and technical specifications shall set the level of quality required for using the data to verify the identity of a person in accordance with Article 43(1) and for using the data to identify a person in accordance with Article 43(2) to (4).
5.   The Commission shall adopt implementing acts to lay down the minimum data quality standards and technical specifications referred to in paragraphs 1, 3 and 4 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 43
Specific rules for verification or search with photographs, facial images, dactyloscopic data and DNA profiles
1.   Where photographs, facial images, dactyloscopic data and DNA profiles are available in an alert in SIS, such photographs, facial images, dactyloscopic data and DNA profiles shall be used to confirm the identity of a person who has been located as a result of an alphanumeric search made in SIS.
2.   Dactyloscopic data may be searched in all cases to identify a person. However, dactyloscopic data shall be searched to identify a person where the identity of the person cannot be ascertained by other means. For that purpose, the Central SIS shall contain an Automated Fingerprint Identification System (AFIS).
3.   Dactyloscopic data in SIS in relation to alerts entered in accordance with Articles 26, 32, 36 and 40 may also be searched using complete or incomplete sets of fingerprints or palm prints discovered at the scenes of serious crimes or terrorist offences under investigation, where it can be established to a high degree of probability that those sets of prints belong to a perpetrator of the offence and provided that the search is carried out simultaneously in the Member State's relevant national fingerprints databases.
4.   As soon as it becomes technically possible, and while ensuring a high degree of reliability of identification, photographs and facial images may be used to identify a person in the context of regular border crossing points.
Before this functionality is implemented in SIS, the Commission shall present a report on the availability, readiness and reliability of the required technology. The European Parliament shall be consulted on the report.
After the start of the use of the functionality at regular border crossing points, the Commission shall be empowered to adopt delegated acts in accordance with Article 75 to supplement this Regulation concerning the determination of other circumstances in which photographs and facial images may be used to identify persons.
CHAPTER XIII
Right of access and review of alerts
Article 44
National competent authorities having a right to access data in SIS
1.   National competent authorities shall have access to data entered in SIS and the right to search such data directly or in a copy of the SIS database for the purposes of:
(a)
border control, in accordance with Regulation (EU) 2016/399;
(b)
police and customs checks carried out within the Member State concerned, and the coordination of such checks by designated authorities;
(c)
the prevention, detection, investigation or prosecution of terrorist offences or other serious criminal offences or the execution of criminal penalties, within the Member State concerned, provided that Directive (EU) 2016/680 applies;
(d)
examining the conditions and taking decisions related to the entry and stay of third-country nationals on the territory of the Member States, including on residence permits and long-stay visas, and to the return of third-country nationals, as well as carrying out checks on third country nationals who are illegally entering or staying on the territory of the Member States;
(e)
security checks on third-country nationals who apply for international protection, insofar as authorities performing the checks are not ‘determining authorities’ as defined in point (f) of Article 2 of Directive 2013/32/EU of the European Parliament and of the Council 
(
38
)
, and, where relevant, providing advice in accordance with Council Regulation (EC) No 377/2004 
(
39
)
.
2.   The right to access data in SIS and the right to search such data directly may be exercised by national competent authorities responsible for naturalisation, as provided for in national law, for the purposes of examining an application for naturalisation.
3.   The right to access data entered in SIS and the right to search such data directly may also be exercised by national judicial authorities, including those responsible for the initiation of public prosecutions in criminal proceedings and for judicial inquiries prior to charging a person, in the performance of their tasks, as provided for in national law, and by their coordinating authorities.
4.   The competent authorities referred to in this Article shall be included in the list referred to in Article 56(7).
Article 45
Vehicle registration services
1.   The services in the Member States responsible for issuing registration certificates for vehicles, as referred to in Council Directive 1999/37/EC 
(
40
)
, shall have access to data entered into SIS in accordance with points (a), (b), (c), (m) and (p) of Article 38(2) of this Regulation for the sole purpose of checking whether vehicles and accompanying vehicle registration certificates and number plates presented to them for registration have been stolen, misappropriated, lost, purport to be such a document but are false or are sought as evidence in criminal proceedings.
Access to the data by the services referred to in first subparagraph shall be governed by the national law and shall be limited to the specific competence of the services concerned.
2.   Services referred to in paragraph 1 that are government services shall have the right to access the data in SIS directly.
3.   Services referred to in paragraph 1 of this Article that are non-government services shall have access to data in SIS only through the intermediary of an authority referred to in Article 44. That authority shall have the right to access the data directly and to pass them on to the service concerned. The Member State concerned shall ensure that the service in question and its employees are required to respect any limitations on the permissible use of data conveyed to them by the authority.
4.   Article 39 shall not apply to access to SIS gained in accordance with this Article. The communication to the police or judicial authorities by services referred to in paragraph 1 of this Article of any information obtained through access to SIS shall be governed by national law.
Article 46
Registration services for boats and aircraft
1.   The services in the Member States responsible for issuing registration certificates or ensuring traffic management for boats, including boat engines, and aircraft, including aircraft engines, shall have access to the following data entered into SIS in accordance with Article 38(2), for the sole purpose of checking whether boats, including boat engines, and aircraft, including aircraft engines, presented to them for registration or subject to traffic management have been stolen, misappropriated, lost or are sought as evidence in criminal proceedings:
(a)
data on boats;
(b)
data on boat engines;
(c)
data on aircraft;
(d)
data on aircraft engines.
Access to the data by the services referred to in first subparagraph shall be governed by the national law and shall be limited to the specific competence of the services concerned.
2.   Services referred to in paragraph 1 that are government services shall have the right to access the data in SIS directly.
3.   Services referred to in paragraph 1 of this Article that are non-government services shall have access to data in SIS only through the intermediary of an authority referred to in Article 44. That authority shall have the right to access the data directly and to pass them on to the service concerned. The Member State concerned shall ensure that the service in question and its employees are required to respect any limitations on the permissible use of data conveyed to them by the authority.
4.   Article 39 shall not apply to access to SIS gained in accordance with this Article. The communication to the police or judicial authorities by services referred to in paragraph 1 of this Article of any information obtained through access to SIS shall be governed by national law.
Article 47
Registration services for firearms
1.   The services in the Member States responsible for issuing registration certificates for firearms shall have access to data on persons entered into SIS in accordance with Articles 26 and 36 and to data on firearms entered into SIS in accordance with Article 38(2). The access shall be exercised for the purpose of checking whether the person requesting registration is wanted for arrest for surrender or extradition purposes or for the purposes of discreet, inquiry or specific checks or whether firearms presented for registration are sought for seizure or for use as evidence in criminal proceedings.
2.   Access to the data by the services referred to in paragraph 1 shall be governed by the national law and shall be limited to the specific competence of the services concerned.
3.   Services referred to in paragraph 1 that are government services shall have the right to access the data in SIS directly.
4.   Services referred to in paragraph 1 that are non-government services shall only have access to data in SIS through the intermediary of an authority referred to in Article 44. That authority shall have the right to access the data directly and shall inform the service concerned if the firearm can be registered. The Member State concerned shall ensure that the service in question and its employees are required to respect any limitations to the permissible use of data conveyed to them by the intermediating authority.
5.   Article 39 shall not apply to access to SIS gained in accordance with this Article. The communication to the police or the judicial authorities by services referred to in paragraph 1 of this Article of any information obtained through access to SIS shall be governed by national law.
Article 48
Access to data in SIS by Europol
1.   The European Union Agency for Law Enforcement Cooperation (Europol), established by Regulation (EU) 2016/794, shall, where necessary to fulfil its mandate, have the right to access and search data in SIS. Europol may also exchange and further request supplementary information in accordance with the provisions of the SIRENE Manual.
2.   Where a search by Europol reveals the existence of an alert in SIS, Europol shall inform the issuing Member State through the exchange of supplementary information by means of the Communication Infrastructure and in accordance with the provisions set out in the SIRENE Manual. Until Europol is able to use the functionalities intended for the exchange of supplementary information, it shall inform issuing Member States through the channels defined by Regulation (EU) 2016/794.
3.   Europol may process the supplementary information that has been provided to it by Member States for the purposes of comparing it with its databases and operational analysis projects, aimed at identifying connections or other relevant links and for the strategic, thematic or operational analyses referred to in points (a), (b) and (c) of Article 18(2) of Regulation (EU) 2016/794. Any processing by Europol of supplementary information for the purpose of this Article shall be carried out in accordance with that Regulation.
4.   Europol's use of information obtained from a search in SIS or from the processing of supplementary information shall be subject to the consent of the issuing Member State. If the Member State allows the use of such information, its handling by Europol shall be governed by Regulation (EU) 2016/794. Europol shall only communicate such information to third countries and third bodies with the consent of the issuing Member State and in full compliance with Union law on data protection.
5.   Europol shall:
(a)
without prejudice to paragraphs 4 and 6, not connect parts of SIS nor transfer the data contained in it to which it has access to any system for data collection and processing operated by or at Europol, nor download or otherwise copy any part of SIS;
(b)
notwithstanding Article 31(1) of Regulation (EU) 2016/794, delete supplementary information containing personal data at the latest one year after the related alert has been deleted. By way of derogation, where Europol has information in its databases or operational analysis projects on a case to which the supplementary information is related, in order for Europol to perform its tasks, Europol may exceptionally continue to store the supplementary information when necessary. Europol shall inform the issuing and the executing Member State of the continued storage of such supplementary information and present a justification for it;
(c)
limit access to data in SIS, including supplementary information, to specifically authorised staff of Europol who require access to such data for the performance of their tasks;
(d)
adopt and apply measures to ensure security, confidentiality and self-monitoring in accordance with Articles 10, 11 and 13;
(e)
ensure that its staff who are authorised to process SIS data receive appropriate training and information in accordance with Article 14(1); and
(f)
without prejudice to Regulation (EU) 2016/794, allow the European Data Protection Supervisor to monitor and review the activities of Europol in the exercise of its right to access and search data in SIS and in the exchange and processing of supplementary information.
6.   Europol shall only copy data from SIS for technical purposes where such copying is necessary in order for duly authorised Europol staff to carry out a direct search. This Regulation shall apply to such copies. The technical copy shall only be used for the purpose of storing SIS data whilst those data are searched. Once the data have been searched they shall be deleted. Such uses shall not be considered to be unlawful downloading or copying of SIS data. Europol shall not copy alert data or additional data issued by Member States or from CS-SIS into other Europol systems.
7.   For the purpose of verifying the lawfulness of data processing, self-monitoring and ensuring proper data security and integrity, Europol shall keep logs of every access to and search in SIS in accordance with the provisions of Article 12. Such logs and documentation shall not be considered to be unlawful downloading or copying of part of SIS.
8.   Member States shall inform Europol through the exchange of supplementary information of any hit on alerts related to terrorist offences. Member States may exceptionally not inform Europol if doing so would jeopardise current investigations, the safety of an individual or be contrary to essential interests of the security of the issuing Member State.
9.   Paragraph 8 shall apply from the date that Europol is able to receive supplementary information in accordance with paragraph 1.
Article 49
Access to data in SIS by Eurojust
1.   Only the national members of Eurojust and their assistants shall, where necessary to fulfil their mandate, have the right to access and search data in SIS within their mandate, in accordance with Articles 26, 32, 34, 38 and 40.
2.   Where a search by a national member of Eurojust reveals the existence of an alert in SIS, that national member shall inform the issuing Member State. Eurojust shall only communicate information obtained from such a search to third countries and third bodies with the consent of the issuing Member State and in full compliance with Union law on data protection.
3.   This Article is without prejudice to the provisions of Regulation (EU) 2018/1727 of the European Parliament and of the Council 
(
41
)
 and Regulation (EU) 2018/1725 concerning data protection and the liability for any unauthorised or incorrect processing of such data by national members of Eurojust or their assistants, and to the powers of the European Data Protection Supervisor pursuant to those Regulations.
4.   For the purpose of verifying the lawfulness of data processing, self-monitoring and ensuring proper data security and integrity, Eurojust shall keep logs of every access to and search in SIS made by a national member of Eurojust or an assistant in accordance with the provisions of Article 12.
5.   No parts of SIS shall be connected to any system for data collection and processing operated by or at Eurojust nor, shall the data in SIS to which the national members or their assistants have access be transferred to such a system. No part of SIS shall be downloaded or copied. The logging of access and searches shall not be considered to be unlawful downloading or copying of SIS data.
6.   Eurojust shall adopt and apply measures to ensure security, confidentiality and self-monitoring in accordance with Articles 10, 11 and 13.
Article 50
Access to data in SIS by the European Border and Coast Guard teams, teams of staff involved in return-related tasks, and members of the migration management support teams
1.   In accordance with Article 40(8) of Regulation (EU) 2016/1624, the members of the teams referred to in points (8) and (9) of Article 2 of that Regulation shall, within their mandate and provided that they are authorised to carry out checks in accordance with Article 44(1) of this Regulation and have received the required training in accordance with Article 14(1) of this Regulation, have the right to access and search data in SIS insofar it is necessary for the performance of their task and as required by the operational plan for a specific operation. Access to data in SIS shall not be extended to any other team members.
2.   Members of the teams referred to in paragraph 1 shall exercise the right to access and search data in SIS in accordance with paragraph 1 through a technical interface. The technical interface shall be set up and maintained by the European Border and Coast Guard Agency and shall allow direct connection to Central SIS.
3.   Where a search by a member of the teams referred to in paragraph 1 of this Article reveals the existence of an alert in SIS, the issuing Member State shall be informed thereof. In accordance with Article 40 of Regulation (EU) 2016/1624, members of the teams shall only act in response to an alert in SIS under instructions from and, as a general rule, in the presence of border guards or staff involved in return-related tasks of the host Member State in which they are operating. The host Member State may authorise members of the teams to act on its behalf.
4.   For the purpose of verifying the lawfulness of data processing, self-monitoring and ensuring proper data security and integrity, the European Border and Coast Guard Agency shall keep logs of every access to and search in SIS in accordance with the provisions of Article 12.
5.   The European Border and Coast Guard Agency shall adopt and apply measures to ensure security, confidentiality and self-monitoring in accordance with Articles 10, 11 and 13 and shall ensure that the teams referred to in paragraph 1 of this Article apply those measures.
6.   Nothing in this Article shall be interpreted as affecting the provisions of Regulation (EU) 2016/1624 concerning data protection or the European Border and Coast Guard Agency's liability for any unauthorised or incorrect processing of data by it.
7.   Without prejudice to paragraph 2, no parts of SIS shall be connected to any system for data collection and processing operated by the teams referred to in paragraph 1 or by the European Border and Coast Guard Agency, nor shall the data in SIS to which those teams have access be transferred to such a system. No part of SIS shall be downloaded or copied. The logging of access and searches shall not be considered to be unlawful downloading or copying of SIS data.
8.   The European Border and Coast Guard Agency shall allow the European Data Protection Supervisor to monitor and review the activities of the teams referred to in this Article in the exercise of their right to access and search data in SIS. This shall be without prejudice to the further provisions of Regulation (EU) 2018/1725.
Article 51
Evaluation of the use of SIS by Europol, Eurojust and the European Border and Coast Guard Agency
1.   The Commission shall carry out an evaluation of the operation and the use of SIS by Europol, the national members of Eurojust and their assistants and the teams referred to in Article 50(1) at least every five years.
2.   Europol, Eurojust and the European Border and Coast Guard Agency shall ensure adequate follow-up to the findings and recommendations stemming from the evaluation.
3.   A report on the results of the evaluation and follow-up to it shall be sent to the European Parliament and to the Council.
Article 52
Scope of access
End-users, including Europol, the national members of Eurojust and their assistants and the members of the teams referred to in points (8) and (9) of Article 2 of Regulation (EU) 2016/1624, shall only access data which they require for the performance of their tasks.
Article 53
Review period for alerts on persons
1.   Alerts on persons shall be kept only for the time required to achieve the purposes for which they were entered.
2.   A Member State may enter an alert on a person for the purposes of Article 26 and points (a) and (b) of Article 32(1) for a period of five years. The issuing Member State shall review the need to retain the alert within the five year period.
3.   A Member State may enter an alert on a person for the purposes of Articles 34 and 40 for a period of three years. The issuing Member State shall review the need to retain the alert within the three year period.
4.   A Member State may enter an alert on a person for the purposes of points (c), (d) and (e) of Article 32 (1) and of Article 36 for a period of one year. The issuing Member State shall review the need to retain the alert within the one year period.
5.   Each Member State shall, where appropriate, set shorter review periods in accordance with its national law.
6.   Within the review period referred to in paragraphs 2, 3 and 4, the issuing Member State may, following a comprehensive individual assessment, which shall be recorded, decide to retain the alert on a person for longer than the review period, where this proves necessary and proportionate for the purposes for which the alert was entered. In such cases paragraph 2, 3 or 4 shall also apply to the extension. Any such extension shall be communicated to CS-SIS.
7.   Alerts on persons shall be deleted automatically after the review period referred to in paragraphs 2, 3 and 4 has expired, except where the issuing Member State has informed CS-SIS of an extension pursuant to paragraph 6. CS-SIS shall automatically inform the issuing Member State of the scheduled deletion of data four months in advance.
8.   Member States shall keep statistics on the number of alerts on persons the retention periods of which have been extended in accordance with paragraph 6 of this Article and transmit them, upon request, to the supervisory authorities referred to in Article 69.
9.   As soon as it becomes clear to a SIRENE Bureau that an alert on a person has achieved its purpose and should therefore be deleted, it shall immediately notify the authority which created the alert. The authority shall have 15 calendar days from the receipt of that notification to reply that the alert has been or shall be deleted or shall state reasons for the retention of the alert. If no reply has been received by the end of the 15-day period, the SIRENE Bureau shall ensure that the alert is deleted. Where permissible under national law, the alert shall be deleted by the SIRENE Bureau. SIRENE Bureaux shall report any recurring issues they encounter when acting under this paragraph to their supervisory authority.
Article 54
Review period for alerts on objects
1.   Alerts on objects shall be kept only for the time required to achieve the purposes for which they were entered.
2.   A Member State may enter an alert on objects for the purposes of Articles 36 and 38 for a period of ten years. The issuing Member State shall review the need to retain the alert within the ten-year period.
3.   Alerts on objects entered in accordance with Articles 26, 32, 34, and 36 shall be reviewed pursuant to Article 53 where they are linked to an alert on a person. Such alerts shall only be kept for as long as the alert on the person is kept.
4.   Within the review period referred to in paragraphs 2 and 3, the issuing Member State may decide to retain the alert on an object for longer than the review period, where this proves necessary for the purposes for which the alert was entered. In such cases paragraph 2 or 3 shall apply, as appropriate.
5.   The Commission may adopt implementing acts to establish shorter review periods for certain categories of alerts on objects. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
6.   Member States shall keep statistics on the number of alerts on objects the retention periods of which have been extended in accordance with paragraph 4.
CHAPTER XIV
Deletion of alerts
Article 55
Deletion of alerts
1.   Alerts for arrest for surrender or extradition purposes pursuant to Article 26 shall be deleted when the person has been surrendered or extradited to the competent authorities of the issuing Member State. They shall also be deleted when the judicial decision on which the alert was based has been revoked by the competent judicial authority in accordance with national law. They shall also be deleted upon the expiry of the alert in accordance with Article 53.
2.   Alerts on missing persons or vulnerable persons who need to be prevented from travelling pursuant to Article 32 shall be deleted in accordance with the following rules:
(a)
concerning missing children and children at risk of abduction, an alert shall be deleted upon:
(i)
the resolution of the case, such as when the child has been located or repatriated or the competent authorities in the executing Member State have taken a decision on the care of the child;
(ii)
the expiry of the alert in accordance with Article 53; or
(iii)
a decision by the competent authority of the issuing Member State;
(b)
concerning missing adults, where no protective measures are requested, an alert shall be deleted upon:
(i)
the execution of the action to be taken, where their whereabouts are ascertained by the executing Member State;
(ii)
the expiry of the alert in accordance with Article 53; or
(iii)
a decision by the competent authority of the issuing Member State;
(c)
concerning missing adults where protective measures are requested, an alert shall be deleted upon:
(i)
the carrying out of the action to be taken, where the person is placed under protection;
(ii)
the expiry of the alert in accordance with Article 53; or
(iii)
a decision by the competent authority of the issuing Member State;
(d)
concerning vulnerable persons who are of age who need to be prevented from travelling for their own protection and children who need to be prevented from travelling, an alert shall be deleted upon:
(i)
the carrying out of the action to be taken such as the person's placement under protection;
(ii)
the expiry of the alert in accordance with Article 53; or
(iii)
a decision by the competent authority of the issuing Member State.
Without prejudice to the national law, where a person has been institutionalised following a decision by a competent authority an alert may be retained until that person has been repatriated.
3.   Alerts on persons sought for a judicial procedure pursuant to Article 34 shall be deleted upon:
(a)
the communication of the whereabouts of the person to the competent authority of the issuing Member State;
(b)
the expiry of the alert in accordance with Article 53; or
(c)
a decision by the competent authority of the issuing Member State.
Where the information in the communication referred to in point (a) cannot be acted upon, the SIRENE Bureau of the issuing Member State shall inform the SIRENE Bureau of the executing Member State in order to resolve the problem.
In the event of a hit where the address details were forwarded to the issuing Member State and a subsequent hit in the same executing Member State reveals the same address details, the hit shall be recorded in the executing Member State but neither the address details nor supplementary information shall be resent to the issuing Member State. In such cases the executing Member State shall inform the issuing Member State of the repeated hits and the issuing Member State shall carry out a comprehensive individual assessment of the need to retain the alert.
4.   Alerts for discreet, inquiry and specific checks pursuant to Article 36, shall be deleted upon:
(a)
the expiry of the alert in accordance with Article 53; or
(b)
a decision to delete them by the competent authority of the issuing Member State.
5.   Alerts on objects for seizure or use as evidence in criminal proceedings pursuant to Article 38, shall be deleted upon:
(a)
the seizure of the object or equivalent measure once the necessary follow-up exchange of supplementary information has taken place between the SIRENE Bureaux concerned or the object becomes the subject of another judicial or administrative procedure;
(b)
the expiry of the alert in accordance with Article 53; or
(c)
a decision to delete them by the competent authority of the issuing Member State.
6.   Alerts on unknown wanted persons pursuant to Article 40 shall be deleted upon:
(a)
the identification of the person;
(b)
the expiry of the alert in accordance with Article 53; or
(c)
a decision to delete them by the competent authority of the issuing Member State.
7.   Where it is linked to an alert on a person, an alert on an object entered in accordance with Articles 26, 32, 34 and 36 shall be deleted when the alert on the person is deleted in accordance with this Article.
CHAPTER XV
General data processing rules
Article 56
Processing of SIS data
1.   The Member States shall only process the data referred to in Article 20 for the purposes laid down for each category of alert referred to in Articles 26, 32, 34, 36, 38 and 40.
2.   Data shall only be copied for technical purposes, where such copying is necessary in order for the competent authorities referred to in Article 44 to carry out a direct search. This Regulation shall apply to those copies. A Member State shall not copy the alert data or additional data entered by another Member State from its N.SIS or from the CS-SIS into other national data files.
3.   Technical copies referred to in paragraph 2 which result in offline databases may be retained for a period not exceeding 48 hours.
Member States shall keep an up-to-date inventory of those copies, make that inventory available to their supervisory authorities, and ensure that this Regulation, in particular Article 10, is applied in respect of those copies.
4.   Access to data in SIS by national competent authorities referred to in Article 44 shall only be authorised within the limits of their competence and only to duly authorised staff.
5.   With regard to the alerts laid down in Articles 26, 32, 34, 36, 38 and 40 of this Regulation, any processing of information in SIS for purposes other than those for which it was entered into SIS has to be linked with a specific case and justified by the need to prevent an imminent and serious threat to public policy and to public security, on serious grounds of national security or for the purposes of preventing a serious crime. Prior authorisation from the issuing Member State shall be obtained for this purpose.
6.   Any use of SIS data which does not comply with paragraphs 1 to 5 of this Article shall be considered as misuse under the national law of each Member State and subject to penalties in accordance with Article 73.
7.   Each Member State shall send to eu-LISA a list of its competent authorities which are authorised to search the data in SIS directly pursuant to this Regulation, as well as any changes to the list. The list shall specify, for each authority, which data it may search and for what purposes. eu-LISA shall ensure that the list is published in the 
Official Journal of the European Union
 annually. eu-LISA shall maintain a continuously updated list on its website containing changes sent by Member States between the annual publications.
8.   Insofar as Union law does not lay down specific provisions, the law of each Member State shall apply to data in its N.SIS.
Article 57
SIS data and national files
1.   Article 56(2) shall be without prejudice to the right of a Member State to keep in its national files SIS data in connection with which action has been taken on its territory. Such data shall be kept in national files for a maximum period of three years, except if specific provisions in national law provide for a longer retention period.
2.   Article 56(2) shall be without prejudice to the right of a Member State to keep in its national files data contained in a particular alert entered in SIS by that Member State.
Article 58
Information in the case of non-execution of an alert
If a requested action cannot be performed, the Member State from which action is requested shall immediately inform the issuing Member State through the exchange of supplementary information.
Article 59
Quality of the data in SIS
1.   An issuing Member State shall be responsible for ensuring that the data are accurate, up-to-date, and entered and stored in SIS lawfully.
2.   Where an issuing Member State receives relevant additional or modified data as listed in Article 20(3), it shall complete or modify the alert without delay.
3.   Only the issuing Member State shall be authorised to modify, add to, correct, update or delete data which it has entered into SIS.
4.   Where a Member State other than the issuing Member State has relevant additional or modified data as listed in Article 20(3), it shall transmit them without delay, through the exchange of supplementary information, to the issuing Member State to enable the latter to complete or modify the alert. If the additional or modified data relate to persons they shall only be transmitted if the identity of the person is ascertained.
5.   Where a Member State other than the issuing Member State has evidence suggesting that an item of data is factually incorrect or has been unlawfully stored, it shall, through the exchange of supplementary information, inform the issuing Member State as soon as possible and not later than two working days after that evidence has come to its attention. The issuing Member State shall check the information and, if necessary, correct or delete the item in question without delay.
6.   Where the Member States are unable to reach an agreement within two months of the time when evidence first came to light as referred to in paragraph 5 of this Article, the Member State which did not enter the alert shall submit the matter to the supervisory authorities concerned and to the European Data Protection Supervisor for a decision, by means of cooperation in accordance with Article 71.
7.   The Member States shall exchange supplementary information in cases where a person complains that he or she is not the intended subject of an alert. Where the outcome of the check shows that the intended subject of an alert is not the complainant, the complainant shall be informed of the measures laid down in Article 62 and of the right to redress under Article 68(1).
Article 60
Security incidents
1.   Any event that has or may have an impact on the security of SIS or may cause damage or loss to SIS data or to the supplementary information shall be considered to be a security incident, especially where unlawful access to data may have occurred or where the availability, integrity and confidentiality of data has or may have been compromised.
2.   Security incidents shall be managed in a way as to ensure a quick, effective and proper response.
3.   Without prejudice to the notification and communication of a personal data breach pursuant to Article 33 of Regulation (EU) 2016/679 or to Article 30 of Directive (EU) 2016/680, Member States, Europol, Eurojust and the European Border and Coast Guard Agency shall notify the Commission, eu-LISA, the competent supervisory authority and the European Data Protection Supervisor without delay of security incidents. eu-LISA shall notify the Commission and the European Data Protection Supervisor without delay of any security incident concerning Central SIS.
4.   Information regarding a security incident that has or may have an impact on the operation of SIS in a Member State or within eu-LISA, on the availability, integrity and confidentiality of the data entered or sent by other Member States or on supplementary information exchanged, shall be provided to all Member States without delay and reported in compliance with the incident management plan provided by eu-LISA.
5.   The Member States and eu-LISA shall collaborate in the event of a security incident.
6.   The Commission shall report serious incidents immediately to the European Parliament and to the Council. Those reports shall be classified as EU RESTRICTED/RESTREINT UE in accordance with applicable security rules.
7.   Where a security incident is caused by the misuse of data, Member States, Europol, Eurojust and the European Border and Coast Guard Agency shall ensure that penalties are imposed in accordance with Article 73.
Article 61
Distinguishing between persons with similar characteristics
1.   Where upon a new alert being entered it becomes apparent that there is already an alert in SIS on a person with the same description of identity, the SIRENE Bureau shall contact the issuing Member State through the exchange of supplementary information within 12 hours to cross-check whether the subjects of the two alerts are the same person.
2.   Where the cross-check reveals that the subject of the new alert and the person subject to the alert already entered in SIS are indeed one and the same person, the SIRENE Bureau shall apply the procedure for entering multiple alerts referred to in Article 23.
3.   Where the outcome of the cross-check is that there are in fact two different persons, the SIRENE Bureau shall approve the request for entering the second alert by adding the data necessary to avoid any misidentifications.
Article 62
Additional data for the purpose of dealing with misused identities
1.   Where confusion may arise between the person intended to be the subject of an alert and a person whose identity has been misused, the issuing Member State shall, subject to the explicit consent of the person whose identity has been misused, add data relating to the latter to the alert in order to avoid the negative consequences of misidentification. Any person whose identity has been misused shall have the right to withdraw his or her consent regarding the processing of the added personal data.
2.   Data relating to a person whose identity has been misused shall be used only for the following purposes:
(a)
to allow the competent authority to distinguish the person whose identity has been misused from the person intended to be the subject of the alert; and
(b)
to allow the person whose identity has been misused to prove his or her identity and to establish that his or her identity has been misused.
3.   For the purpose of this Article, and subject to the explicit consent of the person whose identity has been misused for each data category, only the following personal data of the person whose identity has been misused may be entered and further processed in SIS:
(a)
surnames;
(b)
forenames;
(c)
names at birth;
(d)
previously used names and any aliases possibly entered separately;
(e)
any specific objective and physical characteristic not subject to change;
(f)
place of birth;
(g)
date of birth;
(h)
gender;
(i)
photographs and facial images;
(j)
fingerprints, palm prints or both;
(k)
any nationalities held;
(l)
the category of the person's identification documents;
(m)
the country of issue of the person's identification documents;
(n)
the number(s) of the person's identification documents;
(o)
the date of issue of a person's identification documents;
(p)
address of the person;
(q)
person's father's name;
(r)
person's mother's name.
4.   The Commission shall adopt implementing acts to lay down and develop technical rules necessary for entering and further processing the data referred to in paragraph 3 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
5.   The data referred to in paragraph 3 shall be deleted at the same time as the corresponding alert or earlier where the person so requests.
6.   Only the authorities having a right of access to the corresponding alert may access the data referred to in paragraph 3. They may do so for the sole purpose of avoiding misidentification.
Article 63
Links between alerts
1.   A Member State may create a link between alerts it enters in SIS. The effect of such a link shall be to establish a relationship between two or more alerts.
2.   The creation of a link shall not affect the specific action to be taken on the basis of each linked alert or the review period of each of the linked alerts.
3.   The creation of a link shall not affect the rights of access provided for in this Regulation. Authorities with no right of access to certain categories of alerts shall not be able to see the link to an alert to which they do not have access.
4.   A Member State shall create a link between alerts when there is an operational need.
5.   Where a Member State considers that the creation by another Member State of a link between alerts is incompatible with its national law or its international obligations, it may take the necessary measures to ensure that there can be no access to the link from its national territory or by its authorities located outside its territory.
6.   The Commission shall adopt implementing acts to lay down and develop technical rules for linking alerts. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 64
Purpose and retention period of supplementary information
1.   Member States shall keep a reference to the decisions giving rise to an alert at the SIRENE Bureau in order to support the exchange of supplementary information.
2.   Personal data held in files by the SIRENE Bureau as a result of information exchanged shall be kept only for such time as may be required to achieve the purposes for which they were supplied. They shall in any event be deleted at the latest one year after the related alert has been deleted from SIS.
3.   Paragraph 2 shall be without prejudice to the right of a Member State to keep in national files data relating to a particular alert which that Member State has entered or to an alert in connection with which action has been taken on its territory. The period for which such data may be kept in those files shall be governed by national law.
Article 65
Transfer of personal data to third parties
Data processed in SIS and the related supplementary information exchanged pursuant to this Regulation shall not be transferred or made available to third countries or to international organisations.
CHAPTER XVI
Data protection
Article 66
Applicable legislation
1.   Regulation (EU) 2018/1725 shall apply to the processing of personal data by eu-LISA, by the European Border and Coast Guard Agency and by Eurojust under this Regulation. Regulation (EU) 2016/794 shall apply to the processing of personal data by Europol under this Regulation.
2.   Directive (EU) 2016/680 shall apply to the processing of personal data under this Regulation by the national competent authorities and services for the purposes of the prevention, detection, investigation or prosecution of criminal offences or the execution of criminal penalties, including the safeguarding against and the prevention of threats to public security.
3.   Regulation (EU) 2016/679 shall apply to the processing of personal data under this Regulation by the national competent authorities and services with the exception of processing for the purposes of the prevention, detection, investigation or prosecution of criminal offences or the execution of criminal penalties, including the safeguarding against and the prevention of threats to public security.
Article 67
Right of access, rectification of inaccurate data and erasure of unlawfully stored data
1.   Data subjects shall be able to exercise the rights laid down in Articles 15, 16 and 17 of Regulation (EU) 2016/679 and in Article 14 and Article 16 (1) and (2) of Directive(EU) 2016/680.
2.   A Member State other than the issuing Member State may provide to the data subject information concerning any of the data subject's personal data that are being processed only if it first gives the issuing Member State an opportunity to state its position. The communication between those Member States shall be done through the exchange of supplementary information.
3.   A Member State shall take a decision not to provide information to the data subject, in whole or in part, in accordance with national law, to the extent that, and for as long as such a partial or complete restriction constitutes a necessary and proportionate measure in a democratic society with due regard for the fundamental rights and legitimate interests of the data subject concerned, in order to:
(a)
avoid obstructing official or legal inquiries, investigations or procedures;
(b)
avoid prejudicing the prevention, detection, investigation or prosecution of criminal offences or the execution of criminal penalties;
(c)
protect public security;
(d)
protect national security; or
(e)
protect the rights and freedoms of others.
In cases referred to in the first subparagraph, the Member State shall inform the data subject in writing, without undue delay, of any refusal or restriction of access and of the reasons for the refusal or restriction. Such information may be omitted where its provision would undermine any of the reasons set out in points (a) to (e) of the first subparagraph. The Member State shall inform the data subject of the possibility of lodging a complaint with a supervisory authority or of seeking a judicial remedy.
The Member State shall document the factual or legal reasons on which the decision not to provide information to the data subject is based. That information shall be made available to the supervisory authorities.
For such cases, the data subject shall also be able to exercise his or her rights through the competent supervisory authorities.
4.   Following an application for access, rectification or erasure, the Member State shall inform the data subject as soon as possible and in any event within the deadlines referred to in Article 12(3) of Regulation (EU) 2016/679 about the follow-up given to the exercise of the rights under this Article.
Article 68
Remedies
1.   Without prejudice to the provisions on remedies of Regulation (EU) 2016/679 and of Directive (EU) 2016/680, any person may bring an action before any competent authority, including a court, under the law of any Member State to access, rectify, erase, obtain information or obtain compensation in connection with an alert relating to him or her.
2.   The Member States undertake mutually to enforce final decisions handed down by the courts or authorities referred to in paragraph 1 of this Article, without prejudice to Article 72.
3.   Member States shall report annually to the European Data Protection Board on:
(a)
the number of access requests submitted to the data controller and the number of cases where access to the data was granted;
(b)
the number of access requests submitted to the supervisory authority and the number of cases where access to the data was granted;
(c)
the number of requests for the rectification of inaccurate data and for the erasure of unlawfully stored data to the data controller and the number of cases where the data were rectified or erased;
(d)
the number of requests for the rectification of inaccurate data and the erasure of unlawfully stored data submitted to the supervisory authority;
(e)
the number of court proceedings initiated;
(f)
the number of cases where the court ruled in favour of the applicant;
(g)
any observations on cases of mutual recognition of final decisions handed down by the courts or authorities of other Member States on alerts entered by the issuing Member State.
A template for the reporting referred to in this paragraph shall be developed by the Commission.
4.   The reports from the Member States shall be included in the joint report referred to in Article 71(4).
Article 69
Supervision of N.SIS
1.   Member States shall ensure that the independent supervisory authorities designated in each Member State and endowed with the powers referred to in Chapter VI of Regulation (EU) 2016/679 or Chapter VI of Directive (EU) 2016/680 monitor the lawfulness of the processing of personal data in SIS on their territory, its transmission from their territory and the exchange and further processing of supplementary information on their territory.
2.   The supervisory authorities shall ensure that an audit of the data processing operations in its N.SIS is carried out in accordance with international auditing standards at least every four years. The audit shall either be carried out by the supervisory authorities, or the supervisory authorities shall directly order the audit from an independent data protection auditor. The supervisory authorities shall at all times retain control over and undertake the responsibilities of the independent auditor.
3.   Member States shall ensure that their supervisory authorities have sufficient resources to fulfil the tasks entrusted to them under this Regulation and have access to advice from persons with sufficient knowledge of biometric data.
Article 70
Supervision of eu-LISA
1.   The European Data Protection Supervisor shall be responsible for monitoring the processing of personal data by eu-LISA and for ensuring that it is carried out in accordance with this Regulation. The tasks and powers referred to in Articles 57 and 58 of Regulation (EU) 2018/1725 shall apply accordingly.
2.   The European Data Protection Supervisor shall carry out an audit of the processing of personal data by eu-LISA in accordance with international auditing standards at least every four years. A report on that audit shall be sent to the European Parliament, to the Council, to eu-LISA, to the Commission and to the supervisory authorities. eu-LISA shall be given an opportunity to make comments before the report is adopted.
Article 71
Cooperation between supervisory authorities and the European Data Protection Supervisor
1.   The supervisory authorities and the European Data Protection Supervisor, each acting within the scope of their respective competences, shall actively cooperate within the framework of their responsibilities and shall ensure coordinated supervision of SIS.
2.   The supervisory authorities and the European Data Protection Supervisor shall, each acting within the scope of their respective competences, exchange relevant information, assist each other in carrying out audits and inspections, examine difficulties in the interpretation or application of this Regulation and other applicable Union legal acts, study problems that are revealed through the exercise of independent supervision or through the exercise of the rights of data subjects, draw up harmonised proposals for joint solutions to any problems and promote awareness of data protection rights, as necessary.
3.   For the purposes laid down in paragraph 2, the supervisory authorities and the European Data Protection Supervisor shall meet at least twice a year as part of the European Data Protection Board. The costs and servicing of these meetings shall be borne by the European Data Protection Board. Rules of procedure shall be adopted at the first meeting. Further working methods shall be developed jointly as necessary.
4.   A joint report of activities as regards coordinated supervision shall be sent annually by the European Data Protection Board to the European Parliament, to the Council, and to the Commission.
CHAPTER XVII
Liability and penalties
Article 72
Liability
1.   Without prejudice to the right to compensation and to any liability under Regulation (EU) 2016/679, Directive (EU) 2016/680 and Regulation (EU) 2018/1725:
(a)
any person or Member State that has suffered material or non-material damage, as a result of an unlawful personal data processing operation through the use of N.SIS or any other act incompatible with this Regulation by a Member State, shall be entitled to receive compensation from that Member State; and
(b)
any person or Member State that has suffered material or non-material damage as a result of any act by eu-LISA incompatible with this Regulation shall be entitled to receive compensation from eu-LISA.
A Member State or eu-LISA shall be exempted from their liability under the first subparagraph, in whole or in part, if they prove that they are not responsible for the event which gave rise to the damage.
2.   If any failure of a Member State to comply with its obligations under this Regulation causes damage to SIS, that Member State shall be held liable for such damage, unless and insofar as eu-LISA or another Member State participating in SIS failed to take reasonable measures to prevent the damage from occurring or to minimise its impact.
3.   Claims for compensation against a Member State for the damage referred to in paragraphs 1 and 2 shall be governed by the national law of that Member State. Claims for compensation against eu-LISA for the damage referred to in paragraphs 1 and 2 shall be subject to the conditions provided for in the Treaties.
Article 73
Penalties
Member States shall ensure that any misuse of SIS data or any processing of such data or any exchange of supplementary information contrary to this Regulation, is punishable in accordance with national law.
The penalties provided for shall be effective, proportionate and dissuasive.
CHAPTER XVIII
Final provisions
Article 74
Monitoring and statistics
1.   eu-LISA shall ensure that procedures are in place to monitor the functioning of SIS against objectives relating to output, cost-effectiveness, security and quality of service.
2.   For the purposes of technical maintenance, reporting, data quality reporting and statistics, eu-LISA shall have access to the necessary information relating to the processing operations performed in Central SIS.
3.   eu-LISA shall produce daily, monthly and annual statistics showing the number of records per category of alerts, both for each Member State and in aggregate. eu-LISA shall also provide annual reports on the number of hits per category of alert, how many times SIS was searched and how many times SIS was accessed for the purpose of entering, updating or deleting an alert, both for each Member State and in aggregate. The statistics produced shall not contain any personal data. The annual statistical report shall be published.
4.   Member States, Europol, Eurojust and the European Border and Coast Guard Agency shall provide eu-LISA and the Commission with the information necessary to draft the reports referred to in paragraphs 3, 6, 8 and 9.
5.   This information shall include separate statistics on the number of searches carried out by, or on behalf of, the services in the Member States responsible for issuing vehicle registration certificates and the services in the Member States responsible for issuing registration certificates or ensuring traffic management for boats, including boat engines; and aircraft, including aircraft engines; and firearms. The statistics shall also show the number of hits per category of alert.
6.   eu-LISA shall provide the European Parliament, the Council, the Member States, the Commission, Europol, Eurojust, the European Border and Coast Guard Agency and the European Data Protection Supervisor with any statistical reports that it produces.
In order to monitor the implementation of Union legal acts, including for the purposes of Regulation (EU) No 1053/2013, the Commission may request that eu-LISA provide additional specific statistical reports, either on a regular or ad hoc basis, on the performance of SIS, the use of SIS and on the exchange of supplementary information.
The European Border and Coast Guard Agency may request that eu-LISA provide additional specific statistical reports for the purpose of carrying out risk analyses and vulnerability assessments as referred to in Articles 11 and 13 of Regulation (EU) 2016/1624, either on a regular or ad hoc basis.
7.   For the purpose of Article 15(4) and of paragraphs 3, 4 and 6 of this Article, eu-LISA shall establish, implement and host a central repository in its technical sites containing the data referred to in Article 15(4) and in paragraph 3 of this Article which shall not allow for the identification of individuals and which shall allow the Commission and the agencies referred to in paragraph 6 of this Article to obtain bespoke reports and statistics. Upon request, eu-LISA shall give access to Member States and the Commission, as well as, Europol, Eurojust and the European Border and Coast Guard Agency, to the extent required for the performance of their tasks, to the central repository by means of secured access through the Communication Infrastructure. eu-LISA shall implement access controls and specific user profiles to ensure that the central repository is accessed solely for the purpose of reporting and statistics.
8.   Two years after the date of application of this Regulation pursuant to the first subparagraph of Article 79(5) and every two years thereafter, eu-LISA shall submit to the European Parliament and to the Council a report on the technical functioning of Central SIS and of the Communication Infrastructure, including their security, on the AFIS and on the bilateral and multilateral exchange of supplementary information between Member States. This report shall also contain, once the technology is in use, an evaluation of the use of facial images to identify persons.
9.   Three years after the date of application of this Regulation pursuant to the first subparagraph of Article 79(5) and every four years thereafter, the Commission shall carry out an overall evaluation of Central SIS and the bilateral and multilateral exchange of supplementary information between Member States. That overall evaluation shall include an examination of results achieved against objectives, and an assessment of the continuing validity of the underlying rationale, the application of this Regulation in respect of Central SIS, the security of Central SIS and any implications for future operations. The evaluation report shall also include an assessment of the AFIS and the SIS information campaigns carried out by the Commission in accordance with Article 19.
The Commission shall transmit the evaluation report to the European Parliament and to the Council.
10.   The Commission shall adopt implementing acts to lay down detailed rules on the operation of the central repository referred to in paragraph 7 of this Article and the data protection and security rules applicable to that repository. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 76(2).
Article 75
Exercise of the delegation
1.   The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article.
2.   The power to adopt delegated acts referred to in Article 38(3) and Article 43(4) shall be conferred on the Commission for an indeterminate period of time from 27 December 2018.
3.   The delegation of power referred to in Article 38(3) and Article 43(4) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the 
Official Journal of the European Union
 or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.
4.   Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making.
5.   As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council.
6.   A delegated act adopted pursuant to Article 38(3) or Article 43(4) shall enter into force only if no objection has been expressed either by the European Parliament or the Council within a period of two months of notification of that act to the European Parliament and the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by two months at the initiative of the European Parliament or of the Council.
Article 76
Committee procedure
1.   The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
Article 77
Amendments to Decision 2007/533/JHA
Decision 2007/533/JHA is amended as follows:
(1)
Article 6 is replaced by the following:
‘Article 6
National Systems
1.   Each Member State shall be responsible for setting up, operating, maintaining and further developing its N.SIS II and connecting it to NI-SIS.
2.   Each Member State shall be responsible for ensuring the uninterrupted availability of SIS II data to end-users.’;
(2)
Article 11 is replaced by the following:
‘Article 11
Confidentiality — Member States
1.   Each Member State shall apply its rules of professional secrecy or other equivalent duties of confidentiality to all persons and bodies required to work with SIS II data and supplementary information, in accordance with its national legislation. This obligation shall also apply after those people leave office or employment or after the termination of the activities of those bodies.
2.   Where a Member State cooperates with external contractors in any SIS II-related tasks, it shall closely monitor the activities of the contractor to ensure compliance with all provisions of this Decision, in particular on security, confidentiality and data protection.
3.   The operational management of N.SIS II or of any technical copies shall not be entrusted to private companies or private organisations.’;
(3)
Article 15 is amended as follows:
(a)
the following paragraph is inserted:
‘3a.   The Management Authority shall develop and maintain a mechanism and procedures for carrying out quality checks on the data in CS-SIS. It shall provide regular reports to the Member States in this regard.
The Management Authority shall provide a regular report to the Commission covering the issues encountered and the Member States concerned.
The Commission shall provide the European Parliament and the Council with a regular report on data quality issues that are encountered.’;
(b)
paragraph 8 is replaced by the following:
‘8.   The operational management of Central SIS II shall consist of all the tasks necessary to keep Central SIS II functioning 24 hours a day, 7 days a week in accordance with this Decision, in particular the maintenance work and technical developments necessary for the smooth running of the system. Those tasks shall also include the coordination, management and support of testing activities for Central SIS II and the N.SIS II that ensure that Central SIS II and the N.SIS II operate in accordance with the requirements for technical compliance set out in Article 9.’;
(4)
in Article 17, the following paragraphs are added:
‘3.   Where the Management Authority cooperates with external contractors in any SIS II-related tasks, it shall closely monitor the activities of the contractor to ensure compliance with all provisions of this Decision, in particular on security, confidentiality and data protection.
4.   The operational management of CS-SIS shall not be entrusted to private companies or private organisations.’;
(5)
in Article 21, the following paragraph is added:
‘Where a person or an object is sought under an alert related to a terrorist offence, the case shall be considered adequate, relevant and important enough to warrant an alert in SIS II. For public or national security reasons, Member States may exceptionally refrain from entering an alert when it is likely to obstruct official or legal inquiries, investigations or procedures.’;
(6)
Article 22 is replaced by the following:
‘Article 22
Specific rules for entering, verification or search with photographs and fingerprints
1.   Photographs and fingerprints shall only be entered following a special quality check to ascertain whether they fulfil minimum data quality standards. The specification of the special quality check shall be established in accordance with the procedure referred to in Article 67.
2.   Where photographs and fingerprint data are available in an alert in SIS II, such photographs and fingerprint data shall be used to confirm the identity of a person who has been located as a result of an alphanumeric search made in SIS II.
3.   Fingerprint data may be searched in all cases to identify a person. However, fingerprint data shall be searched to identify a person where the identity of the person cannot be ascertained by other means. For that purpose, the Central SIS II shall contain an Automated Fingerprint Identification System (AFIS).
4.   Fingerprint data in SIS II in relation to alerts entered in accordance with Articles 26, 32 and 36 may also be searched using complete or incomplete sets of fingerprints discovered at the scenes of serious crimes or terrorist offences under investigation, where it can be established to a high degree of probability that those sets of prints belong to a perpetrator of the offence and provided that the search is carried out simultaneously in the Member State's relevant national fingerprints databases.’;
(7)
Article 41 is replaced by the following:
‘Article 41
Access to data in SIS II by Europol
1.   The European Union Agency for Law Enforcement Cooperation (Europol), established by Regulation (EU) 2016/794 of the European Parliament and of the Council
 (
*1
)
, shall, where necessary to fulfil its mandate, have the right to access and search data in SIS II. Europol may also exchange and further request supplementary information in accordance with the provisions of the SIRENE Manual.
2.   Where a search by Europol reveals the existence of an alert in SIS II, Europol shall inform the issuing Member State through the exchange of supplementary information by means of the Communication Infrastructure and in accordance with the provisions set out in the SIRENE Manual. Until Europol is able to use the functionalities intended for the exchange of supplementary information, it shall inform issuing Member States through the channels defined by Regulation (EU) 2016/794.
3.   Europol may process the supplementary information that has been provided to it by Member States for the purposes of comparing it with its databases and operational analysis projects, aimed at identifying connections or other relevant links and for the strategic, thematic or operational analyses referred to in points (a), (b) and (c) of Article 18(2) of Regulation (EU) 2016/794. Any processing by Europol of supplementary information for the purpose of this Article shall be carried out in accordance with that Regulation.
4.   Europol's use of information obtained from a search in SIS II or from the processing of supplementary information shall be subject to the consent of the issuing Member State. If the Member State allows the use of such information, its handling by Europol shall be governed by Regulation (EU) 2016/794. Europol shall only communicate such information to third countries and third bodies with the consent of the issuing Member State and in full compliance with Union law on data protection.
5.   Europol shall:
(a)
without prejudice to paragraphs 4 and 6, not connect parts of SIS II nor transfer the data contained in it to which it has access to any system for data collection and processing operated by or at Europol, nor download or otherwise copy any part of SIS II;
(b)
notwithstanding Article 31(1) of Regulation (EU) 2016/794, delete supplementary information containing personal data at the latest one year after the related alert has been deleted. By way of derogation, where Europol has information in its databases or operational analysis projects on a case to which the supplementary information is related, in order for Europol to perform its tasks, Europol may exceptionally continue to store the supplementary information when necessary. Europol shall inform the issuing and the executing Member State of the continued storage of such supplementary information and present a justification for it;
(c)
limit access to data in SIS II, including supplementary information, to specifically authorised staff of Europol who require access to such data for the performance of their tasks;
(d)
adopt and apply measures to ensure security, confidentiality and self-monitoring in accordance with Articles 10, 11 and 13;
(e)
ensure that its staff who are authorised to process SIS II data receive appropriate training and information in accordance with Article 14; and
(f)
without prejudice to Regulation (EU) 2016/794, allow the European Data Protection Supervisor to monitor and review the activities of Europol in the exercise of its right to access and search data in SIS II and in the exchange and processing of supplementary information.
6.   Europol shall only copy data from SIS II for technical purposes where such copying is necessary in order for duly authorised Europol staff to carry out a direct search. This Decision shall apply to such copies. The technical copy shall only be used for the purpose of storing SIS II data whilst those data are searched. Once the data have been searched they shall be deleted. Such uses shall not be considered to be unlawful downloading or copying of SIS II data. Europol shall not copy alert data or additional data issued by Member States or from CS-SIS II into other Europol systems.
7.   For the purpose of verifying the lawfulness of data processing, self-monitoring and ensuring proper data security and integrity, Europol shall keep logs of every access to and search in SIS II in accordance with the provisions of Article 12. Such logs and documentation shall not be considered to be unlawful downloading or copying of part of SIS II.
8.   Member States shall inform Europol through the exchange of supplementary information of any hit on alerts related to terrorist offences. Member States may exceptionally not inform Europol if doing so would jeopardise current investigations, the safety of an individual or be contrary to essential interests of the security of the issuing Member State.
9.   Paragraph 8 shall apply from the date that Europol is able to receive supplementary information in accordance with paragraph 1.
(
*1
)
  Regulation (EU) 2016/794 of the European Parliament and of the Council of 11 May 2016 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (
OJ L 135, 24.5.2016, p. 53
).’;"
(8)
the following Article is inserted:
‘Article 42a
Access to data in SIS II by the European Border and Coast Guard teams, teams of staff involved in return-related tasks, and members of the migration management support teams
1.   In accordance with Article 40(8) of Regulation (EU) 2016/1624 of the European Parliament and of the Council
 (
*2
)
, the members of the teams referred to in points (8) and (9) of Article 2 of that Regulation shall, within their mandate and provided that they are authorised to carry out checks in accordance with Article 40(1) of this Decision and have received the required training in accordance with Article 14 of this Decision, have the right to access and search data in SIS II insofar it is necessary for the performance of their task and as required by the operational plan for a specific operation. Access to data in SIS II shall not be extended to any other team members.
2.   Members of the teams referred to in paragraph 1 shall exercise the right to access and search data in SIS II in accordance with paragraph 1 through a technical interface. The technical interface shall be set up and maintained by the European Border and Coast Guard Agency and shall allow direct connection to Central SIS II.
3.   Where a search by a member of the teams referred to in paragraph 1 of this Article reveals the existence of an alert in SIS II, the issuing Member State shall be informed thereof. In accordance with Article 40 of Regulation (EU) 2016/1624, members of the teams shall only act in response to an alert in SIS II under instructions from and, as a general rule, in the presence of border guards or staff involved in return-related tasks of the host Member State in which they are operating. The host Member State may authorise members of the teams to act on its behalf.
4.   For the purpose of verifying the lawfulness of data processing, self-monitoring and ensuring proper data security and integrity, the European Border and Coast Guard Agency shall keep logs of every access to and search in SIS II in accordance with the provisions of Article 12.
5.   The European Border and Coast Guard Agency shall adopt and apply measures to ensure security, confidentiality and self-monitoring in accordance with Articles 10, 11 and 13 and shall ensure that the teams referred to in paragraph 1 of this Article apply those measures.
6.   Nothing in this Article shall be interpreted as affecting the provisions of Regulation (EU) 2016/1624 concerning data protection or the European Border and Coast Guard Agency's liability for any unauthorised or incorrect processing of data by it.
7.   Without prejudice to paragraph 2, no parts of SIS II shall be connected to any system for data collection and processing operated by the teams referred to in paragraph 1 or by the European Border and Coast Guard Agency, nor shall the data in SIS II to which those teams have access be transferred to such a system. No part of SIS II shall be downloaded or copied. The logging of access and searches shall not be considered to be unlawful downloading or copying of SIS II data.
8.   The European Border and Coast Guard Agency shall allow the European Data Protection Supervisor to monitor and review the activities of the teams referred to in this Article in the exercise of their right to access and search data in SIS II. This shall be without prejudice to the further provisions of Regulation (EU) 2018/1725 of the European Parliament and of the Council
 (
*3
)
.
(
*2
)
  Regulation (EU) 2016/1624 of the European Parliament and of the Council of 14 September 2016 on the European Border and Coast Guard and amending Regulation (EU) 2016/399 of the European Parliament and of the Council and repealing Regulation (EC) No 863/2007 of the European Parliament and of the Council, Council Regulation (EC) No 2007/2004 and Council Decision 2005/267/EC (
OJ L 251, 16.9.2016, p. 1
)."
(
*3
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).’."
Article 78
Repeal
Regulation (EC) No 1986/2006 and Decisions 2007/533/JHA and 2010/261/EU are repealed from the date of application of this Regulation as set out in the first subparagraph of Article 79(5).
References to the repealed Regulation (EC) No 1986/2006 and Decision 2007/533/JHA shall be construed as references to this Regulation and shall be read in accordance with the correlation tables in the Annex.
Article 79
Entry into force, start of operation and application
1.   This Regulation shall enter into force on the twentieth day following its publication in the 
Official Journal of the European Union
.
2.   No later than 28 December 2021 the Commission shall adopt a decision setting the date on which SIS operations start pursuant to this Regulation, after verification that the following conditions have been met:
(a)
the implementing acts necessary for the application of this Regulation have been adopted;
(b)
Member States have notified the Commission that they have made the necessary technical and legal arrangements to process SIS data and exchange supplementary information pursuant to this Regulation; and
(c)
eu-LISA has notified the Commission of the successful completion of all testing activities with regard to CS-SIS and to the interaction between CS-SIS and N.SIS.
3.   The Commission shall closely monitor the process of gradual fulfilment of the conditions set out in paragraph 2 and shall inform the European Parliament and the Council about the outcome of the verification referred to in that paragraph.
4.   By 28 December 2019 and every year thereafter until the decision of the Commission referred to in paragraph 2 has been taken, the Commission shall submit a report to the European Parliament and to the Council on the state of play of preparations for the full implementation of this Regulation. That report shall contain also detailed information about the costs incurred and information as to any risks which may impact the overall costs.
5.   This Regulation shall apply from the date determined in accordance with paragraph 2.
By way of derogation from the first subparagraph:
(a)
Article 4(4), Article 5, Article 8(4), Article 9(1) and (5), Article 12(8), Article 15(7), Article 19, Article 20(4) and (5), Article 26(6), Article 32(9), Article 34(3), Article 36(6), Article 38(3) and (4), Article 42(5), Article 43(4), Article 54(5), Article 62(4), Article 63(6), Article 74(7) and (10), Article 75, Article 76, points (1) to (5) of Article 77, and paragraphs 3 and 4 of this Article shall apply from the date of entry into force of this Regulation;
(b)
points (7) and (8) of Article 77 shall apply from 28 December 2019;
(c)
point 6 of Article 77 shall apply from 28 December 2020.
6.   The Commission decision referred to in paragraph 2 shall be published in the 
Official Journal of the European Union
.
This Regulation shall be binding in its entirety and directly applicable in the Member States in accordance with the Treaties.
Done at Brussels, 28 November 2018.
For the European Parliament
The President
A. TAJANI
For the Council
The President
K. EDTSTADLER
(
1
)
  Position of the European Parliament of 24 October 2018 (not yet published in the Official Journal) and decision of the Council of 19 November 2018.
(
2
)
  
            
OJ L 239, 22.9.2000, p. 19
.
(
3
)
  Council Regulation (EC) No 2424/2001 of 6 December 2001 on the development of the second generation Schengen Information System (SIS II) (
OJ L 328, 13.12.2001, p. 4
).
(
4
)
  Council Decision 2001/886/JHA of 6 December 2001 on the development of the second generation Schengen Information System (SIS II ) (
OJ L 328, 13.12.2001, p. 1
).
(
5
)
  Regulation (EC) No 1987/2006 of the European Parliament and of the Council of 20 December 2006 on the establishment, operation and use of the second generation Schengen Information system (SIS II) (
OJ L 381, 28.12.2006, p. 4
).
(
6
)
  Council Decision 2007/533/JHA of 12 June 2007 on the establishment, operation and use of the second generation Schengen Information system (SIS II) (
OJ L 205, 7.8.2007, p. 63
).
(
7
)
  Regulation (EU) 2018/1861 of the European Parliament and of the Council of 28 November 2018 on the establishment, operation and use of the Schengen Information System (SIS) in the field of border checks, and amending the Convention implementing the Schengen Agreement, and amending and repealing Regulation (EC) No 1987/2006 (see page 14 of this Official Journal).
(
8
)
  Regulation (EU) 2018/1726 of the European Parliament and of the Council of 14 November 2018 on the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), and amending Regulation (EC) No 1987/2006 and Council Decision 2007/533/JHA and repealing Regulation (EU) No 1077/2011 (
OJ L 295, 21.11.2018, p. 99
).
(
9
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
10
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
11
)
  Council Decision 2008/615/JHA of 23 June 2008 on the stepping up of cross-border cooperation, particularly in combating terrorism and cross-border crime (
OJ L 210, 6.8.2008, p. 1
)
(
12
)
  Council Decision 2008/616/JHA of 23 June 2008 on the implementation of Decision 2008/615/JHA on the stepping up of cross-border cooperation, particularly in combating terrorism and cross-border crime (
OJ L 210, 6.8.2008, p. 12
).
(
13
)
  Council Framework Decision 2002/584/JHA of 13 June 2002 on the European arrest warrant and the surrender procedures between Member States (
OJ L 190, 18.7.2002, p. 1
).
(
14
)
  Directive 2013/48/EU of the European Parliament and of the Council of 22 October 2013 on the right of access to a lawyer in criminal proceedings and in European arrest warrant proceedings, and on the right to have a third party informed upon deprivation of liberty and to communicate with third persons and with consular authorities while deprived of liberty (
OJ L 294, 6.11.2013, p. 1
).
(
15
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of individuals with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
16
)
  Regulation (EU) 2016/794 of the European Parliament and of the Council of 11 May 2016 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (
OJ L 135, 24.5.2016, p. 53
).
(
17
)
  
            
OJ L 56, 4.3.1968, p. 1
.
(
18
)
  Regulation (EU) 2016/1624 of the European Parliament and of the Council of 14 September 2016 on the European Border and Coast Guard and amending Regulation (EU) 2016/399 of the European Parliament and of the Council and repealing Regulation (EC) No 863/2007 of the European Parliament and of the Council, Council Regulation (EC) No 2007/2004 and Council Decision 2005/267/EC (
OJ L 251, 16.9.2016, p. 1
).
(
19
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission's exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
20
)
  
            
OJ L 123, 12.5.2016, p. 1
.
(
21
)
  Council Decision 2000/365/EC of 29 May 2000 concerning the request of the United Kingdom of Great Britain and Northern Ireland to take part in some of the provisions of the Schengen 
acquis
 (
OJ L 131, 1.6.2000, p. 43
).
(
22
)
  Council Decision 2002/192/EC of 28 February 2002 concerning Ireland's request to take part in some of the provisions of the Schengen 
acquis
 (
OJ L 64, 7.3.2002, p. 20
).
(
23
)
  
            
OJ L 176, 10.7.1999, p. 36
.
(
24
)
  Council Decision 1999/437/EC of 17 May 1999 on certain arrangements for the application of the Agreement concluded by the Council of the European Union and the Republic of Iceland and the Kingdom of Norway concerning the association of those two States with the implementation, application and development of the Schengen 
acquis
 (
OJ L 176, 10.7.1999, p. 31
).
(
25
)
  
            
OJ L 53, 27.2.2008, p. 52
.
(
26
)
  Council Decision 2008/149/JHA of 28 January 2008 on the conclusion on behalf of the European Union of the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation's association with the implementation, application and development of the Schengen 
acquis
 (
OJ L 53, 27.2.2008, p. 50
).
(
27
)
  
            
OJ L 160, 18.6.2011, p. 21
.
(
28
)
  Council Decision 2011/349/EU of 7 March 2011 on the conclusion on behalf of the European Union of the Protocol between the European Union, the European Community, the Swiss Confederation and the Principality of Liechtenstein on the accession of the Principality of Liechtenstein to the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation's association with the implementation, application and development of the Schengen 
acquis
, relating in particular to judicial cooperation in criminal matters and police cooperation (
OJ L 160, 18.6.2011, p. 1
).
(
29
)
  Council Decision 2010/365/EU of 29 June 2010 on the application of the provisions of the Schengen 
acquis
 relating to the Schengen Information System in the Republic of Bulgaria and Romania (
OJ L 166, 1.7.2010, p. 17
).
(
30
)
  Council Decision (EU) 2018/934 of 25 June 2018 on the putting into effect of the remaining provisions of the Schengen 
acquis
 relating to the Schengen Information System in the Republic of Bulgaria and Romania (
OJ L 165, 2.7.2018, p. 37
).
(
31
)
  Council Decision (EU) 2017/733 of 25 April 2017 on the application of the provisions of the Schengen 
acquis
 relating to the Schengen Information System in the Republic of Croatia (
OJ L 108, 26.4.2017, p. 31
).
(
32
)
  Regulation (EC) No 1986/2006 of the European Parliament and of the Council of 20 December 2006 regarding access to the Second Generation Schengen Information System (SIS II) by the services in the Member States responsible for issuing vehicle registration certificates (
OJ L 381, 28.12.2006, p. 1
).
(
33
)
  Commission Decision 2010/261/EU of 4 May 2010 on the Security Plan for Central SIS II and the Communication Infrastructure (
OJ L 112, 5.5.2010, p. 31
).
(
34
)
  Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data (
OJ L 8, 12.1.2001, p. 1
).
(
35
)
  Directive (EU) 2017/541 of the European Parliament and of the Council of 15 March 2017 on combating terrorism and replacing Council Framework Decision 2002/475/JHA and amending Council Decision 2005/671/JHA (
OJ L 88, 31.3.2017, p. 6
).
(
36
)
  Regulation (EU) 2016/399 of the European Parliament and of the Council of 9 March 2016 on a Union Code on the rules governing the movement of persons across borders (Schengen Borders Code) (
OJ L 77, 23.3.2016, p. 1
).
(
37
)
  Council Regulation (EU) No 1053/2013 of 7 October 2013 establishing an evaluation and monitoring mechanism to verify the application of the Schengen 
acquis
 and repealing the Decision of the Executive Committee of 16 September 1998 setting up a Standing Committee on the evaluation and implementation of Schengen (
OJ L 295, 6.11.2013, p. 27
).
(
38
)
  Directive 2013/32/EU of the European Parliament and of the Council of 26 June 2013 on common procedures for granting and withdrawing international protection (
OJ L 180, 29.6.2013, p. 60
).
(
39
)
  Council Regulation (EC) No 377/2004 of 19 February 2004 on the creation of an immigration liaison officers network (
OJ L 64, 2.3.2004, p. 1
).
(
40
)
  Council Directive 1999/37/EC of 29 April 1999 on the registration documents for vehicles (
OJ L 138, 1.6.1999, p. 57
).
(
41
)
  Regulation (EU) 2018/1727 of the European Parliament and of the Council of 14 November 2018 on the European Union Agency for Criminal Justice Cooperation (Eurojust), and replacing and repealing Council Decision 2002/187/JHA (
OJ L 295, 21.11.2018, p. 138
).
ANNEX
CORRELATION TABLE
Decision 2007/533/JHA
This Regulation
Article 1
Article 1
Article 2
Article 2
Article 3
Article 3
Article 4
Article 4
Article 5
Article 5
Article 6
Article 6
Article 7
Article 7
Article 8
Article 8
Article 9
Article 9
Article 10
Article 10
Article 11
Article 11
Article 12
Article 12
Article 13
Article 13
Article 14
Article 14
Article 15
Article 15
Article 16
Article 16
Article 17
Article 17
Article 18
Article 18
Article 19
Article 19
Article 20
Article 20
Article 21
Article 21
Article 22
Articles 42 and 43
Article 23
Article 22
—
Article 23
Article 24
Article 24
Article 25
Article 25
Article 26
Article 26
Article 27
Article 27
Article 28
Article 28
Article 29
Article 29
Article 30
Article 30
Article 31
Article 31
Article 32
Article 32
Article 33
Article 33
Article 34
Article 34
Article 35
Article 35
Article 36
Article 36
Article 37
Article 37
Article 38
Article 38
Article 39
Article 39
—
Article 40
—
Article 41
Article 40
Article 44
—
Article 45
—
Article 46
—
Article 47
Article 41
Article 48
Article 42
Article 49
—
Article 51
Article 42a
Article 50
Article 43
Article 52
Article 44
Article 53
Article 45
Article 54
—
Article 55
Article 46
Article 56
Article 47
Article 57
Article 48
Article 58
Article 49
Article 59
—
Article 60
Article 50
Article 61
Article 51
Article 62
Article 52
Article 63
Article 53
Article 64
Article 54
Article 65
Article 55
—
Article 56
—
Article 57
Article 66
Article 58
Article 67
Article 59
Article 68
Article 60
Article 69
Article 61
Article 70
Article 62
Article 71
Article 63
—
Article 64
Article 72
Article 65
Article 73
Article 66
Article 74
—
Article 75
Article 67
Article 76
Article 68
—
—
Article 77
Article 69
—
—
Article 78
Article 70
—
Article 71
Article 79
Regulation (EC) No 1986/2006
This Regulation
Articles 1, 2 and 3
Article 45

Summary:
A strengthened Schengen information system
SUMMARY OF:
Regulation (EU) 2018/1860 on the use of the Schengen information system for the return of illegally staying non-EU nationals
Regulation (EU) 2018/1861 on the establishment, operation and use of the Schengen information system in the field of border checks, and amending the convention implementing the Schengen Agreement
Regulation (EU) 2018/1862 on the establishment, operation and use of the Schengen information system in the field of police cooperation and judicial cooperation in criminal matters
WHAT IS THE AIM OF THE REGULATIONS?
The Schengen information system (SIS), created in 1995 following the abolition of internal border controls in the 
European Union
 (EU), is a large-scale database supporting external border control and law enforcement cooperation between member countries of the 
Schengen Agreement
 (currently 25 EU 
Member States
 and four associated countries).
The three regulations are designed to strengthen the SIS II – established in 2006 and operational since 2013 – particularly in light of 
migration and security challenges
. They replace the legislation laid down in Regulations (EC) Nos 
1986/2006
 and 
1987/2006
, and Decision 
2007/533/JHA
.
KEY POINTS
System architecture
The SIS consists of the following.
A 
central system
 (central SIS) with: 
a 
technical support function
 (CS-SIS), containing a database (SIS database) performing technical supervision and administrative functions, and a backup CS-SIS;
a 
uniform national interface
 (NI-SIS).
A 
national system
 (N.SIS) in each country to communicate with the central SIS, including at least one national or shared backup N.SIS. The N.SIS may contain a data file (a ‘national copy’) containing a complete or partial copy of the SIS database. It is not possible to search data files in another N.SIS, unless the country concerned has agreed to share the file.
A 
communication infrastructure
 between the CS-SIS, the backup CS-SIS and the NI-SIS provides an encrypted virtual network for SIS data and their exchange between the 
supplementary information request at the national entries (Sirene) Bureaux
.
The 
European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice
 (eu-LISA):
is responsible for the operational management of the central SIS;
performs maintenance work and technical developments necessary for the smooth running of the central SIS;
implements technical solutions to strengthen the uninterrupted availability of the central SIS;
in exceptional circumstances, may develop an additional copy of the SIS database;
publishes a list of the N.SIS offices and Sirene Bureaux.
The 
procedural rules
 of the SIS state the following.
Alerts
1
 should be kept in the SIS only for the time required to achieve the purpose for which they were entered.
Alerts must be reviewed within defined periods; the Member State may then decide to prolong them, otherwise they are automatically deleted. The review periods are: 
5 years
 for alerts on persons wanted for arrest, surrender or extradition purposes and missing persons who may or may not need to be placed under protection;
3 years
 for alerts on persons sought to assist with a judicial procedure, alerts on unknown wanted persons, alerts on return and alerts for refusal of entry and stay; however, if the national decision on which the alert on return or alert for refusal of entry and stay is based provides for a longer period of validity than 3 years, the alert shall be reviewed within 5 years;
1 year
 for alerts on children at risk, on vulnerable persons who need to be protected from travelling and on persons subject to discreet, inquiry or specific checks;
10 years
 for alerts on objects for specific checks or for seizure or use as evidence in criminal proceedings; the 
European Commission
 has adopted 
implementing acts
 to establish shorter review periods for certain categories of alerts on objects.
Categories of data to be entered into the system
 must be designed to help end users to identify a person and take decisions quickly. They must include the minimum set of data (surname, date of birth, reason for the alert and action to be taken), along with other data, such as type of offence, photographs and 
dactyloscopic
2
 information, if available.
The use of biometric and dactyloscopic data must respect 
EU law
 and 
fundamental rights
 and meet minimum quality standards and technical specifications.
A case must be 
adequate, relevant and sufficiently important
 to warrant an SIS alert; for example, an alert related to a terrorist offence meets these criteria.
Only the issuing Member State may modify, add to, correct, update or delete data in the SIS.
A country that considers acting on an alert that would be incompatible with its national law, international obligations or essential interests may attach a 
flag
3
 to the alert, which indicates that it will not take action on its territory.
Costs
The 
EU budget
 covers the operational, maintenance and development costs of the central SIS and the communication infrastructure.
Member States cover the operational, maintenance and development costs of their own N.SIS.
Main details of each regulation
Regulation (EU) 2018/1860
 strengthens the enforcement and effectiveness of the EU’s 
return policy
.
It lays down common conditions and procedures for entering and processing alerts and exchanging supplementary information on non-EU nationals subject to 
return decisions
4
.
It requires national authorities to enter alerts as soon as a return decision is taken.
It establishes categories of data to be included in the alert.
It establishes harmonised procedures for: 
confirmation of return – verification that a return decision has been complied with and, if not, notification given to the relevant authorities;
deletion of alerts to ensure there is no delay between the departure of a non-EU national and the activation of an entry ban, when relevant;
compulsory consultation between national authorities: 
before granting or extending a residence permit or long-stay visa for a non-EU national who is the subject of a return alert in another Member State that is accompanied by an entry ban,
before entering an alert on a return decision concerning a non-EU national who is the holder of a valid residence permit or long-stay visa granted by another Member State or when this emerges at a later stage.
Regulation (EU) 2018/1861
 covers the use of the SIS for 
entry bans
.
It establishes the conditions and procedures for entering and processing alerts and exchanges of 
supplementary information
5
 on non-EU nationals refused entry into or the right to stay in the EU.
It introduces categories of data to be included in the alert.
It introduces harmonised procedures for: 
compulsory entry of an alert when a non-EU national is refused entry or the right to stay because they pose a security threat or are subject to a restrictive order preventing entry into, or transit through, a Member State;
entering alerts on non-EU nationals who are beneficiaries of the right of free movement within the EU;
mandatory consultation between national authorities before granting or extending a residence permit or long-stay visa for a non-EU national refused the right of entry into or stay in another Member State or before or after entering an alert for refusal of entry and stay on a non-EU national who is the holder of a valid residence permit or long-stay visa granted by another Member State.
It guarantees non-EU nationals the right to be informed in writing if they are the subject of an alert.
Regulation (EU) 2018/1862
 improves and extends the use of the SIS for 
cooperation between police and judicial authorities
.
It establishes the conditions and procedures for entering and processing alerts in the SIS on wanted and missing persons and objects, and for exchanging supplementary information and data in police and judicial cooperation on criminal matters.
It covers procedures for alerts on: 
people wanted for arrest, surrender or extradition purposes;
missing persons;
vulnerable persons who need to be prevented from travelling, either for their own protection or to prevent a threat to public order or security;
children at risk, notably of abduction, trafficking or becoming involved in terrorism;
individuals being sought to assist with a judicial procedure as witnesses or because they have been summoned in connection with criminal proceedings;
unknown wanted persons whose identity is being sought;
discreet, specific and inquiry checks to prevent, detect, investigate or prosecute criminal offences, execute a criminal sentence or prevent threats to public security;
items to be seized or used as evidence in criminal proceedings, especially readily identifiable objects such as cars, boats, aircraft, firearms, identity documents and banknotes.
Information alerts on non-EU nationals
Regulation (EU) 2018/1862 also sets out rules regarding 
information alerts that target non-EU nationals
 suspected of being involved in 
terrorism and other serious crimes
 listed in Annex I to the 
European Union Agency for Law Enforcement Cooperation
 (Europol) regulation (Regulation (EU) 
2016/794
 – see 
summary
). This ensures that their movement can be monitored and that all relevant information about them is easily and immediately retrievable by law enforcement agencies in the Member States.
Member States
 may enter information alerts on non-EU nationals into the SIS in the interest of the EU, upon a proposal by Europol to enter an information alert on the basis of information received from the authorities of non-EU countries or international organisations. Europol must notify its data protection officer when it makes such a proposal.
Europol
 may propose that information alerts be entered into the SIS where it assesses that: 
there is a factual indication that a person intends to commit or is committing terrorist offences or other serious crimes; or
an overall assessment of a person, in particular on the basis of past criminal offences, gives reason to believe that that person may commit such an offence.
Before the information is entered into the SIS, Europol must ensure that the alert is 
necessary and justified
, that the information is 
reliable and accurate
 and that no other alert on the person concerned already exists in the system. It then passes on the information it holds on the particular case and the results of its assessment to the Member States and proposes that one or more Member State enter an information alert into the SIS. Member States must put in place the necessary procedures for entering, updating and deleting information alerts in the SIS.
The rights of data subjects
Individuals have the right to:
access data relating to them processed in the SIS;
correct inaccurate data;
bring an action before the courts or competent supervisory authorities to access, correct, erase, obtain information or obtain compensation in connection with an alert concerning them.
Member States
:
are committed to enforcing rulings on data protection rights;
report annually to the 
European Data Protection Board
 on the number of requests they receive to access data and correct inaccuracies, and the volume of court cases and their outcome.
Independent supervisory authorities
 monitor the legality of the national processing of personal data in the SIS; the 
European Data Protection Supervisor
 set up under Regulation (EU) 
2018/1725
 performs the same role for eu-LISA. The two cooperate to ensure coordinated supervision of the SIS.
Data processed in the SIS and related supplementary information may not be transferred or made available to non-EU countries or international organisations.
Regulation (EU) 2018/1725 applies to personal data processed by the 
European Border and Coast Guard Agency
, the 
European Union Agency for Criminal Justice Cooperation
 (Eurojust) and eu-LISA.
Regulation (EU) 
2016/679
 (see 
summary
) and Directive (EU) 
2016/680
 (see 
summary
) apply to personal data processed by national authorities and services.
The following authorities have access to data in the SIS.
National authorities
, which are responsible for: 
border control, police and customs checks;
prevention, detection, investigation or prosecution of terrorist acts or other serious criminal offences;
examining the conditions and taking decisions, including on residence permits and long-stay visas, on the entry, stay and return of non-EU nationals;
security checks on non-EU nationals applying for international protection;
examining visa applications (only for certain categories of alerts);
naturalisation decisions;
national judicial authorities, including those responsible for public prosecutions in criminal proceedings and judicial inquiries;
issuing registration certificates for vehicles, boats, aircraft and firearms.
The 
EU agencies
 below have the right to access and search SIS data when carrying out their responsibilities within their respective mandates. 
The European Border and Coast Guard Agency
 teams are involved in return-related tasks and 
migration management support teams
.
The European Union Agency for Criminal Justice Cooperation
 handles judicial cooperation in criminal matters.
Europol
 may access all data, not just some, as was previously the case. SIS member countries must inform the law enforcement agency of any hits or alerts relating to terrorist offences.
The abovementioned EU agencies inform the issuing Member State when a search reveals the existence of an alert. They may not connect parts of the SIS or transfer any of its data to their own systems.
The Commission evaluates the use these agencies make of the SIS every 5 years.
Responsibilities
Each 
SIS Member State
:
ensures the data are accurate, up to date and entered and stored in the SIS lawfully, and respects general data processing rules;
sets up, operates, maintains and develops its N.SIS according to common standards, protocols and technical procedures, and connects it to the NI-SIS;
ensures the uninterrupted availability of SIS data to end users;
transmits its alerts through its N.SIS;
designates an N.SIS office with central responsibility to ensure the smooth operation and security of its N.SIS, access to the SIS by the national authorities, overall compliance with the regulation and appropriate availability of the SIS for all end users;
appoints a national authority (the Sirene Bureau) to be a single contact point, which is operational at all times for the exchange and availability of all supplementary information on alerts, and to facilitate follow-up action;
adopts security, business continuity and disaster recovery plans to protect data and prevent unauthorised access;
applies professional secrecy and confidentiality rules, including close monitoring of external contractors; private companies and organisations are banned from operational management of the N.SIS;
keeps electronic logs, normally deleted after 3 years, on alerts and on the access and exchange of personal data to check whether the search was lawful and ensure data integrity and security;
operates a national SIS training programme for staff with access to the SIS on data security and fundamental rights, including data protection and data processing rules and regulations.
The 
Commission
:
adopts implementing and 
delegated
 acts on technical aspects of the SIS and updates them as necessary;
under Regulation (EU) 
2022/922
 (see 
summary
), has an overall coordinating role for the evaluation and monitoring mechanism that it implements with EU governments to ensure Schengen rules are fully applied nationally;
carries out an overall evaluation of the central SIS, the supplementary information exchange between national authorities, including an assessment of the automated fingerprint identification system, and the SIS information campaigns that will occur 3 years after the regulation becomes applicable and every 4 years thereafter.
eu-LISA
 is responsible for:
the central SIS
 and its operational management, including quality checks on the data it contains, and all the tasks necessary to ensure it functions every hour of every day of the year;
the communication infrastructure
 and its key aspects, notably supervision, security, coordination between member countries and providers, and budgetary and contractual issues;
relating to the 
Sirene Bureaux
, coordinating, managing and supporting testing activities, maintaining and updating technical specifications on supplementary information exchanges between the bureaux and the communication infrastructure and managing technical changes;
adopting the necessary measures to protect data and prevent unauthorised access or use, including security, business continuity and disaster recovery plans for the central SIS and the communication infrastructure;
applying professional secrecy and confidentiality rules, and maintaining electronic logs, under the same conditions as national authorities;
making publicly available via the 
Official Journal of the European Union
 a list of national authorities authorised to search for data in the SIS;
producing daily, monthly and annual statistics on the number of records per category of alerts, omitting any personal data and then making its reports public.
Information campaign
The Commission, in cooperation with supervisory authorities and the European Data Protection Supervisor, runs the campaign. This was launched when the legislation became applicable and will be repeated at regular intervals, to inform the public about: 
the aims of the SIS;
the data it holds;
the authorities with access to it;
the rights of the data subjects.
The Commission maintains a publicly available website with all relevant information on the SIS.
Member States, working with their supervisory authorities, must inform the public about the SIS.
FROM WHEN DO THE REGULATIONS APPLY?
The rules have come into application in successive stages in order to allow sufficient time for the necessary legal, operational and technical measures and arrangements to be put in place.
Under Implementing Decision (EU) 
2023/201
, the operations of the SIS pursuant to Regulations (EU) 2018/1861 and 2018/1862 commenced on 
7 March 2023
. Regulations (EU) 2018/1860, 2018/1861 and 2018/1862 are now fully applicable.
BACKGROUND
While based on different pieces of legislation, the SIS is a single system for sharing data and requests among its members.
It is the most widely used and largest security and border management information sharing system in Europe. In 2022, it was accessed more than 12 billion times and secured 263,452 hits on foreign alerts.
It operates in 31 European countries: all of the Member States and four Schengen-associated countries (Iceland, Liechtenstein, Norway and Switzerland). Further to Decision (EU) 
2023/870
, the SIS has been in operation in Cyprus since 
25 July 2023
.
KEY TERMS
Alert.
 A set of data enabling authorities to identify a person or object and act accordingly.
Dactyloscopic data.
 Data on palm prints and fingerprints.
Flag.
 Suspension of the validity of an alert at the national level that may be added to alerts for arrest, alerts on missing and vulnerable persons and alerts for discreet, inquiry and specific checks and to information alerts.
Return decision.
 A judicial or administrative decision on a non-EU national considered to be staying illegally who should return to their home country.
Supplementary information.
 Information not forming part of the alert data in the SIS, but connected to it.
MAIN DOCUMENTS
Regulation (EU) 
2018/1860
 of the European Parliament and of the Council of 
28 November 2018
 on the use of the Schengen Information System for the return of illegally staying third-country nationals (OJ L 312, 
7.12.2018
, 
pp. 1–13
).
Successive amendments to Regulation (EU) 2018/1860 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
Regulation (EU) 
2018/1861
 of the European Parliament and of the Council of 
28 November 2018
 on the establishment, operation and use of the Schengen Information System (SIS) in the field of border checks, and amending the Convention implementing the Schengen Agreement, and amending and repealing Regulation (EC) 
No 1987/2006
 (OJ L 312, 
7.12.2018
, 
pp. 14–55
).
See 
consolidated version
.
Regulation (EU) 
2018/1862
 of the European Parliament and of the Council of 
28 November 2018
 on the establishment, operation and use of the Schengen Information System (SIS) in the field of police cooperation and judicial cooperation in criminal matters, amending and repealing Council Decision 2007/533/JHA, and repealing Regulation (EC) 
No 1986/2006
 of the European Parliament and of the Council and Commission Decision 2010/261/EU (OJ L 312, 
7.12.2018
, 
pp. 56–106
).
See 
consolidated version
.
RELATED DOCUMENTS
Council Decision (EU) 
2023/870
 of 
25 April 2023
 on the application of the provisions of the Schengen acquis relating to the Schengen Information System in the Republic of Cyprus (OJ L 113, 
28.4.2023
, 
pp. 44–47
).
Council Regulation (EU) 
2022/922
 of 
9 June 2022
 on the establishment and operation of an evaluation and monitoring mechanism to verify the application of the Schengen acquis, and repealing Regulation (EU) 
No 1053/2013
 (OJ L 160, 
15.6.2022
, 
pp. 1–27
).
Regulation (EU) 
2018/1726
 of the European Parliament and of the Council of 
14 November 2018
 on the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), and amending Regulation (EC) 
No 1987/2006
 and Council Decision 2007/533/JHA and repealing Regulation (EU) 
No 1077/2011
 (OJ L 295, 
21.11.2018
, 
pp. 99–137
).
See 
consolidated version
.
Directive (EU) 
2017/541
 of the European Parliament and of the Council of 
15 March 2017
 on combating terrorism and replacing Council Framework Decision 2002/475/JHA and amending Council Decision 2005/671/JHA (OJ L 88, 
31.3.2017
, 
pp. 6–21
).
Regulation (EU) 
2016/399
 of the European Parliament and of the Council of 
9 March 2016
 on a Union Code on the rules governing the movement of persons across borders (Schengen Borders Code) (codification) (OJ L 77, 
23.3.2016
, 
pp. 1–52
).
See 
consolidated version
.
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, 
pp. 1–88
).
See 
consolidated version
.
Directive (EU) 
2016/680
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 
4.5.2016
, 
pp. 89–131
).
See 
consolidated version
.
Regulation (EU) 
2016/794
 of the European Parliament and of the Council of 
11 May 2016
 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (OJ L 135, 
24.5.2016
, 
pp. 53–114
).
See 
consolidated version
.
Directive 
2008/115/EC
 of the European Parliament and of the Council of 
16 December 2008
 on common standards and procedures in Member States for returning illegally staying third-country nationals (OJ L 348, 
24.12.2008
, 
pp. 98–107
).
The 
Schengen acquis
 as referred to in Article 1(2) of Council Decision 1999/435/EC of 
20 May 1999
 (OJ L 239, 
22.9.2000
, 
pp. 1–473
).
Council Decision 
1999/435/EC
 of 
20 May 1999
 concerning the definition of the Schengen acquis for the purpose of determining, in conformity with the relevant provisions of the Treaty establishing the European Community and the Treaty on European Union, the legal basis for each of the provisions or decisions which constitute the acquis (OJ L 176, 
10.7.1999
, 
pp. 1–16
).
last update 
26.2.2024

--- DANISH ---

Document:
7.12.2018
DA
Den Europæiske Unions Tidende
L 312/56
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2018/1862
af 28. november 2018
om oprettelse, drift og brug af Schengeninformationssystemet (SIS) på området politisamarbejde og strafferetligt samarbejde, om ændring og ophævelse af Rådets afgørelse 2007/533/RIA og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 1986/2006 og Kommissionens afgørelse 2010/261/EU
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 82, stk. 1, andet afsnit, litra d), artikel 85, stk. 1, artikel 87, stk. 2, litra a), og artikel 88, stk. 2, litra a),
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
efter den almindelige lovgivningsprocedure 
(
1
)
, og
ud fra følgende betragtninger:
(1)
Schengeninformationssystemet (SIS) udgør et væsentligt redskab for anvendelsen af bestemmelserne i Schengenreglerne som integreret i Den Europæiske Union. SIS er en af de vigtigste kompenserende foranstaltninger, der bidrager til at opretholde et højt sikkerhedsniveau inden for Unionens område med frihed, sikkerhed og retfærdighed ved at støtte det operationelle samarbejde mellem nationale kompetente myndigheder, navnlig grænsevagter, politiet, toldmyndigheder, immigrationsmyndigheder og myndigheder med ansvar for at forebygge, afsløre, efterforske eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner.
(2)
SIS blev oprindelig oprettet i medfør af bestemmelserne i afsnit IV i konventionen af 19. juni 1990 om gennemførelse af Schengenaftalen af 14. juni 1985 mellem regeringerne for staterne i Den Økonomiske Union Benelux, Forbundsrepublikken Tyskland og Den Franske Republik om gradvis ophævelse af kontrollen ved de fælles grænser 
(
2
)
 (Schengengennemførelseskonventionen). Kommissionen fik til opgave at udvikle anden generation af SIS (SIS II) i henhold til Rådets forordning (EF) nr. 2424/2001 
(
3
)
 og Rådets afgørelse 2001/886/RIA 
(
4
)
. Det blev senere oprettet ved Europa-Parlamentets og Rådets forordning (EF) nr. 1987/2006 
(
5
)
 og Rådets afgørelse 2007/533/RIA 
(
6
)
. SIS II erstattede det ved Schengengennemførelseskonventionen indførte SIS.
(3)
Tre år efter idriftsættelsen af SIS II foretog Kommissionen en evaluering af systemet i overensstemmelse med forordning (EF) nr. 1987/2006 og afgørelse 2007/533/RIA. Den 21. december 2016 forelagde Kommissionen Europa-Parlamentet og Rådet rapporten om evalueringen af anden generation af Schengeninformationssystemet (SIS II) i overensstemmelse med artikel 24, stk. 5, artikel 43, stk. 3, og artikel 50, stk. 5, i forordning (EF) nr. 1987/2006 samt artikel 59, stk. 3, og artikel 66, stk. 5, i afgørelse 2007/533/RIA og et ledsagende arbejdsdokument. Anbefalingerne i disse dokumenter bør afspejles i nærværende forordning, når det er relevant.
(4)
Denne forordning udgør retsgrundlaget for SIS for så vidt angår forhold, der er omfattet af anvendelsesområdet for tredje del, afsnit V, kapitel 4 og 5, i traktaten om Den Europæiske Unions funktionsmåde (TEUF). Europa-Parlamentets og Rådets forordning (EU) 2018/1861 
(
7
)
 udgør retsgrundlag for SIS for så vidt angår forhold, der er omfattet af anvendelsesområdet for tredje del, afsnit V, kapitel 2, i traktaten om Den Europæiske Unions funktionsmåde.
(5)
Det forhold, at retsgrundlag for SIS består af særskilte instrumenter, berører ikke princippet om, at SIS udgør ét enkelt informationssystem, der bør fungere som sådant. Det bør omfatte et enkelt netværk af nationale kontorer, der betegnes SIRENE-kontorerne, til sikring af udveksling af supplerende oplysninger. Visse bestemmelser i disse instrumenter bør derfor være identiske.
(6)
Det er nødvendigt at specificere målene for SIS, visse elementer af systemets tekniske arkitektur og dets finansiering, at fastsætte bestemmelser vedrørende »end-to-end«-driften og -brugen af systemet samt at fastlægge ansvarsfordelingen. Det er også nødvendigt at fastlægge de kategorier af oplysninger, der skal indlæses i systemet, formålene med indlæsningen og behandlingen af disse oplysninger og kriterierne for indlæsningen af dem. Regler er også nødvendige for at regulere sletning af indberetninger, de myndigheder, der har adgang til oplysningerne, brugen af biometriske data og for at fastlægge nærmere bestemmelser om databeskyttelse og databehandling.
(7)
Indberetninger i SIS- indeholder kun de oplysninger, der er nødvendige til at identificere en person eller en genstand og for de handlinger, der skal foretages. Medlemsstaterne bør derfor udveksle supplerende oplysninger i forbindelse med indberetninger, hvor det er påkrævet.
(8)
SIS omfatter et centralt system (det centrale SIS) og nationale systemer. De nationale systemer kan indeholde en fuldstændig eller delvis kopi af SIS-databasen, som to eller flere medlemsstater kan være fælles om. Da SIS er det vigtigste instrument til udveksling af oplysninger i Europa med henblik på at garantere sikkerhed og effektiv grænsestyring, er det nødvendigt at sikre en uafbrudt drift af systemet på både centralt og nationalt plan. SIS' tilgængelighed bør være underlagt tæt overvågning på centralt plan og medlemsstatsplan, og ethvert tilfælde af manglende tilgængelighed for slutbrugerne bør registreres og indberettes til de interesserede parter på nationalt plan og EU-plan. Hver enkelt medlemsstat bør foretage backup af sit nationale system. Medlemsstaterne bør også sikre uafbrudt konnektivitet med det centrale SIS ved hjælp af duplikerede og fysisk og geografisk adskilte forbindelsespunkter. Det centrale SIS og kommunikationsinfrastrukturen bør drives, så det sikres, at de fungerer døgnet rundt alle ugens dage. Derfor bør Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (»eu-LISA«), som er oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2018/1726 
(
8
)
, gennemføre tekniske løsninger for at styrke uafbrudt adgang til SIS, med forbehold af en uafhængig konsekvensanalyse og cost-benefit-analyse.
(9)
Det er nødvendigt at have en ajourført håndbog med detaljerede regler om udvekslingen af supplerende oplysninger om de handlinger, der skal foretages som følge af indberetningerne (»SIRENE-håndbogen«). SIRENE-kontorerne bør sikre, at udvekslingen af sådanne oplysninger sker hurtigt og effektivt.
(10)
For løbende at sikre en effektiv udveksling af supplerende oplysninger, herunder om de handlinger, der ifølge indberetningerne skal foretages, er det hensigtsmæssigt at styrke SIRENE-kontorernes funktion ved at specificere kravene med hensyn til de disponible ressourcer og brugeruddannelse og svartiden ved forespørgsler fra andre SIRENE-kontorer.
(11)
Medlemsstaterne bør sikre, at personalet i deres SIRENE-kontorer har de sproglige færdigheder og det kendskab til relevant ret og proceduremæssige regler, der er nødvendigt for at varetage deres opgaver.
(12)
For at være i stand til fuldt ud at nyde gavn af SIS' funktioner bør medlemsstaterne sikre, at SIRENE-kontorernes slutbrugere og personale regelmæssigt modtager uddannelse, herunder i datasikkerhed, databeskyttelse og datakvalitet. SIRENE-kontorerne bør inddrages i arbejdet med at udvikle uddannelsesprogrammer. SIRENE-kontorerne bør så vidt muligt også foretage udveksling af personale med andre SIRENE-kontorer mindst én gang om året. Medlemsstaterne tilskyndes til at træffe passende foranstaltninger for at undgå tab af kvalifikationer og erfaring i forbindelse med personaleomsætning.
(13)
Den operationelle forvaltning af de centrale dele af SIS forestås af eu-LISA. For at gøre det muligt for eu-LISA at afsætte de fornødne økonomiske og personalemæssige ressourcer til at dække alle aspekter af den operationelle forvaltning af det centrale SIS og kommunikationsinfrastrukturen bør dets opgaver fastsættes nærmere i denne forordning, navnlig hvad angår de tekniske aspekter ved udvekslingen af supplerende oplysninger.
(14)
Uden at det berører medlemsstaternes ansvar for, at de oplysninger, der indlæses i SIS, er korrekte, og SIRENE-kontorernes rolle som kvalitetskoordinatorer, bør eu-LISA være ansvarligt for at højne datakvaliteten ved at indføre et centralt redskab til overvågning af datakvaliteten og bør jævnligt forelægge Kommissionen og medlemsstaterne rapporter. Kommissionen bør aflægge rapport for Europa-Parlamentet og Rådet vedrørende de konstaterede datakvalitetsproblemer. For yderligere at forbedre kvaliteten af oplysningerne i SIS bør eu-LISA også tilbyde uddannelse i brugen af SIS til de nationale uddannelsesinstitutioner og, så vidt muligt, SIRENE-kontorerne og slutbrugerne.
(15)
For at muliggøre en bedre overvågning af brugen af SIS til at analysere tendenser vedrørende strafbare handlinger bør eu-LISA kunne udvikle midler svarende til det aktuelle tekniske niveau til statistisk rapportering til medlemsstaterne, Europa-Parlamentet, Rådet, Kommissionen, Europol, Eurojust og Det Europæiske Agentur for Grænse- og Kystbevogtning uden at bringe dataintegriteten i fare. Der bør derfor oprettes et centralt register. Statistikker, der opbevares i eller indhentes fra nævnte register, bør ikke indeholde. Medlemsstaterne bør fremsende statistikker vedrørende udøvelse af retten til adgang, berigtigelse af ukorrekte oplysninger og sletning af ulovligt lagrede oplysninger inden for rammerne af samarbejde mellem tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse i medfør af denne forordning.
(16)
Der bør indføres nye datakategorier i SIS for at gøre det muligt for slutbrugerne at træffe velfunderede afgørelser på grundlag af en indberetning uden at miste tid. For at lette identifikationen af personer og afsløre personer med flere identiteter bør indberetningen desuden, hvis sådanne oplysninger foreligger, indeholde en henvisning til den berørte persons personlige identitetsdokument eller dets nummer og en kopi af dokumentet, så vidt muligt en farvekopi.
(17)
De kompetente myndigheder bør, hvis det er strengt nødvendigt, kunne indlæse specifikke oplysninger i SIS om en persons eventuelle særlige fysiske kendetegn af objektiv og blivende karakter, såsom tatoveringer, mærker eller ar.
(18)
Når der oprettes en indberetning, bør alle relevante oplysninger, navnlig den berørte persons fornavn, angives, hvis de er til rådighed, for at minimere risikoen for falske hit og unødige driftsaktiviteter.
(19)
SIS bør ikke lagre nogen oplysninger, der anvendes til at foretage søgninger, med undtagelse af logfiler for at kontrollere, hvorvidt søgning er lovlig, for at overvåge databehandlingens lovlighed, til egenkontrol og for at sikre, at det nationale system fungerer korrekt, samt med henblik på dataintegritet og -sikkerhed.
(20)
SIS bør gøre det muligt at behandle biometriske data for at sikre en pålidelig identifikation af de pågældende personer. Indlæsning af fotografier, ansigtsbilleder eller fingeraftryksoplysninger i SIS og enhver anvendelse af sådanne oplysninger bør være begrænset til, hvad der er nødvendigt for at nå de tilsigtede mål, bør være tilladt i henhold til EU-retten, bør overholde de grundlæggende rettigheder, herunder barnets tarv, og bør være i overensstemmelse med EU-retten om databeskyttelse, herunder de relevante bestemmelser om databeskyttelse, der er fastsat i denne forordning. For at undgå ubehageligheder på grund af fejlidentifikation bør SIS af samme grund også gøre det muligt at behandle oplysninger vedrørende personer, hvis identitet er blevet misbrugt, med forbehold af passende sikkerhedsforanstaltninger, indhentning af den berørte persons samtykke for hver enkelt datakategori, navnlig håndfladeaftryk, og strenge begrænsninger af de formål, hvortil sådanne personoplysninger lovligt kan behandles.
(21)
Medlemsstaterne bør træffe de nødvendige tekniske foranstaltninger for at sikre, at slutbrugerne, hver gang de har ret til at foretage en søgning i en af de nationale politi- eller immigrationsmyndigheders databaser, samtidig også søger i SIS med forbehold af de principper, der er fastsat i artikel 4 i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
9
)
 og artikel 5 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
10
)
. Det bør sikre, at SIS fungerer som den vigtigste kompenserende foranstaltning inden for området uden kontrol ved de indre grænser og i højere grad bidrager til at bekæmpe den grænseoverskridende dimension af kriminalitet og kriminelles mobilitet.
(22)
Denne forordning bør fastsætte betingelserne for anvendelsen af fingeraftryksoplysninger, fotografier og ansigtsbilleder med henblik på identifikation og verifikation. Ansigtsbilleder og fotografier med henblik på identifikation bør i første omgang kun anvendes ved almindelige grænseovergangssteder. Sådan anvendelse bør gøres til genstand for en rapport fra Kommissionen, hvori det bekræftes, at teknologien er tilgængelig, pålidelig og umiddelbart anvendelig.
(23)
Indførelsen af en automatiseret fingeraftryksidentifikationstjeneste i SIS supplerer den eksisterende Prümmekanisme om gensidig grænseoverskridende onlineadgang til bestemte nationale DNA-databaser og elektroniske fingeraftryksidentifikationssystemer, jf. Rådets afgørelse 2008/615/RIA 
(
11
)
 og 2008/616/RIA 
(
12
)
. En fingeraftrykssøgning i SIS gør det muligt aktivt at søge efter gerningsmanden. Det bør derfor være muligt at indlæse fingeraftryksoplysninger fra en ukendt gerningsmand i SIS, forudsat at disse oplysninger stammer fra en person, der med meget stor sandsynlighed kan identificeres som gerningsmanden til grov kriminalitet eller en terrorhandling. Det er navnlig tilfældet, hvis fingeraftryksoplysningerne findes på et våben eller en anden genstand, der er blevet brugt til lovovertrædelsen. Alene det forhold, at der findes fingeraftryksoplysninger på gerningsstedet, bør ikke anses som værende et udtryk for, at der er meget stor sandsynlighed for, at fingeraftryksoplysningerne stammer fra gerningsmanden. En anden forudsætning for at oprette en sådan indberetning bør være, at det ikke er muligt at fastslå den mistænktes identitet ved hjælp af andre relevante nationale databaser, EU-databaser eller internationale databaser. Hvis en fingeraftrykssøgning fører til et potentielt match, bør medlemsstaten foretage yderligere kontrol med inddragelse af eksperter for at fastslå, om fingeraftrykkene i SIS stammer fra den mistænkte, og fastslå personens identitet. Proceduren bør være med forbehold af national ret. En sådan identifikation kan i væsentlig grad bidrage til efterforskningen og kan føre til anholdelse, forudsat at alle betingelser for en anholdelse er opfyldt.
(24)
Det bør være tilladt at søge på fingeraftryksoplysninger i SIS med fuldstændige eller ufuldstændige sæt af fingeraftryk eller håndfladeaftryk, der er fundet på et gerningssted, hvis det med en høj grad af sandsynlighed kan fastslås, at de tilhører en gerningsmand til grov kriminalitet eller en terrorhandling, såfremt en søgning foretages samtidigt i de relevante nationale fingeraftryksdatabaser. Der bør lægges særlig vægt på fastlæggelse af kvalitetsstandarder for lagring af biometriske data, herunder latente fingeraftryksoplysninger.
(25)
Hvis en persons identitet ikke kan fastslås på anden måde, bør fingeraftryksoplysninger anvendes for at forsøge at fastslå identiteten. Det bør i alle tilfælde være tilladt at identificere en person ved hjælp af fingeraftryksoplysninger.
(26)
Det bør være muligt at tilføje en DNA-profil til en indberetning i klart definerede tilfælde, hvor der ikke foreligger fingeraftryksoplysninger. Kun autoriserede brugere bør have adgang til denne DNA-profil. DNA-profiler bør gøre det lettere at identificere savnede personer, der har brug for beskyttelse, navnlig savnede børn, herunder ved at tillade brugen af DNA-profiler fra slægtninge i opstigende linje, efterkommere eller søskende for at muliggøre identifikationen. DNA-oplysninger bør kun indeholde det minimum af oplysninger, der er nødvendigt til identifikation af den savnede person.
(27)
DNA-profiler bør kun hentes fra SIS, hvor identifikation er nødvendig og forholdsmæssig med henblik på denne forordning. DNA-profiler bør ikke hentes eller behandles til andre formål end dem, hvortil de blev indlæst i SIS. Reglerne om databeskyttelse og -sikkerhed i denne forordning bør finde anvendelse. Der bør om nødvendigt indføres yderligere sikkerhedsforanstaltninger, når der anvendes DNA-profiler, med henblik på at undgå risiko for forkerte match, hacking og uautoriseret deling med tredjeparter.
(28)
SIS bør indeholde indberetninger om eftersøgte personer, der begæres anholdt med henblik på overgivelse eller udlevering. Ud over indberetninger er det hensigtsmæssigt at give mulighed for udveksling via SIRENE-kontorerne af supplerende oplysninger, der er nødvendige for overgivelses- og udleveringsprocedurerne. Navnlig bør de oplysninger, der er omhandlet i artikel 8 i Rådets rammeafgørelse 2002/584/RIA 
(
13
)
, behandles i SIS. Af operationelle årsager er det hensigtsmæssigt for den indberettende medlemsstat at gøre en eksisterende indberetning med henblik på anholdelse midlertidigt utilgængelig, efter at de judicielle myndigheder har godkendt dette, når en person, der er omfattet af en europæisk arrestordre, intensivt og aktivt eftersøges, og slutbrugere, der ikke er involveret i den konkrete eftersøgning, kan påvirke eftersøgningen negativt. Sådanne indberetninger bør i princippet højst være midlertidigt utilgængelige i 48 timer.
(29)
Det bør være muligt i SIS at tilføje en oversættelse af de uddybende oplysninger, der er indlæst med henblik på overgivelse inden for rammerne af den europæiske arrestordre og med henblik på udlevering.
(30)
SIS bør omfatte indberetninger om savnede personer eller om sårbare personer, der har behov for at blive forhindret i at rejse, for at sikre beskyttelsen af dem eller forhindre trusler mod den offentlige sikkerhed eller den offentlige orden. I tilfælde af børn bør disse indberetninger og de tilsvarende procedurer tjene barnets tarv i overensstemmelse med artikel 24 i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 3 i FN-konventionen om barnets rettigheder af 20. november 1989. Handlinger og afgørelser, der træffes af de kompetente myndigheder, herunder de judicielle myndigheder, efter en indberetning vedrørende et barn, bør træffes i samarbejde med myndigheder med ansvar for beskyttelse af børn. Den nationale hotline for savnede børn bør underrettes, hvor det er relevant.
(31)
Indberetninger om savnede personer, der har brug for at blive taget i varetægt, bør indlæses på anmodning af den kompetente myndighed. Alle børn, der er forsvundet fra modtagelsesfaciliteter i medlemsstaterne, bør være genstand for en indberetning om savnede personer i SIS.
(32)
Indberetninger om børn, der er i fare for at blive bortført af en af deres forældre, bør indlæses i SIS på anmodning af de kompetente myndigheder, herunder de judicielle myndigheder, der har kompetence i sager vedrørende forældreansvar i henhold til national ret. Der bør kun indlæses indberetninger vedrørende børn, der er i fare for at blive bortført af en af deres forældre, hvis risikoen er konkret og åbenbar og i begrænsede tilfælde. Det er derfor nødvendigt at fastsætte strenge og fornødne sikkerhedsforanstaltninger. Ved vurderingen af, om der foreligger en konkret og åbenbar risiko for, at et barn umiddelbart og ulovligt kan blive fjernet fra en medlemsstat, bør den kompetente myndighed tage hensyn til barnets personlige forhold og omgivende miljø.
(33)
Denne forordning bør indføre en ny kategori af indberetninger for visse kategorier af sårbare personer, der har behov for at blive forhindret i at rejse. Personer, som på grund af alder, handicap eller familiemæssige forhold kræver beskyttelse, bør betragtes som sårbare.
(34)
Indberetninger om børn, som har behov for at blive forhindret i at rejse af hensyn til deres egen beskyttelse, bør indlæses i SIS, hvis der er en konkret og åbenbar risiko for, at de fjernes fra eller forlader en medlemsstats område. Sådanne indberetninger bør indlæses, hvis det at rejse ville bringe dem i fare for at blive ofre for menneskehandel eller tvangsægteskab, kvindelig kønslemlæstelse eller andre former for kønsbaseret vold, for at blive ofre for eller involveret i terrorhandlinger, for at blive indkaldt til eller deltage i væbnede grupper eller blive tvunget til aktiv deltagelse i fjendtligheder.
(35)
Indberetninger om sårbare voksne, som har behov for at blive forhindret i at rejse af hensyn til deres egen beskyttelse, bør indlæses, hvis det at rejse vil bringe dem i fare for at blive ofre for menneskehandel eller kønsbaseret vold.
(36)
For at sikre strenge og fornødne sikkerhedsforanstaltninger bør indberetninger om børn eller andre sårbare personer, som har behov for at blive forhindres i at rejse, når dette kræves i henhold til national ret, indlæses i SIS efter afgørelse fra en judiciel myndighed eller afgørelse fra en kompetent myndighed, der er stadfæstet af en judiciel myndighed.
(37)
Der bør indføres en ny handling for at gøre det mulig at stoppe og udspørge en person med henblik på at den indberettende medlemsstat får uddybende oplysninger. Denne handling bør foretages i tilfælde, hvor en person på grundlag af et tydeligt tegn mistænkes for at have til hensigt at begå eller for at have begået en af de lovovertrædelser, der er omhandlet i artikel 2, stk. 1 og 2, i rammeafgørelse 2002/584/RIA, hvor yderligere oplysninger er nødvendige for at fuldbyrde en frihedsstraf eller en frihedsberøvende foranstaltning over for en person, der er dømt for en af de lovovertrædelser, der er omhandlet i artikel 2, stk. 1 og 2, i rammeafgørelse 2002/584/JHA, eller, hvor der er grund til at antage, at den pågældende vil begå en af disse lovovertrædelser. Denne handling, som skal foretages, bør heller ikke berøre eksisterende mekanismer for gensidig retshjælp. Den bør give tilstrækkelige oplysninger til at træffe afgørelse om yderligere handlinger. Denne nye handling bør ikke indebære, at den pågældende kropsvisiteres eller anholdes. Mistænktes og tiltaltes proceduremæssige rettigheder i henhold til EU-retten og national ret bør opretholdes, herunder retten til advokatbistand i overensstemmelse med Europa-Parlamentets og Rådets direktiv 2013/48/EU 
(
14
)
.
(38)
I tilfælde af indberetninger om genstande, der skal beslaglægges eller anvendes som bevismateriale i straffesager, bør de pågældende genstande beslaglægges i overensstemmelse med national ret, der fastlægger, om og på hvilke betingelser en genstand skal beslaglægges, navnlig hvis den er i sin retmæssige ejers besiddelse.
(39)
SIS bør indeholde nye kategorier af genstande af høj værdi såsom informationsteknologisk udstyr, som kan identificeres og eftersøges ved hjælp af et unikt identifikationsnummer.
(40)
For så vidt angår indberetninger, der er indlæst i SIS vedrørende dokumenter om beslaglæggelse eller til anvendelse som bevismidler i straffesager, bør begrebet »falsk« fortolkes som omfattende både falske og forfalskede dokumenter.
(41)
Det bør være muligt for en medlemsstat at indsætte en anmærkning, en såkaldt påtegning, på en indberetning om, at de handlinger, der skal foretages på grundlag af indberetningen, ikke vil blive foretaget på dens område. Når der indlæses indberetninger for anholdelse med henblik på overgivelse, bør intet i denne forordning opfattes således, at det fraviger eller hindrer anvendelsen af bestemmelserne i rammeafgørelse 2002/584/RIA. Beslutningen om at indsætte en påtegning på en indberetning med henblik på ikke at fuldbyrde en europæisk arrestordre bør kun baseres på de grunde til afslag, der er fastsat i nævnte rammeafgørelse.
(42)
Når der på en indberetning er blevet indsat en påtegning, og opholdsstedet for den person, der begæres anholdt med henblik på overgivelse, bliver kendt, bør personens opholdssted altid meddeles den indberettende judicielle myndighed, som kan beslutte at fremsende en europæisk arrestordre til den kompetente judicielle myndighed i overensstemmelse med bestemmelserne i rammeafgørelse 2002/584/RIA.
(43)
Det bør være muligt for medlemsstaterne at sammenkoble indberetninger i SIS. Det forhold, at to eller flere indberetninger sammenkobles, bør ikke have indflydelse på de handlinger, der skal foretages, undersøgelsesfristen for indberetninger eller adgangen til indberetningerne.
(44)
Indberetninger bør ikke opbevares længere i SIS, end det er nødvendigt af hensyn til de specifikke formål, der lå til grund for, at de blev indlæst. Undersøgelsesfristerne for forskellige indberetningskategorier bør være passende i forhold til deres formål. Indberetninger om genstande, der er knyttet til en indberetning om en person, bør kun opbevares, så længe indberetningen om den pågældende person opbevares. Beslutningerne om at opbevare indberetninger om personer bør baseres på en samlet individuel vurdering. Medlemsstaterne bør undersøge indberetninger om personer og genstande inden for de fastsatte undersøgelsesfrister og bør føre statistik over antallet af indberetninger, for hvilke opbevaringsfristen er blevet forlænget.
(45)
Ved indlæsning af en indberetning i SIS og forlængelse af udløbsdatoen for en indberetning i SIS bør den fornødne proportionalitet sikres, herunder ved undersøgelse af, om en konkret sag er egnet, relevant og vigtig nok til at retfærdiggøre, at der indlæses en indberetning i SIS. Når det drejer sig om terrorhandlinger, bør sagen anses for at være egnet, relevant og vigtig nok til at retfærdiggøre en indberetning i SIS. Af hensyn til den offentlige eller nationale sikkerhed bør medlemsstaterne undtagelsesvis kunne undlade at indlæse en indberetning i SIS, når det er sandsynligt at dette kan hindre officielle eller retlige undersøgelser, efterforskninger eller procedurer.
(46)
Det er nødvendigt at fastsætte regler om sletning af indberetninger. En indberetning bør kun opbevares i det tidsrum, det er nødvendigt af hensyn til det formål, der lå til grund for, at den blev indlæst. I lyset af medlemsstaternes forskelligartede praksis for fastsættelsen af det tidspunkt, hvor en indberetning har opfyldt sit formål, er det hensigtsmæssigt at fastsætte detaljerede kriterier for hver indberetningskategori for at fastslå, hvornår en indberetning skal slettes.
(47)
SIS-oplysningernes integritet er af allerstørste betydning. Derfor bør der fastsættes fornødne sikkerhedsforanstaltninger ved behandling af SIS-oplysninger på centralt og nationalt plan for at sikre oplysningernes »end-to-end«-sikkerhed. De myndigheder, der er involveret i databehandling, bør være underlagt sikkerhedskravene i denne forordning og en ensartet procedure for rapportering af hændelser. Deres medarbejdere bør være korrekt uddannet til formålet og være underrettet om alle lovovertrædelser og strafferetlige sanktioner i forbindelse hermed.
(48)
Oplysninger, der er behandlet i SIS, og de tilknyttede supplerende oplysninger, der er udvekslet i henhold til denne forordning, bør ikke overføres eller stilles til rådighed for tredjelande eller internationale organisationer.
(49)
Det er hensigtsmæssigt at give de tjenester, der er ansvarlige for registrering af køretøjer, skibe og luftfartøjer, adgang til SIS, således at de kan kontrollere, om det pågældende transportmiddel er eftersøgt i medlemsstaterne med henblik på beslaglæggelse. Det er ligeledes hensigtsmæssigt at give de tjenester, der er ansvarlige for registrering af våben, adgang til SIS, således at de kan kontrollere, om det berørte våben allerede er eftersøgt i medlemsstaterne med henblik på beslaglæggelse, eller om der findes en indberetning vedrørende den person, der ansøger om registreringen.
(50)
Der bør kun gives direkte adgang til SIS for kompetente statslige tjenester. Denne adgang bør begrænses til indberetninger vedrørende de respektive transportmidler og deres registreringsattest eller nummerplade eller våben og de personer, der ansøger om registrering heraf. Ethvert hit i SIS bør indberettes af sådanne tjeneste til politimyndighederne, som bør foretage yderligere handlinger i overensstemmelse med den konkrete indberetning i SIS og underrette den indberettende medlemsstat om hittet via SIRENE-kontorerne.
(51)
Uden at dette berører de mere specifikke regler i denne forordning, bør de nationale love og administrative bestemmelser, der vedtages i henhold til direktiv (EU) 2016/680, finde anvendelse på behandling, herunder indsamling og videregivelse, af personoplysninger, der i medfør af denne forordning foretages af nationale kompetente myndigheder med henblik på at forebygge, afsløre, efterforske eller retsforfølge terrorhandlinger eller andre alvorlige strafbare handlinger eller fuldbyrde strafferetlige sanktioner. Adgang til oplysninger, der indlæses i SIS, og ret til at søge i disse oplysninger for nationale kompetente myndigheder med ansvar for at forebygge, afsløre, efterforske eller retsforfølge terrorhandlinger eller andre alvorlige strafbare handlinger eller for at fuldbyrde strafferetlige sanktioner skal være underlagt alle relevante bestemmelser i denne forordning samt i direktiv (EU) 2016/680 som gennemført i national ret og navnlig tilsyn ført af de tilsynsmyndigheder, der er omhandlet i direktiv (EU) 2016/680.
(52)
Uden at dette berører de mere specifikke regler i denne forordning om behandling af personoplysninger, bør forordning (EU) 2016/679 finde anvendelse på medlemsstaternes behandling af personoplysninger i medfør af nærværende forordning, medmindre en sådan behandling foretages af nationale kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge terrorhandlinger eller andre alvorlige strafbare handlinger.
(53)
Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
15
)
 bør finde anvendelse på behandling af personoplysninger, der foretages af Unionens institutioner og organer, når de varetager deres opgaver i medfør af nærværende forordning.
(54)
Europa-Parlamentets og Rådets forordning (EU) 2016/794 
(
16
)
 bør finde anvendelse på Europols behandling af personoplysninger i medfør af nærværende forordning.
(55)
I tilfælde, hvor søgninger foretaget i SIS af de nationale medlemmer af Eurojust og de personer, der bistår dem, viser, at der findes en indberetning indlæst af en medlemsstat, kan Eurojust ikke foretage de påkrævede handlinger. Det bør derfor underrette den pågældende medlemsstat, så den kan følge op på sagen.
(56)
Ved anvendelsen af SIS bør de kompetente myndigheder sikre, at værdigheden og integriteten for den person, hvis oplysninger behandles, respekteres. Behandling af personoplysninger i henhold til denne forordning må ikke medføre forskelsbehandling af personer på grund af køn, race eller etnisk oprindelse, religion eller tro, handicap, alder eller seksuel orientering.
(57)
For så vidt angår fortrolighed bør de relevante bestemmelser i vedtægten for tjenestemænd i Den Europæiske Union og ansættelsesvilkårene for de øvrige ansatte i Unionen, jf. Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 
(
17
)
 (»personalevedtægten«) finde anvendelse på de tjenestemænd eller øvrige ansatte, der er ansat og arbejder i forbindelse med SIS.
(58)
Både medlemsstaterne og eu-LISA bør råde over sikkerhedsplaner for at lette gennemførelsen af sikkerhedsforpligtelser og bør samarbejde indbyrdes for at behandle sikkerhedsspørgsmål ud fra et fælles perspektiv.
(59)
De nationale uafhængige tilsynsmyndigheder, der er omhandlet i forordning (EU) 2016/679 og direktiv (EU) 2016/680 (»tilsynsmyndighederne«), bør overvåge lovligheden af medlemsstaternes behandling af personoplysninger i medfør af nærværende forordning, herunder udveksling af supplerende oplysninger. Tilsynsmyndighederne bør tildeles de fornødne ressourcer til at udføre denne opgave. Der bør fastsættes bestemmelser om de registreredes ret til adgang til, berigtigelse og sletning af deres personoplysninger, som er opbevaret i SIS, og deres adgang til eventuelle efterfølgende retsmidler ved nationale domstole samt om gensidig anerkendelse af domme. Det er også hensigtsmæssigt at kræve årlige statistikker fra medlemsstaterne.
(60)
Tilsynsmyndighederne bør sikre, at der mindst hvert fjerde år foretages en audit af databehandlingsaktiviteterne i deres medlemsstats nationale systemer i overensstemmelse med internationale standarder for audit. Denne audit bør enten foretages af tilsynsmyndighederne, eller tilsynsmyndighederne bør bestille auditten direkte hos en uafhængig auditor med ekspertise inden for databeskyttelse. Den uafhængige auditor bør forblive under de pågældende tilsynsmyndigheders kontrol og ansvar, og disse bør derfor selv instruere auditten og fastlægge et klart defineret formål og anvendelsesområde og en klart defineret metode for auditten samt fremlægge retningslinjer og foretage tilsyn med hensyn til auditten og dens endelige resultater.
(61)
Den Europæiske Tilsynsførende for Databeskyttelse bør overvåge Unionens institutioners og organers aktiviteter i forbindelse med behandling af personoplysninger i medfør af denne forordning. Den Europæiske Tilsynsførende for Databeskyttelse og tilsynsmyndighederne bør samarbejde om tilsynet med SIS.
(62)
Den Europæiske Tilsynsførende for Databeskyttelse bør have tilstrækkelige ressourcer til at kunne udføre de opgaver, som den pålægges ved denne forordning, herunder bistand fra personer med ekspertise inden for biometriske data.
(63)
I forordning (EU) 2016/794 fastsættes det, at Europol skal støtte og styrke de kompetente nationale myndigheders indsats og deres samarbejde om bekæmpelse af terrorisme og grov kriminalitet og udarbejde analyser og trusselsvurderinger. Udvidelsen af Europols adgangsrettigheder til indberetninger om savnede personer bør yderligere forbedre Europols kapacitet til at give de nationale retshåndhævende myndigheder omfattende operationel og analytisk støtte, hvad angår menneskehandel og seksuel udnyttelse af børn, herunder online. Det ville bidrage til en bedre forebyggelse af disse strafbare handlinger, beskyttelsen af potentielle ofre og efterforskningen af gerningsmænd. Europols Europæiske Center til Bekæmpelse af IT-Kriminalitet ville også få gavn af at give Europol adgang til indberetninger om savnede personer, herunder sager om rejsende sexforbrydere og online seksuelt misbrug af børn, hvor gerningsmændene ofte hævder, at de har adgang til børn eller kan få adgang til børn, der kan være registreret som forsvundne.
(64)
For at lukke hullerne med hensyn til udveksling af oplysninger om terrorisme, navnlig udenlandske om fremmedkrigere i tilfælde, hvor overvågning af deres bevægelser er afgørende, opfordres medlemsstaterne til at dele oplysninger om terrorismerelateret aktivitet med Europol. Denne deling af oplysninger bør ske ved at udveksle supplerende oplysninger med Europol om de berørte indberetninger. Til dette formål bør Europol oprette en forbindelse til kommunikationsinfrastrukturen.
(65)
Det er desuden nødvendigt at fastsætte klare regler for Europol om behandling og download af SIS-oplysninger, så det kan gøre omfattende brug af SIS, forudsat at databeskyttelsesstandarderne i denne forordning og forordning (EU) 2016/794 overholdes. Hvis Europols søgninger i SIS viser, at der findes en indberetning indlæst af en medlemsstat, kan Europol ikke foretage de påkrævede handlinger. Det bør derfor underrette den pågældende medlemsstat via udveksling af supplerende oplysninger med det respektive SIRENE-kontor, således at nævnte medlemsstat kan følge op på sagen.
(66)
I Europa-Parlamentets og Rådets forordning (EU) 2016/1624 
(
18
)
 er det med henblik på nævnte forordning fastsat, at værtsmedlemsstaten skal give tilladelse til, at medlemmerne af de hold, der er omhandlet i artikel 2, nr. 8), i nævnte forordning, og som Det Europæiske Agentur for Grænse- og Kystbevogtning har indsat, kan foretage de søgninger i EU-databaser, der er nødvendige for at opfylde de operative mål, der er fastlagt i den operative plan om ind- og udrejsekontrol, grænseovervågning og tilbagesendelse. Andre relevante EU-agenturer, navnlig Det Europæiske Asylstøttekontor og Europol, kan også indsætte eksperter, der ikke er ansat hos disse EU-agenturer som en del af deres migrationsstyringsstøttehold. Hensigten med udsendelsen af de hold, der er omhandlet i artikel 2, nr. 8) og 9), i nævnte forordning, er at give de medlemsstater, der anmoder om det, teknisk og operativ støtte, navnlig de medlemsstater, der står over for uforholdsmæssigt store migrationsudfordringer. For at de hold, der er omhandlet i artikel 2, nr. 8) og 9), i nævnte forordning, kan varetage deres opgaver, har de brug for adgang til SIS via en teknisk grænseflade hos Det Europæiske Agentur for Grænse- og Kystbevogtning med forbindelse til det centrale SIS. I de tilfælde, hvor søgninger i SIS foretaget af de hold, der er omhandlet i artikel 2, nr. 8) og 9), i forordning (EU) 2016/1624, eller holdene af medarbejdere registrerer en indberetning indlæst af en medlemsstat, må holdmedlemmet eller medarbejderen ikke foretage de påkrævede handlinger, medmindre værtsmedlemsstaten har givet tilladelse dertil. Derfor bør værtsmedlemsstaten underrettes, så den kan følge op på sagen. Værtsmedlemsstaten bør underrette den indberettende medlemsstat om hittet via udveksling af supplerende oplysninger.
(67)
Visse aspekter af SIS kan ikke dækkes udtømmende af bestemmelserne i denne forordning på grund af deres tekniske, stærkt detaljerede og hyppigt ændrende karakter. Disse aspekter omfatter f.eks. tekniske regler om indlæsning af oplysninger, om ajourføring, sletning og søgning efter oplysninger og om datakvalitet og regler vedrørende biometriske data, regler om indberetningers kompatibilitet og prioritetsrækkefølge, sammenkobling af indberetninger, fastsættelse af udløbsdatoen for indberetninger inden for den maksimale frist og udveksling af supplerende oplysninger. Gennemførelsesbeføjelser i forbindelse med disse aspekter bør derfor tillægges Kommissionen. De tekniske regler for søgning i indberetninger bør tage hensyn til, at de nationale applikationer skal fungere problemfrit.
(68)
For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
19
)
. Proceduren for vedtagelse af gennemførelsesretsakter i medfør af nærværende forordning og forordning (EU) 2018/1861 bør være den samme.
(69)
For at sikre gennemsigtighed bør eu-LISA to år efter idriftsættelsen af SIS i henhold til denne forordning udarbejde en rapport om det centrale SIS-systems og kommunikationsinfrastrukturens tekniske funktion, herunder om sikkerheden i forbindelse hermed, og om den bilaterale og multilaterale udveksling af supplerende oplysninger. Kommissionen bør hvert fjerde år udsende en samlet evaluering.
(70)
For at sikre, at SIS kan fungere gnidningsløst, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i TEUF, for så vidt angår nye underkategorier af genstande, der skal eftersøges i henhold til indberetninger om genstande, der skal beslaglægges eller anvendes som bevismidler i straffesager, og fastlæggelsen af, under hvilke omstændigheder anvendelsen af fotografier og ansigtsbilleder bør tillades til identifikation af personer, bortset fra ved almindelige grænseovergangssteder. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 
(
20
)
. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelse af delegerede retsakter.
(71)
Målene for denne forordning, nemlig oprettelse og regulering af et EU-informationssystem og udveksling af tilknyttede supplerende oplysninger, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af deres karakter bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union (TEU). I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(72)
Denne forordning overholder de grundlæggende rettigheder og de principper, som navnlig anerkendes i Den Europæiske Unions charter om grundlæggende rettigheder. Denne forordning overholder navnlig fuldt ud beskyttelsen af personoplysninger i overensstemmelse med artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder og søger samtidig at garantere et sikkert miljø for alle personer, der opholder sig på Unionens område, og særlig beskyttelsen af børn, der kan blive ofre for menneskehandel eller bortførelse. I sager vedrørende børn bør barnets tarv komme i første række.
(73)
I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til TEU og til TEUF, deltager Danmark ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Danmark. Inden seks måneder efter, at Rådet har truffet foranstaltning om denne forordning til udbygning af Schengenreglerne, træffer Danmark afgørelse om, hvorvidt det vil gennemføre denne forordning i sin nationale lovgivning, jf. artikel 4 i protokollen.
(74)
Det Forenede Kongerige deltager i denne forordning i overensstemmelse med artikel 5, stk. 1, i protokol nr. 19 om Schengenreglerne som integreret i Den Europæiske Union, der er knyttet som bilag til TEU og til TEUF, og artikel 8, stk. 2, i Rådets afgørelse 2000/365/EF 
(
21
)
.
(75)
Irland deltager i denne forordning i overensstemmelse med artikel 5, stk. 1, i protokol nr. 19, der er knyttet som bilag til TEU og til TEUF, og artikel 6, stk. 2, i Rådets afgørelse 2002/192/EF 
(
22
)
.
(76)
For så vidt angår Island og Norge udgør denne forordning en udvikling af de bestemmelser i Schengenreglerne, jf. aftalen indgået mellem Rådet for Den Europæiske Union og Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne 
(
23
)
, der henhører under det område, der er nævnt i artikel 1, litra G), i Rådets afgørelse 1999/437/EF 
(
24
)
.
(77)
For så vidt angår Schweiz udgør denne forordning en udvikling af de bestemmelser i Schengenreglerne, jf. aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne 
(
25
)
, der henhører under det område, der er nævnt i artikel 1, litra G), i afgørelse 1999/437/EF sammenholdt med artikel 3 i Rådets afgørelse 2008/149/RIA 
(
26
)
.
(78)
For så vidt angår Liechtenstein udgør denne forordning en udvikling af de bestemmelser i Schengenreglerne, jf. protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne 
(
27
)
, der henhører under det område, der er nævnt i artikel 1, litra G), i afgørelse 1999/437/EF sammenholdt med artikel 3 i Rådets afgørelse 2011/349/EU 
(
28
)
.
(79)
For så vidt angår Bulgarien og Rumænien udgør denne forordning en retsakt, der bygger på, eller som på anden måde har tilknytning til, Schengenreglerne, jf. artikel 4, stk. 2, i tiltrædelsesakten af 2005, og bør sammenholdes med Rådets afgørelse 2010/365/EU 
(
29
)
 og Rådets afgørelse (EU) 2018/934 
(
30
)
.
(80)
For så vidt angår Kroatien udgør denne forordning en retsakt, der bygger på, eller som på anden måde har tilknytning til, Schengenreglerne, jf. artikel 4, stk. 2, i tiltrædelsesakten af 2011, og bør sammenholdes med Rådets afgørelse (EU) 2017/733 
(
31
)
.
(81)
For så vidt angår Cypern udgør denne forordning en retsakt, der bygger på, eller som på anden måde har tilknytning til, Schengenreglerne, jf. artikel 3, stk. 2, i tiltrædelsesakten af 2003.
(82)
Denne forordning bør finde anvendelse på Irland fra datoer, der fastsættes efter procedurerne i de relevante instrumenter vedrørende anvendelsen af Schengenreglerne på denne stat.
(83)
Ved denne forordning indføres en række forbedringer af SIS, som vil øge effektiviteten, styrke databeskyttelsen og udvide adgangsrettighederne. Visse af disse forbedringer kræver ikke en kompleks teknisk udvikling, mens andre faktisk kræver tekniske ændringer af forskellig størrelsesorden. For at gøre det muligt at stille forbedringer af systemet til rådighed for slutbrugerne så snart som muligt foretages der med denne forordning ændringer af afgørelse 2007/533/RIA i flere faser. En række forbedringer af systemet bør finde anvendelse omgående efter denne forordnings ikrafttræden, mens andre bør finde anvendelse enten et eller to år efter dens ikrafttræden. Denne forordning bør anvendes i alle enkeltheder senest tre år efter dens ikrafttræden. For at undgå forsinkelser i anvendelsen heraf bør den trinvise gennemførelse af denne forordning overvåges nøje.
(84)
Europa-Parlamentets og Rådets Forordning (EF) nr. 1986/2006 
(
32
)
, afgørelse 2007/533/RIA og Kommissionens afgørelse 2010/261/EU 
(
33
)
 bør ophæves med virkning fra den dato, hvor nærværende forordning finder anvendelse i sin helhed.
(85)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 
(
34
)
, og afgav en udtalelse den 3. maj 2017 —
VEDTAGET DENNE FORORDNING:
KAPITEL I
Generelle bestemmelser
Artikel 1
SIS' generelle formål
SIS har til formål at sikre et højt sikkerhedsniveau inden for Unionens område med frihed, sikkerhed og retfærdighed ved hjælp af oplysningerne i dette system, herunder at opretholde den offentlige sikkerhed og den offentlige orden samt beskytte sikkerheden på medlemsstaternes område, og at sikre anvendelsen af bestemmelserne i tredje del, afsnit V, kapitel 4 og 5, i TEUF vedrørende persontrafik på deres område.
Artikel 2
Genstand
1.   I denne forordning fastsættes betingelserne og procedurerne for indlæsning og behandling af indberetninger i SIS vedrørende personer og genstande og for udvekslingen af supplerende og uddybende oplysninger til brug i politisamarbejdet og det strafferetlige samarbejde.
2.   I denne forordning fastsættes også bestemmelser vedrørende SIS' tekniske arkitektur, det ansvar, der påhviler medlemsstaterne og Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA), generel databehandling, de berørte personers rettigheder og erstatningsansvar.
Artikel 3
Definitioner
I denne forordning forstås ved:
1)   
»indberetning«
: et sæt oplysninger, der er indlæst i SIS, således at de kompetente myndigheder kan identificere en person eller en genstand med henblik på at foretage en konkret handling
2)   
»supplerende oplysninger«
: oplysninger, som ikke indgår som en del af de indberetningsoplysninger, der er lagret i SIS, men som har tilknytning til indberetninger i SIS, og som skal udveksles via SIRENE-kontorerne
a)
for at gøre det muligt for medlemsstaterne at konsultere eller underrette hinanden i forbindelse med indlæsning af en indberetning
b)
når en søgning har givet et hit, således at den rette handling kan foretages
c)
når den påkrævede handling ikke kan foretages
d)
i spørgsmål vedrørende kvaliteten af SIS-oplysningerne
e)
i spørgsmål vedrørende indberetningernes kompatibilitet og prioritet
f)
i spørgsmål vedrørende adgangsrettigheder
3)   
»uddybende oplysninger«
: de oplysninger, der er lagret i SIS og har tilknytning til indberetninger i SIS, og som omgående skal være til rådighed for de kompetente myndigheder, hvor en person, om hvem der er indlæst oplysninger i SIS, lokaliseres som følge af en søgning i SIS
4)   
»personoplysninger«
: personoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679
5)   
»behandling af personoplysninger«
: enhver aktivitet eller række af aktiviteter — med eller uden brug af automatisk behandling — som personoplysninger eller en samling af personoplysninger gøres til genstand for, såsom indsamling, registrering, logning, organisering, systematisering, lagring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved overførsel, formidling eller enhver anden form for tilgængeliggørelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse
6)   
»match«
: forekomsten af følgende trin:
a)
en slutbruger har foretaget en søgning i SIS
b)
denne søgning har vist, at en anden medlemsstat har indlæst en indberetning i SIS, og
c)
oplysninger vedrørende indberetningen i SIS svarer til søgeoplysningerne
7)   
»hit«
: ethvert match, som opfylder følgende kriterier:
a)
det er blevet bekræftet af:
i)
slutbrugeren, eller
ii)
den kompetente myndighed i overensstemmelse med nationale procedurer, hvor det pågældende match var baseret på en sammenligning af biometriske data,
og
b)
der kræves yderligere handlinger
8)   
»påtegning«
: suspendering af gyldigheden af en indberetning på nationalt plan, som kan tilføjes indberetninger vedrørende personer, der begæres anholdt, indberetninger vedrørende savnede og sårbare personer og indberetninger med henblik på diskret kontrol, undersøgelseskontrol og målrettet kontrol
9)   
»indberettende medlemsstat«
: den medlemsstat, der indlæste indberetningen i SIS
10)   
»fuldbyrdende medlemsstat«
: den medlemsstat, der foretager eller har foretaget de påkrævede handlinger på baggrund af et hit
11)   
»slutbruger«
: en medarbejder hos en kompetent myndighed, der er bemyndiget til at søge direkte i CS-SIS, N.SIS eller en teknisk kopi heraf
12)   
»biometriske data«
: personoplysninger, der som følge af en specifik teknisk behandling vedrørende en fysisk persons fysiske eller fysiologiske kendetegn muliggør eller bekræfter en entydig identifikation af vedkommende, nemlig fotografier, ansigtsbilleder, fingeraftryksoplysninger og DNA-profil
13)   
»fingeraftryksoplysninger«
: oplysninger om fingeraftryk og håndfladeaftryk, som på grund af deres unikke karakter og referencepunkterne i dem gør det muligt at foretage præcise og endegyldige sammenligninger vedrørende en persons identitet
14)   
»ansigtsbillede«
: digitale billeder af ansigtet med tilstrækkelig opløsning og kvalitet til, at de kan anvendes i forbindelse med automatisk biometrisk sammenligning
15)   
»DNA-profil«
: en bogstav- eller nummerkode, der repræsenterer en række identifikationskendetegn ved den ikkekodende del af en analyseret menneskelig DNA-prøve, nemlig den særlige molekylestruktur på de forskellige DNA-loci
16)   
»terrorhandlinger«
: lovovertrædelser i henhold til national ret, der er omhandlet i artikel 3-14 i Europa-Parlamentets og Rådets direktiv (EU) 2017/541 
(
35
)
 eller svarer til en af disse lovovertrædelser i de medlemsstater, der ikke er bundet af nævnte direktiv
17)   
»trussel mod den offentlige sundhed«
: en trussel mod den offentlige sundhed som defineret i artikel 2, nr. 21), i Europa-Parlamentets og Rådets forordning (EU) 2016/399 
(
36
)
.
Artikel 4
SIS' tekniske arkitektur og driftsmåder
1.   SIS består af:
a)
et centralt system (det centrale SIS) bestående af:
i)
en teknisk støttefunktion (»CS-SIS«), som indeholder en database (»SIS-databasen«), herunder en CS-SIS-backup
ii)
en ensartet national grænseflade (»NI-SIS«)
b)
et nationalt system (N.SIS) i hver enkelt medlemsstat, der består af de nationale datasystemer, der kommunikerer med det centrale SIS, herunder mindst én national eller delt N.SIS-backup, og
c)
en kommunikationsinfrastruktur mellem CS-SIS, CS-SIS-backup og NI-SIS (»kommunikationsinfrastrukturen«), som danner et krypteret virtuelt netværk forbeholdt SIS-oplysninger og udveksling af oplysninger mellem SIRENE-kontorerne som omhandlet i artikel 7, stk. 2.
Et N.SIS som omhandlet i litra b) kan indeholde en datafil (en »national kopi«), som indeholder en fuldstændig eller delvis kopi af SIS-databasen. To eller flere medlemsstater kan i et af deres N.SIS'er oprette en delt kopi, der kan benyttes i fællesskab af disse medlemsstater. En sådan delt kopi betragtes som hver af disse medlemsstaters nationale kopi.
En delt N.SIS-backup som omhandlet i litra b) kan benyttes i fællesskab af to eller flere medlemsstater. I sådanne tilfælde betragtes den delte N.SIS-backup som hver af disse medlemsstaters N.SIS-backup. N.SIS og backuppen heraf kan anvendes samtidigt for at sikre, at systemet altid er tilgængeligt for slutbrugerne.
Medlemsstater, der har til hensigt at oprette en delt kopi eller delt N-SIS-backup, som skal benyttes i fællesskab, fastlægger deres respektive ansvarsområder skriftligt. De meddeler deres ordninger til Kommissionen.
Kommunikationsinfrastrukturen støtter og bidrager til at sikre uafbrudt tilgængelighed af SIS. Den omfatter redundante og adskilte stier for forbindelserne mellem CS-SIS og CS-SIS-backuppen og omfatter også redundante og adskilte stier for forbindelser mellem hvert nationalt SIS-netadgangspunkt og CS-SIS og CS-SIS-backuppen.
2.   Medlemsstaterne indlæser, ajourfører, sletter og søger SIS-oplysninger via deres eget N.SIS. De medlemsstater, der anvender en delvis eller fuldstændig national kopi eller en delvis eller fuldstændig delt kopi, stiller denne kopi til rådighed med henblik på elektroniske søgninger på hver af disse medlemsstaters område. Den delvise nationale eller delte kopi indeholder som minimum de oplysninger, der er omhandlet i artikel 20, stk. 3, litra a)-v). Det må ikke være muligt at søge i andre medlemsstaters N.SIS-datafiler, undtagen i tilfælde af delte kopier.
3.   CS-SIS udfører tekniske tilsyns- og forvaltningsfunktioner og har en CS-SIS-backup, der kan sikre alle funktionaliteterne i CS-SIS, hvis dette system skulle svigte. CS-SIS og CS-SIS-backuppen placeres i eu-LISA's to tekniske anlæg.
4.   eu-LISA gennemfører tekniske løsninger for at styrke den uafbrudte tilgængelighed af SIS enten gennem samtidig drift af CS-SIS og CS-SIS-backuppen, forudsat at CS-SIS-backuppen forbliver i stand til at sikre driften af SIS, hvis CS-SIS skulle svigte, eller gennem duplikering af systemet eller dets dele. Uanset de proceduremæssige krav i artikel 10 i forordning (EU) 2018/1726 foretager eu-LISA senest den 28. december 2019 en undersøgelse om mulighederne for tekniske løsninger, indeholdende en uafhængig konsekvensvurdering og cost-benefit-analyse.
5.   Om nødvendigt kan eu-LISA i exceptionelle tilfælde midlertidigt udvikle en yderligere kopi af SIS-databasen.
6.   CS-SIS stiller de tjenester til rådighed, som er nødvendige for indlæsningen og behandlingen af SIS-oplysninger, herunder søgning i SIS-databasen. For de medlemsstater, der anvender en national eller en delt kopi, skal CS-SIS:
a)
sørge for onlineopdateringer til de nationale kopier
b)
sikre synkroniseringen og sammenhængen mellem de nationale kopier og SIS-databasen, og
c)
sørge for operationen med henblik på initialisering og genopretning af de nationale kopier.
7.   CS-SIS sørger for uafbrudt tilgængelighed.
Artikel 5
Udgifter
1.   Udgifterne til drift, vedligeholdelse og videreudvikling af det centrale SIS og kommunikationsinfrastrukturen afholdes over Unionens almindelige budget. Disse udgifter omfatter arbejde med CS-SIS for at sikre, at de tjenester, der er omhandlet i artikel 4, stk. 6, stilles til rådighed.
2.   Udgifterne til oprettelse, drift, vedligeholdelse og videreudvikling af hvert N.SIS dækkes af den pågældende medlemsstat.
KAPITEL II
Medlemsstaternes ansvar
Artikel 6
Nationale systemer
Hver medlemsstat er ansvarlig for at oprette, drive, vedligeholde og videreudvikle sit N.SIS og for at forbinde det med NI-SIS.
Hver medlemsstat er ansvarlig for at sikre uafbrudt tilgængelighed af SIS-oplysninger for slutbrugerne.
Hver medlemsstat foretager sine indberetninger via sit N.SIS.
Artikel 7
N.SIS- og SIRENE-kontoret
1.   Hver medlemsstat udpeger en myndighed (N.SIS-kontoret), der har det overordnede ansvar for dets N.SIS.
Denne myndighed er ansvarlig for, at N.SIS fungerer sikkert og gnidningsløst, sikrer, at de kompetente myndigheder har adgang til SIS, og træffer de nødvendige foranstaltninger til at sikre overholdelse af denne forordning. Den har ansvaret for at sikre, at alle funktionaliteter i SIS på hensigtsmæssig vis stilles til rådighed for slutbrugerne.
2.   Hver medlemsstat udpeger en national myndighed, der skal være operationel døgnet rundt alle ugens dage, og som sikrer udvekslingen og tilgængeligheden af alle supplerende oplysninger (SIRENE-kontoret), i overensstemmelse med SIRENE-håndbogen. Hvert SIRENE-kontor skal være et fælles kontaktpunkt for dets medlemsstat med henblik på at udveksle supplerende oplysninger i forbindelse med indberetninger og gøre det lettere at foretage de påkrævede handlinger, når der er indlæst indberetninger om personer eller genstande i SIS, og disse personer eller genstande lokaliseres efter et hit.
Hvert SIRENE-kontor skal i overensstemmelse med national ret have let direkte eller indirekte adgang til alle relevante nationale oplysninger, herunder nationale databaser og alle oplysninger vedrørende dets medlemsstats egne indberetninger, og til ekspertrådgivning, for at kunne reagere på anmodninger om supplerende oplysninger hurtigt og inden for fristerne i artikel 8.
SIRENE-kontorerne samordner kontrollen af kvaliteten af de oplysninger, der indlæses i SIS. Med henblik herpå har de adgang til de oplysninger, der behandles i SIS.
3.   Medlemsstaterne giver eu-LISA de nærmere oplysninger om deres N.SIS-kontor og deres SIRENE-kontor. eu-LISA offentliggør listen over N.SIS-kontorerne og SIRENE-kontorerne sammen med den liste, der er omhandlet i artikel 56, stk. 7.
Artikel 8
Udveksling af supplerende oplysninger
1.   Supplerende oplysninger udveksles i overensstemmelse med bestemmelserne i SIRENE-håndbogen og ved hjælp af kommunikationsinfrastrukturen. Medlemsstaterne sikrer de nødvendige tekniske og menneskelige ressourcer til at sikre konstant tilgængelighed og rettidig og effektiv udveksling af supplerende oplysninger. Hvis kommunikationsinfrastrukturen ikke er tilgængelig, anvender medlemsstaterne andre tilstrækkeligt sikrede tekniske midler til at udveksle supplerende oplysninger. En liste over tilstrækkeligt sikrede tekniske midler fastsættes i SIRENE-håndbogen.
2.   Supplerende oplysninger må kun anvendes til det formål, hvortil de blev videregivet, jf. artikel 64, medmindre der er indhentet forudgående samtykke til anden anvendelse fra den indberettende medlemsstat.
3.   SIRENE-kontorerne varetager deres opgaver hurtigt og effektivt, navnlig ved at give et svar på anmodninger om supplerende oplysninger hurtigst muligt og senest 12 timer efter modtagelsen anmodningen. I tilfælde af indberetninger vedrørende terrorhandlinger, indberetninger vedrørende eftersøgte personer, der begæres anholdt med henblik på overgivelse eller udlevering, og i tilfælde af indberetninger vedrørende børn som omhandlet i artikel 32, stk. 1, litra c), skal SIRENE-kontorerne handle omgående.
Anmodninger om supplerende oplysninger med den højeste prioritet forsynes med påskriften »URGENT« i SIRENE-formularerne, ledsaget af begrundelsen for sagens hastende karakter.
4.   Kommissionen vedtager gennemførelsesretsakter med henblik på at fastsætte detaljerede regler om SIRENE-kontorernes opgaver i medfør af denne forordning og udveksling af supplerende oplysninger i form af en håndbog med titlen »SIRENE-håndbogen«. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 9
Teknisk og funktionel overensstemmelse
1.   Hver medlemsstat overholder ved oprettelsen af sit N.SIS de fælles standarder, protokoller og tekniske procedurer, der er fastsat for at sikre, at dets N-SIS er kompatibelt med det centrale SIS med henblik på en hurtig og effektiv overførsel af oplysninger.
2.   Hvis en medlemsstat anvender en national kopi, skal den ved hjælp af de tjenester, som CS-SIS stiller til rådighed, og via de automatiske opdateringer, der er omhandlet i artikel 4, stk. 6, sikre, at de oplysninger, der er lagret i den nationale kopi, er identiske og i overensstemmelse med SIS-databasen, og at en søgning i dens nationale kopi giver et søgeresultat, der svarer til resultatet af en søgning i SIS-databasen.
3.   Slutbrugerne modtager de oplysninger, der er nødvendige for, at de kan varetage deres opgaver, navnlig, og for så vidt det er nødvendigt, alle de tilgængelige oplysninger, der gør det muligt at identificere de registrerede og at foretage den påkrævede handling.
4.   Medlemsstaterne og eu-LISA foretager regelmæssigt tests for at verificere den tekniske overensstemmelse af de nationale kopier, jf. stk. 2. Der skal tages hensyn til disse tests som led i den mekanisme, der blev oprettet ved Rådets forordning (EU) nr. 1053/2013 
(
37
)
.
5.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af de i denne artikels stk. 1 omhandlede fælles standarder, protokoller og tekniske procedurer. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 10
Sikkerhed — medlemsstaterne
1.   Hver medlemsstat vedtager i relation til sit N.SIS de nødvendige foranstaltninger, herunder en sikkerhedsplan, en driftskontinuitetsplan og en katastrofeberedskabsplan, med henblik på:
a)
fysisk at beskytte oplysningerne, herunder ved at udarbejde beredskabsplaner for beskyttelse af kritisk infrastruktur
b)
at forhindre, at uautoriserede personer får adgang til de anlæg, der benyttes til behandling af personoplysninger (kontrol med fysisk adgang til anlæggene)
c)
at forhindre uautoriseret læsning, kopiering, ændring eller sletning af datamedier (kontrol med datamedier)
d)
at forhindre uautoriseret indlæsning af oplysninger samt uautoriseret læsning, ændring eller sletning af lagrede personoplysninger (kontrol med lagring)
e)
at forhindre, at de automatiserede databehandlingssystemer kan benyttes af uautoriserede personer ved hjælp af datakommunikationsudstyr (brugerkontrol)
f)
at forhindre uautoriseret behandling af oplysninger i SIS samt uautoriseret ændring eller sletning af oplysninger, der er behandlet i SIS (kontrol med dataindlæsning)
g)
at sikre, at personer, der har tilladelse til at anvende et automatiseret databehandlingssystem, kun har adgang til de oplysninger, der er omfattet af deres adgangstilladelse, ved hjælp af individuelle og entydige brugeridentifikatorer og udelukkende fortrolige adgangstilstande (kontrol med adgang til oplysninger)
h)
at sikre, at alle myndigheder med adgangsret til SIS eller til databehandlingsanlæggene opretter profiler, der beskriver funktioner og ansvarsområder for de personer, som har tilladelse til at få adgang til, indlæse, ajourføre, slette og søge i oplysningerne, og straks stiller disse profiler til rådighed for de i artikel 69, stk. 1, omhandlede tilsynsmyndigheder på deres anmodning (personaleprofiler)
i)
at sikre, at det er muligt at undersøge og fastslå, til hvilke myndigheder der kan videregives personoplysninger via datakommunikationsudstyr (kontrol med videregivelse)
j)
at sikre, at det er muligt efterfølgende at undersøge og fastslå, hvilke personoplysninger der er indlæst i de automatiserede databehandlingssystemer, hvornår, af hvem og til hvilket formål (kontrol med indlæsning)
k)
at forhindre uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger i forbindelse med videregivelse af personoplysninger eller under transport af datamedier, navnlig ved hjælp af hensigtsmæssige krypteringsteknikker (transportkontrol)
l)
at kontrollere effektiviteten af de sikkerhedsforanstaltninger, der er omhandlet i dette stykke, og træffe de nødvendige organisatoriske foranstaltninger vedrørende intern kontrol for at sikre overholdelse af denne forordning (egenkontrol)
m)
at sikre, at det installerede system i tilfælde af afbrydelse kan genetableres til normal drift (genopretning), og
n)
at sikre, at SIS fungerer korrekt, at fejl rapporteres (pålidelighed), og at personoplysninger lagret i SIS ikke kan ødelægges ved hjælp af systemsvigt (integritet).
2.   Medlemsstaterne træffer foranstaltninger svarende til dem, der er omhandlet i stk. 1, for så vidt angår sikkerhed i forbindelse med behandling og udveksling af supplerende oplysninger, herunder sikring af SIRENE-kontorernes lokaler.
3.   Medlemsstaterne træffer foranstaltninger svarende til dem, der er omhandlet i denne artikels stk. 1, for så vidt angår sikkerhed i forbindelse med de i artikel 44 omhandlede myndigheders behandling af SIS-oplysninger.
4.   De i stk. 1, 2 og 3 beskrevne foranstaltninger kan være led i en generisk sikkerhedsstrategi og -plan på nationalt plan, som omfatter adskillige IT-systemer. I så fald skal de krav, der er fastsat i denne artikel, og deres anvendelse på SIS klart kunne identificeres i og sikres med den pågældende plan.
Artikel 11
Fortrolighed — medlemsstaterne
1.   Hver medlemsstat anvender i overensstemmelse med national ret sine egne regler for tavshedspligt eller tilsvarende fortrolighedskrav i forbindelse med alle personer og organer, der skal arbejde med SIS-oplysninger og supplerende oplysninger. Denne pligt fortsætter med at bestå, efter at de pågældende personer er fratrådt deres stilling, eller det pågældende organs virksomhed er ophørt.
2.   Hvis en medlemsstat samarbejder med eksterne kontrahenter i forbindelse med SIS-relaterede opgaver, skal den nøje overvåge kontrahentens aktiviteter for at sikre overholdelsen af alle bestemmelser i denne forordning, navnlig med hensyn til sikkerhed, fortrolighed og databeskyttelse.
3.   Den operationelle forvaltning af N.SIS eller af tekniske kopier må ikke overdrages til private virksomheder eller private organisationer.
Artikel 12
Opbevaring af logfiler på nationalt plan
1.   Medlemsstaterne påser, at hver adgang til og alle udvekslinger af personoplysninger inden for CS-SIS registreres i N.SIS med henblik på at kontrollere, hvorvidt søgningen var lovlig, overvåge databehandlingens lovlighed, udøve egenkontrol, sikre N.SIS' korrekte funktion samt for dataintegritet og datasikkerhed. Dette krav gælder ikke for de automatiske processer, der er omhandlet i artikel 4, stk. 6, litra a), b) og c).
2.   Logfilerne skal navnlig vise indberetningens hidtidige forløb, dato og tidspunkt for databehandlingen, de oplysninger, der er anvendt til en søgning, en henvisning til de oplysninger, der er behandlet, samt de individuelle og entydige brugeridentifikatorer for både den kompetente myndighed og den person, der behandler oplysningerne.
3.   Hvis en søgning foretages med fingeraftryksoplysninger eller ansigtsbilleder, jf. artikel 43, skal logfilerne som en undtagelse fra nærværende artikels stk. 2 vise den type oplysninger, der er anvendt til søgningen, frem for de faktiske oplysninger.
4.   Logfilerne må kun anvendes til det i stk. 1 omhandlede formål og slettes tre år efter deres oprettelse. De logfiler, der indeholder indberetningernes hidtidige forløb, slettes tre år efter, at indberetningerne er slettet.
5.   Logfilerne kan opbevares længere end den periode, der er omhandlet i stk. 4, hvis der er brug for dem i forbindelse med kontrolprocedurer, som allerede er indledt.
6.   De nationale kompetente myndigheder, der er ansvarlige for at kontrollere, hvorvidt søgninger er lovlige, overvåge databehandlingens lovlighed, udøve egenkontrol og sikre N.SIS' korrekte funktion og dataintegritet og -sikkerhed, skal inden for rammerne af deres beføjelser og efter at have anmodet herom have adgang til logfilerne med henblik på at kunne udføre deres opgaver.
7.   Hvis medlemsstaterne i overensstemmelse med national ret foretager automatiserede scanningsøgninger af køretøjers nummerplader ved hjælp af systemer til automatisk nummerpladegenkendelse, sørger de for at have logfiler over søgningen i overensstemmelse med national ret. Om nødvendigt kan der foretages en fuldstændig søgning i SIS for at kontrollere, om der er opnået et hit. Stk. 1-6 finder anvendelse på alle fuldstændige søgninger.
8.   Kommissionen vedtager gennemførelsesretsakter for at fastsætte indholdet af den logfil, der er omhandlet i denne artikels stk. 7. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 13
Egenkontrol
Medlemsstaterne sikrer, at enhver myndighed med adgangsret til SIS-oplysninger træffer de foranstaltninger, der er nødvendige for at sikre overholdelsen af denne forordning, og i nødvendigt omfang samarbejder med tilsynsmyndigheden.
Artikel 14
Uddannelse af personale
1.   Inden personale hos myndigheder med adgangsret til SIS får tilladelse til at behandle oplysninger, der er lagret i SIS, og periodisk efter at der er givet adgang til SIS-oplysninger, skal det modtage relevant uddannelse vedrørende datasikkerhed, grundlæggende rettigheder, herunder databeskyttelsesregler, og reglerne og procedurerne for databehandling som fastsat i SIRENE-håndbogen. Personalet oplyses om relevante bestemmelser om strafbare handlinger og strafferetlige sanktioner, herunder dem, der er fastsat i artikel 73.
2.   Medlemsstaterne skal have et nationalt SIS-uddannelsesprogram, som skal omfatte uddannelse for såvel slutbrugere som SIRENE-kontorernes personale.
Dette uddannelsesprogram kan være en del af et generelt uddannelsesprogram på nationalt plan, der omfatter uddannelse på andre relevante områder.
3.   Fælles uddannelseskurser skal tilrettelægges på EU-plan mindst én gang om året for at styrke samarbejdet mellem SIRENE-kontorerne.
KAPITEL III
eu-LISA's ansvar
Artikel 15
Operationel forvaltning
1.   eu-LISA er ansvarligt for den operationelle forvaltning af det centrale SIS. eu-LISA sikrer i samarbejde med medlemsstaterne og med forbehold af en cost-benefit-analyse, at den bedst tilgængelige teknologi til enhver tid anvendes til det centrale SIS.
2.   eu-LISA er også ansvarligt for følgende opgaver i forbindelse med kommunikationsinfrastrukturen:
a)
tilsyn
b)
sikkerhed
c)
koordinering af forbindelserne mellem medlemsstaterne og leverandøren
d)
opgaver i forbindelse med budgetgennemførelsen
e)
anskaffelse og fornyelse, og
f)
kontraktforhold.
3.   eu-LISA er også ansvarligt for følgende opgaver vedrørende SIRENE-kontorerne og kommunikationen mellem SIRENE-kontorerne:
a)
koordinering, styring af og støtte til testaktiviteter
b)
opretholdelse og opdatering af tekniske specifikationer for udveksling af supplerende oplysninger mellem SIRENE-kontorerne og kommunikationsinfrastrukturen, og
c)
håndtering af konsekvenserne af tekniske ændringer, hvis disse påvirker både SIS og udvekslingen af supplerende oplysninger mellem SIRENE-kontorerne.
4.   eu-LISA udvikler og opretholder en mekanisme og en række procedurer til udførelsen af kvalitetskontrol af oplysningerne i CS-SIS. Det forelægger regelmæssigt medlemsstaterne rapporter i denne henseende.
eu-LISA forelægger regelmæssigt en rapport for Kommissionen vedrørende de konstaterede problemer og de berørte medlemsstater.
Kommissionen forelægger regelmæssigt en rapport for Europa-Parlamentet og Rådet vedrørende datakvalitetsproblemer, der konstateres.
5.   eu-LISA varetager også opgaver vedrørende uddannelse i den tekniske anvendelse af SIS og vedrørende foranstaltninger til forbedring af SIS-oplysningernes kvalitet.
6.   Den operationelle forvaltning af det centrale SIS omfatter alle de opgaver, der er nødvendige for, at det centrale SIS kan fungere døgnet rundt alle ugens dage i overensstemmelse med denne forordning, navnlig den vedligeholdelse og den tekniske udvikling, der er nødvendig for, at systemet kan fungere gnidningsløst. Disse opgaver omfatter også koordinering og styring af samt støtte til testaktiviteter for det centrale SIS og N.SIS, der sikrer, at det centrale SIS og N.SIS fungerer i overensstemmelse med kravene til teknisk og funktionel overensstemmelse fastsat i artikel 9.
7.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse af de tekniske krav til kommunikationsinfrastrukturen. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 16
Sikkerhed — eu-LISA
1.   eu-LISA træffer de nødvendige foranstaltninger, herunder en sikkerhedsplan, en driftskontinuitetsplan og en katastrofeberedskabsplan, for det centrale SIS og kommunikationsinfrastrukturen, med henblik på:
a)
fysisk at beskytte oplysningerne, herunder ved at udarbejde beredskabsplaner for beskyttelse af kritisk infrastruktur
b)
at forhindre, at uautoriserede personer får adgang til de anlæg, der benyttes til behandling af personoplysninger (kontrol med fysisk adgang til anlæggene)
c)
at forhindre uautoriseret læsning, kopiering, ændring eller sletning af datamedier (kontrol med datamedier)
d)
at forhindre uautoriseret indlæsning af oplysninger samt uautoriseret læsning, ændring eller sletning af lagrede personoplysninger (kontrol med lagring)
e)
at forhindre, at de automatiserede databehandlingssystemer kan benyttes af uautoriserede personer ved hjælp af datakommunikationsudstyr (brugerkontrol)
f)
at forhindre uautoriseret behandling af oplysninger i SIS samt uautoriseret ændring eller sletning af oplysninger, der er behandlet i SIS (kontrol med dataindlæsning)
g)
at sikre, at personer, der har tilladelse til at anvende et automatiseret databehandlingssystem, kun har adgang til de oplysninger, der er omfattet af deres adgangstilladelse, ved hjælp af individuelle og entydige brugeridentifikatorer og udelukkende fortrolige adgangstilstande (kontrol med adgang til oplysninger)
h)
at oprette profiler, der beskriver funktioner og ansvarsområder for de personer, som har tilladelse til at få adgang til oplysningerne eller anlæggene, og straks stille disse profiler til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse på dennes anmodning (personaleprofiler)
i)
at sikre, at det er muligt at undersøge og fastslå, til hvilke myndigheder der kan videregives personoplysninger via datakommunikationsudstyr (kontrol med videregivelse)
j)
at sikre, at det er muligt efterfølgende at undersøge og fastslå, hvilke personoplysninger der er indlæst i de automatiserede databehandlingssystemer, hvornår og af hvem (kontrol med indlæsning)
k)
at forhindre uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger i forbindelse med videregivelse af personoplysninger eller under transport af datamedier, navnlig ved hjælp af hensigtsmæssige krypteringsteknikker (transportkontrol)
l)
at kontrollere effektiviteten af de sikkerhedsforanstaltninger, der er omhandlet i dette stykke, og træffe de nødvendige organisatoriske foranstaltninger vedrørende intern kontrol for at sikre overholdelsen af denne forordning (egenkontrol)
m)
at sikre, at installerede systemer i tilfælde af afbrudt drift kan genetableres til normal drift (genopretning)
n)
at sikre, at SIS fungerer korrekt, at fejl rapporteres (pålidelighed), og at personoplysninger lagret i SIS ikke kan ødelægges ved hjælp af systemsvigt (integritet), og
o)
at sørge for sikkerheden af sine tekniske anlæg.
2.   eu-LISA træffer foranstaltninger svarende til dem, der er omhandlet i stk. 1, for så vidt angår sikkerhed i forbindelse med behandling og udveksling af supplerende oplysninger gennem kommunikationsinfrastrukturen.
Artikel 17
Fortrolighed — eu-LISA
1.   eu-LISA anvender passende regler for tavshedspligt eller andre tilsvarende fortrolighedskrav af en standard svarende til dem, der er fastsat i denne forordnings artikel 11, i forhold til alt personale, der skal arbejde med SIS-oplysninger, jf. dog personalevedtægtens artikel 17. Denne pligt fortsætter med at bestå, efter at de pågældende personer er fratrådt deres stilling, eller deres virksomhed er ophørt.
2.   eu-LISA træffer foranstaltninger svarende til dem, der er omhandlet i stk. 1, for så vidt angår fortrolighed i forbindelse med udveksling af supplerende oplysninger gennem kommunikationsinfrastrukturen.
3.   Hvis eu-LISA samarbejder med eksterne kontrahenter i forbindelse med SIS-relaterede opgaver, skal eu-LISA nøje overvåge kontrahentens aktiviteter for at sikre overholdelsen af alle denne forordnings bestemmelser, navnlig med hensyn til sikkerhed, fortrolighed og databeskyttelse.
4.   Den operationelle forvaltning af CS-SIS må ikke overdrages til private virksomheder eller private organisationer.
Artikel 18
Opbevaring af logfiler på centralt plan
1.   eu-LISA påser, at enhver adgang til og alle udvekslinger af personoplysninger inden for CS-SIS registreres til formålene i artikel 12, stk. 1.
2.   Logfilerne skal navnlig vise indberetningens hidtidige forløb, dato og tidspunkt for databehandlingen, de oplysninger, der er anvendt til en søgning, en henvisning til de oplysninger, der er behandlet, samt de individuelle og entydige brugeridentifikatorer for den kompetente myndighed, der behandler oplysningerne.
3.   Hvis en søgning foretages med fingeraftryksoplysninger eller ansigtsbilleder, jf. artikel 43, skal logfilerne som en undtagelse fra nærværende artikels stk. 2 vise den type oplysninger, der er anvendt til søgningen, frem for de faktiske oplysninger.
4.   Logfilerne må kun anvendes til de i stk. 1 omhandlede formål og slettes tre år efter deres oprettelse. De logfiler, der indeholder indberetningernes hidtidige forløb, slettes tre år efter, at indberetningerne er slettet.
5.   Logfilerne kan opbevares længere end de perioder, der er omhandlet i stk. 4, hvis der er brug for dem i forbindelse med kontrolprocedurer, som allerede er indledt.
6.   Med henblik på at udøve egenkontrol og sikre CS-SIS' korrekte funktion og dataintegritet og -sikkerhed har eu-LISA adgang til logfilerne inden for rammerne af sine beføjelser.
Den Europæiske Tilsynsførende for Databeskyttelse har på anmodning adgang til disse logfiler inden for rammerne af sine beføjelser og med henblik på at udføre sine opgaver.
KAPITEL IV
Information til offentligheden
Artikel 19
SIS-informationskampagner
Når denne forordning begynder at finde anvendelse, gennemfører Kommissionen i samarbejde med tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse en kampagne for at oplyse offentligheden om formålene med SIS, de i SIS lagrede oplysninger, hvilke myndigheder der har adgang til SIS, og de registreredes rettigheder. Kommissionen gentager regelmæssigt sådanne kampagner i samarbejde med tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse. Kommissionen driver et websted, som offentligheden har adgang til, med al relevant information om SIS. Medlemsstaterne udformer og gennemfører i samarbejde med deres tilsynsmyndigheder de politikker, der er nødvendige for generelt at orientere deres borgere og indbyggere om SIS.
KAPITEL V
Kategorier af oplysninger og påtegninger
Artikel 20
Kategorier af oplysninger
1.   SIS skal udelukkende indeholde de kategorier af oplysninger, der meddeles af hver medlemsstat, og som er nødvendige til de formål, der er fastsat i artikel 26, 32, 34, 36, 38 og 40, jf. dog artikel 8, stk. 1, eller denne forordnings bestemmelser vedrørende lagring af supplerende oplysninger.
2.   Oplysningerne opdeles i følgende kategorier:
a)
oplysninger om personer, hvorom der er indlæst en indberetning
b)
oplysninger om genstande som omhandlet i artikel 26, 32, 34, 36 og 38.
3.   Enhver indberetning i SIS, der indeholder oplysninger om personer, må kun omfatte følgende:
a)
efternavne
b)
fornavne
c)
fødenavne
d)
tidligere anvendte navne og kaldenavne
e)
særlige fysiske kendetegn af objektiv og blivende karakter
f)
fødested
g)
fødselsdato
h)
køn
i)
samtlige nationaliteter
j)
hvorvidt den pågældende person:
i)
er bevæbnet
ii)
er voldelig
iii)
er forsvundet eller undveget
iv)
er selvmordstruet
v)
udgør en trussel mod den offentlige sundhed, eller
vi)
er involveret i en aktivitet som omhandlet i artikel 3-14 i direktiv (EU) 2017/541
k)
indberetningsgrunden
l)
den myndighed, der har oprettet indberetningen
m)
en henvisning til den afgørelse, der ligger til grund for indberetningen
n)
den handling, der skal foretages i tilfælde at et hit
o)
sammenkobling med andre indberetninger, jf. artikel 63
p)
lovovertrædelsens art
q)
personens registreringsnummer i et nationalt register
r)
for indberetninger som omhandlet i artikel 32, stk. 1, kategorisering af sagens type
s)
arten af personens identifikationsdokumenter
t)
det land, der har udstedt personens identifikationsdokumenter
u)
nummeret/numrene på personens identifikationsdokumenter
v)
datoen for udstedelsen af personens identifikationsdokumenter
w)
fotografier og ansigtsbilleder
x)
i overensstemmelse med artikel 42, stk. 3, relevante DNA-profiler
y)
fingeraftryksoplysninger
z)
en kopi af identifikationsdokumenterne, så vidt muligt i farver.
4.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af de tekniske regler, der er nødvendige for at indlæse, ajourføre, slette og søge i de i denne artikels stk. 2 og 3 omhandlede oplysninger, samt de fælles standarder, der er omhandlet i denne artikels stk. 5. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
5.   De tekniske regler skal være tilsvarende for søgninger i CS-SIS, i nationale eller delte kopier og i tekniske kopier udarbejdet i medfør af artikel 56, stk. 2. De skal være baseret på fælles standarder.
Artikel 21
Proportionalitet
1.   Forud for indlæsning af en indberetning og ved forlængelse af en indberetnings gyldighedsperiode undersøger medlemsstaten, om sagen er egnet, relevant og vigtig nok til at retfærdiggøre en indberetning i SIS.
2.   Hvis en person eller en genstand eftersøges i forbindelse med en indberetning vedrørende en terrorhandling, anses sagen for at være egnet, relevant og vigtig nok til at retfærdiggøre en indberetning i SIS. Af hensyn til den offentlige eller nationale sikkerhed kan medlemsstaterne undtagelsesvis undlade at indlæse en indberetning, når det er sandsynligt, at den vil hindre officielle eller retlige undersøgelser, efterforskninger eller procedurer.
Artikel 22
Krav til indlæsning af en indberetning
1.   De minimumsoplysninger, der er nødvendige for at indlæse en indberetning i SIS, er de oplysninger, der er omhandlet i artikel 20, stk. 3, litra a), g), k) og n), undtagen i de situationer, der er omhandlet i artikel 40. De øvrige oplysninger omhandlet i nævnte stykke indlæses også i SIS, hvis de foreligger.
2.   De oplysninger, der er omhandlet i denne forordnings artikel 20, stk. 3, litra e), indlæses kun, når dette er strengt nødvendigt for identifikation af den pågældende person. Når sådanne oplysninger indlæses, sikrer medlemsstaterne, at artikel 10 i direktiv (EU) 2016/680 overholdes.
Artikel 23
Indberetningers kompatibilitet
1.   Forud for indlæsning af en indberetning undersøger medlemsstaten, om der allerede findes en indberetning i SIS om den pågældende person eller genstand. For at kontrollere, om den pågældende person allerede er omfattet af en indberetning, foretages der også en sammenligning med fingeraftryksoplysninger, hvis sådanne oplysninger er til rådighed.
2.   Der må kun indlæses én indberetning i SIS pr. person eller pr. genstand pr. medlemsstat. Hvis det er nødvendigt, kan nye indberetninger om samme person eller genstand indlæses af andre medlemsstater i overensstemmelse med stk. 3.
3.   Når der allerede findes en indberetning i SIS om en given person eller genstand, kontrollerer den medlemsstat, der ønsker at indlæse en ny indberetning, at indberetningerne er kompatible. Hvis de er kompatible, kan medlemsstaten indlæse den nye indberetning. Hvis indberetningerne ikke er kompatible, konsulterer de berørte medlemsstaters SIRENE-kontorer hinanden via udveksling af supplerende oplysninger med henblik på nå frem til en aftale. Reglerne om indberetningers kompatibilitet fastsættes i SIRENE-håndbogen. Reglerne om kompatibilitet kan fraviges efter konsultationer mellem medlemsstaterne, hvis vigtige nationale interesser kræver det.
4.   I tilfælde af hit på flere indberetninger om samme person eller genstand, overholder den fuldbyrdende medlemsstat de regler om indberetningers prioritet, der er fastsat i SIRENE-håndbogen.
Hvis en person er omfattet af flere indberetninger indlæst af forskellige medlemsstater, fuldbyrdes indberetninger om anholdelse, og der er indlæst i overensstemmelse med artikel 26, som en prioritet, jf. artikel 25.
Artikel 24
Almindelige bestemmelser om påtegning
1.   Hvis en medlemsstat finder, at det ikke er foreneligt med dens nationale ret, dens internationale forpligtelser eller væsentlige nationale hensyn at lade en indberetning, der er indlæst i overensstemmelse med artikel 26, 32 eller 36, få virkning, kan den anmode om, at indberetningen forsynes med en påtegning om, at den handling, der skal foretages på grundlag af indberetningen, ikke vil blive foretaget på dens område. Påtegningen indsættes af den indberettende medlemsstats SIRENE-kontor.
2.   For at sætte medlemsstaterne i stand til at kræve, at der indsættes en påtegning på en indberetning indlæst i overensstemmelse med artikel 26, får alle medlemsstater automatisk besked om nye indberetninger i denne kategori via udveksling af supplerende oplysninger.
3.   Hvis den indberettende medlemsstat i særligt hastende og alvorlige tilfælde anmoder om, at handlingen bliver foretaget, undersøger den fuldbyrdende medlemsstat, om den kan tillade, at den påtegning, der er indsat på dens forlangende, trækkes tilbage. Hvis den fuldbyrdende medlemsstat kan tillade dette, tager den de nødvendige skridt til at sikre, at den handling, der skal foretages, udføres omgående.
Artikel 25
Påtegning på indberetninger vedrørende personer, der begæres anholdt med henblik på overgivelse
1.   Når rammeafgørelse 2002/584/RIA finder anvendelse, anmoder en medlemsstat den indberettende medlemsstat om at tilføje en påtegning, der forhindrer anholdelse som opfølgning på en indberetning vedrørende en person, der begæres anholdt med henblik på overgivelse, såfremt den judicielle myndighed, der i henhold til national ret er kompetent til at foretage fuldbyrdelsen af en europæisk arrestordre, har nægtet at fuldbyrde en sådan, fordi der foreligger en grund til at afslå fuldbyrdelse, og såfremt påtegningen er krævet indsat.
En medlemsstat kan også kræve, at indberetningen forsynes med en påtegning, hvis dens kompetente judicielle myndighed løslader den indberettede person under overgivelsesproceduren.
2.   En medlemsstat kan dog på forlangende af en i henhold til national ret kompetent judiciel myndighed enten på grundlag af en generel instruks eller i et specifikt tilfælde også kræve, at den indberettende medlemsstat indsætter en påtegning på en indberetning vedrørende en person, der begæres anholdt med henblik på overgivelse, hvis det står klart, at fuldbyrdelsen af den europæiske arrestordre vil skulle afslås.
KAPITEL VI
Indberetninger vedrørende personer, der begæres anholdt med henblik på overgivelse eller udlevering
Artikel 26
Formål med og betingelser for at indlæse indberetninger
1.   Indberetninger vedrørende personer, der begæres anholdt med henblik på overgivelse på grundlag af en europæisk arrestordre, eller indberetninger vedrørende personer, som begæres anholdt med henblik på udlevering, indlæses efter anmodning fra den indberettende medlemsstats judicielle myndighed.
2.   Indberetninger om anholdelse med henblik på overgivelse indlæses også på grundlag af arrestordrer udstedt i overensstemmelse med aftaler, som er indgået mellem Unionen og tredjelande på grundlag af traktaterne med henblik på overgivelse af personer på grundlag af en arrestordre, der foreskriver fremsendelse af en sådan arrestordre via SIS.
3.   Enhver henvisning i denne forordning til bestemmelser i rammeafgørelse 2002/584/RIA skal forstås som omfattende de tilsvarende bestemmelser i aftaler indgået mellem Unionen og tredjelande på grundlag af traktaterne med henblik på overgivelse af personer på grundlag af en arrestordre, for så vidt sådanne aftaler foreskriver fremsendelse af en sådan arrestordre via SIS.
4.   I tilfælde af en igangværende aktivitet kan den indberettende medlemsstat midlertidigt gøre en eksisterende indberetning om anholdelse indlæst i overensstemmelse med denne artikel utilgængelig for søgning for slutbrugerne i de medlemsstater, der er involveret i aktiviteten. I så fald må indberetningen kun være tilgængelig for SIRENE-kontorerne. Medlemsstaterne gør kun indberetning utilgængelig, hvis:
a)
aktivitetens formål kan ikke nås ved andre foranstaltninger
b)
en forudgående tilladelse er givet af den kompetente judicielle myndighed i den indberettende medlemsstat, og
c)
alle de medlemsstater, der er involveret i aktiviteten, er blevet underrettet ved udveksling af supplerende oplysninger.
Funktionaliteten omhandlet i første afsnit må højst anvendes i 48 timer. Hvis det er operativt nødvendigt, kan den dog forlænges med yderligere perioder på 48 timer. Medlemsstaterne fører statistik over det antal indberetninger, i relation til hvilke denne funktionalitet er blevet anvendt.
5.   Hvis der er tydelige tegn på, at de genstande, der er omhandlet i artikel 38, stk. 2, litra a), b), c), e), g), h), j) og k), har forbindelse til en person, som er genstand for en indberetning i henhold til nærværende artikels stk. 1 og 2, kan der indlæses indberetninger om disse genstande for at lokalisere personen. I sådanne tilfælde skal indberetningen om personen sammenkobles med indberetningen om genstanden, jf. artikel 63.
6.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af de regler, der er nødvendige for at indlæse, ajourføre, slette og søge i de oplysninger, der er omhandlet i denne artikels stk. 5. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 27
Uddybende oplysninger om personer, der begæres anholdt med henblik på overgivelse
1.   Hvis en person begæres anholdt med henblik på overgivelse på grundlag af en europæisk arrestordre, indlæser den indberettende medlemsstat en kopi af den originale europæiske arrestordre i SIS.
En medlemsstat kan indlæse kopi af en eller flere europæiske arrestordrer i en indberetning om anholdelse med henblik på overgivelse.
2.   Den indberettende medlemsstat kan indlæse en kopi af en oversættelse af den europæiske arrestordre til et eller flere af EU-institutionernes officielle sprog.
Artikel 28
Supplerende oplysninger om personer, der begæres anholdt med henblik på overgivelse
Den indberettende medlemsstat for en indberetning om anholdelse med henblik på overgivelse meddeler de oplysninger, der er omhandlet i artikel 8, stk. 1, i rammeafgørelse 2002/584/RIA, til de øvrige medlemsstater ved udveksling af supplerende oplysninger.
Artikel 29
Supplerende oplysninger om personer, der begæres anholdt med henblik på udlevering
1.   Den indberettende medlemsstat for en indberetning med henblik på udlevering meddeler alle øvrige medlemsstater følgende oplysninger ved udveksling af supplerende oplysninger:
a)
hvilken myndighed der har begæret anholdelsen
b)
om der foreligger en arrestordre eller en anden beslutning med samme retskraft eller en eksigibel dom
c)
hvilken lovovertrædelse, der er tale om, og henvisning til den relevante straffebestemmelse
d)
en beskrivelse af, under hvilke omstændigheder lovovertrædelsen er begået, herunder tidspunkt, sted og omfang af deltagelse heri af den person, hvorom en indberetning er indlæst
e)
så vidt muligt, følgerne af lovovertrædelsen, og
f)
andre oplysninger, der kan være nyttige eller nødvendige for at efterkomme indberetningen.
2.   De i denne artikels stk. 1 anførte oplysninger meddeles ikke, hvis de i artikel 27 eller 28 omhandlede oplysninger allerede er meddelt og betragtes som tilstrækkelige til, at den fuldbyrdende medlemsstat kan efterkomme indberetningen.
Artikel 30
Konvertering af en handling, der skal foretages, vedrørende indberetninger om anholdelse med henblik på overgivelse eller udlevering
Hvor en anholdelse ikke kan foretages, enten fordi den medlemsstat, der anmodes herom, afslår efter procedurerne om påtegning i artikel 24 eller 25, eller, i tilfælde af en indberetning om anholdelse med henblik på udlevering, fordi en undersøgelse endnu ikke er afsluttet, skal den medlemsstat, der anmodes om at foretage en anholdelse, følge op på indberetningen ved at meddele den pågældende persons opholdssted.
Artikel 31
Foretagelse af en handling på grundlag af en indberetning om anholdelse med henblik på overgivelse eller udlevering
1.   En indberetning, der indlæses i SIS i henhold til artikel 26, og de uddybende oplysninger, der er omhandlet i artikel 27, udgør tilsammen og har tilsammen samme virkning som en europæisk arrestordre udstedt i overensstemmelse med rammeafgørelse 2002/584/RIA, hvor nævnte rammeafgørelse finder anvendelse.
2.   Hvor rammeafgørelse 2002/584/RIA ikke finder anvendelse, sidestilles en indberetning, der er indlæst i SIS i henhold til artikel 26 og 29, med en begæring om foreløbig anholdelse og fængsling i henhold til artikel 16 i den europæiske konvention om udlevering af 13. december 1957 eller artikel 15 i Beneluxtraktaten om udlevering og gensidig retshjælp i straffesager af 27. juni 1962.
KAPITEL VII
Indberetninger om savnede eller sårbare personer, der har behov for at blive forhindret i at rejse
Artikel 32
Formål med og betingelser for at indlæse indberetninger
1.   Indberetninger om følgende kategorier af personer indlæses i SIS på anmodning af den indberettende medlemsstats kompetente myndighed:
a)
savnede personer, der bør tages i varetægt:
i)
af hensyn til deres egen sikkerhed
ii)
med henblik på forebyggelse af en trussel mod den offentlige orden eller den offentlige sikkerhed
b)
savnede personer, der ikke har brug for at blive taget i varetægt
c)
børn, der er i fare for at blive bortført af en forælder, et familiemedlem eller en værge, og som har behov for at blive forhindret i at rejse
d)
børn, som har behov for at blive forhindret i at rejse på grund af en konkret og åbenbar risiko for, at de fjernes fra eller forlader en medlemsstats område, og
i)
bliver ofre for menneskehandel eller for tvangsægteskab, kvindelig kønslemlæstelse eller andre former for kønsbaseret vold
ii)
bliver ofre for eller involveret i terrorhandlinger, eller
iii)
bliver indkaldt til eller deltager i væbnede grupper eller bliver tvunget til aktiv deltagelse i fjendtligheder
e)
sårbare, myndige personer, der har behov for at blive forhindret i at rejse af hensyn til deres egen sikkerhed på grund af en konkret og åbenbar risiko for, at de fjernes fra eller forlader en medlemsstats område og bliver ofre for menneskehandel eller kønsbaseret vold.
2.   Stk. 1, litra a), gælder navnlig for børn og personer, der skal anbringes på en institution, på grundlag af en afgørelse truffet af en kompetent myndighed.
3.   En indberetning om et i stk. 1, litra c), omhandlet barn indlæses efter afgørelse truffet af de kompetente myndigheder, herunder de af medlemsstaternes judicielle myndigheder, der har kompetence i sager vedrørende forældreansvar, hvis der er konkret og åbenbar risiko for, at barnet ulovligt kan blive fjernet fra den medlemsstat, hvor de kompetente myndigheder befinder sig.
4.   En indberetning om i stk. 1, litra d) og e), omhandlede personer indlæses efter afgørelse truffet af de kompetente myndigheder, herunder de judicielle myndigheder
5.   Den indberettende medlemsstat undersøger i overensstemmelse med artikel 53, stk. 4, regelmæssigt behovet for fortsat at opbevare de indberetninger, der er omhandlet i nærværende artikels stk. 1, litra c), d) og e).
6.   Den indberettende medlemsstat sikrer alle følgende:
a)
at de oplysninger, som den indlæser i SIS, angiver, under hvilken af de i stk. 1 omhandlede kategorier den person, der er berørt af indberetningen, henhører
b)
at de oplysninger, som den indlæser i SIS, angiver, hvilken type sag der er tale om, hvis sagstypen er kendt, og
c)
at dens SIRENE-kontor i forbindelse med indberetninger, der er indlæst i overensstemmelse med stk. 1, litra c), d) og e), har alle relevante oplysninger til sin rådighed på det tidspunkt, hvor indberetningen oprettes.
7.   Fire måneder før et barn, der er omfattet af en indberetning i medfør af denne artikel, når myndighedsalderen i henhold til den indberettende medlemsstats nationale ret, underretter CS-SIS automatisk den indberettende medlemsstat om, at det er nødvendigt enten at ajourføre begrundelsen for indberetningen og den handling, der skal foretages, eller at slette indberetningen.
8.   Hvis der er tydelige tegn på, at de genstande, der er omhandlet i artikel 38, stk. 2, litra a), b), c), e), g), h) og k), har forbindelse til en person, der er genstand for en indberetning i henhold til nærværende artikels stk. 1, kan der indlæses indberetninger om disse genstande for at lokalisere personen. I sådanne tilfælde skal indberetningen om personen sammenkobles med indberetningen om genstanden, jf. artikel 63.
9.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af regler om kategorisering af sagstyper og om indlæsning af de oplysninger, der er omhandlet i stk. 6. Sagstyperne vedrørende savnede personer, som er børn, skal omfatte, men er ikke begrænset til, bortløbne børn, uledsagede børn i forbindelse med migration og børn, der er i fare for at blive bortført af en forælder.
Kommissionen vedtager endvidere gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af de tekniske regler, der er nødvendige for at indlæse, opdatere, slette og søge i de oplysninger, der er omhandlet i stk. 8.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 33
Foretagelse af en handling på grundlag af en indberetning
1.   Når en af de i artikel 32 omhandlede personer lokaliseres, underretter den fuldbyrdende medlemsstats kompetente myndigheder den indberettende medlemsstat om personens opholdssted, jf. dog kravene i stk. 4.
2.   I tilfælde af personer, som har brug for at blive taget i varetægt, jf. artikel 32, stk. 1, litra a), c), d) og e), konsulterer den fuldbyrdende medlemsstat omgående sine egne kompetente myndigheder og den indberettende medlemsstats kompetente myndigheder ved udveksling af supplerende oplysninger, således at de straks kan enes om de foranstaltninger, der skal træffes. De kompetente myndigheder i den fuldbyrdende medlemsstat kan i overensstemmelse med national ret tage de pågældende i varetægt for at forhindre dem i at fortsætte deres rejse.
3.   I tilfælde af børn træffes enhver afgørelse om de foranstaltninger, der skal gennemføres, eller enhver afgørelse om at tage barnet i varetægt som omhandlet i stk. 2 i overensstemmelse med barnets tarv. Sådanne afgørelser træffes omgående og senest 12 timer efter, at barnet blev lokaliseret, i samråd med relevante myndigheder med ansvar for beskyttelse af børn, alt efter hvad der er hensigtsmæssigt.
4.   Oplysninger om savnede personer, der er lokaliseret, og som er myndige, må, bortset fra mellem kompetente myndigheder, kun videregives med de pågældendes samtykke. De kompetente myndigheder kan dog give den person, der meldte den pågældende savnet, meddelelse om, at indberetningen er blevet slettet, fordi personen er lokaliseret.
KAPITEL VIII
Indberetninger om personer, der eftersøges med henblik på at yde bistand i forbindelse med retsforfølgning
Artikel 34
Formål med og betingelser for at indlæse indberetninger
1.   Med henblik på videregivelse af oplysninger om personers opholdssted eller bopæl indlæser medlemsstaterne på anmodning af en kompetent myndighed indberetninger i SIS om:
a)
vidner
b)
personer, der er indstævnet, eller som eftersøges med henblik på at blive indstævnet for en domstol som led i en straffesag på grund af handlinger, for hvilke de retsforfølges
c)
personer, der skal have forkyndt en strafferetlig dom eller andre dokumenter som led i en straffesag på grund af handlinger, for hvilke de retsforfølges
d)
personer, der skal have forkyndt en tilsigelse til afsoning af en frihedsstraf.
2.   Hvis der er tydelige tegn på, at de genstande, der er omhandlet i artikel 38, stk. 2, litra a), b), c), e), g), h) og k), har forbindelse til en person, der er genstand for en indberetning i henhold til nærværende artikels stk. 1, kan der indlæses indberetninger om disse genstande for at lokalisere personen. I disse tilfælde skal indberetningerne om personen sammenkobles med indberetningen om genstanden, jf. artikel 63.
3.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af de tekniske regler, der er nødvendige for at regulere indlæsning, opdatering, sletning og søgning i de oplysninger, der er omhandlet i denne artikels stk. 2. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 35
Foretagelse af handlingen på grundlag af en indberetning
De ønskede oplysninger videregives til den indberettende medlemsstat ved udveksling af supplerende oplysninger.
KAPITEL IX
Indberetninger om personer og genstande med henblik på diskret kontrol, undersøgelseskontrol eller målrettet kontrol
Artikel 36
Formål med og betingelser for at indlæse indberetninger
1.   Indberetninger om personer, de genstande, der er omhandlet i artikel 38, stk. 2, litra a), b), c), e), g), h), j), k) og l), og andre betalingsmidler end kontanter, indlæses under overholdelse af den indberettende medlemsstats nationale ret med henblik på diskret kontrol, undersøgelseskontrol eller målrettet kontrol i overensstemmelse med artikel 37, stk. 3, 4 og 5.
2.   Når der indlæses indberetninger med henblik på diskret kontrol, undersøgelseskontrol eller målrettet kontrol, og hvis den indberettende medlemsstat anmoder om oplysninger ud over dem, der er omhandlet i artikel 37, stk. 1, litra a)-h), tilføjer den indberettende medlemsstat alle de oplysninger, der anmodes om, til indberetningen. Hvis disse oplysninger vedrører særlige kategorier af personoplysninger som omhandlet i artikel 10 i direktiv (EU) 2016/680, må der kun anmodes om dem, hvis de er absolut nødvendige for det konkrete formål med indberetningen og i forbindelse med den strafbare handling, der ligger til grund for indlæsning af indberetningen.
3.   Indberetninger om personer med henblik på diskret kontrol, undersøgelseskontrol eller målrettet kontrol kan indlæses med henblik på forebyggelse, afsløring, efterforskning eller retsforfølgning af strafbare handlinger, fuldbyrdelse af en straffedom og forebyggelse af trusler mod den offentlige sikkerhed i en eller flere af følgende situationer:
a)
når der er tydelige tegn på, at en person har til hensigt eller er i færd med at begå en af de lovovertrædelser, der er omhandlet i artikel 2, stk. 1 og 2, i rammeafgørelse 2002/584/RIA
b)
når de i artikel 37, stk. 1, omhandlede oplysninger er nødvendige for at fuldbyrde en frihedsstraf eller en frihedsberøvende foranstaltning over for en person, der er dømt for en af de lovovertrædelser, der er omhandlet i artikel 2, stk. 1 og 2, i rammeafgørelse 2002/584/RIA, eller
c)
når det ud fra en samlet vurdering af en person, navnlig under hensyn til tidligere begåede strafbare handlinger, må formodes, at vedkommende i fremtiden kunne begå en af de lovovertrædelser, der er omhandlet i artikel 2, stk. 1 og 2, i rammeafgørelse 2002/584/RIA.
4.   Indberetninger om personer med henblik på diskret kontrol, undersøgelseskontrol eller målrettet kontrol kan endvidere indlæses i overensstemmelse med national ret på begæring af de myndigheder, der har ansvaret for statens sikkerhed, når der er konkrete tegn på, at de oplysninger, der er omhandlet i artikel 37, stk. 1, er nødvendige for at forebygge en alvorlig trussel fra den pågældende persons side eller andre alvorlige trusler mod statens sikkerhed indadtil eller udadtil. Den medlemsstat, der indlæste indberetningen i overensstemmelse med nærværende stykke, underretter de øvrige medlemsstater om en sådan indberetning. Hver medlemsstat træffer afgørelse om, hvilke myndigheder der skal modtage disse oplysninger. Oplysningerne videregives via SIRENE-kontorerne.
5.   Hvis der er tydelige tegn på, at de genstande, der er omhandlet i artikel 38, stk. 2, litra a), b), c), e), g) h), j), k) og l), eller andre betalingsmidler end kontanter har forbindelse til grov kriminalitet som omhandlet i nærværende artikels stk. 3 eller de alvorlige trusler, der er omhandlet i nærværende artikels stk. 4, kan indberetninger om disse genstande indlæses og sammenkobles med de indberetninger, der er indlæst i overensstemmelse med nærværende artikels stk. 3 og 4.
6.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af de tekniske regler, der er nødvendige for at indlæse, ajourføre, slette og søge i de oplysninger, der er omhandlet i denne artikels stk. 5, samt de yderligere oplysninger, der er omhandlet i denne artikels stk. 2. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 37
Foretagelse af handlingen på grundlag af en indberetning
1.   Som led i diskret kontrol, undersøgelseskontrol eller målrettet kontrol indsamler og videregiver den fuldbyrdende medlemsstat alle eller en del af følgende oplysninger til den indberettende medlemsstat:
a)
det forhold, at den person, der er genstand for en indberetning, er blevet lokaliseret, eller at de genstande, der er omhandlet i artikel 38, stk. 2, litra a), b), c), e), g) h), j), k) og l), eller andre betalingsmidler end kontanter, der er genstand for en indberetning, er blevet lokaliseret
b)
sted og tidspunkt for kontrollen samt årsagen hertil
c)
rejserute og mål
d)
ledsagere til indberetningens genstand eller passagerer i køretøjer, skibe eller luftfartøjer eller ledsagere til indehaveren af det officielle blankodokument eller det udstedte identitetsdokument, som med rimelighed kan formodes at være tilknyttet indberetningens genstand
e)
enhver afsløret identitet på og personlig beskrivelse af den person, der anvender det officielle blankodokumentet eller det udstedte identitetsdokument, og som er genstand for indberetningen
f)
de anvendte genstande, der er omhandlet i artikel 38, stk. 2, litra a), b), c), e), g) h), j), k) og l), eller andre betalingsmidler end kontanter, der er anvendt
g)
medbragte genstande, herunder rejsedokumenter
h)
de omstændigheder, hvorunder personen eller de genstande, der er omhandlet i artikel 38, stk. 2, litra a), b), c), e), g) h), j), k) og l), eller andre betalingsmidler end kontanter blev lokaliseret
i)
alle andre oplysninger, som den indberettende medlemsstat anmoder om i overensstemmelse med artikel 36, stk. 2.
Hvis de oplysninger, der er omhandlet i første afsnit, litra i), vedrører særlige kategorier af personoplysninger som omhandlet i artikel 10 i direktiv (EU) 2016/680, skal de behandles i overensstemmelse med betingelserne i nævnte artikel og må kun behandles, hvis de supplerer andre personoplysninger, der behandles til samme formål.
2.   Den fuldbyrdende medlemsstat videregiver de oplysninger, der er omhandlet i stk. 1, ved udveksling af supplerende oplysninger.
3.   En diskret kontrol skal omfatte diskret indsamling af så mange af de i stk. 1 omhandlede oplysninger som muligt under de rutinemæssige aktiviteter, som de nationale kompetente myndigheder i den fuldbyrdende medlemsstat udfører. Indsamlingen af disse oplysninger må ikke skade kontrollens diskrete karakter, og den indberettede person må ikke på nogen måde gøres opmærksom på, at der findes en indberetning.
4.   En undersøgelseskontrol skal omfatte en samtale med personen, herunder på grundlag af oplysninger eller specifikke spørgsmål, som den indberettende medlemsstat har tilføjet til indberetningen i overensstemmelse med artikel 36, stk. 2. Samtalen gennemføres i overensstemmelse med den fuldbyrdende medlemsstats nationale ret.
5.   I forbindelse med målrettet kontrol kan der foretages undersøgelser af personer, køretøjer, skibe, luftfartøjer, containere og medbragte genstande med henblik på de i artikel 36 omhandlede formål. Undersøgelserne skal gennemføres i overensstemmelse med den fuldbyrdende medlemsstats nationale ret.
6.   Hvis målrettet kontrol ikke er tilladt i henhold til den fuldbyrdende medlemsstats nationale ret, ændres den i denne medlemsstat til undersøgelseskontrol. Hvis undersøgelseskontrol ikke er tilladt i henhold til den fuldbyrdende medlemsstats nationale ret, ændres den i denne medlemsstat til diskret kontrol. Såfremt direktiv 2013/48/EU finder anvendelse, sikrer medlemsstaterne, at mistænktes og tiltaltes ret til advokatbistand overholdes i henhold til betingelserne i nævnte direktiv.
7.   Stk. 6 er med forbehold af medlemsstaternes forpligtelse til at stille de oplysninger til rådighed for slutbrugere, der er anmodet om i henhold til artikel 36, stk. 2.
KAPITEL X
Indberetninger om genstande, der skal beslaglægges eller anvendes som bevismidler i straffesager
Artikel 38
Formål med og betingelser for at indlæse indberetninger
1.   Medlemsstaterne indlæser indberetninger i SIS om genstande, der eftersøges med henblik på beslaglæggelse eller anvendelse som bevismidler i straffesager.
2.   Der indlæses indberetninger om følgende kategorier af let identificerbare genstande:
a)
motorkøretøjer, uanset fremdriftssystem
b)
påhængsvogne med en egenvægt på over 750 kg
c)
campingvogne
d)
industrielt udstyr
e)
skibe
f)
skibsmotorer
g)
containere
h)
luftfartøjer
i)
luftfartøjsmotorer
j)
skydevåben
k)
officielle blankodokumenter, som er stjålne, ulovligt handlede eller forsvundne, eller som giver indtryk af at være sådanne dokumenter, men som er falske
l)
udstedte identitetsdokumenter såsom pas, identitetskort, opholdstilladelser, rejsedokumenter og kørekort, som er stjålne, ulovligt handlede, forsvundne eller ugyldiggjorte, eller som giver indtryk af at være sådanne dokumenter, men som er falske
m)
registreringsattester for køretøjer og nummerplader, som er stjålne, ulovligt handlede, forsvundne eller ugyldiggjorte, eller som giver indtryk af at være sådanne dokumenter eller nummerplader, men som er falske
n)
pengesedler (med registrerede numre) og falske pengesedler
o)
informationsteknologisk udstyr
p)
identificerbare komponentdele til motorkøretøjer
q)
identificerbare komponentdele til industrielt udstyr
r)
andre identificerbare genstande af høj værdi som defineret i overensstemmelse med stk. 3.
Med hensyn til de dokumenter, der er omhandlet i litra k), l) og m), kan den indberettende medlemsstat angive, om sådanne dokumenter er stjålne, ulovligt handlede, forsvundne, ugyldiggjorte eller falske.
3.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 75 for at ændre denne forordning ved at definere nye underkategorier af genstande i nærværende artikels stk. 2, litra o), p), q) og r).
4.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af de tekniske regler, der er nødvendige for at indlæse, ajourføre, slette og søge i de i denne artikels stk. 2 omhandlede oplysninger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 39
Foretagelse af handlingen på grundlag af en indberetning
1.   Hvis der ved en søgning viser sig at foreligge en indberetning om en lokaliseret genstand, beslaglægger den kompetente myndighed i overensstemmelse med sin nationale ret genstanden og tager kontakt til den indberettende medlemsstats myndighed for at aftale, hvilke foranstaltninger der skal træffes. Med henblik herpå kan der også videregives personoplysninger efter bestemmelserne i denne forordning.
2.   De oplysninger, der er omhandlet i stk. 1, meddeles ved udveksling af supplerende oplysninger.
3.   Den fuldbyrdende medlemsstat træffer de nødvendige foranstaltninger i overensstemmelse med national ret.
KAPITEL XI
Indberetninger om ukendte eftersøgte personer med henblik på identifikation i henhold til national ret
Artikel 40
Indberetninger om ukendte eftersøgte personer med henblik på identifikation i henhold til national ret
Medlemsstaterne kan indlæse indberetninger i SIS om ukendte eftersøgte personer, som kun indeholder fingeraftryksoplysninger. Disse fingeraftryksoplysninger skal bestå af enten fuldstændige eller ufuldstændige sæt af fingeraftryk eller håndfladeaftryk, der er fundet under efterforskning på gerningssteder for terrorhandlinger eller anden grov kriminalitet. De må kun indlæses i SIS, hvis det med en meget høj grad af sandsynlighed kan fastslås, at de tilhører en gerningsmand.
Hvis den kompetente myndighed i den indberettende medlemsstat ikke kan fastslå den mistænktes identitet på grundlag af oplysninger fra en anden relevant national database, en EU-database eller en international database, må de i første afsnit omhandlede fingeraftryksoplysninger kun indlæses i denne kategori af indberetninger som »ukendt eftersøgt person« med henblik på at identificere en sådan person.
Artikel 41
Foretagelse af handlingen på grundlag af en indberetning
I tilfælde af et hit med oplysninger, der er indlæst i henhold til artikel 40, skal personens identitet fastslås i overensstemmelse med national ret, samtidig med at det af en ekspert kontrolleres, at fingeraftryksoplysningerne i SIS tilhører personen. De fuldbyrdende medlemsstater videregiver oplysninger om personens identitet og opholdssted til den indberettende medlemsstat ved udveksling af supplerende oplysninger for derved at fremme en rettidig efterforskning af sagen.
KAPITEL XII
Særlige regler for biometriske data
Artikel 42
Særlige regler for indlæsning af fotografier, ansigtsbilleder, fingeraftryksoplysninger og DNA-profiler
1.   Kun de i artikel 20, stk. 3, litra w) og y), omhandlede fotografier, ansigtsbilleder og fingeraftryksoplysninger, der opfylder minimumsstandarder for datakvalitet og tekniske specifikationer, må indlæses i SIS. Før disse oplysninger indlæses, skal der udføres en kvalitetskontrol for at fastslå, om minimumsstandarderne for datakvalitet og de tekniske specifikationer er opfyldt.
2.   Fingeraftryksoplysninger, der indlæses i SIS, kan bestå af et til ti flade fingeraftryk og et til ti rullede fingeraftryk. De kan også omfatte op til to håndfladeaftryk.
3.   Der må kun tilføjes en DNA-profil til indberetninger i de tilfælde, der er omhandlet i artikel 32, stk. 1, litra a), og efter at der er foretaget en kontrol for at fastslå, om minimumsstandarderne for datakvalitet og de tekniske specifikationer er overholdt, og kun hvor der ikke findes fotografier, ansigtsbilleder eller fingeraftryksoplysninger, eller disse ikke er egnede til at foretage en identifikation med. Der kan tilføjes DNA-profiler af personer, der er direkte efterkommere af, slægtninge i opstigende linje eller søskende til den indberettede person, forudsat at disse personer giver deres udtrykkelige samtykke hertil. Hvis en DNA-profil føjes til en indberetning, skal profilen omfatte det minimum af oplysninger, der er strengt nødvendigt for at identificere den savnede person.
4.   Minimumstandarder for datakvalitet og tekniske specifikationer for lagring af de biometriske data, der er omhandlet i denne artikels stk. 1 og 3, fastsættes i overensstemmelse med denne artikels stk. 5. Disse minimumstandarder for datakvalitet og tekniske specifikationer fastsætter det kvalitetsniveau, der kræves for at anvende oplysningerne til at kontrollere identiteten af en person i henhold til artikel 43, stk. 1, og for at anvende oplysningerne til at identificere en person i overensstemmelse med artikel 43, stk. 2-4.
5.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse af de minimumstandarder for datakvalitet og tekniske specifikationer, der er omhandlet i denne artikels stk. 1, 3 og 4. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 43
Særlige regler for kontrol eller søgning med fotografier, ansigtsbilleder, fingeraftryksoplysninger og DNA-profiler
1.   Når en indberetning i SIS indeholder fotografier, ansigtsbilleder, fingeraftryksoplysninger og DNA-profiler, anvendes sådanne fotografier, ansigtsbilleder, fingeraftryksoplysninger og DNA-profiler til at bekræfte identiteten på en person, der er lokaliseret som følge af en alfanumerisk søgning i SIS.
2.   Der kan i alle tilfælde søges på fingeraftryksoplysninger for at identificere en person. Der skal dog søges på fingeraftryksoplysninger for at identificere en person, hvor en persons identitet ikke kan fastslås på anden måde. Med henblik herpå skal det centrale SIS omfatte et automatisk fingeraftryksidentifikationssystem (AFIS).
3.   Der kan også søges på fingeraftryksoplysninger i SIS i forbindelse med indberetninger, der er indlæst i overensstemmelse med artikel 26, 32, 36 and 40, ved anvendelse af fuldstændige eller ufuldstændige sæt af fingeraftryk eller håndfladeaftryk, der er fundet på et gerningssted under efterforskning af grov kriminalitet eller terrorhandlinger, hvor det med en høj grad af sandsynlighed kan fastslås, at disse sæt af aftryk tilhører en gerningsmand, og såfremt søgningen foretages samtidigt i medlemsstatens relevante nationale fingeraftryksdatabaser.
4.   Så snart det bliver teknisk muligt og idet der samtidig skal sikres en meget pålidelig identifikation, kan fotografier og ansigtsbilleder anvendes til at identificere en person i forbindelse med almindelige grænseovergangssteder.
Inden funktionen implementeres i SIS, fremlægger Kommissionen en rapport om den nødvendige teknologis tilgængelighed, umiddelbare anvendelighed og pålidelighed. Europa-Parlamentet høres om rapporten.
Efter at funktionen er taget i brug ved almindelige grænseovergangssteder, tillægges Kommissionen beføjelse til at vedtage delegerede retsakter i overensstemmelse med artikel 75 for at supplere denne forordning vedrørende fastlæggelsen af, under hvilke andre omstændigheder fotografier og ansigtsbilleder kan anvendes til at identificere personer.
KAPITEL XIII
Adgangsret og undersøgelse af indberetninger
Artikel 44
Nationale kompetente myndigheder med adgangsret til oplysninger i SIS
1.   Nationale kompetente myndigheder har adgang til oplysninger, der er indlæst i SIS, og ret til at søge direkte i disse oplysninger eller i en kopi af SIS-databasen med henblik på:
a)
grænsekontrol i overensstemmelse med forordning (EU) 2016/399
b)
politi- og toldkontrol udført inde i den berørte medlemsstat og de udpegede myndigheders koordinering af sådan kontrol
c)
forebyggelse, afsløring, efterforskning eller retsforfølgning af terrorhandlinger eller andre alvorlige strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner i den berørte medlemsstat, forudsat at direktiv (EU) 2016/680 finder anvendelse
d)
undersøgelse af betingelserne for og beslutningstagning vedrørende tredjelandsstatsborgeres indrejse og ophold på medlemsstaternes område, herunder vedrørende opholdstilladelser og visa til længerevarende ophold og tilbagesendelse af tredjelandsstatsborgere samt udførelse af kontrol af tredjelandsstatsborgere, der indrejser eller opholder sig ulovligt på medlemsstaternes område
e)
sikkerhedskontrol af tredjelandsstatsborgere, der ansøger om international beskyttelse, for så vidt myndighederne, der foretager kontrollerne, ikke er »besluttende myndigheder« som defineret i artikel 2, litra f), i Europa-Parlamentets og Rådets direktiv 2013/32/EU 
(
38
)
, og, hvor det er relevant, ydelse af rådgivning i overensstemmelse med Rådets forordning (EF) nr. 377/2004 
(
39
)
.
2.   Adgangsret til oplysninger i SIS og ret til at søge direkte i disse oplysninger kan udøves af nationale kompetente myndigheder med ansvar for naturalisation med henblik på behandling af en ansøgning om naturalisation som fastsat i national ret.
3.   Adgangsret til oplysninger i SIS og ret til at søge direkte i disse oplysninger kan også udøves af nationale judicielle myndigheder, herunder myndigheder med ansvar for indledning af offentlig retsforfølgning i straffesager og retlig efterforskning inden tiltale af en person, i forbindelse med varetagelsen af deres opgaver som fastsat i national ret, og af deres koordinerende myndigheder.
4.   De kompetente myndigheder, der er omhandlet i denne artikel, medtages på den liste, der er omhandlet i artikel 56, stk. 7.
Artikel 45
Køretøjsregistreringstjenester
1.   De tjenester i medlemsstaterne, der har ansvaret for udstedelse af registreringsattester for køretøjer, jf. Rådets direktiv 1999/37/EF 
(
40
)
, har adgang til oplysninger indlæst i SIS i overensstemmelse med denne forordnings artikel 38, stk. 2, litra a), b), c), m) og p), udelukkende med henblik på at kontrollere, om de køretøjer og ledsagende registreringsattester og nummerplader, som anmeldes til registrering, er stjålne, ulovligt handlede, forsvundne, giver indtryk af at være sådanne dokumenter, men er falske, eller er eftersøgte som bevismidler i straffesager.
De i første afsnit omhandlede tjenesters adgang til oplysninger er underlagt national ret og begrænses til den berørte tjenestes specifikke kompetence.
2.   De af de i stk. 1 omhandlede tjenester, som er statslige tjenester, har ret til at søge direkte i oplysningerne i SIS.
3.   De af de i stk. 1 omhandlede tjenester, som ikke er statslige tjenester, har kun adgang til oplysninger i SIS via en af de i artikel 44 omhandlede myndigheder. Den pågældende myndighed har ret til at søge direkte i oplysningerne og til at videregive dem til den omhandlede tjeneste. Den berørte medlemsstat sikrer, at den pågældende tjeneste og dens ansatte er forpligtet til at overholde enhver begrænsning i den brug, de må gøre af de oplysninger, som myndigheden har videregivet til dem.
4.   Artikel 39 finder ikke anvendelse på søgninger i SIS, der foretages i henhold til nærværende artikel. Meddelelse af oplysninger, der er fremkommet under en søgning i SIS, fra de i nærværende artikels stk. 1 omhandlede tjenester til politimyndighederne eller de judicielle myndigheder, er underlagt national ret.
Artikel 46
Registreringstjenester for skibe og luftfartøjer
1.   De tjenester i medlemsstaterne, der har ansvaret for udstedelse af registreringsattester eller sikring af trafikstyring for skibe, herunder skibsmotorer, og luftfartøjer, herunder luftfartøjsmotorer, har adgang til følgende oplysninger indlæst i SIS i overensstemmelse med artikel 38, stk. 2, udelukkende med henblik på at kontrollere, om skibe, herunder skibsmotorer, og luftfartøjer, herunder luftfartøjsmotorer, som anmeldes til registrering eller er omfattet af trafikstyring, er stjålne, ulovligt handlede, forsvundne eller eftersøgte som bevismidler i straffesager:
a)
oplysninger om skibe
b)
oplysninger om skibsmotorer
c)
oplysninger om luftfartøjer
d)
oplysninger om luftfartøjsmotorer.
De i første afsnit omhandlede tjenesters adgang til oplysninger er underlagt national ret og begrænses til den berørte tjenestes specifikke kompetence.
2.   De af de i stk. 1 omhandlede tjenester, som er statslige tjenester, har ret til at søge direkte i oplysningerne i SIS.
3.   De af de i stk. 1 omhandlede tjenester, som ikke er statslige tjenester, har kun adgang til oplysninger i SIS via en af de i artikel 44 omhandlede myndigheder. Den pågældende myndighed har ret til at søge direkte i oplysningerne og til at videregive dem til den omhandlede tjeneste. Den berørte medlemsstat sikrer, at den pågældende tjeneste og dens ansatte er forpligtet til at overholde enhver begrænsning i den brug, de må gøre af de oplysninger, som myndigheden har videregivet til dem.
4.   Artikel 39 finder ikke anvendelse på søgninger i SIS, der foretages i henhold til nærværende artikel. Meddelelse af oplysninger, der er fremkommet under en søgning i SIS, fra de i nærværende artikels stk. 1 omhandlede tjenester til politimyndighederne eller de judicielle myndigheder, er underlagt national ret.
Artikel 47
Registreringstjenester for skydevåben
1.   De tjenester i medlemsstaterne, der har ansvaret for udstedelse af registreringsattester for skydevåben, har adgang til oplysninger om personer, der er indlæst i SIS i overensstemmelse med artikel 26 og 36, og oplysninger om skydevåben, der er indlæst i SIS i overensstemmelse med artikel 38, stk. 2. Adgangen udøves med henblik på at kontrollere, om den person, der anmoder om registrering, er begæret anholdt med henblik på overgivelse eller udlevering eller med henblik på diskret kontrol, undersøgelseskontrol eller målrettet kontrol, eller om skydevåben, der ønskes registreret, er eftersøgt med henblik på beslaglæggelse eller anvendelse som bevismateriale i straffesager.
2.   De i stk. 1 omhandlede tjenesters adgang til oplysninger er underlagt national ret og begrænses til den berørte tjenestes specifikke kompetence.
3.   De i stk. 1 omhandlede tjenester, som er statslige tjenester, har ret til at søge direkte i oplysningerne i SIS.
4.   De af de i stk. 1 omhandlede tjenester, som ikke er statslige tjenester, har kun adgang til oplysninger i SIS via en af de i artikel 44 omhandlede myndigheder. Den pågældende myndighed har ret til at søge direkte i oplysningerne og underretter den berørte tjeneste, hvorvidt hvis skydevåbnet kan registreres. Den berørte medlemsstat sikrer, at den pågældende tjeneste og dens ansatte er forpligtet til at overholde enhver begrænsning i den brug, de må gøre af de oplysninger, som den formidlende myndighed har videregivet til dem.
5.   Artikel 39 finder ikke anvendelse på søgninger i SIS, der foretages i henhold til nærværende artikel. Meddelelse af oplysninger, der er fremkommet under en søgning i SIS, fra de i nærværende artikels stk. 1 omhandlede tjenester til politimyndighederne eller de judicielle myndigheder, er underlagt national ret.
Artikel 48
Europols adgang til oplysninger i SIS
1.   Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol), der er oprettet ved forordning (EU) 2016/794, har, hvor det er nødvendigt for at opfylde dets mandat, ret til at tilgå og søge i oplysninger i SIS. Europol kan også udveksle og anmode om yderligere supplerende oplysninger i overensstemmelse med bestemmelserne i SIRENE-håndbogen.
2.   Hvis en søgning foretaget af Europol viser, at der findes en indberetning i SIS, underretter Europol den indberettende medlemsstat via udveksling af supplerende oplysninger ved hjælp af kommunikationsinfrastrukturen og i overensstemmelse med SIRENE-håndbogens bestemmelser. Indtil Europol bliver i stand til at anvende de funktioner, der er beregnet til udveksling af supplerende oplysninger, underretter Europol den indberettende medlemsstat ad de kanaler, der er fastlagt i forordning (EU) 2016/794.
3.   Europol må behandle de supplerende oplysninger, der er blevet fremsendt til det af medlemsstaterne, med henblik på at sammenligne dem med sine databaser og operationelle analyseprojekter for at finde sammenhænge eller andre relevante forbindelser og til strategiske, tematiske eller operationelle analyser som omhandlet i artikel 18, stk. 2, litra a), b) og c), i forordning (EU) 2016/794. Enhver behandling af supplerende oplysninger foretaget af Europol med henblik på nærværende artikel skal udføres i overensstemmelse med nævnte forordning.
4.   Europols brug af oplysninger, der er tilvejebragt gennem søgning i SIS eller gennem behandling af supplerende oplysninger, kan kun finde sted med den indberettende medlemsstats samtykke. Hvis medlemsstaten giver tilladelse til at benytte sådanne oplysninger, skal Europols behandling heraf finde sted i overensstemmelse med forordning (EU) 2016/794. Europol må kun meddele tredjelande og eksterne organisationer sådanne oplysninger med den indberettende medlemsstats samtykke og under fuld overholdelse af EU-retten om databeskyttelse.
5.   Europol:
a)
må ikke tilslutte dele af SIS eller overføre de deri indeholdte oplysninger, som det har adgang til, til et system til dataindsamling og databehandling, der forvaltes af eller i Europol, eller downloade eller på anden måde kopiere nogen del af SIS, jf. dog stk. 4 og 6
b)
sletter uanset artikel 31, stk. 1, i forordning (EU) 2016/794 supplerende oplysninger, der indeholder personoplysninger, senest et år efter, at den pågældende indberetning er blevet slettet. Som en undtagelse kan Europol, hvis det har oplysninger i sine databaser eller operationelle analyseprojekter om en sag, som de supplerende oplysninger vedrører, for at kunne udføre sine opgaver undtagelsesvis fortsat lagre de supplerende oplysninger, hvis det er nødvendigt; Europol underretter den indberettende og den fuldbyrdende medlemsstat om den fortsatte lagring af sådanne supplerende oplysninger og angiver begrundelsen herfor.
c)
begrænser adgangen til oplysninger i SIS, herunder supplerende oplysninger, til særligt bemyndiget Europolpersonale, der har brug for adgang til sådanne oplysninger for at kunne udføre sine opgaver
d)
vedtager og anvender foranstaltninger for at garantere sikkerhed, fortrolighed og egenkontrol i overensstemmelse med artikel 10, 11 og 13
e)
sikrer, at det personale, der er bemyndiget til at behandle SIS-oplysninger, modtager relevant uddannelse og relevante oplysninger i overensstemmelse med artikel 14, stk. 1, og
f)
tillader Den Europæiske Tilsynsførende for Databeskyttelse at overvåge og undersøge Europols virksomhed, når det udøver sin ret til at tilgå og søge i oplysninger i SIS og udveksler og behandler supplerende oplysninger, jf. dog forordning (EU) 2016/794.
6.   Europol må kun kopiere oplysninger fra SIS til tekniske formål, hvor dette er nødvendigt for, at behørigt bemyndiget Europolpersonale kan foretage en direkte søgning. Denne forordning finder anvendelse på sådanne kopier. Den tekniske kopi må kun anvendes til at lagre SIS-oplysninger, mens der søges i disse oplysninger. Når der er søgt i oplysningerne, skal de slettes. En sådan anvendelse betragtes ikke som ulovlig download eller kopiering af SIS-oplysninger. Europol må ikke kopiere indberetningsoplysninger eller uddybende oplysninger fra medlemsstaterne eller CS-SIS til andre Europolsystemer.
7.   Med henblik på at kontrollere lovligheden af databehandling, udøve egenkontrol og sikre ordentlig datasikkerhed og -integritet gemmer Europol logfiler for hver adgang til og søgning i SIS i overensstemmelse med bestemmelserne i artikel 12. Disse logfiler og denne dokumentation betragtes ikke som ulovlig download eller kopiering af en del af SIS.
8.   Medlemsstaterne underretter ved udveksling af supplerende oplysninger Europol om eventuelle hit på indberetninger i forbindelse med terrorhandlinger. Medlemsstaterne kan undtagelsesvis undlade at underrette Europol, hvis dette ville bringe igangværende efterforskninger eller en fysisk persons sikkerhed i fare eller være i strid med væsentlige sikkerhedsinteresser i den indberettende medlemsstat.
9.   Stk. 8 finder anvendelse fra den dato, hvor Europol er i stand til at modtage supplerende oplysninger i overensstemmelse med stk. 1.
Artikel 49
Eurojusts adgang til oplysninger i SIS
1.   Kun de nationale medlemmer af Eurojust og de personer, der bistår dem, skal, hvor det er nødvendigt for at opfylde deres mandat, have ret til at tilgå og søge i oplysninger i SIS inden for deres mandat, jf. artikel 26, 32, 34, 38 og 40.
2.   Hvis en søgning foretaget af et nationalt medlem af Eurojust viser, at der findes en indberetning i SIS, underretter dette nationale medlem den indberettende medlemsstat. Eurojust må kun meddele tredjelande og eksterne organisationer sådanne oplysninger med den indberettende medlemsstats samtykke og under fuld overholdelse af EU-retten om databeskyttelse.
3.   Denne artikel berører ikke bestemmelserne i Europa-Parlamentets og Rådets forordning (EU) 2018/1727 
(
41
)
 og forordning (EU) 2018/1725 for så vidt angår databeskyttelse og det ansvar, som de nationale medlemmer af Eurojust eller de personer, der bistår dem, har for uautoriseret eller ukorrekt behandling af sådanne oplysninger, og beføjelserne tillagt Den Europæiske Tilsynsførende for Databeskyttelse i medfør af disse forordninger.
4.   Med henblik på at kontrollere lovligheden af databehandling, udøve egenkontrol og sikre forsvarlig datasikkerhed og -integritet gemmer Eurojust logfiler, hver gang et nationalt medlem af Eurojust eller en person, der bistår det, tilgår SIS og foretager en søgning, i overensstemmelse med bestemmelserne i artikel 12.
5.   Ingen dele af SIS må tilsluttes et system til dataindsamling og databehandling, der forvaltes af eller i Eurojust, og ingen oplysninger i SIS, som de nationale medlemmer eller de personer, der bistår dem, har adgang til, må overføres til et sådant system. Ingen del af SIS må downloades eller kopieres. Logning af adgang og søgning skal ikke betragtes som ulovlig download eller kopiering af oplysninger i SIS.
6.   Eurojust vedtager og anvender foranstaltninger til sikring af sikkerhed, fortrolighed og egenkontrol i overensstemmelse med artikel 10, 11 og 13.
Artikel 50
Adgang til oplysninger i SIS for europæiske grænse- og kystvagthold, hold af medarbejdere, der er involveret i tilbagesendelsesrelaterede opgaver, og medlemmerne af migrationsstyringsstøtteholdene
1.   I overensstemmelse med artikel 40, stk. 8, i forordning (EU) 2016/1624 har holdmedlemmerne som omhandlet i artikel 2, nr. 8) og 9), i nævnte forordning inden for deres mandat, og forudsat at de har tilladelse til at foretage kontrol i henhold til nærværende forordnings artikel 44, stk. 1, og har fået den nødvendige uddannelse i henhold til nærværende forordnings artikel 14, stk. 1, ret til at tilgå og søge i oplysninger i SIS, for så vidt det er nødvendigt for udførelsen af deres opgave, og som krævet i den operative plan for en specifik operation. Adgang til oplysninger i SIS må ikke udvides til også at omfatte andre holdmedlemmer.
2.   De i stk. 1 omhandlede holdmedlemmer udøver retten til at tilgå og søge i oplysningerne i SIS, jf. stk. 1, via en teknisk grænseflade. Den tekniske grænseflade oprettes og vedligeholdes af Det Europæiske Agentur for Grænse- og Kystbevogtning og sikrer en direkte forbindelse til det centrale SIS.
3.   Hvis en søgning foretaget af et af de i denne artikels stk. 1 omhandlede holdmedlemmer viser, at der findes en indberetning i SIS, underrettes den indberettende medlemsstat herom. I overensstemmelse med artikel 40 i forordning (EU) 2016/1624 må holdmedlemmerne kun reagere på en indberetning i SIS i henhold til instrukserne fra, og som hovedregel under tilstedeværelse af, grænsevagter eller medarbejdere, der er involveret i tilbagesendelsesrelaterede opgaver, fra den værtsmedlemsstat, som de opererer i. Værtsmedlemsstaten kan bemyndige holdmedlemmerne til at handle på sine vegne.
4.   Med henblik på at kontrollere lovligheden af databehandling, udøve egenkontrol og sikre ordentlig datasikkerhed og -integritet gemmer Det Europæiske Agentur for Grænse- og Kystbevogtning logfiler for hver adgang til og søgning i SIS i overensstemmelse med bestemmelserne i artikel 12.
5.   Det Europæiske Agentur for Grænse- og Kystbevogtning vedtager og anvender foranstaltninger for at garantere sikkerhed, fortrolighed og egenkontrol i overensstemmelse med artikel 10, 11 og 13 og sikrer, at de i nærværende artikels stk. 1 omhandlede hold anvender disse foranstaltninger.
6.   Intet i denne artikel må fortolkes som en indskrænkning af bestemmelserne i forordning (EU) 2016/1624 om databeskyttelse eller Det Europæiske Agentur for Grænse- og Kystbevogtnings ansvar for dets uautoriserede eller forkerte behandling af oplysninger
7.   Med forbehold af stk. 2 må ingen dele af SIS tilsluttes et system til dataindsamling og databehandling, der forvaltes af de i stk. 1 omhandlede hold eller af Det Europæiske Agentur for Grænse- og Kystbevogtning, og ingen oplysninger i SIS, som disse hold har adgang til, må overføres til et sådant system. Ingen del af SIS må downloades eller kopieres. Logning af adgang og søgninger betragtes ikke som ulovlig download eller kopiering af SIS-oplysninger.
8.   Det Europæiske Agentur for Grænse- og Kystbevogtning tillader Den Europæiske Tilsynsførende for Databeskyttelse at overvåge og undersøge de aktiviteter, der foretages af de i denne artikel omhandlede hold, når de udøver deres ret til at tilgå og søge i oplysninger i SIS. Dette berører ikke de yderligere bestemmelser i forordning (EU) 2018/1725.
Artikel 51
Evaluering af Europols, Eurojusts og Det Europæiske Agentur for Grænse- og Kystbevogtnings anvendelse af SIS
1.   Kommissionen foretager mindst hvert femte år en evaluering af driften og anvendelsen af SIS af Europol, de nationale medlemmer af Eurojust og de personer, der bistår dem, og de i artikel 50, stk. 1, omhandlede hold.
2.   Europol, Eurojust og Det Europæiske Agentur for Grænse- og Kystbevogtning sikrer en passende opfølgning på de resultater og henstillinger, som evalueringen afføder.
3.   En rapport om resultaterne af evalueringen og opfølgningen herpå sendes til Europa-Parlamentet og Rådet.
Artikel 52
Adgangens omfang
Slutbrugerne, herunder Europol, de nationale medlemmer af Eurojust og de personer, der bistår dem, og holdmedlemmerne som omhandlet i artikel 2, nr. 8) og 9), i forordning (EU) 2016/1624, må kun tilgå de oplysninger, der er nødvendige for varetagelsen af deres opgaver.
Artikel 53
Undersøgelsesfrist for indberetninger — personer
1.   Indberetninger om personer opbevares kun så længe, det er nødvendigt af hensyn til de formål, der ligger til grund for indlæsningen.
2.   En medlemsstat kan indlæse en indberetning om en person med henblik på artikel 26 og artikel 32, stk. 1, litra a) og b), for en periode på fem år. Den indberettende medlemsstat undersøger behovet for fortsat at opbevare indberetningen inden for disse fem år.
3.   En medlemsstat kan indlæse en indberetning om en person med henblik på artikel 34 og 40 for en periode på tre år. Den indberettende medlemsstat undersøger behovet for fortsat at opbevare indberetningen inden for disse tre år.
4.   En medlemsstat kan indlæse en indberetning om en person med henblik på artikel 32, stk. 1, litra c), d) og e), og artikel 36 for en periode på et år. Den indberettende medlemsstat undersøger behovet for fortsat at opbevare indberetningen inden for dette år.
5.   Når det er passende, fastsætter hver enkelt medlemsstat kortere undersøgelsesfrister i overensstemmelse med national ret.
6.   Inden udløbet af undersøgelsesfristen, jf. stk. 2, 3 og 4, kan den indberettende medlemsstat efter en samlet individuel vurdering, der skal registreres, beslutte fortsat at opbevare indberetningen om en person udover udløbet af undersøgelsesfristen, hvis det viser sig at være nødvendigt og forholdsmæssigt afpasset af hensyn til det formål, der ligger til grund for indlæsning af indberetningen. I så fald finder stk. 2, 3 eller 4 også anvendelse på forlængelsen af opbevaringsfristen. En sådan forlængelse meddeles CS-SIS.
7.   Indberetninger slettes automatisk, når den i stk. 2, 3 og 4 nævnte undersøgelsesfrist er udløbet, undtagen hvis den indberettende medlemsstat har meddelt CS-SIS en forlængelse, jf. stk. 6. CS-SIS underretter automatisk med fire måneders varsel den indberettende medlemsstat om en planlagt sletning af oplysninger.
8.   Medlemsstaterne fører statistik over antallet af indberetninger om personer, hvis opbevaringsfrist er blevet forlænget i overensstemmelse med denne artikels stk. 6, og fremsender dem på anmodning til de tilsynsmyndigheder, der er omhandlet i artikel 69.
9.   Så snart det står klart for et SIRENE-kontor, at en indberetning om en person har opfyldt sit formål og derfor bør slettes, underretter det omgående den myndighed, som oprettede indberetningen. Myndigheden har 15 kalenderdage fra modtagelsen af denne underretning til at svare, at indberetningen er blevet eller vil blive slettet eller angive begrundelsen for, at indberetningen fortsat opbevares. Hvis der ikke modtages et svar inden for 15-dages-fristen, sikrer SIRENE-kontoret, at indberetningen slettes. Hvis det er tilladt i henhold til national ret, sletter SIRENE-kontoret indberetningen. SIRENE-kontorerne indberetter eventuelle gentagne problemer, som de støder på under udøvelsen af dette stykke, til deres tilsynsmyndighed.
Artikel 54
Undersøgelsesfrist for indberetninger — genstande
1.   Indberetninger om genstande opbevares kun så længe, det er nødvendigt af hensyn til de formål, der ligger til grund for indlæsningen.
2.   En medlemsstat kan indlæse en indberetning om en genstand med henblik på artikel 36 og 38 for en periode på ti år. Den indberettende medlemsstat undersøger behovet for fortsat at opbevare indberetningen inden for disse ti år.
3.   Indberetninger om genstande, der er indlæst i overensstemmelse med artikel 26, 32, 34 og 36, undersøges i henhold til artikel 53, hvis de er knyttet til en indberetning om en person. Sådanne indberetninger opbevares kun, så længe indberetningen om den pågældende person opbevares.
4.   Inden udløbet af undersøgelsesfristen, jf. stk. 2 og 3, kan den indberettende medlemsstat beslutte fortsat at opbevare indberetningen om en genstand udover udløbet af undersøgelsesfristen, hvis det viser sig at være nødvendigt af hensyn til det formål, der ligger til grund for indlæsning af indberetningen. I så fald finder stk. 2 eller 3 anvendelse, alt efter hvad der er relevant.
5.   Kommissionen kan vedtage gennemførelsesretsakter med henblik på at fastsætte kortere undersøgelsesfrister for bestemte indberetningskategorier vedrørende genstande. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
6.   Medlemsstaterne fører statistik over antallet af indberetninger om genstande, hvis opbevaringsfrist er blevet forlænget i overensstemmelse med stk. 4.
KAPITEL XIV
Sletning af indberetninger
Artikel 55
Sletning af indberetninger
1.   Indberetninger om anholdelse med henblik på overgivelse eller udlevering, jf. artikel 26, slettes, når personen er blevet overgivet eller udleveret til de kompetente myndigheder i den indberettende medlemsstat. De slettes også, hvis den kompetente judicielle myndighed i overensstemmelse med national ret har tilbagekaldt den retsafgørelse, der lå til grund for indberetningen. De slettes også ved indberetningens udløb i overensstemmelse med artikel 53.
2.   Indberetninger om savnede eller sårbare personer, der har behov for at blive forhindret i at rejse i medfør af artikel 32, slettes i overensstemmelse med følgende regler:
a)
For så vidt angår savnede børn og børn, der er i fare for at blive bortført, slettes en indberetning, når:
i)
sagen er løst, f.eks. når barnet er blevet lokaliseret eller hjemsendt, eller de kompetente myndigheder i den fuldbyrdende medlemsstat har truffet afgørelse om, hvem der skal tage vare på barnet
ii)
indberetningen er udløbet, jf. artikel 53, eller
iii)
den kompetente myndighed i den indberettende medlemsstat har truffet afgørelse herom.
b)
For så vidt angår savnede voksne slettes en indberetning, når der ikke kræves beskyttelsesforanstaltninger, når:
i)
handlingen er foretaget, hvis deres opholdssted er bekræftet af den fuldbyrdende medlemsstat
ii)
indberetningen er udløbet i overensstemmelse med artikel 53, eller
iii)
den kompetente myndighed i den indberettende medlemsstat har truffet afgørelse herom.
c)
For så vidt angår savnede voksne slettes en indberetning, når der kræves beskyttelsesforanstaltninger, når:
i)
handlingen er foretaget, hvis personen er taget i varetægt
ii)
indberetningen er udløbet, jf. artikel 53, eller
iii)
den kompetente myndighed i den indberettende medlemsstat har truffet afgørelse herom.
d)
For så vidt angår sårbare, myndige personer, der har behov for at blive forhindret i at rejse af hensyn til deres egen sikkerhed, og børn, der har behov for at blive forhindret i at rejse, slettes en indberetning, når:
i)
handlingen er foretaget, f.eks. at personen er taget i varetægt
ii)
indberetningen er udløbet, jf. artikel 53, eller
iii)
den kompetente myndighed i den indberettende medlemsstat har truffet afgørelse herom.
Hvis en person som følge af en kompetent myndigheds afgørelse er blevet anbragt på en institution, kan en indberetning, uden at det berører national ret, opbevares, indtil personen er blevet hjemsendt.
3.   Indberetninger om personer, der er eftersøgte med henblik på retsforfølgelse, jf. artikel 34, slettes, når:
a)
den kompetente myndighed i den indberettende medlemsstat er blevet underrettet om personens opholdssted
b)
indberetningen er udløbet, jf. artikel 53, eller
c)
den kompetente myndighed i den indberettende medlemsstat har truffet afgørelse herom.
Når det ikke er muligt at handle på grundlag af oplysninger i den litra a) omhandlede underretning, oplyser SIRENE-kontoret i den indberettende medlemsstat SIRENE-kontoret i den fuldbyrdende medlemsstat herom for at løse problemet.
I tilfælde af et hit, hvor adresseoplysningerne er fremsendt til den indberettende medlemsstat, og et efterfølgende hit i den samme fuldbyrdende medlemsstat viser de samme adresseoplysninger, skal hittet registreres i den fuldbyrdende medlemsstat, men der skal hverken videresendes adresseoplysninger eller supplerende oplysninger til den indberettende medlemsstat. I sådanne tilfælde underretter den fuldbyrdende medlemsstat den indberettende medlemsstat om de gentagne hit, og den indberettende medlemsstat udfører en omfattende individuel vurdering af behovet for fortsat at opbevare indberetningen.
4.   Indberetninger med henblik på diskret kontrol, undersøgelseskontrol og målrettet kontrol, jf. artikel 36, slettes, når:
a)
indberetningen er udløbet i overensstemmelse med artikel 53, eller
b)
den kompetente myndighed i den indberettende medlemsstat har truffet afgørelse herom.
5.   Indberetninger om genstande, der skal beslaglægges eller anvendes som bevismidler i straffesager, jf. artikel 38, slettes, når:
a)
genstanden er blevet beslaglagt, eller der er truffet en lignende foranstaltning, efter at den nødvendige opfølgende udveksling af supplerende oplysninger mellem de berørte SIRENE-kontorer har fundet sted, eller genstanden bliver omfattet af en anden retslig eller administrativ procedure
b)
indberetningen er udløbet i overensstemmelse med artikel 53, eller
c)
den kompetente myndighed i den indberettende medlemsstat har truffet afgørelse herom.
6.   Indberetninger om ukendte eftersøgte personer, jf. artikel 40, slettes, når:
a)
personen er blevet identificeret
b)
indberetningen er udløbet i overensstemmelse med artikel 53, eller
c)
den kompetente myndighed i den indberettende medlemsstat har truffet afgørelse herom.
7.   Hvis den er knyttet til en indberetning om en person, slettes en indberetning om en genstand, der er indlæst i overensstemmelse med artikel 26, 32, 34 og 36, når indberetningen om den pågældende person slettes i overensstemmelse med nærværende artikel.
KAPITEL XV
Generelle regler for behandling af oplysninger
Artikel 56
Behandling af SIS-oplysninger
1.   Medlemsstaterne må kun behandle de oplysninger, der er omhandlet i artikel 20, til de formål, der er fastsat for hver indberetningskategori, jf. artikel 26, 32, 34, 36, 38 og 40.
2.   Oplysningerne må kun kopieres til tekniske formål, hvor dette er nødvendigt for, at de kompetente myndigheder, der er omhandlet i artikel 44, kan foretage en direkte søgning. Denne forordning finder anvendelse på sådanne kopier. En medlemsstat må ikke kopiere indberetningsoplysningerne i en indberetning eller uddybende oplysninger, som en anden medlemsstat har indlæst, fra sit N.SIS eller fra CS-SIS til andre nationale datafiler.
3.   De i stk. 2 omhandlede tekniske kopier, som fører til offlinedatabaser, må højst eksistere i 48 timer.
Medlemsstaterne opbevarer en ajourført oversigt over disse kopier, stiller denne oversigt til rådighed for deres tilsynsmyndigheder og sikrer, at denne forordning, navnlig artikel 10, anvendes på disse kopier.
4.   Der må kun gives nationale kompetente myndigheder som omhandlet i artikel 44 adgang til oplysninger i SIS inden for rammerne af deres beføjelser og kun til behørigt autoriseret personale.
5.   For så vidt angår de indberetninger, der er omhandlet i denne forordnings artikel 26, 32, 34, 36, 38 og 40, er det kun tilladt at behandle oplysningerne i SIS til andre formål end dem, hvortil de er indlæst i SIS, hvis der er en sammenhæng med en specifik sag, og hvis det er nødvendigt for at forebygge en overhængende og alvorlig trussel mod den offentlige orden og den offentlige sikkerhed, af tungtvejende hensyn til statens sikkerhed eller til forebyggelse af grov kriminalitet. I så fald skal der forinden indhentes tilladelse fra den indberettende medlemsstat med henblik herpå.
6.   Enhver anvendelse af SIS-oplysninger i strid med denne artikels stk. 1-5 betragtes som misbrug i henhold til den enkelte medlemsstats nationale ret og er underlagt sanktioner i henhold til artikel 73.
7.   Hver medlemsstat sender eu-LISA en liste over de af dets kompetente myndigheder, der har tilladelse til at søge i oplysningerne i SIS direkte i henhold til denne forordning, samt alle ændringer af denne liste. For hver myndighed på denne liste skal det angives, hvilke oplysninger den må søge i og til hvilke formål. eu-LISA sørger for, at listen offentliggøres i 
Den Europæiske Unions Tidende
 hvert år. eu-LISA fører på sit websted en liste, der løbende ajourføres, med de ændringer, som medlemsstaterne har indsendt imellem de årlige offentliggørelser.
8.   For så vidt EU-retten ikke fastsætter særlige bestemmelser, finder den enkelte medlemsstats ret anvendelse på oplysningerne i dets N.SIS.
Artikel 57
SIS-oplysninger og nationale filer
1.   Artikel 56, stk. 2, berører ikke en medlemsstats ret til i sine nationale filer at opbevare SIS-oplysninger, i forbindelse med hvilke der er foretaget handlinger på dens område. Sådanne oplysninger opbevares i nationale filer i højst tre år, medmindre der i national ret findes særlige bestemmelser om en længere opbevaringsfrist.
2.   Artikel 56, stk. 2, berører ikke en medlemsstats ret til i nationale filer at opbevare oplysninger indeholdt i en bestemt indberetning, som den pågældende medlemsstat har indlæst.
Artikel 58
Oplysninger i tilfælde af manglende gennemførelse af en indberetning
Hvis en påkrævet handling ikke kan foretages, underretter den medlemsstat, der anmodes om at foretage handlingen, omgående den indberettende medlemsstat herom ved udveksling af supplerende oplysninger.
Artikel 59
Kvaliteten af oplysningerne i SIS
1.   Den indberettende medlemsstat har ansvaret for at sikre, at oplysningerne er korrekte, ajourførte og lovligt indlæst og lagret i SIS.
2.   Når en indberettende medlemsstat modtager relevante supplerende eller ændrede oplysninger som anført i artikel 20, stk. 3, færdiggør eller ændrer den straks den pågældende indberetning.
3.   Kun den indberettende medlemsstat må ændre, supplere, rette, ajourføre eller slette de oplysninger, den har indlæst i SIS.
4.   Hvis en anden medlemsstat end den indberettende medlemsstat har relevante supplerende eller ændrede oplysninger, jf. artikel 20, stk. 3, videregiver den dem straks ved udveksling af supplerende oplysninger til den indberettende medlemsstat, så denne kan færdiggøre eller ændre indberetningen. Hvis de supplerende eller ændrede oplysninger vedrører personer, videregives de kun, hvis personens identitet kan fastslås.
5.   Hvis en anden medlemsstat end den indberettende medlemsstat er i besiddelse af dokumentation, der lader formode, at en oplysning er faktuelt ukorrekt eller er blevet lagret ulovligt, meddeler den ved udveksling af supplerende oplysninger den indberettende medlemsstat dette hurtigst muligt og senest to hverdage efter, at den fik kendskab til denne dokumentation. Den indberettende medlemsstat kontrollerer oplysningen og retter eller sletter om nødvendigt straks oplysningen.
6.   Hvis medlemsstaterne ikke kan nå til enighed inden for to måneder efter, at dokumentationen blev kendt, jf. denne artikels stk. 5, forelægger den medlemsstat, der ikke har indlæst indberetningen, sagen for de berørte tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse med henblik på at få truffet en afgørelse ved hjælp af samarbejde i overensstemmelse med artikel 71.
7.   Medlemsstaterne udveksler supplerende oplysninger, hvis en person klager over ikke at være den tiltænkte genstand for en indberetning. Hvis resultatet af undersøgelsen viser, at den tiltænkte genstand for en indberetning ikke er klageren, skal klageren underrettes om de i artikel 62 fastsatte foranstaltninger og om retten til retsmidler i medfør af artikel 68, stk. 1.
Artikel 60
Sikkerhedsrelaterede hændelser
1.   Enhver hændelse, der har eller kan have indvirkning på sikkerheden i SIS eller kan forårsage beskadigelse eller tab af SIS-oplysninger eller af supplerende oplysninger, skal anses for at være en sikkerhedsrelateret hændelse, navnlig når ulovlig adgang til oplysninger kan have forekommet, eller hvor oplysningernes tilgængelighed, integritet og fortrolighed er eller kan være blevet kompromitteret.
2.   Sikkerhedsrelaterede hændelser skal håndteres på en måde, der sikrer en hurtig, effektiv og passende reaktion.
3.   Uden at det berører anmeldelsen af og underretningen om et brud på persondatasikkerheden, jf. artikel 33 i forordning (EU) 2016/679 eller artikel 30 i direktiv (EU) 2016/680, underretter medlemsstaterne, Europol, Eurojust og Det Europæiske Agentur for Grænse- og Kystbevogtning straks Kommissionen, eu-LISA, den kompetente tilsynsmyndighed og Den Europæiske Tilsynsførende for Databeskyttelse om sikkerhedsrelaterede hændelser. eu-LISA underretter straks Kommissionen og Den Europæiske Tilsynsførende for Databeskyttelse om enhver sikkerhedsrelateret hændelse vedrørende det centrale SIS.
4.   Oplysninger om en sikkerhedsrelateret hændelse, som har eller kan få indvirkning på driften af SIS i en medlemsstat eller i eu-LISA eller på tilgængeligheden, integriteten og fortroligheden af de oplysninger, der indlæses eller sendes af andre medlemsstater, eller de supplerende oplysninger, der udveksles, skal straks forelægges alle medlemsstaterne og indberettes i overensstemmelse med eu-LISA's hændelsesstyringsplan.
5.   Medlemsstaterne og eu-LISA samarbejder i tilfælde af en sikkerhedsrelateret hændelse.
6.   Kommissionen rapporterer omgående alvorlige hændelser til Europa-Parlamentet og Rådet. Disse rapporter klassificeres som RESTREINT UE/EU RESTRICTED i overensstemmelse med de gældende sikkerhedsregler.
7.   Når en sikkerhedsrelateret hændelse er forårsaget af misbrug af oplysninger, sikrer medlemsstaterne, Europol, Eurojust og Det Europæiske Agentur for Grænse- og Kystbevogtning, at der pålægges sanktioner i overensstemmelse med artikel 73.
Artikel 61
Sondring mellem personer med kendetegn, der ligner hinanden
1.   Når det i forbindelse med indlæsning af en ny indberetning viser sig, at der allerede findes en indberetning i SIS om en person med samme identitetsbeskrivelse, tager SIRENE-kontoret inden for 12 timer kontakt til den indberettende medlemsstat ved udveksling af supplerende oplysninger for at undersøge, om genstandene for indberetningerne er samme person.
2.   Hvis undersøgelsen viser, at genstanden for den nye indberetning og genstanden for den indberetning, der allerede er indlæst i SIS, faktisk er samme person, iværksætter SIRENE-kontoret den i artikel 23 omhandlede procedure for indlæsning af flere indberetninger.
3.   Hvis undersøgelsen viser, at det faktisk drejer sig om to forskellige personer, godkender SIRENE-kontoret anmodningen om indlæsning af den anden indberetning ved at tilføje de nødvendige oplysninger for at forhindre fejlidentifikationer.
Artikel 62
Uddybende oplysninger med henblik på håndtering af identitetsmisbrug
1.   Når der kan opstå forveksling mellem den person, der er den tiltænkte genstand for en indberetning, og en person, hvis identitet er blevet misbrugt, tilføjer den indberettende udtrykkeligt samtykke fra den person, hvis identitet er blevet misbrugt, oplysninger vedrørende sidstnævnte i indberetningen for at undgå de negative følger af fejlidentifikation. Enhver person, hvis identitet er blevet misbrugt, har ret til at trække sit samtykke til behandling af de tilføjede personoplysninger tilbage.
2.   Oplysninger vedrørende en person, hvis identitet er blevet misbrugt, må kun anvendes til følgende formål:
a)
at gøre det muligt for den kompetente myndighed at skelne mellem den person, hvis identitet er blevet misbrugt, og den person, der er den tiltænkte genstand for indberetningen, og
b)
at gøre det muligt for den person, hvis identitet er blevet misbrugt, at bevise sin identitet og fastslå, at vedkommendes identitet er blevet misbrugt.
3.   Med henblik på denne artikel og med forbehold af et udtrykkeligt samtykke fra den person, hvis identitet er blevet misbrugt for hver enkelt datakategori, må kun følgende personoplysninger om en person, hvis identitet er blevet misbrugt, indlæses og viderebehandles i SIS:
a)
efternavne
b)
fornavne
c)
fødenavne
d)
tidligere anvendte navne og eventuelt særskilt indlæste kaldenavne
e)
særlige fysiske kendetegn af objektiv og blivende karakter
f)
fødested
g)
fødselsdato
h)
køn
i)
fotografier og ansigtsbilleder
j)
fingeraftryk, håndfladeaftryk eller begge
k)
samtlige nationaliteter
l)
arten af personens identifikationsdokumenter
m)
det land, der har udstedt personens identifikationsdokumenter
n)
nummeret/numrene på personens identifikationsdokumenter
o)
datoen for udstedelse af personens identifikationsdokumenter
p)
personens adresse
q)
personens fars navn
r)
personens mors navn.
4.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af de tekniske regler, der er nødvendige for indlæsning og viderebehandling af de oplysninger, der er omhandlet i denne artikels stk. 3. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
5.   De oplysninger, der er omhandlet i stk. 3, slettes samtidig med den tilsvarende indberetning eller tidligere, hvis den pågældende person anmoder herom.
6.   Kun de myndigheder, der har adgangsret til den tilsvarende indberetning, må tilgå de oplysninger, der er omhandlet i stk. 3. De må udelukkende tilgå dem med henblik på at undgå fejlidentifikation.
Artikel 63
Sammenkobling af indberetninger
1.   En medlemsstat kan sammenkoble indberetninger, den indlæser i SIS. Formålet hermed er at skabe en forbindelse mellem to eller flere indberetninger.
2.   Sammenkoblingen påvirker ikke de særlige handlinger, der skal foretages på grundlag af hver enkelt sammenkoblet indberetning, eller undersøgelsesfristen for hver af de sammenkoblede indberetninger.
3.   Sammenkoblingen påvirker ikke de adgangsrettigheder, som er fastsat i denne forordning. De myndigheder, der ikke har adgangsret til bestemte kategorier af indberetninger, må ikke kunne se sammenkoblingen til en indberetning, som de ikke har adgang til.
4.   En medlemsstat sammenkobler indberetninger, når der er et operationelt behov herfor.
5.   Når en medlemsstat finder, at det er i strid med dens nationale ret eller dens internationale forpligtelser, at en anden medlemsstat sammenkobler indberetninger, kan den træffe de nødvendige foranstaltninger for at sikre, at der ikke er adgang til de sammenkoblede indberetninger fra dens nationale område eller for de af dens myndigheder, der er etableret uden for dens område.
6.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af tekniske regler for sammenkobling af indberetninger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 64
Formålet med de supplerende oplysninger og opbevaringsfristen herfor
1.   Medlemsstaterne opbevarer en henvisning til de afgørelser, der giver anledning til en indberetning, på SIRENE-kontoret for at støtte udvekslingen af supplerende oplysninger.
2.   Personoplysninger, som SIRENE-kontoret opbevarer i filer som følge af en udveksling af oplysninger, opbevares kun, så længe det er nødvendigt af hensyn til det formål, hvortil de blev givet. De skal under alle omstændigheder slettes senest et år efter, at den pågældende indberetning er blevet slettet i SIS.
3.   Stk. 2 berører ikke en medlemsstats ret til i nationale filer at opbevare oplysninger om en bestemt indberetning, som den pågældende medlemsstat har indlæst, eller om en indberetning, i forbindelse med hvilken der er foretaget foranstaltninger på dens område. Fristen for, hvor længe sådanne oplysninger må opbevares i disse filer, er undergivet national ret.
Artikel 65
Overførsel af personoplysninger til tredjeparter
Oplysninger behandlet i SIS og de tilknyttede supplerende oplysninger, som er udvekslet i henhold til denne forordning, må ikke overføres eller stilles til rådighed for tredjelande eller internationale organisationer.
KAPITEL XVI
Databeskyttelse
Artikel 66
Gældende lovgivning
1.   Forordning (EU) 2018/1725 finder anvendelse på eu-LISA's, Det Europæiske Agentur for Grænse- og Kystbevogtnings og Eurojusts behandling af personoplysninger i henhold til nærværende forordning. Forordning (EU) 2016/794 finder anvendelse på Europols behandling af personoplysninger i henhold til nærværende forordning.
2.   Direktiv (EU) 2016/680 finder anvendelse på nationale kompetente myndigheders og tjenesters behandling af personoplysninger i henhold til denne forordning med henblik på at forebygge, afsløre, efterforske eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed.
3.   Forordning (EU) 2016/679 finder anvendelse på nationale kompetente myndigheders og tjenesters behandling af personoplysninger i henhold til nærværende forordning med undtagelse af behandling med henblik på at forebygge, afsløre, efterforske eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed.
Artikel 67
Ret til adgang, berigtigelse af ukorrekte oplysninger og sletning af ulovligt lagrede oplysninger
1.   Registrerede skal have mulighed for at udøve deres rettigheder som anført i artikel 15, 16 og 17 i forordning (EU) 2016/679 samt artikel 14 og artikel 16, stk. 1 og 2, i direktiv (EU) 2016/680.
2.   En anden medlemsstat end den indberettende medlemsstat må kun give den registrerede oplysninger om alle de af den registreredes personoplysninger, der behandles, hvis den forinden har givet den indberettende medlemsstat lejlighed til at udtale sig herom. Kommunikationen mellem disse medlemsstater sker via udveksling af supplerende oplysninger.
3.   En medlemsstat træffer i overensstemmelse med national ret beslutning om helt eller delvist at undlade at give oplysninger til den registrerede, i det omfang og så længe denne undladelse er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørig hensyntagen til den pågældende registreredes grundlæggende rettigheder og legitime interesser, for at:
a)
undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer
b)
undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner
c)
beskytte den offentlige sikkerhed
d)
beskytte den nationale sikkerhed, eller
e)
beskytte andres rettigheder og frihedsrettigheder.
I de i første afsnit omhandlede tilfælde oplyser medlemsstaten skriftligt og uden unødig forsinkelse den registrerede om enhver nægtelse eller begrænsning af adgang og om begrundelserne for nægtelsen eller begrænsningen. Disse oplysninger kan udelades, hvis udleveringen heraf vil være til skade for et af formålene i første afsnits litra a)-e). Medlemsstaten oplyser den registrerede om muligheden for at indgive klage til en tilsynsmyndighed eller at anvende retsmidler.
Medlemsstaten dokumenterer de faktiske eller retlige begrundelser for afgørelsen om ikke at udlevere oplysninger til den registrerede. Disse oplysninger stilles til rådighed for tilsynsmyndighederne.
I sådanne tilfælde kan den registrerede også udøve sine rettigheder gennem de kompetente tilsynsmyndigheder.
4.   Efter en ansøgning om adgang, berigtigelse eller sletning oplyser medlemsstaten den registrerede hurtigst muligt og under alle omstændigheder inden for de frister, der er omhandlet i artikel 12, stk. 3, i forordning (EU) 2016/679, om opfølgningen på udøvelsen af rettighederne i medfør af nærværende artikel.
Artikel 68
Retsmidler
1.   Med forbehold af bestemmelserne om retsmidler i forordning (EU) 2016/679 og direktiv (EU) 2016/680 kan enhver person indbringe et spørgsmål for enhver kompetent myndighed, herunder en domstol, i henhold til retten i enhver medlemsstat med påstand om adgang til; berigtigelse eller sletning af oplysninger, aktindsigt eller skadeserstatning i forbindelse med en indberetning vedrørende den pågældende.
2.   Medlemsstaterne forpligter sig gensidigt til at fuldbyrde endelige afgørelser, der er truffet af de domstole eller myndigheder, som er omhandlet i denne artikels stk. 1, jf. dog artikel 72.
3.   Medlemsstaterne rapporterer hvert år til Det Europæiske Databeskyttelsesråd om:
a)
antallet af anmodninger til den dataansvarlige om adgang og antallet af tilfælde, hvor der blev givet adgang til oplysningerne
b)
antallet af anmodninger til tilsynsmyndigheden om adgang og antallet af tilfælde, hvor der blev givet adgang til oplysningerne
c)
antallet af anmodninger til den dataansvarlige om berigtigelse af ukorrekte oplysninger og sletning af ulovligt lagrede oplysninger og antallet af tilfælde, hvor oplysninger blev berigtiget eller slettet
d)
antallet af anmodninger til tilsynsmyndigheden om berigtigelse af ukorrekte oplysninger og sletning af ulovligt lagrede oplysninger
e)
antallet af anlagte retssager
f)
antallet af sager, hvor en domstol gav ansøgeren medhold
g)
eventuelle bemærkninger om tilfælde af gensidig anerkendelse af endelige afgørelser truffet af domstole eller myndigheder i andre medlemsstater om indberetninger indlæst af den indberettende medlemsstat.
Kommissionen udarbejder en model for rapportering i henhold til dette stykke.
4.   Rapporterne fra medlemsstaterne indarbejdes i den i artikel 71, stk. 4, omhandlede fælles rapport.
Artikel 69
Tilsyn med N.SIS
1.   Medlemsstaterne sikrer, at de uafhængige tilsynsmyndigheder, der er udpeget i hver medlemsstat og har de beføjelser, der er omhandlet i kapitel VI i direktiv (EU) 2016/679 eller kapitel VI i forordning (EU) 2016/680, overvåger lovligheden af behandlingen af personoplysninger i SIS på deres område, videregivelsen heraf fra deres område og udvekslingen og viderebehandlingen af supplerende oplysninger på deres område.
2.   Tilsynsmyndighederne sikrer, at der foretages en audit af databehandlingsaktiviteterne i N.SIS i overensstemmelse med internationale standarder for audit mindst hvert fjerde år. Denne audit foretages af tilsynsmyndighederne, eller tilsynsmyndighederne bestiller den direkte hos en uafhængig auditor med ekspertise inden for databeskyttelse. Tilsynsmyndighederne bevarer til enhver tid kontrollen over og påtager sig ansvaret for den uafhængige auditor.
3.   Medlemsstaterne sikrer, at deres tilsynsmyndigheder har tilstrækkelige ressourcer til at udføre de opgaver, som er tillagt dem i henhold til denne forordning, og at de har adgang til rådgivning fra personer med tilstrækkeligt kendskab til biometriske data.
Artikel 70
Tilsyn med eu-LISA
1.   Den Europæiske Tilsynsførende for Databeskyttelse er ansvarlig for overvågningen af eu-LISA's behandling af personoplysninger og for at sikre, at behandlingen sker i overensstemmelse med denne forordning. De opgaver og beføjelser, der er omhandlet i artikel 57 og 58 i forordning (EU) 2018/1725, finder tilsvarende anvendelse.
2.   Den Europæiske Tilsynsførende for Databeskyttelse foretager mindst hvert fjerde år en audit af eu-LISA's behandling af personoplysninger i henhold til internationale standarder for audit. Der sendes en rapport om denne audit til Europa-Parlamentet, Rådet, eu-LISA, Kommissionen og tilsynsmyndighederne. eu-LISA skal have mulighed for at fremsætte bemærkninger, inden rapporten vedtages.
Artikel 71
Samarbejde mellem tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse
1.   Tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse, der hver især handler inden for deres respektive beføjelser, samarbejder aktivt inden for rammerne af deres ansvarsområder og sikrer samordnet tilsyn med SIS.
2.   Tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse udveksler inden for deres respektive beføjelser relevante oplysninger, bistår hinanden med at gennemføre audit og inspektioner, undersøger vanskeligheder med fortolkningen eller anvendelsen af denne forordning og andre gældende EU-retsakter, undersøger problemer, som afdækkes i forbindelse med udøvelsen af uafhængigt tilsyn eller udøvelsen af den registreredes rettigheder, udarbejder harmoniserede forslag til fælles løsninger på problemer og fremmer kendskabet til databeskyttelsesrettigheder, når det er nødvendigt.
3.   Til de i stk. 2 fastsatte formål mødes tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse mindst to gange om året inden for rammerne af Det Europæiske Databeskyttelsesråd. Det Europæiske Databeskyttelsesråd dækker udgifterne til disse møder og varetager støttefunktionerne. Forretningsordenen vedtages på det første møde. Øvrige arbejdsmetoder udvikles i fællesskab efter behov.
4.   Det Europæiske Databeskyttelsesråd sender hvert år Europa-Parlamentet, Rådet og Kommissionen en fælles aktivitetsrapport om det koordinerede tilsyn.
KAPITEL XVII
Erstatningsansvar og sanktioner
Artikel 72
Erstatningsansvar
1.   Med forbehold af retten til erstatning og ethvert erstatningsansvar i henhold til forordning (EU) 2016/679, direktiv (EU) 2016/680 og forordning (EU) 2018/1725:
a)
har enhver person eller medlemsstat, der har lidt materiel eller immateriel skade som følge af en ulovlig behandling af personoplysninger i forbindelse med brugen af N.SIS eller enhver anden handling fra en medlemsstats side, der er i strid med nærværende forordning, ret til erstatning fra nævnte medlemsstat, og
b)
har enhver person eller medlemsstat, der har lidt materiel eller immateriel skade som følge af enhver handling fra eu-LISA's side, der er i strid med nærværende forordning, ret til erstatning fra eu-LISA.
En medlemsstat eller eu-LISA fritages helt eller delvis for deres erstatningsansvar i medfør af første afsnit, hvis de beviser, at de ikke er skyld i den begivenhed, der forårsagede skaden.
2.   Hvis en medlemsstats manglende overholdelse af sine forpligtelser i henhold til denne forordning volder skade på SIS, holdes den pågældende medlemsstat ansvarlig for skaden, medmindre og i det omfang eu-LISA eller en anden medlemsstat, der deltager i SIS, undlod at træffe rimelige foranstaltninger for at forhindre skaden i at ske eller til at begrænse dens omfang.
3.   Krav om erstatning mod en medlemsstat for den i stk. 1 og 2 omhandlede skade er underlagt den nævnte medlemsstats nationale ret. Krav om erstatning mod eu-LISA for den i stk. 1 og 2 omhandlede skade er omfattet af de betingelser, der er fastsat i traktaterne.
Artikel 73
Sanktioner
Medlemsstaterne sikrer, at misbrug af SIS-oplysninger eller behandling af sådanne oplysninger eller udveksling af supplerende oplysninger i strid med denne forordning straffes i overensstemmelse med national ret.
Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.
KAPITEL XVIII
Afsluttende bestemmelser
Artikel 74
Overvågning og statistikker
1.   eu-LISA sørger for, at der indføres procedurer til kontrol af, hvordan SIS fungerer set i forhold til de mål, der er fastlagt for resultater, omkostningseffektivitet, sikkerhed og tjenestens kvalitet.
2.   Med henblik på den tekniske vedligeholdelse, rapportering, datakvalitetsrapportering og statistik har eu-LISA adgang til de nødvendige oplysninger vedrørende behandlingsaktiviteterne i det centrale SIS.
3.   eu-LISA udarbejder daglige, månedlige og årlige statistikker over antallet af registreringer pr. indberetningskategori både for hver medlemsstat og i alt. eu-LISA forelægger også årlige rapporter over antal hit pr. indberetningskategori, antal søgninger i SIS og antal gange, hvor SIS blev brugt til at indlæse, ajourføre eller slette en indberetning, både for hver medlemsstat og i alt. Disse statistikker må ikke indeholde personoplysninger. Den årlige statistiske rapport offentliggøres.
4.   Medlemsstaterne, Europol, Eurojust og Det Europæiske Agentur for Grænse- og Kystbevogtning forelægger eu-LISA og Kommissionen de oplysninger, der er nødvendige for at udarbejde de i stk. 3, 6, 8 og 9 omhandlede rapporter.
5.   Disse oplysninger skal indeholde særskilte statistikker over antallet af søgninger foretaget af eller på vegne af de tjenester i medlemsstaterne, der har ansvaret for udstedelse af registreringsattester for køretøjer, og de tjenester i medlemsstaterne, der har ansvaret for udstedelse af registreringsattester eller sikring af trafikstyring for skibe, herunder skibsmotorer, og luftfartøjer, herunder luftfartøjsmotorer, og skydevåben. Statistikkerne skal også vise antal hit pr. indberetningskategori.
6.   eu-LISA forelægger Europa-Parlamentet, Rådet, medlemsstaterne, Kommissionen, Europol, Eurojust, Det Europæiske Agentur for Grænse- og Kystbevogtning og Den Europæiske Tilsynsførende for Databeskyttelse de statistiske rapporter, som det udarbejder.
For at kunne overvåge gennemførelsen af EU-retsakter, herunder med henblik på forordning (EU) nr. 1053/2013, kan Kommissionen anmode eu-LISA om enten regelmæssigt eller på ad hoc-basis at forelægge yderligere specifikke statistiske rapporter om effektiviteten af SIS', brugen af SIS og udvekslingen af supplerende oplysninger.
Det Europæiske Agentur for Grænse- og Kystbevogtning kan anmode eu-LISA om at forelægge yderligere specifikke statistiske rapporter med henblik på at foretage risikoanalyser og sårbarhedsvurderinger som omhandlet i artikel 11 og 13 i forordning (EU) 2016/1624, enten regelmæssigt eller på ad hoc-basis.
7.   Med henblik på artikel 15, stk. 4, og nærværende artikels stk. 3, 4 og 6, opretter, gennemfører og hoster eu-LISA et centralt register i dets tekniske anlæg, som skal indeholde de oplysninger, der er omhandlet i artikel 15, stk. 4, og nærværende artikels stk. 3, og som ikke må muliggøre identifikation af enkeltpersoner, og som skal gøre det muligt for Kommissionen og de i nærværende artikels stk. 6 omhandlede agenturer at få skræddersyede rapporter og statistikker. eu-LISA giver på anmodning og i det omfang, det er nødvendigt for varetagelsen af deres opgaver, medlemsstaterne, Kommissionen, Europol, Eurojust og Det Europæiske Agentur for Grænse- og Kystbevogtning sikret adgang til det centrale register via kommunikationsinfrastrukturen. eu-LISA implementerer adgangskontrol og særlige brugerprofiler for at sikre, at det centrale register udelukkende tilgås med henblik på rapportering og statistikker.
8.   To år efter denne forordnings anvendelsesdato i henhold til artikel 79, stk. 5, første afsnit, og derefter hvert andet år forelægger eu-LISA Europa-Parlamentet og Rådet en rapport om det centrale SIS' og kommunikationsinfrastrukturens tekniske funktion, herunder deres sikkerhed, om AFIS og om den bilaterale og multilaterale udveksling af supplerende oplysninger mellem medlemsstaterne. Denne rapport skal desuden, når teknologien er i brug, indeholde en evaluering af anvendelsen af ansigtsbilleder til at identificere personer.
9.   Tre år efter idriftsættelsen af SIS i henhold til artikel 79, stk. 5, første afsnit, og derefter hvert fjerde år, foretager Kommissionen en samlet evaluering af det centrale SIS og den bilaterale og multilaterale udveksling af supplerende oplysninger mellem medlemsstaterne. Denne samlede evaluering skal omfatte en vurdering af de opnåede resultater set i forhold til målene og en vurdering af, om de tilgrundliggende principper fortsat er gyldige, anvendelsen af denne forordning for så vidt angår det centrale SIS, sikkerheden i det centrale SIS og eventuelle konsekvenser for fremtidige aktiviteter. Evalueringsrapporten skal også omfatte en vurdering af AFIS og af de SIS-oplysningskampagner, som Kommissionen foretager i henhold til artikel 19.
Kommissionen sender evalueringsrapporten til Europa-Parlamentet og Rådet.
10.   Kommissionen vedtager gennemførelsesretsakter med henblik på fastsættelse og udarbejdelse af detaljerede regler for driften af det centrale register, der er omhandlet i denne artikels stk. 7, og de databeskyttelses- og sikkerhedsregler, der gælder for dette register. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 76, stk. 2.
Artikel 75
Udøvelse af de delegerede beføjelser
1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 38, stk. 3, og artikel 43, stk. 4, tillægges Kommissionen for en ubegrænset periode fra den 27. december 2018.
3.   Den i artikel 38, stk. 3, og artikel 43, stk. 4, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller af Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i 
Den Europæiske Unions Tidende
 eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4.   Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6.   En delegeret retsakt vedtaget i henhold til artikel 38, stk. 3, eller artikel 43, stk. 4, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 76
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.
Artikel 77
Ændring af afgørelse 2007/533/RIA
Afgørelse 2007/533/RIA ændres således:
1)
Artikel 6 affattes således:
»Artikel 6
Nationale systemer
1.   Hver medlemsstat er ansvarlig for at oprette, drive, vedligeholde og videreudvikle sit N.SIS II og for at forbinde det med NI-SIS.
2.   Hver medlemsstat er ansvarlig for at sikre uafbrudt tilgængelighed af SIS II-oplysninger for slutbrugere.«
2)
Artikel 11 affattes således:
»Artikel 11
Fortrolighed — medlemsstater
1.   Hver medlemsstat anvender i overensstemmelse med national lovgivning sine egne regler for tavshedspligt eller tilsvarende fortrolighedskrav i forbindelse med alle personer og organer, der skal arbejde med SIS II-oplysninger og supplerende oplysninger. Denne pligt fortsætter med at bestå, efter at de pågældende personer er fratrådt deres stilling, eller det pågældende organs virksomhed er ophørt.
2.   Hvis en medlemsstat samarbejder med eksterne kontrahenter i forbindelse med SIS II-relaterede opgaver, overvåger den nøje kontrahentens aktiviteter for at sikre overholdelsen af alle bestemmelser i denne afgørelse, navnlig med hensyn til sikkerhed, fortrolighed og databeskyttelse.
3.   Den operationelle forvaltning af N.SIS II eller af tekniske kopier må ikke overdrages til private virksomheder eller private organisationer.«
3)
I artikel 15 foretages følgende ændringer:
a)
følgende stykke indsættes:
»3a.   Forvaltningsmyndigheden udvikler og opretholder en mekanisme og en række procedurer til udførelsen af kvalitetskontrol af oplysningerne i CS-SIS. Den forelægger regelmæssigt medlemsstaterne rapporter i forbindelse hermed.
Forvaltningsmyndigheden forelægger regelmæssigt Kommissionen en rapport vedrørende de konstaterede problemer og de berørte medlemsstater.
Kommissionen forelægger regelmæssigt Europa-Parlamentet og Rådet en rapport vedrørende konstaterede datakvalitetsproblemer.«
b)
stk. 8 affattes således:
»8.   Den operationelle forvaltning af den centrale SIS II omfatter alle de opgaver, der er nødvendige for, at den centrale SIS II kan fungere døgnet rundt alle ugens dage i overensstemmelse med denne afgørelse, navnlig den vedligeholdelse og den tekniske udvikling, der er nødvendig for, at systemet kan fungere gnidningsløst. Disse opgaver omfatter også koordinering og styring af samt støtte til testaktiviteter for den centrale SIS II og N.SIS II, der sikrer, at den centrale SIS II og N.SIS II fungerer i overensstemmelse med kravene til teknisk overensstemmelse, der er fastsat i artikel 9.«
4)
I artikel 17 tilføjes følgende stykker:
»3.   Hvis forvaltningsmyndigheden samarbejder med eksterne kontrahenter i forbindelse med SIS II-relaterede opgaver, skal den nøje overvåge kontrahentens aktiviteter for at sikre overholdelsen af alle bestemmelser i denne afgørelse, navnlig om sikkerhed, fortrolighed og databeskyttelse.
4.   Den operationelle forvaltning af CS-SIS må ikke overdrages til private virksomheder eller private organisationer.«
5)
I artikel 21 tilføjes følgende stykke:
»Hvis en person eller en genstand eftersøges i forbindelse med en indberetning vedrørende en terrorhandling, anses tilfældet for at være egnet, relevant og vigtig nok til at retfærdiggøre en indberetning i SIS II. Af hensyn til den offentlige eller nationale sikkerhed kan medlemsstaterne undtagelsesvis undlade at indlæse en indberetning, når det er sandsynligt, at den kan hindre officielle eller retlige undersøgelser, efterforskninger eller procedurer.«
6)
Artikel 22 affattes således:
»Artikel 22
Særlige regler for indlæsning eller kontrol af eller søgning med fotografier og fingeraftryk
1.   Fotografier og fingeraftryk må kun indlæses efter en særlig kvalitetskontrol med henblik på at vurdere, hvorvidt de lever op til minimumsstandarder for datakvalitet. Specifikationen for den særlige kvalitetskontrol fastsættes efter proceduren i artikel 67.
2.   Når en indberetning i SIS II indeholder fotografier og fingeraftryksoplysninger, anvendes sådanne fotografier og fingeraftryksoplysninger til at bekræfte identiteten på en person, der er lokaliseret som følge af en alfanumerisk søgning i SIS II.
3.   Der kan i alle tilfælde søges på fingeraftryksoplysninger for at identificere en person. Der skal dog søges på fingeraftryksoplysninger for at identificere en person, hvis en persons identitet ikke kan fastslås på anden måde. Med henblik herpå skal den centrale SIS II omfatte et automatisk fingeraftryksidentifikationssystem (AFIS).
4.   Der kan også søges på fingeraftryksoplysninger i SIS II i forbindelse med indberetninger, der er indlæst i medfør af artikel 26, 32 og 36, ved anvendelse af fuldstændige eller ufuldstændige sæt af fingeraftryk, der er fundet på et gerningssted for grov kriminalitet eller under efterforskning af terrorhandlinger, hvor det med en høj grad af sandsynlighed kan fastslås, at disse sæt af aftryk tilhører en gerningsmand, og såfremt søgningen foretages samtidigt i medlemsstatens relevante nationale fingeraftryksdatabaser.«
7)
Artikel 41 affattes således:
»Artikel 41
Europols adgang til oplysninger i SIS II
1.   Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol), der er oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2016/794
 (
*1
)
, har, hvor det er nødvendigt for at opfylde dets mandat, ret til at tilgå og søge i oplysninger i SIS II. Europol kan også udveksle og anmode om yderligere supplerende oplysninger i overensstemmelse med bestemmelserne i SIRENE-håndbogen.
2.   Hvis en søgning foretaget af Europol viser, at der findes en indberetning i SIS II, underretter Europol den indberettende medlemsstat via udveksling af supplerende oplysninger ved hjælp af kommunikationsinfrastrukturen og i overensstemmelse med SIRENE-håndbogens bestemmelser. Europol underretter, indtil det bliver i stand til at anvende de funktioner, der er beregnet til udveksling af supplerende oplysninger, den indberettende medlemsstat ad de kanaler, der er fastlagt i forordning (EU) 2016/794.
3.   Europol må behandle de supplerende oplysninger, der er blevet fremsendt til det af medlemsstaterne, med henblik på at sammenligne dem med sine databaser og operationelle analyseprojekter for at finde sammenhænge eller andre relevante forbindelser og til strategiske, tematiske eller operationelle analyser som omhandlet i artikel 18, stk. 2, litra a), b) og c), i forordning (EU) 2016/794. Enhver behandling af supplerende oplysninger foretaget af Europol med henblik på nærværende artikel skal udføres i overensstemmelse med nævnte forordning.
4.   Europols brug af oplysninger, der er tilvejebragt gennem søgning i SIS II eller gennem behandling af supplerende oplysninger, kan kun finde sted med den indberettende medlemsstats samtykke. Hvis medlemsstaten giver tilladelse til at benytte sådanne oplysninger, skal Europols behandling finde sted i overensstemmelse med forordning (EU) 2016/794. Europol må kun meddele tredjelande og eksterne organisationer sådanne oplysninger med den indberettende medlemsstats samtykke og under fuld overholdelse af EU-retten om databeskyttelse.
5.   Europol:
a)
må ikke tilslutte dele af SIS II eller overføre de deri indeholdte oplysninger, som det har adgang til, til et system til dataindsamling og databehandling, der forvaltes af eller i Europol, eller downloade eller på anden måde kopiere nogen del af SIS II, jf. dog stk. 4 og 6
b)
sletter uanset artikel 31, stk. 1, i forordning (EU) 2016/794 supplerende oplysninger, der indeholder personoplysninger, senest et år efter, at den pågældende indberetning er blevet slettet. Som en undtagelse hertil kan Europol, hvis det har oplysninger i sine databaser eller operationelle analyseprojekter om en sag, som de supplerende oplysninger vedrører, for at kunne udføre sine opgaver undtagelsesvis fortsat lagre de supplerende oplysninger, hvis det er nødvendigt; Europol underretter den indberettende og den fuldbyrdende medlemsstat om den fortsatte lagring af sådanne supplerende oplysninger og angiver begrundelsen herfor
c)
begrænser adgangen til oplysninger i SIS II, herunder supplerende oplysninger, til særligt bemyndiget Europolpersonale, der har brug for adgang til sådanne oplysninger for at kunne udføre sine opgaver
d)
vedtager og anvender foranstaltninger for at garantere sikkerhed, fortrolighed og egenkontrol i overensstemmelse med artikel 10, 11 og 13
e)
sikrer, at det personale, der er bemyndiget til at behandle SIS II-oplysninger, modtager relevant uddannelse og relevante oplysninger i overensstemmelse med artikel 14, og
f)
tillader Den Europæiske Tilsynsførende for Databeskyttelse at overvåge og undersøge Europols virksomhed, når det udøver sin ret til at tilgå og søge i oplysninger i SIS II og udveksler og behandler supplerende oplysninger, jf. dog forordning (EU) 2016/794.
6.   Europol må kun kopiere oplysninger fra SIS II til tekniske formål, hvor sådan kopiering er nødvendig for, at behørigt bemyndiget Europolpersonale kan foretage en direkte søgning. Denne afgørelse finder anvendelse på sådanne kopier. Den tekniske kopi må kun anvendes til lagring af SIS II-oplysninger, mens der søges i disse. Når der er søgt i oplysningerne, skal de slettes. Sådanne anvendelser betragtes ikke som ulovlig download eller kopiering af SIS II-oplysninger. Europol må ikke kopiere indberetningsoplysninger eller uddybende oplysninger fra medlemsstaterne eller CS-SIS II til andre Europolsystemer.
7.   Med henblik på at kontrollere lovligheden af databehandling, udøve egenkontrol og sikre ordentlig datasikkerhed og -integritet gemmer Europol logfiler for hver adgang til og søgning i SIS II i overensstemmelse med bestemmelserne i artikel 12. Disse logfiler og denne dokumentation betragtes ikke som ulovlig download eller kopiering af en del af SIS II.
8.   Medlemsstaterne underretter ved udveksling af supplerende oplysninger Europol om eventuelle hit på indberetninger i forbindelse med terrorhandlinger. Medlemsstaterne kan undtagelsesvis undlade at underrette Europol, hvis dette ville bringe igangværende efterforskninger eller en fysisk persons sikkerhed i fare eller være i strid med væsentlige sikkerhedsinteresser i den indberettende medlemsstat.
9.   Stk. 8 finder anvendelse fra den dato, hvor Europol er i stand til at modtage supplerende oplysninger i overensstemmelse med stk. 1.
(
*1
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (
EUT L 135 af 24.5.2016, s. 53
).«
                                          "
8)
Følgende artikel indsættes:
»Artikel 42a
Adgang til oplysninger i SIS II for europæiske grænse- og kystvagthold, hold af medarbejdere, der er involveret i tilbagesendelsesrelaterede opgaver, og medlemmerne af migrationsstyringsstøtteholdene
1.   I overensstemmelse med artikel 40, stk. 8, i Europa-Parlamentets og Rådets forordning (EU) 2016/1624
 (
*2
)
 har holdmedlemmerne som omhandlet i artikel 2, nr. 8) og 9), i nævnte forordning inden for deres mandat, og forudsat at de har tilladelse til at foretage kontrol i overensstemmelse med nærværende afgørelses artikel 40, stk. 1, og har fået den nødvendige uddannelse i overensstemmelse med nærværende afgørelses artikel 14, ret til at tilgå og søge i oplysninger i SIS II, for så vidt det er nødvendigt for udførelsen af deres opgave, og som krævet i den operative plan for en specifik operation. Adgang til oplysninger i SIS II må ikke udvides til også at omfatte andre holdmedlemmer.
2.   De i stk. 1 omhandlede holdmedlemmer udøver retten til at tilgå og søge i oplysninger i SIS II, jf. stk. 1, via en teknisk grænseflade. Den tekniske grænseflade oprettes og vedligeholdes af Det Europæiske Agentur for Grænse- og Kystbevogtning og sikrer en direkte forbindelse til den centrale SIS II.
3.   Hvis en søgning foretaget af et af de i denne artikels stk. 1 omhandlede holdmedlemmer viser, at der findes en indberetning i SIS II, underrettes den indberettende medlemsstat herom. I overensstemmelse med artikel 40 i forordning (EU) 2016/1624 må holdmedlemmerne kun reagere på en indberetning i SIS II i henhold til instrukserne fra, og som hovedregel under tilstedeværelse af, grænsevagter eller medarbejdere, der er involveret i tilbagesendelsesrelaterede opgaver, fra den værtsmedlemsstat, som de opererer i. Værtsmedlemsstaten kan bemyndige holdmedlemmerne til at handle på sine vegne.
4.   Med henblik på at kontrollere lovligheden af databehandling, udøve egenkontrol og sikre ordentlig datasikkerhed og -integritet gemmer Det Europæiske Agentur for Grænse- og Kystbevogtning logfiler for hver adgang til og søgning i SIS II i overensstemmelse med bestemmelserne i artikel 12.
5.   Det Europæiske Agentur for Grænse- og Kystbevogtning vedtager og anvender foranstaltninger for at garantere sikkerheden, fortroligheden og egenkontrollen i overensstemmelse med artikel 10, 11 og 13 og sikrer, at de i nærværende artikels stk. 1 omhandlede hold anvender disse foranstaltninger.
6.   Intet i denne artikel må fortolkes som en indskrænkning af bestemmelserne i forordning (EU) 2016/1624 om databeskyttelse eller Det Europæiske Agentur for Grænse- og Kystbevogtnings ansvar for dets uautoriserede eller forkerte behandling af oplysninger.
7.   Med forbehold af stk. 2 må ingen dele af SIS II tilsluttes et system til dataindsamling og databehandling, der forvaltes af de i stk. 1 omhandlede hold eller af Det Europæiske Agentur for Grænse- og Kystbevogtning, og ingen oplysninger i SIS II, som disse hold har adgang til, må overføres til et sådant system. Ingen del af SIS II må downloades eller kopieres. Logning af adgang og søgninger betragtes ikke som ulovlig download eller kopiering af SIS II-oplysninger.
8.   Det Europæiske Agentur for Grænse- og Kystbevogtning tillader Den Europæiske Tilsynsførende for Databeskyttelse at overvåge og undersøge holdenes aktiviteter, jf. denne artikel, når de udøver deres ret til at tilgå og søge i oplysninger i SIS II. Dette berører ikke de yderligere bestemmelser i Europa-Parlamentets og Rådets forordning (EU) 2018/1725
 (
*3
)
.
(
*2
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/1624 af 14. september 2016 om den europæiske grænse- og kystvagt og om ændring af Europa-Parlamentets og Rådets forordning (EU) 2016/399 og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 863/2007, Rådets forordning (EF) nr. 2007/2004 og Rådets beslutning 2005/267/EF (
EUT L 251 af 16.9.2016, s. 1
)."
(
*3
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).«
                                          "
Artikel 78
Ophævelse
Forordning (EF) nr. 1986/2006, afgørelse 2007/533/RIA og afgørelse 2010/261/EU ophæves fra nærværende forordnings anvendelsesdato, jf. artikel 79, stk. 5, første afsnit.
Henvisninger til den ophævede forordning (EF) nr. 1986/2006 og afgørelse 2007/533/RIA gælder som henvisninger til nærværende forordning og læses efter sammenligningstabellen i bilaget.
Artikel 79
Ikrafttræden, idriftsættelse og anvendelse
1.   Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
2.   Senest den 28. december 2021 vedtager Kommissionen en afgørelse om fastsættelse af datoen for, hvornår SIS idriftsættes i henhold til denne forordning, efter kontrol af, at følgende betingelser er opfyldt:
a)
de gennemførelsesretsakter, der er nødvendige for anvendelsen af denne forordning, er blevet vedtaget
b)
medlemsstaterne har meddelt Kommissionen, at de har truffet de nødvendige tekniske og retlige foranstaltninger til behandling af SIS-oplysninger og udveksling af supplerende oplysninger i henhold til denne forordning, og
c)
eu-LISA har meddelt Kommissionen, at alle testaktiviteter vedrørende CS-SIS og samspillet mellem CS-SIS og N.SIS er afsluttet på tilfredsstillende vis.
3.   Kommissionen overvåger nøje processen med gradvis opfyldelse af de betingelser, der er fastsat i stk. 2, og underretter Europa-Parlamentet og Rådet om resultatet af den i nævnte stykke omhandlede kontrol.
4.   Senest den 28. december 2019 og derefter hvert år, indtil Kommissionen har truffet den afgørelse, som er omhandlet i stk. 2, forelægger Kommissionen Europa-Parlamentet og Rådet en rapport om status med hensyn til forberedelsen af den fuldstændige gennemførelse af denne forordning. Denne rapport skal også indeholde detaljerede oplysninger om de afholdte udgifter og oplysninger om eventuelle risici, der kan have indvirkning på de samlede omkostninger.
5.   Denne forordning finder anvendelse fra den dato, der fastsættes i overensstemmelse med stk. 2.
Uanset første afsnit:
a)
finder artikel 4, stk. 4, artikel 5, artikel 8, stk. 4, artikel 9, stk. 1 og 5, artikel 12, stk. 8, artikel 15, stk. 7, artikel 19, artikel 20, stk. 4 og 5, artikel 26, stk. 6, artikel 32, stk. 9, artikel 34, stk. 3, artikel 36, stk. 6, artikel 38, stk. 3 og 4, artikel 42, stk. 5, artikel 43, stk. 4, artikel 54, stk. 5, artikel 62, stk. 4, artikel 63, stk. 6, artikel 74, stk. 7 og 10, artikel 75 og 76, artikel 77, nr. 1)-5), og nærværende artikels stk. 3 og 4 anvendelse fra datoen for denne forordning ikrafttræden
b)
finder artikel 77, nr. 7) og 8), anvendelse fra den 28. december 2019
c)
finder artikel 77, nr. 6), anvendelse fra den 28. december 2020.
6.   Kommissionens afgørelse, jf. stk. 2, offentliggøres i 
Den Europæiske Unions Tidende
.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i medlemsstaterne i overensstemmelse med traktaterne.
Udfærdiget i Bruxelles, den 28. november 2018.
På Europa-Parlamentets vegne
A. TAJANI
Formand
På Rådets vegne
K. EDTSTADLER
Formand
(
1
)
  Europa-Parlamentets holdning af 24.10.2018 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 19.11.2018.
(
2
)
  
            
EFT L 239 af 22.9.2000, s. 19
.
(
3
)
  Rådets forordning (EF) nr. 2424/2001 af 6. december 2001 om udviklingen af anden generation af Schengeninformationssystemet (SIS II) (
EFT L 328 af 13.12.2001, s. 4
.).
(
4
)
  Rådets afgørelse 2001/886/RIA af 6. december 2001 om udviklingen af anden generation af Schengeninformationssystemet (SIS II) (
EFT L 328 af 13.12.2001, s. 1
).
(
5
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1987/2006 af 20. december 2006 om oprettelse, drift og brug af anden generation af Schengeninformationssystemet (SIS II) (
EUT L 381 af 28.12.2006, s. 4
).
(
6
)
  Rådets afgørelse 2007/533/RIA af 12. juni 2007 om oprettelse, drift og brug af anden generation af Schengeninformationssystemet (SIS II) (
EUT L 205 af 7.8.2007, s. 63
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1861 af 28. november 2018 om oprettelse, drift og brug af Schengeninformationssystemet (SIS) på området ind- og udrejsekontrol, om ændring af konventionen om gennemførelse af Schengenaftalen og om ændring og ophævelse af forordning (EF) nr. 1987/2006 (se side 14 i denne EUT).
(
8
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1726 af 14. november 2018 om Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og om ændring af forordning (EF) nr. 1987/2006 og Rådets afgørelse 2007/533/RIA og om ophævelse af forordning (EU) nr. 1077/2011 (
EUT L 295 af 21.11.2018, s. 99
).
(
9
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
11
)
  Rådets afgørelse 2008/615/RIA af 23. juni 2008 om intensivering af det grænseoverskridende samarbejde, navnlig om bekæmpelse af terrorisme og grænseoverskridende kriminalitet (
EUT L 210 af 6.8.2008, s. 1
).
(
12
)
  Rådets afgørelse 2008/616/RIA af 23. juni 2008 om gennemførelse af afgørelse 2008/615/RIA om intensivering af det grænseoverskridende samarbejde, navnlig om bekæmpelse af terrorisme og grænseoverskridende kriminalitet (
EUT L 210 af 6.8.2008, s. 12
).
(
13
)
  Rådets rammeafgørelse 2002/584/RIA af 13. juni 2002 om den europæiske arrestordre og om procedurerne for overgivelse mellem medlemsstaterne (
EFT L 190 af 18.7.2002, s. 1
).
(
14
)
  Europa-Parlamentets og Rådets direktiv 2013/48/EU af 22. oktober 2013 om ret til adgang til advokatbistand i straffesager og i sager angående europæiske arrestordrer og om ret til at få en tredjemand underrettet ved frihedsberøvelse og til at kommunikere med tredjemand og med konsulære myndigheder under frihedsberøvelsen (
EUT L 294 af 6.11.2013, s. 1
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
16
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (
EUT L 135 af 24.5.2016, s. 53
).
(
17
)
  
            
EFT L 56 af 4.3.1968, s. 1
.
(
18
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/1624 af 14. september 2016 om den europæiske grænse- og kystvagt og om ændring af Europa-Parlamentets og Rådets forordning (EU) 2016/399 og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 863/2007, Rådets forordning (EF) nr. 2007/2004 og Rådets beslutning 2005/267/EF (
EUT L 251 af 16.9.2016, s. 1
).
(
19
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
20
)
  
            
EUT L 123 af 12.5.2016, s. 1
.
(
21
)
  Rådets afgørelse 2000/365/EF af 29. maj 2000 om anmodningen fra Det Forenede Kongerige Storbritannien og Nordirland om at deltage i visse bestemmelser i Schengen-reglerne (
EFT L 131 af 1.6.2000, s. 43
).
(
22
)
  Rådets afgørelse 2002/192/EF af 28. februar 2002 om anmodningen fra Irland om at deltage i visse bestemmelser i Schengen-reglerne (
EFT L 64 af 7.3.2002, s. 20
).
(
23
)
  
            
EFT L 176 af 10.7.1999, s. 36
.
(
24
)
  Rådets afgørelse 1999/437/EF af 17. maj 1999 om visse gennemførelsesbestemmelser til den aftale, som Rådet for Den Europæiske Union har indgået med Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og den videre udvikling af Schengenreglerne (
EFT L 176 af 10.7.1999, s. 31
).
(
25
)
  
            
EUT L 53 af 27.2.2008, s. 52
.
(
26
)
  Rådets afgørelse 2008/149/RIA af 28. januar 2008 om indgåelse, på Den Europæiske Unions vegne, af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (
EUT L 53 af 27.2.2008, s. 50
).
(
27
)
  
            
EUT L 160 af 18.6.2011, s. 21
.
(
28
)
  Rådets afgørelse 2011/349/EU af 7. marts 2011 om indgåelse, på Den Europæiske Unions vegne, af protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne, navnlig for så vidt angår retligt samarbejde i straffesager og politisamarbejde (
EUT L 160 af 18.6.2011, s. 1
).
(
29
)
  Rådets afgørelse 2010/365/EU af 29. juni 2010 om anvendelse af Schengenreglernes bestemmelser om Schengeninformationssystemet i Republikken Bulgarien og Rumænien (
EUT L 166 af 1.7.2010, s. 17
).
(
30
)
  Rådets afgørelse (EU) 2018/934 af 25. juni 2018 om anvendelse af de resterende bestemmelser i Schengenreglerne om Schengeninformationssystemet i Republikken Bulgarien og Rumænien (
EUT L 165 af 2.7.2018, s. 37
).
(
31
)
  Rådets afgørelse (EU) 2017/733 af 25. april 2017 om anvendelsen af bestemmelserne i Schengenreglerne for så vidt angår Schengeninformationssystemet i Republikken Kroatien (
EUT L 108 af 26.4.2017, s. 31
).
(
32
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1986/2006 af 20. december 2006 om adgang til anden generation af Schengen-informationssystemet (SIS II) for de tjenester i medlemsstaterne, der har ansvaret for udstedelse af registreringsattester for motorkøretøjer (
EUT L 381 af 28.12.2006, s. 1
).
(
33
)
  Kommissionens afgørelse 2010/261/EU af 4. maj 2010 om sikkerhedsplanen for det centrale SIS II og kommunikationsinfrastrukturen (
EUT L 112 af 5.5.2010, s. 31
).
(
34
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (
EFT L 8 af 12.1.2001, s. 1
).
(
35
)
  Europa-Parlamentets og Rådets direktiv (EU) 2017/541 af 15. marts 2017 om bekæmpelse af terrorisme og om erstatning af Rådets rammeafgørelse 2002/475/RIA og ændring af Rådets afgørelse 2005/671/RIA (
EUT L 88 af 31.3.2017, s. 6
).
(
36
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/399 af 9. marts 2016 om en EU-kodeks for personers grænsepassage (Schengengrænsekodeks) (
EUT L 77 af 23.3.2016, s. 1
).
(
37
)
  Rådets forordning (EU) nr. 1053/2013 af 7. oktober 2013 om indførelse af en evaluerings- og overvågningsmekanisme til kontrol af anvendelsen af Schengenreglerne og om ophævelse af Eksekutivkomitéens afgørelse af 16. september 1998 om nedsættelse af et stående udvalg for evaluering og anvendelse af Schengenreglerne (
EUT L 295 af 6.11.2013, s. 27
).
(
38
)
  Europa-Parlamentets og Rådets direktiv 2013/32/EU af 26. juni 2013 om fælles procedurer for tildeling og fratagelse af international beskyttelse (
EUT L 180 af 29.6.2013, s. 60
).
(
39
)
  Rådets forordning (EF) nr. 377/2004 af 19. februar 2004 om oprettelse af et netværk af indvandringsforbindelsesofficerer (
EUT L 64 af 2.3.2004, s. 1
).
(
40
)
  Rådets direktiv 1999/37/EF af 29. april 1999 om registreringsdokumenter for motorkøretøjer (
EFT L 138 af 1.6.1999, s. 57
).
(
41
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1727 af 14. november 2018 om Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust), og om erstatning og ophævelse af Rådets afgørelse 2002/187/RIA (
EUT L 295 af 21.11.2018, s. 138
).
BILAG
SAMMENLIGNINGSTABEL
Afgørelse 2007/533/RIA
Denne forordning
Artikel 1
Artikel 1
Artikel 2
Artikel 2
Artikel 3
Artikel 3
Artikel 4
Artikel 4
Artikel 5
Artikel 5
Artikel 6
Artikel 6
Artikel 7
Artikel 7
Artikel 8
Artikel 8
Artikel 9
Artikel 9
Artikel 10
Artikel 10
Artikel 11
Artikel 11
Artikel 12
Artikel 12
Artikel 13
Artikel 13
Artikel 14
Artikel 14
Artikel 15
Artikel 15
Artikel 16
Artikel 16
Artikel 17
Artikel 17
Artikel 18
Artikel 18
Artikel 19
Artikel 19
Artikel 20
Artikel 20
Artikel 21
Artikel 21
Artikel 22
Artikel 42 og 43
Artikel 23
Artikel 22
—
Artikel 23
Artikel 24
Artikel 24
Artikel 25
Artikel 25
Artikel 26
Artikel 26
Artikel 27
Artikel 27
Artikel 28
Artikel 28
Artikel 29
Artikel 29
Artikel 30
Artikel 30
Artikel 31
Artikel 31
Artikel 32
Artikel 32
Artikel 33
Artikel 33
Artikel 34
Artikel 34
Artikel 35
Artikel 35
Artikel 36
Artikel 36
Artikel 37
Artikel 37
Artikel 38
Artikel 38
Artikel 39
Artikel 39
—
Artikel 40
—
Artikel 41
Artikel 40
Artikel 44
—
Artikel 45
—
Artikel 46
—
Artikel 47
Artikel 41
Artikel 48
Artikel 42
Artikel 49
—
Artikel 51
Artikel 42a
Artikel 50
Artikel 43
Artikel 52
Artikel 44
Artikel 53
Artikel 45
Artikel 54
—
Artikel 55
Artikel 46
Artikel 56
Artikel 47
Artikel 57
Artikel 48
Artikel 58
Artikel 49
Artikel 59
—
Artikel 60
Artikel 50
Artikel 61
Artikel 51
Artikel 62
Artikel 52
Artikel 63
Artikel 53
Artikel 64
Artikel 54
Artikel 65
Artikel 55
—
Artikel 56
—
Artikel 57
Artikel 66
Artikel 58
Artikel 67
Artikel 59
Artikel 68
Artikel 60
Artikel 69
Artikel 61
Artikel 70
Artikel 62
Artikel 71
Artikel 63
—
Artikel 64
Artikel 72
Artikel 65
Artikel 73
Artikel 66
Artikel 74
—
Artikel 75
Artikel 67
Artikel 76
Artikel 68
—
—
Artikel 77
Artikel 69
—
—
Artikel 78
Artikel 70
—
Artikel 71
Artikel 79
Forordning (EF) nr. 1986/2006
Nærværende forordning
Artikel 1, 2 og 3
Artikel 45

Summary:
Et styrket Schengeninformationssystem
RESUMÉ AF:
Forordning (EU) 2018/1860 om brug af Schengeninformationssystemet i forbindelse med tilbagesendelse af ikke-ud-borgere med ulovligt ophold
Forordning (EU) 2018/1861 om oprettelse, drift og brug af Schengeninformationssystemet på området ind- og udrejsekontrol, om ændring af konventionen om gennemførelse af Schengenaftalen
Forordning (EU) 2018/1862 om oprettelse, drift og brug af Schengeninformationssystemet på området politisamarbejde og strafferetligt samarbejde
HVAD ER FORMÅLET MED FORORDNINGERNE?
Schengeninformationssystemet (SIS), der blev oprettet i 1995 efter afskaffelsen af kontrollen ved de indre grænser i 
Den Europæiske Union
 (EU), er en stor database, der støtter kontrollen ved de ydre grænser og retshåndhævelsessamarbejdet mellem medlemslandene i 
Schengenaftalen
 (aktuelt 25 
EU-medlemsstater
 og fire associerede lande).
De tre forordninger har til formål at styrke de eksisterende foranstaltninger i SIS II — der blev oprettet i 2006 og i drift fra 2013 — navnlig i lyset af 
nye migrations- og sikkerhedsudfordringer
. De erstatter den lovgivning, der er fastlagt i forordning (EF) 
nr. 
1986/2006
 og 
1987/2006
 samt afgørelse 
2007/533/RIA
.
HOVEDPUNKTER
Systemarkitektur
SIS består af følgende.
et 
centralt system
 (det centrale SIS) med:
En 
teknisk støttefunktion
 (CS-SIS), der indeholder en database (SIS-databasen) og udfører tekniske tilsyns- og forvaltningsfunktioner samt en CS-SIS-backup
en 
ensartet national grænseflade
 (NI-SIS).
et 
nationalt system
 (N.SIS) i hver enkelt medlemsstat til at kommunikere med det centrale SIS, herunder mindst én national eller delt N.SIS-backup. N.SIS kan indeholde en datafil (en »national kopi«), der indeholder en hel eller delvis kopi af SIS-databasen. Det er ikke muligt at søge i datafiler i et andet N.SIS, medmindre det pågældende land er gået med til at dele filen.
En 
kommunikationsinfrastruktur
 mellem CS-SIS, CS-SIS-backuppen og NI-SIS, som danner et krypteret virtuelt netværk til SIS-oplysninger og udveksling af disse mellem 
 Sirene-kontorerne (Sirene står for Supplementary Information Request at the National Entries (anmodning om supplerende informationer ved de nationale grænseovergangssteder)).
Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA)
 (eu-LISA):
er ansvarlig for den operationelle forvaltning af det centrale SIS
udfører vedligeholdelsesarbejde og den tekniske udvikling, der er nødvendig for, at det centrale SIS kan fungere gnidningsløst
gennemfører tekniske løsninger for at styrke den uafbrudte tilgængelighed af det centrale SIS
kan om nødvendigt i exceptionelle tilfælde udvikle en yderligere kopi af SIS-databasen
offentliggør en liste over N.SIS-kontorerne og SIRENE-kontorerne
De 
proceduremæssige regler
 for SIS angiver følgende.
Indberetninger
1
 må kun opbevares i SIS så længe, det er nødvendigt for at nå det formål, hvortil de blev indlæst.
Indberetninger skal undersøges inden for fastsatte frister, og medlemsstaten kan derefter beslutte at forlænge dem, ellers slettes de automatisk. Undersøgelsesfristerne er:
Fem år
 for indberetninger om eftersøgte personer, der begæres anholdt med henblik på overgivelse eller udlevering og savnede personer, der måske har brug for at blive taget i varetægt
Tre år
 for indberetninger om personer, der eftersøges med henblik på at yde bistand i forbindelse med retsforfølgning, indberetninger om ukendte eftersøgte personer, indberetninger om tilbagesendelse og indberetninger om afslag på indrejse og ophold. Hvis den nationale afgørelse om afslag på indrejse og ophold er baseret på en længere gyldighedsperiode end tre år, tages indberetningen dog op til fornyet overvejelse inden for fem år
Et år
 for indberetninger om børn, der er i fare, om sårbare personer, der har behov for at blive forhindret i at rejse, og om personer, der er genstand for diskret kontrol, undersøgelseskontrol og målrettet kontrol
Ti år
 for indberetninger om genstande med henblik på målrettet kontrol eller beslaglæggelse eller anvendelse som bevismateriale i straffesager. 
Europa-Kommissionen
 har vedtaget 
gennemførelsesretsakter
 med henblik på at fastsætte kortere undersøgelsesfrister for bestemte indberetningskategorier vedrørende genstande.
De kategorier af oplysninger, der skal indlæses i systemet
, skal være udformet med henblik på at hjælpe slutbrugerne med at identificere en person og træffe hurtige beslutninger. De skal indeholde minimumsoplysninger (efternavn, fødselsdato, årsagen til indberetningen og den handling, der skal foretages) samt andre oplysninger, såsom lovovertrædelsens art, fotografier og 
fingeraftryksoplysninger
2
, hvis de er tilgængelige.
Brugen af biometriske oplysninger og fingeraftryksoplysninger skal overholde 
EU-retten
 og de 
grundlæggende rettigheder
 og opfylde minimumsstandarder for kvalitet og tekniske specifikationer.
En sag skal være 
egnet, relevant og vigtig nok
 til at retfærdiggøre en indberetning i SIS, f.eks. opfylder en indberetning vedrørende en terrorhandling disse kriterier.
Kun den indberettende medlemsstat må ændre, supplere, rette, ajourføre eller slette oplysninger i SIS.
Et land, der finder, at det ikke vil være i overensstemmelse med national ret, internationale forpligtelser eller væsentlige interesser at handle på en indberetning, kan indsætte en 
påtegning
3
 i indberetningen, der indikerer, at den ikke vil foretage handlinger på dens område.
Udgifter
udgifterne til drift, vedligeholdelse og videreudvikling af det centrale SIS og kommunikationsinfrastrukturen afholdes over 
EU-budgettet
Udgifterne til drift, vedligeholdelse og videreudvikling af hvert N.SIS dækkes af medlemsstaterne.
Vigtigste oplysninger om hver forordning
Forordning (EU) 2018/1860
 styrker håndhævelsen og effektiviteten af EU’s 
tilbagesendelsespolitik
.
Den fastlægger fælles betingelser og procedurer for indlæsning og behandling af indberetninger samt udveksling af supplerende oplysninger om tredjelandsstatsborgere, der er genstand for 
afgørelser om tilbagesendelse
4
.
Den kræver, at de nationale myndigheder indlæser indberetninger, så snart der er truffet afgørelse om tilbagesendelse
Den fastsætter kategorier af oplysninger, der skal medtages i indberetningen.
Den fastlægger harmoniserede procedurer for:
bekræftelse af tilbagesendelse — kontrol af, at en afgørelse om tilbagesendelse er blevet overholdt og, hvis ikke, at det meddeles til de relevante myndigheder
sletning af indberetninger for at sikre, at der ikke er nogen forsinkelse mellem en tredjelandsstatsborgers udrejse og aktiveringen af et indrejseforbud, når det er relevant
obligatorisk konsultation mellem de nationale myndigheder:
inden en opholdstilladelse eller et gyldigt visum til længerevarende ophold indrømmes eller forlænges for en tredjelandsstatsborger, der er underlagt en indberetning om tilbagesendelse i en anden medlemsstat, og som ledsages af et indrejseforbud
inden der noteres en indberetning om en afgørelse om tilbagesendelse vedrørende en tredjelandsstatsborger, som er indehaver af en gyldig opholdstilladelse eller et visum til længerevarende ophold, der er udstedt af en anden medlemsstat, eller når afgørelsen måtte træde i kraft på et senere tidspunkt.
Forordning (EU) 2018/1861
 dækker brugen af SIS til 
indrejseforbud
.
Den fastsætter betingelserne og procedurerne for indlæsning og behandling af indberetninger samt udveksling af 
supplerende oplysninger
5
 om tredjelandsstatsborgere, der nægtes indrejse i eller ret til ophold i EU.
Den indfører kategorier af oplysninger, der skal medtages i indberetningen.
Den indfører harmoniserede procedurer for:
obligatorisk indlæsning af en indberetning, hvis en tredjelandsstatsborger nægtes indrejse eller ret til at blive, fordi den pågældende udgør en sikkerhedstrussel eller er underlagt en restriktiv foranstaltning, der forhindrer indrejse i eller transit gennem et medlemsstat
notering af indberetninger om tredjelandsstatsborgere, der er omfattet af retten til fri bevægelighed i EU
obligatorisk konsultation mellem nationale myndigheder før udstedelse eller forlængelse af en opholdstilladelse eller et visum til længerevarende ophold til en tredjelandsstatsborger, der er blevet nægtet indrejse til eller ophold i en anden medlemsstat, eller før eller efter indlæsning af en indberetning om afslag på indrejse og ophold på en tredjelandsstatsborger, der er indehaver af en gyldig opholdstilladelse eller et visum til længerevarende ophold udstedt af en anden medlemsstat.
Den garanterer tredjelandsstatsborgere retten til at blive informeret skriftligt, hvis der findes en indberetning om dem.
Forordning 2018/1862
 forbedrer og udvider brugen af SIS til 
politisamarbejde og strafferetligt samarbejde
.
Den fastsætter betingelserne og procedurerne for indlæsning og behandling af indberetninger i SIS vedrørende eftersøgte og forsvundne personer og genstande og for udvekslingen af supplerende og uddybende oplysninger til brug i politisamarbejdet og det strafferetlige samarbejde.
Den omfatter procedurer for indberetninger om:
personer, der begæres anholdt med henblik på overgivelse eller udlevering
savnede personer
sårbare personer, der har behov for at blive forhindret i at rejse, for at sikre beskyttelsen af dem eller forhindre trusler mod den offentlige orden eller den offentlige sikkerhed
børn, der er i fare for især at blive bortført, menneskehandel eller indblandet i terrorisme
personer, der eftersøges med henblik på at yde bistand i forbindelse med retsforfølgning som vidner, eller fordi de er indstævnet i forbindelse med straffesager
ukendte eftersøgte personer med henblik på identifikation
diskret kontrol, målrettet kontrol og undersøgelseskontrol for at forebygge, afsløre, efterforske eller retsforfølge strafbare handlinger, fuldbyrde en straffedom eller forhindre trusler mod den offentlige sikkerhed
genstande, der skal beslaglægges eller anvendes som bevismateriale i straffesager, navnlig klart identificerbare genstande som biler, skibe, luftfartøjer, skydevåben, identitetsdokumenter og pengesedler.
Indberetning af oplysninger om tredjelandsstatsborgere
Forordning (EU) 2018/1862 fastsætter også regler vedrørende 
indberetninger om oplysninger, der er rettet mod tredjelandsstatsborgere
, som mistænkes for at være involveret i 
terrorisme og andre alvorlige forbrydelser
, der er opført i bilag I til forordningen om 
Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde
 (Europol) (forordning (EU) 
2016/794
 — se 
resumé
). Dette sikrer, at deres bevægelser kan overvåges, og at alle relevante oplysninger om dem nemt og øjeblikkeligt hentes af medlemsstaternes retshåndhævende myndigheder.
Medlemsstater
 kan i EU’s interesse indføre indberetninger om tredjelandsstatsborgere i SIS efter forslag fra Europol om indlæsning af en indberetning om oplysninger på grundlag af oplysninger modtaget fra myndighederne i ikke-EU-lande eller internationale organisationer. Europol skal underrette databeskyttelsesrådgiveren, når det fremsætter et sådant forslag.
Europol
 kan foreslå, at indberetninger om oplysninger indlæses i SIS, hvis det vurderer, at:
der er tale om en faktuel angivelse af, at en person har til hensigt at begå eller begå terrorhandlinger eller anden alvorlig kriminalitet, eller
en samlet vurdering af en person, navnlig på baggrund af tidligere strafbare handlinger, giver grund til at tro, at denne person kan begå en sådan handling.
Før oplysningerne indlæses i SIS, skal Europol sikre, at indberetningen er 
nødvendig og begrundet
, at oplysningerne er 
pålidelige og nøjagtige
, og at der ikke allerede findes nogen anden indberetning om den pågældende person i systemet. Den videresender herefter de oplysninger, den ligger inde med, og resultaterne af sin vurdering til medlemsstaterne og foreslår, at en eller flere medlemsstater indlæser en indberetning om oplysninger i SIS. Medlemsstaterne skal indføre de nødvendige procedurer for indlæsning, opdatering og sletning af indberetninger i SIS.
Den registreredes rettigheder
Personer har ret til:
at få adgang til oplysninger om dem, der behandles i SIS
at berigtige ukorrekte oplysninger
at indbringe et spørgsmål for domstolene eller de kompetente tilsynsmyndigheder med henblik på adgang til, berigtigelse eller sletning af oplysninger, aktindsigt eller skadeserstatning i forbindelse med en indberetning vedrørende den pågældende.
Medlemsstaterne
:
er forpligtet til at håndhæve afgørelser om databeskyttelsesrettigheder
rapporterer hvert år til 
Det Europæiske Databeskyttelsesråd
 antallet af anmodninger de modtager om adgang til oplysninger og berigtige ukorrekte oplysninger og antallet af retssager og resultatet af disse.
Uafhængige tilsynsmyndigheder
 overvåger lovligheden af den nationale behandling af personoplysninger i SIS. 
Den Europæiske Tilsynsførende for Databeskyttelse
, der er oprettet i henhold til forordning (EU) 
2018/1725
, udfører samme rolle for eu-LISA. De to samarbejder for at sikre koordineret tilsyn med SIS.
Oplysninger, der er behandlet i SIS, og tilknyttede supplerende oplysninger bør ikke overføres eller stilles til rådighed for tredjelande eller internationale organisationer.
Forordning (EU) 2018/1725 finder anvendelse på personoplysninger behandlet af 
Det Europæiske Agentur for Grænse- og Kystbevogtning
, 
Den Europæiske Unions Agentur for Strafferetligt Samarbejde
 (Eurojust) og eu-LISA.
Forordning (EU) 
2016/679
 (se 
resumé
) og direktiv (EU) 
2016/680
 (se 
resumé
) finder anvendelse på personoplysninger behandlet af nationale myndigheder og tjenester.
Følgende myndigheder har adgang til oplysninger i SIS.
Nationale myndigheder
, der har ansvaret for:
grænsekontrol, politi- og toldkontrol
forebyggelse, afsløring, efterforskning eller retsforfølgning af terrorhandlinger eller andre alvorlige strafbare handlinger
at undersøge betingelserne og træffe afgørelser, herunder om opholdstilladelser og visa til længerevarende ophold, om indrejse, ophold og tilbagesendelse af tredjelandsstatsborgere
at udføre sikkerhedskontrol af tredjelandsstatsborgere, der ansøger om international beskyttelse
at undersøgelse af visumansøgninger (kun for visse kategorier af indberetninger)
at træffe afgørelser om naturalisation
nationale retslige myndigheder, herunder de myndigheder, der er ansvarlige for offentlig retsforfølgning i straffesager og i forbindelse med retlige efterforskning
at udstede registreringsattester for køretøjer, skibe, luftfartøjer, og skydevåben.
Nedenstående 
EU-agenturer
 har ret til adgang til og søgning i SIS, når de udfører deres ansvar inden for deres respektive mandater.
Det Europæiske Agentur for Grænse- og Kystbevogtning
-holdene deltager i tilbagesendelsesrelaterede opgaver og 
migrationsstyringsstøttehold
.
Den Europæiske Unions Agentur for Strafferetligt Samarbejde
 håndterer det strafferetlige samarbejde.
Europol
: har adgang til alle oplysninger, ikke blot nogle som tidligere var tilfældet. SIS-medlemslandene skal underrette det retshåndhævende agentur om alle forekomster eller indberetninger vedrørende terrorhandlinger.
Ovennævnte EU-agenturer underretter den udstedende medlemsstat, når en søgning viser, at der findes en indberetning. De må ikke tilslutte dele af SIS eller overføre dets oplysninger til deres egne systemer.
Kommissionen vurderer hvert femte år disse agenturers brug af SIS.
Ansvarsområder
Hver 
SIS-medlemsstat
:
sikrer, at oplysningerne er korrekte, ajourførte og lovligt indlæst og lagret i SIS og overholder de generelle regler for databehandling
opretter, driver, vedligeholder og udvikler sit N.SIS i henhold til fælles standarder, protokoller og tekniske procedurer og forbinder det med NI-SIS
sikrer, at SIS altid er tilgængeligt for slutbrugeren
foretager sine indberetninger via sit N.SIS
udpeger et N.SIS-kontor med centralt ansvar for at sikre, at N.SIS fungerer gnidningsløst og sikkert, at de nationale myndigheder har adgang til SIS, den generelle overholdelse af forordningen og passende adgang til SIS for alle slutbrugere
udpeger en national myndighed (Sirene-kontoret) som et fælles kontaktpunkt, der til enhver tid er operationelt med henblik på udveksling og tilgængelighed af alle supplerende oplysninger om indberetninger og for at lette opfølgningsforanstaltningerne
vedtager en sikkerhedsplan, en driftskontinuitetsplan og en katastrofeberedskabsplan med henblik på at beskytte oplysningerne og forhindre uautoriseret adgang
anvender regler om tavshedspligt og fortrolighed, herunder tæt overvågning af eksterne kontrahenter; private virksomheder og organisationer er forbudt at varetage den operationelle forvaltning af N.SIS
fører elektroniske logfiler, der normalt slettes efter tre år, om indberetninger og om adgang til og udveksling af personoplysninger for at kontrollere, om søgningen var lovlig og sikre dataintegritet og datasikkerhed
har et nationalt SIS-træningsprogram for personalet med adgang til SIS-oplysninger om datasikkerhed, grundlæggende rettigheder, herunder databeskyttelse og regler for og bestemmelser om databehandling.
Kommissionen
:
vedtager gennemførelsesretsakter og 
delegerede
 retsakter om tekniske aspekter af SIS og ajourfører disse efter behov
har i henhold til forordning (EU) 
2022/922
 (se 
resumé
) en overordnet koordinerende rolle for den evaluerings- og overvågningsmekanisme, som den gennemfører med EU-regeringer for at sikre, at Schengen-reglerne anvendes fuldt ud nationalt
foretager en overordnet evaluering af det centrale SIS, de supplerende oplysninger, der udveksles mellem de nationale myndigheder, herunder en vurdering af det automatiske fingeraftryksidentifikationssystem, og de SIS-informationskampagner, der finder sted tre år efter forordningens anvendelse og hvert fjerde år derefter.
eu-LISA
 har ansvaret for at:
det centrale SIS
 og dets operationelle forvaltning, herunder kvalitetskontrol af de oplysninger, det indeholder, og alle de opgaver, der er nødvendige for, at det fungerer døgnet rundt
kommunikationsinfrastrukturen
 og dens centrale aspekter, navnlig tilsyn, sikkerhed, koordinering mellem medlemslandene og udbydere samt budget- og kontraktspørgsmål
vedrørende 
Sirene-kontorerne
, koordinering, forvaltning og støtte til testaktiviteter, opretholdelse og ajourføring af tekniske specifikationer for udveksling af supplerende oplysninger mellem kontorerne og kommunikationsinfrastrukturen og håndtering af tekniske ændringer
vedtagelse af de nødvendige foranstaltninger for at beskytte oplysninger og forebygge uautoriseret adgang eller anvendelse, herunder en sikkerhedsplan, en driftskontinuitetsplan og en katastrofeberedskabsplan for det centrale SIS og kommunikationsinfrastrukturen
anvendelse af regler om tavshedspligt og fortrolighed samt opretholdelse af elektroniske logfiler på samme betingelser som de nationale myndigheder
offentliggørelse af en liste over nationale myndigheder, der er bemyndigede til at søge efter oplysninger i SIS, i 
Den Europæiske Unions Tidende
udarbejdelse af daglige, månedlige og årlige statistikker over antallet af registreringer pr. indberetningskategori, udeladelse af personoplysninger og derefter offentliggørelse af rapporterne.
Informationskampagne
Kommissionen gennemfører i samarbejde med tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse kampagnen. Den blev lanceret, da lovgivningen trådte i kraft og vil blive gentaget med jævne mellemrum for at informere offentligheden om:
formålene med SIS
de oplysninger der er lagret i SIS
hvilke myndigheder der har adgang til SIS
den registreredes rettigheder.
Kommissionen driver et websted, som offentligheden har adgang til, med al relevant information om SIS.
Medlemsstaterne skal i samarbejde med deres tilsynsmyndigheder informere offentligheden om SIS.
HVORNÅR GÆLDER FORORDNINGERNE FRA?
Reglerne er trådt i kraft i flere faser for at sikre tilstrækkelig tid til, at de nødvendige juridiske, operationelle og tekniske foranstaltninger og ordninger kan iværksættes.
I henhold til gennemførelsesafgørelse (EU) 
2023/201
 begyndte idriftsættelsen af SIS i henhold til forordning (EU) 2018/1861 og 2018/1862 den 
7. marts 2023
. Forordning (EU) 2018/1860, 2018/1861 og 2018/1862 er nu fuldt anvendelige.
BAGGRUND
Selv om retsgrundlaget for SIS består af særskilte instrumenter, udgør SIS ét enkelt system til deling af oplysninger og anmodninger mellem medlemmerne.
Det er det mest brugte og største system til deling af oplysninger om sikkerhed og grænsestyring i Europa. I 2022 blev der adgang til den mere end 12 milliarder gange og sikrede 263.452 hit på udenlandske indberetninger.
Det er i drift i 31 europæiske lande: alle medlemsstaterne og fire associerede Schengenlande (Island, Liechtenstein, Norge og Schweiz). I henhold til afgørelse (EU) 
2023/870
 har SIS været i drift i Cypern siden den 
25. juli 2023
.
VIGTIGE BEGREBER
Indberetning.
 Et sæt oplysninger, der gør det muligt for myndighederne at identificere en person eller en genstand og handle i overensstemmelse hermed.
Fingeraftryksoplysninger.
 Oplysninger om håndfladeaftryk og fingeraftryk.
Påtegning.
 Suspendering af gyldigheden af en indberetning på nationalt plan, som kan tilføjes indberetninger vedrørende personer, der begæres anholdt, indberetninger vedrørende savnede og sårbare personer og indberetninger med henblik på diskret kontrol, undersøgelseskontrol og målrettet kontrol og oplysningsindberetninger.
Afgørelse om tilbagesendelse.
 En retslig eller administrativ afgørelse om en tredjelandsstatsborger, der anses for at opholde sig ulovligt, og som skal vende tilbage til sit hjemland.
Supplerende oplysninger.
 Oplysninger, som ikke indgår som en del af de indberetningsoplysninger, der er lagret i SIS, men som har tilknytning til det.
HOVEDDOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2018/1860
 af 
28. november 2018
 om brug af Schengeninformationssystemet i forbindelse med tilbagesendelse af tredjelandsstatsborgere med ulovligt ophold (EUT L 312 af 
7.12.2018
, 
s. 1-13
).
Efterfølgende ændringer til forordning (EU) 2018/1860 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentets og Rådets forordning (EU) 
2018/1861
 af 
28. november 2018
 om oprettelse, drift og brug af Schengeninformationssystemet (SIS) på området ind- og udrejsekontrol, om ændring af konventionen om gennemførelse af Schengen-aftalen og om ændring og ophævelse af forordning (EF) 
nr. 1987/2006
 (EUT L 312 af 
7.12.2018
, 
s. 14-55
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2018/1862
 af 
28. november 2018
 om oprettelse, drift og brug af Schengeninformationssystemet (SIS) på området politisamarbejde og strafferetligt samarbejde, om ændring og ophævelse af Rådets afgørelse 2007/533/RIA og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) 
nr. 1986/2006
 og Kommissionens afgørelse 2010/261/EU (EUT L 312 af 
7.12.2018
, 
s. 56-106
).
Se den 
konsoliderede udgave
.
TILHØRENDE DOKUMENTER
Rådets afgørelse (EU) 
2023/870
 af 
25. april 2023
 om anvendelsen af bestemmelserne i Schengenreglerne for så vidt angår Schengeninformationssystemet i Republikken Cypern (EUT L 113 af 
28.4.2023
, 
s. 44-47
).
Rådets forordning (EU) 
2022/922
 af 
9. juni 2022
 om indførelse og anvendelse af en evaluerings- og overvågningsmekanisme til kontrol af anvendelsen af Schengenreglerne og om ophævelse af forordning (EU) 
nr. 1053/2013
 (EUT L 160 af 
15.6.2022
, 
s. 1-27
).
Europa-Parlamentets og Rådets forordning (EU) 
2018/1726
 af 
14. november 2018
 om Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og om ændring af forordning (EF) 
nr. 1987/2006
 og Rådets afgørelse 2007/533/RIA og om ophævelse af forordning (EU) 
nr. 1077/2011
 (EUT L 295 af 
21.11.2018
, 
s. 99-137
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2017/541
 af 
15. marts 2017
 om bekæmpelse af terrorisme og om erstatning af Rådets rammeafgørelse 2002/475/RIA og ændring af Rådets afgørelse 2005/671/RIA (EUT L 88 af 
31.3.2017
, 
s. 6-21
).
Europa-Parlamentets og Rådets forordning (EU) 
2016/399
 af 
9. marts 2016
 om en EU-kodeks for personers grænsepassage (Schengengrænsekodeks) (kodifikation) (EUT L 77 af 
23.3.2016
, 
s. 1-52
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s. 1-88
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2016/680
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 
4.5.2016
, 
s. 89-131
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2016/794
 af 
11. maj 2016
 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (EUT L 135 af 
24.5.2016
, 
s. 53-114
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv 
2008/115/EF
 af 
16. december 2008
 om fælles standarder og procedurer i medlemsstaterne for tilbagesendelse af tredjelandsstatsborgere med ulovligt ophold (EUT L 348 af 
24.12.2008
, 
s. 98-107
).
Schengen-reglerne
 som omhandlet i artikel 1, stk. 2, i Rådets afgørelse 1999/435/EF af 
20. maj 1999
 (EUT L 239, 
22.9.2000
, 
s. 1-473
).
Rådets afgørelse 
1999/435/EF
 af 
20. maj 1999
 om definition af Schengen-reglerne med henblik på, i overensstemmelse med de relevante bestemmelser i traktaten om oprettelse af Det Europæiske Fællesskab og traktaten om Den Europæiske Union, at fastsætte retsgrundlaget for de bestemmelser og afgørelser, der udgør Schengen-reglerne (EUT L 176 af 
10.7.1999
, 
s. 1-16
).
seneste ajourføring 
26.2.2024