CELEX ID: 32024R0982

--- ENGLISH ---

Document:
Official Journal 
of the European Union
EN
L series
2024/982
5.4.2024
REGULATION (EU) 2024/982 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 13 March 2024
on the automated search and exchange of data for police cooperation, and amending Council Decisions 2008/615/JHA and 2008/616/JHA and Regulations (EU) 2018/1726, (EU) No 2019/817 and (EU) 2019/818 of the European Parliament and of the Council (the Prüm II Regulation)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 16(2), Article 87(2), point (a), and Article 88(2) thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
Acting in accordance with the ordinary legislative procedure 
(
2
)
,
Whereas:
(1)
The Union has set itself the objective of offering its citizens an area of freedom, security and justice without internal frontiers, in which the free movement of persons is ensured. That objective is to be achieved by means of, inter alia, appropriate measures to prevent and combat crime and other threats to public security, including organised crime and terrorism, in line with the communication of the Commission of 24 July 2020 on the EU Security Union Strategy. That objective requires law enforcement authorities to exchange data in an efficient and timely manner in order to effectively prevent, detect and investigate criminal offences.
(2)
The objective of this Regulation is to improve, streamline and facilitate the exchange of criminal information and vehicle registration data, for the purpose of preventing, detecting and investigating criminal offences, between Member States’ competent authorities and between Member States and the European Union Agency for Law Enforcement Cooperation (Europol), established by Regulation (EU) 2016/794 of the European Parliament and of the Council 
(
3
)
, in full compliance with fundamental rights and data protection rules.
(3)
Council Decisions 2008/615/JHA 
(
4
)
 and 2008/616/JHA 
(
5
)
, which lay down rules for the exchange of information between authorities responsible for the prevention and investigation of criminal offences by providing for the automated transfer of DNA profiles, dactyloscopic data and certain vehicle registration data, have proven important for tackling terrorism and cross-border crime, thereby protecting the internal security of the Union and its citizens.
(4)
Building upon existing procedures for the automated searching of data, this Regulation lays down the conditions and procedures for the automated searching and exchange of DNA profiles, dactyloscopic data, certain vehicle registration data, facial images and police records. That should be without prejudice to the processing of such data in the Schengen Information System (SIS), the exchange of supplementary information related to such data via the SIRENE bureaux pursuant to Regulation (EU) 2018/1862 of the European Parliament and of the Council 
(
6
)
 or the rights of individuals whose data is processed therein.
(5)
This Regulation establishes a framework for the exchange of information between authorities responsible for the prevention, detection and investigation of criminal offences (the Prüm II framework). In accordance with Article 87(1) of the Treaty on the Functioning of the European Union (TFEU), it covers all the Member States’ competent authorities, including but not limited to police, customs and other specialised law enforcement services in relation to the prevention, detection and investigation of criminal offences. Therefore, in the context of this Regulation, any authority that is responsible for the management of a national database covered by this Regulation or that grants a judicial authorisation to release any data should be considered to be within the scope of this Regulation as long as the information is exchanged for the prevention, detection and investigation of criminal offences.
(6)
Any processing or exchange of personal data for the purposes of this Regulation should not result in discrimination against persons on any grounds. It should fully respect human dignity and integrity and other fundamental rights, including the right to respect for one’s private life and to the protection of personal data, in accordance with the Charter of Fundamental Rights of the European Union.
(7)
Any processing or exchange of personal data should be subject to the provisions on data protection of Chapter 6 of this Regulation and, as applicable, Directive (EU) 2016/680 of the European Parliament and of the Council 
(
7
)
 or Regulation (EU) 2018/1725 
(
8
)
, (EU) 2016/794 or (EU) 2016/679 
(
9
)
 of the European Parliament and of the Council. Directive (EU) 2016/680 applies to the use of the Prüm II framework in respect of searches for missing persons and the identification of unidentified human remains for the prevention, detection and investigation of criminal offences. Regulation (EU) 2016/679 applies to the use of the Prüm II framework in respect of searches for missing persons and the identification of unidentified human remains for other purposes.
(8)
By providing for the automated searching of DNA profiles, dactyloscopic data, certain vehicle registration data, facial images and police records, the purpose of this Regulation is also to allow for the search for missing persons and the identification of unidentified human remains. Those automated searches should follow the rules and procedures laid down in this Regulation. Those automated searches are without prejudice to the entry of alerts on missing persons in the SIS and the exchange of supplementary information on such alerts under Regulation (EU) 2018/1862.
(9)
Where Member States wish to use the Prüm II framework to search for missing persons and to identify human remains, they should adopt national legislative measures to designate the national authorities competent for that purpose and to lay down the specific procedures, conditions and criteria for that purpose. For searches for missing persons outside the area of criminal investigations, the national legislative measures should clearly set out the humanitarian grounds on which a search for missing persons can be conducted. Such searches should comply with the principle of proportionality. The humanitarian grounds should include natural and man-made disasters and other equally justified grounds, such as suspicions of suicide.
(10)
This Regulation lays down the conditions and procedures for the automated searching of DNA profiles, dactyloscopic data, certain vehicle registration data, facial images and police records and the rules regarding the exchange of core data following a confirmed match on biometric data. It does not apply to the exchange of supplementary information beyond what is provided for in this Regulation, which is regulated by Directive (EU) 2023/977 of the European Parliament and of the Council 
(
10
)
.
(11)
Directive (EU) 2023/977 provides a coherent Union legal framework to ensure that a Member State’s competent authorities have equivalent access to information held by other Member States when they need such information to fight crime and terrorism. To enhance the exchange of information, that Directive formalises and clarifies the rules and procedures for sharing information between Member States’ competent authorities, in particular for investigative purposes, including the role of each Member State’s Single Point of Contact in such exchanges.
(12)
The purposes of the exchanges of DNA profiles under this Regulation are without prejudice to the exclusive competence of the Member States to decide the purpose of their national DNA databases, including the prevention or detection of criminal offences.
(13)
Member States should, at the time of initial connection to the router established by this Regulation, conduct automated searches of DNA profiles by comparing all the DNA profiles stored in their databases with all the DNA profiles stored in all the other Member States’ databases and Europol data. The purpose of that initial automated search is to avoid any gaps in identifying matches between DNA profiles stored in a Member State’s database and DNA profiles stored in all the other Member States’ databases and Europol data. The initial automated search should be conducted bilaterally and should not necessarily be performed with all other Member States’ databases and Europol data at the same time. The arrangements for conducting such searches, including the timing and the quantity by batch, should be agreed bilaterally in accordance with the rules and procedures laid down in this Regulation.
(14)
Following the initial automated search of DNA profiles, Member States should conduct automated searches by comparing all the new DNA profiles added to their databases with all the DNA profiles stored in other Member States’ databases and Europol data. That automated searching of new DNA profiles should take place regularly. Where such searches could not take place, the Member State concerned should be able to conduct them at a later stage to ensure that matches have not been missed. The arrangements for conducting such later searches, including the timing and the quantity by batch, should be agreed bilaterally in accordance with the rules and procedures laid down in this Regulation.
(15)
For the automated searching of vehicle registration data, Member States and Europol should use the European Vehicle and Driving Licence Information System (Eucaris), set up by the Treaty concerning a European Vehicle and Driving Licence Information System (EUCARIS) and designed for that purpose, which connects all participating Member States in a network. No central component is needed to establish communication as each Member State communicates directly with the other connected Member States, and Europol communicates directly with the connected databases.
(16)
The identification of a criminal is essential for a successful criminal investigation and prosecution. The automated searching of facial images of persons convicted or suspected of having committed a criminal offence or, where permitted under the national law of the requested Member State, of victims, collected in accordance with national law, could provide additional information for successfully identifying criminals and fighting crime. Given the sensitivity of the data concerned, it should only be possible to conduct automated searches for the purpose of preventing, detecting or investigating a criminal offence punishable by a maximum term of imprisonment of at least one year under the law of the requesting Member State.
(17)
The automated searching of biometric data by Member States’ competent authorities responsible for the prevention, detection and investigation of criminal offences under this Regulation should only concern data contained in databases established for the prevention, detection and investigation of criminal offences.
(18)
Participation in the automated searching and exchange of police records should remain voluntary. Where Member States decide to participate, it should only be possible for them, in the spirit of reciprocity, to query other Member States’ databases if they make their own databases available for queries by other Member States. Participating Member States should establish national police record indexes. It should be for the Member States to decide which national databases established for the prevention, detection and investigation of criminal offences to use to create their national police record indexes. Those indexes include data from national databases that the police usually check when receiving requests for information from other law enforcement authorities. This Regulation establishes the European Police Record Index System (EPRIS) in accordance with the privacy-by-design principle. Data protection safeguards include pseudonymisation because indexes and queries do not contain clear personal data, but alphanumerical strings. It is important that EPRIS prevent Member States or Europol from reversing pseudonymisation and revealing the identification data which resulted in the match. Given the sensitivity of the data concerned, exchanges of national police record indexes under this Regulation should only concern the data of persons convicted or suspected of having committed a criminal offence. In addition, it should only be possible to conduct automated searches of national police record indexes for the purpose of preventing, detecting and investigating a criminal offence punishable by a maximum term of imprisonment of at least one year under the law of the requesting Member State.
(19)
The exchange of police records under this Regulation is without prejudice to the exchange of criminal records through the existing European Criminal Records Information System (ECRIS), established by Council Framework Decision 2009/315/JHA 
(
11
)
.
(20)
In recent years, Europol has received a large amount of biometric data of suspects and persons convicted of terrorism and criminal offences from third-country authorities in accordance with Regulation (EU) 2016/794, including battlefield information from war zones. In many cases, it has not been possible to make full use of such data because they are not always available to the Member States’ competent authorities. Including data provided by third countries and stored by Europol in the Prüm II framework and thus making those data available to the Member States’ competent authorities in line with Europol’s role as the Union central criminal information hub is necessary to better prevent, detect and investigate serious criminal offences. It also contributes to building synergies between different law enforcement tools and ensures that data are used in the most efficient manner.
(21)
Europol should be able to search Member States’ databases under the Prüm II framework with data received from third-country authorities, in full respect of the rules and conditions provided for in Regulation (EU) 2016/794, in order to establish cross-border links between criminal cases in respect of which Europol is competent. Being able to use Prüm data, in addition to other databases available to Europol, would enable a more complete and informed analysis to be carried out, thereby allowing Europol to provide better support to Member States’ competent authorities for the prevention, detection and investigation of criminal offences.
(22)
Europol should ensure that its search requests do not exceed the search capacities for dactyloscopic data and for facial images established by the Member States. In the event of a match between data used for the search and data stored in Member States’ databases, it should be up to Member States to decide whether to supply Europol with the information necessary for it to fulfil its tasks.
(23)
Regulation (EU) 2016/794 applies in its entirety to the participation of Europol in the Prüm II framework. Any use by Europol of data received from third countries is governed by Article 19 of Regulation (EU) 2016/794. Any use by Europol of data obtained from automated searches under the Prüm II framework should be subject to the consent of the Member State which provided the data and is governed by Article 25 of Regulation (EU) 2016/794 where the data are transferred to third countries.
(24)
Decisions 2008/615/JHA and 2008/616/JHA provide for a network of bilateral connections between the national databases of Member States. As a consequence of that technical architecture, each Member State had to establish a connection with each Member State participating in the exchanges, which meant at least 26 connections per Member State, per data category. The router and EPRIS will simplify the technical architecture of the Prüm framework and serve as connecting points between all Member States. The router should require a single connection per Member State in relation to biometric data. EPRIS should require a single connection per participating Member State in relation to police records.
(25)
The router should be connected to the European Search Portal, established by Regulations (EU) 2019/817 
(
12
)
 and (EU) 2019/818 
(
13
)
 of the European Parliament and of the Council, to allow Member States’ competent authorities and Europol to launch queries to national databases under this Regulation at the same time as queries to the Common Identity Repository, established by those Regulations, for law enforcement purposes in accordance with those Regulations. Those Regulations should therefore be amended accordingly. Moreover, Regulation (EU) 2019/818 should be amended with a view to enabling the storage of reports and statistics of the router in the central repository for reporting and statistics.
(26)
It should be possible for a reference number for biometric data to be a provisional reference number or a transaction control number.
(27)
Automated fingerprint identification systems and facial image recognition systems use biometric templates comprised of data derived from a feature extraction of actual biometric samples. Biometric templates should be obtained from biometric data, but it should not be possible to obtain that same biometric data from the biometric templates.
(28)
The router should rank, where decided by the requesting Member State and where applicable according to the type of biometric data, the replies from the requested Member State or Member States or from Europol by comparing the biometric data used for querying and the biometric data supplied in the replies by the requested Member State or Member States or Europol.
(29)
In the event of a match between the data used for the search and data held in the national database of the requested Member State or Member States, following a manual confirmation of the match by a qualified member of staff of the requesting Member State and following the transmission of a description of the facts and an indication of the underlying offence using the common table of offence categories set out in an implementing act to be adopted pursuant to Framework Decision 2009/315/JHA, the requested Member State should return a limited set of core data, to the extent that such core data are available. The limited set of core data should be returned via the router and, except where a judicial authorisation is required under national law, within 48 hours of the relevant conditions having been met. That deadline will ensure fast communication exchange between Member States’ competent authorities. Member States should retain control over the release of the limited set of core data. Human intervention should be maintained at key points in the process, including for the decision to launch a query, the decision to confirm a match, the decision to launch a request to receive the set of core data following a confirmed match and the decision to release personal data to the requesting Member State, in order to ensure that no core data will be exchanged in an automated manner.
(30)
In the specific case of DNA, the requested Member State should also be able to confirm a match between two DNA profiles where that is relevant for the investigation of criminal offences. Following the confirmation of that match by the requested Member State and following the transmission of a description of the facts and an indication of the underlying offence using the common table of offence categories set out in an implementing act to be adopted pursuant to Framework Decision 2009/315/JHA, the requesting Member State should return a limited set of core data via the router within 48 hours of the relevant conditions having been met, except where a judicial authorisation is required under national law.
(31)
Data lawfully supplied and received under this Regulation are subject to the time limits for storage and review established pursuant to Directive (EU) 2016/680.
(32)
The universal message format (UMF) standard should be used in the development of the router and EPRIS, in so far as applicable. Any automated exchange of data under this Regulation should use the UMF standard, in so far as applicable. Member States’ competent authorities and Europol are also encouraged to use the UMF standard in relation to any further exchange of data between them in the context of the Prüm II framework. The UMF standard should serve as the standard for structured, cross-border information exchange between information systems, authorities or organisations in the field of Justice and Home Affairs.
(33)
Only non-classified information should be exchanged via the Prüm II framework.
(34)
Each Member State should notify the other Member States, the Commission, the European Union Agency for the Operational Management of Large-Scale Information Systems in the Area of Freedom, Security and Justice (eu-LISA), established by Regulation (EU) 2018/1726 of the European Parliament and of the Council 
(
14
)
, and Europol of the content of its national databases made available via the Prüm II framework and of the conditions for automated searches.
(35)
Certain aspects of the Prüm II framework cannot be covered exhaustively by this Regulation given their technical, highly detailed and frequently changing nature. Those aspects include, for example, technical arrangements and specifications for automated searching procedures, the standards for data exchange, including minimum quality standards, and the data elements to be exchanged. In order to ensure uniform conditions for the implementation of this Regulation with respect to such aspects, implementing powers should be conferred on the Commission. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
15
)
.
(36)
Data quality is of utmost importance as a safeguard and an essential prerequisite to ensure the efficiency of this Regulation. In the context of the automated searching of biometric data and in order to ensure that the data transmitted are of sufficient quality and to reduce the risk of false matches, a minimum quality standard should be established and regularly reviewed.
(37)
Given the scale and sensitivity of the personal data exchanged for the purposes of this Regulation, and the existence of different national rules for storing information on individuals in national databases, it is important to ensure that the databases used for automated searching under this Regulation are established in accordance with national law and Directive (EU) 2016/680. Therefore, prior to connecting their national databases to the router or EPRIS, Member States should conduct a data protection impact assessment as referred to in Directive (EU) 2016/680 and, where appropriate, consult the supervisory authority as provided for in that Directive.
(38)
Member States and Europol should ensure the accuracy and relevance of personal data which are processed pursuant to this Regulation. Where a Member State or Europol becomes aware of the fact that data which have been supplied are incorrect or no longer up to date or should not have been supplied, it should notify the Member State which received the data or Europol, as appropriate, without undue delay. All Member States concerned or Europol, as the case may be, should correct or delete the data accordingly without undue delay. Where the Member State which received the data or Europol has reason to believe that the supplied data are incorrect or should be deleted, it should inform the Member State which provided the data without undue delay.
(39)
Strong monitoring of the implementation of this Regulation is of utmost importance. In particular, compliance with rules for processing personal data should be subject to effective safeguards, and regular monitoring and audits by data controllers, supervisory authorities and the European Data Protection Supervisor, as relevant, should be ensured. Provisions allowing for a regular checking of the admissibility of queries and the lawfulness of data processing should also be in place.
(40)
Supervisory authorities and the European Data Protection Supervisor should ensure coordinated supervision of the application of this Regulation within the framework of their responsibilities, in particular where they identify major discrepancies between Member State’s practices or potentially unlawful transfers.
(41)
When implementing this Regulation, it is crucial that Member States and Europol take note of the case law from the Court of Justice of the European Union in relation to the exchange of biometric data.
(42)
Three years following the start of operations of the router and EPRIS and every four years thereafter, the Commission should produce an evaluation report that includes an assessment of the application of this Regulation by the Member States and Europol, in particular of their compliance with the relevant data protection safeguards. Evaluation reports should also include an examination of the results achieved against the objectives of this Regulation and its impact on fundamental rights. Evaluation reports should also evaluate the impact, performance, effectiveness, efficiency, security and working practices of the Prüm II framework.
(43)
As this Regulation provides for the establishment of a new Prüm framework, provisions of Decisions 2008/615/JHA and 2008/616/JHA that are no longer relevant should be deleted. Those Decisions should be amended accordingly.
(44)
As the router is to be developed and managed by eu-LISA, Regulation (EU) 2018/1726 should be amended by adding that to the tasks of eu-LISA.
(45)
Since the objectives of this Regulation, namely to step up cross-border police cooperation and to allow Member States’ competent authorities to search for missing persons and identify unidentified human remains, cannot be sufficiently achieved by the Member States but can rather, by reason of the scale and effects of the action, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union (TEU). In accordance with the principle of proportionality, as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives.
(46)
In accordance with Articles 1 and 2 of Protocol No 22 on the position of Denmark, annexed to the TEU and to the TFEU, Denmark is not taking part in the adoption of this Regulation and is not bound by it or subject to its application.
(47)
In accordance with Article 3 of Protocol No 21 on the position of the United Kingdom and Ireland in respect of the area of freedom, security and justice, annexed to the TEU and to the TFEUs, Ireland has notified its wish to take part in the adoption and application of this Regulation.
(48)
The European Data Protection Supervisor was consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 and delivered an opinion on 2 March 2022 
(
16
)
,
HAVE ADOPTED THIS REGULATION:
CHAPTER 1
General provisions
Article 1
Subject matter
This Regulation establishes a framework for searching and exchanging information between Member States’ competent authorities (the Prüm II framework) by laying down:
(a)
the conditions and procedures for the automated searching of DNA profiles, dactyloscopic data, certain vehicle registration data, facial images and police records; and
(b)
the rules regarding the exchange of core data following a confirmed match on biometric data.
Article 2
Purpose
The purpose of the Prüm II framework is to step up cross-border cooperation in matters covered by Part III, Title V, Chapters 4 and 5, of the Treaty on the Functioning of the European Union, particularly by facilitating the exchange of information between Member States’ competent authorities, in full respect of the fundamental rights of natural persons, including the right to respect for one’s private life and the right to the protection of personal data, in accordance with the Charter of Fundamental Rights of the European Union.
The purpose of the Prüm II framework is also to allow Member State’s competent authorities to search for missing persons in the context of criminal investigations or on humanitarian grounds and to identify human remains, in accordance with Article 29, provided that those authorities are empowered to conduct such searches and to carry out such identifications under national law.
Article 3
Scope
This Regulation applies to the databases established in accordance with national law and used for the automated transfer of DNA profiles, dactyloscopic data, certain vehicle registration data, facial images and police records, in compliance with, as applicable, Directive (EU) 2016/680 or Regulation (EU) 2018/1725, (EU) No 2016/794 or (EU) 2016/679.
Article 4
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘loci’ (singular: ‘locus’) means DNA locations containing identification characteristics of an analysed human DNA sample;
(2)
‘DNA profile’ means a letter or number code which represents a set of loci or the particular molecular structure at the various loci;
(3)
‘DNA reference data’ means a DNA profile and the reference number referred to in Article 7;
(4)
‘identified DNA profile’ means the DNA profile of an identified person;
(5)
‘unidentified DNA profile’ means the DNA profile collected during the investigation of criminal offences and belonging to a person not yet identified, including a DNA profile obtained from traces;
(6)
‘dactyloscopic data’ means images of fingerprints, images of fingerprint latents, images of palm prints, images of palm print latents and templates of such images (coded minutiae) that are stored and dealt with in an automated database;
(7)
‘dactyloscopic reference data’ means dactyloscopic data and the reference number referred to in Article 12;
(8)
‘unidentified dactyloscopic data’ means dactyloscopic data collected during the investigation of a criminal offence and belonging to a person not yet identified, including dactyloscopic data obtained from traces;
(9)
‘identified dactyloscopic data’ means the dactyloscopic data of an identified person;
(10)
‘individual case’ means a single file related to the prevention, detection or investigation of a criminal offence, to the search for a missing person or to the identification of unidentified human remains;
(11)
‘facial image’ means a digital image of the face;
(12)
‘facial image reference data’ means a facial image and the reference number referred to in Article 21;
(13)
‘unidentified facial image’ means a facial image collected during the investigation of a criminal offence and belonging to a person not yet identified, including a facial image obtained from traces;
(14)
‘identified facial image’ means the facial image of an identified person;
(15)
‘biometric data’ means DNA profiles, dactyloscopic data or facial images;
(16)
‘alphanumeric data’ means data represented by letters, digits, special characters, spaces and punctuation marks;
(17)
‘match’ means the existence of a correspondence as a result of an automated comparison between personal data held in a database;
(18)
‘candidate’ means data with which a match has occurred;
(19)
‘requesting Member State’ means a Member State conducting a search via the Prüm II framework;
(20)
‘requested Member State’ means a Member State in whose databases a requesting Member State conducts a search via the Prüm II framework;
(21)
‘police records’ means biographical data of suspects and convicted persons available in national databases established for the prevention, detection and investigation of criminal offences;
(22)
‘pseudonymisation’ means pseudonymisation as defined in Article 3, point (5), of Directive (EU) 2016/680;
(23)
‘suspect’ means a person as referred to in Article 6, point (a), of Directive (EU) 2016/680;
(24)
‘personal data’ means personal data as defined in Article 3, point (1), of Directive (EU) 2016/680;
(25)
‘Europol data’ means any operational personal data processed by Europol in accordance with Regulation (EU) 2016/794;
(26)
‘competent authority’ means any public authority competent for the prevention, detection or investigation of criminal offences, or any other body or entity entrusted by Member State law with the exercise of public authority and public powers for the purposes of the prevention, detection or investigation of criminal offences;
(27)
‘supervisory authority’ means an independent public authority established by a Member State pursuant to Article 41 of Directive (EU) 2016/680;
(28)
‘SIENA’ means the secure information exchange network application managed and developed by Europol in accordance with Regulation (EU) 2016/794;
(29)
‘incident’ means an incident as defined in Article 6, point (6), of Directive (EU) 2022/2555 of the European Parliament and of the Council 
(
17
)
.
(30)
‘significant incident’ means an incident unless that incident has a limited impact and is likely to be already well understood in terms of method or technology;
(31)
‘significant cyber threat’ means a cyber threat with the opportunity and capability, and the purpose of which is, to cause a significant incident;
(32)
‘significant vulnerability’ means a vulnerability that will likely lead to a significant incident if it is exploited.
CHAPTER 2
Exchange of data
Section 1
DNA profiles
Article 5
DNA reference data
1.   Member States shall ensure the availability of DNA reference data from their national DNA databases for the purposes of automated searches by other Member States and Europol pursuant to this Regulation.
DNA reference data shall not contain any additional data from which an individual can be directly identified.
Unidentified DNA profiles shall be recognisable as such.
2.   DNA reference data shall be processed in accordance with this Regulation and in compliance with the national law applicable to the processing of those data.
3.   The Commission shall adopt an implementing act to specify the identification characteristics of a DNA profile which is to be exchanged. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 77(2).
Article 6
Automated searching of DNA profiles
1.   For the investigation of criminal offences, Member States shall, at the time of initial connection to the router via their national contact points, conduct an automated search by comparing all the DNA profiles stored in their DNA databases with all the DNA profiles stored in all other Member States’ DNA databases and Europol data. Each Member State shall agree bilaterally with each other Member State and with Europol on the arrangements for those automated searches in accordance with the rules and procedures laid down in this Regulation.
2.   For the investigation of criminal offences, Member States shall, via their national contact points, conduct automated searches by comparing all the new DNA profiles added to their DNA databases with all the DNA profiles stored in all other Member States’ DNA databases and Europol data.
3.   Where searches as referred to in paragraph 2 could not take place, the Member State concerned may agree bilaterally with each other Member State and with Europol to conduct them at a later stage by comparing DNA profiles with all DNA profiles stored in all other Member States’ DNA databases and Europol data. The Member State concerned shall agree bilaterally with each other Member State and with Europol on the arrangements for those automated searches in accordance with the rules and procedures laid down in this Regulation.
4.   Searches as referred to in paragraphs 1, 2 and 3 shall only be conducted in the framework of individual cases and in compliance with the national law of the requesting Member State.
5.   Where an automated search shows that a supplied DNA profile matches DNA profiles stored in the requested Member State’s searched database or databases, the national contact point of the requesting Member State shall receive in an automated manner the DNA reference data with which a match has been found.
6.   The national contact point of the requesting Member State may decide to confirm a match between two DNA profiles. Where it decides to confirm a match between two DNA profiles, it shall inform the requested Member State and shall ensure that at least one qualified member of staff conducts a manual review in order to confirm that match with DNA reference data received from the requested Member State.
7.   Where relevant for the investigation of criminal offences, the national contact point of the requested Member State may decide to confirm a match between two DNA profiles. Where it decides to confirm a match between two DNA profiles, it shall inform the requesting Member State and shall ensure that at least one qualified member of staff conducts a manual review in order to confirm that match with DNA reference data received from the requesting Member State.
Article 7
Reference numbers for DNA profiles
The reference numbers for DNA profiles shall be the combination of the following:
(a)
a reference number allowing Member States, in the event of a match, to retrieve further data and other information in their national DNA databases in order to supply them or it to one, several or all of the other Member States in accordance with Article 47 or to Europol in accordance with Article 49(6);
(b)
a reference number allowing Europol, in the event of a match, to retrieve further data and other information for the purposes of Article 48(1) of this Regulation in order to supply them or it to one, several or all Member States in accordance with Regulation (EU) 2016/794;
(c)
a code to indicate the Member State which holds the DNA profile;
(d)
a code to indicate whether the DNA profile is an identified DNA profile or an unidentified DNA profile.
Article 8
Principles for the exchange of DNA profiles
1.   Member States shall take appropriate measures to ensure the confidentiality and integrity of DNA reference data sent to other Member States or Europol, including their encryption. Europol shall take appropriate measures to ensure the confidentiality and integrity of DNA reference data sent to Member States, including their encryption.
2.   Each Member State and Europol shall ensure that the DNA profiles it transmits are of sufficient quality for automated comparison. The Commission shall establish, by means of implementing acts, a minimum quality standard to allow for the comparison of DNA profiles.
3.   The Commission shall adopt implementing acts specifying the relevant European or international standards to be used by Member States and Europol for the exchange of DNA reference data.
4.   The implementing acts referred to in paragraphs 2 and 3 of this Article shall be adopted in accordance with the examination procedure referred to in Article 77(2).
Article 9
Rules for requests and replies regarding DNA profiles
1.   A request for an automated search of DNA profiles shall include only the following information:
(a)
the code of the requesting Member State;
(b)
the date and time of the request and the request number;
(c)
DNA reference data;
(d)
whether the DNA profiles transmitted are unidentified DNA profiles or identified DNA profiles.
2.   A reply to a request as referred to in paragraph 1 shall contain only the following information:
(a)
an indication as to whether there were one or more matches or no matches;
(b)
the date and time of the request and the request number;
(c)
the date and time of the reply and the reply number;
(d)
the codes of the requesting and requested Member States;
(e)
the reference numbers of the DNA profiles from the requesting and requested Member States;
(f)
whether the DNA profiles transmitted are unidentified DNA profiles or identified DNA profiles;
(g)
the matching DNA profiles.
3.   A match shall be automatically notified only where the automated search has resulted in a match of a minimum number of loci. The Commission shall adopt implementing acts specifying the minimum number of loci for that purpose in accordance with the examination procedure referred to in Article 77(2).
4.   Where a search with unidentified DNA profiles results in a match, each requested Member State with matching data may insert a marking in its national database indicating that there has been a match for that DNA profile following another Member State’s search. The marking shall include the reference number of the DNA profile used by the requesting Member State.
5.   Member States shall ensure that requests as referred to in paragraph 1 of this Article are consistent with notifications sent pursuant to Article 74. Those notifications shall be reproduced in the practical handbook referred to in Article 79.
Section 2
Dactyloscopic data
Article 10
Dactyloscopic reference data
1.   Member States shall ensure the availability of dactyloscopic reference data from their national databases established for the prevention, detection and investigation of criminal offences.
2.   Dactyloscopic reference data shall not contain any additional data from which an individual can be directly identified.
3.   Unidentified dactyloscopic data shall be recognisable as such.
Article 11
Automated searching of dactyloscopic data
1.   For the prevention, detection and investigation of criminal offences, Member States shall allow national contact points of other Member States and Europol access to the dactyloscopic reference data in their national databases established for that purpose to conduct automated searches by comparing dactyloscopic reference data.
Searches as referred to in the first subparagraph shall only be conducted in the framework of individual cases and in compliance with the national law of the requesting Member State.
2.   The national contact point of the requesting Member State may decide to confirm a match between two sets of dactyloscopic data. Where it decides to confirm a match between two sets of dactyloscopic data, it shall inform the requested Member State and shall ensure that at least one qualified member of staff conducts a manual review in order to confirm that match with dactyloscopic reference data received from the requested Member State.
Article 12
Reference numbers for dactyloscopic data
The reference numbers for dactyloscopic data shall be the combination of the following:
(a)
a reference number allowing Member States, in the event of a match, to retrieve further data and other information in their databases referred to in Article 10 in order to supply them or it to one, several or all of the other Member States in accordance with Article 47 or to Europol in accordance with Article 49(6);
(b)
a reference number allowing Europol, in the event of a match, to retrieve further data and other information for the purposes of Article 48(1) of this Regulation in order to supply them or it to one, several or all Member States in accordance with Regulation (EU) 2016/794;
(c)
a code to indicate the Member State which holds the dactyloscopic data.
Article 13
Principles for the exchange of dactyloscopic data
1.   Member States shall take appropriate measures to ensure the confidentiality and integrity of dactyloscopic data sent to other Member States or Europol, including their encryption. Europol shall take appropriate measures to ensure the confidentiality and integrity of dactyloscopic data sent to Member States, including their encryption.
2.   Each Member State and Europol shall ensure that the dactyloscopic data it transmits are of sufficient quality for automated comparison. The Commission shall establish, by means of implementing acts, a minimum quality standard to allow for the comparison of dactyloscopic data.
3.   Dactyloscopic data shall be digitalised and transmitted to the other Member States or Europol in accordance with European or international standards. The Commission shall adopt implementing acts specifying the relevant European or international standards to be used by Member States and Europol for the exchange of dactyloscopic data.
4.   The implementing acts referred to in paragraphs 2 and 3 of this Article shall be adopted in accordance with the examination procedure referred to in Article 77(2).
Article 14
Search capacities for dactyloscopic data
1.   Each Member State shall ensure that its search requests do not exceed the search capacities specified by the requested Member State or Europol to ensure system readiness and to avoid overloading the system. For the same purpose, Europol shall ensure that its search requests do not exceed the search capacities specified by the requested Member State.
Member States shall inform the other Member States, the Commission, eu-LISA and Europol about their maximum search capacities per day for identified and unidentified dactyloscopic data. Europol shall inform Member States, the Commission and eu-LISA about its maximum search capacities per day for identified and unidentified dactyloscopic data. Member States or Europol may temporarily or permanently raise those search capacities at any time, including in a case of urgency. Where a Member State raises those maximum search capacities, it shall notify the other Member States, the Commission, eu-LISA and Europol of the new maximum search capacities. Where Europol raises those maximum search capacities, it shall notify the Member States, the Commission and eu-LISA of the new maximum search capacities.
2.   The Commission shall adopt implementing acts specifying the maximum numbers of candidates accepted for comparison per transmission and the distribution of unused search capacities between Member States in accordance with the examination procedure referred to in Article 77(2).
Article 15
Rules for requests and replies regarding dactyloscopic data
1.   A request for an automated search of dactyloscopic data shall include only the following information:
(a)
the code of the requesting Member State;
(b)
the date and time of the request and the request number;
(c)
dactyloscopic reference data.
2.   A reply to a request as referred to in paragraph 1 shall contain only the following information:
(a)
an indication as to whether there were one or more matches or no matches;
(b)
the date and time of the request and the request number;
(c)
the date and time of the reply and the reply number;
(d)
the codes of the requesting and requested Member States;
(e)
the reference numbers of the dactyloscopic data from the requesting and requested Member States;
(f)
the matching dactyloscopic data.
3.   Member States shall ensure that requests as referred to in paragraph 1 of this Article are consistent with notifications sent pursuant to Article 74. Those notifications shall be reproduced in the practical handbook referred to in Article 79.
Section 3
Vehicle registration data
Article 16
Automated searching of vehicle registration data
1.   For the prevention, detection and investigation of criminal offences, Member States shall allow national contact points of other Member States and Europol access to the following national vehicle registration data to conduct automated searches in individual cases:
(a)
data relating to the owner or holder of the vehicle;
(b)
data relating to the vehicle.
2.   Searches as referred to in paragraph 1 shall be conducted only with the following data:
(a)
a complete chassis number;
(b)
a complete registration number; or
(c)
where authorised by the national law of the requested Member State, data relating to the owner or holder of the vehicle.
3.   Searches as referred to in paragraph 1 conducted with data related to the owner or holder of the vehicle shall only be conducted in the case of suspects or convicted persons. All of the following identification data shall be used for the purposes of such searches:
(a)
where the owner or holder of the vehicle is a natural person:
(i)
the first name or names of the natural person;
(ii)
the family name or names of the natural person; and
(iii)
the date of birth of the natural person;
(b)
where the owner or holder of the vehicle is a legal person, that legal person’s name.
4.   Searches as referred to in paragraph 1 shall be conducted only in compliance with the national law of the requesting Member State.
Article 17
Principles of automated searching of vehicle registration data
1.   For automated searching of vehicle registration data, Member States shall use the European Vehicle and Driving Licence Information System (Eucaris).
2.   Information exchanged via Eucaris shall be transmitted in encrypted form.
3.   The Commission shall adopt implementing acts specifying the data elements of the vehicle registration data which can be exchanged and the technical procedure for Eucaris to query Member States’ databases. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 77(2).
Article 18
Keeping of logs
1.   Each Member State shall keep logs of queries that the staff of its competent authorities duly authorised to exchange vehicle registration data make and logs of queries requested by other Member States. Europol shall keep logs of queries that its duly authorised staff make.
Each Member State and Europol shall keep logs of all data processing operations concerning vehicle registration data. Those logs shall include the following:
(a)
whether it was a Member State or Europol that launched the request for a query; where it was a Member State that launched the request for a query, the Member State in question;
(b)
the date and time of the request;
(c)
the date and time of the reply;
(d)
the national databases to which a request for a query was sent;
(e)
the national databases that provided a positive reply.
2.   The logs referred to in paragraph 1 shall be used only for the collection of statistics, for data protection monitoring, including checking the admissibility of a query and the lawfulness of data processing, and for ensuring data security and integrity. Those logs shall be protected by appropriate measures against unauthorised access and shall be erased three years after their creation. If, however, they are required for monitoring procedures that have already begun, they shall be erased once the monitoring procedures no longer require the logs.
3.   For the purposes of data protection monitoring, including checking the admissibility of a query and the lawfulness of data processing, the data controllers shall have access to the logs for self-monitoring as referred to in Article 55.
Section 4
Facial images
Article 19
Facial image reference data
1.   Member States shall ensure the availability of facial image reference data of suspects, convicted persons and, where permitted under national law, victims from their national databases established for the prevention, detection and investigation of criminal offences.
2.   Facial image reference data shall not contain any additional data from which an individual can be directly identified.
3.   Unidentified facial images shall be recognisable as such.
Article 20
Automated searching of facial images
1.   For the prevention, detection and investigation of criminal offences punishable by a maximum term of imprisonment of at least one year under the law of the requesting Member State, Member States shall allow national contact points of other Member States and Europol access to the facial image reference data in their national databases to conduct automated searches.
Searches as referred to in the first subparagraph shall only be conducted in the framework of individual cases and in compliance with the national law of the requesting Member State.
Profiling as referred to in Article 11(3) of Directive (EU) 2016/680 shall be prohibited.
2.   The national contact point of the requesting Member State may decide to confirm a match between two facial images. Where it decides to confirm a match between two facial images, it shall inform the requested Member State and shall ensure that at least one qualified member of staff conducts a manual review in order to confirm that match with facial image reference data received from the requested Member State.
Article 21
Reference numbers for facial images
The reference numbers for facial images shall be the combination of the following:
(a)
a reference number allowing Member States, in the event of a match, to retrieve further data and other information in their databases referred to in Article 19 in order to supply them or it to one, several or all of the other Member States in accordance with Article 47 or to Europol in accordance with Article 49(6);
(b)
a reference number allowing Europol, in the event of a match, to retrieve further data and other information for the purposes of Article 48(1) of this Regulation in order to supply them or it to one, several or all Member States in accordance with Regulation (EU) 2016/794;
(c)
a code to indicate the Member State which holds the facial images.
Article 22
Principles for the exchange of facial images
1.   Member States shall take appropriate measures to ensure the confidentiality and integrity of facial images sent to other Member States or Europol, including their encryption. Europol shall take appropriate measures to ensure the confidentiality and integrity of facial images sent to Member States, including their encryption.
2.   Each Member State and Europol shall ensure that the facial images it transmits are of sufficient quality for automated comparison. The Commission shall establish, by means of implementing acts, a minimum quality standard to allow for the comparison of facial images. Where the report referred to in Article 80(7) shows a high risk of false matches, the Commission shall review those implementing acts.
3.   The Commission shall adopt implementing acts specifying the relevant European or international standards to be used by Member States and Europol for the exchange of facial images.
4.   The implementing acts referred to in paragraphs 2 and 3 of this Article shall be adopted in accordance with the examination procedure referred to in Article 77(2).
Article 23
Search capacities for facial images
1.   Each Member State shall ensure that its search requests do not exceed the search capacities specified by the requested Member State or Europol to ensure system readiness and to avoid overloading the system. For the same purpose, Europol shall ensure that its search requests do not exceed the search capacities specified by the requested Member State.
Member States shall inform the other Member States, the Commission, eu-LISA and Europol about their maximum search capacities per day for identified and unidentified facial images. Europol shall inform the Member States, the Commission and eu-Lisa about its maximum search capacities per day for identified and unidentified facial images. Member States or Europol may temporarily or permanently raise those search capacities at any time, including in a case of urgency. Where a Member State raises those maximum search capacities, it shall notify the other Member States, the Commission, eu-LISA and Europol of the new maximum search capacities. Where Europol raises those maximum search capacities, it shall notify the Member States, the Commission and eu-LISA of the new maximum search capacities.
2.   The Commission shall adopt implementing acts specifying the maximum numbers of candidates accepted for comparison per transmission and the distribution of unused search capacities between Member States in accordance with the examination procedure referred to in Article 77(2).
Article 24
Rules for requests and replies regarding facial images
1.   A request for an automated search of facial images shall include only the following information:
(a)
the code of the requesting Member State;
(b)
the date and time of the request and the request number;
(c)
facial image reference data.
2.   A reply to a request as referred to in paragraph 1 shall contain only the following information:
(a)
an indication as to whether there were one or more matches or no matches;
(b)
the date and time of the request and the request number;
(c)
the date and time of the reply and the reply number;
(d)
the codes of the requesting and requested Member States;
(e)
the reference numbers of the facial images from the requesting and requested Member States;
(f)
the matching facial images.
3.   Member States shall ensure that requests as referred to in paragraph 1 of this Article are consistent with notifications sent pursuant to Article 74. Those notifications shall be reproduced in the practical handbook referred to in Article 79.
Section 5
Police records
Article 25
Police records
1.   Member States may participate in the automated exchange of police records. For the purposes of such exchanges, participating Member States shall ensure the availability of national police record indexes which contain sets of biographical data of suspects and convicted persons from their national databases established for the prevention, detection and investigation of criminal offences. Those sets of data shall contain only the following data to the extent that they are available:
(a)
first name or names;
(b)
family name or names;
(c)
alias or aliases and previously used name or names;
(d)
date of birth;
(e)
nationality or nationalities;
(f)
country of birth;
(g)
gender.
2.   The data referred to in paragraph 1, points (a), (b) and (c), shall be pseudonymised.
Article 26
Automated searching of national police record indexes
For the prevention, detection and investigation of criminal offences punishable by a maximum term of imprisonment of at least one year under the law of the requesting Member State, Member States participating in the automated exchange of police records shall allow national contact points of other participating Member States and Europol access to data from their national police record indexes to conduct automated searches.
Searches as referred to in the first paragraph shall only be conducted in the framework of individual cases and in compliance with the national law of the requesting Member State.
Article 27
Reference numbers for police records
The reference numbers for police records shall be the combination of the following:
(a)
a reference number allowing Member States, in the event of a match, to retrieve biographical data and other information in their national police record indexes referred to in Article 25 in order to supply them or it to one, several or all of the other Member States in accordance with Article 44;
(b)
a code to indicate the Member State which holds the police records.
Article 28
Rules for requests and replies regarding police records
1.   A request for an automated search of national police record indexes shall include only the following information:
(a)
the code of the requesting Member State;
(b)
the date and time of the request and the request number;
(c)
the data referred to in Article 25, in so far as they are available.
2.   A reply to a request as referred to in paragraph 1 shall contain only the following information:
(a)
an indication as to the number of matches;
(b)
the date and time of the request and the request number;
(c)
the date and time of the reply and the reply number;
(d)
the codes of the requesting and requested Member States;
(e)
the reference numbers of the police records from the requested Member States.
3.   Member States shall ensure that requests as referred to in paragraph 1 of this Article are consistent with notifications sent pursuant to Article 74. Those notifications shall be reproduced in the practical handbook referred to in Article 79.
Section 6
Common provisions
Article 29
Missing persons and unidentified human remains
1.   Where a national authority has been so empowered by national legislative measures as referred to in paragraph 2, it may conduct automated searches using the Prüm II framework for the following purposes only:
(a)
searching for missing persons in the context of criminal investigations or on humanitarian grounds;
(b)
identifying human remains.
2.   Member States wishing to avail themselves of the possibility provided for in paragraph 1 shall, by means of national legislative measures, designate the national authorities competent for the purposes laid down therein and lay down the procedures, conditions and criteria, including the humanitarian grounds on which it is permitted to conduct automated searches for missing persons as referred to in paragraph 1, point (a).
Article 30
National contact points
Each Member State shall designate one or more national contact points for the purposes of Articles 6, 11, 16, 20 and 26.
Article 31
Implementing measures
The Commission shall adopt implementing acts specifying the technical arrangements for the Member States with respect to the procedures set out in Articles 6, 11, 16, 20 and 26. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 77(2).
Article 32
Availability of the automated exchange of data at national level
1.   Member States shall take all necessary measures to ensure that automated searching of DNA profiles, dactyloscopic data, certain vehicle registration data, facial images and police records is possible 24 hours a day, 7 days a week.
2.   National contact points shall immediately inform each other, the Commission, eu-LISA and Europol of any unavailability of the automated exchange of data, including, where applicable, of any technical faults causing that unavailability.
National contact points shall agree, in accordance with the applicable Union and national law, on temporary alternative information exchange arrangements to be used where the automated exchange of data is unavailable.
3.   Where the automated exchange of data is unavailable, national contact points shall ensure that it is re-established by any means necessary and without delay.
Article 33
Justification for the processing of data
1.   Each Member State shall keep a record of the justifications for the queries that its competent authorities make.
Europol shall keep a record of the justifications for the queries it makes.
2.   The justifications referred to in paragraph 1 shall include:
(a)
the purpose of the query, including a reference to the specific case or investigation and, where applicable, the criminal offence;
(b)
an indication as to whether the query concerns a suspect or a person convicted of a criminal offence, a victim of a criminal offence, a missing person or unidentified human remains;
(c)
an indication as to whether the query aims to identify a person or obtain more data on a known person.
3.   The justifications referred to in paragraph 1 of this Article shall be traceable to the logs referred to in Articles 18, 40 and 45. Those justifications shall only be used for assessing whether the searches are proportionate and necessary for the purpose of preventing, detecting or investigating a criminal offence, for data protection monitoring, including checking the admissibility of a query and the lawfulness of data processing, and for ensuring data security and integrity. Those justifications shall be protected by appropriate measures against unauthorised access and shall be erased three years after their creation. If, however, they are required for monitoring procedures that have already begun, they shall be erased once the monitoring procedures no longer require the justification.
4.   In order to assess the proportionality and necessity of searches for the purpose of preventing, detecting or investigating a criminal offence or for the purposes of data protection monitoring, including checking the admissibility of a query and the lawfulness of data processing, the data controllers shall have access to those justifications for self-monitoring as referred to in Article 55.
Article 34
Use of the universal message format
1.   The universal message format (UMF) standard established by Article 38 of Regulation (EU) 2019/818 shall be used in the development of the router referred to in Article 35 of this Regulation and the European Police Record Index System (EPRIS) in so far as possible.
2.   Any automated exchange of data in accordance with this Regulation shall use the UMF standard in so far as possible.
CHAPTER 3
Architecture
Section 1
Router
Article 35
Router
1.   A router is established for the purpose of facilitating the establishment of connections between Member States, and between Member States and Europol, for querying with, retrieving and scoring biometric data and for retrieving alphanumeric data in accordance with this Regulation.
2.   The router shall be composed of:
(a)
a central infrastructure, including a search tool enabling the simultaneous querying of the national databases referred to in Articles 5, 10 and 19 and of Europol data;
(b)
a secure communication channel between the central infrastructure, the competent authorities authorised to use the router pursuant to Article 36 and Europol;
(c)
a secure communication infrastructure between the central infrastructure and the European Search Portal, established by Article 6 of Regulation (EU) 2019/817 and Article 6 of Regulation (EU) 2019/818, for the purposes of Article 39.
Article 36
Use of the router
The use of the router shall be reserved to the Member States’ competent authorities that are authorised to access and exchange DNA profiles, dactyloscopic data and facial images in accordance with this Regulation and to Europol in accordance with this Regulation and Regulation (EU) 2016/794.
Article 37
Processes
1.   The competent authorities authorised to use the router pursuant to Article 36 or Europol shall request a query by submitting biometric data to the router. The router shall dispatch the request for a query to databases of all or specific Member States and Europol data simultaneously with the data submitted by the user in accordance with his or her access rights.
2.   Upon receipt of a request for a query from the router, each requested Member State shall launch a query of their databases in an automated manner and without delay. Upon receipt of a request for a query from the router, Europol shall launch a query of Europol data in an automated manner and without delay.
3.   Any matches resulting from queries as referred to in paragraph 2 shall be sent back in an automated manner to the router. The requesting Member State shall be notified in an automated manner where there is no match.
4.   The router shall rank, where the requesting Member State so decides and where applicable, the replies by comparing the biometric data used for querying and the biometric data supplied in the replies from the requested Member State or Member States or Europol.
5.   The router shall return the list of matching biometric data and their ranking to the router user.
6.   The Commission shall adopt implementing acts specifying the technical procedure for the router to query Member States’ databases and Europol data, the format in which the router answers such queries and the technical rules for comparing and ranking the correspondence between biometric data. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 77(2).
Article 38
Quality check
The requested Member State shall check the quality of the transmitted data by means of an automated procedure.
The requested Member State shall, without delay, inform the requesting Member State via the router where the data are unsuitable for automated comparison.
Article 39
Interoperability between the router and the Common Identity Repository for the purposes of law enforcement access
1.   Where designated authorities as defined in Article 4, point (20), of Regulation (EU) 2019/817 and Article 4, point (20), of Regulation (EU) 2019/818 are authorised to use the router pursuant to Article 36 of this Regulation, they may launch a query to Member States’ databases and Europol data simultaneously with a query to the Common Identity Repository, established by Article 17 of Regulation (EU) 2019/817 and Article 17 of Regulation (EU) 2019/818, provided that the relevant conditions under Union law have been fulfilled and that the query is launched in accordance with their access rights. For that purpose, the router shall query the Common Identity Repository via the European Search Portal.
2.   Queries to the Common Identity Repository for law enforcement purposes shall be carried out in accordance with Article 22 of Regulation (EU) 2019/817 and Article 22 of Regulation (EU) 2019/818. Any result from such queries shall be transmitted via the European Search Portal.
Simultaneous queries of the Member States’ databases and Europol data and the Common Identity Repository shall be launched only where there are reasonable grounds to believe that data on a suspect, perpetrator or victim of a terrorist offence or other serious criminal offence as defined in Article 4, points (21) and (22), respectively, of Regulation (EU) 2019/817 and Article 4, points (21) and (22), respectively, of Regulation (EU) 2019/818 are stored in the Common Identity Repository.
Article 40
Keeping of logs
1.   eu-LISA shall keep logs of all data processing operations in the router. Those logs shall include the following:
(a)
whether it was a Member State or Europol that launched the request for a query; where it was a Member State that launched the request for a query, the Member State in question;
(b)
the date and time of the request;
(c)
the date and time of the reply;
(d)
the national databases or Europol data to which a request for a query was sent;
(e)
the national databases or Europol data that provided a reply;
(f)
where applicable, the fact that there was a simultaneous query to the Common Identity Repository.
2.   Each Member State shall keep logs of queries that the staff of its competent authorities duly authorised to use the router make and logs of queries requested by other Member States.
Europol shall keep logs of queries that its duly authorised staff make.
3.   The logs referred to in paragraphs 1 and 2 shall be used only for the collection of statistics, for data protection monitoring, including checking the admissibility of a query and the lawfulness of data processing, and for ensuring data security and integrity. Those logs shall be protected by appropriate measures against unauthorised access and erased three years after their creation. If, however, they are required for monitoring procedures that have already begun, they shall be erased once the monitoring procedures no longer require the logs.
4.   For the purposes of data protection monitoring, including checking the admissibility of a query and the lawfulness of data processing, the data controllers shall have access to the logs for self-monitoring as referred to in Article 55.
Article 41
Notification procedures where it is technically impossible to use the router
1.   Where it is technically impossible to use the router to query one or several national databases or Europol data because of a failure of the router, eu-LISA shall notify the router users referred to Article 36 in an automated manner. eu-LISA shall take appropriate measures to address the technical impossibility to use the router without delay.
2.   Where it is technically impossible to use the router to query one or several national databases because of a failure of the national infrastructure in a Member State, that Member State shall notify the other Member States, the Commission, eu-LISA and Europol in an automated manner. The Member State concerned shall take appropriate measures to address the technical impossibility to use the router without delay.
3.   Where it is technically impossible to use the router to query Europol data because of a failure of Europol’s infrastructure, Europol shall notify the Member States, the Commission and eu-LISA in an automated manner. Europol shall take appropriate measures to address the technical impossibility to use the router without delay.
Section 2
EPRIS
Article 42
EPRIS
1.   The European Police Record Index System (EPRIS) is hereby established. For the automated searching of national police record indexes referred to in Article 26, Member States and Europol shall use EPRIS.
2.   EPRIS shall be composed of:
(a)
a decentralised infrastructure in the Member States, including a search tool enabling the simultaneous querying of national police record indexes, based on national databases;
(b)
a central infrastructure, supporting the search tool, enabling the simultaneous querying of national police record indexes;
(c)
a secure communication channel between the central infrastructure, Member States and Europol.
Article 43
Use of EPRIS
1.   For the purpose of searching national police record indexes via EPRIS, at least two of the following sets of data shall be used:
(a)
first name or names;
(b)
family name or names;
(c)
date of birth.
2.   Where available, the following sets of data may also be used:
(a)
alias or aliases and previously used name or names;
(b)
nationality or nationalities;
(c)
country of birth;
(d)
gender.
3.   The data referred to in paragraph 1, points (a) and (b), and paragraph 2, point (a), shall be pseudonymised.
Article 44
Processes
1.   Where a Member State or Europol requests a query, it shall submit the data referred to in Article 43.
EPRIS shall dispatch the request for a query to the Member States’ national police record indexes with the data submitted by the requesting Member State or Europol and in accordance with this Regulation.
2.   Upon receipt of a request for a query from EPRIS, each requested Member State shall launch a query of their national police record index in an automated manner and without delay.
3.   Any matches resulting from queries as referred to in paragraph 1 in each requested Member State’s police records indexes shall be sent back in an automated manner to EPRIS.
4.   The list of matches shall be returned to the requesting Member State or Europol by EPRIS in an automated manner. The list of matches shall indicate the quality of the match and the Member State or Member States whose police record indexes contain data that resulted in the match or matches.
5.   Upon receipt of the list of matches, the requesting Member State shall decide the matches for which a follow-up is necessary and send a reasoned follow-up request containing the data referred to in Articles 25 and 27 and any additional relevant information to the requested Member State or Member States via SIENA. The requested Member State or Member States shall process such requests without delay in order to decide whether to share the data stored in its or their database.
6.   The Commission shall adopt implementing acts specifying the technical procedure for EPRIS to query Member States’ police record indexes and the format and maximum number of replies. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 77(2).
Article 45
Keeping of logs
1.   Each participating Member State and Europol shall keep logs of all data processing operations in EPRIS. Those logs shall include the following:
(a)
whether it was a Member State or Europol that launched the request for a query; where it was a Member State that launched the request for a query, the Member State in question;
(b)
the date and time of the request;
(c)
the date and time of the reply;
(d)
the national databases to which a request for a query was sent;
(e)
the national databases that provided a reply.
2.   Each participating Member State shall keep logs of the requests for queries that the staff of its competent authorities duly authorised to use EPRIS make. Europol shall keep logs of requests for queries that its duly authorised staff make.
3.   The logs referred to in paragraphs 1 and 2 shall be used only for the collection of statistics, for data protection monitoring, including checking the admissibility of a query and the lawfulness of data processing, and for ensuring data security and integrity. Those logs shall be protected by appropriate measures against unauthorised access and shall be erased three years after their creation. If, however, they are required for monitoring procedures that have already begun, they shall be erased once the monitoring procedures no longer require the logs.
4.   For the purposes of data protection monitoring, including checking the admissibility of a query and the lawfulness of data processing, the data controllers shall have access to the logs for self-monitoring as referred to in Article 55.
Article 46
Notification procedures where it is technically impossible to use EPRIS
1.   Where it is technically impossible to use EPRIS to query one or several national police record indexes because of a failure of Europol’s infrastructure, Europol shall notify Member States in an automated manner. Europol shall take measures to address the technical impossibility of using EPRIS without delay.
2.   Where it is technically impossible to use EPRIS to query one or several national police record indexes because of a failure of the national infrastructure in a Member State, that Member State shall notify the other Member States, the Commission and Europol in an automated manner. Member States shall take measures to address the technical impossibility of using EPRIS without delay.
CHAPTER 4
Exchange of data following a match
Article 47
Exchange of core data
1.   A set of core data shall be returned via the router within 48 hours of all of the following conditions being met:
(a)
the procedures referred to in Article 6, 11 or 20 show a match between the data used for the search and data stored in the database of the requested Member State or Member States;
(b)
the match referred to in point (a) of this paragraph has been manually confirmed by a qualified member of staff of the requesting Member State as referred to in Article 6(6), Article 11(2) and Article 20(2), or, in the case of DNA profiles referred to in Article 6(7), of the requested Member State;
(c)
a description of the facts and an indication of the underlying offence have been transmitted, using the common table of offence categories set out in an implementing act to be adopted pursuant to Article 11b(1), point (a), of Framework Decision 2009/315/JHA, by the requesting Member State or, in the case of DNA profiles referred to in Article 6(7), by the requested Member State in order to assess the proportionality of the request, including the seriousness of the offence for which a search was conducted, in accordance with the national law of the Member State which provides the set of core data.
2.   Where, under its national law, a Member State can provide a particular set of core data only after having obtained a judicial authorisation, that Member State may deviate from the time limit set out in paragraph 1 in so far as necessary for the purpose of obtaining such an authorisation.
3.   The set of core data referred to in paragraph 1 of this Article shall be returned by the requested Member State or, in the case of DNA profiles referred to in Article 6(7), by the requesting Member State.
4.   Where the confirmed match concerns identified data of a person, the set of core data referred to in paragraph 1 shall contain the following data to the extent that they are available:
(a)
first name or names;
(b)
family name or names;
(c)
alias or aliases and previously used name or names;
(d)
date of birth;
(e)
nationality or nationalities;
(f)
place and country of birth;
(g)
gender;
(h)
the date on which and the place where the biometric data were acquired;
(i)
the criminal offence for which the biometric data were acquired;
(j)
the criminal case number;
(k)
the competent authority responsible for the criminal case.
5.   Where the confirmed match concerns unidentified data or traces, the set of core data referred to in paragraph 1 shall contain the following data to the extent that they are available:
(a)
the date on which and the place where the biometric data were acquired;
(b)
the criminal offence for which the biometric data were acquired;
(c)
the criminal case number;
(d)
the competent authority responsible for the criminal case.
6.   The return of core data by the requested Member State or, in the case of DNA profiles referred to in Article 6(7), by the requesting Member State shall be subject to the decision of a human.
CHAPTER 5
Europol
Article 48
Access by Member States to biometric data provided by third countries and stored by Europol
1.   Member States shall, in accordance with Regulation (EU) 2016/794, have access to, and be able to search via the router, biometric data which have been provided to Europol by third countries for the purposes of Article 18(2), points (a), (b) and (c), of Regulation (EU) 2016/794.
2.   Where a search as referred to in paragraph 1 results in a match between the data used for the search and data provided by a third country and stored by Europol, the follow-up shall take place in accordance with Regulation (EU) 2016/794.
Article 49
Access by Europol to data stored in Member States’ databases, using data provided by third countries
1.   Where necessary to achieve the objectives set out in Article 3 of Regulation (EU) 2016/794, Europol shall, in accordance with that Regulation and this Regulation, have access to data which are stored by Member States in their national databases and police record indexes.
2.   Europol queries performed with biometric data as a search criterion shall be carried out using the router.
3.   Europol queries performed with vehicle registration data as a search criterion shall be carried out using Eucaris.
4.   Europol queries performed with biographical data of suspects and convicted persons as referred to in Article 25 as a search criterion shall be carried out using EPRIS.
5.   Europol shall conduct searches with data provided by third countries in accordance with paragraphs 1 to 4 of this Article only where necessary for carrying out its tasks for the purposes of Article 18(2), points (a) and (c), of Regulation (EU) 2016/794.
6.   Where the procedures referred to in Article 6, 11 or 20 show a match between the data used for the search and data held in the national database of the requested Member State or Member States, Europol shall inform only the Member State or Member States involved.
The requested Member State shall decide whether to return a set of core data via the router within 48 hours of all of the following conditions being met:
(a)
a match as referred to in the first subparagraph has been manually confirmed by a qualified member of staff of Europol;
(b)
a description of the facts and an indication of the underlying offence have been transmitted, using the common table of offence categories set out in an implementing act to be adopted pursuant to Article 11b(1), point (a), of Framework Decision 2009/315/JHA, by Europol in order to assess the proportionality of the request, including the seriousness of the offence for which a search was conducted, in accordance with the national law of the Member State which provides the set of core data;
(c)
the name of the third country which provided the data has been transmitted.
Where, under its national law, a Member State can provide a particular set of core data only after having obtained a judicial authorisation, that Member State may deviate from the time limit set out in the second subparagraph in so far as necessary for the purpose of obtaining such an authorisation.
Where the confirmed match concerns identified data of a person, the set of core data referred to in the second subparagraph shall contain the following data to the extent that they are available:
(a)
first name or names;
(b)
family name or names;
(c)
alias or aliases and previously used name or names;
(d)
date of birth;
(e)
nationality or nationalities;
(f)
place and country of birth;
(g)
gender;
(h)
the date on which and the place where the biometric data were acquired;
(i)
the criminal offence for which the biometric data were acquired;
(j)
the criminal case number;
(k)
the competent authority responsible for the criminal case.
Where the confirmed match concerns unidentified data or traces, the set of core data referred to in the second subparagraph shall contain the following data to the extent that they are available:
(a)
the date on which and the place where the biometric data were acquired;
(b)
the criminal offence for which the biometric data were acquired;
(c)
the criminal case number;
(d)
the competent authority responsible for the criminal case.
The return of core data by the requested Member State shall be subject to the decision of a human.
7.   Europol’s use of information obtained from a query made in accordance with this Article, and from the exchange of a set of core data in accordance with paragraph 6, shall be subject to the consent of the Member State in whose database the match occurred. Where the Member State allows such information to be used, its handling by Europol shall be governed by Regulation (EU) 2016/794.
CHAPTER 6
Data protection
Article 50
Purpose of the data processing
1.   Processing of personal data received by a Member State or Europol shall be permitted solely for the purposes for which the data were supplied by the Member State which provided the data in accordance with this Regulation. Processing for other purposes shall be permitted solely with the prior authorisation of the Member State which provided the data.
2.   Processing of data supplied by a Member State or Europol pursuant to Article 6, 11, 16, 20 or 26 shall be permitted solely where necessary for the purpose of:
(a)
establishing whether the compared DNA profiles, dactyloscopic data, vehicle registration data, facial images or police records match;
(b)
exchanging a set of core data in accordance with Article 47;
(c)
preparing and submitting a police or judicial request for legal assistance where those data match;
(d)
keeping logs as provided for in Articles 18, 40 and 45.
3.   The data received by a Member State or Europol shall be deleted immediately following automated replies to searches unless further processing is necessary for the purposes referred to in paragraph 2 or is authorised in accordance with paragraph 1.
4.   Prior to connecting their national databases to the router or EPRIS, Member States shall conduct a data protection impact assessment as referred to in Article 27 of Directive (EU) 2016/680 and, where appropriate, consult the supervisory authority as provided for in Article 28 of that Directive. The supervisory authority may use any of the powers it has under Article 47 of that Directive, in accordance with Article 28(5) of that Directive.
Article 51
Accuracy, relevance and data retention
1.   Member States and Europol shall ensure the accuracy and relevance of personal data which are processed pursuant to this Regulation. Where a Member State or Europol become aware that data which are incorrect or no longer up to date or data which should not have been supplied have been supplied, it shall notify the Member State which received the data or Europol of that fact without undue delay. All Member States concerned or Europol shall correct or delete the data accordingly without undue delay. Where the Member State which received the data or Europol has reason to believe that the data supplied are incorrect or should be deleted, it shall inform the Member State which provided the data without undue delay.
2.   Member States and Europol shall put in place appropriate measures for updating data relevant for the purposes of this Regulation.
3.   Where a data subject contests the accuracy of data in the possession of a Member State or Europol, where the accuracy cannot be reliably established by the Member State concerned or Europol and where requested by the data subject, the data concerned shall be marked with a flag. Where such a flag exists, Member States or Europol may remove it only with the permission of the data subject or based on a decision of the competent court, of the supervisory authority or of the European Data Protection Supervisor, as relevant.
4.   Data which should not have been supplied or received shall be deleted. Data which are lawfully supplied and received shall be deleted:
(a)
where they are not or no longer necessary for the purpose for which they were supplied;
(b)
upon the expiry of the maximum period for keeping data laid down by the national law of the Member State which provided the data where that Member State informed the Member State which received the data or Europol of that maximum period at the time of supplying the data; or
(c)
upon the expiry of the maximum period for keeping data laid down in Regulation (EU) 2016/794.
Where there is reason to believe that the deletion of data would prejudice the interests of the data subject, the processing of those data shall be restricted instead of being deleted. Where the processing of data has been restricted, they shall be processed solely for the purpose which prevented their deletion.
Article 52
Data processor
1.   eu-LISA shall be the processor within the meaning of Article 3, point (12), of Regulation (EU) 2018/1725 for the processing of personal data via the router.
2.   Europol shall be the processor within the meaning of Article 3, point (12), of Regulation (EU) 2018/1725 for the processing of personal data via EPRIS.
Article 53
Security of processing
1.   The Member States’ competent authorities, eu-LISA and Europol shall ensure the security of the processing of personal data under this Regulation. The Member States’ competent authorities, eu-LISA and Europol shall cooperate on security-related tasks.
2.   Without prejudice to Article 33 of Regulation (EU) 2018/1725 and Article 32 of Regulation (EU) 2016/794, eu-LISA and Europol shall take the necessary measures to ensure the security of the router and EPRIS, respectively, and of their related communication infrastructure.
3.   eu-LISA shall adopt the necessary measures concerning the router, and Europol shall adopt the necessary measures concerning EPRIS, in order to:
(a)
physically protect data, including by making contingency plans for the protection of critical infrastructure;
(b)
deny unauthorised persons access to data-processing equipment and installations;
(c)
prevent the unauthorised reading, copying, modification or removal of data media;
(d)
prevent the unauthorised input of data and the unauthorised inspection, modification or deletion of recorded personal data;
(e)
prevent the unauthorised processing of data and any unauthorised copying, modification or deletion of data;
(f)
prevent the use of automated data-processing systems by unauthorised persons using data communication equipment;
(g)
ensure, by means of individual user identities and confidential access modes only, that persons authorised to access the router or EPRIS, as applicable, have access only to the data covered by their access authorisation;
(h)
ensure that it is possible to verify and establish to which bodies personal data can be supplied using data communication equipment;
(i)
ensure that it is possible to verify and establish which data have been processed in the router or EPRIS, as applicable, and when, by whom and for what purpose they have been processed;
(j)
prevent the unauthorised reading, copying, modification or deletion of personal data during the transmission of personal data to or from the router or EPRIS, as applicable, or during the transport of data media, in particular by means of appropriate encryption techniques;
(k)
ensure that, in the event of interruption, installed systems can be restored to normal operation;
(l)
ensure reliability by making sure that any faults in the functioning of the router or EPRIS, as applicable, are properly reported;
(m)
monitor the effectiveness of the security measures referred to in this paragraph and take the necessary organisational measures related to internal monitoring to ensure compliance with this Regulation and to assess those security measures in the light of new technological developments.
The necessary measures referred to in the first subparagraph shall include a security plan, a business continuity plan and a disaster recovery plan.
Article 54
Security incidents
1.   Any event that has or may have an impact on the security of the router or EPRIS and may cause damage to or loss of data stored in the router or EPRIS shall be considered to be a security incident, in particular where unauthorised access to data may have occurred or where the availability, integrity and confidentiality of data has or may have been compromised.
2.   In the event of a security incident concerning the router, eu-LISA and the Member States concerned or, where applicable, Europol shall cooperate with one another in order to ensure a swift, effective and proper response.
3.   In the event of a security incident concerning EPRIS, the Member States concerned and Europol shall cooperate with one another in order to ensure a swift, effective and proper response.
4.   Member States shall notify their competent authorities of any security incidents without undue delay.
Without prejudice to Article 92 of Regulation (EU) 2018/1725, in the event of a security incident in relation to the central infrastructure of the router, eu-LISA shall notify the Cybersecurity Service for the Union institutions, bodies, offices and agencies (CERT-EU) of significant cyber threats, significant vulnerabilities and significant incidents without undue delay and, in any event, no later than 24 hours after becoming aware of them. Actionable and appropriate technical details of cyber threats, vulnerabilities and incidents that enable proactive detection, incident response or mitigating measures shall be disclosed to CERT-EU without undue delay.
Without prejudice to Article 34 of Regulation (EU) 2016/794 and Article 92 of Regulation (EU) 2018/1725, in the event of a security incident in relation to the EPRIS central infrastructure, Europol shall notify CERT-EU of significant cyber threats, significant vulnerabilities and significant incidents without undue delay and, in any event, no later than 24 hours after becoming aware of them. Actionable and appropriate technical details of cyber threats, vulnerabilities and incidents that enable proactive detection, incident response or mitigating measures shall be disclosed to CERT-EU without undue delay.
5.   Information regarding a security incident that has or may have an impact on the operation of the router or on the availability, integrity and confidentiality of the data shall be provided by the Member States and Union agencies concerned to the Member States and Europol without delay and reported in compliance with the incident management plan to be provided by eu-LISA.
6.   Information regarding a security incident that has or may have an impact on the operation of EPRIS or on the availability, integrity and confidentiality of the data shall be provided by the Member States and Union agencies concerned to the Member States without delay and reported in compliance with the incident management plan to be provided by Europol.
Article 55
Self-monitoring
1.   Member States shall ensure that each authority entitled to use the Prüm II framework takes the measures necessary to monitor its compliance with this Regulation and cooperates, where necessary, with the supervisory authority. Europol shall take the measures necessary to monitor its compliance with this Regulation and shall cooperate, where necessary, with the European Data Protection Supervisor.
2.   Data controllers shall implement the necessary measures to effectively monitor the compliance of data processing with this Regulation, including by frequently verifying the logs referred to in Articles 18, 40 and 45. They shall cooperate, where necessary and as appropriate, with the supervisory authorities or with the European Data Protection Supervisor.
Article 56
Penalties
Member States shall ensure that any misuse of data, processing of data or exchange of data contrary to this Regulation is punishable in accordance with national law. The penalties provided shall be effective, proportionate and dissuasive.
Article 57
Liability
If any failure of a Member State or, when performing queries in accordance with Article 49, Europol to comply with its obligations under this Regulation causes damage to the router or EPRIS, that Member State or Europol shall be liable for such damage, unless and in so far as eu-LISA, Europol or another Member State bound by this Regulation failed to take reasonable measures to prevent the damage from occurring or to minimise its impact.
Article 58
Audits by the European Data Protection Supervisor
1.   The European Data Protection Supervisor shall ensure that an audit of personal data processing operations by eu-LISA and Europol for the purposes of this Regulation is carried out in accordance with relevant international auditing standards at least every four years. A report of that audit shall be sent to the European Parliament, to the Council, to the Commission, to the Member States and to the Union agency concerned. eu-LISA and Europol shall be given an opportunity to make comments before the reports are adopted.
2.   eu-LISA and Europol shall supply information requested by the European Data Protection Supervisor to it, grant the European Data Protection Supervisor access to all the documents it requests and to their logs referred to in Articles 40 and 45 and allow the European Data Protection Supervisor access to all their premises at any time. This paragraph is without prejudice to the powers of the European Data Protection Supervisor under Article 58 of Regulation (EU) 2018/1725 and, with regard to Europol, under Article 43(3) of Regulation (EU) 2016/794.
Article 59
Cooperation between supervisory authorities and the European Data Protection Supervisor
1.   The supervisory authorities and the European Data Protection Supervisor shall, each acting within the scope of their respective competences, cooperate actively within the framework of their respective responsibilities to ensure a coordinated supervision of the application of this Regulation, in particular if the European Data Protection Supervisor or a supervisory authority finds major discrepancies between practices of Member States or finds potentially unlawful transfers using the communication channels of the Prüm II framework.
2.   In the cases referred to in paragraph 1 of this Article, coordinated supervision shall be ensured in accordance with Article 62 of Regulation (EU) 2018/1725.
3.   Two years after the start of operations of the router and EPRIS and every two years thereafter, the European Data Protection Board shall send a report of its activities under this Article to the European Parliament, to the Council, to the Commission, to eu-LISA and to Europol. That report shall include a chapter on each Member State prepared by the supervisory authority of the Member State concerned.
Article 60
Transfer of personal data to third countries and international organisations
A Member State shall only transfer personal data obtained under this Regulation to a third country or an international organisation in accordance with Chapter V of Directive (EU) 2016/680 and where the requested Member State has granted its authorisation prior to the transfer.
Europol shall only transfer personal data obtained under this Regulation to a third country or an international organisation where the conditions laid down in Article 25 of Regulation (EU) 2016/794 have been fulfilled and where the requested Member State has granted its authorisation prior to the transfer.
Article 61
Relation to other legal acts on data protection
Any processing of personal data for the purposes of this Regulation shall be carried out in accordance with this Chapter and with Directive (EU) 2016/680 or Regulation (EU) 2018/1725, (EU) No 2016/794 or (EU) 2016/679, as applicable.
CHAPTER 7
Responsibilities
Article 62
Responsibility of due diligence
Member States and Europol shall exercise due diligence in assessing whether the automated exchange of data falls under the purpose of the Prüm II framework set out in Article 2 and whether it complies with the conditions set out therein, in particular with regard to respect for fundamental rights.
Article 63
Training
Authorised staff of Member States’ competent authorities, of supervisory authorities and of Europol shall be provided, as relevant, with adequate resources and training, including on data protection and the accurate review of matches, to perform the tasks under this Regulation.
Article 64
Responsibilities of the Member States
1.   Each Member State shall be responsible for:
(a)
the connection to the infrastructure of the router;
(b)
the integration of its existing national systems and infrastructure with the router;
(c)
the organisation, management, operation and maintenance of its existing national infrastructure and of its connection to the router;
(d)
the connection to the infrastructure of EPRIS;
(e)
the integration of its existing national systems and infrastructure with EPRIS;
(f)
the organisation, management, operation and maintenance of its existing national infrastructure and of its connection to EPRIS;
(g)
the management of, and arrangements for, access by the duly authorised staff of its competent authorities to the router in accordance with this Regulation and the creation and regular update of a list of those staff and their profiles;
(h)
the management of, and arrangements for, access by the duly authorised staff of its competent authorities to EPRIS in accordance with this Regulation and the creation and regular update of a list of those staff and their profiles;
(i)
the management of, and arrangements for, access by the duly authorised staff of its competent authorities to Eucaris in accordance with this Regulation and the creation and regular update of a list of those staff and their profiles;
(j)
the manual confirmation by qualified staff of a match as referred to in Article 6(6), Article 6(7), Article 11(2) and Article 20(2);
(k)
ensuring the availability of the data necessary for the exchange of data in accordance with Articles 5, 10, 16, 19 and 25;
(l)
the exchange of information in accordance with Articles 6, 11, 16, 20 and 26;
(m)
correcting, updating or deleting any data received from a requested Member State within 48 hours of the notification from the requested Member State that the data submitted were incorrect, are no longer up to date or were unlawfully transmitted;
(n)
compliance with the data quality requirements set out in this Regulation.
2.   Each Member State shall be responsible for connecting its competent authorities to the router, EPRIS and Eucaris.
Article 65
Responsibilities of Europol
1.   Europol shall be responsible for the management of, and arrangements for the access by its duly authorised staff to, the router, EPRIS and Eucaris in accordance with this Regulation.
2.   Europol shall be responsible for processing the queries of Europol data by the router. Europol shall adapt its information systems accordingly.
3.   Europol shall be responsible for any technical adaptations in Europol infrastructure required for establishing the connection to the router and to Eucaris.
4.   Without prejudice to searches by Europol pursuant to Article 49, Europol shall not have access to any of the personal data processed through EPRIS.
5.   Europol shall be responsible for the development of EPRIS in cooperation with the Member States. EPRIS shall provide the functionalities laid down in Articles 42 to 46.
Europol shall be responsible for the technical management of EPRIS. Technical management of EPRIS shall consist of all the tasks and technical solutions necessary to keep the EPRIS central infrastructure functioning and providing uninterrupted services to Member States 24 hours a day, 7 days a week in accordance with this Regulation. It shall include the maintenance work and technical developments necessary to ensure that EPRIS functions are at a satisfactory level of technical quality, in particular as regards the response time for submitting requests to the national databases in accordance with the technical specifications.
6.   Europol shall provide training on the technical use of EPRIS.
7.   Europol shall be responsible for the procedures provided for in Articles 48 and 49.
Article 66
Responsibilities of eu-LISA during the design and development phase of the router
1.   eu-LISA shall ensure that the central infrastructure of the router is operated in accordance with this Regulation.
2.   The router shall be hosted by eu-LISA in its technical sites and shall provide the functionalities laid down in this Regulation in accordance with the conditions of security, availability, quality and performance referred to in Article 67(1).
3.   eu-LISA shall be responsible for the development of the router and for any technical adaptations necessary for the operations of the router.
4.   eu-LISA shall not have access to any of the personal data processed through the router.
5.   eu-LISA shall determine the design of the physical architecture of the router, including its secure communication infrastructure and the technical specifications, and its evolution as regards the central infrastructure and the secure communication infrastructure. eu-LISA’s Management Board shall approve the design, subject to a favourable opinion of the Commission. eu-LISA shall also implement any necessary adaptations to the interoperability components deriving from the establishment of the router as provided for by this Regulation.
6.   eu-LISA shall develop and implement the router as soon as possible after the adoption by the Commission of the measures provided for in Article 37(6). That development shall consist of the elaboration and implementation of the technical specifications, testing and overall project management and coordination.
7.   During the design and development phase, the Programme Management Board referred to in Article 54 of Regulation (EU) 2019/817 and in Article 54 of Regulation (EU) 2019/818 shall meet regularly. It shall ensure the adequate management of the design and development phase of the router.
Every month, the Programme Management Board shall submit written reports on the progress of the project to eu-LISA’s Management Board. The Programme Management Board shall not have decision-making powers or any mandate to represent the members of eu-LISA’s Management Board.
The Interoperability Advisory Group referred to in Article 78 shall meet regularly until the start of operations of the router. It shall report after each meeting to the Programme Management Board. It shall provide technical expertise to support the tasks of the Programme Management Board and shall follow up on the state of preparation of the Member States.
Article 67
Responsibilities of eu-LISA following the start of operations of the router
1.   Following the start of operations of the router, eu-LISA shall be responsible for the technical management of the central infrastructure of the router, including its maintenance and technological developments. In cooperation with Member States, it shall ensure that the best available technology is used, subject to a cost-benefit analysis. eu-LISA shall also be responsible for the technical management of the necessary communication infrastructure.
Technical management of the router shall consist of all the tasks and technical solutions necessary to keep the router functioning and providing uninterrupted services to Member States and to Europol 24 hours a day, 7 days a week in accordance with this Regulation. It shall include the maintenance work and technical developments necessary to ensure that the router functions at a satisfactory level of technical quality, in particular as regards availability and the response time for submitting requests to the national databases and Europol data in accordance with the technical specifications.
The router shall be developed and managed in such a way as to ensure swift, efficient and controlled access, full and uninterrupted availability, and a response time in line with the operational needs of the Member States’ competent authorities and Europol.
2.   Without prejudice to Article 17 of the Staff Regulations of Officials of the European Union, laid down in Council Regulation (EEC, Euratom, ECSC) No 259/68 
(
18
)
, eu-LISA shall apply appropriate rules of professional secrecy or other equivalent duties of confidentiality to its staff required to work with data stored in the router. That obligation shall also apply after such staff leave office or employment or after the termination of their activities.
eu-LISA shall not have access to any of the personal data processed through the router.
3.   eu-LISA shall perform tasks related to the provision of training on the technical use of the router.
CHAPTER 8
Amendments to other existing instruments
Article 68
Amendments to Decisions 2008/615/JHA and 2008/616/JHA
1.   In Decision 2008/615/JHA, Article 1, point (a), Articles 2 to 6 and Sections 2 and 3 of Chapter 2 are replaced with regard to the Member States bound by this Regulation from the date of application of the provisions of this Regulation related to the router set out in Article 75(1). Therefore, Article 1, point (a), Articles 2 to 6 and Sections 2 and 3 of Chapter 2 of Decision 2008/615/JHA are deleted from the date of application of the provisions of this Regulation related to the router set out in Article 75(1).
2.   In Decision 2008/616/JHA, Chapters 2 to 5 and Articles 18, 20 and 21 are replaced with regard to the Member States bound by this Regulation from the date of application of the provisions of this Regulation related to the router set out in Article 75(1). Therefore, Chapters 2 to 5 and Articles 18, 20 and 21 of Decision 2008/616/JHA are deleted from the date of application of the provisions of this Regulation related to the router set out in Article 75(1).
Article 69
Amendments to Regulation (EU) 2018/1726
Regulation (EU) 2018/1726 is amended as follows:
(1)
the following article is inserted:
‘Article 8d
Tasks related to the Prüm II router
In relation to the Prüm II router, the Agency shall perform the tasks conferred on it by Regulation (EU) 2024/982 of the European Parliament and of the Council
 (
*1
)
.
(
*1
)
  Regulation (EU) 2024/982 of the European Parliament and of the Council of 13 March 2024 on the automated search and exchange of data for police cooperation, and amending Council Decisions 2008/615/JHA and 2008/616/JHA and Regulations (EU) 2018/1726, (EU) No 2019/817 and (EU) 2019/818 of the European Parliament and of the Council (the Prüm II Regulation) (
OJ L, 2024/982, 5.4.2024, ELI: http://data.europa.eu/eli/reg/2024/982/oj
).’;"
(2)
in Article 17(3), the second subparagraph is replaced by the following:
‘The tasks relating to development and operational management referred to in Article 1(4) and (5), Articles 3 to 8 and Articles 8d, 9 and 11 shall be carried out at the technical site in Strasbourg, France.’;
(3)
Article 19(1) is amended as follows:
(a)
the following point is inserted:
‘(eeb)
adopt reports on the state of play of the development of the Prüm II router pursuant to Article 80(2) of Regulation (EU) 2024/982;’;
(b)
point (ff) is replaced by the following:
‘(ff)
adopt reports on the technical functioning of the following:
(i)
SIS pursuant to Article 60(7) of Regulation (EU) 2018/1861 of the European Parliament and of the Council
 (
*2
)
 and Article 74(8) of Regulation (EU) 2018/1862 of the European Parliament and of the Council
 (
*3
)
;
(ii)
VIS pursuant to Article 50(3) of Regulation (EC) No 767/2008 and Article 17(3) of Decision 2008/633/JHA;
(iii)
the EES pursuant to Article 72(4) of Regulation (EU) 2017/2226;
(iv)
ETIAS pursuant to Article 92(4) of Regulation (EU) 2018/1240;
(v)
ECRIS-TCN and of the ECRIS reference implementation pursuant to Article 36(8) of Regulation (EU) 2019/816;
(vi)
the interoperability components pursuant to Article 78(3) of Regulation (EU) 2019/817 and Article 74(3) of Regulation (EU) 2019/818;
(vii)
the e-CODEX system pursuant to Article 16(1) of Regulation (EU) 2022/850;
(viii)
the JITs collaboration platform pursuant to Article 26(6) of Regulation (EU) 2023/969;
(ix)
the Prüm II router pursuant to Article 80(5) of Regulation (EU) 2024/982;
(
*2
)
  Regulation (EU) 2018/1861 of the European Parliament and of the Council of 28 November 2018 on the establishment, operation and use of the Schengen Information System (SIS) in the field of border checks, and amending the Convention implementing the Schengen Agreement, and amending and repealing Regulation (EC) No 1987/2006 (
OJ L 312, 7.12.2018, p. 14
)."
(
*3
)
  Regulation (EU) 2018/1862 of the European Parliament and of the Council of 28 November 2018 on the establishment, operation and use of the Schengen Information System (SIS) in the field of police cooperation and judicial cooperation in criminal matters, amending and repealing Council Decision 2007/533/JHA, and repealing Regulation (EC) No 1986/2006 of the European Parliament and of the Council and Commission Decision 2010/261/EU (
OJ L 312, 7.12.2018, p. 56
).’;"
(c)
point (hh) is replaced by the following:
‘(hh)
adopt formal comments on the European Data Protection Supervisor’s reports on its audits pursuant to Article 56(2) of Regulation (EU) 2018/1861, Article 42(2) of Regulation (EC) No 767/2008, Article 31(2) of Regulation (EU) No 603/2013, Article 56(2) of Regulation (EU) 2017/2226, Article 67 of Regulation (EU) 2018/1240, Article 29(2) of Regulation (EU) 2019/816, Article 52 of Regulations (EU) 2019/817 and (EU) No 2019/818 and Article 58(1) of Regulation (EU) 2024/982 and ensure appropriate follow-up of those audits;’.
Article 70
Amendment to Regulation (EU) 2019/817
In Article 6(2) of Regulation (EU) 2019/817 the following point is added:
‘(d)
a secure communication infrastructure between the ESP and the router established by Regulation (EU) 2024/982 of the European Parliament and of the Council
 (
*4
)
.
Article 71
Amendments to Regulation (EU) 2019/818
Regulation (EU) 2019/818 is amended as follows:
(1)
in Article 6(2), the following point is added:
‘(d)
a secure communication infrastructure between the ESP and the router established by Regulation (EU) 2024/982 of the European Parliament and of the Council
 (
*5
)
.
(
*5
)
  Regulation (EU) 2024/982 of the European Parliament and of the Council of 13 March 2024 on the automated search and exchange of data for police cooperation, and amending Council Decisions 2008/615/JHA and 2008/616/JHA and Regulations (EU) 2018/1726, (EU) No 2019/817 and (EU) 2019/818 of the European Parliament and of the Council (the Prüm II Regulation) (
OJ L, 2024/982, 5.4.2024, ELI: http://data.europa.eu/eli/reg/2024/982/oj
).’;"
(2)
in Article 39, paragraphs 1 and 2 are replaced by the following:
‘1.   A central repository for reporting and statistics (CRRS) is established for the purposes of supporting the objectives of the SIS, Eurodac and ECRIS-TCN, in accordance with the respective legal instruments governing those systems, and to provide cross-system statistical data and analytical reporting for policy, operational and data quality purposes. The CRRS shall also support the objectives of Regulation (EU) 2024/982.
2.   eu-LISA shall establish, implement and host in its technical sites the CRRS containing the data and statistics referred to in Article 74 of Regulation (EU) 2018/1862 and Article 32 of Regulation (EU) 2019/816 logically separated by EU information system. eu-LISA shall also collect the data and statistics from the router referred to in Article 72(1) of Regulation (EU) 2024/982. Access to the CRRS shall be granted by means of controlled, secured access and specific user profiles, solely for the purpose of reporting and statistics, to the authorities referred to in Article 74 of Regulation (EU) 2018/1862, Article 32 of Regulation (EU) 2019/816 and Article 72(1) of Regulation (EU) 2024/982’.
CHAPTER 9
Final provisions
Article 72
Reporting and statistics
1.   Where needed, the duly authorised staff of the Member States’ competent authorities, the Commission, eu-LISA and Europol shall have access to the following data related to the router, solely for the purposes of reporting and statistics:
(a)
the number of queries per Member State and the number of queries by Europol per category of data;
(b)
the number of queries to each of the connected databases;
(c)
the number of matches against each Member State’s database per category of data;
(d)
the number of matches against Europol data per category of data;
(e)
the number of confirmed matches where there were exchanges of core data;
(f)
the number of confirmed matches where there were no exchanges of core data;
(g)
the number of queries to the Common Identity Repository via the router; and
(h)
the number of matches per type as follows:
(i)
identified data (person) – unidentified data (trace);
(ii)
unidentified data (trace) – identified data (person);
(iii)
unidentified data (trace) – unidentified data (trace);
(iv)
identified data (person) – identified data (person).
It shall not be possible to identify individuals from the data set out in the first subparagraph.
2.   The duly authorised staff of the Member States’ competent authorities, the Commission and Europol shall have access to the following data related to Eucaris, solely for the purposes of reporting and statistics:
(a)
the number of queries per Member State and the number of queries by Europol;
(b)
the number of queries to each of the connected databases; and
(c)
the number of matches against each Member State’s database.
It shall not be possible to identify individuals from the data set out in the first subparagraph.
3.   The duly authorised staff of the Member States’ competent authorities, the Commission and Europol shall have access to the following data related to EPRIS, solely for the purposes of reporting and statistics:
(a)
the number of queries per Member State and the number of queries by Europol;
(b)
the number of queries to each of the connected indexes; and
(c)
the number of matches against each Member State’s database.
It shall not be possible to identify individuals from the data set out in the first subparagraph.
4.   eu-LISA shall store the data set out in paragraph 1 of this Article in the central repository for reporting and statistics established by Article 39 of Regulation (EU) 2019/818. Europol shall store the data set out in paragraph 3. Those data shall allow the Member States’ competent authorities, the Commission, eu-LISA and Europol to obtain customisable reports and statistics to enhance the efficiency of law enforcement cooperation.
Article 73
Costs
1.   Costs incurred in connection with the establishment and operation of the router and EPRIS shall be borne by the general budget of the Union.
2.   Costs incurred in connection with the integration of existing national infrastructure and its connection to the router and EPRIS and costs incurred in connection with the establishment of national facial image databases and national police record indexes for the prevention, detection and investigation of criminal offences shall be borne by the general budget of the Union.
The following costs shall be excluded:
(a)
Member States’ project management office (meetings, missions, offices);
(b)
hosting of national IT systems (space, implementation, electricity, cooling);
(c)
operation of national IT systems (operators and support contracts);
(d)
design, development, implementation, operation and maintenance of national communication networks.
3.   Each Member State shall bear the costs arising from the administration, use and maintenance of Eucaris.
4.   Each Member State shall bear the costs arising from the administration, use and maintenance of their connections to the router and EPRIS.
Article 74
Notifications
1.   Member States shall notify eu-LISA of the competent authorities referred to in Article 36. Those authorities may use or have access to the router.
2.   eu-LISA shall notify the Commission of the successful completion of the test referred to in Article 75(1), point (b).
3.   Europol shall notify the Commission of the successful completion of the test referred to in Article 75(3), point (b).
4.   Each Member State shall notify the other Member States, the Commission, eu-LISA and Europol of the content of its national DNA databases and the conditions for automated searches to which Articles 5 and 6 apply.
5.   Each Member State shall inform the other Member States, the Commission, eu-LISA and Europol of the content of its national dactyloscopic databases and the conditions for automated searches to which Articles 10 and 11 apply.
6.   Each Member State shall inform the other Member States, the Commission, eu-LISA and Europol of the content of its national facial image databases and the conditions for automated searches to which Articles 19 and 20 apply.
7.   Member States participating in automated exchanges of police records pursuant to Articles 25 and 26 shall notify the other Member States, the Commission and Europol of the content of their national police record indexes and of the national databases used for the establishment of those indexes and the conditions for automated searches.
8.   Member States shall notify the Commission, eu-LISA and Europol of their national contact point designated pursuant to Article 30. The Commission shall compile a list of the national contact points notified to it and make it available to all Member States.
Article 75
Start of operations
1.   The Commission shall determine the date from which the Member States and Europol can start using the router by means of an implementing act once the following conditions have been met:
(a)
the measures referred to in Article 5(3), Article 8(2) and (3), Article 13(2) and (3), Article 17(3), Article 22(2) and (3), Article 31 and Article 37(6) have been adopted;
(b)
eu-LISA has declared the successful completion of a comprehensive test of the router, which it has conducted in cooperation with the Member States’ competent authorities and Europol.
The Commission shall determine, by means of the implementing act referred to in the first subparagraph, the date from which the Member States and Europol are to start using the router. That date shall be one year after the date determined in accordance with the first subparagraph.
The Commission may postpone the date from which the Member States and Europol are to start using the router by one year at most where an assessment of the implementation of the router has shown that such a postponement is necessary.
2.   Member States shall ensure, two years after the start of operations of the router, the availability of facial images as referred to in Article 19 for the purposes of automated searching of facial images as referred to in Article 20.
3.   The Commission shall determine the date from which the Member States and Europol are to start using EPRIS by means of an implementing act once the following conditions have been met:
(a)
the measures referred to in Article 44(6) have been adopted;
(b)
Europol has declared the successful completion of a comprehensive test of EPRIS, which it has conducted in cooperation with the Member States’ competent authorities.
4.   The Commission shall determine the date from which Europol is to make available third country-sourced biometric data to Member States in accordance with Article 48 by means of an implementing act once the following conditions have been met:
(a)
the router is in operation;
(b)
Europol has declared the successful completion of a comprehensive test of its connection to the router, which it has conducted in cooperation with the Member States’ competent authorities and eu-LISA.
5.   The Commission shall determine the date from which Europol is to have access to data stored in Member States’ databases in accordance with Article 49 by means of an implementing act once the following conditions have been met:
(a)
the router is in operation;
(b)
Europol has declared the successful completion of a comprehensive test of its connection to the router, which it has conducted in cooperation with the Member States’ competent authorities and eu-LISA.
6.   The implementing acts referred to in this Article shall be adopted in accordance with the examination procedure referred to in Article 77(2).
Article 76
Transitional provisions and derogations
1.   Member States and the Union agencies shall start applying Articles 19 to 22, Article 47 and Article 49(6) from the date determined in accordance with Article 75(1), first subparagraph, with the exception of Member States which have not started using the router.
2.   Member States and the Union agencies shall start applying Articles 25 to 28 and Article 49(4) from the date determined in accordance with Article 75(3).
3.   Member States and the Union agencies shall start applying Article 48 from the date determined in accordance with Article 75(4).
4.   Member States and the Union agencies shall start applying Article 49(1), (2), (3), (5) and (7) from the date determined in accordance with Article 75(5).
Article 77
Committee procedure
1.   The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply. Where the committee delivers no opinion, the Commission shall not adopt the draft implementing act and Article 5(4), the third subparagraph, of Regulation (EU) No 182/2011 shall apply.
Article 78
Interoperability Advisory group
The responsibilities of the Interoperability Advisory Group, established by Article 75 of Regulation (EU) 2019/817 and Article 71 of Regulation (EU) 2019/818, shall be extended to cover the router. That Interoperability Advisory Group shall provide eu-LISA with expertise related to the router, in particular in the context of the preparation of its annual work programme and its annual activity report.
Article 79
Practical handbook
The Commission shall, in close cooperation with the Member States, eu-LISA, Europol and the European Union Agency for Fundamental Rights, make available a practical handbook for the implementation and management of this Regulation. The practical handbook shall provide technical and operational guidelines, recommendations and best practices. The Commission shall adopt the practical handbook in the form of a recommendation before the start of operations of both the router and EPRIS. The Commission shall update the practical handbook regularly and where necessary.
Article 80
Monitoring and evaluation
1.   eu-LISA shall ensure that procedures are in place to monitor the development of the router in light of objectives relating to planning and costs and to monitor its functioning in light of objectives relating to the technical output, cost-effectiveness, security and quality of service.
Europol shall ensure that procedures are in place to monitor the development of EPRIS in light of objectives relating to planning and costs and to monitor its functioning in light of objectives relating to the technical output, cost-effectiveness, security and quality of service.
2.   By 26 April 2025 and every year thereafter during the development phase of the router, eu-LISA shall submit a report to the European Parliament and to the Council on the state of play of the development of the router. Those reports shall contain detailed information about the costs incurred and information as to any risks which could impact the overall costs to be borne by the general budget of the Union pursuant to Article 73.
Once the development of the router is finalised, eu-LISA shall submit a report to the European Parliament and to the Council explaining in detail how the objectives, in particular relating to planning and costs, were achieved and justifying any divergences.
3.   By 26 April 2025 and every year thereafter during the development phase of EPRIS, Europol shall submit a report to the European Parliament and to the Council on the state of play of the development of EPRIS. Those reports shall contain detailed information about the costs incurred and information as to any risks which could impact the overall costs to be borne by the general budget of the Union pursuant to Article 73.
Once the development of EPRIS is finalised, Europol shall submit a report to the European Parliament and to the Council explaining in detail how the objectives, in particular relating to planning and costs, were achieved and justifying any divergences.
4.   For the purposes of technical maintenance, eu-LISA shall have access to the necessary information relating to the data processing operations performed in the router. For the purposes of technical maintenance, Europol shall have access to the necessary information relating to the data processing operations performed in EPRIS.
5.   Two years after the start of operations of the router and every two years thereafter, eu-LISA shall submit to the European Parliament, to the Council and to the Commission a report on the technical functioning, including the security, of the router.
6.   Two years after the start of operations of EPRIS and every two years thereafter, Europol shall submit to the European Parliament, to the Council and to the Commission a report on the technical functioning, including the security, of EPRIS.
7.   Three years after the start of operations of the router and EPRIS as referred to in Article 75 and every four years thereafter, the Commission shall produce a report on the overall evaluation of the Prüm II framework.
One year after the start of operations of the router and every two years thereafter, the Commission shall produce a report evaluating the use of facial images under this Regulation.
The reports referred to in the first and second subparagraphs shall include the following:
(a)
an assessment of the application of this Regulation, including its use by each Member State and Europol;
(b)
an examination of the results achieved against the objectives of this Regulation and its impact on fundamental rights;
(c)
the impact, effectiveness and efficiency of the performance of the Prüm II framework and its working practices in light of its objectives, mandate and tasks;
(d)
an assessment of the security of the Prüm II framework.
The Commission shall transmit those reports to the European Parliament, to the Council, to the European Data Protection Supervisor and to the European Union Agency for Fundamental Rights.
8.   In the reports referred to in the first subparagraph of paragraph 7, the Commission shall pay special attention to the following new categories of data: facial images and police records. The Commission shall include in such reports the use made by each Member State and Europol of those new categories of data and their impact, effectiveness and efficiency. In the reports referred to in the second subparagraph of paragraph 7, the Commission shall pay special attention to the risk of false matches and to data quality.
9.   The Member States and Europol shall provide eu-LISA and the Commission with the information necessary to draft the reports referred to in paragraphs 2 and 5. That information shall not jeopardise working methods or reveal the sources, staff members or investigations of the Member States’ competent authorities.
10.   The Member States shall provide the Commission and Europol with the information necessary to draft the reports referred to in paragraphs 3 and 6. That information shall not jeopardise working methods or reveals the sources, staff members or investigations of the Member States’ competent authorities.
11.   Without prejudice to confidentiality requirements, Member States, eu-LISA and Europol shall provide the Commission with the information necessary to produce the reports referred to in paragraph 7. Member States shall also provide the Commission with the number of confirmed matches against each Member State’s database per category and per type of data. That information shall not jeopardise working methods or reveal the sources, staff members or investigations of the Member States’ competent authorities.
Article 81
Entry into force and applicability
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall be binding in its entirety and directly applicable in the Member States in accordance with the Treaties.
Done at Strasbourg, 13 March 2024.
For the European Parliament
The President
R. METSOLA
For the Council
The President
H. LAHBIB
(
1
)
  
            
OJ C 323, 26.8.2022, p. 69
.
(
2
)
  Position of the European Parliament of 8 February 2024 (not yet published in the Official Journal) and decision of the Council of 26 February 2024.
(
3
)
  Regulation (EU) 2016/794 of the European Parliament and of the Council of 11 May 2016 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (
OJ L 135, 24.5.2016, p. 53
).
(
4
)
  Council Decision 2008/615/JHA of 23 June 2008 on the stepping up of cross-border cooperation, particularly in combating terrorism and cross-border crime (
OJ L 210, 6.8.2008, p. 1
).
(
5
)
  Council Decision 2008/616/JHA of 23 June 2008 on the implementation of Decision 2008/615/JHA on the stepping up of cross-border cooperation, particularly in combating terrorism and cross-border crime (
OJ L 210, 6.8.2008, p. 12
).
(
6
)
  Regulation (EU) 2018/1862 of the European Parliament and of the Council of 28 November 2018 on the establishment, operation and use of the Schengen Information System (SIS) in the field of police cooperation and judicial cooperation in criminal matters, amending and repealing Council Decision 2007/533/JHA, and repealing Regulation (EC) No 1986/2006 of the European Parliament and of the Council and Commission Decision 2010/261/EU (
OJ L 312, 7.12.2018, p. 56
).
(
7
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
8
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
9
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
10
)
  Directive (EU) 2023/977 of the European Parliament and of the Council of 10 May 2023 on the exchange of information between the law enforcement authorities of Member States and repealing Council Framework Decision 2006/960/JHA (
OJ L 134, 22.5.2023, p. 1
).
(
11
)
  Council Framework Decision 2009/315/JHA of 26 February 2009 on the organisation and content of the exchange of information extracted from the criminal record between Member States (
OJ L 93, 7.4.2009, p. 23
).
(
12
)
  Regulation (EU) 2019/817 of the European Parliament and of the Council of 20 May 2019 on establishing a framework for interoperability between EU information systems in the field of borders and visa and amending Regulations (EC) No 767/2008, (EU) No 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 and (EU) 2018/1861 of the European Parliament and of the Council and Council Decisions 2004/512/EC and 2008/633/JHA (
OJ L 135, 22.5.2019, p. 27
).
(
13
)
  Regulation (EU) 2019/818 of the European Parliament and of the Council of 20 May 2019 on establishing a framework for interoperability between EU information systems in the field of police and judicial cooperation, asylum and migration and amending Regulations (EU) 2018/1726, (EU) No 2018/1862 and (EU) 2019/816 (
OJ L 135, 22.5.2019, p. 85
).
(
14
)
  Regulation (EU) 2018/1726 of the European Parliament and of the Council of 14 November 2018 on the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), and amending Regulation (EC) No 1987/2006 and Council Decision 2007/533/JHA and repealing Regulation (EU) No 1077/2011 (
OJ L 295, 21.11.2018, p. 99
).
(
15
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
16
)
  
            
OJ C 225, 9.6.2022, p. 6
.
(
17
)
  Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (
OJ L 333, 27.12.2022, p. 80
).
(
18
)
  
            
OJ L 56, 4.3.1968, p. 1
.
ELI: http://data.europa.eu/eli/reg/2024/982/oj
ISSN 1977-0677 (electronic edition)

Summary:
Police cooperation: automated search and exchange of data
SUMMARY OF:
Regulation (EU) 2024/982 on the automated search and exchange of data for police cooperation
WHAT IS THE AIM OF THE REGULATION?
Regulation (EU) 2024/982 (the Prüm II 
regulation
) aims to improve, streamline and facilitate the exchange of data for police cooperation. It closes information gaps and boosts the prevention, detection and investigation of criminal offences in the 
European Union
 (EU), fostering security for everyone in Europe.
KEY POINTS
A structured approach to the automated search and exchange of data aims to ensure a comprehensive, secure and efficient information exchange framework for police cooperation across the EU, emphasising 
data protection
.
DNA profiles and fingerprint data
EU 
Member States
 must 
make DNA profiles and fingerprint data
 from their national criminal databases available for automated search by other Member States and by the European Union Agency for Law Enforcement Cooperation (
Europol
), for the investigation of criminal offences (DNA data) and for the prevention, detection and investigation of criminal offences (dactyloscopic data).
Member States, through their national contact points, conduct automated searches by 
comparing DNA profiles
 stored in their DNA databases with profiles stored in every other Member State’s databases and Europol data. The same process applies to dactyloscopic data.
Searches 
must only be conducted in individual cases
, and in accordance with the legal framework of the requesting Member State.
Manual review by qualified staff
 is required to confirm matches.
Measures are introduced to ensure 
confidentiality, integrity and data encryption
.
The 
European Commission
 will establish 
quality standards
 by means of 
implementing acts
.
Vehicle registration data
Member States must 
make national vehicle registration data available
 to other Member States and Europol, to prevent, detect and investigate criminal offences.
Member States, through their national contact points, and Europol conduct automated searches in individual cases and in accordance with the legal framework of the requesting Member State.
Searches use 
chassis numbers, vehicle registration numbers or owner data
 (for suspects/convicted persons).
The 
European vehicle and driving licence information system
 (Eucaris)
 is used for searches.
Facial images
Member States must make 
facial images
 of suspects, convicted persons and, where permitted under national law, victims, from their national criminal databases, available for automated search by other Member States and Europol.
Automated searches
 by Member States and Europol can be carried out for the 
prevention, detection and investigation of criminal offences punishable by at least 1 year of imprisonment
 under the law of the requesting Member State.
Searches must only be conducted in 
individual cases
 and in accordance with the legal framework of the requesting Member State.
Profiling as referred to in Article 11(3) of Directive (EU) 
2016/680
 (see 
summary
) is prohibited.
Manual review by qualified staff
 is required to confirm matches.
The Commission will establish 
minimum quality standards
 for facial data images and review them if there is a high risk of false matches.
Police records
Participation in the 
automated exchange of police records is optional
.
Police records are biographical data of suspects and convicted persons, 
pseudonymised for data protection
.
Searches are 
allowed for the prevention, detection and investigation of criminal offences punishable by at least 1 year of imprisonment
 under the law of the requesting Member State.
Searches are conducted in accordance with the 
national law of the requesting Member States and only in individual cases
.
Missing persons and unidentified human remains
Automated searches for 
the search of missing persons and the identification of human remains
 are allowed for criminal investigations or humanitarian reasons.
National authorities must be designated
 and procedures established by legislative measures.
National contact points
National contact points
 are designated for data exchange.
Justifications for queries
 are recorded and can be used for assessing proportionality, necessity and data protection.
The 
Universal Message Format standard
 is used for data exchange and system development where possible.
The central router
A router is set up by the 
European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice
 (
eu-LISA
) to facilitate connections for querying national criminal databases by Member States and Europol with DNA profiles, fingerprint data and facial images. It includes:
a search tool,
secure communication channels, and
a connection to the European Search Portal.
The agency is responsible for the processing of personal data via the router, and keeps logs of all data processing operations.
European police record index system
The regulation establishes the European police record index system (EPRIS) for querying national police record indexes.
Submission and dispatch of query data to national police records indexes are 
managed by EPRIS
, with immediate automated responses from Member States.
EPRIS 
sends back matching results
.
All searches are 
comprehensively logged
 by participating Member States and Europol, and used for collection of statistics, data protection monitoring and data security purposes.
Europol
 is responsible for the development and technical management of EPRIS.
Follow-up exchange
Core identification data must be exchanged via the router 
within 48 hours of a confirmed match on biometric data
, unless judicial authorisation requires a longer time frame.
Europol
Europol can query Member States’ databases with data received from non-EU countries.
Member States can access biometric data provided by non-EU countries and stored by Europol.
Follow-up measures and data exchanges are regulated to ensure 
compliance with legal standards
.
Amendments
The regulation amends Decisions 
2008/615/JHA
 and 
2008/616/JHA
, and Regulations (EU) 
2018/1726
, (EU) 
2019/817
 and (EU) 
2019/818
.
FROM WHEN DOES THE REGULATION APPLY?
The regulation has applied since 
25 April 2024
.
BACKGROUND
For further information, see:
Information exchange
 (European Commission).
MAIN DOCUMENT
Regulation (EU) 
2024/982
 of the European Parliament and of the Council of 
13 March 2024
 on the automated search and exchange of data for police cooperation, and amending Council Decisions 2008/615/JHA and 2008/616/JHA and Regulations (EU) 2018/1726, (EU) 
No 2019/817
 and (EU) 2019/818 of the European Parliament and of the Council (the Prüm II Regulation) (OJ L, 2024/982, 
5.4.2024
).
RELATED DOCUMENTS
Regulation (EU) 
2019/817
 of the European Parliament and of the Council of 
20 May 2019
 on establishing a framework for interoperability between EU information systems in the field of borders and visa and amending Regulations (EC) 
No 767/2008
, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 and (EU) 2018/1861 of the European Parliament and of the Council and Council Decisions 2004/512/EC and 2008/633/JHA (OJ L 135, 
22.5.2019
, pp. 27–84).
Successive amendments to Regulation (EU) 2019/817 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
Regulation (EU) 
2019/818
 of the European Parliament and of the Council of 
20 May 2019
 on establishing a framework for interoperability between EU information systems in the field of police and judicial cooperation, asylum and migration and amending Regulations (EU) 2018/1726, (EU) 2018/1862 and (EU) 2019/816 (OJ L 135, 
22.5.2019
, pp. 85–135).
See 
consolidated version
.
Regulation (EU) 
2018/1726
 of the European Parliament and of the Council of 
14 November 2018
 on the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), and amending Regulation (EC) 
No 1987/2006
 and Council Decision 2007/533/JHA and repealing Regulation (EU) 
No 1077/2011
 (OJ L 295, 
21.11.2018
, p. 99–137).
See 
consolidated version
.
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, pp. 1–88).
See 
consolidated version
.
Directive (EU) 
2016/680
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 
4.5.2016
, pp. 89–131).
See 
consolidated version
.
Regulation (EU) 
2016/794
 of the European Parliament and of the Council of 
11 May 2016
 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (OJ L 135, 
24.5.2016
, pp. 53–114).
See 
consolidated version
.
Council Decision 
2008/615/JHA
 of 
23 June 2008
 on the stepping up of cross-border cooperation, particularly in combating terrorism and cross-border crime (OJ L 210, 
6.8.2008
, pp. 1–11).
See 
consolidated version
.
Council Decision 
2008/616/JHA
 of 
23 June 2008
 on the implementation of Decision 2008/615/JHA on the stepping up of cross-border cooperation, particularly in combating terrorism and cross-border crime (OJ L 210, 
6.8.2008
, pp. 12–72).
See 
consolidated version
.
last update 
19.11.2024

--- DANISH ---

Document:
Tidende 
Den Europæiske Unions
DA
L-udgaven
2024/982
5.4.2024
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2024/982
af 13. marts 2024
om automatiseret søgning og udveksling af data med henblik på politisamarbejde, og om ændring af Rådets afgørelse 2008/615/RIA og 2008/616/RIA og Europa-Parlamentets og Rådets forordning (EU) 2018/1726, (EU) 2019/817 og (EU) 2019/818 (Prüm II-forordningen)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16, stk. 2, artikel 87, stk. 2, litra a), og artikel 88, stk. 2,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
efter den almindelige lovgivningsprocedure 
(
2
)
, og
ud fra følgende betragtninger:
(1)
Unionen har sat sig det mål at sikre borgerne et område med frihed, sikkerhed og retfærdighed uden indre grænser, hvor der er fri bevægelighed for personer. Dette mål skal nås ved hjælp af blandt andet passende foranstaltninger for at forebygge og bekæmpe kriminalitet og andre trusler mod den offentlige sikkerhed, herunder organiseret kriminalitet og terrorisme, i overensstemmelse med Kommissionens meddelelse af 24. juli 2020 om strategien for EU's sikkerhedsunion. Dette mål kræver, at de retshåndhævende myndigheder udveksler data på en effektiv og rettidig måde for effektivt at forebygge, afsløre og efterforske strafbare handlinger.
(2)
Denne forordnings mål er derfor, med henblik på at forebygge, afsløre og efterforske strafbare handlinger, at forbedre, strømline og lette udvekslingen af strafferetlige oplysninger og køretøjsregistreringsdata mellem medlemsstaternes kompetente myndigheder og mellem medlemsstater og Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol), oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2016/794 
(
3
)
, i fuld overensstemmelse med grundlæggende rettigheder og databeskyttelsesregler.
(3)
Rådets afgørelse 2008/615/RIA 
(
4
)
 og 2008/616/RIA 
(
5
)
, der fastlægger regler for udveksling af oplysninger mellem myndigheder med ansvar for forebyggelse og efterforskning af strafbare handlinger ved at give mulighed for elektronisk overførsel af DNA-profiler, fingeraftryksoplysninger og visse oplysninger fra køretøjsregistre har vist sig at være vigtige for bekæmpelse af terrorisme og grænseoverskridende kriminalitet, hvorved indre sikkerhed for Unionen og dens borgere beskyttes.
(4)
Denne forordning bør på grundlag af eksisterende procedurer for automatiseret søgning efter oplysninger fastsætte betingelserne og procedurerne for automatiseret søgning og udveksling af DNA-profiler, fingeraftryksdata, køretøjsregistreringsdata, visse kørekortdata, ansigtsbilleder og politiregistre. Dette bør ikke berøre behandlingen af sådanne data i Schengeninformationssystemet (SIS) eller udvekslingen af supplerende oplysninger med forbindelse til sådanne data via Sirene-kontorerne i medfør af Europa-Parlamentets og Rådets forordning (EU) 2018/1862 
(
6
)
 eller rettighederne for personer, hvis data behandles deri.
(5)
Denne forordning fastlægger en ramme for udveksling af oplysninger mellem myndigheder med ansvar for forebyggelse, afsløring og efterforskning af strafbare handlinger (Prüm II-rammen). I overensstemmelse med artikel 87, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde (TEUF) omfatter den alle medlemsstaternes kompetente myndigheder, herunder, men ikke begrænset til politi, toldmyndigheder og andre særlige retshåndhævende myndigheder inden for forebyggelse, afsløring og efterforskning af strafbare handlinger. I forbindelse med denne forordning bør enhver myndighed, der er ansvarlig for forvaltningen af en national database, der er omfattet af denne forordning, eller som giver en retskendelse til at frigive data, derfor anses for at være omfattet af denne forordnings anvendelsesområde, så længe oplysninger udveksles med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger.
(6)
Enhver behandling eller udveksling af personoplysninger med henblik på denne forordning bør ikke føre til forskelsbehandling af personer af nogen grunde. Den bør fuldt ud respektere menneskelig værdighed og integritet og andre grundlæggende rettigheder, herunder retten til respekt for privatlivet og til beskyttelse af personoplysninger, i overensstemmelse med Den Europæiske Unions charter om grundlæggende rettigheder.
(7)
Enhver behandling eller udveksling af personoplysninger bør være omfattet af reglerne om databeskyttelse i denne forordnings kapitel 6 og, alt efter hvad der er relevant, Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
7
)
 eller Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
8
)
, (EU) 2016/794 eller (EU) 2016/679 
(
9
)
. Direktiv (EU) 2016/680 finder anvendelse på brugen af Prüm II-rammen i forbindelse med søgninger efter forsvundne personer og identifikation af uidentificerede menneskelige rester med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger, mens forordning (EU) 2016/679 finder anvendelse på brugen af Prüm II-rammen i forbindelse med søgninger efter forsvundne personer og identifikation af uidentificerede menneskelige rester for andre formål.
(8)
Ved at fastsætte bestemmelser om automatiseret søgning efter DNA-profiler, fingeraftryksdata, visse køretøjsregistreringsdata, ansigtsbilleder og politiregistre er formålet med denne forordning også at gøre det muligt at søge efter forsvundne personer og identificere uidentificerede menneskelige rester. Disse automatiserede søgninger bør følge de regler og procedurer, der er fastsat i denne forordning. Disse automatiserede søgninger berører ikke indlæsningen af indberetninger om forsvundne personer i SIS og udvekslingen af supplerende oplysninger om sådanne indberetninger i henhold til forordning (EU) 2018/1862.
(9)
Hvor medlemsstaterne ønsker at anvende Prüm II-rammen til at søge efter forsvundne personer og identificere menneskelige rester, bør de vedtage nationale lovgivningsmæssige foranstaltninger til at udpege de nationale myndigheder, der er kompetente til dette formål, og fastsætte de specifikke procedurer, betingelser og kriterier til dette formål. For så vidt angår søgninger efter forsvundne personer uden for området strafferetlig efterforskning bør de nationale lovgivningsmæssige foranstaltninger klart fastsætte de humanitære årsager, på grundlag af hvilke der kan foretages en søgning efter forsvundne personer. Sådanne søgninger bør overholde proportionalitetsprincippet. De humanitære årsager bør omfatte naturkatastrofer og menneskeskabte katastrofer og andre lige så velbegrundede årsager, såsom mistanke om selvmord.
(10)
Ved denne forordning fastsættes betingelserne og procedurerne for automatiseret søgning efter DNA-profiler, fingeraftryksdata, visse køretøjsregistreringsdata, ansigtsbilleder og politiregistre og reglerne for udveksling af centrale data efter et bekræftet match mellem biometriske data. Den finder ikke anvendelse på udveksling af supplerende oplysninger ud over, hvad der er fastsat i denne forordning, som reguleres af Europa-Parlamentets og Rådets direktiv (EU) 2023/977 
(
10
)
.
(11)
Direktiv (EU) 2023/977 udgør en sammenhængende EU-retlig ramme for at sikre, at en medlemsstats kompetente myndigheder har lige adgang til oplysninger, som andre medlemsstater er i besiddelse af, når de har brug for sådanne oplysninger til at bekæmpe kriminalitet og terrorisme. For at forbedre udvekslingen af oplysninger formaliserer og præciserer nævnte direktiv reglerne og procedurerne for udveksling af oplysninger mellem medlemsstaternes kompetente myndigheder, navnlig med henblik på efterforskning, herunder den rolle, som hver medlemsstats centrale kontaktpunkt spiller for sådanne udvekslinger.
(12)
Formålene med udveksling af DNA-profiler i henhold til denne forordning berører ikke medlemsstaternes enekompetence til at beslutte formålet med deres nationale DNA-databaser, herunder forebyggelse eller afsløring af strafbare handlinger.
(13)
Medlemsstaterne bør på det tidspunkt, hvor der første gang etableres forbindelse til routeren oprettet ved denne forordning, foretage automatiserede søgninger ved at sammenligne alle DNA-profilerne lagret i deres databaser med alle DNA-profilerne lagret i alle de andre medlemsstaters databaser og i Europoldata. Formålet med denne første automatiserede søgning er at undgå huller i identifikationen af match mellem DNA-profiler lagret i en medlemsstats database og DNA-profiler lagret i alle de andre medlemsstaters databaser og i Europoldata. Den første automatiserede søgning bør foretages bilateralt og bør ikke nødvendigvis udføres med alle andre medlemsstaters databaser og Europoldata samtidig. Ordningerne for at foretage sådanne søgninger, herunder tidsplanen og mængden pr. batch, bør aftales bilateralt i overensstemmelse med de regler og procedurer, der er fastsat i denne forordning.
(14)
Efter den første automatiserede søgning af DNA-profiler bør medlemsstaterne foretage automatiserede søgninger ved at sammenligne alle de nye DNA-profiler, der er tilføjet til deres databaser, med alle de DNA-profiler, som er lagret i alle andre medlemsstaters databaser og i Europoldata. Denne automatiserede søgning efter nye DNA-profiler bør finde sted regelmæssigt. Hvor sådanne søgninger ikke kan finde sted, bør den berørte medlemsstat have mulighed for at foretage dem på et senere tidspunkt for at sikre, at ingen match bliver overset. Ordningerne for sådanne senere søgninger, herunder tidsplanen og mængden pr. batch, bør aftales bilateralt i overensstemmelse med de regler og procedurer, der er fastsat i denne forordning.
(15)
Til automatiseret søgning af køretøjsregistreringsdata bør medlemsstaterne og Europol anvende det europæiske informationssystem vedrørende køretøjer og kørekort (Eucaris), der er oprettet ved traktaten om et europæisk informationssystem vedrørende køretøjer og kørekort (EUCARIS) og er udformet til dette formål, og som forbinder alle deltagende medlemsstater i et netværk. Der er ikke behov for en central komponent for at etablere kommunikationen, da hver medlemsstat kommunikerer direkte med de andre forbundne medlemsstater, og Europol kommunikerer direkte med de forbundne databaser.
(16)
Identifikation af en kriminel person er afgørende for en vellykket strafferetlig efterforskning og retsforfølgning. Automatiseret søgning efter ansigtsbilleder af personer, der er dømt eller mistænkt for at have begået en strafbar handling, eller ofre, hvor dette er tilladt i henhold til den anmodede medlemsstats nationale ret, og som er indsamlet i overensstemmelse med national ret, vil kunne give yderligere oplysninger for en vellykket identifikation af kriminelle og bekæmpelse af kriminalitet. I betragtning af de pågældende datas følsomhed bør det kun være muligt at foretage automatiseret søgning med henblik på at forebygge, afsløre eller efterforske en strafbar handling, der kan straffes med en maksimal fængselsstraf på mindst ét år i henhold til den anmodende medlemsstats ret.
(17)
Automatiseret søgning efter biometriske data foretaget af medlemsstaternes kompetente myndigheder med ansvar for forebyggelse, afsløring og efterforskning af strafbare handlinger i henhold til denne forordning bør kun vedrøre data i databaser, der er oprettet med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger.
(18)
Deltagelse i automatiseret søgning i og udvekslingen af politiregistre bør fortsat være frivillig. Hvor medlemsstater beslutter at deltage, bør det, i en ånd af gensidighed, kun være muligt for dem at foretage forespørgsler i andre medlemsstaters databaser, hvis de stiller deres egne databaser til rådighed for andre medlemsstaters forespørgsler. Deltagende medlemsstater bør oprette nationale politiregisterindekser. Det bør være op til medlemsstaterne at beslutte, hvilke nationale databaser, der er oprettet med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger, de vil anvende til oprettelse af deres nationale politiregisterindekser. Disse indekser omfatter data fra nationale databaser, som politiet sædvanligvis kontrollerer ved modtagelse af anmodninger om oplysninger fra andre retshåndhævende myndigheder. Denne forordning opretter det europæiske politiregisterindekssystem (EPRIS) i overensstemmelse med princippet om indbygget databeskyttelse. Databeskyttelsesgarantier omfatter pseudonymisering, eftersom indekser og forespørgsler ikke indeholder klare personoplysninger, men alfanumeriske strenge. Det er vigtigt, at EPRIS forhindrer medlemsstaterne eller Europol i ud fra pseudonymiseringen at genskabe og afsløre de identifikationsdata, der førte til et match. I betragtning af de pågældende oplysningers følsomhed bør udveksling af nationale politiregisterindekser i henhold til denne forordning kun vedrøre dataene om personer, der er dømt eller mistænkt for at have begået en strafbar handling. Desuden bør det kun være muligt at foretage automatiseret søgning med henblik på at forebygge, afsløre eller efterforske en strafbar handling, der kan straffes med en maksimal fængselsstraf på mindst ét år i henhold til den anmodende medlemsstats ret.
(19)
Udvekslingen af politiregistre i henhold til denne forordning berører ikke udvekslingen af strafferegistre gennem det eksisterende europæiske informationssystem vedrørende strafferegistre (ECRIS), der blev oprettet ved Rådets rammeafgørelse 2009/315/RIA 
(
11
)
.
(20)
I de senere år har Europol modtaget en stor mængde biometriske data om personer mistænkt og personer dømt for terrorisme og strafbare handlinger fra tredjelandes myndigheder i overensstemmelse med forordning (EU) 2016/794, herunder kamppladsoplysninger fra krigszoner. I mange tilfælde har det ikke været muligt at udnytte sådanne data fuldt ud, fordi de ikke altid er tilgængelige for medlemsstaternes kompetente myndigheder. Det er nødvendigt at medtage data fra tredjelande, som er lagret af Europol, inden for Prüm II-rammen og dermed stille disse data til rådighed for medlemsstaternes kompetente myndigheder i overensstemmelse med Europols rolle som Unionens centrale knudepunkt for strafferetlige oplysninger, for bedre at forebygge, afsløre og efterforske alvorlige strafbare handlinger. Det bidrager også til at skabe synergier mellem forskellige retshåndhævelsesværktøjer og sikrer, at data anvendes på den mest effektive måde.
(21)
Europol bør kunne søge i medlemsstaternes databaser inden for Prüm II-rammen med oplysninger fra tredjelandes myndigheder under fuld overholdelse af de regler og betingelser, der er fastsat i forordning (EU) 2016/794, med henblik på at etablere grænseoverskridende forbindelser mellem straffesager, der henhører under Europols kompetence. At kunne anvende Prümdata ud over andre databaser, der er til rådighed for Europol, vil gøre det muligt at foretage en mere fuldstændig og informeret analyse og derved sætte Europol i stand til at yde bedre støtte til medlemsstaternes kompetente myndigheder med henblik på forebyggelse, afsløringer og efterforskning af strafbare handlinger.
(22)
Europol bør sikre, at dets søgningsanmodninger ikke overstiger den søgekapacitet for fingeraftryksdata og for ansigtsbilleder, som medlemsstaterne har anført. I tilfælde af et match mellem data, der anvendes til søgningen, og data, der er lagret i medlemsstaternes databaser, bør det være op til medlemsstaterne at beslutte, hvorvidt de vil give Europol de oplysninger, der er nødvendige for, at det kan udføre sine opgaver.
(23)
Forordning (EU) 2016/794 finder i sin helhed anvendelse på Europols deltagelse i Prüm II-rammen. Enhver anvendelse af Europol af data fra tredjelande reguleres af artikel 19 i forordning (EU) 2016/794. Enhver anvendelse af Europol af data indhentet fra automatiserede søgninger i henhold til Prüm II-rammen bør være betinget af samtykke fra den medlemsstat, som leverede dataene og reguleres af artikel 25 i forordning (EU) 2016/794, hvor dataene er overført til tredjelande.
(24)
Afgørelse 2008/615/RIA og 2008/616/RIA indeholder bestemmelser om et netværk af bilaterale forbindelser mellem medlemsstaternes nationale databaser. Som følge af denne tekniske arkitektur var hver medlemsstat nødt til at oprette en forbindelse til hver medlemsstat, der deltager i udvekslingerne, hvilket betød mindst 26 forbindelser, pr. datakategori. Routeren og EPRIS vil forenkle Prümrammens tekniske arkitektur og fungere som forbindelsespunkter mellem alle medlemsstater. Routeren bør kræve en enkelt forbindelse pr. medlemsstat i forbindelse med biometriske data. EPRIS bør kræve en enkelt forbindelse pr. deltagende medlemsstat for så vidt angår politiregistre.
(25)
Routeren bør tilkobles den europæiske søgeportal, der er oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2019/817 
(
12
)
 og Europa-Parlamentets og Rådets forordning (EU) 2019/818 
(
13
)
, for at tillade medlemsstaternes kompetente myndigheder og Europol at iværksætte forespørgsler til nationale databaser i henhold til denne forordning samtidig med forespørgsler til det fælles identitetsregister, der er oprettet ved nævnte forordninger, med henblik på retshåndhævelse i overensstemmelse med nævnte forordninger. Nævnte forordninger bør derfor ændres i overensstemmelse hermed. Forordning (EU) 2019/818 bør derudover ændres med henblik på at muliggøre lagring af rapporter og statistikker vedrørende routeren i det centrale register for rapportering og statistik.
(26)
Det bør være muligt for referencenumrene for biometriske data at være et foreløbigt referencenummer eller et transaktionskontrolnummer.
(27)
Automatiserede fingeraftryksidentifikationssystemer og systemer til genkendelse af ansigtsbilleder anvender biometriske skabeloner, der består af data fra udtræk af karakteristika fra faktiske biometriske prøver. Biometriske skabeloner bør indhentes fra biometriske data, men det bør ikke være muligt at indhente de samme biometriske data fra de biometriske skabeloner.
(28)
Routeren bør, hvor den anmodende medlemsstat beslutter det, og hvor det er relevant for typen af biometriske data, rangordne svarene fra den anmodede medlemsstat eller de anmodede medlemsstater eller fra Europol ved at sammenligne de biometriske data, der anvendes til forespørgsler, og de biometriske data, der leveres i svarene fra den anmodede medlemsstat eller de anmodede medlemsstater eller fra Europol.
(29)
I tilfælde af et match mellem de data, der anvendes til søgningen, og data i den anmodede medlemsstats eller de anmodede medlemsstaters nationale database, og efter en kvalificeret medarbejder i den anmodende medlemsstat manuelt har bekræftet dette match og efter overførsel af en beskrivelse af kendsgerningerne og en angivelse af den tilgrundliggende lovovertrædelse ved hjælp af den fælles tabel over lovovertrædelser, der er fastsat i en gennemførelsesretsakt, der skal vedtages i henhold til rammeafgørelse 2009/315/RIA, bør den anmodede medlemsstat returnere et begrænset sæt af centrale data i det omfang, sådanne centrale data er tilgængelige. Det begrænsede sæt af centrale data bør returneres via routeren og inden for 48 timer efter at de relevante betingelser er blevet opfyldt, medmindre der kræves en retskendelse i henhold til national ret. Denne frist vil sikre hurtig udveksling af kommunikation mellem medlemsstaternes kompetente myndigheder. Medlemsstaterne bør bevare kontrollen med frigivelsen af dette begrænsede sæt af centrale data. Menneskelig indgriben bør opretholdes på centrale punkter i processen, herunder for beslutningen om at iværksætte en forespørgsel, beslutningen om at bekræfte et match, beslutningen om at fremsætte en anmodning om at modtage sættet af centrale data efter et bekræftet match og beslutningen om at videregive personoplysninger til den anmodende medlemsstat, for at sikre, at centrale data ikke vil blive udvekslet på en automatiseret måde.
(30)
Drejer det sig specifikt om DNA, bør den anmodede medlemsstat også kunne bekræfte et match mellem to DNA-profiler, hvor dette er relevant for efterforskning af strafbare handlinger. Efter den anmodede medlemsstats bekræftelse af dette match og efter overførsel af en beskrivelse af kendsgerningerne og en angivelse af den tilgrundliggende lovovertrædelse ved hjælp af den fælles tabel over strafbare handlinger, der er omhandlet i en gennemførelsesretsakt, der skal vedtages i henhold til rammeafgørelse 2009/315/RIA, bør den anmodende medlemsstat returnere et begrænset sæt af centrale data via routeren inden for 48 timer efter at de relevante betingelser er blevet opfyldt, medmindre der kræves en retskendelse i henhold til national ret.
(31)
Data, der leveres og modtages på lovlig vis i henhold til denne forordning, er underlagt tidsfristerne for opbevaring og revision i medfør af direktiv (EU) 2016/680.
(32)
Standarden for det universelle meddelelsesformat (UMF) bør anvendes ved udviklingen af routeren og EPRIS, så vidt den finder anvendelse. Enhver automatiseret udveksling af data i henhold til denne forordning bør anvende UMF-standarden, så vidt den finder anvendelse. Medlemsstaternes kompetente myndigheder og Europol opfordres også til at anvende UMF-standarden i forbindelse med enhver yderligere udveksling af data mellem dem for så vidt angår Prüm II-rammen. UMF-standarden bør være standarden for struktureret, grænseoverskridende informationsudveksling mellem informationssystemer, myndigheder eller organisationer på området for retlige og indre anliggender.
(33)
Kun ikkeklassificerede information bør udveksles via Prüm II-rammen.
(34)
Hver medlemsstat bør underrette de øvrige medlemsstater, Kommissionen, Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA), oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2018/1726 
(
14
)
, og Europol om indholdet af sin nationale databaser, der stilles til rådighed via Prüm II-rammen og om betingelserne for automatiserede søgninger.
(35)
Visse aspekter af Prüm II-rammen kan ikke dækkes udtømmende af denne forordning på grund af deres tekniske, stærkt detaljerede og hyppigt skiftende karakter. Disse aspekter omfatter f.eks. tekniske ordninger og specifikationer for automatiserede søgeprocedurer, standarder for dataudveksling, herunder minimumskvalitetsstandarder, og de dataelementer, der skal udveksles. For at sikre ensartede betingelser for gennemførelsen af denne forordning for så vidt angår sådanne aspekter bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
15
)
.
(36)
Datakvalitet er af allerstørste betydning som en sikkerhedsforanstaltning og en væsentlig forudsætning for at sikre effektiviteten af denne forordning. I forbindelse med automatiserede søgninger efter biometriske data og for at sikre, at kvaliteten af de overførte data er tilstrækkelig høj, og reducere risikoen for falske match, bør der fastsættes en minimumskvalitetsstandard, som regelmæssigt bør revideres.
(37)
I betragtning af omfanget og følsomheden af de personoplysninger, der udveksles med henblik på denne forordning, og de forskellige nationale regler for lagring af oplysninger om enkeltpersoner i nationale databaser er det vigtigt at sikre, at de databaser, der anvendes til automatiseret søgning i henhold til denne forordning, er oprettet i overensstemmelse med national ret og direktiv (EU) 2016/680. Medlemsstaterne bør derfor, inden de forbinder deres nationale databaser med routeren eller EPRIS, foretage en konsekvensanalyse vedrørende databeskyttelse som omhandlet i direktiv (EU) 2016/680 og, hvor det er relevant, høre tilsynsmyndigheden som fastsat i nævnte direktiv.
(38)
Medlemsstaterne og Europol bør sikre nøjagtigheden og relevansen af personoplysninger, der behandles i medfør af denne forordning. Hvor en medlemsstat eller Europol bliver opmærksom på, at der er blevet leveret data, som er ukorrekte eller ikke længere ajourførte eller ikke burde være leveret, bør dette uden unødigt ophold meddeles til den medlemsstat, der har modtaget dataene, eller til Europol, alt efter hvad der er relevant. Alle berørte medlemsstater eller Europol, alt efter hvad der er tilfældet, bør uden unødigt ophold berigtige eller slette dataene i overensstemmelse hermed. Hvor den medlemsstat, der modtog dataene, eller Europol har grund til at tro, at de leverede data er ukorrekte eller bør slettes, bør den eller det underrette den medlemsstat, der har leveret oplysningerne, uden unødigt ophold.
(39)
Effektiv overvågning af gennemførelsen af denne forordning er af afgørende betydning. Navnlig bør overholdelsen af regler om behandling af personoplysninger være omfattet af effektive sikkerhedsforanstaltninger, og der bør sikres regelmæssig overvågning og revision, som foretages af dataansvarlige, tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse, alt efter hvad der er relevant. Bestemmelser, der giver mulighed for regelmæssig kontrol af antageligheden af forespørgsler databehandlingen lovlighed, bør også indføres.
(40)
Tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse bør sikre koordineret tilsyn med anvendelsen af denne forordning inden for rammerne af deres ansvarsområder, navnlig hvis de identificerer væsentlige uoverensstemmelser mellem medlemsstaternes praksis eller potentielt ulovlige overførsler.
(41)
Ved gennemførelsen af denne forordning er det afgørende, at medlemsstaterne og Europol noterer sig EU-Domstolens retspraksis vedrørende udvekslingen af biometriske data.
(42)
Tre år efter idriftsættelsen af routeren og EPRIS og derefter hvert fjerde år bør Kommissionen udarbejde en evalueringsrapport, der omfatter en vurdering af medlemsstaternes og Europols anvendelse af denne forordning, navnlig deres overholdelse af de relevante databeskyttelsesforanstaltninger. Evalueringsrapporter bør også indeholde en vurdering af de opnåede resultater set i forhold til denne forordnings mål og dens indvirkning på de grundlæggende rettigheder. Evalueringsrapporter bør også evaluere Prüm II-rammens indvirkning, virksomhed, effektivitet, virkningsfuldhed, sikkerhed og arbejdsmetoder.
(43)
Da denne forordning indeholder bestemmelser om etablering af en ny Prümramme, bør de bestemmelser i afgørelse 2008/615/RIA og 2008/616/RIA, der ikke længere er relevante, udgå. Nævnte afgørelser bør ændres i overensstemmelse hermed.
(44)
Da routeren skal udvikles og forvaltes af eu-LISA, bør forordning (EU) 2018/1726 ændres ved at tilføje dette til eu-LISA's opgaver.
(45)
Målene for denne forordning, nemlig at intensivere det grænseoverskridende politisamarbejde og give medlemsstaternes kompetente myndigheder mulighed for at søge efter forsvundne personer og identificere uidentificerede menneskelige rester, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af handlingens omfang og virkninger bedre nås på EU-plan; Unionen kan vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union (TEU). I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(46)
I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til TEU og til TEUF, deltager Danmark ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Danmark.
(47)
I medfør af artikel 3 i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til TEU og til TEUF, har Irland meddelt, at det ønsker at deltage i vedtagelsen og anvendelsen af denne forordning.
(48)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav en udtalelse den 2. marts 2022 
(
16
)
 —
VEDTAGET DENNE FORORDNING:
KAPITEL 1
Almindelige bestemmelser
Artikel 1
Genstand
Denne forordning fastlægger en ramme for søgning og udveksling af data mellem medlemsstaternes kompetente myndigheder (Prüm II-rammen) ved at fastsætte:
a)
betingelserne og procedurerne for automatiseret søgning efter DNA-profiler, fingeraftryksdata, visse køretøjsregistreringsdata, ansigtsbilleder og politiregistre, og
b)
reglerne for udveksling af centrale data efter et bekræftet match mellem biometriske data.
Artikel 2
Formål
Formålet med Prüm II-rammen er at intensivere det grænseoverskridende samarbejde i spørgsmål, der er omfattet af tredje del, afsnit V, kapitel 4 og 5, i traktaten om Den Europæiske Unions funktionsmåde, navnlig ved at lette udvekslingen af oplysninger mellem medlemsstaternes kompetente myndigheder, under fuld overholdelse af fysiske personers grundlæggende rettigheder, herunder retten til respekt for sit privatliv og retten til beskyttelse af personoplysninger, i overensstemmelse med Den Europæiske Unions charter om grundlæggende rettigheder.
Formålet med Prüm II-rammen er også at give medlemsstaternes kompetente myndigheder mulighed for at søge efter forsvundne personer i forbindelse med en strafferetlig efterforskning eller af humanitære årsager og at identificere menneskelige rester i overensstemmelse med artikel 29, forudsat at disse myndigheder har beføjelse til at foretage sådanne søgninger og foretage sådanne identifikationer i henhold til national ret.
Artikel 3
Anvendelsesområde
Denne forordning finder anvendelse på databaser, der er oprettet i overensstemmelse med national ret, og som anvendes til automatiseret overførsel af DNA-profiler, fingeraftryksdata, visse køretøjsregistreringsdata, ansigtsbilleder og politiregistre under overholdelse af direktiv (EU) 2016/680 eller forordning (EU) 2018/1725, (EU) 2016/794 eller (EU) 2016/679, alt efter hvad der er relevant.
Artikel 4
Definitioner
I denne forordning forstås ved:
1)
»loci« (ental: »locus«): DNA-positioner, der indeholder identifikationskendetegn for en analyseret menneskelig DNA-prøve
2)
»DNA-profil«: en bogstav- eller nummerkode, der repræsenterer en række loci, eller den særlige molekylestruktur på de forskellige loci
3)
»DNA-referencedata«: DNA-profil og det referencenummer, der er omhandlet i artikel 7
4)
»identificeret DNA-profil«: en identificeret persons DNA-profil
5)
»uidentificeret DNA-profil«: en DNA-profil, der er indsamlet under efterforskningen af strafbare handlinger, og som stammer fra en endnu ikke identificeret person, herunder en DNA-profil opnået fra spor
6)
»fingeraftryksdata«: billeder af fingeraftryk, billeder af latente fingeraftryk, billeder af håndfladeaftryk, billeder af latente håndfladeaftryk og skabeloner af sådanne billeder (kodede minutiae), der er lagret og behandlet i en automatiseret database
7)
»fingeraftryksreferencedata«: fingeraftryksdata og det referencenummer, der er omhandlet i artikel 12
8)
»uidentificerede fingeraftryksdata«: fingeraftryksdata, der er indsamlet under efterforskningen af en strafbar handling, og som stammer fra en endnu ikke identificeret person, herunder fingeraftryksdata opnået fra spor
9)
»identificerede fingeraftryksdata«: en identificeret persons fingeraftryksdata
10)
»individuel sag«: et enkelt dossier, der vedrører forebyggelse, afsløring eller efterforskning af en strafbar handling, søgning efter en forsvundet person eller identifikation af uidentificerede menneskelige rester
11)
»ansigtsbillede«: et digitalt billede af ansigtet
12)
»ansigtsbilledreferencedata«: et ansigtsbillede og det referencenummer, der er omhandlet i artikel 21
13)
»uidentificeret ansigtsbillede«: et ansigtsbillede, der er indsamlet under efterforskningen af en strafbar handling, og som stammer fra en endnu ikke identificeret person, herunder et ansigtsbillede opnået fra spor
14)
»identificeret ansigtsbillede«: en identificeret persons ansigtsbillede
15)
»biometriske data«: DNA-profiler, fingeraftryksdata eller ansigtsbilleder
16)
»alfanumeriske data«: data, der er angivet med bogstaver, tal, specialtegn, mellemrum og skilletegn
17)
»match«: eksistensen af et sammenfald som resultat af en automatiseret sammenligning mellem personoplysninger i en database
18)
»kandidat«: data, for hvilke der er et match
19)
»anmodende medlemsstat«: en medlemsstat, der foretager en søgning ved hjælp af Prüm II-rammen
20)
« anmodede medlemsstat«: en medlemsstat, i hvis databaser en anmodende medlemsstat foretager en søgning ved hjælp af Prüm II-rammen
21)
»politiregistre«: mistænktes og dømte personers biografiske data, der er tilgængelige i nationale databaser oprettet med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger
22)
»pseudonymisering«: pseudonymisering som defineret i artikel 3, nr. 5), i direktiv (EU) 2016/680
23)
»mistænkt«: en person som omhandlet i artikel 6, litra a), i direktiv (EU) 2016/680
24)
»personoplysninger«: personoplysninger som defineret i artikel 3, nr. 1), i direktiv (EU) 2016/680
25)
»Europoldata«: operationelle personoplysninger, der behandles af Europol i overensstemmelse med forordning (EU) 2016/794
26)
»kompetent myndighed«: enhver offentlig myndighed, der er kompetent med hensyn til at forebygge, afsløre eller efterforske strafbare handlinger, eller ethvert andet organ eller enhver anden enhed, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed og offentlige beføjelser med henblik på at forebygge, afsløre eller efterforske strafbare handlinger
27)
»tilsynsmyndighed«: en uafhængig offentlig myndighed, der er oprettet af en medlemsstat i medfør af artikel 41 i direktiv (EU) 2016/680
28)
»SIENA«: en sikker netværksapplikation til udveksling af oplysninger, der forvaltes og udvikles af Europol i overensstemmelse med forordning (EU) 2016/794
29)
»hændelse«: en hændelse som defineret i artikel 6, nr. 6), i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 
(
17
)
30)
»væsentlig hændelse«: en hændelse, medmindre denne hændelse har en begrænset indvirkning og sandsynligvis allerede er velforstået med hensyn til metode eller teknologi
31)
»væsentlig cybertrussel«: en cybertrussel, der har mulighed og evne til, og hvis formål er, at forårsage en væsentlig hændelse
32)
»væsentlig sårbarhed«: en sårbarhed, der sandsynligvis vil føre til en væsentlig hændelse, hvis den udnyttes.
KAPITEL 2
Udveksling af data
Afsnit 1
DNA-profiler
Artikel 5
DNA-referencedata
1.   Medlemsstaterne sikrer tilgængeligheden af DNA-referencedata fra deres nationale DNA-databaser med henblik på andre medlemsstaters og Europols automatiserede søgning i medfør af denne forordning.
DNA-referencedata må ikke indeholde yderligere data, som gør det muligt at identificere en person direkte.
Uidentificerede DNA-profiler skal være genkendelige som sådanne.
2.   DNA-referencedata behandles i overensstemmelse med denne forordning og under overholdelse af den nationale ret, der finder anvendelse på behandlingen af disse data.
3.   Kommissionen vedtager en gennemførelsesretsakt med henblik på at præcisere de identifikationskendetegn for en DNA-profil, der skal udveksles. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 6
Automatiseret søgning efter DNA-profiler
1.   Med henblik på efterforskning af strafbare handlinger foretager medlemsstaterne, på det tidspunkt de første gang etablerer forbindelse til routeren via deres nationale kontaktpunkter, en automatiseret søgning ved at sammenligne alle DNA-profilerne lagret i deres nationale DNA-databaser med alle DNA-profilerne lagret i alle andre medlemsstaters DNA-databaser og i Europoldata. Hver medlemsstat aftaler bilateralt med hver anden medlemsstat og med Europol ordningerne for disse automatiserede søgninger i overensstemmelse med de regler og procedurer, der er fastsat i denne forordning.
2.   Med henblik på efterforskning af strafbare handlinger foretager medlemsstaterne via deres nationale kontaktpunkter automatiserede søgninger ved at sammenligne alle de nye DNA-profiler, der er tilføjet til deres DNA-database, med alle DNA-profilerne lagret i alle andre medlemsstaters DNA-databaser og i Europoldata.
3.   Hvis søgninger som omhandlet i stk. 2 ikke kan finde sted, kan den berørte medlemsstat bilateralt aftale med hver anden medlemsstat og med Europol at foretage dem på et senere tidspunkt ved at sammenligne DNA-profiler med alle DNA-profiler lagret i alle andre medlemsstaters DNA-databaser og i Europoldata. Den berørte medlemsstat aftaler bilateralt med hver anden medlemsstat og med Europol ordningerne for disse automatiserede søgninger i overensstemmelse med de regler og procedurer, der er fastsat i denne forordning.
4.   Søgninger som omhandlet i stk. 1, 2 og 3 må kun foretages i forbindelse med individuelle sager og under overholdelse af den anmodende medlemsstats nationale ret.
5.   Hvis det ved en automatiseret søgning konstateres, at en leveret DNA-profil matcher en DNA-profil, der er lagret i den anmodede medlemsstats database eller databaser, modtager den anmodende medlemsstats nationale kontaktpunkt på en automatiseret måde de DNA-referencedata, som der er konstateret et match med.
6.   Den anmodende medlemsstats nationale kontaktpunkt kan beslutte at bekræfte et match mellem to DNA-profiler. Hvor det beslutter at bekræfte en match mellem to DNA-profiler, underretter det den anmodede medlemsstat og sikrer, at mindst én kvalificeret medarbejder foretager en manuel gennemgang for at bekræfte dette match med de DNA-referencedata, der er modtaget fra den anmodede medlemsstat.
7.   Hvor det er relevant for efterforskningen af strafbare handlinger kan den anmodede medlemsstats nationale kontaktpunkt også beslutte at bekræfte et match mellem to DNA-profiler. Hvor det beslutter at bekræfte en match mellem to DNA-profiler, underretter det den anmodende medlemsstat og sikrer, at mindst én kvalificeret medarbejder foretager en manuel gennemgang for at bekræfte dette match med de DNA-referencedata, der er modtaget fra den anmodende medlemsstat.
Artikel 7
Referencenumre for DNA-profiler
Referencenumrene for DNA-profiler er en kombination af følgende:
a)
et referencenummer, der i tilfælde af et match gør det muligt for medlemsstaterne at hente yderligere data og andre oplysninger i deres nationale databaser med henblik på at levere dem til en, flere eller alle andre medlemsstater i overensstemmelse med artikel 47 eller til Europol i overensstemmelse med artikel 49, stk. 6
b)
et referencenummer, der i tilfælde af et match gør det muligt for Europol at hente yderligere data og andre oplysninger med henblik på denne forordnings artikel 48, stk. 1, for at levere dem til en, flere eller alle medlemsstater i overensstemmelse med forordning (EU) 2016/794
c)
en kode til angivelse af den medlemsstat, der ligger inde med DNA-profilen
d)
en kode til angivelse af, hvorvidt DNA-profilen er en identificeret DNA-profil eller en uidentificeret DNA-profil.
Artikel 8
Principper for udveksling af DNA-profiler
1.   Medlemsstaterne træffer passende foranstaltninger for at sikre fortroligheden og integriteten af DNA-referencedata, der sendes til andre medlemsstater eller Europol, herunder kryptering heraf. Europol træffer passende foranstaltninger for at sikre fortroligheden og integriteten af DNA-referencedata, der sendes til medlemsstater, herunder kryptering heraf.
2.   Hver medlemsstat og Europol sikrer, at kvaliteten af de DNA-profiler, som overføres, er tilstrækkelig høj til automatiseret sammenligning. Kommissionen fastsætter ved hjælp af gennemførelsesretsakter en minimumskvalitetsstandard for at muliggøre sammenligningen af DNA-profiler.
3.   Kommissionen vedtager gennemførelsesretsakter, der angiver de relevante europæiske eller internationale standarder, der skal anvendes af medlemsstaterne og Europol til udveksling af DNA-referencedata.
4.   De i denne artikels stk. 2 og 3 omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 9
Regler for anmodninger og svar vedrørende DNA-profiler
1.   En anmodning om automatiseret søgning af DNA-profiler må kun indeholde følgende oplysninger:
a)
den anmodende medlemsstats kode
b)
dato og tidspunkt for anmodningen samt anmodningsnummer
c)
DNA-referencedata
d)
hvorvidt de fremsendte DNA-profiler er uidentificerede DNA-profiler eller identificerede DNA-profiler.
2.   Et svar på en anmodningen som omhandlet i stk. 1 må kun indeholde følgende oplysninger:
a)
en angivelse af, hvorvidt der er konstateret et eller flere match eller ej
b)
dato og tidspunkt for anmodningen samt anmodningsnummer
c)
dato og tidspunkt for svaret samt svarnummer
d)
koderne for den anmodende og den anmodede medlemsstat
e)
referencenumrene på DNA-profilerne fra den anmodende og den anmodede medlemsstat
f)
hvorvidt de fremsendte DNA-profiler er uidentificerede DNA-profiler eller identificerede DNA-profiler
g)
de matchende DNA-profiler.
3.   Der gives kun automatisk meddelelse om et match, hvis den automatiserede søgning har resulteret i et match mellem et mindste antal loci. Kommissionen vedtager gennemførelsesretsakter, der angiver det mindste antal loci for dette formål, efter undersøgelsesproceduren i artikel 77, stk. 2.
4.   Hvis en søgning med uidentificerede DNA-profiler resulterer i et match, kan hver anmodet medlemsstat med matchende data indsætte en mærkning i sin nationale database, der angiver, at der har været et match for den pågældende DNA-profil efter en anden medlemsstats søgning. Denne mærkning skal indeholde referencenummeret for den DNA-profil, der blev anvendt af den anmodende medlemsstat.
5.   Medlemsstaterne sikrer, at anmodninger som omhandlet i denne artikels stk. 1 stemmer overens med de meddelelser, der sendes i henhold til artikel 74. Disse meddelelser gengives i den praktiske håndbog, der er omhandlet i artikel 79.
Afsnit 2
Fingeraftryksdata
Artikel 10
Fingeraftryksreferencedata
1.   Medlemsstaterne sikrer tilgængeligheden af fingeraftryksreferencedata fra deres nationale databaser oprettet med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger.
2.   Fingeraftryksreferencedata må ikke indeholde yderligere data, som gør det muligt at identificere en fysisk person direkte.
3.   Uidentificerede fingeraftryksdata skal være genkendelige som sådanne.
Artikel 11
Automatiseret søgning efter fingeraftryksdata
1.   Med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger giver medlemsstaterne andre medlemsstaters nationale kontaktpunkter og Europol adgang til fingeraftryksreferencedataene i deres nationale databaser oprettet til dette formål for at foretage automatiseret søgning ved at sammenligne fingeraftryksreferencedata.
Søgninger som omhandlet i første afsnit må kun foretages i forbindelse med individuelle sager og under overholdelse af den anmodende medlemsstats nationale ret.
2.   Den anmodende medlemsstats nationale kontaktpunkt kan beslutte at bekræfte et match mellem to sæt fingeraftryksdata. Hvis det beslutter at bekræfte et match mellem to sæt fingeraftryksdata, underretter det den anmodede medlemsstat og sikrer, at mindst én kvalificeret medarbejder foretager en manuel gennemgang for at bekræfte dette match med de fingeraftryksreferencedata, der er modtaget fra den anmodede medlemsstat.
Artikel 12
Referencenumre for fingeraftryksdata
Referencenumrene for fingeraftryksdata er en kombination af følgende:
a)
et referencenummer, der i tilfælde af et match gør det muligt for medlemsstater at hente yderligere data og andre oplysninger i deres i artikel 10 omhandlede databaser med henblik på at levere dem til en, flere eller alle andre medlemsstater i overensstemmelse med artikel 47 eller til Europol i overensstemmelse med artikel 49, stk. 6
b)
et referencenummer, der i tilfælde af et match gør det muligt for Europol at hente yderligere data og andre oplysninger med henblik på denne forordnings artikel 48, stk. 1, for at levere dem til en, flere eller alle medlemsstater i overensstemmelse med forordning (EU) 2016/794
c)
en kode til angivelse af den medlemsstat, der ligger inde med fingeraftryksdataene.
Artikel 13
Principper for udveksling af fingeraftryksdata
1.   Medlemsstaterne træffer passende foranstaltninger til at sikre fortroligheden og integriteten af fingeraftryksdata, der sendes til andre medlemsstater eller Europol, herunder kryptering heraf. Europol træffer passende foranstaltninger til at sikre fortroligheden og integriteten af fingeraftryksdata, der sendes til medlemsstater, herunder kryptering heraf.
2.   Hver medlemsstat og Europol sikrer, at kvaliteten af de fingeraftryksdata, som overføres, er tilstrækkelig høj til automatiseret sammenligning. Kommissionen fastsætter ved hjælp af gennemførelsesretsakter en minimumskvalitetsstandard for at muliggøre sammenligningen af fingeraftryksdata.
3.   Fingeraftryksdata digitaliseres og overføres til de øvrige medlemsstater eller Europol i overensstemmelse med europæiske eller internationale standarder. Kommissionen vedtager gennemførelsesretsakter, der angiver de relevante europæiske eller internationale standarder, der skal anvendes af medlemsstaterne og Europol til udveksling af fingeraftryksdata.
4.   De i denne artikels stk. 2 og 3 omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 14
Søgekapacitet for fingeraftryksdata
1.   Hver medlemsstat sikrer, at dets søgningsanmodninger ikke overstiger den søgekapacitet, som den anmodede medlemsstat eller Europol har anført, for at sikre systemets parathed og undgå, at systemet overbelastes. Med det samme formål sikrer Europol, at dets søgningsanmodninger ikke overstiger den søgekapacitet, som den anmodede medlemsstat har anført.
Medlemsstaterne underretter de øvrige medlemsstater, Kommissionen, eu-LISA og Europol om deres maksimale søgekapacitet pr. dag for identificerede og uidentificerede fingeraftryksdata. Europol underretter medlemsstaterne, Kommissionen og eu-LISA om dets maksimale søgekapacitet pr. dag for identificerede og uidentificerede fingeraftryksdata. Medlemsstaterne eller Europol kan til enhver tid, herunder i hastetilfælde, øge denne søgekapacitet midlertidigt eller permanent. Hvor en medlemsstat forhøjer denne maksimale søgekapacitet, underretter den de øvrige medlemsstater, Kommissionen, eu-LISA og Europol om den nye maksimale søgekapacitet. Hvor Europol forhøjer denne maksimale søgekapacitet, underretter det medlemsstaterne, Kommissionen og eu-LISA om den nye maksimale søgekapacitet.
2.   Kommissionen vedtager gennemførelsesretsakter, der angiver det maksimale antal kandidater, der accepteres til sammenligning pr. fremsendelse, og fordelingen af uudnyttet søgekapacitet mellem medlemsstaterne, efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 15
Regler for anmodninger og svar vedrørende fingeraftryksdata
1.   En anmodning om automatiseret søgning af fingeraftryksdata må kun indeholde følgende oplysninger:
a)
den anmodende medlemsstats kode
b)
dato og tidspunkt for anmodningen samt anmodningsnummer
c)
fingeraftryksreferencedataene.
2.   Et svar på en anmodning som omhandlet i stk. 1 må kun indeholde følgende oplysninger:
a)
en angivelse af, hvorvidt der er konstateret et eller flere match eller ej
b)
dato og tidspunkt for anmodningen samt anmodningsnummer
c)
dato og tidspunkt for svaret samt svarnummer
d)
koderne for den anmodende og den anmodede medlemsstat
e)
referencenumrene på fingeraftryksdataene fra de anmodende og anmodede medlemsstater
f)
de matchende fingeraftryksdata.
3.   Medlemsstaterne sikrer, at anmodninger som omhandlet i denne artikels stk. 1 stemmer overens med de meddelelser, der sendes i henhold til artikel 74. Disse meddelelser gengives i den praktiske håndbog, der er omhandlet i artikel 79.
Afsnit 3
Køretøjsregistreringsdata
Artikel 16
Automatiseret søgning efter køretøjsregistreringsdata
1.   Med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger giver medlemsstaterne andre medlemsstaters nationale kontaktpunkter og Europol adgang til følgende nationale køretøjsregistreringsdata med henblik på at foretage automatiseret søgning i individuelle sager:
a)
data vedrørende ejeren eller indehaveren af køretøjet
b)
data vedrørende køretøjet.
2.   Søgninger som omhandlet i stk. 1 må kun foretages med følgende date:
a)
et fuldstændigt chassisnummer
b)
et fuldstændigt registreringsnummer, eller
c)
hvor dette er tilladt i henhold til den anmodede medlemsstats national ret, data vedrørende ejeren eller indehaveren af køretøjet.
3.   Søgninger som omhandlet i stk. 1 foretaget på grundlag af data vedrørende ejeren eller indehaveren af køretøjet må kun foretages for så vidt angår mistænkte eller dømte personer. Alle følgende identifikationsdata anvendes med henblik på sådanne søgninger:
a)
hvor ejeren eller indehaveren af køretøjet er en fysisk person:
i)
den fysiske persons fornavn eller fornavne
ii)
den fysiske persons efternavn eller efternavne, og
iii)
den fysiske persons fødselsdato
b)
hvor ejeren eller indehaveren af køretøjet er en juridisk person, denne juridiske persons navn.
4.   Søgninger som omhandlet i stk. 1 må kun foretages under overholdelse af den anmodende medlemsstats nationale ret.
Artikel 17
Principper for elektronisk søgning efter køretøjsregistreringsdata
1.   Til automatiseret søgning efter køretøjsregistreringsdata anvender medlemsstaterne det europæiske informationssystem vedrørende køretøjer og kørekort (Eucaris).
2.   Oplysninger, der udveksles via Eucaris, overføres i krypteret form.
3.   Kommissionen vedtager gennemførelsesretsakter, der angiver dataelementerne i de køretøjsregistreringsdata, der kan udveksles, og den tekniske procedure for Eucaris til at foretage forespørgsler i medlemsstaternes databaser. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 18
Føring af logfiler
1.   Hver medlemsstat fører logfiler over forespørgsler, som dens kompetente myndigheds personale, der er behørigt bemyndiget til at udveksle køretøjsregistreringsdata, foretager, samt logfiler over forespørgsler, som andre medlemsstater har anmodet om. Europol fører logfiler over forespørgsler, som dets behørigt bemyndigede personale foretager.
Hver medlemsstat og Europol fører logfiler over alle databehandlingsaktiviteter vedrørende køretøjsregistreringsdata. Disse logfiler omfatter følgende:
a)
hvorvidt det var en medlemsstat eller Europol, der fremsatte anmodningen om en forespørgsel; såfremt det var en medlemsstat, der fremsatte anmodningen om en forespørgsel, den pågældende medlemsstat
b)
dato og klokkeslæt for forespørgslen
c)
dato og klokkeslæt for svaret
d)
de nationale databaser, hvortil en anmodning om en forespørgsel blev sendt
e)
de nationale databaser, der gav et positivt svar.
2.   De i stk. 1 omhandlede logfiler må kun anvendes til indsamling af statistikker, til overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandling, og til sikring af datasikkerhed og -integritet. Disse logfiler beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes tre år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige for overvågningsprocedurerne.
3.   Med henblik på overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandling, har de dataansvarlige adgang til logfilerne til egenkontrol som omhandlet i artikel 55.
Afsnit 4
Ansigtsbilleder
Artikel 19
Ansigtsbilledereferencedata
1.   Medlemsstaterne sikrer tilgængeligheden af ansigtsbilledereferencedata vedrørende mistænkte, dømte personer og, hvor det er tilladt i henhold til national ret, ofre fra deres nationale databaser oprettet med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger.
2.   Ansigtsbilledereferencedata må ikke indeholde yderligere data, som gør det muligt at identificere en fysisk person direkte.
3.   Uidentificerede ansigtsbilleder skal være genkendelige som sådanne.
Artikel 20
Automatiseret søgning efter ansigtsbilleder
1.   Med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger, der kan straffes med en maksimal fængselsstraf på mindst ét år henhold til den anmodende medlemsstats nationale ret, giver medlemsstaterne andre medlemsstaters nationale kontaktpunkter og Europol adgang til ansigtsbilledereferencedataene i deres nationale databaser med henblik på at foretage automatiserede søgninger.
Søgninger som omhandlet i første afsnit må kun foretages i forbindelse med individuelle sager og under overholdelse af den anmodende medlemsstats nationale ret.
Profilering som omhandlet i artikel 11, stk. 3, i direktiv (EU) 2016/680 er forbudt.
2.   Den anmodende medlemsstats nationale kontaktpunkt kan beslutte at bekræfte et match mellem to ansigtsbilleder. Hvis det beslutter at bekræfte et match mellem to ansigtsbilleder, underretter det den anmodede medlemsstat og sikrer, at mindst én kvalificeret medarbejder foretager en manuel gennemgang for at bekræfte dette match med de ansigtsbilledereferencedata, der er modtaget fra den anmodede medlemsstat.
Artikel 21
Referencenumre for ansigtsbilleder
Referencenumrene for ansigtsbilleder er en kombination af følgende:
a)
et referencenummer, der i tilfælde af et match gør det muligt for medlemsstater at hente yderligere data og andre oplysninger i deres i artikel 19 omhandlede databaser med henblik på at levere dem til en, flere eller alle andre medlemsstater i overensstemmelse med artikel 47 eller til Europol i overensstemmelse med artikel 49, stk. 6
b)
et referencenummer, der i tilfælde af et match gør det muligt for Europol at hente yderligere data og andre oplysninger med henblik på denne forordnings artikel 48, stk. 1, for at levere dem til en, flere eller alle andre medlemsstater i overensstemmelse med forordning (EU) 2016/794
c)
en kode til angivelse af den medlemsstat, der ligger inde med ansigtsbillederne.
Artikel 22
Principper for udveksling af ansigtsbilleder
1.   Medlemsstaterne træffer passende foranstaltninger til at sikre fortroligheden og integriteten af ansigtsbilleder, der sendes til andre medlemsstater eller Europol, herunder kryptering heraf. Europol træffer passende foranstaltninger til at sikre fortroligheden og integriteten af ansigtsbilleder, der sendes til medlemsstater, herunder kryptering heraf.
2.   Hver medlemsstat og Europol sikrer, at kvaliteten af de ansigtsbilleder, som overføres, er tilstrækkelig høj til automatiseret sammenligning. Kommissionen fastsætter ved hjælp af gennemførelsesretsakter en minimumskvalitetsstandard for at muliggøre sammenligningen af ansigtsbilleder. Hvis den rapport, der er omhandlet i artikel 80, stk. 7, viser, at der er en høj risiko for falske match, reviderer Kommissionen disse gennemførelsesretsakter.
3.   Kommissionen vedtager gennemførelsesretsakter, der angiver de relevante europæiske eller internationale standarder, der skal anvendes af medlemsstaterne og Europol til udveksling af ansigtsbilleder.
4.   De i denne artikels stk. 2 og 3 omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 23
Søgekapacitet for ansigtsbilleder
1.   Hver medlemsstat sikrer, at dets søgningsanmodninger ikke overstiger den søgekapacitet, som den anmodede medlemsstat eller Europol har anført, for at sikre systemets parathed og undgå, at systemet overbelastes. Med det samme formål sikrer Europol, at dets søgningsanmodninger ikke overstiger den søgekapacitet, som den anmodede medlemsstat har anført.
Medlemsstaterne underretter de øvrige medlemsstater, Kommissionen, eu-LISA og Europol om deres maksimale søgekapacitet pr. dag for identificerede og uidentificerede ansigtsbilleder. Europol underretter medlemsstaterne, Kommissionen og eu-LISA om dets maksimale søgekapacitet pr. dag for identificerede og uidentificerede ansigtsbilleder. Medlemsstaterne eller Europol kan til enhver tid, herunder i hastetilfælde, øge denne søgekapacitet midlertidigt eller permanent. Hvor en medlemsstat forhøjer denne maksimale søgekapacitet, underretter den de andre medlemsstater Kommissionen, eu-LISA og Europol om den nye maksimale søgekapacitet. Hvor Europol forhøjer denne maksimale søgekapacitet, underretter det medlemsstaterne, Kommissionen og eu-LISA om den nye maksimale søgekapacitet.
2.   Kommissionen vedtager gennemførelsesretsakter, der angiver det maksimale antal kandidater, der accepteres til sammenligning pr. fremsendelse, og fordelingen af uudnyttet søgekapacitet mellem medlemsstaterne, efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 24
Regler for anmodninger og svar vedrørende ansigtsbilleder
1.   En anmodning om automatiseret søgning af ansigtsbilleder må kun indeholde følgende oplysninger:
a)
den anmodende medlemsstats kode
b)
dato og tidspunkt for anmodningen samt anmodningsnummer
c)
ansigtsbilledereferencedata.
2.   Et svar på en anmodning som omhandlet i stk. 1 må kun indeholde følgende oplysninger:
a)
en angivelse af, hvorvidt der er konstateret et eller flere match eller ej
b)
dato og tidspunkt for anmodningen samt anmodningsnummer
c)
dato og tidspunkt for svaret samt svarnummer
d)
koderne for den anmodende og den anmodede medlemsstat
e)
referencenumrene på ansigtsbillederne fra den anmodende og den anmodede medlemsstat
f)
de matchende ansigtsbilleder.
3.   Medlemsstaterne sikrer, at anmodninger som omhandlet i denne artikels stk. 1 stemmer overens med de meddelelser, der sendes i henhold til artikel 74. Disse meddelelser gengives i den praktiske håndbog, der er omhandlet i artikel 79.
Afsnit 5
Politiregistre
Artikel 25
Politiregistre
1.   Medlemsstaterne kan deltage i den automatiserede udveksling af politiregistre. Med henblik på sådanne udvekslinger sikrer deltagende medlemsstater tilgængeligheden af nationale politiregisterindekser, som indeholder mistænktes og dømte personers biografiske data, fra deres nationale databaser oprettet med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger. Disse datasæt skal alene indeholde følgende data, i det omfang de foreligger:
a)
fornavn eller fornavne
b)
efternavn eller efternavne
c)
kaldenavn eller kaldenavne og tidligere anvendt navn eller tidligere anvendte navne
d)
fødselsdato
e)
nationalitet eller nationaliteter
f)
fødeland
g)
køn.
2.   De data, der er omhandlet i stk. 1, litra a), b) og c), skal være pseudonymiserede.
Artikel 26
Automatiseret søgning i nationale politiregisterindekser
Med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger, der kan straffes med en maksimal fængselsstraf på mindst ét år i henhold til den anmodende medlemsstats nationale ret, giver de medlemsstater, der deltager i den automatiserede udveksling af politiregistre, andre deltagende medlemsstaters nationale kontaktpunkter og Europol adgang til data fra deres nationale politiregisterindekser med henblik på at foretage automatiserede søgninger.
Søgninger som omhandlet i første afsnit må kun foretages i forbindelse med individuelle sager og under overholdelse af den anmodende medlemsstats nationale ret.
Artikel 27
Referencenumre for politiregistre
Referencenumrene for politiregistre er en kombination af følgende:
a)
et referencenummer, der i tilfælde af match gør det muligt for medlemsstaterne at hente biografiske data og andre oplysninger i deres i artikel 25 omhandlede nationale politiregisterindekser med henblik på at levere dem til en, flere eller alle medlemsstater i overensstemmelse med artikel 44
b)
en kode til angivelse af den medlemsstat, der ligger inde med politiregistrene.
Artikel 28
Regler for anmodninger og svar vedrørende politiregistre
1.   En anmodning om automatiseret søgning i nationale politiregisterindekser må kun indeholde følgende oplysninger:
a)
den anmodende medlemsstats kode
b)
dato og tidspunkt for anmodningen samt anmodningsnummer
c)
dataene omhandlet i artikel 25, for så vidt som de foreligger.
2.   Et svar på en anmodning som omhandlet i stk. 1 må kun indeholde følgende oplysninger:
a)
en angivelse af antallet af match
b)
dato og tidspunkt for anmodningen samt anmodningsnummer
c)
dato og tidspunkt for svaret samt svarnummer
d)
koderne for den anmodende og den anmodede medlemsstat
e)
referencenumrene for politiregistrene fra de anmodede medlemsstater.
3.   Medlemsstaterne sikrer, at anmodninger som omhandlet i denne artikels stk. 1 stemmer overens med de meddelelser, der sendes i henhold til artikel 74. Disse meddelelser gengives i den praktiske håndbog, der er omhandlet i artikel 79.
Afsnit 6
Fælles bestemmelser
Artikel 29
Forsvundne personer og uidentificerede menneskelige rester
1.   Hvor en national myndighed har beføjelse hertil i medfør af nationale lovgivningsmæssige foranstaltninger som omhandlet i stk. 2, må den foretage automatiserede søgninger ved anvendelse af Prüm II-rammen alene med henblik på:
a)
at søge efter forsvundne personer i forbindelse med strafferetlig efterforskning eller af humanitære årsager
b)
at identificere menneskelige rester.
2.   Medlemsstater, der ønsker at benytte sig af den mulighed, som er fastsat i stk. 1, udpeger ved hjælp af nationale lovgivningsmæssige foranstaltninger de nationale myndigheder, der har kompetence til de deri angivne formål, og fastsætter procedurer, betingelser og kriterier, herunder de humanitære årsager på grundlag af hvilke det er tilladt at foretage automatiserede søgninger efter forsvundne personer som omhandlet i stk. 1, litra a).
Artikel 30
Nationale kontaktpunkter
Hver medlemsstat udpeger et eller flere nationale kontaktpunkter med henblik på artikel 6, 11, 16, 20 og 26.
Artikel 31
Gennemførelsesforanstaltninger
Kommissionen vedtager gennemførelsesretsakter, der angiver de tekniske ordninger, som medlemsstaterne skal træffe med hensyn til procedurerne i artikel 6, 11, 16, 20 og 26. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 32
Adgang til automatiseret udveksling af data på nationalt plan
1.   Medlemsstaterne træffer alle nødvendige foranstaltninger for at sikre, at automatiseret søgning af DNA-profiler, fingeraftryksdata, køretøjsregistreringsdata, ansigtsbilleder og politiregistre er mulig døgnet rundt 7 dage om ugen.
2.   De nationale kontaktpunkter underretter omgående hinanden, Kommissionen, eu-LISA og Europol i ethvert tilfælde, hvor den automatiserede dataudveksling ikke er tilgængelig, herunder i givet fald om alle tekniske fejl, der er årsag til denne utilgængelighed.
De nationale kontaktpunkter aftaler midlertidige alternative ordninger for udveksling af oplysninger i overensstemmelse med den gældende EU-ret og national ret, der skal anvendes, hvor den automatiseret udveksling af data ikke er tilgængelig.
3.   Hvor den automatiserede udveksling af data er utilgængelig, sørger de nationale kontaktpunkter for, at den med alle nødvendige midler og straks genetableres.
Artikel 33
Begrundelse for behandling af data
1.   Hver medlemsstat opbevarer en fortegnelse over begrundelserne for de forespørgsler, som dens kompetente myndigheder foretager.
Europol opbevarer en fortegnelse over begrundelserne for de forespørgsler, det foretager.
2.   De i stk. 1 omhandlede begrundelser skal omfatte:
a)
formålet med forespørgslen, herunder en henvisning til den specifikke sag eller undersøgelse og i givet fald til den strafbare handling
b)
en angivelse af, hvorvidt forespørgslen vedrører en mistænkt eller en person, der er dømt for en strafbar handling, et offer for en strafbar handling, en forsvundet person eller uidentificerede menneskelige rester
c)
en angivelse af, hvorvidt forespørgslen har til formål at identificere en person eller få flere data om en kendt person.
3.   De i denne artikels stk. 1 omhandlede begrundelser skal kunne spores tilbage til logfilerne omhandlet i artikel 18, 40 og 45. Disse begrundelser må kun bruges til at vurdere, hvorvidt søgningerne er forholdsmæssige og nødvendige med henblik på at forebygge, afsløre eller efterforske en strafbar handling, og til overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandling, og til sikring af datasikkerhed og -integritet. Disse begrundelser beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes tre år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige for overvågningsprocedurerne.
4.   Med henblik på vurdering af, om søgninger med det formål at forebygge, afsløre eller efterforske en strafbar handling er forholdsmæssige og nødvendige, og med henblik på overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandling, har de dataansvarlige adgang til disse begrundelser til egenkontrol som omhandlet i artikel 55.
Artikel 34
Anvendelse af det universelle meddelelsesformat
1.   For så vidt som det er muligt, anvendes den standard for det universelle meddelelsesformat (UMF-standarden), som er oprettet ved artikel 38 i forordning (EU) 2019/818, ved udviklingen af router omhandlet i nærværende forordnings artikel 35 og det europæiske politiregisterindekssystem (EPRIS).
2.   Enhver automatiseret udveksling af data i overensstemmelse med denne forordning skal anvende UMF-standarden, for så vidt som det er muligt.
KAPITEL 3
Arkitektur
Afsnit 1
Router
Artikel 35
Router
1.   Der oprettes en router med det formål at lette etableringen af forbindelser mellem medlemsstaterne og mellem medlemsstaterne og Europol, med henblik på at foretage forespørgsler i, hente og score biometriske data og med henblik på at hente alfanumeriske data i overensstemmelse med denne forordning.
2.   Routeren skal bestå af:
a)
en central infrastruktur, herunder et søgeværktøj, der muliggør samtidige forespørgsler i de nationale databaser omhandlet i artikel 5, 10 og 19 og i Europoldata
b)
en sikker kommunikationskanal mellem den centrale infrastruktur, kompetente myndigheder, der er bemyndiget til at anvende routeren i medfør af artikel 36, og Europol
c)
en sikker kommunikationsinfrastruktur mellem den centrale infrastruktur og den europæiske søgeportal, der er oprettet ved artikel 6 i forordning (EU) 2019/817 og artikel 6 i forordning (EU) 2019/818, med henblik på artikel 39.
Artikel 36
Anvendelse af routeren
Anvendelsen af routeren er forbeholdt de kompetente myndigheder i medlemsstaterne, der er bemyndiget til at få adgang til og udveksle DNA-profiler, fingeraftryksdata og ansigtsbilleder i overensstemmelse med denne forordning, og Europol i overensstemmelse med denne forordning og forordning (EU) 2016/794.
Artikel 37
Processer
1.   De kompetente myndigheder, der er bemyndiget til at anvende routeren i medfør af artikel 36, eller Europol, anmoder om en forespørgsel ved at indsende biometriske data til routeren. Routeren sender anmodningen om en forespørgsel til alle eller specifikke medlemsstaters databaser og til Europoldata samtidig med de data, som brugeren har indsendt i overensstemmelse med vedkommendes adgangsrettigheder.
2.   Ved modtagelse af en anmodning om en forespørgsel fra routeren, iværksætter hver anmodet medlemsstat straks en forespørgsel i deres databaser på en automatiseret måde. Ved modtagelse af en anmodning om en forespørgsel fra routeren, iværksætter Europol straks en forespørgsel i Europoldata på en automatiseret måde.
3.   Eventuelle match, der opstår som følge af forespørgsler som omhandlet i stk. 2, sendes tilbage til routeren på en automatiseret måde. Den anmodende medlemsstat underrettes på en automatiseret måde, hvis der ikke er noget match.
4.   Hvor den anmodende medlemsstat beslutter dette, og hvor det er relevant, rangordner routeren svarene ved at sammenligne de biometriske data anvendt til forespørgslerne og de biometriske data givet i svarene fra den anmodede medlemsstat eller de anmodede medlemsstater eller Europol.
5.   Routeren returnerer listen over matchende biometriske data og deres rangorden til routerbrugeren.
6.   Kommissionen vedtager gennemførelsesretsakter, der angiver den tekniske procedure for routerens forespørgsler i medlemsstaternes databaser og i Europoldataene, formatet for routerens svar på sådanne forespørgsler og de tekniske regler for sammenligning og rangordning af sammenfaldet mellem biometriske data. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 38
Kvalitetskontrol
Den anmodede medlemsstat kontrollerer kvaliteten af de fremsendte data ved hjælp af en automatiseret procedure.
Den anmodede medlemsstat underretter straks den anmodende medlemsstat via routeren, hvor dataene er uegnede til automatiseret sammenligning.
Artikel 39
Interoperabilitet mellem routeren og det fælles identitetsregister med henblik på adgang til retshåndhævelse
1.   Hvor udpegede myndigheder som defineret i artikel 4, nr. 20), i forordning (EU) 2019/817 og artikel 4, nr. 20), i forordning (EU) 2019/818, er bemyndiget til at anvende routeren i medfør af denne forordnings artikel 36, kan de iværksætte en forespørgsel i medlemsstaternes databaser og i Europoldata samtidig med en forespørgsel til det fælles identitetsregister, der er oprettet ved artikel 17 i forordning (EU) 2019/817 og artikel 17 i forordning (EU) 2019/818, forudsat at de relevante betingelser i henhold til EU-retten er blevet opfyldt, og at forespørgslen er iværksat i overensstemmelse med deres adgangsrettigheder. Til dette formål søger routeren i det fælles identitetsregister via den europæiske søgeportal.
2.   Forespørgsler til det fælles identitetsregister med henblik på retshåndhævelse foretages i overensstemmelse med artikel 22 i forordning (EU) 2019/817 og artikel 22 i forordning (EU) 2019/818. Ethvert resultat af sådanne forespørgsler sendes via den europæiske søgeportal.
Samtidige søgninger i medlemsstaternes databaser og i Europoldata og i det fælles identitetsregister må kun iværksættes i tilfælde, hvor der er rimelig grund til at antage, at data om en mistænkt, en gerningsmand eller et offer for en terrorhandling eller andre alvorlige strafbare handlinger som defineret i henholdsvis artikel 4, nr. 21) og 22), i forordning (EU) 2019/817 og i henholdsvis artikel 4, nr. 21 og 22, i forordning (EU) 2019/818 er lagret i det fælles identitetsregister.
Artikel 40
Føring af logfiler
1.   eu-LISA fører logfiler over alle databehandlingsaktiviteter i routeren. Disse logfiler omfatter følgende:
a)
hvorvidt det var en medlemsstat eller Europol, der fremsatte anmodningen om en forespørgsel; såfremt det var en medlemsstat, der fremsatte anmodningen om en forespørgsel, den pågældende medlemsstat
b)
dato og klokkeslæt for forespørgslen
c)
dato og klokkeslæt for svaret
d)
de nationale databaser eller Europoldata, hvortil der er sendt en anmodning om en forespørgsel
e)
de nationale databaser eller Europoldata, der har givet et svar
f)
i givet fald det forhold, at der var en samtidig forespørgsel til det fælles identitetsregister.
2.   Hver medlemsstat fører logfiler over forespørgsler, som dens kompetente myndigheders personale, der er behørigt bemyndiget til at anvende routeren, foretager, samt logfiler over forespørgsler, som andre medlemsstater har anmodet om.
Europol fører logfiler over forespørgsler, som dets behørigt bemyndigede personale foretager.
3.   De i stk. 1 og 2 omhandlede logfiler må kun anvendes til indsamling af statistikker, til overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandling, og til sikring af datasikkerhed og -integritet. Disse logfiler beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes tre år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige for overvågningsprocedurerne.
4.   Med henblik på overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandling, har de dataansvarlige adgang til logfilerne til egenkontrol som omhandlet i artikel 55.
Artikel 41
Meddelelsesprocedurer, hvor det er teknisk umuligt at anvende routeren
1.   Hvor det er teknisk umuligt at anvende routeren til at foretage forespørgsler i en eller flere nationale databaser eller i Europoldata på grund af routersvigt, underretter eu-LISA på en automatiseret måde de i artikel 36 omhandlede routerbruger. eu-LISA træffer straks foranstaltninger til at afhjælpe det forhold, der gør det teknisk umuligt at anvende routeren.
2.   Hvor det er teknisk umuligt at anvende routeren til at foretage forespørgsler i en eller flere nationale databaser på grund af svigt i den nationale infrastruktur i en medlemsstat, underretter den pågældende medlemsstat de øvrige medlemsstater, Kommissionen, eu-LISA og Europol på en automatiseret måde. Den pågældende medlemsstat træffer straks passende foranstaltninger til at afhjælpe det forhold, der gør det teknisk umuligt at anvende routeren.
3.   Hvor det er teknisk umuligt at anvende routeren til at foretage forespørgsler i Europoldata på grund af svigt i Europols infrastruktur, underretter Europol medlemsstaterne, Kommissionen og eu-LISA på en automatiseret måde. Europol træffer straks passende foranstaltninger til at afhjælpe det forhold, der gør det teknisk umuligt at anvende routeren.
Afsnit 2
EPRIS
Artikel 42
EPRIS
1.   Det europæiske politiregisterindekssystem (EPRIS) oprettes hermed. Til automatiseret søgning i nationale politiregisterindekser omhandlet i artikel 26 anvender medlemsstaterne og Europol EPRIS.
2.   EPRIS består af:
a)
en decentraliseret infrastruktur i medlemsstaterne, herunder et søgeværktøj, der muliggør samtidige forespørgsler i nationale politiregisterindekser baseret på nationale databaser
b)
en central infrastruktur, som understøtter søgeværktøjet og som muliggør samtidige forespørgsler i nationale politiregisterindekser
c)
en sikker kommunikationskanal mellem den centrale infrastruktur, medlemsstaterne og Europol.
Artikel 43
Anvendelse af EPRIS
1.   Med henblik på søgning i nationale politiregisterindekser via EPRIS anvendes mindst to af følgende datasæt:
a)
fornavn eller fornavne
b)
efternavn eller efternavne
c)
fødselsdato.
2.   Følgende datasæt kan også anvendes, hvor de foreligger:
a)
kaldenavn eller kaldenavne og tidligere anvendt navn eller tidligere anvendte navne
b)
nationalitet eller nationaliteter
c)
fødeland
d)
køn.
3.   De data, der er omhandlet i stk. 1, litra a) og b), og stk. 2, litra a), skal være pseudonymiserede.
Artikel 44
Processer
1.   Hvor en medlemsstat eller Europol anmoder om en forespørgsel, skal den eller det indsende de data, der er omhandlet i artikel 43.
EPRIS sender anmodningen om en forespørgsel til medlemsstaternes nationale politiregisterindekser med de data, som den anmodende medlemsstat eller Europol har indsendt, og i overensstemmelse med denne forordning.
2.   Ved modtagelse af anmodningen om en forespørgsel fra EPRIS iværksætte hver af de anmodede medlemsstater straks en forespørgsel i deres nationale politiregistre på en automatiseret måde.
3.   Eventuelle match, der opstår som følge af forespørgsler som omhandlet i stk. 1 i hver anmodet medlemsstats politiregisterindekser, sendes på en automatiseret måde tilbage til EPRIS.
4.   EPRIS returnerer listen over match til den anmodende medlemsstat eller Europol på en automatiseret måde. Listen over match skal angive matchets kvalitet og den medlemsstat eller de medlemsstater, hvis politiregisterindekser indeholder data, der har ført til matchet eller matchene.
5.   Efter modtagelse af listen over match beslutter den anmodende medlemsstat, hvilke match det er nødvendigt at følge op på, og sender en begrundet opfølgningsanmodning med de data, der er omhandlet i artikel 25 og 27, og eventuelle yderligere relevante oplysninger til den anmodede medlemsstat eller de anmodede medlemsstater via SIENA. Den anmodede medlemsstat eller de anmodede medlemsstater behandler straks sådanne anmodninger for at beslutte, hvorvidt de vil dele de data, der er lagret i dens eller deres database.
6.   Kommissionen vedtager gennemførelsesretsakter, der angiver den tekniske procedure for forespørgsler fra EPRIS i medlemsstaternes politiregisterindekser og formatet for og det maksimale antal svar. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 45
Føring af logfiler
1.   Hver deltagende medlemsstat og Europol fører logfiler over alle databehandlingsaktiviteter i EPRIS. Disse logfiler omfatter følgende:
a)
hvorvidt det var en medlemsstat eller Europol, der fremsatte anmodningen om en forespørgsel; såfremt det var en medlemsstat, der fremsatte anmodningen om en forespørgsel, den pågældende medlemsstat
b)
dato og klokkeslæt for forespørgslen
c)
dato og klokkeslæt for svaret
d)
de nationale databaser, hvortil en forespørgsel blev sendt
e)
de nationale databaser, der gav et svar.
2.   Hver deltagende medlemsstat fører logfiler over de anmodninger om forespørgsler, som dens kompetente myndigheders personale, der er behørigt bemyndiget til at anvende EPRIS, foretager. Europol fører logfiler over anmodninger om forespørgsler, som dets behørigt bemyndigede personale foretager.
3.   De i stk. 1 og 2 omhandlede logfiler må kun anvendes til indsamling af statistikker, til overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandling, og til at sikring af datasikkerhed og -integritet. Disse logfiler beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes tre år efter deres oprettelse. Er de imidlertid nødvendige for overvågningsprocedurer, som allerede er indledt, slettes de, når de ikke længere er nødvendige for overvågningsprocedurerne.
4.   Med henblik på overvågning af databeskyttelse, herunder kontrol af antageligheden af en forespørgsel og lovligheden af databehandling, har de dataansvarlige adgang til logfilerne til egenkontrol som omhandlet i artikel 55.
Artikel 46
Meddelelsesprocedurer, hvor det er teknisk umuligt at anvende EPRIS
1.   Hvor det er teknisk umuligt at anvende EPRIS til at foretage forespørgsler i en eller flere nationale politiregisterindekser på grund af svigt i Europols infrastruktur, underretter Europol medlemsstaterne på en automatiseret måde. Europol træffer straks foranstaltninger til at afhjælpe det forhold, der gør det teknisk umuligt at anvende EPRIS.
2.   Hvor det er teknisk umuligt at anvende EPRIS til at foretage forespørgsler i en eller flere nationale politiregisterindekser på grund af svigt i den nationale infrastruktur i en medlemsstat, underretter den pågældende medlemsstat de øvrige medlemsstater, Kommissionen og Europol på en automatiseret måde. Medlemsstaterne træffer straks foranstaltninger til at afhjælpe det forhold, der gør det teknisk umuligt at anvende EPRIS.
KAPITEL 4
Udveksling af data efter et match
Artikel 47
Udveksling af centrale data
1.   Et sæt af centrale data returneres via routeren inden for 48 timer, efter at alle følgende betingelser er opfyldt:
a)
De procedurer, der er omhandlet i artikel 6, 11 eller 20, viser et match mellem de data, der anvendes til søgningen, og de data, der lagres i den anmodede medlemsstats eller de anmodede medlemsstaters database.
b)
En kvalificeret medarbejder i den anmodende medlemsstat, jf. artikel 6, stk. 6, artikel 11, stk. 2 og artikel 20, stk. 2, eller, i tilfælde af DNA-profiler omhandlet i artikel 6, stk. 7, i den anmodede medlemsstats nationale kontaktpunkt har manuelt bekræftet det i dette stykkes litra a) omhandlede match.
c)
Den anmodende medlemsstat eller, i tilfælde af DNA-profiler omhandlet i artikel 6, stk. 7, den anmodede medlemsstat har videregivet en beskrivelse af kendsgerningerne og en angivelse af den tilgrundliggende lovovertrædelse ved brug af den fælles tabel over lovovertrædelser, der er fastsat i en gennemførelsesretsakt, der skal vedtages i henhold til artikel 11b, stk. 1, litra a), i rammeafgørelse 2009/315/RIA, med henblik på at vurdere anmodningens forholdsmæssighed, herunder alvoren af den lovovertrædelse, for hvilken søgningen blev foretaget, i overensstemmelse med national ret i den medlemsstat, der leverer sættet af centrale data.
2.   Hvor en medlemsstat i henhold til dens nationale ret først kan levere et særligt sæt af centrale data efter at have indhentet en retskendelse, kan medlemsstaten fravige de frister, der er fastsat i stk. 1, i det omfang, det er nødvendigt for at indhente en sådan kendelse.
3.   Det i denne artikels stk. 1 omhandlede sæt af centrale data returneres af den anmodede medlemsstat eller, i tilfælde af DNA-profiler omhandlet i artikel 6, stk. 7, af den anmodende medlemsstat.
4.   Hvor det bekræftede match vedrører identificerede data for en person, skal det i stk. 1 omhandlede sæt af centrale data indeholde følgende data, i det omfang de foreligger:
a)
fornavn eller fornavne
b)
efternavn eller efternavne
c)
kaldenavn eller kaldenavne og tidligere anvendt navn eller tidligere anvendte navne
d)
fødselsdato
e)
nationalitet eller nationaliteter
f)
fødeby og -land
g)
køn
h)
den dato og det sted, hvor de biometriske data blev indsamlet
i)
den strafbare handling, med hensyn til hvilken de biometriske data blev indsamlet
j)
straffesagsnummeret
k)
den kompetente myndighed, der er ansvarlig for straffesagen.
5.   Hvor det bekræftede match vedrører uidentificerede data eller spor, skal det i stk. 1 omhandlede sæt af centrale data, indeholde følgende data, i det omfang de foreligger:
a)
den dato og det sted, hvor de biometriske data blev indsamlet
b)
den strafbare handling, med hensyn til hvilken de biometriske data blev indsamlet
c)
straffesagsnummeret
d)
den kompetente myndighed, der er ansvarlig for straffesagen.
6.   Beslutningen om, hvorvidt den anmodede medlemsstat eller, i tilfælde af DNA-profiler omhandlet i artikel 6, stk. 7, den anmodende medlemsstat skal returnere centrale data, træffes af et menneske.
KAPITEL 5
Europol
Artikel 48
Medlemsstaternes adgang til biometriske data, der er meddelt af tredjelande og lagret hos Europol
1.   Medlemsstaterne har i overensstemmelse med forordning (EU) 2016/794 adgang til og kan søge via routeren i biometriske data, som tredjelande har meddelt Europol, med henblik på artikel 18, stk. 2, litra a), b) og c), i forordning (EU) 2016/794.
2.   Hvor en søgning som omhandlet i stk. 1 resulterer i et match mellem de data, der anvendes til søgningen, og data, der er meddelt af tredjelande og lagret hos Europol, finder opfølgningen sted i overensstemmelse med forordning (EU) 2016/794.
Artikel 49
Europols adgang til data lagret i medlemsstaternes databaser med data meddelt af tredjelande
1.   Hvor det er nødvendigt for at nå målsætningerne i artikel 3 i forordning (EU) 2016/794, har Europol i overensstemmelse med nævnte forordning og nærværende forordning adgang til data, som medlemsstaterne lagrer i deres nationale databaser, og politiregisterindekser.
2.   Europols forespørgsler, der foretages med biometriske data som søgekriterium, foretages ved brug af routeren.
3.   Europols forespørgsler, der foretages med køretøjsregistreringsdata som søgekriterium, foretages ved brug af Eucaris.
4.   Europols forespørgsler, der foretages med mistænktes og dømte personers biografiske data som omhandlet i artikel 25 som søgekriterium, foretages ved brug af EPRIS.
5.   Europol foretager kun søgninger med data, som er meddelt af tredjelande, i overensstemmelse med denne artikels stk. 1-4, hvor det er nødvendigt for, at det kan udføre sine opgaver med henblik på artikel 18, stk. 2, litra a) og c), i forordning (EU) 2016/794.
6.   Hvor de procedurer, der er omhandlet i artikel 6, 11 eller 20, viser et match mellem de data, der er anvendt til søgningen, og data i den anmodede medlemsstats eller de anmodede medlemsstaters nationale database, underretter Europol kun den berørte medlemsstat eller de berørte medlemsstater.
Den anmodede medlemsstat beslutter, hvorvidt der skal returneres et sæt centrale data via routeren, inden for 48 timer, efter at alle følgende betingelser er opfyldt:
a)
En kvalificeret Europol-medarbejder har manuelt bekræftet et match.
b)
Europol har videregivet en beskrivelse af kendsgerningerne og en angivelse af den tilgrundliggende lovovertrædelse ved hjælp af den fælles tabel lovovertrædelser, der er fastsat i en gennemførelsesretsakt, der skal vedtages i henhold til artikel 11b, stk. 1, litra a), i rammeafgørelse 2009/315/RIA, med henblik på at vurdere anmodningens forholdsmæssighed, herunder alvoren af den lovovertrædelse, for hvilken søgningen blev foretaget, i overensstemmelse med national ret i den medlemsstat, der leverer sættet af centrale data.
c)
Navnet på det tredjeland, som meddelte dataene, er blevet videregivet.
Hvor en medlemsstat i henhold til dens national ret først kan levere et særligt sæt af centrale data efter at have indhentet en retskendelse, kan medlemsstaten fravige de frister, der er fastsat i stk. 2, i det omfang, det er nødvendigt for at indhente en sådan kendelse.
Hvor det bekræftede match vedrører identificerede data for en person, skal det i stk. 2 omhandlede sæt af centrale data indeholde følgende data, i det omfang de foreligger:
a)
fornavn eller fornavne
b)
efternavn eller efternavne
c)
kaldenavn eller kaldenavne og tidligere anvendt navn eller tidligere anvendte navne
d)
fødselsdato
e)
nationalitet eller nationaliteter
f)
fødeby og -land
g)
køn
h)
den dato og det sted, hvor de biometriske data blev indsamlet
i)
den strafbare handling, med hensyn til hvilken de biometriske data blev indsamlet
j)
straffesagsnummeret
k)
den kompetente myndighed, der er ansvarlig for straffesagen.
Hvor det bekræftede match vedrører uidentificerede data eller spor, skal det i stk. 2 omhandlede sæt af centrale data indeholde følgende data, i det omfang de foreligger:
a)
den dato og det sted, hvor de biometriske data blev indsamlet
b)
den strafbare handling, med hensyn til hvilken de biometriske data blev indsamlet
c)
straffesagsnummeret
d)
den kompetente myndighed, der er ansvarlig for straffesagen.
Beslutningen om, hvorvidt den anmodede medlemsstat skal returnere centrale data, træffes af et menneske.
7.   Europols anvendelse af oplysninger, der er fremkommet ved en forespørgsel i henhold til denne artikel og ved udveksling af et sæt af centrale data i overensstemmelse med stk. 6, er betinget af samtykke fra den medlemsstat, i hvis database matchet fandt sted. Hvor medlemsstaten giver tilladelse til at benytte sådanne oplysninger, er Europols behandling reguleres af forordning (EU) 2016/794.
KAPITEL 6
Databeskyttelse
Artikel 50
Formålet med databehandlingen
1.   Behandling af personoplysninger modtaget af en medlemsstat eller Europol er kun tilladt til de formål, hvortil dataene blev videregivet af den medlemsstat, der leverede dataene i overensstemmelse med denne forordning. Behandling til andre formål er kun tilladt efter forudgående tilladelse fra den medlemsstat, der leverede dataene.
2.   Behandling af data leveret af en medlemsstat eller Europol i medfør af artikel 6, 11, 16, 20 eller 26 er kun tilladt, hvor det er nødvendigt med henblik på at:
a)
fastslå, hvorvidt de sammenlignede DNA-profiler, fingeraftryksdata, køretøjsregistreringsdata, ansigtsbilleder eller politiregistre matcher
b)
udveksle et sæt af centrale data i overensstemmelse med artikel 47
c)
udarbejde og indgive en politi- eller retsanmodning om retlig bistand, hvor disse data matcher
d)
føring af logfiler som fastsat i artikel 18, 40 og 45.
3.   De data, som en medlemsstat eller Europol modtager, slettes umiddelbart efter automatiserede svar på søgninger, medmindre yderligere behandling er nødvendig med henblik på de formål, der er omhandlet i stk. 2, eller er tilladt i overensstemmelse med stk. 1.
4.   Medlemsstaterne foretager, inden de forbinder deres nationale databaser med routeren eller EPRIS, en konsekvensanalyse vedrørende databeskyttelse som omhandlet i artikel 27 i direktiv (EU) 2016/680 og, hvor det er relevant, hører tilsynsmyndigheden som fastsat i nævnte direktivs artikel 28. Tilsynsmyndigheden kan anvende alle de beføjelser, der er omhandlet i artikel 47 i nævnte direktiv, i overensstemmelse med nævnte direktivs artikel 28, stk. 5.
Artikel 51
Nøjagtighed, relevans og lagring af data
1.   Medlemsstaterne og Europol sikrer nøjagtigheden og relevansen af personoplysninger, der behandles i medfør af denne forordning. Hvor en medlemsstat eller Europol bliver opmærksom på, at der er blevet leveret data, som er ukorrekte eller ikke længere er ajourførte, eller som ikke burde have været leveret, meddeles dette uden unødigt ophold til den medlemsstat, der modtog dataene, eller til Europol. Alle berørte medlemsstater eller Europol skal uden unødigt ophold berigtige eller slette dataene i overensstemmelse hermed. Hvor den medlemsstat, der modtog dataene, eller Europol har grund til at tro, at de leverede data er ukorrekte eller bør slettes, underretter den eller det den medlemsstat, der har leveret dataene, uden unødigt ophold.
2.   Medlemsstaterne og Europol indfører passende foranstaltninger til ajourføring af de data, der er relevante med henblik på denne forordning.
3.   Hvor en registreret bestrider nøjagtigheden af data, som en medlemsstat eller Europol er i besiddelse af, hvor den pågældende medlemsstat eller Europol ikke kan fastslå nøjagtigheden på pålidelig vis, og hvor den registrerede anmoder herom, forsynes de pågældende data med en påtegning. Hvor der findes en sådan påtegning, må medlemsstaterne eller Europol kun fjerne den med den registreredes tilladelse eller på grundlag af en afgørelse truffet af den kompetente domstol, den nationale tilsynsmyndighed eller Den Europæiske Tilsynsførende for Databeskyttelse, alt efter hvad der er relevant.
4.   Data, der ikke skulle have været leveret eller modtaget, slettes. Retmæssigt leverede og modtagne data slettes:
a)
hvor de ikke eller ikke længere er nødvendige til det formål, hvortil de er leveret
b)
efter udløbet af den maksimale periode for opbevaring af data fastsat i den nationale ret i den medlemsstat, der har leveret dataene, hvor denne medlemsstat har underrettet den medlemsstat, der har modtaget dataene, eller Europol om denne maksimale periode på tidspunktet for levering af dataene, eller
c)
efter udløbet af den maksimale periode for opbevaring af data fastsat i forordning (EU) 2016/794.
Hvor der er grund til at tro, at sletningen af data vil være til skade for den registreredes interesser, begrænses behandlingen af disse data i stedet for sletning. Hvor behandlingen af data er blevet begrænset, må dataene kun behandles til det formål, der forhindrede deres sletning.
Artikel 52
Databehandler
1.   eu-LISA er databehandler i den i artikel 3, nr. 12), i forordning (EU) 2018/1725 anvendte betydning i forbindelse med behandling af personoplysninger via routeren.
2.   Europol er databehandler i den i artikel 3, nr. 12), i forordning (EU) 2018/1725 anvendte betydning i forbindelse med behandling af personoplysninger via EPRIS.
Artikel 53
Databehandlingssikkerhed
1.   Medlemsstaternes kompetente myndigheder, eu-LISA og Europol sørger for sikkerheden af behandlingen af personoplysninger i henhold til denne forordning. Medlemsstaternes kompetente myndigheder, eu-LISA og Europol samarbejder om sikkerhedsrelaterede opgaver.
2.   Uden at det berører artikel 33 i forordning (EU) 2018/1725 og artikel 32 i forordning (EU) 2016/794, træffer eu-LISA og Europol de nødvendige foranstaltninger til at sørge for sikkerheden af henholdsvis routeren og EPRIS og for deres tilhørende kommunikationsinfrastruktur.
3.   eu-LISA træffer de nødvendige foranstaltninger vedrørende routeren, og Europol træffer de nødvendige foranstaltninger vedrørende EPRIS, med henblik på at:
a)
beskytte data fysisk, herunder ved at udarbejde beredskabsplaner for beskyttelse af kritisk infrastruktur
b)
forhindre personer uden bemyndigelse i at få adgang til databehandlingsudstyr og -installationer
c)
forhindre uautoriseret læsning, kopiering, ændring eller fjernelse af datamedier
d)
forhindre uautoriseret indlæsning af data samt uautoriseret læsning, ændring eller sletning af registrerede personoplysninger
e)
forhindre uautoriseret behandling af data samt uautoriseret kopiering, ændring eller sletning af data
f)
forhindre personer uden bemyndigelse i at bruge automatiserede databehandlingssystemer ved anvendelse af datakommunikationsudstyr
g)
sikre, alene ved hjælp af individuelle brugeridentiteter og fortrolige adgangsmetoder, at personer, der er bemyndiget til at have adgang til routeren eller EPRIS, alt efter hvad der er relevant, kun har adgang til de data, der er omfattet af deres bemyndigelse til adgang
h)
sikre, at det er muligt at kontrollere og fastslå, til hvilke organer personoplysninger kan leveres ved brug af datatransmissionsudstyr
i)
sikre, at det er muligt at kontrollere og fastslå, hvilke data der er blevet behandlet i routeren eller EPRIS, alt efter hvad der er relevant, og hvornår, af hvem og til hvilket formål de er blevet behandlet
j)
forhindre uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger under overførsel af personoplysninger til eller fra routeren eller EPRIS, alt efter hvad der er relevant, eller under transport af datamedier, navnlig ved hjælp af passende krypteringsteknikker
k)
sikre, at de installerede systemer i tilfælde af afbrydelse kan genetableres til normal drift
l)
sikre pålidelighed ved at sørge for, at eventuelle funktionsfejl i routeren eller EPRIS, alt efter hvad der er relevant, indberettes behørigt
m)
kontrollere effektiviteten af sikkerhedsforanstaltningerne omhandlet i dette stykke og træffe de nødvendige organisatoriske foranstaltninger vedrørende intern overvågning for at sikre overholdelsen af denne forordning og for at vurdere disse sikkerhedsforanstaltninger i lyset af ny teknologisk udvikling.
De nødvendige foranstaltninger omhandlet i første afsnit omfatter en sikkerhedsplan, en driftskontinuitetsplan og en katastrofeberedskabsplan
Artikel 54
Sikkerhedshændelser
1.   Enhver hændelse, der har eller kan have indvirkning på sikkerheden af routeren eller EPRIS og kan forårsage skade på eller tab af data lagret i, anses for at være en sikkerhedshændelse, især hvor der kan have været uautoriseret adgang til data, eller hvor tilgængeligheden, integriteten og fortroligheden af data er eller kan være blevet bragt i fare.
2.   I tilfælde af en sikkerhedshændelse, der vedrører routeren, samarbejder eu-LISA og de berørte medlemsstater eller, i givet fald, Europol med hinanden med henblik på at sikre en hurtig, effektiv og passende reaktion.
3.   I tilfælde af en sikkerhedshændelse, der vedrører EPRIS, samarbejder de berørte medlemsstater og Europol med hinanden med henblik på at sikre en hurtig, effektiv og passende reaktion.
4.   Medlemsstaterne underretter uden unødigt ophold deres kompetente myndigheder om eventuelle sikkerhedshændelser.
Uden at det berører artikel 92 i forordning (EU) 2018/1725 og i tilfælde af en sikkerhedshændelse, der vedrører routerens centrale infrastruktur, underretter eu-LISA cybersikkerhedstjenesten for Unionens institutioner, organer, kontorer og agenturer (CERT-EU) om væsentlige cybertrusler, væsentlige sårbarheder og væsentlige hændelser uden unødigt ophold og under alle omstændigheder senest 24 timer efter, at eu-LISA er blevet bekendt med dem. Anvendelige og relevante tekniske detaljer om cybertrusler, sårbarheder og hændelser, der gør det muligt at foretage proaktiv opsporing, reagere på hændelser eller træffe afhjælpende foranstaltninger, skal uden unødigt ophold meddeles til CERT-EU.
Uden at det berører artikel 34 i forordning (EU) 2016/794 og artikel 92 i forordning (EU) 2018/1725 og i tilfælde af en sikkerhedshændelse, der vedrører EPRIS' centrale infrastruktur, underretter Europol CERT-EU om væsentlige cybertrusler, væsentlige sårbarheder og væsentlige hændelser uden unødigt ophold og under alle omstændigheder senest 24 timer efter, at Europol er blevet bekendt med dem. Anvendelige og relevante tekniske detaljer om cybertrusler, sårbarheder og hændelser, der gør det muligt at foretage proaktiv opsporing, reagere på hændelser eller træffe afhjælpende foranstaltninger, skal uden unødigt ophold meddeles til CERT-EU.
5.   De berørte medlemsstater og EU-agenturer giver straks oplysninger til medlemsstaterne og Europol om en sikkerhedshændelse, der har eller kan have indvirkning på routerens drift eller på tilgængeligheden, integriteten og fortroligheden af dataene, og der rapporteres herom i overensstemmelse med den hændelsesstyringsplan, som eu-LISA skal udforme.
6.   De berørte medlemsstater og EU-agenturer giver straks oplysninger til medlemsstaterne om en sikkerhedshændelse, der har eller kan have indvirkning på EPRIS' drift eller på tilgængeligheden, integriteten og fortroligheden af dataene, og der rapporteres herom i overensstemmelse med den hændelsesstyringsplan, som Europol skal udforme.
Artikel 55
Egenkontrol
1.   Medlemsstaterne sikrer, at enhver myndighed, der har ret til adgang til at anvende Prüm II-rammen, træffer de foranstaltninger, der er nødvendige for at overvåge dets overholdelse af denne forordning, og samarbejder, hvor det er nødvendigt, med tilsynsmyndigheden. Europol træffer de foranstaltninger, der er nødvendige for at overvåge dets overholdelse af denne forordning, og samarbejder, hvor det er nødvendigt, med Den Europæiske Tilsynsførende for Databeskyttelse.
2.   De dataansvarlige gennemfører de nødvendige foranstaltninger for effektivt at overvåge, at databehandlingen overholder denne forordning, herunder ved hyppig kontrol af de i artikel 18, 40 og 45 omhandlede logfiler. De samarbejder, hvor det er nødvendigt og i passende omfang, med tilsynsmyndighederne eller med Den Europæiske Tilsynsførende for Databeskyttelse.
Artikel 56
Sanktioner
Medlemsstaterne sikrer, at enhver form for misbrug af data, databehandling eller udveksling af data i strid med denne forordning er strafbar i overensstemmelse med national ret. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.
Artikel 57
Ansvar
Hvis en medlemsstat eller, når det foretager forespørgsler i overensstemmelse med artikel 49, Europol ikke overholder sine forpligtelser i henhold til denne forordning og derved forårsager skade på routeren eller EPRIS, er den pågældende medlemsstat eller Europol ansvarlig for sådan skade, medmindre og i det omfang eu-LISA, Europol eller en anden medlemsstat, der er retligt forpligtet af denne forordning, undlod at træffe rimelige foranstaltninger til at forhindre skaden i at ske eller til at begrænse dens omfang.
Artikel 58
Revision ved Den Europæiske Tilsynsførende for Databeskyttelse
1.   Den Europæiske Tilsynsførende for Databeskyttelse sikrer, at der mindst hvert fjerde år foretages en revision af eu-LISA's og Europols aktiviteter til behandling af personoplysninger i forbindelse med denne forordning i overensstemmelse med relevante internationale revisionsstandarder. Europa-Parlamentet, Rådet, Kommissionen, medlemsstaterne og det berørte EU-agentur tilsendes en rapport om denne revision. eu-LISA og Europol gives mulighed for at fremsætte bemærkninger, inden rapporterne vedtages.
2.   eu-LISA og Europol udleverer de oplysninger, som Den Europæiske Tilsynsførende for Databeskyttelse anmoder om, giver Den Europæiske Tilsynsførende for Databeskyttelse adgang til alle de dokumenter, denne anmoder om, og til deres i artikel 40 og 45 omhandlede logfiler og giver til enhver tid Den Europæiske Tilsynsførende for Databeskyttelse adgang til alle deres lokaler. Dette stykke berører ikke Den Europæiske Tilsynsførende for Databeskyttelses beføjelser i henhold til artikel 58 i forordning (EU) 2018/1725 og, for så vidt angår Europol, i henhold til artikel 43, stk. 3, i forordning (EU) 2016/794.
Artikel 59
Samarbejde mellem tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse
1.   Tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse, der hver især handler inden for deres respektive beføjelser, samarbejder aktivt inden for rammerne af deres respektive ansvarsområder for at sikre et koordineret tilsyn med anvendelsen af denne forordning, navnlig hvis Den Europæiske Tilsynsførende for Databeskyttelse eller en tilsynsmyndighed finder store uoverensstemmelser mellem medlemsstaternes praksis eller finder potentielt ulovlige overførsler ved hjælp af kommunikationskanalerne i Prüm II-rammen.
2.   I de i denne artikels stk. 1 omhandlede tilfælde sikres det koordinerede tilsyn i overensstemmelse med artikel 62 i forordning (EU) 2018/1725.
3.   To år efter idriftsættelsen af routeren og EPRIS og derefter hvert andet år sender Det Europæiske Databeskyttelsesråd en rapport om sine aktiviteter i henhold til denne artikel til Europa-Parlamentet, Rådet, Kommissionen, eu-LISA og Europol. Denne rapport skal indeholde et kapitel om hver medlemsstat, som udarbejdes af den pågældende medlemsstats tilsynsmyndighed.
Artikel 60
Overførsel af personoplysninger til tredjelande og internationale organisationer
En medlemsstat må kun overføre personoplysninger indhentet i henhold til denne forordning til et tredjeland eller en international organisation i overensstemmelse med kapitel V i direktiv (EU) 2016/680, og hvor den anmodede medlemsstat har givet sin tilladelse inden overførslen.
Europol må kun overføre personoplysninger indhentet i henhold til denne forordning til et tredjeland eller en international organisation, hvor betingelserne i artikel 25 i forordning (EU) 2016/794 er opfyldt, og hvor den anmodede medlemsstat har givet sin tilladelse inden overførslen.
Artikel 61
Sammenhæng med andre retsakter om databeskyttelse
Enhver behandling af personoplysninger med henblik på denne forordning foretages i overensstemmelse med dette kapitel og med direktiv (EU) 2016/680 eller forordning (EU) 2018/1725, (EU) 2016/794 eller (EU) 2016/679, alt efter hvad der finder anvendelse.
KAPITEL 7
Ansvarsområder
Artikel 62
Ansvaret for passende omhu
Medlemsstaterne og Europol udviser passende omhu ved vurderingen af, om den automatiserede udveksling af data falder ind under formålet med Prüm II-rammen, der er fastsat i artikel 2, og om den opfylder betingelserne deri, navnlig med hensyn til overholdelsen af grundlæggende rettigheder.
Artikel 63
Uddannelse
Medlemsstaternes kompetente myndigheders, tilsynsmyndigheders og Europols bemyndigede personale skal gives tilstrækkelige ressourcer og uddannelse, alt efter hvad der er relevant, herunder i databeskyttelse og nøjagtig gennemgang af match, til at kunne udføre opgaverne i henhold til denne forordning.
Artikel 64
Medlemsstaternes ansvarsområder
1.   Hver medlemsstat er ansvarlig for:
a)
forbindelsen til routerens infrastruktur
b)
integrationen af sine eksisterende nationale systemer og infrastrukturer med routeren
c)
organisationen, forvaltningen, driften og vedligeholdelsen af sin eksisterende nationale infrastruktur og dens forbindelse til routeren
d)
forbindelsen til EPRIS' infrastruktur
e)
integrationen af sine eksisterende nationale systemer og sin eksisterende nationale infrastruktur med EPRIS
f)
organisationen, forvaltningen, driften og vedligeholdelsen af sin eksisterende nationale infrastruktur og dens forbindelse til EPRIS
g)
forvaltningen af og ordningerne for adgangen for sine kompetente myndigheders behørigt bemyndigede personale til routeren i overensstemmelse med denne forordning og oprettelsen og den regelmæssige ajourføring af en liste over disse medarbejdere og deres profiler
h)
forvaltningen af og ordningerne for adgangen for sine kompetente myndigheders behørigt bemyndigede personale til EPRIS i overensstemmelse med denne forordning og oprettelsen og den regelmæssige ajourføring af en liste over disse medarbejdere og deres profiler
i)
forvaltningen af og ordningerne for adgangsretten for sine kompetente myndigheders behørigt bemyndigede personale til Eucaris i overensstemmelse med denne forordning og oprettelsen og den regelmæssige ajourføring af en liste over disse medarbejdere og deres profiler
j)
den manuelle bekræftelse af et match, foretaget af kvalificeret personale, som omhandlet i artikel 6, stk. 6, artikel 6, stk. 7, artikel 11, stk. 2, og artikel 20, stk. 2
k)
sikring af tilgængeligheden af de data, der er nødvendige for udveksling af data i overensstemmelse med artikel 5, 10, 16, 19 og 25
l)
udveksling af oplysninger i overensstemmelse med artikel 6, 11, 16, 20 og 26
m)
berigtigelse, ajourføring eller sletning af data, der er modtaget fra en anmodet medlemsstat, inden for 48 timer efter meddelelsen fra den anmodede medlemsstat om, at de indsendte data var ukorrekte, ikke længere er ajourførte eller var overført ulovligt
n)
overholdelse af de datakvalitetskrav, der er fastsat i denne forordning.
2.   Hver medlemsstat er ansvarlig for at forbinde sine kompetente myndigheder med routeren, EPRIS og Eucaris.
Artikel 65
Europols ansvarsområder
1.   Europol er ansvarligt for forvaltningen af og ordningerne for dets behørigt bemyndigede personales adgang til routeren, EPRIS og Eucaris i overensstemmelse med denne forordning.
2.   Europol er ansvarligt for routerens behandling af forespørgsler om Europoldata. Europol tilpasser sine informationssystemer i overensstemmelse hermed.
3.   Europol er ansvarligt for enhver teknisk tilpasning af Europols infrastruktur, der er nødvendig for at etablere forbindelsen til routeren og Eucaris.
4.   Uden at det berører Europols søgninger i medfør af artikel 49, har Europol ikke adgang til nogen af de personoplysninger, der behandles via EPRIS.
5.   Europol er ansvarligt for udviklingen af EPRIS i samarbejde med medlemsstaterne. EPRIS skal tilvejebringe de funktionaliteter, der er fastsat i artikel 42-46.
Europol er ansvarligt for den tekniske forvaltning af EPRIS. Den tekniske forvaltning af EPRIS består af alle de opgaver og tekniske løsninger, der er nødvendige for, at EPRIS' centrale infrastruktur kan fungere og levere uafbrudte tjenester til medlemsstaterne døgnet rundt alle ugens dage i overensstemmelse med denne forordning. Det omfatter den vedligeholdelse og tekniske udvikling, der er nødvendig for at sikre, at EPRIS fungerer på et tilfredsstillende niveau for så vidt angår teknisk kvalitet, særligt hvad angår svartid for indgivelse af anmodninger til de nationale databaser i overensstemmelse med de tekniske specifikationer.
6.   Europol sørger for uddannelse i den tekniske anvendelse af EPRIS.
7.   Europol er ansvarligt for de procedurer, der er fastsat i artikel 48 og 49.
Artikel 66
eu-LISA's ansvarsområder under routerens udformnings- og udviklingsfase
1.   eu-LISA sikrer, at routerens centrale infrastruktur drives i overensstemmelse med denne forordning.
2.   Routeren hostes af eu-LISA på dettes tekniske anlæg og leverer de funktionaliteter, der er fastsat i denne forordning, i overensstemmelse med de i artikel 67, stk. 1, omhandlede betingelser for sikkerhed, tilgængelighed, kvalitet og funktionsdygtighed.
3.   eu-LISA er ansvarligt for udviklingen af routeren og for eventuelle tekniske tilpasninger, der er nødvendige for routerens drift.
4.   eu-LISA har ikke adgang til nogen af de personoplysninger, der behandles gennem routeren.
5.   eu-LISA fastlægger udformningen af routerens fysiske arkitektur, herunder dens sikre kommunikationsinfrastruktur og de tekniske specifikationer, og udviklingen heraf for så vidt angår den centrale infrastruktur og den sikre kommunikationsinfrastruktur. eu-LISA's bestyrelse skal godkende udformningen med forbehold af en gunstig udtalelse fra Kommissionen. eu-LISA gennemfører også eventuelle nødvendige tilpasninger af de interoperabilitetskomponenter, der følger af etableringen af routeren som fastsat i denne forordning.
6.   eu-LISA udvikler og implementerer routeren hurtigst muligt efter Kommissionens vedtagelse af foranstaltningerne fastsat i artikel 37, stk. 6. Dette udviklingsarbejdet omfatter udarbejdelse og gennemførelse af de tekniske specifikationer, afprøvning og overordnet projektstyring og -koordinering.
7.   I udformnings- og udviklingsfasen mødes programstyringsrådet, der er omhandlet i artikel 54 i forordning (EU) 2019/817 og artikel 54 i forordning (EU) 2019/818, regelmæssigt. Den sikrer en hensigtsmæssig forvaltning af routerens udformnings- og udviklingsfase.
Programstyringsrådet indgiver hver måned skriftlige rapporter om projektets fremskridt til eu-LISA's bestyrelse. Programstyringsrådet har ingen beslutningskompetence eller noget mandat til at repræsentere medlemmerne af eu-LISA's bestyrelse.
Den i artikel 78 omhandlede rådgivende gruppe for interoperabilitet mødes regelmæssigt, indtil routeren sættes i drift. Den aflægger efter hvert møde rapport til programstyringsrådet. Den yder teknisk ekspertise til støtte for programstyringsrådets opgaver, og følger op på, hvor langt medlemsstaterne er nået med deres forberedelser.
Artikel 67
eu-LISA's forpligtelser efter routerens idriftsættelse
1.   Efter routerens idriftsættelse er eu-LISA ansvarligt for den tekniske forvaltning af routerens centrale infrastruktur, herunder dens vedligeholdelse og teknologiske udvikling. I samarbejde med medlemsstaterne sikrer det på grundlag af en cost-benefit-analyse, at den bedste tilgængelige teknologi anvendes. eu-LISA er også ansvarligt for den tekniske forvaltning af den nødvendige kommunikationsinfrastruktur.
Den tekniske forvaltning af routeren omfatter alle de opgaver og tekniske løsninger, der er nødvendige for, at routeren kan fungere og levere uafbrudte tjenester til medlemsstaterne og Europol døgnet rundt alle ugens dage i overensstemmelse med denne forordning. Den omfatter den vedligeholdelse og tekniske udvikling, der er nødvendig for at sikre, at routeren fungerer på et tilfredsstillende niveau for så vidt angår den tekniske kvalitet, særligt hvad angår tilgængelighed og svartid for indgivelse af anmodninger til de nationale databaser og til Europoldata i overensstemmelse med de tekniske specifikationer.
Routeren udvikles og forvaltes på en sådan måde, at der sikres hurtig, effektiv og kontrolleret adgang, fuldstændig og uafbrudt adgang til routeren og en svartid i overensstemmelse med medlemsstaternes kompetente myndigheders og Europols operationelle behov.
2.   Uden at det berører artikel 17 i vedtægten for tjenestemænd i Den Europæiske Union, fastlagt ved Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 
(
18
)
, anvender eu-LISA passende regler for tavshedspligt eller andre tilsvarende fortrolighedskrav i forbindelse med alt personale, der skal arbejde med data, der er lagret i routeren. Denne pligt består fortsat, når de pågældende medarbejdere er fratrådt deres stilling, eller deres virksomhed er ophørt.
eu-LISA har ikke adgang til nogen af de personoplysninger, der behandles gennem routeren.
3.   eu-LISA udfører opgaver vedrørende levering af uddannelse i den tekniske brug af routeren.
KAPITEL 8
Ændringer af andre eksisterende instrumenter
Artikel 68
Ændringer af afgørelse 2008/615/RIA og 2008/616/RIA
1.   I afgørelse 2008/615/RIA erstattes artikel 1, litra a), artikel 2-6 og afdeling 2 og 3 i kapitel 2 for så vidt angår de medlemsstater, der er bundet af denne forordning, fra datoen for anvendelsen af bestemmelserne i denne forordning vedrørende routeren, der er fastsat i artikel 75, stk. 1. Artikel 1, litra a), artikel 2-6 og afdeling 2 og 3 i kapitel 2 i afgørelse 2008/615/RIA udgår derfor fra datoen for anvendelsen af bestemmelserne i denne forordning vedrørende routeren, der er fastsat i artikel 75, stk. 1.
2.   I afgørelse 2008/616/RIA erstattes kapitel 2-5 og artikel 18, 20 og 21 for så vidt angår de medlemsstater, der er bundet af denne forordning, fra datoen for anvendelsen af bestemmelserne i denne forordning vedrørende routeren, der er fastsat i artikel 75, stk. 1. Derfor udgår kapitel 2-5 og artikel 18, 20 og 21 i afgørelse 2008/616/RIA fra datoen for anvendelsen af bestemmelserne i denne forordning vedrørende routeren, der er fastsat i artikel 75, stk. 1.
Artikel 69
Ændring af forordning (EU) 2018/1726
I forordning (EU) 2018/1726 foretages følgende ændringer:
1)
Følgende artikel indsættes:
»Artikel 8d
Opgaver vedrørende med Prüm II-routeren
I forbindelse med Prüm II-routeren udfører agenturet de opgaver, som det er pålagt ved Europa-Parlamentets og Rådets forordning (EU) 2024/982
 (
*1
)
.
(
*1
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/982 af 13. marts 2024 om automatiseret søgning og udveksling af data med henblik på politisamarbejde og om ændring af Rådets afgørelse 2008/615/RIA og 2008/616/RIA og Europa-Parlamentets og Rådets forordning (EU) 2018/1726, (EU) 2019/817 og (EU) 2019/818 (Prüm II-forordningen), (
EUT L, 2024/982, 5.4.2024, ELI: https://eur-lex.europa.eu/eli/reg/2024/982/oj
).«
                                       "
2)
Artikel 17, stk. 3, andet afsnit, affattes således:
»Opgaverne vedrørende udvikling og operationel forvaltning, jf. artikel 1, stk. 4 og 5, artikel 3-8 og artikel 8d, 9 og 11, udføres på det tekniske anlæg i Strasbourg, Frankrig.«
3)
I artikel 19, nr. 1), foretages følgende ændringer:
a)
Følgende litra indsættes:
»eeb)
vedtage rapporter om status over udviklingen af Prüm II-routeren i medfør af artikel 80, stk. 2, i forordning (EU) 2024/982«.
b)
Litra ff) affattes således:
»ff)
vedtage rapporter om den tekniske funktion af følgende:
i)
SIS i henhold til artikel 60, stk. 7, i Europa-Parlamentets og Rådets forordning (EU) 2018/1861
 (
*2
)
 og artikel 74, stk. 8, i Europa-Parlamentets og Rådets forordning (EU) 2018/1862
 (
*3
)
ii)
VIS i henhold til artikel 50, stk. 3, i forordning (EF) nr. 767/2008 og artikel 17, stk. 3, i afgørelse 2008/633/RIA
iii)
ind- og udrejsesystemet i henhold til artikel 72, stk. 4, i forordning (EU) 2017/2226
iv)
ETIAS i henhold til artikel 92, stk. 4, i forordning (EU) 2018/1240
v)
ECRIS-TCN og ECRIS-referencegennemførelsen i henhold til artikel 36, stk. 8, i Europa-Parlamentets og Rådets forordning (EU) 2019/816
vi)
interoperabilitetskomponenterne i henhold til artikel 78, stk. 3, i forordning (EU) 2019/817 og artikel 74, stk. 3, i forordning (EU) 2019/818
vii)
e-CODEX-systemet i henhold til artikel 16, stk. 1, i forordning (EU) 2022/850
viii)
JIT-samarbejdsplatformen i henhold til artikel 26, stk. 6, i forordning (EU) 2023/969
ix)
Prüm II-routeren i henhold til artikel 80, stk. 5, i forordning (EU) 2024/982
(
*2
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1861 af 28. november 2018 om oprettelse, drift og brug af Schengeninformationssystemet (SIS) på området ind- og udrejsekontrol, om ændring af konventionen om gennemførelse af Schengenaftalen og om ændring og ophævelse af forordning (EF) nr. 1987/2006 (
EUT L 312 af 7.12.2018, s. 14
)."
(
*3
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1862 af 28. november 2018 om oprettelse, drift og brug af Schengeninformationssystemet (SIS) på området politisamarbejde og strafferetligt samarbejde, om ændring og ophævelse af Rådets afgørelse 2007/533/RIA og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 1986/2006 og Kommissionens afgørelse 2010/261/EU (
EUT L 312 af 7.12.2018, s. 56
).«
                                                                     "
c)
Litra hh) affattes således:
»hh)
vedtage formelle bemærkninger til Den Europæiske Tilsynsførende for Databeskyttelses rapporter om dennes audits i henhold til artikel 56, stk. 2, i forordning (EU) 2018/1861, artikel 42, stk. 2, i forordning (EF) nr. 767/2008, artikel 31, stk. 2, i forordning (EU) nr. 603/2013, artikel 56, stk. 2, i forordning (EU) 2017/2226, artikel 67 i forordning (EU) 2018/1240, artikel 29, stk. 2, i forordning (EU) 2019/816. artikel 52 i forordning (EU) 2019/817 og (EU) 2019/818 og artikel 58, stk. 1, i forordning (EU) 2024/982 og sikre passende opfølgning på disse audits.«
Artikel 70
Ændring af forordning (EU) 2019/817
I artikel 6, stk. 2, i forordning (EU) 2019/817 tilføjes følgende litra:
»d)
en sikker kommunikationsinfrastruktur mellem ESP og routeren oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2024/982
 (
*4
)
.
Artikel 71
Ændring af forordning (EU) 2019/818
I forordning (EU) 2019/818 foretages følgende ændringer:
1)
I artikel 6, stk. 2, tilføjes følgende litra:
»d)
en sikker kommunikationsinfrastruktur mellem ESP og routeren oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2024/982
 (
*5
)
.
(
*5
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/982 af 13. marts 2024 om automatiseret søgning og udveksling af data med henblik på politisamarbejde om ændring af Rådets afgørelse 2008/615/RIA og 2008/616/RIA og Europa-Parlamentets og Rådets forordning (EU) 2018/1726, (EU) 2019/817 og (EU) 2019/818 (Prüm II-forordningen), (
EUT L, 2024/982, 5.4.2024, ELI: https://eur-lex.europa.eu/eli/reg/2024/982/oj
).«
                                             "
2)
Artikel 39, stk. 1 og 2, affattes således:
»1.   Der oprettes et centralt register for rapportering og statistik (CRRS) med henblik på at støtte målene for SIS, Eurodac og ECRIS-TCN i overensstemmelse med de respektive retlige instrumenter, der regulerer disse systemer, og til at tilvejebringe statistiske oplysninger og analytisk rapportering på tværs af systemerne til politiske, operationelle og datakvalitetsmæssige formål. CRRS skal også støtte målene i forordning (EU) 2024/982.
2.   eu-LISA opretter, gennemfører og hoster CRRS på sine tekniske anlæg, indeholdende de oplysninger og statistikker, der er omhandlet i artikel 74 i forordning (EU) 2018/1862 og artikel 32 i forordning (EU) 2019/816, og som holdes logisk adskilt af EU-informationssystemet. eu-LISA indsamler også oplysninger og statistikker fra den router, der er omhandlet i artikel 72, stk. 1, i forordning (EU) 2024/982. Der gives adgang til CRRS via en kontrolleret og sikret adgang og særlige brugerprofiler, udelukkende med henblik på rapportering og statistikker, til de myndigheder, der er omhandlet i artikel 74 i forordning (EU) 2018/1862, artikel 32 i forordning (EU) 2019/816 og artikel 72, stk. 1, i forordning (EU) 2024/982.«
KAPITEL 9
Afsluttende bestemmelser
Artikel 72
Rapportering og statistik
1.   Hvor det er nødvendigt, har de behørigt bemyndigede medarbejdere hos medlemsstaternes kompetente myndigheder, Kommissionen, eu-LISA og Europol adgang til følgende data vedrørende routeren, udelukkende med henblik på rapportering og statistik:
a)
antal forespørgsler pr. medlemsstat og antal forespørgsler fra Europol pr. datakategori
b)
antal forespørgsler til hver af de forbundne databaser
c)
antal match med hver medlemsstats database pr. datakategori
d)
antal match med Europoldata pr. datakategori
e)
antal bekræftede match, hvor der blev udvekslet centrale data
f)
antal bekræftede match, hvor der ikke blev udvekslet centrale data
g)
antal forespørgsler til det fælles identitetsregister via routeren, og
h)
antal match pr. type som følger:
i)
identificerede data (person) — uidentificerede data (spor)
ii)
uidentificerede data (spor) — identificerede data (person)
iii)
uidentificerede v (spor) — uidentificerede data (spor)
iv)
identificerede data (person) — identificerede data (person).
Det må ikke være muligt at identificere enkeltpersoner ud fra dataene anført i første afsnit.
2.   De behørigt bemyndigede medarbejdere hos medlemsstaternes kompetente myndigheder, Kommissionen og Europol har adgang til følgende data vedrørende Eucaris, udelukkende med henblik på rapportering og statistik:
a)
antal forespørgsler pr. medlemsstat og antal forespørgsler fra Europol
b)
antal forespørgsler til hver af de forbundne databaser, og
c)
antal match med hver medlemsstats database.
Det må ikke være muligt at identificere enkeltpersoner ud fra dataene anført i første afsnit.
3.   De behørigt bemyndigede medarbejdere hos medlemsstaternes kompetente myndigheder, Kommissionen og Europol har adgang til følgende data vedrørende EPRIS, udelukkende med henblik på rapportering og statistik:
a)
antal forespørgsler pr. medlemsstat og antal forespørgsler fra Europol
b)
antal forespørgsler til hvert af de forbundne indekser, og
c)
antal match med hver medlemsstats database.
Det må ikke være muligt at identificere enkeltpersoner ud fra dataene anført i første afsnit.
4.   eu-LISA lagrer de data, der er anført i denne artikels stk. 1, i det centrale register for rapportering og statistik, som er oprettet ved artikel 39 i forordning (EU) 2019/818. Europol lagrer de data, der er anført i denne artikels stk. 3. Disse data skal gøre det muligt for medlemsstaternes kompetente myndigheder, Kommissionen, eu-LISA og Europol at indhente rapporter og statistikker, der kan tilpasses, for at øge effektiviteten af retshåndhævelsessamarbejde.
Artikel 73
Omkostninger
1.   Omkostninger i forbindelse med etablering og drift af routeren og EPRIS afholdes over Unionens almindelige budget.
2.   Omkostninger i forbindelse med integration af eksisterende nationale infrastruktur og denne forbindelse til routeren og EPRIS samt omkostninger i forbindelse med oprettelsen af nationale databaser over ansigtsbilleder og nationale politiregisterindekser til forebyggelse, afsløring og efterforskning af strafbare handlinger afholdes over Unionens almindelige budget.
Følgende omkostninger dækkes ikke:
a)
medlemsstaternes projektstyringskontor (møder, tjenesterejser, kontorer)
b)
hosting af nationale IT-systemer (lokaler, implementering, el, køling)
c)
drift af nationale IT-systemer (operatører og supportaftaler)
d)
udformning, udvikling, gennemførelse, drift og vedligeholdelse af nationale kommunikationsnet.
3.   Hver medlemsstat afholder omkostningerne i forbindelse med forvaltning, anvendelse og vedligeholdelse af Eucaris.
4.   Hver medlemsstat afholder omkostningerne i forbindelse med forvaltning, anvendelse og vedligeholdelse af deres forbindelser til routeren og EPRIS.
Artikel 74
Underretninger
1.   Medlemsstaterne underretter eu-LISA om de kompetente myndigheder, der er omhandlet i artikel 36. Disse myndigheder kan anvende eller få adgang til routeren.
2.   eu-LISA underretter Kommissionen, når de test, der er omhandlet i artikel 75, stk. 1, litra b), er afsluttet på tilfredsstillende vis.
3.   Europol underretter Kommissionen, når de test, der er omhandlet i artikel 75, stk. 3, litra b), er afsluttet på tilfredsstillende vis.
4.   Hver medlemsstat underretter de øvrige medlemsstater, Kommissionen, eu-LISA og Europol om det indhold i deres nationale DNA-databaser og de betingelser for automatiserede søgninger, som artikel 5 og 6 finder anvendelse på.
5.   Hver medlemsstat underretter de øvrige medlemsstater, Kommissionen, eu-LISA og Europol om det indhold i deres nationale fingeraftryksdatabaser og de betingelser for automatiserede søgninger, som artikel 10 og 11 finder anvendelse på.
6.   Hver medlemsstat underretter de øvrige medlemsstater, Kommissionen, eu-LISA og Europol om det indhold i deres nationale databaser over ansigtsbilleder og de betingelser for automatiserede søgninger, som artikel 19 og 20 finder anvendelse på.
7.   Medlemsstater, der deltager i automatiseret udveksling af politiregistre i medfør af artikel 25 og 26, underretter de øvrige medlemsstater, Kommissionen og Europol om indholdet af deres nationale politiregisterindekser og af de nationale databaser, der anvendes til at oprette disse indekser, og betingelserne for automatiserede søgninger.
8.   Medlemsstaterne underretter Kommissionen, eu-LISA og Europol om deres nationale kontaktpunkt, der er udpeget i henhold til artikel 30. Kommissionen udarbejder en liste over de nationale kontaktpunkter, som den har fået underretning om, og stiller den til rådighed for alle medlemsstater.
Artikel 75
Idriftsættelse
1.   Kommissionen fastsætter den dato, fra hvilken medlemsstaterne og Europol kan begynde at anvende routeren ved hjælp af en gennemførelsesretsakt, når følgende betingelser er opfyldt:
a)
foranstaltningerne i artikel 5, stk. 3, artikel 8, stk. 2 og 3, artikel 13, stk. 2 og 3, artikel 17, stk. 3, artikel 22, stk. 2 og 3, artikel 31 og artikel 37, stk. 6, er vedtaget
b)
eu-LISA har meddelt, at den omfattende test af routeren, som det har udført i samarbejde med medlemsstaternes kompetente myndigheder og Europol, er afsluttet på tilfredsstillende vis.
Kommissionen fastsætter ved hjælp af den i første afsnit omhandlede gennemførelsesretsakt den dato, fra hvilken medlemsstaterne og Europol skal begynde at anvende routeren. Denne dato skal ligge et år efter den dato, der er fastsat i overensstemmelse med første afsnit.
Kommissionen kan udsætte den dato, fra hvilken medlemsstaterne og Europol skal begynde at anvende routeren med højst et år, hvis en vurdering af routerens gennemførelse har vist, at en sådan udsættelse er nødvendig.
2.   To år efter idriftsættelsen af routeren sikrer medlemsstaterne tilgængeligheden af ansigtsbilleder som omhandlet i artikel 19 med henblik på automatiseret søgning efter ansigtsbilleder som omhandlet i artikel 20.
3.   Kommissionen fastsætter den dato, fra hvilken medlemsstaterne og Europol skal begynde at anvende EPRIS, ved hjælp af en gennemførelsesretsakt, når følgende betingelser er opfyldt:
a)
foranstaltningerne i artikel 44, stk. 6, er vedtaget
b)
Europol har meddelt, at den omfattende test af EPRIS, som det har udført i samarbejde med medlemsstaternes kompetente myndigheder, er afsluttet på tilfredsstillende vis.
4.   Kommissionen fastsætter den dato, fra hvilken Europol skal stille biometriske data fra tredjelande til rådighed for medlemsstaterne i overensstemmelse med artikel 48, ved hjælp af en gennemførelsesretsakt, når følgende betingelser er opfyldt:
a)
routeren er i drift
b)
Europol har erklæret, at der er gennemført en omfattende test af dets forbindelse til routeren, som det har gennemført i samarbejde med medlemsstaternes kompetente myndigheder og eu-LISA.
5.   Kommissionen fastsætter den dato, fra hvilken Europol skal have adgang til data, der er lagret i medlemsstaternes databaser, i overensstemmelse med artikel 49, ved hjælp af en gennemførelsesretsakt, når følgende betingelser er opfyldt:
a)
routeren er i drift
b)
Europol har erklæret, at der er gennemført en omfattende test af dets forbindelse til routeren, som det har gennemført i samarbejde med medlemsstaternes kompetente myndigheder og eu-LISA.
6.   De i denne artikel omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 77, stk. 2.
Artikel 76
Overgangsbestemmelser og undtagelser
1.   Medlemsstaterne og EU-agenturerne begynder at anvende artikel 19-22, artikel 47 og artikel 49, stk. 6, fra den dato, der er fastsat i overensstemmelse med artikel 75, stk. 1, første afsnit, med undtagelse af medlemsstater, der ikke er begyndt at anvende routeren.
2.   Medlemsstaterne og EU-agenturerne begynder at anvende artikel 25-28 og artikel 49, stk. 4, fra den dato, der er fastsat i overensstemmelse med artikel 75, stk. 3.
3.   Medlemsstaterne og EU-agenturerne begynder at anvende artikel 48 fra den dato, der er fastsat i overensstemmelse med artikel 75, stk. 4.
4.   Medlemsstaterne og EU-agenturerne begynder at anvende artikel 49, stk. 1, 2, 3, 5 og 7, fra den dato, der er fastsat i overensstemmelse med artikel 75, stk. 5.
Artikel 77
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse. Afgiver udvalget ikke nogen udtalelse, vedtager Kommissionen ikke udkastet til gennemførelsesretsakt, og artikel 5, stk. 4, tredje afsnit, i forordning (EU) nr. 182/2011 finder anvendelse.
Artikel 78
Rådgivende gruppe for interoperabilitet
Ansvarsområderne for den rådgivende gruppe for interoperabilitet, der er nedsat ved artikel 75 i forordning (EU) 2019/817 og artikel 71 i forordning (EU) 2019/818, udvides til at omfatte routeren. Denne rådgivende gruppe for interoperabilitet bistår eu-LISA med ekspertise vedrørende routeren, navnlig i forbindelse med udarbejdelsen af dets årlige arbejdsprogram og dets årlige aktivitetsrapport.
Artikel 79
Praktisk håndbog
Kommissionen stiller i tæt samarbejde med medlemsstaterne, eu-LISA, Europol og Den Europæiske Unions Agentur for Grundlæggende Rettigheder en praktisk håndbog til rådighed for gennemførelsen og forvaltningen af denne forordning. Den praktiske håndbog skal indeholde tekniske og operationelle retningslinjer, anbefalinger og bedste praksis. Kommissionen vedtager håndbogen i form af en henstilling inden idriftsættelsen af både routeren og EPRIS. Kommissionen ajourfører den praktiske håndbog regelmæssigt, og når det er nødvendigt.
Artikel 80
Overvågning og evaluering
1.   eu-LISA sikrer, at der er indført procedurer til at overvåge udviklingen af routeren i lyset af målene vedrørende planlægning og omkostninger og til at overvåge dets funktion i lyset af målene vedrørende teknisk output, omkostningseffektivitet, sikkerhed og servicekvalitet.
Europol sikrer, at der er indført procedurer til at overvåge udviklingen af EPRIS i lyset af målene vedrørende planlægning og omkostninger og til at overvåge dets funktion i lyset af målene vedrørende teknisk output, omkostningseffektivitet, sikkerhed og servicekvalitet.
2.   Senest den 26. april 2025 og derefter hvert år i routerens udviklingsfase forelægger eu-LISA Europa-Parlamentet og Rådet en rapport om status for udviklingen af routeren. Disse rapporter indeholder detaljerede oplysninger om de afholdte omkostninger og oplysninger om eventuelle risici, der kunne have indvirkning på de samlede omkostninger, som skal afholdes over Unionens almindelige budget i medfør af artikel 73.
Når routeren er færdigudviklet, forelægger eu-LISA Europa-Parlamentet og Rådet en rapport, som i detaljer forklarer, hvordan målene, navnlig vedrørende planlægning og omkostninger, blev opfyldt, og angiver grundene til eventuelle afvigelser.
3.   Senest den 26. april 2025 og derefter hvert år i EPRIS' udviklingsfase forelægger Europol Europa-Parlamentet og Rådet en rapport om status for udviklingen af EPRIS. Disse rapporter indeholder detaljerede oplysninger om de afholdte omkostninger og oplysninger om eventuelle risici, som kunne påvirke de samlede omkostninger, som skal afholdes over Unionens almindelige budget i medfør af artikel 73.
Når EPRIS er færdigudviklet, forelægger Europol Europa-Parlamentet og Rådet en rapport, som i detaljer forklarer, hvordan målene, navnlig vedrørende planlægning og omkostninger, blev opfyldt, og angiver grundene til eventuelle afvigelser.
4.   Med henblik på teknisk vedligeholdelse har eu-LISA adgang til de nødvendige oplysninger om de databehandlingsaktiviteter, der udføres i routeren. Med henblik på den tekniske vedligeholdelse har Europol adgang til de nødvendige oplysninger om de databehandlingsaktiviteter, der udføres i EPRIS.
5.   To år efter idriftsættelsen af routeren og derefter hvert andet år forelægger eu-LISA Europa-Parlamentet, Rådet og Kommissionen en rapport om, hvordan routeren teknisk fungerer, herunder dens sikkerhed.
6.   To år efter idriftsættelsen af EPRIS og derefter hvert andet år forelægger Europol Europa-Parlamentet, Rådet og Kommissionen en rapport om, hvordan EPRIS teknisk fungerer, herunder dets sikkerhed.
7.   Tre år efter idriftsættelsen af routeren og EPRIS som omhandlet i artikel 75 og derefter hvert fjerde år udarbejder Kommissionen en rapport om den samlede evaluering af Prüm II-rammen.
Ét år efter idriftsættelsen af routeren og derefter hvert andet år udarbejder Kommissionen en rapport med en evaluering af brugen af ansigtsbilleder i henhold til denne forordning.
Rapporterne omhandlet i første og andet afsnit skal indeholde følgende:
a)
en vurdering af denne forordnings anvendelse, herunder hver medlemsstats og Europols anvendelse af den
b)
en undersøgelse af de opnåede resultater set i forhold til denne forordnings mål og dens indvirkning på grundlæggende rettigheder
c)
indvirkningen, effektiviteten og virkningsfuldheden af Prüm II-rammens virksomhed og dens arbejdsmetoder set i lyset af dens mål, mandat og opgaver
d)
en vurdering af Prüm II-rammens sikkerhed.
Kommissionen fremsender disse rapporter til Europa-Parlamentet, Rådet, Den Europæiske Tilsynsførende for Databeskyttelse og Den Europæiske Unions Agentur for Grundlæggende Rettigheder.
8.   I de rapporter, der er omhandlet i stk. 7, første afsnit, skal Kommissionen være særlig opmærksom på følgende nye datakategorier: ansigtsbilleder og politiregistre. Kommissionen inkluderer i sådanne rapporter de enkelte medlemsstaters og Europols anvendelse af disse nye datakategorier og deres betydning, virkningsfuldhed og effektivitet. I de rapporter, der er omhandlet i stk. 7, andet afsnit, skal Kommissionen være særligt opmærksom på risikoen for falske match og på datakvalitet.
9.   Medlemsstaterne og Europol sender eu-LISA og Kommissionen de oplysninger, der er nødvendige for at udarbejde de i stk. 2 og 5 omhandlede rapporter. Disse oplysninger må ikke påvirke arbejdsmetoder negativt eller afsløre medlemsstaternes kompetente myndigheders kilder, medarbejdere eller undersøgelser.
10.   Medlemsstaterne giver Kommissionen og Europol de oplysninger, der er nødvendige for at udarbejde de i stk. 3 og 6 omhandlede rapporter. Disse oplysninger må ikke påvirke arbejdsmetoder negativt eller afsløre medlemsstaternes kompetente myndigheders kilder, medarbejdere eller undersøgelser.
11.   Uden at det berører fortrolighedskrav giver Medlemsstaterne, eu-LISA og Europol Kommissionen de oplysninger, der er nødvendige for at udarbejde de rapporter, der er omhandlet i stk. 7. Medlemsstaterne meddeler også Kommissionen antallet af bekræftede match med hver medlemsstats database pr. datakategori og pr. datatype. Disse oplysninger må ikke påvirke arbejdsmetoder negativt eller afsløre de kompetente myndigheders kilder, medarbejdere eller undersøgelser.
Artikel 81
Ikrafttræden og anvendelse
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i medlemsstaterne i overensstemmelse med traktaterne.
Udfærdiget i Strasbourg, den 13. marts 2024.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
H. LAHBIB
Formand
(
1
)
  
            
EUT C 323 af 26.8.2022, s. 69
.
(
2
)
  Europa-Parlamentets holdning af 8.2.2024 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 26.2.2024.
(
3
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (
EUT L 135 af 24.5.2016, s. 53
).
(
4
)
  Rådets afgørelse 2008/615/RIA af 23. juni 2008 om intensivering af det grænseoverskridende samarbejde, navnlig om bekæmpelse af terrorisme og grænseoverskridende kriminalitet (
EUT L 210 af 6.8.2008, s. 1
).
(
5
)
  Rådets afgørelse 2008/616/RIA af 23. juni 2008 om gennemførelse af afgørelse 2008/615/RIA om intensivering af det grænseoverskridende samarbejde, navnlig om bekæmpelse af terrorisme og grænseoverskridende kriminalitet (
EUT L 210 af 6.8.2008, s. 12
).
(
6
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1862 af 28. november 2018 om oprettelse, drift og brug af Schengeninformationssystemet (SIS) på området politisamarbejde og strafferetligt samarbejde, om ændring og ophævelse af Rådets afgørelse 2007/533/RIA og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 1986/2006 og Kommissionens afgørelse 2010/261/EU (
EUT L 312 af 7.12.2018, s. 56
).
(
7
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
8
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (den generelle forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
10
)
  Europa-Parlamentets og Rådets direktiv (EU) 2023/977 af 10. maj 2023 om udveksling af oplysninger mellem medlemsstaternes retshåndhævende myndigheder og om ophævelse af Rådets rammeafgørelse 2006/960/RIA (
EUT L 134 af 22.5.2023, s. 1
).
(
11
)
  Rådets rammeafgørelse 2009/315/RIA af 26. februar 2009 om tilrettelæggelsen og indholdet af udvekslinger af oplysninger fra strafferegistre mellem medlemsstaterne (
EUT L 93 af 7.4.2009, s. 23
).
(
12
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/817 af 20. maj 2019 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende grænser og visum og om ændring af Europa-Parlamentets og Rådets forordning (EF) nr. 767/2008, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 og (EU) 2018/1861, Rådets beslutning 2004/512/EF og Rådets afgørelse 2008/633/RIA (
EUT L 135 af 22.5.2019, s. 27
).
(
13
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/818 af 20. maj 2019 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende politisamarbejde og retligt samarbejde, asyl og migration og om ændring af forordning (EU) 2018/1726, (EU) 2018/1862 og (EU) 2019/816 (
EUT L 135 af 22.5.2019, s. 85
).
(
14
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1726 af 14. november 2018 om Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og om ændring af forordning (EF) nr. 1987/2006 og Rådets afgørelse 2007/533/RIA og om ophævelse af forordning (EU) nr. 1077/2011 (
EUT L 295 af 21.11.2018, s. 99
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
16
)
  
            
EUT C 225 af 9.6.2022, s. 6
.
(
17
)
  Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (
EUT L 333 af 27.12.2022, s. 80
).
(
18
)
  
            
EUT L 56 af 4.3.1968, s. 1
.
ELI: http://data.europa.eu/eli/reg/2024/982/oj
ISSN 1977-0634 (electronic edition)

Summary:
Politisamarbejde: automatiseret søgning og udveksling af data
RESUMÉ AF:
Forordning (EU) 2024/982 om automatiseret søgning og udveksling af data med henblik på politisamarbejde
HVAD ER FORMÅLET MED FORORDNINGEN?
Formålet med forordning (EU) 2024/982 (Prüm II-
forordningen
) er at forbedre, strømline og lette udvekslingen af data med henblik på politisamarbejde. Den lukker huller i oplysninger og styrker forebyggelse, afsløring og efterforskning af strafbare handlinger i 
Den Europæiske Union
 (EU), hvilket giver større sikkerhed for alle i Europa.
HOVEDPUNKTER
En struktureret tilgang til automatiseret søgning og udveksling af data har til formål at sikre en omfattende, sikker og effektiv ramme til informationsudveksling med henblik på politisamarbejde i hele EU, med fokus på 
databeskyttelse
.
DNA-profiler og fingeraftryksdata
EU-
medlemsstaterne
 skal stille 
DNA-profiler og fingeraftryksdata
 fra deres nationale forbrydelsesdatabaser til rådighed for automatiseret søgning foretaget af andre medlemsstater og af Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (
Europol
), med henblik på efterforskning af strafbare handlinger (DNA-data) og med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger (fingeraftryksoplysninger).
Gennem deres nationale kontaktpunkter gennemfører medlemsstaterne automatiserede søgninger ved at 
sammenligne DNA-profiler
, der er gemt i deres DNA-databaser, med profiler, der er gemt i alle de andre medlemsstaters databaser og Europol-data. Den samme proces gælder for fingeraftryksoplysninger.
Søgningerne 
må kun udføres i individuelle sager
 og skal foregå i overensstemmelse med den anmodende medlemsstats retlige ramme.
Der kræves en 
manuel gennemgang foretaget af kvalificeret personale
 for at bekræfte match.
Der er indført foranstaltninger for at sikre 
fortrolighed, integritet og datakryptering
.
Europa-Kommissionen
 fastsætter 
kvalitetsstandarder
 vha. 
gennemførelsesretsakter
.
Køretøjsregistreringsdata
Medlemsstaterne skal 
stille nationale køretøjsregistreringsdata til rådighed
 for andre medlemsstater og Europol med henblik på at forebygge, afsløre og efterforske strafbare handlinger.
Europol og medlemsstaterne, gennem deres nationale kontaktpunkter, gennemfører automatiserede søgninger i individuelle sager og i overensstemmelse med den anmodende medlemsstats retlige ramme.
Søgningerne foretages med 
chassisnumre, køretøjsregistreringsnumre eller ejerdata
 (for mistænkte eller dømte personer).
Det europæiske informationssystem vedrørende køretøjer og kørekort
 (Eucaris)
 anvendes til søgninger.
Ansigtsbilleder
Medlemsstaterne skal stille 
ansigtsbilleder
 af mistænkte og dømte personer og, hvor det er tilladt ifølge national lovgivning, ofre fra deres nationale forbrydelsesdatabaser til rådighed for automatiseret søgning foretaget af andre medlemsstater og Europol.
Automatiserede søgninger
 foretaget af medlemsstaterne og Europol kan foretages med henblik på 
forebyggelse, afsløring og efterforskning af strafbare handlinger, som kan straffes med mindst 
1 års
 fængsel
 i henhold til den anmodende medlemsstats lovgivning.
Søgningerne 
må kun udføres i individuelle sager
 og skal foregå i overensstemmelse med den anmodende medlemsstats retlige ramme.
Profilering som omhandlet i 
artikel 11, stk. 3
, i direktiv (EU) 
2016/680
 (se 
resumé
) er forbudt.
Der kræves en 
manuel gennemgang foretaget af kvalificeret personale
 for at bekræfte match.
Kommissionen fastsætter 
minimumskvalitetsstandarder
 for ansigtsdata og gennemgår dem, hvis der er høj risiko for falske match.
Politiregistre
Deltagelse i 
automatiseret udveksling af politiregistre er valgfrit
.
Politiregistre er mistænkte og dømte personers biografiske data, som er 
pseudonymiserede af hensyn til databeskyttelse
.
Søgninger er 
tilladt med henblik på forebyggelse, afsløring og efterforskning af strafbare handlinger, som kan straffes med mindst 
1 års
 fængsel
 i henhold til den anmodende medlemsstats lovgivning.
Søgningerne udføres i henhold til 
den anmodende medlemsstats nationale lovgivning og kun i individuelle sager
.
Forsvundne personer og uidentificerede menneskelige rester
Automatiske søgninger i forbindelse med 
søgning efter forsvundne personer og identifikation af menneskelige rester
 er tilladt med henblik på strafferetlig efterforskning eller af humanitære årsager.
Der skal 
udpeges nationale myndigheder
, og der skal fastsættes procedurer vha. lovgivningsmæssige foranstaltninger.
Nationale kontaktpunkter
Der udpeges 
nationale kontaktpunkter
 til dataudveksling.
Begrundelser for forespørgsler
 registreres og kan anvendes til at vurdere forholdsmæssighed, nødvendighed og databeskyttelse.
Standarden for det universelle meddelelsesformat
 anvendes til dataudveksling og systemudvikling, hvor det er muligt.
Den centrale router
Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed
 (
eu-LISA
) stiller en central router til rådighed med henblik på at oprette forbindelser til forespørgsler i nationale forbrydelsesdatabaser foretaget af medlemsstaterne og Europol vedrørende DNA-profiler, fingeraftryksdata og ansigtsbilleder. Teknologien omfatter:
et søgeværktøj
sikre kommunikationskanaler og
en forbindelse til den europæiske søgeportal.
Agenturet har ansvaret for at behandle personoplysninger via routeren og fører fortegnelser over alle databehandlingshandlinger.
Det europæiske politiregisterindekssystem
Forordningen opretter det europæiske politiregisterindekssystem (EPRIS) til forespørgsler i nationale politiregisterindekser.
Indsendelse og afsendelse af forespørgselsdata til nationale politiregisterindekser 
forvaltes af EPRIS
, med omgående svar fra medlemsstaterne.
EPRIS 
sender matchende resultater tilbage
.
Alle søgninger 
logføres på en omfattende måde
 af de deltagende medlemsstater og Europol og anvendes til indsamling af statistik, overvågning af databeskyttelse samt med henblik på datasikkerhed.
Europol
 har ansvaret for udviklingen og den tekniske forvaltning af EPRIS.
Opfølgende udveksling
Centrale identifikationsdata skal udveksles via routeren 
inden for 
48 timer
 efter en bekræftet match for biometriske data
, medmindre en retskendelse kræver en længere tidsramme.
Europol
Europol kan forespørge i medlemsstaternes databaser med data, de har modtaget fra ikke-EU-lande.
Medlemsstaterne kan tilgå biometriske data, der er leveret af ikke-EU-lande og opbevares af Europol.
Der er regler vedrørende opfølgning og dataudveksling for at sikre 
overholdelse af retsstandarder
.
Ændringer
Forordningen ændrer afgørelse 
2008/615/RIA
 og 
2008/616/RIA
 samt forordning (EU) 
2018/1726
, (EU) 
2019/817
 og (EU) 
2019/818
.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Forordningen trådte i kraft den 
25. april 2024
.
BAGGRUND
For yderligere oplysninger henvises til:
Udveksling af oplysninger
 (Europa-Kommissionen).
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2024/982
 af 
13. marts 2024
 om automatiseret søgning og udveksling af data med henblik på politisamarbejde, og om ændring af Rådets afgørelse 2008/615/RIA og 2008/616/RIA og Europa-Parlamentets og Rådets forordning (EU) 2018/1726, (EU) 
nr. 2019/817
 og (EU) 2019/818 (Prüm II-forordningen) (EUT L, 2024/982, 
5.4.2024
).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2019/817
 af 
20. maj 2019
 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende grænser og visum og om ændring af Europa-Parlamentets og Rådets forordning (EF) 
nr. 767/2008
, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 og (EU) 2018/1861, Rådets beslutning 2004/512/EF og Rådets afgørelse 2008/633/RIA (EUT L 135 af 
22.5.2019
, 
s. 27
).
Efterfølgende ændringer til forordning (EU) 2019/817 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentets og Rådets forordning (EU) 
2019/818
 af 
20. maj 2019
 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende politisamarbejde og retligt samarbejde, asyl og migration og om ændring af forordning (EU) 2018/1726, (EU) 2018/1862 og (EU) 2019/816 (EUT L 135 af 
22.5.2019
, 
s. 85
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2018/1726
 af 
14. november 2018
 om Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og om ændring af forordning (EF) 
nr. 1987/2006
 og Rådets afgørelse 2007/533/RIA og om ophævelse af forordning (EU) 
nr. 1077/2011
 (EUT L 295 af 
21.11.2018
, 
s. 99
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s. 1
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2016/680
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 
4.5.2016
, 
s. 89
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2016/794
 af 
11. maj 2016
 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (EUT L 135 af 
24.5.2016
, 
s. 53
).
Se den 
konsoliderede udgave
.
Rådets afgørelse 
2008/615/RIA
 af 
23. juni 2008
 om intensivering af det grænseoverskridende samarbejde, navnlig om bekæmpelse af terrorisme og grænseoverskridende kriminalitet (EUT L 210 af 
6.8.2008
, 
s. 1
).
Se den 
konsoliderede udgave
.
Rådets afgørelse 
2008/616/RIA
 af 
23. juni 2008
 om gennemførelse af afgørelse 2008/615/RIA om intensivering af det grænseoverskridende samarbejde, navnlig om bekæmpelse af terrorisme og grænseoverskridende kriminalitet (EUT L 210 af 
6.8.2008
, 
s. 12
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
19.11.2024