CELEX ID: 32009D0917

--- ENGLISH ---

Document:
10.12.2009
EN
Official Journal of the European Union
L 323/20
COUNCIL DECISION 2009/917/JHA
of 30 November 2009
on the use of information technology for customs purposes
THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on European Union, and in particular Article 30(1)(a) and Article 34(2)(c) thereof,
Having regard to the initiative of the French Republic,
Having regard to the Opinion of the European Parliament 
(
1
)
,
Whereas:
(1)
At the external borders of the Community and within its territory, customs administrations are responsible, together with other competent authorities, for the prevention, investigation and prosecution of offences not only against Community rules, but also against national laws.
(2)
The developing trend towards illicit trafficking of all kinds constitutes a serious threat to public health, morality and security.
(3)
It is necessary to reinforce cooperation between customs administrations, by laying down procedures under which customs administrations may act jointly and exchange personal and other data concerned with illicit trafficking activities, using new technology for the management and transmission of such information, taking into account Council Framework Decision 2008/977/JHA of 27 November 2008 on the protection of personal data processed in the framework of police and judicial cooperation in criminal matters 
(
2
)
 and the principles contained in Recommendation No R (87) 15 of the Committee of Ministers of the Council of Europe of 17 September 1987 regulating the use of personal data in the police sector (hereinafter referred to as Recommendation No R (87) 15).
(4)
It is also necessary to enhance complementarity with actions in the context of cooperation with the European Police Office (Europol) and the European Judicial Cooperation Unit (Eurojust), by granting those bodies access to the Customs Information System, including the customs files identification database, to fulfil their tasks within their mandate.
(5)
Reading access to the Customs Information System should allow Europol to cross-check information obtained through other means with the information available in those databases, to identify new links that were so far not detectable and thus to produce a more comprehensive analysis. Reading access to the customs files identification database should allow Europol to uncover connections between cases of criminal investigations, so far unknown to Europol that have a dimension in and outside the European Union.
(6)
Reading access to the Customs Information System should allow Eurojust to obtain immediate information required for an accurate initial overview enabling to identify and overcome legal obstacles and to achieve better prosecution results. Reading access to the customs files identification database should allow Eurojust to receive information of ongoing and closed investigations in different Members States and thus to enhance the support of judicial authorities in the Member States.
(7)
Since customs administrations have to implement both Community and non-Community provisions in their day-to-day work, it is necessary to ensure that the provisions on mutual assistance and administrative cooperation evolve in parallel. Account should therefore be taken of the provisions on the Customs Information System and the customs files identification database in Regulation (EC) No 766/2008 
(
3
)
.
(8)
Member States recognise the advantage which the full use of the customs files identification database will provide for coordinating and strengthening the fight against cross-border criminality and therefore commit themselves to enter data into that database to the greatest extent possible.
(9)
Experience gained since the Convention of 26 July 1995 on the use of information technology for customs purposes (hereinafter the CIS Convention) 
(
4
)
 entered into force has shown that the use of the Customs Information System for the sole purposes of sighting and reporting, discreet surveillance or specific checks does not make it possible to achieve fully the system’s objective, which is to assist in preventing, investigating and prosecuting serious contraventions of national laws.
(10)
A strategic analysis should help those responsible at the highest level to determine projects, objectives and policies for combating fraud, to plan activities and to deploy the resources needed to achieve the operational objectives.
(11)
An operational analysis of the activities, resources and intentions of certain persons or businesses that do not comply or appear not to comply with national laws should help the customs authorities to take the appropriate measures in specific cases to achieve the objectives as regards the fight against fraud.
(12)
The CIS Convention should therefore be replaced.
(13)
This Decision respects the fundamental rights and observes the principles recognised in particular by the Charter of Fundamental Rights of the European Union.
(14)
This Decision does not prevent the Member States from applying their constitutional rules relating to public access to official documents,
HAS DECIDED AS FOLLOWS:
CHAPTER I
ESTABLISHMENT OF A CUSTOMS INFORMATION SYSTEM
Article 1
1.   A joint automated information system for customs purposes (hereinafter referred to as the ‘Customs Information System’ or the ‘System’) is hereby established.
2.   The aim of the Customs Information System, in accordance with this Decision, shall be to assist in preventing, investigating and prosecuting serious contraventions of national laws by making information available more rapidly, thereby increasing the effectiveness of the cooperation and control procedures of the customs administrations of the Member States.
CHAPTER II
DEFINITIONS
Article 2
For the purposes of this Decision:
1.
‘national laws’ mean laws or regulations of a Member State, in the application of which the customs administration of that Member State has total or partial competence, concerning:
(a)
the movement of goods subject to measures of prohibition, restriction or control, in particular those measures covered by Articles 30 and 296 of the Treaty establishing the European Community (the EC Treaty);
(b)
measures to control cash movements within the Community, where such measures are taken in accordance with Article 58 of the EC Treaty;
(c)
the transfer, conversion, concealment, or disguise of property or proceeds acquired or obtained directly or indirectly through illicit international drug trafficking or by infringement of:
(i)
the laws, regulations or administrative provisions of a Member State in the application of which the customs administration of that Member State has partial or total competence, concerning the cross-border movement of goods subject to measures of prohibition, restriction or control, in particular those measures referred to in Articles 30 and 296 of the EC Treaty, and non-harmonised excise duties;
(ii)
the body of Community provisions and associated implementing provisions governing the import, export, transit and presence of goods traded between Member States and third countries, and between Member States in the case of goods that do not have Community status within the meaning of Article 23 of the EC Treaty or goods subject to additional controls or investigations for the purposes of establishing their Community status;
(iii)
the body of provisions adopted at Community level under the common agricultural policy and the specific provisions adopted with regard to goods resulting from the processing of agricultural products; or
(iv)
the body of provisions adopted at Community level for harmonised excise duties and for value-added tax on importation together with the national provisions implementing them, or those which have been used in that context;
2.
‘personal data’ mean any information relating to an identified or identifiable natural person (data subject), whereby an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity;
3.
‘supplying Member State’ means a Member State which enters an item of data into the Customs Information System;
4.
‘operational analysis’ means analysis of operations which constitute, or appear to constitute, breaches of national laws, involving the following stages:
(a)
the collection of information, including personal data;
(b)
evaluation of the reliability of the information source and the information itself;
(c)
research, methodical presentation and interpretation of links between these items of information or between them and other significant data;
(d)
the formulation of observations, hypotheses or recommendations directly usable as risk information by the competent authorities to prevent and detect other operations in breach of national laws and/or to identify with precision the person or businesses implicated in such operations;
5.
‘strategic analysis’ means research and presentation of the general trends in breaches of national laws through an evaluation of the threat, scale and impact of certain types of operation in breach of national laws, with a view to setting priorities, gaining a better picture of the phenomenon or threat, reorienting action to prevent and detect fraud and reviewing departmental organisation. Only data from which identifying factors have been removed may be used for strategic analysis.
CHAPTER III
OPERATION AND USE OF THE CUSTOMS INFORMATION SYSTEM
Article 3
1.   The Customs Information System shall consist of a central database facility, accessible through terminals in each Member State. It shall comprise exclusively data necessary to achieve its aim as stated in Article 1(2), including personal data, in the following categories:
(a)
commodities;
(b)
means of transport;
(c)
businesses;
(d)
persons;
(e)
fraud trends;
(f)
availability of expertise;
(g)
items detained, seized or confiscated;
(h)
cash detained, seized or confiscated.
2.   The Commission shall ensure the technical management of the infrastructure of the Customs Information System in accordance with the rules provided for by the implementing measures adopted by the Council.
The Commission shall report on management to the Committee referred to in Article 27.
3.   The Commission shall communicate to that Committee the practical arrangements adopted for technical management.
Article 4
1.   Member States shall determine the items to be entered into the Customs Information System relating to each of the categories referred to in Article 3(1), to the extent that this is necessary to achieve the aim of the System. No items of personal data shall be entered in any event within the category set out in Article 3(1)(e).
2.   With regard to the categories set out in Article 3(1)(a) to (d), the items of information entered in respect of persons shall comprise no more than:
(a)
name, maiden name, forenames, former surnames and aliases;
(b)
date and place of birth;
(c)
nationality;
(d)
sex;
(e)
number and place and date of issue of the identity papers (passports, identity cards, driving licences);
(f)
address;
(g)
any particular objective and permanent physical characteristics;
(h)
reason for entering data;
(i)
suggested action;
(j)
a warning code indicating any history of being armed, violent or of escaping;
(k)
registration number of the means of transport.
3.   With regard to the category set out in Article 3(1)(f), the items of information entered in respect of persons shall comprise no more than the experts surnames and forenames.
4.   With regard to the categories set out in Article 3(1)(g) and (h), the items of information entered in respect of persons shall comprise no more than:
(a)
name, maiden name, forenames, former surnames and aliases;
(b)
date and place of birth;
(c)
nationality;
(d)
sex;
(e)
address.
5.   In no case shall personal data listed in Article 6 of the Framework Decision 2008/977/JHA be entered into the Customs Information System.
Article 5
1.   Data in the categories referred to in Article 3(1)(a) to (g) shall be entered into the Customs Information System only for the purpose of sighting and reporting, discreet surveillance, specific checks and strategic or operational analysis.
Data in the category referred to in Article 3(1)(h) shall be entered into the Customs Information System only for the purpose of strategic or operational analysis.
2.   For the purpose of the actions referred to in paragraph 1, personal data in any of the categories referred to in Article 3(1) may be entered into the Customs Information System only if there are real indications, in particular on the basis of prior illegal activities, to suggest that the person concerned has committed, is in the act of committing or will commit serious contraventions of national laws.
Article 6
1.   If the actions referred to in Article 5(1) are carried out, the following information may in whole or in part be collected and transferred to the supplying Member State:
(i)
the fact that the commodity, means of transport, business or person reported has been found;
(ii)
the place, time and reason for the check;
(iii)
the route and destination of the journey;
(iv)
persons accompanying the person concerned or occupants of the means of transport;
(v)
the means of transport used;
(vi)
objects carried;
(vii)
the circumstances under which the commodity, means of transport, business or person was found.
When such information is collected in the course of discreet surveillance, steps have to be taken to ensure that the discreet nature of the surveillance is not jeopardised.
2.   In the context of a specific check referred to in Article 5(1), persons, means of transport and objects may be searched to the extent permissible and in accordance with the laws, regulations and procedures of the Member State in which the search takes place. If the specific check is not permitted by the law of a Member State, it shall automatically be converted by that Member State into sighting and reporting or discreet surveillance.
Article 7
1.   Direct access to data entered into the Customs Information System shall be reserved to the national authorities designated by each Member State. Those national authorities shall be customs administrations, but may also include other authorities competent, according to the laws, regulations and procedures of the Member State in question, to act in order to achieve the aim stated in Article 1(2).
2.   Each Member State shall send the other Member States and the Committee referred to in Article 27 a list of its competent authorities which have been designated in accordance with paragraph 1 of this Article to have direct access to the Customs Information System stating, for each authority, to which data it may have access and for what purposes.
3.   Notwithstanding paragraphs 1 and 2, the Council may, by a unanimous decision, permit access to the Customs Information System by international or regional organisations. In making this decision the Council shall take account of any reciprocal arrangements and any opinion on the adequacy of data protection measures by the Joint Supervisory Authority referred to in Article 25.
Article 8
1.   Member States, Europol and Eurojust may use data obtained from the Customs Information System only in order to achieve the aim stated in Article 1(2). However, they may use it for administrative or other purposes with the prior authorisation of, and subject to any conditions imposed by, the Member State which entered the data in the System. Such other use shall be in accordance with the laws, regulations and procedures of the Member State which seeks to use it in accordance with Article 3(2) of Framework Decision 2008/977/JHA, and should take into account Principle 5.2.i of the Recommendation No R (87) 15.
2.   Without prejudice to paragraphs 1 and 4 of this Article, Article 7(3) and Articles 11 and 12, data obtained from the Customs Information System shall only be used by national authorities in each Member State designated by the Member State in question, which are competent, in accordance with the laws, regulations and procedures of that Member State, to act in order to achieve the aim stated in Article 1(2).
3.   Each Member State shall send the other Member States and the Committee referred to in Article 27 a list of the competent authorities it has designated in accordance with paragraph 2 of this Article.
4.   Data obtained from the Customs Information System may, with the prior authorisation of, and subject to any conditions imposed by, the Member State which entered them into the System, be transferred for use by national authorities other than those designated under paragraph 2 of this Article, third countries, and international or regional organisations wishing to make use of them. Each Member State shall take special measures to ensure the security of such data when they are being transferred to services located outside its territory. Details of such measures have to be communicated to the Joint Supervisory Authority referred to in Article 25.
Article 9
1.   The entry of data into the Customs Information System shall be governed by the laws, regulations and procedures of the supplying Member State unless this Decision lays down more stringent provisions.
2.   The use of data obtained from the Customs Information System, including performance of any action under Article 5(1) suggested by the supplying Member State, shall be governed by the laws, regulations and procedures of the Member State using such data, unless this Decision lays down more stringent provisions.
Article 10
1.   Each Member State shall designate a competent customs administration which shall have national responsibility for the Customs Information System.
2.   The administration referred to in paragraph 1 shall be responsible for the correct operation of the Customs Information System within the Member State and shall take the measures necessary to ensure compliance with this Decision.
3.   Member States shall inform one another of the administration referred to in paragraph 1.
Article 11
1.   Europol shall, within its mandate and for the fulfilment of its tasks, have the right to have access to the data entered into the Customs Information System in accordance with Articles 1, 3 to 6 and 15 to 19 and to search those data.
2.   Where a search by Europol reveals the existence of a match between information processed by Europol and an entry in the Customs Information System, Europol shall, through the channels defined in Council Decision 2009/371/JHA of 6 April 2009 establishing a European Police Office (Europol) 
(
5
)
, inform the Member State which made the entry.
3.   Use of information obtained from a search in the Customs Information System is subject to the consent of the Member State which entered the data into the System. If that Member State allows the use of such information, the handling thereof shall be governed by the Decision 2009/371/JHA. Europol may transfer such information to third countries and third bodies only with the consent of the Member State which entered the data into the System.
4.   Europol may request further information from the Member States concerned, in accordance with the Decision 2009/371/JHA.
5.   Without prejudice to paragraphs 3 and 4, Europol shall not connect the parts of the Customs Information System to which it has access to any computer system for data collection and processing operated by or at Europol, nor transfer the data contained therein to any such system, nor download or otherwise copy any part of the Customs Information System.
Europol shall limit access to data entered into the Customs Information System to duly authorised staff of Europol.
Europol shall allow the Joint Supervisory Body, set up under Article 34 of the Decision 2009/371/JHA, to review the activities of Europol in the exercise of its right to accede to and to search data entered into the Customs Information System.
6.   Nothing in this Article shall be interpreted as affecting the provisions of the Decision 2009/371/JHA concerning data protection and the liability for any unauthorised or incorrect processing of such data by Europol staff, or as affecting the powers of the Joint Supervisory Body set up pursuant to that Decision.
Article 12
1.   The national members of Eurojust, their deputies, assistants and specifically authorised staff shall, within their mandate and for the fulfilment of Eurojust’s tasks, have the right to have access to the data entered into the Customs Information System in accordance with Articles 1, 3 to 6 and 15 to 19 and to search those data.
2.   Where a search by a national member of Eurojust, their deputies, assistants or specifically authorised staff reveals the existence of a match between information processed by Eurojust and an entry in the Customs Information System, he or she shall inform the Member State which made the entry. Any communication of information obtained from such a search may be communicated to third countries and third bodies only with the consent of the Member State which made the entry.
3.   Nothing in this Article shall be interpreted as affecting the provisions of Council Decision 2009/426/JHA of 16 December 2008 on the strengthening of Eurojust and amending Decision 2002/187/JHA setting up Eurojust with a view to reinforcing the fight against serious crime 
(
6
)
 which concern data protection and the liability for any unauthorised or incorrect processing of such data by national members of Eurojust, their deputies, assistants and specifically authorised staff, or as affecting the powers of the Joint Supervisory Body set up pursuant to that Decision.
4.   No parts of the Customs Information System to which the national members of Eurojust, their deputies, assistants and specifically authorised staff have access shall be connected to any computer system for data collection and processing in operation by or at Eurojust, nor shall any data contained in the former be transferred to the latter, nor shall any part of the Customs Information System be downloaded.
5.   Access to data entered in the Customs Information System shall be limited to the national members of Eurojust, their deputies, assistants and specifically authorised staff and shall not be extended to other Eurojust staff.
CHAPTER IV
AMENDMENT OF DATA
Article 13
1.   Only the supplying Member State shall have the right to amend, supplement, rectify or erase data which it has entered in the Customs Information System.
2.   Should a supplying Member State note, or have drawn to its attention, that the data it entered are factually inaccurate or were entered, or are stored contrary to this Decision, it shall amend, supplement, rectify or erase the data, as appropriate, and shall inform the other Member States, Europol and Eurojust accordingly.
3.   If a Member State, Europol or Eurojust has evidence to suggest that an item of data is factually inaccurate, or was entered or is stored in the Customs Information System, contrary to this Decision, it shall inform thereof the supplying Member State as soon as possible. The latter shall check the data concerned and, if necessary, rectify or erase the item without delay. The supplying Member State shall inform the other Member States, Europol and Eurojust of any rectification or erasure effected.
4.   If, when entering data in the Customs Information System, a Member State notes that its report conflicts with a previous report as to content or suggested action, it shall immediately inform thereof the Member State which made the previous report. The two Member States shall then attempt to resolve the matter. In the event of disagreement, the first report shall stand, but those parts of the new report which do not conflict with the first report shall be entered in the System.
5.   Subject to this Decision, where in any Member State a court, or other competent authority within that Member State, makes a final decision as to amendment, supplementation, rectification or erasure of data in the Customs Information System, the Member States undertake mutually to enforce such a decision. In the event of conflict between such decisions of courts or other competent authorities in different Member States, including those referred to in Article 23(1), concerning rectification or erasure, the Member State which entered the data in question shall erase them from the System.
CHAPTER V
RETENTION OF DATA
Article 14
1.   Data entered into the Customs Information System shall be kept only for the time necessary to achieve the purpose for which they were entered. The need for their retention shall be reviewed at least annually by the supplying Member State.
2.   The supplying Member State may, within the review period, decide to retain data until the next review if their retention is necessary for the purposes for which they were entered. Without prejudice to Articles 22 and 23, if there is no decision to retain data, they shall automatically be transferred to that part of the Customs Information System to which access shall be limited in accordance with paragraph 4 of this Article.
3.   The Customs Information System shall automatically inform the supplying Member State of a scheduled transfer of data from the Customs Information System under paragraph 2, giving one month’s notice.
4.   Data transferred under paragraph 2 of this Article shall continue to be retained for one year within the Customs Information System but, without prejudice to Articles 22 and 23, shall be accessible only to a representative of the Committee referred to in Article 27 or to the supervisory authorities referred to in Articles 24 and 25(1). During that period they may consult the data only for the purposes of checking their accuracy and lawfulness, after which the data have to be erased.
CHAPTER VI
CREATION OF A CUSTOMS FILES IDENTIFICATION DATABASE
Article 15
1.   The Customs Information System shall contain data in accordance with this Chapter, in addition to data contained in accordance with Article 3, in a special database (hereinafter referred to as the customs files identification database). Without prejudice to the provisions of this Chapter and of Chapters VII and VIII, all the provisions of this Decision shall also apply to the customs files identification database. However, the exception in Article 21(2) shall not apply.
2.   The aim of the customs files identification database shall be to enable the national authorities responsible for carrying out customs investigations designated pursuant to Article 7, when opening a file on or investigating one or more persons or businesses, and for Europol and Eurojust, to identify competent authorities of other Member States which are investigating or have investigated those persons or businesses, in order, through information on the existence of investigation files, to achieve the aim referred to in Article 1(2).
3.   For the purposes of the customs files identification database, each Member State shall send the other Member States, Europol, Eurojust and the Committee referred to in Article 27 a list of serious contraventions of its national laws.
This list shall comprise only contraventions that are punishable:
(a)
by deprivation of liberty or a detention order for a maximum period of not less than 12 months; or
(b)
by a fine of at least EUR 15 000.
4.   If the Member State retrieving data from the customs files identification database requires further information on the stored investigation file on a person or a business, it shall request the assistance of the supplying Member State on the basis of the instruments in force relating to mutual assistance.
CHAPTER VII
OPERATION AND USE OF THE CUSTOMS FILES IDENTIFICATION DATABASE
Article 16
1.   Data from investigation files will be entered into the customs files identification database only for the purposes set out in Article 15(2). The data shall only cover the following categories:
(a)
a person or a business which is or has been the subject of an investigation file opened by a competent authority of a Member State, and which:
(i)
in accordance with the national law of the Member State concerned, is suspected of committing or having committed, or participating or having participated in the commission of, a serious infringement of national laws;
(ii)
has been the subject of a report establishing that such an infringement has taken place; or
(iii)
has been the subject of an administrative or judicial sanction for such an infringement;
(b)
the field covered by the investigation file;
(c)
the name, nationality and contact information of the Member State’s authority handling the case, together with the file number.
Data referred to in points (a) to (c) shall be entered in a data record separately for each person or business. Links between data records shall not be permitted.
2.   The personal data referred to in paragraph 1(a) shall consist of only the following:
(a)
for persons: name, maiden name, forenames, former surnames and aliases, date and place of birth, nationality and sex;
(b)
for businesses: business name, name under which trade is conducted, address, VAT identifier and excise duties identification number.
3.   Data shall be entered for a limited period in accordance with Article 19.
Article 17
A Member State shall not be obliged to make entries pursuant to Article 16 in any particular case if, and for such time as, this would harm public policy or other essential interests, especially as this would present an immediate and serious threat to its public security or to the public security of another Member State or a third country; or where other essential interests of equal importance are at stake; or where such entries could pose serious harm to the rights of individuals or would prejudice an ongoing investigation.
Article 18
1.   Entry of data in the customs files identification database and consultation thereof shall be reserved to the authorities referred to in Article 15(2).
2.   Any consultation concerning the customs files identification database shall cover the following personal data:
(a)
for persons: forename, and/or name, and/or maiden name, and/or former surnames, and/or aliases, and/or date of birth;
(b)
for businesses: business name, and/or name under which trade is conducted, and/or address, and/or VAT identifier, and/or excise duties identification number.
CHAPTER VIII
PERIOD OF RETENTION OF DATA IN THE CUSTOMS FILES IDENTIFICATION DATABASE
Article 19
1.   Storage periods shall be determined in accordance with the laws, regulations and procedures of the Member State entering the data. However, the following time limits, starting on the date on which the data were entered in the file, shall not be exceeded:
(a)
data relating to current investigation files shall not be retained beyond a period of three years if it has not been established that an infringement has taken place within that time period. The data shall be erased before the expiry of the three-year period if 12 months have passed since the last investigative act;
(b)
data relating to investigation files which have established that an infringement has taken place but which have not yet led to a conviction or to imposition of a fine shall not be retained beyond a period of six years;
(c)
data relating to investigation files which have led to a conviction or a fine shall not be retained beyond a period of 10 years.
2.   At all stages of an investigation as referred to in points (a) to (c) of paragraph 1, as soon as a person or business within the scope of Article 16 is eliminated from an investigation pursuant to the laws and administrative regulations of the supplying Member State, all data relating to that person or business shall be erased immediately.
3.   Data shall automatically be erased from the customs files identification database as from the date on which the data retention periods laid down in paragraph 1 are exceeded.
CHAPTER IX
PERSONAL DATA PROTECTION
Article 20
Framework Decision 2008/977/JHA shall apply to the protection of the data exchange in accordance with this Decision unless otherwise provided in this Decision.
Article 21
1.   Data may be duplicated only for technical purposes, provided that such duplication is necessary for direct searching by the authorities referred to in Article 7.
2.   Subject to Article 8(1), personal data entered by other Member States may not be copied from the Customs Information System into other national data files, except those copies held in systems of risk management used to direct national customs controls or copies held in an operational analysis system used to coordinate actions. Such copies may be made to the extent necessary for specific cases or investigations.
3.   In the two exceptional cases provided for in paragraph 2, only the analysts authorised by the national authorities of each Member State shall be empowered to process personal data obtained from the Customs Information System within the framework of a risk management system used to direct customs controls by national authorities or of an operational analysis system used to coordinate actions.
4.   Each Member State shall send other Member States and the Committee referred to in Article 27 a list of the risk-management departments whose analysts are authorised to copy and process personal data entered in the Customs Information System.
5.   Personal data copied from the Customs Information System shall be kept only for the time necessary to achieve the purpose for which they were copied. The need for their retention shall be reviewed at least annually by the Member State which carried out the copying. The storage period shall not exceed ten years. Personal data which are not necessary for the continuation of the operational analysis shall be erased immediately or have any identifying factors removed.
Article 22
The rights of persons with regard to personal data in the Customs Information System, in particular their right of access, to rectification, erasure or blocking shall be exercised in accordance with the laws, regulations and procedures of the Member State implementing Framework Decision 2008/977/JHA in which such rights are invoked. Access shall be refused to the extent that such refusal is necessary and proportionate in order not to jeopardise any ongoing national investigations, or during the period of discreet surveillance or sighting and reporting. When the applicability of such an exemption is assessed, the legitimate interests of the person concerned shall be taken into account.
Article 23
1.   In the territory of each Member State, any person may, in accordance with the laws, regulations and procedures of the Member State in question, bring an action or, if appropriate, a complaint before the courts or the authority competent under the laws, regulations and procedures of that Member State concerning personal data relating to himself on the Customs Information System, in order to:
(a)
rectify or erase factually inaccurate personal data;
(b)
rectify or erase personal data entered or stored in the Customs Information System contrary to this Decision;
(c)
obtain access to personal data;
(d)
block personal data;
(e)
obtain compensation pursuant to Article 30(2).
2.   Without prejudice to the provisions of Article 31, the Member States concerned undertake mutually to enforce the final decisions taken by a court, or other competent authority, pursuant to points (a) to (c) of paragraph 1 of this Article.
Article 24
Each Member State shall designate a national supervisory authority or authorities responsible for personal data protection to carry out independent supervision of such data included in the Customs Information System in accordance with Framework Decision 2008/977/JHA.
Article 25
1.   A Joint Supervisory Authority shall be set up, consisting of two representatives from each Member State’s respective independent national supervisory authority or authorities.
2.   The Joint Supervisory Authority shall monitor and ensure the application of the provisions of this Decision and Framework Decision 2008/977/JHA as concerns the protection of natural persons with respect to the processing of personal data through the Customs Information System.
3.   To that end, the Joint Supervisory Authority shall be competent to supervise operation of the Customs Information System, to examine any difficulties of application or interpretation which may arise during its operation, to study problems which may arise with regard to the exercise of independent supervision by the national supervisory authorities of the Member States, or in the exercise of rights of access by individuals to the System, and to draw up proposals for the purpose of finding joint solutions to problems.
4.   For the purpose of fulfilling its responsibilities, the Joint Supervisory Authority shall have access to the Customs Information System.
5.   Reports drawn up by the Joint Supervisory Authority shall be forwarded to the authorities to which the national supervisory authorities submit their reports, to the European Parliament and the Council.
Article 26
1.   The European Data Protection Supervisor shall supervise the activities of the Commission regarding the Customs Information System. The duties and powers referred to in Articles 46 and 47 of Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data 
(
7
)
 shall apply accordingly.
2.   The Joint Supervisory Authority and the European Data Protection Supervisor, each acting within the scope of their respective competences, shall cooperate in the framework of their responsibilities and shall ensure coordinated supervision of the Customs Information System, including for issuing relevant recommendations.
3.   The Joint Supervisory Authority and the European Data Protection Supervisor shall meet for that purpose at least once a year. The costs and servicing of these meetings shall be for the account of the European Data Protection Supervisor.
CHAPTER X
INSTITUTIONAL FRAMEWORK
Article 27
1.   A Committee consisting of representatives from the customs administrations of the Member States shall be set up. The Committee shall take its decisions unanimously where the provisions of paragraph 2(a) are concerned and by a two-thirds majority where the provisions of paragraph 2(b) are concerned. It shall adopt its rules of procedure by unanimity.
2.   The Committee shall be responsible:
(a)
for the implementation and correct application of the provisions of this Decision, without prejudice to the powers of the authorities referred to in Articles 24, 25(1) and 26(1);
(b)
for the proper functioning of the Customs Information System with regard to technical and operational aspects. The Committee shall take all necessary steps to ensure that the measures set out in Articles 14 and 28 are properly implemented with regard to the Customs Information System.
For the purpose of applying this paragraph, the Committee may have direct access to, and use of, data from the Customs Information System.
3.   The Committee shall report annually to the Council, in accordance with Title VI of the Treaty on European Union, regarding the efficiency and effectiveness of the Customs Information System, making recommendations as necessary. That report shall be sent to the European Parliament for information.
4.   The Commission shall take part in the Committee’s proceedings.
CHAPTER XI
SECURITY OF THE CUSTOMS INFORMATION SYSTEM
Article 28
1.   All necessary administrative measures to maintain security shall be taken:
(a)
by the competent authorities of the Member States in respect of the terminals of the Customs Information System in their respective Member States and by Europol and Eurojust;
(b)
by the Committee referred to in Article 27 in respect of the Customs Information System and the terminals located on the same premises as the System and used for technical purposes and the checks required by paragraph 3 of this Article.
2.   In particular the competent authorities, Europol, Eurojust and the Committee referred to in Article 27 shall take measures:
(a)
to prevent any unauthorised person from having access to installations used for the processing of data;
(b)
to prevent data and data media from being read, copied, modified or removed by unauthorised persons;
(c)
to prevent the unauthorised entry of data and any unauthorised consultation, modification or erasure of data;
(d)
to prevent data in the Customs Information System from being accessed by unauthorised persons by means of data transmission equipment;
(e)
to guarantee that, with respect to the use of the Customs Information System, authorised persons have right of access only to data for which they have competence;
(f)
to guarantee that it is possible to check and establish to which authorities data may be transmitted by data-transmission equipment;
(g)
to guarantee that it is possible to check and establish 
a posteriori
 what data have been entered in the Customs Information System, when and by whom, and to monitor searches;
(h)
to prevent the unauthorised reading, copying, modification or erasure of data during the transmission of data and the transport of data media.
3.   The Committee referred to in Article 27 shall monitor queries of the Customs Information System for the purpose of checking that searches made were admissible and were made by authorised users. At least 1 % of all searches made shall be checked. A record of such searches and checks shall be maintained in the System and shall be used only for the abovementioned purpose by that Committee and the supervisory authorities referred to in Articles 24 and 25. It shall be erased after six months.
Article 29
The competent customs administration referred to in Article 10(1) shall be responsible for the security measures set out in Article 28, in relation to the terminals located in the territory of the Member State concerned, the review functions set out in Article 14(1) and (2) and Article 19, and otherwise for the proper implementation of this Decision so far as is necessary under the laws, regulations and procedures of that Member State.
CHAPTER XII
RESPONSIBILITIES AND LIABILITIES
Article 30
1.   Each Member State shall ensure that the data it has entered into the Customs Information System in accordance with Articles 3, 4(1) and 8 of Framework Decision 2008/977/JHA are accurate, up to date, complete, reliable and entered lawfully.
2.   Each Member State shall be liable in accordance with its national law for any damage caused to a person through the use of the Customs Information System. This shall also apply to damage caused by a Member State entering inaccurate data or entering or storing data unlawfully.
3.   If a recipient Member State pays compensation for damage caused by the use of inaccurate data entered into the Customs Information System by another Member State, the latter Member States shall refund to the recipient Member State the amount paid in damages, taking into account any fault that may lie with the recipient Member State.
4.   Europol and Eurojust shall be liable in accordance with the acts which established them.
Article 31
1.   Costs relating to the acquisition, study, development and maintenance of central computer infrastructure (hardware), software and dedicated network connections, and to related production, support and training services, which cannot be kept separate from the operation of the Customs Information System for the purpose of applying the customs and agricultural rules of the Community, and costs relating to the use of the Customs Information System by the Member States in their territories, including communication costs, shall be borne by the general budget of the European Communities.
2.   Costs relating to the maintenance of the national work stations/terminals incurred in the implementation of this Decision shall be borne by the Member States.
CHAPTER XIII
IMPLEMENTATION AND FINAL PROVISIONS
Article 32
The information provided for under this Decision shall be exchanged directly between the authorities of the Member States.
Article 33
The Member States shall ensure that their national law conforms to this Decision by 27 May 2011.
Article 34
1.   This Decision replaces the CIS Convention, as well as the Protocol of 12 March 1999 drawn up on the basis of Article K.3 of the Treaty on European Union, on the scope of the laundering of proceeds in the Convention on the use of information technology for customs purposes and the inclusion of the registration number of the means of transport in the Convention 
(
8
)
 and the Protocol of 8 May 2003 established in accordance with Article 34 of the Treaty on European Union, amending, as regards the creation of a customs files identification database, the Convention on the use of information technology for customs purposes 
(
9
)
 with effect from 27 May 2011.
2.   Consequently, the CIS Convention and the Protocols referred to in paragraph 1 shall be repealed with effect from the date of application of this Decision.
Article 35
Unless otherwise provided in this Decision, measures implementing the CIS Convention and Protocols referred to in Article 34(1) shall be repealed with effect from 27 May 2011.
Article 36
1.   This Decision shall enter into force on the 20th day following its publication in the 
Official Journal of the European Union
.
2.   It shall apply from 27 May 2011.
Done at Brussels, 30 November 2009.
For the Council
The President
B. ASK
(
1
)
  Opinion of 24 November 2009 (not yet published in the Official Journal).
(
2
)
  
            
OJ L 350, 30.12.2008, p. 60
.
(
3
)
  Regulation (EC) No 766/2008 of the European Parliament and of the Council of 9 July 2008 amending Council Regulation (EC) No 515/97 on mutual assistance between the administrative authorities of the Member States and cooperation between the latter and the Commission to ensure the correct application of the law on customs and agricultural matters (
OJ L 218, 13.8.2008, p. 48
).
(
4
)
  
            
OJ C 316, 27.11.1995, p. 33
.
(
5
)
  
            
OJ L 121, 15.5.2009, p. 37
.
(
6
)
  
            
OJ L 138, 4.6.2009, p. 14
.
(
7
)
  
            
OJ L 8, 12.1.2001, p. 1
.
(
8
)
  
            
OJ C 91, 31.3.1999, p. 2
.
(
9
)
  
            
OJ C 139, 13.6.2003, p. 2
.

Summary:
Information technology for customs purposes
SUMMARY OF:
Decision 2009/917/JHA on the use of information technology for customs purposes
WHAT IS THE AIM OF THE DECISION?
It replaces and updates the 1995 
customs information system convention (CIS convention)
 and brings it into line with Regulation (EC) 
No 
766/2008
 which amends Regulation (EC) 
No 
515/97
 (see 
summary
) on cooperation between EU countries and the 
European Commission
 to ensure the law on customs and agriculture is correctly applied.
The CIS aims to assist in preventing, investigating and prosecuting serious contraventions of national laws by making information available more rapidly, increasing the effectiveness of EU countries’ customs cooperation and control procedures.
KEY POINTS
The CIS consists of a 
central database
, accessible from every EU country. It comprises exclusively data necessary to achieve its aim, including personal data, in the following areas:
commodities (products that can be bought or sold);
means of transport;
businesses;
persons;
fraud trends;
availability of expertise;
items detained, seized or confiscated;
cash detained, seized or confiscated.
Data protection
Directive (EU) 
2016/680
 applies to data protection unless otherwise provided for in this decision.
The CIS contains the data (including that of a personal character) necessary to achieve the system’s objective through activities such as sighting and reporting, discreet surveillance, specific checks and strategic and operational analysis.
This decision respects the fundamental rights and adheres to the principles recognised in particular by the 
Charter of Fundamental Rights of the European Union
. It does not prevent EU countries from applying their constitutional rules relating to public access to official documents.
Only the EU countries supplying the information to the CIS database have the right to amend, add or erase that data.
Data will be kept only for the time necessary to achieve the purpose for which it was entered. The need for retention is reviewed at least annually by the supplying country.
Customs files identification database
A special database known as the customs files identification database was set up, allowing national authorities to know whether persons or businesses they are investigating are also being investigated or have been investigated in other EU countries. For the purpose of this database EU countries share among themselves, as well as with 
Europol
 and 
Eurojust
, a list of serious contraventions of national laws: those punishable by.at least a 12-month custodial sentence or a fine of at least €15,000.
An EU country is not obliged to share information with this special database where this would harm public policy or other essential interests.
Data is retained for 3 years if it has not been established that an infringement has taken place, with data erased 12 months after the most recent investigative act. This is extended to 6 years where there is an infringement that has not led to a conviction or 10 years where there has been a conviction.
Supervision and administration
Each EU country designates a national supervisory authority or authorities responsible for personal data protection to carry out independent supervision of data covered by the decision. A joint supervisory authority was also set up, consisting of 2 representatives from each EU country’s respective national supervisory authority.
The 
European Data Protection Supervisor
 oversees the activities of the Commission regarding the CIS.
A committee consisting of representatives from the customs administrations of the EU countries, with the involvement of the Commission, is responsible for the implementation and correct application of this decision (based on unanimity) and the proper technical and operational functioning of the CIS (decisions by two-thirds majority).
FROM WHEN DOES THE DECISION APPLY?
It has applied since 
27 May 2011
.
BACKGROUND
For more information, see:
Customs Information Systems
 (
European Data Protection Supervisor
).
MAIN DOCUMENT
Council Decision 
2009/917/JHA
 of 
30 November 2009
 on the use of information technology for customs purposes (OJ L 323, 
10.12.2009
, 
pp. 20-30
)
RELATED DOCUMENTS
Directive (EU) 
2016/680
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 
4.5.2016
, 
pp. 89-131
)
Successive amendments to Directive (EU) 2016/680 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
Council Regulation (EC) 
No 
515/97
 of 
13 March 1997
 on mutual assistance between the administrative authorities of the Member States and cooperation between the latter and the Commission to ensure the correct application of the law on customs or agricultural matters (OJ L 82, 
22.3.1997
, 
pp. 1-16
)
See 
consolidated version
.
last update 
8.11.2019

--- DANISH ---

Document:
10.12.2009
DA
Den Europæiske Unions Tidende
L 323/20
RÅDETS AFGØRELSE 2009/917/RIA
af 30. november 2009
om brug af informationsteknologi på toldområdet
RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Union, særlig artikel 30, stk. 1, litra a), og artikel 34, stk. 2, litra c),
under henvisning til Den Franske Republiks initiativ,
under henvisning til udtalelse fra Europa-Parlamentet 
(
1
)
, og
ud fra følgende betragtninger:
(1)
Toldadministrationerne har sammen med andre kompetente myndigheder ved Fællesskabets ydre grænser og inden for dets territoriale grænser ansvaret for at forebygge, efterforske og retsforfølge overtrædelser ikke blot af Fællesskabets retsforskrifter, men også af nationale love.
(2)
Den stigende ulovlige handel af enhver art udgør en alvorlig trussel mod den offentlige sundhed, sædelighed og sikkerhed.
(3)
Det er nødvendigt at udbygge samarbejdet mellem toldadministrationerne ved at fastlægge procedurer, hvorefter toldadministrationerne kan handle i fællesskab og udveksle personoplysninger og andre oplysninger om ulovlig handel ved brug af ny teknologi til behandling og transmission af sådanne oplysninger og under iagttagelse af Rådets rammeafgørelse 2008/977/RIA af 27. november 2008 om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager 
(
2
)
 og principperne i Europarådets Ministerudvalgs anbefaling R (87) 15 af 17. september 1987 om politiets brug af personoplysninger, i det følgende benævnt »anbefaling R (87) 15«.
(4)
Det er ligeledes nødvendigt at sikre en større komplementaritet med de aktioner, der gennemføres i forbindelse med samarbejdet med Den Europæiske Politienhed (Europol) og Den Europæiske Enhed for Retligt Samarbejde (Eurojust), ved at give disse enheder adgang til toldinformationssystemet, herunder til det elektroniske sagsregister på toldområdet, så de kan udføre deres opgaver inden for rammerne af deres mandat.
(5)
Læseadgang til toldinformationssystemet bør give Europol mulighed for at foretage krydskontrol mellem oplysninger indsamlet på anden måde og oplysninger, der er tilgængelige i de nævnte databaser, og at indkredse nye forbindelser, der tidligere ikke kunne opdages, således at der kan udføres mere fuldstændige analyser. Læseadgang til det elektroniske sagsregister på toldområdet bør give Europol mulighed for at afdække forbindelser, som Europol hidtil ikke var bekendt med, mellem kriminalefterforskninger med en EU-dimension og en ikke-EU-dimension.
(6)
Læseadgang til toldinformationssystemet bør give Eurojust mulighed for øjeblikkelig at få de oplysninger, der kræves for at danne sig et korrekt første overblik, så retlige hindringer kan identificeres og imødegås, og så retsforfølgningen kan give bedre resultater. Læseadgang til det elektroniske sagsregister på toldområdet bør give Eurojust mulighed for at få oplysninger om igangværende og afsluttede efterforskninger i forskellige medlemsstater, så man i højere grad kan støtte de retslige myndigheder i medlemsstaterne.
(7)
Eftersom toldadministrationerne i deres daglige arbejde skal administrere såvel fællesskabsforskrifter som ikke-fællesskabs forskrifter, er der behov for at sikre, at bestemmelserne om gensidig bistand og administrativt samarbejde udbygges parallelt. Der bør derfor tages hensyn til bestemmelserne vedrørende toldinformationssystemet og det elektroniske sagsregister på toldområdet i forordning (EF) nr. 766/2008 
(
3
)
.
(8)
Medlemsstaterne anerkender de fordele, som fuld brug af det elektroniske sagsregister på toldområdet vil indebære med hensyn til at koordinere og styrke bekæmpelsen af grænseoverskridende kriminalitet, og forpligter sig derfor til i videst muligt omfang at registrere oplysninger i denne database.
(9)
Af de erfaringer, der er gjort siden ikrafttrædelsen af konventionen om brug af informationsteknologi på toldområdet af 26. juli 1995 (i det følgende benævnt »CIS-konventionen«) 
(
4
)
, fremgår det, at det ikke er muligt at gennemføre hele formålet med toldinformationssystemet, som er at bistå med forebyggelse, efterforskning og retsforfølgning af alvorlige overtrædelser af de nationale love, hvis systemet udelukkende anvendes til observation og optagelse af rapport, diskret overvågning og målrettet kontrol.
(10)
En strategisk analyse skal hjælpe de ansvarlige på højeste plan med at definere projekter, mål og politikker for bekæmpelse af svig, at planlægge aktiviteter og at afsætte de nødvendige ressourcer til at nå de operationelle mål.
(11)
En operationel analyse af aktiviteter, midler og intentioner hos visse personer eller virksomheder, som ikke overholder eller ser ud til ikke at overholde de nationale love, bør hjælpe toldmyndighederne med at træffe passende foranstaltninger i bestemte tilfælde med henblik på at nå målene for bekæmpelse af svig.
(12)
Det er derfor hensigtsmæssigt at erstatte CIS-konventionen.
(13)
Denne afgørelse respekterer de grundlæggende rettigheder og overholder de principper, som navnlig anerkendes i Den Europæiske Unions charter om grundlæggende rettigheder.
(14)
Denne afgørelse er ikke til hinder for, at medlemsstaterne anvender deres egne forfatningsmæssige regler om aktindsigt i offentlige dokumenter —
TRUFFET FØLGENDE AFGØRELSE:
KAPITEL I
OPRETTELSE AF ET TOLDINFORMATIONSSYSTEM
Artikel 1
1.   Et fælles edb-baseret informationssystem til brug på toldområdet, i det følgende benævnt »toldinformationssystemet«, oprettes herved.
2.   Formålet med toldinformationssystemet er, i overensstemmelse med denne afgørelse, at bidrage til forebyggelse, efterforskning og retsforfølgning af alvorlige overtrædelser af nationale love ved en hurtigere udbredelse af oplysninger og således øge effektiviteten i medlemsstaternes toldadministrationers samarbejds- og kontrolprocedurer.
KAPITEL II
DEFINITIONER
Artikel 2
I denne afgørelse forstås ved:
1)   
»nationale love«
: en medlemsstats love eller forskrifter, som toldadministrationen i den pågældende medlemsstat helt eller delvis har kompetence til at administrere, når det gælder:
a)
vareforsendelser, der er underlagt forbud, restriktioner eller kontrolforanstaltninger, og særlig de foranstaltninger, der er omfattet af artikel 30 og 296 i traktaten om oprettelse af Det Europæiske Fællesskab (»EF-traktaten«)
b)
foranstaltninger til kontrol med bevægelser af likvide midler inden for Fællesskabet, hvis disse foranstaltninger er truffet i medfør af artikel 58 i EF-traktaten
c)
overførsel, konvertering, hemmeligholdelse eller maskering af formuegoder eller udbytte, der direkte eller indirekte hidrører fra eller er opnået i forbindelse med ulovlig international narkotikahandel eller ved overtrædelse af:
i)
en medlemsstats love eller administrative forskrifter, som toldadministrationen i den pågældende medlemsstat helt eller delvis har kompetence til at administrere, når det gælder grænseoverskridende vareforsendelser, der er underlagt forbud, restriktioner eller kontrolforanstaltninger, og særlig de foranstaltninger, der er omfattet af artikel 30 og 296 i EF-traktaten, samt ikke-harmoniserede punktafgifter
ii)
samtlige fællesskabsbestemmelser og bestemmelser, der er vedtaget til gennemførelse af fællesskabsbestemmelser, vedrørende indførsel, udførsel, transit og opbevaring af varer, der er genstand for samhandel mellem medlemsstaterne og tredjelande samt mellem medlemsstaterne indbyrdes for så vidt angår varer, der ikke har status som fællesskabsvarer efter artikel 23 i EF-traktaten, eller varer som skal kontrolleres eller undersøges yderligere for at få fastslået deres status som fællesskabsvarer
iii)
samtlige bestemmelser, der er vedtaget på fællesskabsplan inden for rammerne af den fælles landbrugspolitik, og specifikke bestemmelser, der er truffet vedrørende varer, som er frembragt ved forarbejdning af landbrugsprodukter, eller
iv)
samtlige bestemmelser, der er vedtaget på fællesskabsplan vedrørende harmoniserede punktafgifter og merværdiafgift ved indførslen, samt de nationale bestemmelser, der gennemfører dem eller har været anvendt i denne forbindelse
2)   
»personoplysninger«
: enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede); ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
3)   
»formidlende medlemsstat«
: en medlemsstat, som registrerer bestemte oplysninger i toldinformationssystemet
4)   
»operationel analyse«
: analyse af operationer, som udgør eller forekommer at udgøre overtrædelser af nationale love, bestående af følgende faser:
a)
indsamling af oplysninger, herunder personoplysninger
b)
evaluering af kildens og oplysningernes pålidelighed
c)
efterforskning, metodisk fremlæggelse og fortolkning af forbindelser mellem disse oplysninger eller mellem disse oplysninger og andre betydningsfulde data
d)
udformning af konstateringer, hypoteser eller henstillinger, som de kompetente myndigheder direkte kan anvende som risikoinformation til at forebygge eller afsløre andre operationer, som er i strid med nationale love, og/eller til med nøjagtighed at identificere de personer eller virksomheder, der er involveret i sådanne operationer
5)   
»strategisk analyse«
: undersøgelse og fremlæggelse af de generelle tendenser til overtrædelser af de nationale love gennem en evaluering af truslen om og omfanget og virkningerne af visse former for operationer, som er i strid med nationale love, med henblik på at fastlægge prioriteter, danne sig et bedre billede af fænomenet eller truslen, omlægge aktioner til forebyggelse og afsløring af svig og genoverveje tjenesternes opbygning. Kun anonymiserede oplysninger må anvendes til strategisk analyse.
KAPITEL III
DRIFT OG BRUG AF TOLDINFORMATIONSSYSTEMET
Artikel 3
1.   Toldinformationssystemet består af en central databaseenhed, hvortil der er adgang via terminaler i hver af medlemsstaterne. Systemet skal udelukkende omfatte oplysninger, herunder personoplysninger, der er nødvendige for at opfylde dets formål som fastlagt i artikel 1, stk. 2, af følgende kategorier:
a)
varer
b)
transportmidler
c)
virksomheder
d)
personer
e)
udviklingen i sager om svig
f)
disponibel ekspertbistand
g)
bevaring, beslaglæggelse eller konfiskering af varer
h)
bevaring, beslaglæggelse eller konfiskering af likvide midler.
2.   Kommissionen forestår den tekniske forvaltning af toldinformationssystemets infrastruktur i overensstemmelse med reglerne i de gennemførelsesforanstaltninger, som vedtages af Rådet.
Kommissionen aflægger beretning om forvaltningen til det udvalg, der er nævnt i artikel 27.
3.   Kommissionen meddeler dette udvalg de nærmere regler, som vedtages for den tekniske forvaltning.
Artikel 4
1.   Medlemsstaterne afgør, hvilke elementer der skal registreres i toldinformationssystemet under hver af kategorierne i artikel 3, stk. 1, i det omfang det er nødvendigt for at opfylde formålet med systemet. I kategorien i artikel 3, stk. 1, litra e), må der under ingen omstændigheder registreres personoplysninger.
2.   Inden for kategorierne i artikel 3, stk. 1, litra a) til d), må de personoplysninger, der registreres i systemet, ikke omfatte andet end følgende oplysninger:
a)
efternavn, pigenavn, fornavne, tidligere efternavne og kaldenavne
b)
fødselsdato og fødested
c)
nationalitet
d)
køn
e)
nummer på samt sted og dato for udstedelse af identitetspapirer (pas, identitetskort, kørekort)
f)
adresse
g)
særlige fysiske kendetegn af objektiv og blivende karakter
h)
årsagen til, at oplysningen er registreret
i)
anbefalet operation
j)
en advarselskode, der henviser til ethvert tidligere tilfælde af våbenbesiddelse, voldelig adfærd eller flugt fra myndighederne
k)
transportmidlets registreringsnummer.
3.   Inden for kategorien i artikel 3, stk. 1, litra f), må de personoplysninger, der registreres i systemet, ikke omfatte andet end eksperternes for- og efternavne.
4.   Inden for kategorierne i artikel 3, stk. 1, litra g) og h), må de personoplysninger, der registreres i systemet, ikke omfatte andet end:
a)
efternavn, pigenavn, fornavne, tidligere efternavne og kaldenavne
b)
fødselsdato og fødested
c)
nationalitet
d)
køn
e)
adresse.
5.   Personoplysninger af den art, der er nævnt i artikel 6 i rammeafgørelse 2008/977/RIA må under ingen omstændigheder registreres i toldinformationssystemet.
Artikel 5
1.   Oplysninger i kategorierne i artikel 3, stk. 1, litra a) til g), registreres udelukkende i toldinformationssystemet med henblik på observation og indberetning, diskret overvågning, målrettet kontrol og strategisk eller operationel analyse.
Oplysninger i kategorien i artikel 3, stk.1, litra h), registreres udelukkende i toldinformationssystemet med henblik på strategisk eller operationel analyse.
2.   I forbindelse med de operationer, der er omtalt i stk. 1, må personoplysninger inden for enhver af kategorierne i artikel 3, stk. 1, kun registreres i toldinformationssystemet, hvis der er vægtige grunde til at tro, specielt grundet tidligere ulovlig aktivitet, at den pågældende person har begået, er i færd med at begå eller har til hensigt at begå alvorlige overtrædelser af nationale love.
Artikel 6
1.   Hvis der gennemføres operationer af den art, der er omtalt i artikel 5, stk. 1, kan en eller flere af følgende oplysninger indsamles og overføres til den formidlende medlemsstat:
i)
oplysning om, at den vare, det transportmiddel, den virksomhed eller den person, der er formidlet oplysninger om, er fundet
ii)
sted og tidspunkt for kontroloperationen samt årsagen hertil
iii)
rejserute og mål
iv)
hvilke personer der ledsager den pågældende person eller befinder sig i transportmidlet
v)
hvilket transportmiddel der er benyttet
vi)
hvilke genstande der er transporteret
vii)
under hvilke omstændigheder varen, transportmidlet, virksomheden eller personen er fundet.
Når sådanne oplysninger indsamles i forbindelse med diskret overvågning, skal det sikres, at overvågningens skjulte karakter bibeholdes.
2.   I forbindelse med den målrettede kontrol, der omtales i artikel 5, stk. 1, kan der foretages undersøgelse af personer, transportmidler og genstande, i det omfang det er tilladt og i henhold til de love, administrative bestemmelser og procedurer, der gælder i den medlemsstat, hvor undersøgelsen finder sted. Hvis den målrettede kontrol ikke er tilladt ifølge en medlemsstats lovgivning, erstatter denne stat den automatisk med observation og indberetning eller diskret overvågning.
Artikel 7
1.   Direkte adgang til oplysninger registreret i toldinformationssystemet er forbeholdt de nationale myndigheder, der udpeges af hver medlemsstat. Disse nationale myndigheder omfatter toldadministrationerne, men kan tillige omfatte andre myndigheder, der ifølge den pågældende medlemsstats love, administrative bestemmelser og procedurer ligeledes har beføjelse til at arbejde for virkeliggørelsen af det i artikel 1, stk. 2, fastsatte formål.
2.   Hver medlemsstat tilsender de øvrige medlemsstater og det udvalg, der omtales i artikel 27, en liste over de myndigheder, der i overensstemmelse med denne artikels stk. 1 er udpeget til at have direkte adgang til toldinformationssystemet. For hver myndighed skal det angives, hvilke oplysninger den har adgang til og til hvilke formål.
3.   Uanset stk. 1 og 2 kan Rådet med enstemmighed give internationale eller regionale organisationer adgang til toldinformationssystemet. Rådet skal, hvis det træffer en sådan afgørelse, tage hensyn til alle gensidige ordninger og til enhver udtalelse fra den i artikel 25 omhandlede fælles tilsynsmyndighed om, hvorvidt databeskyttelsesforanstaltningerne er tilstrækkelige.
Artikel 8
1.   Medlemsstaterne, Europol og Eurojust må kun benytte oplysninger fra toldinformationssystemet til at opnå de formål, der er anført i artikel 1, stk. 2. Dog kan oplysningerne benyttes til administrative eller andre formål efter forudgående tilladelse fra den medlemsstat, der har registreret oplysningerne i systemet, og på de betingelser, den har stillet herfor. En sådan anden anvendelse skal være i overensstemmelse med de love, administrative bestemmelser og procedurer, der gælder i den medlemsstat, der ønsker at benytte oplysningerne, i overensstemmelse med artikel 3, stk. 2, i rammeafgørelse 2008/977/RIA og bør ske under hensyn til princip 5.2 i i anbefaling R (87) 15.
2.   Med forbehold af stk. 1 og 4 i nærværende artikel, artikel 7, stk. 3, samt artikel 11 og 12 må oplysninger fra toldinformationssystemet kun benyttes af de nationale myndigheder i en medlemsstat, der er udpeget af den pågældende medlemsstat, og som ifølge denne medlemsstats love, administrative bestemmelser og procedurer har beføjelse til at arbejde for virkeliggørelsen af det i artikel 1, stk. 2, fastsatte formål.
3.   Hver medlemsstat sender hver af de øvrige medlemsstater og det udvalg, der omtales i artikel 27, en liste over de kompetente myndigheder, den har udpeget i overensstemmelse med stk. 2 i denne artikel.
4.   Oplysninger fra toldinformationssystemet kan efter forudgående tilladelse fra den medlemsstat, der registrerede dem i systemet, og på de betingelser, som denne stat måtte stille, overføres til andre nationale myndigheder end dem, der er nævnt i denne artikels stk. 2, til tredjelande samt til internationale og regionale organisationer, der ønsker at gøre brug af dem. Hver medlemsstat træffer særlige foranstaltninger for at garantere oplysningernes sikkerhed, når de overføres til instanser uden for dens territorium. Den i artikel 25 omhandlede fælles tilsynsmyndighed skal underrettes om de nærmere enkeltheder i forbindelse med sådanne foranstaltninger.
Artikel 9
1.   For så vidt denne afgørelse ikke fastsætter strengere bestemmelser, gælder den formidlende stats love, administrative bestemmelser og procedurer for registrering af oplysninger i toldinformationssystemet.
2.   For så vidt denne afgørelse ikke fastsætter strengere bestemmelser, gælder for brug af oplysninger fra toldinformationssystemet, herunder for gennemførelse af en hvilken som helst operation på opfordring af den medlemsstat, der har udleveret oplysningerne, jf. artikel 5, stk. 1, de love, administrative bestemmelser og procedurer i den medlemsstat, der bruger disse oplysninger.
Artikel 10
1.   Hver medlemsstat udpeger en toldadministration, der på nationalt plan skal have ansvaret for toldinformationssystemet.
2.   Den i stk. 1 omhandlede administration er ansvarlig for, at toldinformationssystemet fungerer korrekt i den medlemsstat, og træffer de nødvendige foranstaltninger til sikring af, at denne afgørelse efterkommes.
3.   Medlemsstaterne meddeler hinanden, hvilken administration de har udpeget, jf. stk. 1.
Artikel 11
1.   Europol har ret til, inden for rammerne af sit mandat og for at kunne udføre sine opgaver, at få adgang til oplysningerne i toldinformationssystemet, jf. artikel 1, 3-6 og 15-19, og til at søge i dem.
2.   Såfremt en søgning foretaget af Europol viser, at der er overensstemmelse mellem oplysninger behandlet af Europol og oplysninger registreret i toldinformationssystemet, underretter Europol ad de kanaler, der er fastlagt i Rådets afgørelse 2009/371/RIA af 6. april 2009 om oprettelse af en europæisk politienhed (Europol) 
(
5
)
, den formidlende medlemsstat.
3.   Anvendelse af oplysninger, der er tilvejebragt gennem søgning i toldinformationssystemet, kan kun finde sted med samtykke fra den medlemsstat, der har registreret oplysningerne i systemet. Hvis den pågældende medlemsstat giver sit samtykke til at anvende disse oplysninger, skal behandlingen af dem ske i henhold til afgørelse 209/371/RIA. Europol kan kun overføre sådanne oplysninger til tredjelande og eksterne organer med samtykke fra den formidlende medlemsstat.
4.   Europol kan anmode om yderligere oplysninger fra de berørte medlemsstater i overensstemmelse med afgørelse 2009/371/RIA.
5.   Europol forbinder ikke de dele af toldinformationssystemet, som det har adgang til, med noget computersystem til dataindsamling og -behandling, der anvendes i eller af Europol, og overfører ikke de deri indeholdte oplysninger til et sådant system eller downloader eller kopierer på anden måde nogen del af toldinformationssystemet, jf. dog bestemmelserne i stk. 3 og 4.
Europol begrænser adgangen til oplysninger i toldinformationssystemet til særligt bemyndiget Europolpersonale.
Europol tillader Den Fælles Kontrolinstans, jf. artikel 34 i afgørelse 2009/371/RIA, at overvåge Europols virksomhed, når den udøver sin ret til adgang til og søgning i oplysninger i toldinformationssystemet.
6.   Intet i denne artikel skal fortolkes som en indskrænkning af bestemmelserne i afgørelse 2009/371/RIA angående databeskyttelse og ansvar for Europolpersonales uautoriserede eller ukorrekte behandling af sådanne data, eller som en indskrænkning af de beføjelser, der er tillagt Den Fælles Kontrolinstans, der er oprettet i henhold til nævnte afgørelse.
Artikel 12
1.   De nationale medlemmer af Eurojust og de personer, der er stedfortrædere for og bistår dem, samt specifikt bemyndiget personale har ret til, inden for rammerne af deres mandat og for at kunne udføre Eurojusts opgaver, at få adgang til oplysningerne i toldinformationssystemet, jf. artikel 1, 3-6 og 15-19, og til at søge i disse oplysninger.
2.   Såfremt en søgning foretaget af et nationalt medlem af Eurojust, dennes stedfortræder, en person, der bistår den pågældende, eller specifikt bemyndiget personale viser, at der er overensstemmelse mellem oplysninger behandlet af Eurojust og oplysninger registreret i toldinformationssystemet, underretter den pågældende den formidlende medlemsstat. Fremsendelse af oplysninger, der er skaffet ved en sådan søgning, må kun ske til tredjelande og eksterne organer med den formidlende medlemsstats samtykke.
3.   Intet i denne artikel skal fortolkes som en indskrænkning af de bestemmelser i Rådets afgørelse 2009/426/RIA af 16. december 2008 om styrkelse af Eurojust og om ændring af afgørelse 2002/187/RIA om oprettelse af Eurojust for at styrke bekæmpelsen af grov kriminalitet 
(
6
)
, der angår databeskyttelse og ansvar for uautoriseret eller ukorrekt behandling af sådanne data, foretaget af nationale medlemmer af Eurojust, deres stedfortrædere, de personer, der bistår dem, og specifikt bemyndiget personale, eller som en indskrænkning af de beføjelser, der er tillagt Den Fælles Kontrolinstans, der er oprettet i henhold til ovennævnte afgørelse.
4.   Ingen dele af toldinformationssystemet, som de nationale medlemmer af Eurojust, deres stedfortrædere, de personer, der bistår dem, og specifikt bemyndiget personale har adgang til, må tilkobles noget computersystem til dataindsamling og -behandling, der anvendes i eller af Eurojust, og ingen oplysninger indeholdt i førstnævnte må overføres til sidstnævnte, ligesom ingen dele af toldinformationssystemet må downloades.
5.   Adgang til oplysninger, der er registreret i toldinformationssystemet, er begrænset til nationale medlemmer af Eurojust, deres stedfortrædere, de personer, der bistår dem, og specifikt bemyndiget personale og omfatter ikke andet Eurojustpersonale.
KAPITEL IV
ÆNDRING AF OPLYSNINGER
Artikel 13
1.   Kun den formidlende medlemsstat har ret til at ændre, supplere, berigtige eller slette oplysninger, som den har registreret i toldinformationssystemet.
2.   Hvis en formidlende medlemsstat bemærker eller bliver gjort opmærksom på, at de oplysninger, den har registreret, er ukorrekte, eller at de er blevet registreret eller lagres i strid med denne afgørelse, ændrer, supplerer, berigtiger eller sletter den oplysningerne og underretter de øvrige medlemsstater, Europol og Eurojust herom.
3.   Hvis en medlemsstat, Europol eller Eurojust har grund til at formode, at en oplysning er ukorrekt eller er blevet registreret eller lagres i toldinformationssystemet i strid med denne afgørelse, underretter den hurtigst muligt den formidlende medlemsstat herom. Den pågældende stat kontrollerer oplysningen og berigtiger eller sletter den omgående, hvis det er nødvendigt. Den formidlende medlemsstat underretter de øvrige medlemsstater, Europol og Eurojust om enhver berigtigelse eller sletning.
4.   Hvis en medlemsstat under registreringen af oplysninger i toldinformationssystemet bliver opmærksom på, at dens rapport er i strid med en tidligere rapport for så vidt angår indholdet eller den anbefalede operation, skal den omgående underrette den medlemsstat, der har udarbejdet den tidligere rapport herom. De to medlemsstater søger derefter at løse problemet. Hvis der ikke opnås enighed, står den første rapport ved magt, men de dele af den nye rapport, der ikke er i modstrid med den første, registreres i systemet.
5.   Hvis en domstol eller en anden hertil beføjet myndighed i en medlemsstat træffer en endelig afgørelse om, at oplysninger i toldinformationssystemet skal ændres, suppleres, berigtiges eller slettes, påhviler det medlemsstaterne selv at fuldbyrde en sådan afgørelse i henhold til denne afgørelse. Hvis der er uoverensstemmelse mellem sådanne afgørelser truffet af domstole eller andre kompetente myndigheder i forskellige medlemsstater, herunder de domstole, der er omtalt i artikel 23, stk. 1, vedrørende berigtigelse eller sletning, skal den medlemsstat, som har registreret de pågældende oplysninger, slette dem fra systemet.
KAPITEL V
LAGRING AF OPLYSNINGER
Artikel 14
1.   Oplysninger, der er registreret i toldinformationssystemet, lagres kun så længe, det er nødvendigt for at opfylde det formål, af hensyn til hvilket de blev registreret. Mindst en gang om året undersøger den formidlende medlemsstat, om det er nødvendigt fortsat at lagre oplysningerne.
2.   Den formidlende medlemsstat kan i løbet af undersøgelsesperioden beslutte at lagre oplysningerne indtil næste undersøgelse, hvis det er nødvendigt for at opfylde de formål, af hensyn til hvilke de blev registreret. Hvis der ikke træffes nogen beslutning om at lagre oplysningerne, overføres de automatisk til den del af toldinformationssystemet, som der i henhold til stk. 4 i denne artikel er begrænset adgang til, jf. dog artikel 22 og 23.
3.   Toldinformationssystemet skal automatisk med en måneds varsel underrette den formidlende medlemsstat om en planlagt overførsel af oplysninger fra systemet i henhold til stk. 2.
4.   Oplysninger, der er overført i henhold til denne artikels stk. 2, lagres fortsat i toldinformationssystemet i et år, men er med forbehold af artikel 22 og 23 kun tilgængelige for en repræsentant for det udvalg, der er nævnt i artikel 27, eller for de tilsynsmyndigheder, der omtales i artikel 24, og artikel 25, stk. 1. I løbet af denne periode må oplysningerne kun konsulteres med det formål at kontrollere, om de er korrekte og i overensstemmelse med gældende bestemmelser, og efter periodens udløb skal oplysningerne slettes.
KAPITEL VI
OPRETTELSE AF ET ELEKTRONISK SAGSREGISTER PÅ TOLDOMRÅDET
Artikel 15
1.   Ud over de oplysninger, der er indeholdt i henhold til artikel 3, indeholder toldinformationssystemet i en særlig database, i det følgende benævnt »det elektroniske sagsregister på toldområdet«, oplysninger henhørende under dette kapitel. Med forbehold af bestemmelserne i dette kapitel og i kapitel VII og VIII finder alle bestemmelser i denne afgørelse ligeledes anvendelse på det elektroniske sagsregister på toldområdet. Undtagelsen i artikel 21, stk. 2, finder dog ikke anvendelse.
2.   Formålet med det elektroniske sagsregister på toldområdet er at gøre det muligt for de nationale myndigheder, der er ansvarlige for gennemførelsen af toldefterforskninger, og som er udpeget i henhold til artikel 7, når de indleder eller har indledt en efterforskning vedrørende en eller flere personer eller virksomheder, samt for Europol og Eurojust at finde frem til de kompetente myndigheder i de øvrige medlemsstater, der er ved at foretage eller har foretaget en efterforskning vedrørende disse personer eller virksomheder, for at opfylde det mål, der er omhandlet i artikel 1, stk. 2, ved hjælp af oplysninger om, hvorvidt der er allerede er foretaget efterforskning.
3.   Til brug for det elektroniske sagsregister på toldområdet sender hver medlemsstat en liste over alvorlige overtrædelser af dens nationale love til de øvrige medlemsstater, Europol, Eurojust og til det i artikel 27 omhandlede udvalg.
Denne liste omfatter udelukkende lovovertrædelser, som kan straffes:
a)
med en frihedsstraf eller en frihedsberøvende foranstaltning, for hvilke strafferammen er på mindst 12 måneder, eller
b)
med en bøde på mindst 15 000 EUR.
4.   Hvis den medlemsstat, der henter oplysninger i det elektroniske sagsregister på toldområdet, har brug for yderligere oplysninger om den registrerede efterforskningssag vedrørende en person eller en virksomhed, anmoder denne stat den formidlende medlemsstat om bistand i henhold til de gældende instrumenter vedrørende gensidig bistand.
KAPITEL VII
DRIFT OG BRUG AF DET ELEKTRONISKE SAGSREGISTER PÅ TOLDOMRÅDET
Artikel 16
1.   Oplysninger fra efterforskningerne registreres udelukkende i det elektroniske sagsregister på toldområdet til de formål, der er fastsat i artikel 15, stk. 2. Oplysningerne må kun omfatte følgende kategorier:
a)
en person eller en virksomhed, der er eller har været genstand for en efterforskning foretaget af en kompetent myndighed i en medlemsstat, og
i)
som efter den pågældende medlemsstats nationale lovgivning er mistænkt for at begå eller have begået eller at medvirke eller have medvirket til en alvorlig overtrædelse af nationale love
ii)
for hvem det er konstateret, at vedkommende har begået en sådan overtrædelse, eller
iii)
som er blevet idømt en administrativ eller retlig sanktion for en sådan overtrædelse
b)
det område, efterforskningen dækker
c)
navn, nationalitet og kontaktoplysninger på den myndighed i en medlemsstat, der behandler sagen, samt journalnummer.
De i litra a), b) og c) omhandlede oplysninger registreres særskilt for hver person eller virksomhed i en database. Samkøring mellem databaser er ikke tilladt.
2.   Personoplysninger i henhold til stk. 1, litra a), må kun omfatte følgende:
a)
for personer: efternavn, pigenavn, fornavne, tidligere efternavne og kaldenavne, fødselsdato og fødested, nationalitet og køn
b)
for virksomheder: virksomhedens firmanavn, navn, hvorunder der drives forretning, adresse, momsnummer og punktafgiftsregistreringsnummer.
3.   Oplysningerne registreres for en begrænset periode, jf. artikel 19.
Artikel 17
En medlemsstat er ikke forpligtet til at registrere oplysninger i henhold til artikel 16 i konkrete tilfælde, hvis og så længe dette strider mod grundlæggende retsprincipper eller andre væsentlige interesser, særlig hvis det ville udgøre en umiddelbar og alvorlig trussel mod dens offentlige sikkerhed eller mod en anden medlemsstats eller et tredjelands offentlige sikkerhed, eller hvis andre væsentlige interesser af samme vigtighed er bragt i fare, eller hvis registreringen af disse oplysninger kunne føre til alvorlige krænkelser af enkeltpersoners rettigheder eller ville skade en igangværende efterforskning.
Artikel 18
1.   Registrering og søgning af oplysninger i det elektroniske sagsregister på toldområdet er forbeholdt de myndigheder, der er nævnt i artikel 15, stk. 2.
2.   En søgning i det elektroniske sagsregister på toldområdet skal omfatte følgende personoplysninger:
a)
for personer: fornavn og/eller efternavn og/eller pigenavn og/eller tidligere efternavne og/eller kaldenavne og/eller fødselsdato
b)
for virksomheder: firmanavn og/eller navn, hvorunder der drives forretning, og/eller adresse og/eller momsnummer og/eller punktafgiftsregistreringsnummer.
KAPITEL VIII
LAGRINGSPERIODE FOR OPLYSNINGER I DET ELEKTRONISKE SAGSREGISTER PÅ TOLDOMRÅDET
Artikel 19
1.   Lagringsperioder fastsættes i overensstemmelse med de gældende love, administrative bestemmelser og procedurer i den medlemsstat, der registrerer oplysningerne. Følgende frister, der regnes fra den dato, hvor oplysningerne registreres, må dog ikke overskrides:
a)
Oplysninger vedrørende igangværende efterforskninger må højst lagres i tre år, medmindre der er konstateret en overtrædelse i denne periode. Oplysningerne skal slettes inden udløbet af den treårige periode, hvis der er gået 12 måneder siden det sidste skridt i efterforskningen.
b)
Oplysninger vedrørende efterforskninger, der har givet anledning til, at en overtrædelse er konstateret, men som endnu ikke har ført til domfældelse eller pålæggelse af en bøde, må højst lagres i seks år.
c)
Oplysninger vedrørende efterforskninger, der har ført til domfældelse eller pålæggelse af en bøde, må højst lagres i ti år.
2.   På alle de stadier af efterforskningen, der er omhandlet i stk. 1, litra a), b) og c), skal alle oplysninger vedrørende en person eller en virksomhed, jf. artikel 16, straks slettes, så snart denne person eller virksomhed ikke længere er genstand for efterforskning i henhold til den formidlende medlemsstats love og administrative bestemmelser.
3.   Oplysninger slettes automatisk fra det elektroniske sagsregister på toldområdet fra den dato, hvor den maksimale periode for lagring af oplysninger, jf. stk. 1, overskrides.
KAPITEL IX
BESKYTTELSE AF PERSONOPLYSNINGER
Artikel 20
Rammeafgørelse 2008/977/RIA finder anvendelse på beskyttelse af dataudveksling i overensstemmelse med denne afgørelse, medmindre andet er bestemt i denne afgørelse.
Artikel 21
1.   Oplysninger må kun kopieres til tekniske formål, når en sådan kopiering er nødvendig, for at de i artikel 7 omhandlede myndigheder kan foretage direkte søgning.
2.   Personoplysninger registreret af andre medlemsstater må ikke kopieres fra toldinformationssystemet til andre nationale datafiler, undtagen i forbindelse med kopier i systemer til risikostyring, som anvendes til at lede toldkontrollen på nationalt niveau, eller i forbindelse med kopier i et system til operationel analyse, som anvendes til at koordinere aktioner, jf. dog artikel 8, stk. 1. Sådanne kopier kan tages, i det omfang det er nødvendigt for konkrete sager eller efterforskninger.
3.   For så vidt angår de to i stk. 2 omhandlede undtagelser har kun de analytikere, der er bemyndiget af hver medlemsstats nationale myndigheder, beføjelse til at behandle personoplysninger fra toldinformationssystemet i forbindelse med systemer til risikostyring, som anvendes til at lede nationale myndigheders toldkontrol, eller med systemer til operationel analyse, som anvendes til at koordinere aktioner.
4.   Hver medlemsstat sender til de øvrige medlemsstater og til det udvalg, der er omhandlet i artikel 27, en liste over de tjenester for risikostyring, hvis analytikere har bemyndigelse til at kopiere og behandle personoplysninger, som er registreret i toldinformationssystemet.
5.   Personoplysninger, der kopieres fra toldinformationssystemet, må kun lagres så længe, som det er nødvendigt for at opnå det formål, som de kopieres til. Behovet for lagring af oplysningerne tages op til overvejelse mindst en gang om året af den medlemsstat, der har foretaget kopieringen. Lagringsperioden må ikke overstige ti år. Personoplysninger, som ikke er nødvendige for at fortsætte den operationelle analyse, slettes straks eller anonymiseres.
Artikel 22
En persons rettigheder med hensyn til personoplysninger i toldinformationssystemet, herunder navnlig retten til adgang, berigtigelse, sletning eller blokering, udøves i overensstemmelse med de love, administrative bestemmelser og procedurer, der gennemfører rammeafgørelse 2008/977/RIA i den medlemsstat, hvor personen påberåber sig disse rettigheder. Adgang nægtes i det omfang, et sådant afslag er nødvendigt og rimeligt for ikke at bringe en igangværende national efterforskning i fare, eller i løbet af en periode med diskret overvågning eller observation og indberetning. Når relevansen af en sådan undtagelse vurderes, tages der hensyn til den berørte persons legitime interesser.
Artikel 23
1.   På enhver medlemsstats område kan en person, for så vidt angår personoplysninger i toldinformationssystemet, der vedrører den pågældende, i overensstemmelse med den pågældende medlemsstats love, administrative bestemmelser og procedurer anlægge sag ved en domstol eller indbringe spørgsmålet for den myndighed, der er kompetent i henhold til den pågældende medlemsstats love, administrative bestemmelser og procedurer, med det formål:
a)
at få berigtiget eller slettet ukorrekte personoplysninger
b)
at få berigtiget eller slettet personoplysninger, der er registreret eller som lagres i toldinformationssystemet i strid med denne afgørelse
c)
at få adgang til personoplysninger
d)
at få blokeret personoplysninger
e)
at få erstatning i henhold til artikel 30, stk. 2.
2.   Medlemsstaterne forpligter sig gensidigt til at gennemføre domstolenes eller de kompetente myndigheders endelige afgørelser ifølge stk. 1, litra a), b) og c), i denne artikel, jf. dog bestemmelserne i artikel 31.
Artikel 24
Hver medlemsstat udpeger en eller flere nationale tilsynsmyndigheder med ansvar for beskyttelse af personoplysninger til at føre uafhængigt tilsyn med personoplysninger i toldinformationssystemet i overensstemmelse med rammeafgørelse 2008/977/RIA.
Artikel 25
1.   Der oprettes en fælles tilsynsmyndighed bestående af to repræsentanter fra hver medlemsstats respektive uafhængige nationale tilsynsmyndighed eller tilsynsmyndigheder.
2.   Den Fælles Tilsynsmyndighed overvåger og sikrer anvendelsen af bestemmelserne i denne afgørelse og rammeafgørelse 2008/977/RIA for så vidt angår beskyttelse af fysiske personer i forbindelse med behandlingen af personoplysninger i toldinformationssystemet.
3.   Med henblik herpå har Den Fælles Tilsynsmyndighed kompetence til at føre tilsyn med driften af toldinformationssystemet, til at undersøge enhver form for anvendelses- eller fortolkningsvanskeligheder, der måtte opstå under brugen af systemet, til at undersøge problemer i forbindelse med de nationale tilsynsmyndigheders uafhængige tilsyn eller enkeltpersoners udøvelse af deres ret til adgang til systemet, og til at udarbejde forslag til fælles løsninger af problemerne.
4.   Den Fælles Tilsynsmyndighed skal have adgang til toldinformationssystemet, for at den kan opfylde sine forpligtelser.
5.   Rapporterne fra Den Fælles Tilsynsmyndighed sendes til de myndigheder, som de nationale tilsynsmyndigheder sender deres rapporter til, samt til Europa-Parlamentet og Rådet.
Artikel 26
1.   Den Europæiske Tilsynsførende for Databeskyttelse fører tilsyn med Kommissionens aktiviteter vedrørende toldinformationssystemet. De opgaver og beføjelser, der er omhandlet i artikel 46 og 47 i Europa-Parlamentets og Rådets forordning (EF) 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger 
(
7
)
, finder tilsvarende anvendelse.
2.   Den Fælles Tilsynsmyndighed og Den Europæiske Tilsynsførende for Databeskyttelse, der hver især handler inden for deres respektive beføjelser, samarbejder inden for rammerne af deres ansvarsområder og sikrer samordnet tilsyn med toldinformationssystemet, herunder med henblik på udstedelse af relevante anbefalinger.
3.   Den Fælles Tilsynsmyndighed og Den Europæiske Tilsynsførende for Databeskyttelse mødes med dette formål mindst én gang om året. Udgifter og service i forbindelse med disse møder påhviler Den Europæiske Tilsynsførende for Databeskyttelse.
KAPITEL X
INSTITUTIONELLE RAMMER
Artikel 27
1.   Der nedsættes et udvalg bestående af repræsentanter for medlemsstaternes toldadministrationer. Udvalget træffer beslutninger med enstemmighed for så vidt angår stk. 2, litra a), og med et flertal på to tredjedele for så vidt angår stk. 2, litra b). Det fastsætter selv sin forretningsorden med enstemmighed.
2.   Udvalget er ansvarligt for:
a)
at bestemmelserne i denne afgørelse gennemføres og anvendes korrekt, uden at dette dog indskrænker de i artikel 24, artikel 25, stk. 1, og artikel 26, stk. 1, omhandlede tilsynsmyndigheders beføjelser
b)
at toldinformationssystemet teknisk og driftsmæssigt fungerer korrekt. Udvalget tager de nødvendige skridt til at sikre, at foranstaltningerne i artikel 14 og 28 gennemføres korrekt for så vidt angår toldinformationssystemet.
Udvalget kan med henblik på anvendelsen af dette stk. få direkte adgang til toldinformationssystemets oplysninger og anvende disse umiddelbart.
3.   Udvalget aflægger en årlig beretning for Rådet i overensstemmelse med afsnit VI i traktaten om Den Europæiske Union om, hvorvidt toldinformationssystemet fungerer effektivt og korrekt, og fremsætter om fornødent anbefalinger. Denne beretning sendes til Europa-Parlamentet til orientering.
4.   Kommissionen deltager i udvalgets drøftelser.
KAPITEL XI
SIKKERHED I FORBINDELSE MED TOLDINFORMATIONSSYSTEMET
Artikel 28
1.   Alle nødvendige administrative forholdsregler til at garantere sikkerheden træffes:
a)
af medlemsstaternes kompetente myndigheder for så vidt angår toldinformationssystemets terminaler i de respektive medlemsstater og af Europol og Eurojust
b)
af det i artikel 27 omhandlede udvalg for så vidt angår toldinformationssystemet og de terminaler, der er placeret i de samme lokaler som systemet, og som anvendes til tekniske formål og til den i stk. 3 i denne artikel omhandlede kontrol.
2.   De kompetente myndigheder, Europol, Eurojust og det i artikel 27 omhandlede udvalg skal navnlig træffe forholdsregler til:
a)
at forhindre, at uautoriserede personer får adgang til installationer, der benyttes til databehandlingen
b)
at forhindre, at oplysninger og databærere læses, kopieres, ændres eller fjernes af uautoriserede personer
c)
at forhindre uautoriseret registrering af oplysninger samt uautoriseret søgning, ændring eller sletning af oplysninger
d)
at forhindre, at uautoriserede personer får adgang til oplysninger i toldinformationssystemet ved hjælp af datatransmissionsudstyr
e)
at sikre, at autoriserede personer, hvad angår brugen af toldinformationssystemet, kun får adgang til de oplysninger, som de er bemyndiget til at kende
f)
at sikre, at det er muligt at undersøge og fastslå, til hvilke myndigheder der kan sendes oplysninger via datatransmissionsudstyr
g)
at sikre, at det er muligt efterfølgende at undersøge og fastslå, hvilke oplysninger der er registreret i toldinformationssystemet, hvornår og af hvem, og at føre tilsyn med informationssøgningen
h)
at forhindre uautoriseret læsning, kopiering, ændring eller sletning af oplysninger i forbindelse med transmission af oplysninger og transport af databærere.
3.   Det i artikel 27 nævnte udvalg fører tilsyn med informationssøgning i toldinformationssystemet med henblik på at kontrollere, at foretagne søgninger fandt sted i overensstemmelse med bestemmelserne og blev foretaget af autoriserede brugere. Mindst 1 % af alle søgninger skal kontrolleres. En fortegnelse over disse søgninger og kontroller bevares i systemet og må kun anvendes til ovennævnte formål af det nævnte udvalg og af de tilsynsmyndigheder, der er omtalt i artikel 24 og 25. Den skal slettes efter seks måneder.
Artikel 29
Den toldadministration, der er omhandlet i artikel 10, stk. 1, er ansvarlig for sikkerhedsforanstaltningerne i artikel 28 vedrørende de terminaler, der befinder sig på den pågældende medlemsstats område, for undersøgelserne i artikel 14, stk. 1 og 2, og artikel 19 og i øvrigt for den korrekte gennemførelse af denne afgørelse, i det omfang det er nødvendigt i henhold til den pågældende medlemsstats love, administrative bestemmelser og procedurer.
KAPITEL XII
ANSVAR OG FORPLIGTELSER
Artikel 30
1.   Hver medlemsstat sikrer, at de oplysninger, som den har registreret i toldinformationssystemet i henhold til artikel 3, artikel 4, stk. 1, og artikel 8 i rammeafgørelse 2008/977/RIA, er korrekte, aktuelle, fuldstændige, pålidelige og lovligt registreret.
2.   Hver medlemsstat er ansvarlig i overensstemmelse med sin nationale lovgivning for enhver skade, der tilføjes en person i forbindelse med brugen af toldinformationssystemet. Dette gælder også for skade, der tilføjes af en medlemsstat, som registrerer ukorrekte oplysninger eller ulovligt registrerer eller lagrer oplysninger.
3.   Hvis en modtagermedlemsstat yder erstatning for en skade, der er forårsaget af anvendelsen af ukorrekte oplysninger, som en anden medlemsstat har registreret i toldinformationssystemet, refunderer sidstnævnte medlemsstat modtagermedlemsstaten den ydede skadeserstatning under hensyn til et eventuelt ansvar hos modtagermedlemsstaten.
4.   Europol og Eurojust er ansvarlige i overensstemmelse med de retsakter, der oprettede dem.
Artikel 31
1.   Omkostninger i forbindelse med erhvervelse, undersøgelse, udvikling og vedligeholdelse af den centrale it-infrastruktur (hardware), software og nettilslutninger og i forbindelse med tilhørende produktions-, støtte- og uddannelsestjenester, der ikke kan holdes adskilt fra driften af toldinformationssystemet med henblik på anvendelse af Fællesskabets bestemmelser på told- og landbrugsområdet, samt omkostninger i forbindelse med medlemsstaternes brug af toldinformationssystemet på deres respektive områder, herunder kommunikationsomkostninger, afholdes af De Europæiske Fællesskabers almindelige budget.
2.   Omkostninger til vedligeholdelse af de nationale arbejdsstationer/terminaler, som følger af gennemførelsen af denne afgørelse, afholdes af medlemsstaterne.
KAPITEL XIII
GENNEMFØRELSESBESTEMMELSER OG AFSLUTTENDE BESTEMMELSER
Artikel 32
Oplysninger i henhold til denne afgørelse udveksles direkte mellem medlemsstaternes myndigheder.
Artikel 33
Medlemsstaterne sikrer, at deres nationale lovgivning er i overensstemmelse med denne afgørelse senest den 27. maj 2011.
Artikel 34
1.   Denne afgørelse erstatter CIS-konventionen samt protokollen af 12. marts 1999 udarbejdet på grundlag af artikel K.3 i traktaten om Den Europæiske Union om anvendelsesområdet for hvidvaskning af udbyttet fra kriminalitet i konventionen om brug af informationsteknologi på toldområdet og om tilføjelse af transportmidlets registreringsnummer i konventionens liste over oplysninger 
(
8
)
 og protokollen af 8. maj 2003 udarbejdet i henhold til artikel 34 i traktaten om Den Europæiske Union om ændring af konventionen om brug af informationsteknologi på toldområdet for så vidt angår oprettelse af et elektronisk sagsregister på toldområdet 
(
9
)
 med virkning fra den 27. maj 2011.
2.   Som følge heraf ophæves CIS-konventionen og de i stk. 1 nævnte protokoller med virkning fra datoen for anvendelse af denne afgørelse.
Artikel 35
Medmindre andet er bestemt i denne afgørelse, ophæves bestemmelserne om gennemførelse af CIS-konventionen samt de i artikel 34, stk. 1, nævnte protokoller med virkning fra den 27. maj 2011.
Artikel 36
1.   Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
2.   Den anvendes fra den 27. maj 2011.
Udfærdiget i Bruxelles, den 30. november 2009.
På Rådets vegne
B. ASK
Formand
(
1
)
  Udtalelse af 24. november 2009 (endnu ikke offentliggjort i EUT).
(
2
)
  
            
EUT L 350 af 30.12.2008, s. 60
.
(
3
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 766/2008 af 9. juli 2008 om ændring af Rådets forordning (EF) nr. 515/97 om gensidig bistand mellem medlemsstaternes administrative myndigheder og om samarbejde mellem disse og Kommissionen med henblik på at sikre den rette anvendelse af told- og landbrugsbestemmelserne (
EUT L 218 af 13.8.2008, s. 48
).
(
4
)
  
            
EFT C 316 af 27.11.1995, s. 33
.
(
5
)
  
            
EUT L 121 af 15.5.2009, s. 37
.
(
6
)
  
            
EUT L 138 af 4.6.2009, s. 14
.
(
7
)
  
            
EFT L 8 af 12.1.2001, s. 1
.
(
8
)
  
            
EFT C 91 af 31.3.1999, s. 2
.
(
9
)
  
            
EUT C 139 af 13.6.2003, s. 2
.

Summary:
Informationsteknologi på toldområdet
RESUMÉ AF:
Afgørelse 2009/917/RIA om brug af informationsteknologi på toldområdet
HVAD ER FORMÅLET MED AFGØRELSEN?
Den erstatter og ajourfører 
konventionen om toldinformationssystemet (CIS-konventionen)
 fra 1995 og bringer den på linje med forordning (EF) 
nr. 
766/2008
, hvorved forordning (EF) 
nr. 
515/97
 (se 
resumé
) om samarbejde mellem EU-lande og 
Europa-Kommissionen
 ændres for at sikre korrekt anvendelse af told- og landbrugsbestemmelserne.
CIS har til formål at bidrage til forebyggelse, efterforskning og retsforfølgning af alvorlige overtrædelser af nationale love ved en hurtigere udbredelse af oplysninger og således øge effektiviteten i EU-landenes toldadministrationers samarbejds- og kontrolprocedurer.
HOVEDPUNKTER
CIS består af en 
central database
, hvortil der er adgang fra samtlige EU-lande. Den omfatter udelukkende oplysninger, der er nødvendige for at opfylde dets formål, herunder personoplysninger, inden for følgende områder:
varer (produkter, der kan købes eller sælges)
transportmidler
virksomheder
personer
udviklingen i sager om svig
disponibel ekspertbistand
bevaring, beslaglæggelse eller konfiskering af varer
bevaring, beslaglæggelse eller konfiskering af likvide midler.
Databeskyttelse
Direktiv (EU) 
2016/680
 vedrører databeskyttelse, medmindre andet er angivet i denne afgørelse.
CIS indeholder de oplysninger (herunder oplysninger af personlig karakter), der er nødvendige for at gennemføre formålet med toldinformationssystemet gennem aktiviteter som observation og optagelse af rapport, diskret overvågning og målrettet kontrol samt strategisk og operationel analyse.
Denne afgørelse respekterer de grundlæggende rettigheder og overholder de principper, som navnlig anerkendes i 
Den Europæiske Unions charter om grundlæggende rettigheder
. Den er ikke til hinder for, at medlemsstaterne anvender deres egne forfatningsmæssige regler om aktindsigt i offentlige dokumenter.
Kun de formidlende EU-lande har ret til at ændre, supplere, berigtige eller slette oplysninger, som de har registreret i toldinformationssystemet.
Oplysningerne opbevares kun så længe, det er nødvendigt af hensyn til det formål, der ligger til grund for dem. Behovet for lagring gennemgås som minimum årligt af det formidlende land.
Elektronisk sagsregister på toldområdet
En særlig database kendt som det elektroniske sagsregister på toldområdet blev etableret, der gjorde det muligt for de nationale myndigheder at vide, om personer eller virksomheder, som de efterforsker, også efterforskes eller er blevet efterforsket i andre EU-lande. For så vidt angår denne database deler EU-landene mellem dem, og med 
Europol
 og 
Eurojust
, en liste over alvorlige overtrædelser af de nationale love: dem, som kan straffes med frihedsstraf af mindst 12 måneders varighed eller en bøde på mindst 15 000 EUR.
Et EU-land er ikke forpligtet til at dele oplysninger med denne særlige database, hvis dette strider mod grundlæggende retsprincipper eller andre væsentlige interesser.
Oplysninger må højst lagres i tre år, medmindre der er konstateret en overtrædelse i denne periode, og skal slettes 12 måneder efter sidste skridt i efterforskningen. Denne periode kan forlænges til seks år, hvis der er tale om en overtrædelse, som ikke har ført til domfældelse eller ti år, hvis efterforskning har ført til domfældelse.
Tilsyn og administration
Hvert EU-land udpeger en eller flere nationale tilsynsmyndigheder med ansvar for beskyttelse af personoplysninger til at føre uafhængigt tilsyn med personoplysninger, der er omfattet af afgørelsen. Der blev ligeledes etableret en fælles tilsynsmyndighed bestående af to repræsentanter fra hvert EU-lands respektive nationale tilsynsmyndighed.
Den Europæiske Tilsynsførende for Databeskyttelse
 fører tilsyn med Kommissionen vedrørende CIS.
Et udvalg bestående af repræsentanter for medlemsstaternes toldadministrationer, med inddragelse af Kommissionen, er ansvarligt for gennemførelsen og den korrekte anvendelse af denne afgørelse (baseret på enstemmighed), og for at CIS teknisk og driftsmæssigt fungerer korrekt (med et flertal på to tredjedele).
HVORNÅR GÆLDER AFGØRELSEN FRA?
Den trådte i kraft den 
27. maj 2011
.
BAGGRUND
For yderligere oplysninger henvises til:
Customs Information Systems
 (
Den Europæiske Tilsynsførende for Databeskyttelse
).
HOVEDDOKUMENT
Rådets afgørelse 
2009/917/RIA
 af 
30. november 2009
 om brug af informationsteknologi på toldområdet (EUT L 323 af 
10.12.2009
, 
s. 20-30
).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets direktiv (EU) 
2016/680
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 
4.5.2016
, 
s. 89-131
).
Efterfølgende ændringer af direktiv (EU) 2016/680 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Rådets forordning (EF) 
nr. 
515/97
 af 
13. marts 1997
 om gensidig bistand mellem medlemsstaternes administrative myndigheder og om samarbejde mellem disse og Kommissionen med henblik på at sikre den rette anvendelse af told- og landbrugsbestemmelserne (EFT L 82 af 
22.3.1997
, 
s. 1-16
).
Se den 
konsoliderede version
.
seneste ajourføring 
8.11.2019